[Windows Server 2003] Datacorruptie, directories weg

[EquiNox]

Ik heb hier een Windows 2003 R2 Server (x86), met een hardwarematige RAID-5 opstelling (LSI MegaRAID).

Hiervan is na een reboot de data grotendeels verdwenen, wil ook niet meer opstarten.

Recovery via Windows 2003 CD werkt niet, wil niet eens booten wegens onherkenbare bootsector op de HDD.

Via live-recovery CD (Knoppix/Testdisk) gekeken of de partitie nog bestaat, dit is het geval. Ook zijn een aantal mappen nog zichtbaar.

Echter mappen zoals Program Files, Windows en een klant-specifieke map met data zijn verdwenen. Wel staat er nu een Pagefile.sys van 400+GB op root van C:\. Lijkt er dus op dat Windows zichzelf heeft opgehangen.

Iemand een idee hoe de data hieruit te herstellen/extracten? Anders moet ik e.e.a. terughalen uit een Online Backup, wat enige tijd gaat duren.

De Hardware RAID set zelf lijkt prima te werken, echter het filesystem is dus enigszins corrupt.

[kroegtijger]

Waarop baseer je dat de hardware-raid prima werkt? Want daar lijkt me je probleem in te zitten eigenlijk...

[EquiNox]

Ik heb een identieke server ernaast staan, met dezelfde RAID controller/firmware enzovoort.

Schijven zo straks overgeplaatst, config aangemaakt, precies dezelfde resultaten.

Het is dus een file-system probleem op een hoger niveau dan RAID. Testdisk 'ziet' namelijk ook gedeeltelijke informatie, echter lijkt erop dat de partition table op een of andere manier corrupt is geraakt.

[kroegtijger]

Kun je nog een image maken van de huidige situatie? Stel dat er iets mis gaat, dan kun je ten minste nog terug...

[EquiNox]

Aangezien alle 'belangrijke' data helaas niet te benaderen is, heeft dat weinig zin. Gelukkig heb ik nog wel een Online Backup van 6 uur voor de crash.

Ik zal eerst een testdisk 'Deep Scan' laten lopen, kijken of hij de originele partitie(tabel) nog kan vinden en eventueel herstellen.

[kroegtijger]

Het gaat niet om het benaderen van de "belangrijke" data, maar als je een bewerking gaat uitvoeren op wat er dan wel op die disk staat en het gaat om wat voor reden mis, kan je uberhaupt wel je hele partitie leeg vegen en opnieuw beginnen... Dan is het toch wel prettig als je terug kan gaan naar je image.

[EquiNox]

Ik heb een backup (Online). Daaruit kan ik alle informatie halen die ik eventueel nodig heb.

Hier gaat de discussie verder ook niet over. Het gaat over het herstellen van de partitie tabel en eventueel data extracten uit een blijkbaar huge pagefile.sys (die ook veilig gesteld is).

Overigens gaat deze server niet meer ingezet worden na dit akkefietje.

[ Voor 11% gewijzigd door EquiNox op 31-07-2012 12:17 ]

[mutsje]

download de tool www.drivesnapshot.de en maak een snapshot van je huidige omgeving. je kan het via bartpe laden en naar een usb disk pompen. Heb je erg snel een live backup van je huidige omgeving. just in case.

[redfoxert]

EquiNox schreef op dinsdag 31 juli 2012 @ 12:13:
Ik heb een backup (Online). Daaruit kan ik alle informatie halen die ik eventueel nodig heb.

Hier gaat de discussie verder ook niet over. Het gaat over het herstellen van de partitie tabel en eventueel data extracten uit een blijkbaar huge pagefile.sys (die ook veilig gesteld is).

Overigens gaat deze server niet meer ingezet worden na dit akkefietje.

Data uit een pagefile halen? Wat zou je in hemelsnaam uit de pagefile willen extracten?

[Gomez12]

EquiNox schreef op dinsdag 31 juli 2012 @ 12:13:
Ik heb een backup (Online). Daaruit kan ik alle informatie halen die ik eventueel nodig heb.

Hier gaat de discussie verder ook niet over. Het gaat over het herstellen van de partitie tabel en eventueel data extracten uit een blijkbaar huge pagefile.sys (die ook veilig gesteld is).

Overigens gaat deze server niet meer ingezet worden na dit akkefietje.

Hoeveel is de data in de pagefile je waard? In theorie valt er wel van alles uit je pagefile te halen qua wat er in het geheugen stond, maar dit weerspiegelt zo goed als nooit hoe het op disk opgeslagen was.

Oftewel eerst mag je 400 Gb gaan extracten uit een pagefile (dure operatie) daarna mag je al die data gaan mappen aan de apps en daarna mag je die gemapte data weer gaan converteren naar een leesbaar formaat zodat je het weer kan importeren.
Ik wil niet zeggen dat het onmogelijk is, maar de backup terugzetten en gewoon je verlies nemen spaart je waarschijnlijk minimaal 50.000 euro uit. Dit zijn geen goedkope trajecten.

[johnkeates]

Gebruik DD gewoon, die rare tooltjes maken problemen altijd erger.

1. Maak image
2. Dupliceer image
3. Laat tools los op image

Je kan inderdaad met testdisk kijken of je de tabel terug kan krijgen, maar je kan ook gewoon met een filecarver op zoek gaan naar data. Je zou ook gewoon met Recuva of software van O&O kunnen kijken wat er wel/niet op je schijf staat.

[Verwijderd]

Niet gewoon een virus dat aan het f*cken is ?

[Coach4All]

Inderdaad, vorige week ook nog een virus gezien dat usermappen hidden en readonly maakte.....

[Trommelrem]

Ik denk dat EquiNox voldoende kennis heeft om te zien dat usermappen hidden/readonly zijn.

Ik ga mee met johnkeates. Maak een image van de huidige situatie en laat de backup terugkomen. Tegen de tijd dat de koerier is gearriveerd is je image klaar. Met Ghost kun je een image naar een VMDK file maken, zodat je in VMware met Snapshots kunt kijken wat er mis is gegaan. Tegelijkertijd kun je beginnen met herstellen van de server. Degene die het eerste af is, die zet je weer in in de productieomgeving.

[kroegtijger]

Als de data die erop stond niet zo heel spannend verder meer is in verband met aanwezige backups, dan zou ik inderdaad een clean install doen. Niet al te moeilijk maken dan, want tijd is geld wat dat betreft. Meestal ben je zo lang bezig om alles weer goed te krijgen, dat je die server allang weer up&running hebt.

Kun je misschien ook direct over naar een 2008-server ipv 2003; ben je al weer iets meer op de toekomst voorbereid.

[EquiNox]

Topic mag gesloten worden, maar toch even update :

Heb alle userdata teruggehaald uit de Online Backup en de System State van de oude server ook succesvol terug kunnen halen en restoren uit deze backup.

AD Domain is dus weer werkend gekregen en direct laten repliceren naar 2 secundaire domain controllers (Win2k8 R2). Vervolgens na een aantal replicatiecycles de 2003 server gedemote en alle data/diensten zijn gemigreerd naar nieuwe Win2K8 R2 servers.

Klamme handjes momenten gehad, maar toch succesvol alles kunnen restoren en maatregelen genomen om dit in de toekomst te voorkomen.