VMFS Data Recovery (rm * -rf)

[Katta]

Danke Ulli für die Antwort!

Ich hab mal Testdisk laufen lassen - bin mir aber ein wenig unsicher beim Tool -> glaube noch immer fest daran das sich irgendwo in diesen Blöcken Daten verstecken - Würde deshalb gerne dd-image heranziehen ...

... über Nacht läuft nun mal das PhotoRec direkt am ESXhost (weiteres Tool aus dem Testdisk-Umfeld) - hoffe das es was hervorbringt

Wie würdest Du das erzeugte dd-image der /dev/sdb in ein Linux einhängen um Testdisk drüber zu schicken (korrekter Mountbefehl)?

Danke für deine Antworten & lG.,
Stefan.

[Katta]

Danke Ulli für die Antwort!

Ich hab mal Testdisk laufen lassen - bin mir aber ein wenig unsicher beim Tool -> glaube noch immer fest daran das sich irgendwo in diesen Blöcken Daten verstecken - Würde deshalb gerne dd-image heranziehen ...

... über Nacht läuft nun mal das PhotoRec direkt am ESXhost (weiteres Tool aus dem Testdisk-Umfeld) - hoffe das es was hervorbringt

Wie würdest Du das erzeugte dd-image der /dev/sdb in ein Linux einhängen um Testdisk drüber zu schicken (korrekter Mountbefehl)?

Danke für deine Antworten & lG.,
Stefan.

Gerade meldet mir Photrec es hätte doch tatsächlich mal 2vmdk's gefunden(?) - Problem ist ja eine LiveCD und kein zusätzlicher Storage vorhanden = muß mir ext. Festplatte anschließen ...

[Katta]

Photorec meldet 39 gefundene vmdk's - das stellt eine neue Chance da

In der kommenden Nacht, bzw. Morgen werde ich dann mehr wissen!

LG. an alle Interessenten dieses Artikels
Stefan.

[Katta]

Photorec meldet 39 gefundene vmdk's - das stellt eine neue Chance da

In der kommenden Nacht, bzw. Morgen werde ich dann mehr wissen!

LG. an alle Interessenten dieses Artikels
Stefan.

Scheint leider nur, durch mich nicht verwertbarer Müll zu sein

@Ulli: Fällt Dir noch was ein betr. Testdisk, wie würdest Du an die Disk bzw. an das dd davon herangehen? Bin im Moment wieder ein wenig unsicher ob ich die Thematik schon richtig verstehe, oder nur glaube das zu tun ?

Betr. VMware Call aufmachen - nachdem ich bereits auf dem 250er Verbund eine Neuinstallation durchgezogen habe - weiß ich nicht welche Daten ich Ihnen zur Verfügung stellen sollte. - Ideen?


LG.,
Stefan.

[continuum]

Hi
ich wuerde mir fuer das dd-image einen vmdk descriptor schreiben - dann kann man das image in VMs mit Workstation verwenden.
Dann wuerde ich zuerst mit einer ESXi VM dran gehen , dann wahrscheinlich noch mal mit einer Linux-LiveCD undfvmfs und wenn gar nichts mehr hilft mit einer Windows-VM und UFS-explorer.

Wenn du die genaue Groesse in bytes postest mache ich dir einen - sonst kann das auch der Starwind Converter soviel ich weiss

Sorry - ich habe keine Ahnung wie man bei VMware einen Call aufmacht

[Katta]

Hi
ich wuerde mir fuer das dd-image einen vmdk descriptor schreiben - dann kann man das image in VMs mit Workstation verwenden.
Dann wuerde ich zuerst mit einer ESXi VM dran gehen , dann wahrscheinlich noch mal mit einer Linux-LiveCD undfvmfs und wenn gar nichts mehr hilft mit einer Windows-VM und UFS-explorer.

Wenn du die genaue Groesse in bytes postest mache ich dir einen - sonst kann das auch der Starwind Converter soviel ich weiss

Sorry - ich habe keine Ahnung wie man bei VMware einen Call aufmacht

Danke für dein Angebot, das ich gerne annehme!

