虚拟机数据恢复-FreeNAS+iSCSI多层架构断电故障 UFS2嵌套VMFS数据恢复案例

虚拟化数据恢复环境与业务架构：
某单位依托某品牌服务器部署FreeNAS搭建iSCSI存储，以软件方案模拟FC SAN存储架构；搭配两台某品牌服务器搭建ESXi5.0虚拟化平台，通过iSCSI协议挂载远端存储空间。
底层存储采用UFS2文件系统，在分区内创建大容量稀疏模式镜像文件，将该文件作为LUN挂载至ESXi虚拟化集群。集群内共计运行5台虚拟机，其中3台承载核心业务：
Windows Server虚拟机：搭建本地门户网站，采用ASP.NET+PHP混合开发架构，搭载SQL Server、MySQL双数据库，是企业对外展示与业务引流核心站点；
FreeBSD虚拟机：部署MySQL数据库集群，为平台内其余虚拟机提供统一数据库服务；
Windows Server代码服务器：专门存放自研项目源码、开发文档与版本资料。

北亚企安数据恢复—虚拟化数据恢复

虚拟化故障起因与故障发生经过：
存储设备突发意外断电，重启之后ESXi虚拟化主机无法正常识别、挂载iSCSI共享存储。管理员进入FreeNAS后台排查，判定UFS2文件系统出现日志与文件结构损坏，直接执行fsck命令自动修复文件系统。
修复完成后存储链路恢复连通，但ESXi无法识别原有VMFS数据存储分区。为尽快恢复业务，管理员直接对分区执行VMFS格式化操作，完成后分区内无任何原有数据，整套虚拟机业务全部不可用。
虚拟化数据恢复流程：
整套存储采用多层嵌套架构：物理磁盘→FreeNAS（UFS2）→稀疏模式iscsidata镜像文件→ESXi（VMFS）→虚拟机虚拟磁盘→NTFS/UFS2业务文件系统，故障自上而下逐层影响，恢复也需由底层向上逆向排查。
1、底层UFS2文件系统镜像与结构研判
首先对整块FreeNAS存储磁盘做只读完整镜像，规避二次写入造成数据覆盖。镜像完成后检索分区，确认仅存在一个900GB左右的稀疏文件iscsidata。
核查该文件Inode节点发现：断电修复后原Inode被全新文件覆盖重建，新Inode的数据指针仅占用极小存储空间，原始文件块索引全部丢失，无法依靠常规文件解析调取iscsidata原始数据。
调取UFS2核心分区参数：块大小16KB、段大小2KB、柱面组大小188176KB；单数据指针占用8字节，单块容纳2048个指针；二级指针单组可寻址64GB存储空间，三级指针寻址容量可达128TB。想要还原稀疏文件完整排布，必须找到原始三级指针块。
经过全盘检索，未搜寻到闲置旧Inode，判定原有三级指针块在后续新建iscsidata、ESXi格式化VMFS（写入GPT冗余分区表）过程中被彻底覆盖，三级索引完全失效。

北亚企安数据恢复—虚拟化数据恢复

2、编写专用程序抓取有效二级指针块
三级索引无法找回，北亚数据恢复工程师团队编写专属扫描程序放宽稀疏文件检索规则，全盘遍历搜集磁盘残留的二级指针区块。批量提取有效指针指向的数据区块并导出Dump镜像文件，依靠碎片化的数据块完成底层存储还原。
3、逆向解析VMFS虚拟化存储层
原VMFS分区经过格式化，分区元数据、卷索引基本损毁，不存在可直接利用的分区结构信息；好在所有虚拟机均未创建快照，虚拟磁盘原始数据完整留存于Dump文件内。
采用自上而下反向溯源思路：北亚数据恢复工程师依托Windows虚拟机NTFS、FreeBSD虚拟机UFS2文件系统特征标识，向上定位对应虚拟磁盘；再通过虚拟磁盘特征匹配拆分出的64GB分段Dump文件，反复比对、重组磁盘排布顺序，成功分拣出三台核心业务机对应的完整虚拟磁盘文件。
4、业务环境部署与数据回迁
新建一套全新ESXi虚拟化环境，导入恢复完毕的三块虚拟磁盘，依次启动门户网站、数据库服务、代码服务器。逐一校验网站页面、数据库表单、项目源码等全部数据，文件完整无丢失，数据库可正常读写，网站程序、后台业务均可平稳运行。

北亚企安数据恢复—虚拟化数据恢复

虚拟化故障复盘与建议：
SAN架构存储意外断电后，严禁直接使用fsck自动修复UFS、XFS等日志文件系统，自动修复极易改写、覆盖原有Inode与区块索引，造成不可逆损坏；
多层嵌套iSCSI+VMFS架构，切勿在识别不到存储时直接格式化分区，格式化会直接覆写上层文件系统元数据，极大提升恢复难度与成本；
稀疏模式大容量镜像文件结构特殊，指针块分散排布，一旦索引节点损毁，常规数据恢复软件无法处理，需要定制程序扫描底层磁盘碎片，建议重要业务定期做好整机异地备份。

北亚企安数据恢复—虚拟化数据恢复