(Intel Raid 5) TestDisk möchte keine (Truecrypt-) Partition hinzufügen

[raid5guy]

Hallo Ihr Lieben,

User Fiona hat mich mit meinem Anliegen (http://forum.cgsecurity.org/phpBB3/add-partition-ignores-my-sector-input-t815.html) von CGSecurity hier her geschickt. Ich versuche es nochmal in Kürze zu beschreiben:

Über mein GA-Z86XP-UD3 Motherboard nutzte ich ein Intel Software Raid 5. Es sind vier 2TB Platten, werden also zu 5.5 GiB. Davon war das 1. TB eine Truecrypt Partition, das 2. TB eine unverschlüsselte NTFS, die 3., mit 3,5 TB den Rest einnehmende, Partition war ebenfalls mit Truecrypt verschlüsselt. Beide TC-Partitionen wurden als system favourite volume geladen.

Irgendwann sind zwei der vier Platten aus dem Array geflogen. Im Option Rom standen zwei als Non-Member Disk oder so ähnlich drin. Im Intel Storage Member waren ebenfalls, trotz gleicher Seriennummer etc, zwei aus dem Raid verloren und nur noch als einzelne Platten zu sehen.

In einem englischen Forum laß ich dass man, um es zu fixen, das Raid auflösen und in gleicher Reihenfolger wieder herstellen muss um anschließend mit TestDisk die Partitionen wieder herzustellen. Gesagt getan.

Der Ist-Zustand:
Ich wusste von jeder der drei Partitionen bei welchem Sektor (GPT) sie beginnt und aufhört. Habe diese dann mit Testdisk, als erstes für die unverschlüsselte Partition wiederhergestellt, die war dann nach einem Reboot sofort da. Dasselbe habe ich dann für die erste, verschlüsselte, gemacht. Ich kann diese auch auf anhieb in Truecrypt mounten und auf alle Daten zugreifen. Nur als ich die Daten der dritten adden wollte ging es nicht. Immer wenn ich den Start und Endsektor eingebe, werden ganz andere Zahlenwerte übernommen. Da hänge ich also, zwei von dreien sind wieder heile, wie mache ich hier weiter?

Ich habe auch versucht mit Testcrypt nach der letzten zu suchen. Nach dem ersten "Next" Button ist aber alles auf inaktiv gestellt, ich kann da keinen Bereich zur suche eingeben. Nach dem zweiten klick auf "Next" habe ich die Wahl zu Automatic und co. Gebe ich da die LBA Werte ein, sucht er trotzdem von 0 an und zeigt mir 3500 Tage zur Suche an. Habe jetzt TestDisk mal nach Intel Partitionen suchen lassen, anstelle von EFI/GPT, in zwei Tagen weiß ich da mehr.

Vielen Dank für jeden Hinweis oder sonstige Hilfe!

 

[Simpson474]

Wo hattest du die LBA-Werte bei TestCrypt eingegeben? Diese müssen in den "Custom Analyzer" und nicht oben in den "Volume Analyzer". Ich weiß die Bedienung ist im Moment katastrophal, wenn ich immer mal wieder kurz dazu komme arbeite ich im Moment an einer komplett überarbeiteten Oberfläche. Das Problem ist nur, dass du auch mit TestCrypt nur die Daten der Partition angezeigt bekommst, die du ja wohl eh schon notiert hast - bis auf die Partition in TestCrypt zu mounten dürfte das also auch kaum Vorteile bringen. Beim MBR könnte man jetzt einfach mit dem Hex-Editor die paar Byte per Hand schreiben - GPT macht die Sache hier nicht einfacher. Bekommst du dein RAID unter Linux zum Laufen (ich weiß nur, dass es nicht immer ganz einfach war, ein Intel Fake-RAID unter Linux zu betreiben)? Wenn ja, "gdisk" (Nachfolger von fdisk für GPT) sollte die Partitionen frei anlegen können. Ansonsten könnte man das Linux auch in einer virtuellen Maschine unter Windows starten und direkten Zugriff auf den GPT-Datenträger geben.

TestDisk hingegen wird garantiert keine TrueCrypt-Partition finden - diese sind vollständig transparent und nicht von Zufallsdaten zu unterscheiden.