Code: Alles auswählen

root@sysresccd /root % ls -la /BACKUP
total 480516280
drwxr-xr-x  3 root root         4096 2009-09-10 14:27 .
drwxrwxrwt 23 root root          260 2009-09-14 23:03 ..
drwx------  2 root root        16384 2009-09-10 14:13 lost+found
-rw-r--r--  1 root root 491568128000 2009-09-11 07:21 storage2.img


Werde mir das Tool auf jeden Fall ansehen. - Ich kann jeden Tag etwas Neues lernen - anstrengend, aber schön !

Bin nun nebenbei bei dem Wiederherstellen der Server - bis Freitag sollte ich fertig sein & der normale Arbeitsalltag, Kinder ... viel geschlafen hab ich seit letzten Donnerstag nicht - sollte langsam übergehen eine zu tragen

[continuum]

Das image ist so ca 457 Gb gross oder ?

wenn ja muesste diese passen

fuer benutzung in ESX:

Code: Alles auswählen

# Disk DescriptorFile
version=1
CID=7341dd22
parentCID=ffffffff
createType="vmfs"

# Extent description
RW 960094000 VMFS "storage2.img "

# The Disk Data Base
#DDB

ddb.virtualHWVersion = "7"
ddb.toolsVersion = "0"
ddb.geometry.cylinders = "59763"
ddb.geometry.heads = "255"
ddb.geometry.sectors = "63"
ddb.adapterType = "lsilogic"

fuer benutzung in Workstation

Code: Alles auswählen

# Disk DescriptorFile
version=1
CID=7341dd22
parentCID=ffffffff
createType="monolithicFlat"

# Extent description
RW 960094000 FLAT "storage2.img " 0

# The Disk Data Base
#DDB

ddb.virtualHWVersion = "7"
ddb.toolsVersion = "0"
ddb.geometry.cylinders = "59763"
ddb.geometry.heads = "255"
ddb.geometry.sectors = "63"
ddb.adapterType = "lsilogic"


[Katta]

Super & Danke für deine rasche Antwort - werd gleich mal losstarten, sobald das Image transferiert ist

LG.,
Stefan!

[Katta]

Code: Alles auswählen

Hallo Ulli!

Darf in einem Descriptor-File auch eine Pfadangabe stehen?

Mein Problem - hab keine Platte größer 500MB (bzw. nicht mehr Speicher frei) und kann das vmdk nicht auf die Platte dazu schreiben - = voll  :?

Irgendwelche Ideen?

Danke das Du an der Sache dranbleibst mit mir!

LG.,
Stefan.


Also Platte da - storage.vmdk generiert - WS 6.5.3 unter Ubuntu - sage ich ihm vorhandene Platte nutzen - "The system cannot find the file specified".

File-/Ownerrechte gesetzt - verglichen mit zuvor erstellter "Testmaschine" (um betr. File-/Ownerrechte sicher zu sein )

Frage: Was mach ich falsch? - Bitte wieder recht herzlich um deine Mithilfe. - Danke!

LG.,
Stefan.

Übrigens zurück zu deiner Frage beim letzten Eintrag, es sind 458GB, das gibt ein ls -lah aus

Hab jetzt beim Deskriptor-File selbst herumgebastelt - Zeile: ..."storage2.img " 0" -> Leerzeichen nach .img" weggelassen, dann hat er es gefressen.

Findet aber keinerlei Partitionen auf dem Image - wahrscheinlich schon fehlerhaft beim erstellen? Lass Testdisk drüber laufen, ob der was findet - mein Hoffnungsflämmchen brennt wieder eine Stufe kleiner.

Bitte um Antwort, jegliche Ideen werden dankbar aufgenommen !

LG.,
Stefan.

[spacejay007]

Du machst per dd ein image deiner VMFS partition und kopierst diese dd-image auf einen Windows-rechner - danach gibt es dann mehrere Wege ...

