【虚拟机数据恢复】VMware ESX SERVER数据恢复案例

虚拟机数据恢复环境：

中*化某省分公司的信息管理平台，几十台VMware虚拟机（ESX SERVER）共享一台IBM存储。


虚拟机故障&分析：

正常工作时候vc上报告虚拟磁盘丢失，管理员ssh到ESX中执行fdisk -l命令查看磁盘，发现STORAGE分区表丢失找不到了。重启所有设备，ESX SERVER均无法连接到那台IBM存储所在的STORAGE。于是联系我们数据恢复中心进行数据恢复。

管理员在和北亚服务器数据恢复工程师沟通过程中提到曾经在这个存储网络中连接过一台windows server服务器，具体情况不详。服务器数据恢复工程师初步判断可能是接入的那台windows server服务器对storage独享操作从而导致vmfs卷损坏。

数据恢复工程师对整个存储进行分析发现分区表清零，但是有55aa有效结束标志和硬盘ID标志。进一步查看发现了一个似乎没有写入数据的NTFS卷，好像刚刚被格式化过。对这个NTFS卷的BITMAP做分析，其大小和发生故障前所有虚拟机占用的总空间大小差不多。这个NTFS卷前部占用了部分空间，3G左右位置占用了部分空间，0.9T位置占用了部分空间，但总占用空间不到100M。
分析VMFS卷发现在原磁盘里有2组VMFS分区，第2组是对第1组的extend，因NTFS分区并未写数据到第2组VMFS分区里，所以重点在于第一组VMFS分区。分析第1组VMFS发现卷头结构丢失，一级索引和二级索引均存在，NTFS覆盖的数据区正好是某组虚拟机的临时内存镜像，即使损坏也没有影响。


虚拟机数据恢复过程：

1、对整个STORAGE进行镜像备份。

2、连接两个VMFS分区，按照VMFS分析组织方式提取所有VMDK及配置文件。

3、通过nfs直接迁移回ESX SERVER。

*已对故障存储做了安全备份，可以直接重建第1组VMFS卷头、索引列表、分区表等信息，然后直接附加在ESX SERVER环境，这个方案可以做备选方案。


数据恢复总结：

本案例中故障依然是光纤环境互斥不当造成的。应该是这个卷在WINDOWS系统做了重新分区，并格式化成了NTFS，之后又对分区做了删除操作。因ESX VMFS的互斥不依赖于硬件，而是依赖于操作系统驱动层，所以在其他服务器接入存储网络时一定要小心，需要提前考虑好存储的分配权限。