File Server Data schijf vol, maar door wat?

[michaelbar]

Beste mede Tweaker,

Ik weet geen raad meer, maar het lijkt er op dat bijna wekelijks er ca. 250 GB weg gesnoept wordt van de File Server data schijf, maar waar gaat het naartoe? Overigens gebruikt de server Data Deduplication, en heeft het (volgens Data Deduplication) voor ca. 60 extra TBs gezorgd. Samen is er dus ca. 48+60=108TB in beslag op de server, maar ik zie nergens folders ook maar groter dan 2TB, hoe kan dat?

Daarnaast gebruik ik de Volume Shadow Copy service om gebruik te maken van 'previous versions' wat naar mijn weten niet erg handig is, daar de ruimte die daarvoor nodig is, veel te groot is. Opvallend is overigens dat ik ooit ingesteld had dat die service 3TB mocht gebruiken, maar dat die nooit meer dan 50GB gebruikt. Ook via fsutil output zie ik dat er inderdaad max 50GB gebruikt is. Misschien tijd om die uit te schakelen, maar hoe schoon ik dat ook op?

Dan is er de befaamde System Volume Information schijf waar ik niet bij kan, maar hoe groot zou die zijn dmv. alle Data Deduplication data (en evt. shadow copies?). Hoe vind ik dat uit?

Ik heb ook al geprobeerd de "File Server Resource Manager" te gebruiken om nuttige info op te doen, maar toen ik dacht om eens te scannen op nieuwe bestanden stond er dat 'last accessed time' niet aan stond, ook vast voor een goede reden, maar wat is die reden? Ik la siets over een 128 GB limiet, dus ben erg ijveri om die maar weer aan te zetten, er staat dat dat via de registry moet, en dan een herstart vergt. Wat denken jullie?

WinDirStat is een leuke tool, maar vanwege het feit dat deze maar 32bit is, loopt deze vast bij het scannen van gemiddelde mappen, (laat staan dat deze slim genoeg is om met de data dedup info om te gaan) dus ik ben nu afhankelijk het windows properties dialoog...

Er moeten betere manieren zijn om dit te troubleshooten en zodoende was ik erg benieuwd naar jullie meningen.

Ik hoor het uiteraard graag.

Alvast hartelijk bedankt.

Met vriendelijke groeten,

Michael Barton

[Brahiewahiewa]

Denk een ransomware infectie; al je bestanden worden opnieuw, geëncrypt opgeslagen

[Oogje]

Treesize is een handige tool om een beeld te krijgen.

[Amens]

Inderdaad, download Treesize Free en je weet precies wat er aan de hand is.

[michaelbar]

Hoi,

Treesize Free heeft geen Dedupe mogelijkheden:



Wat bedoelt @boelkloedig met zijn opmerking?

Alvast bedankt allen.

[Question Mark]

michaelbar schreef op dinsdag 23 februari 2021 @ 10:20:
Beste mede Tweaker,

Ik weet geen raad meer, maar het lijkt er op dat bijna wekelijks er ca. 250 GB weg gesnoept wordt van de File Server data schijf, maar waar gaat het naartoe?

Wat bedoel je met weggesnoept? Hoeveelheid vrije schijfruimte wordt continue minder, komt dat niet gewoon omdat een medewerker(s) data plaatst?

Hoeveel memory zit er overigens in die server? Een volume van 108TB vereist al minimaal 5,7 GB vrij memory voor zijn dedup taken alleen. Optimaal, heeft een server met dedup overigens 1 GB per TB storage vrij.

michaelbar schreef op dinsdag 23 februari 2021 @ 15:42:
Treesize Free heeft geen Dedupe mogelijkheden:

Jawel hoor, kost alleen twee tientjes. Daarnaast kun je overwegen om de 30 dagen trial versie in te zetten.

Overigens kan deze functie ervoor zorgen dat een duplicate file vervangen wordt door een hardlink, that's all. Ik zou gewoon treesize eens een weekend laten draaien, en het rapport opslaan, en het weekend daarop nog een keer. Dan kun je kijken waar het verschil zit.