Hallo continuum,

ich habe akutell ein ähnliches Problem. Ein Datastore ist gecrashed und zwei vmdk's sind nicht mehr zugreifbar. Ich habe einen Abzug mit dd gemacht. Welche Möglichkeiten habe ich jetzt auf die defekten vmdk-Dateien bzw. Windows-Dateien in den vmdk's zuzugreifen?

Bin für jeden Tipp dankbar.

Viele Grüße,

spacejay

[continuum]

Hi
sorry - hab deine Post uebersehen - besser demnaechst einen eigenen neuen Post aufmachen ...

iust das noch aktuell ?

[hans123]

Hallo zusammen,

es ist ein GAU. Ein vmfs wurde ziemlich wild mittels rm * -rf platt gemacht. Die Backups sind auch unbrauchbar...

Hallo,
Wie muss man sich diesen GAU denn vorstellen? In einer ESX-Konsole den Command ' rm * -rf' ' abgesetzt?


Vielen Dank fuer jede Rueckmeldung!

Hans

[continuum]

ja
rm Kommandos per ssh oder lokaler Console lassen sich nicht undoen.
Wenn so etwas trotzdem passiert ist sofort alles abstellen und anrufen

[hans123]

Hallo Ulli!

Vielen Dank fuer die promte Rueckmeldung! Ist ein Recovery auch nicht moeglich, falls man die Header und Footers der virtuellen Maschine Dateien kennt
(vorausgesetzt man haette eine LinuxLive CD die das VMFS erkennt/supported, um die Suche ueberhaupt starten zu koennen)?
Oder muss ich beim VMFS fast alles vergessen, was bei anderen Dateisystem seine Gueltigkeit hatte)?

Gruss, Hans

[continuum]

Hallo Hans
ruf doch mal an - dann koennen wir darueber plaudern ....

Mit einer Linux LiveCD die vmfs-tools installiert hat finde ich in der Regel nur vmdks und ordner die nach einem ESXi crash nicht mehr mit ESXi auslesbar sind. Kommt vor - aber eher selten.

Wenn du eine Datei per rm loeschst - werden die Verweise auf die Datei in den VMFS-metadaten entfernt.
Das ist ansich noch nicht so schlimm wenn man unfragmentierte vmdks hat. Aber das kommt ganz selten vor.
Sucht man mit scalpel nach vmdks bekomme ich in der Regel soviel false-positiv Resultate dass das Ergebnis unbrauchbar ist.
Beim letzten Versuch habe ich 3 mal mehr vmdks gefunden als real vorhanden gewesen waren. Zusatz-problem: das Ende einer vmdk laesst sich meist nicht genau erkennen.

Also suche ich falls noetig nach Dateien die in der vmdk selber gespeichert waren.
Das funktioniert besser als man meinen wuerde - aber auch hier ist das Resultat nicht abschaetzbar - man kann Tage lang scannen und doch nur Muell extrahieren.

Wie gesagt - wenn du mal ne Panne hast - ruf am besten sofort an und wir besprechen die Optionen

[hans123]

Wie gesagt - wenn du mal ne Panne hast - ruf am besten sofort an und wir besprechen die Optionen

Vielen Dank fuer das Angebot

Hans

[hans123]

Danke fuer die Informationen.

Wenn du eine Datei per rm loeschst - werden die Verweise auf die Datei in den VMFS-metadaten entfernt.
Das ist ansich noch nicht so schlimm wenn man unfragmentierte vmdks hat. Aber das kommt ganz selten vor

Zum Thema Fragmentierung habe ich noch eine Verstaendnisfrage:

Steht die Information, wo die einzelnen Fragmente beginnen/wieder beginnen und enden im Dateisystem, oder ist gar der Festplattenkontroller alleine dafuer "verantwortlich"?

Danke fuer jede Rueckmeldung,

Hans

[JustMe]

Was wo im Dateisystem steht, da ist einzig und allein der Dateisystemtreiber im Betriebssystem fuer zustaendig. Der Controller (oder auch sein Treiber) hat da ueberhaupt keinen Einfluss drauf.