[Reptile209]

michaelbar schreef op dinsdag 23 februari 2021 @ 15:42:
[...]
Wat bedoelt @boelkloedig met zijn opmerking?

Alvast bedankt allen.

Je bedoelt @Brahiewahiewa
Die bedoelt dat je mogelijk een infectie met een ransomware-virus hebt. Als dat bezig is om je bestanden één voor één te encrypten, dan pikt je backup-systeem dat op als een change. En dus worden je shadow-copies e.d. steeds groter en groter. En over een tijdje vreet hij de key op en mag je gaan betalen...

[michaelbar]

Top here, tot nu toe de data gevonden dankzij TreeSize

Ik heb de trial van TreeSize geinstalleer, het lijkt er op dat het meerendeel van de data in de 'System Volume Information' map zit, daar slaat schijnbaar Data Dedupe de primaire versie van bestanden op, kan dat kloppen? Overigens zou ik willen weten of die bestanden in te zien zijn, momenteel chunks van 1 GB met een .ccc extentie ed. Iemand ervaring met het opschonen? Snap dat dat automatisch gebeuren moet aan de hand van garbage collection en scrubbing, maar hoppte dat iemand mij wegwijs kon maken.

[Paradox]

Uhhhh. Daar staat dus je data in. Ik zou niet echt opschonen daar..

Verder geen locatie waar je verbruik kan zitten?
Wat voor een files staan erop?

[Brahiewahiewa]

michaelbar schreef op woensdag 24 februari 2021 @ 00:30:
... chunks van 1 GB met een .ccc extentie ...

Dit duidt op teslacrypt ransomware

[Luchtbakker]

Brahiewahiewa schreef op woensdag 24 februari 2021 @ 07:50:
[...]

Dit duidt op teslacrypt ransomware

Hoe kom je daar precies bij? Het hoeft namelijk niet.

The CCC file format is used for so-called cache files that are used by a program called Dev-C++

[Voor 3% gewijzigd door Luchtbakker op 24-02-2021 07:59]

[HKLM_]

Eens met @Brahiewahiewa bij .ccc files heb je kans op teslacrypt v5 ik zou de file server eens zeer grondig gaan onderzoeken of die .ccc wel safe is.

https://www.bleepingcompu...ware-information#versions

[Voor 125% gewijzigd door HKLM_ op 24-02-2021 08:02]

[Oogje]

Volgens mij zijn ccc files in de System Volume Information folder nu niet direct een teken van ransomware.

Het handmatig opschonen in die folder kan ik ten zeerste afraden als je niet precies weet wat je aan t doen bent.

Ik zou me verdiepen in hoe Dedup werkt, of het zinvol is en de boel hoort op te schonen etc, als ik ff snel google kom ik de wereld aan info tegen zoals bv deze: https://community.spicewo...dup-chunkstore-is-massive

[michaelbar]

Ok, problemen grotendeels opgelost. Ik heb in het verleden Garbage collection laten uitvoeren, en die had 1 uur voordat die moest stoppen ivm. de volgende klus, namelijk scrubbing. Dus met andere woorden, m'n schedule was screwed up. Ik heb intussen 4TB extra vrij weten te maken, de volle opslag is al een stuk leger. Hartelijk dank allen, dit post kan worden gesloten. Fijne dag.

[DB LucF]

Treesize Free kan wel overweg met Windows deduplicated volumes, echter dan moet je een instelling van de view aanpassen:
"To make TreeSize show the original file and folder sizes again, simply switch the view mode from "Allocated Space" to "Size". The allocated size shown in TreeSize is the disk space you would obtain by deleting the corresponding file"
https://knowledgebase.jam-software.com/6807
Dan zie je nog steeds die gigantische "System Volume Information" maar daar los van ook de losse folders.
Inderdaad, de .ccc files horen bij de chunkstore en zijn geen ransomware.