 

[raid5guy]

Hi, Danke für die Prompte Antwort und deine Arbeit. Ich hatte die Werte beim Custom Analyzer eingegeben. Habe mal Screenshots davon gemacht, kannst du unter: http://imgur.com/a/vYW2q einsehen.
Gdisk zu nutzen versuche ich auch schon, die meisten Linux Live CDs booten nicht, meistens wegen des Raids , weil sie /dev/sdbX dann nicht mounten können oder wegen der NVidia GTX 570, aber ich versuche es weiterhin.
Gibt es Tools die mir zum Ausrechnen der GPT Values via HxD oder so helfen können?

 

[Ernst@at]

Im CGI-Forum schreibst Du

I want to add 4295174144 as startsector (which is perfectly in range of 1-11721072639) but after hitting enter he ignores my input and puts 206848

Das ist um genau 2^32 zu wenig, daher entweder ein Fehler oder das Ergebnis der Speicherung in einem 32bit-Wert, wie es auch im MBR passiert.

Irgendwann sind zwei der vier Platten aus dem Array geflogen.

Das Problem wird hier zuhauf repariert, das passiert mit GPT-Volumes wenn der Controller (nach div Ereignissen) nicht mehr auf RAID steht und die Platte einzeln ansprechbar werden. Dann zerstört Windows durch Schreiben eines neuen GPT-Mirrors hinten auf der ersten Memberplatte und ev. auch noch auf der Letzten, wenn dort das Gleiche als Parity steht, die RAID-Metainformationen.

GA-Z86XP-UD3 Motherboard

Dabei kann es zu weiteren Komplikationen kommen, falls ein BIOS-Backup auf die Platten geschrieben wird. Per Default sollte das bei Deinem Modell disabled sein, wenn nicht, wird auf einer der Memberplatten sowas angelegt und die Platte um ein paar MB verkleinert. Damit sind zwar auch die RAID-Metadaten futsch, das größere Übel ist aber, das dann uU die Größe des RAID-Volumes ebenfalls nach Neuanlegen verkleinert ist, womit das Ende der letzten Partition nicht mehr angesprochen werden kann.

Gibt es Tools die mir zum Ausrechnen der GPT Values via HxD oder so helfen können?

Das nicht, ich erzeuge nötigenfalls neue GPT-Informationen per Hand, die werden dann einfach mit HxD auf die Platte geklatscht.
Partitionierungstools löschen meist auch den ersten Sektor, was nicht im Sinn der Sache ist.
Schreib mal, wieviele Sektoren das RAID-Volume hat (of ... Wert rechts des Sektoreingabefeldes in der HxD-Menüleiste, nachdem Du die richtige physical hard disk geöffnet hast). Sind das die 11721072640 ?
Partitionbeginn soll ja wohl 4295174144 sein, und der Endwert ist wie?

 

[raid5guy]

Hallo Ernst,

auch an Dich vielen Dank im Vorraus! Wie errechnest du die Sachen per Hand genau, Bleistift & Papier? Hatte genau dasselbe vor und Wiki ließ mir dann doch zuviele Fragen offen.

HxD zeigt mir genau deinen Wert an, 11721072640. Ich hatte mir als Endwert 11721072639 notiert. Das macht mit dem Mehrwissen mittlerweile nicht viel Sinn. Der Letzte Sektor der anscheinend zum verschlüsseln genutzt wurde ist: 11721072606. Würde auch passen, ein Sektor weiter, 11721072607 wäre LBA-33 und der Sektor ist 1:1 identisch mit Sektor 2.

Nochmal zum Startsektor, bin gerade mit HxD mal hingesprungen (4295174144). Dieser Sektor ist komplett leer (0x00). Ein Sektor vorher endet genau die NTFS Partition die funktioniert, ein Sektor später (4295174145) beginnen Daten von TC. Jetzt bin ich unsicher ob der richtige Startsektor nicht 4295174145 anstelle ..44 ist.

Habe von beiden Fällen ein Bild angehängt, hoffe meine Erklärungen waren nicht zu umständlich.

---

Noch eine Frage, brauchst du Sektordaten der ersten zwei Partitionen auch noch?

 

[Ernst@at]

Ich arbeite gleich von dem weg, was bisher funktioniert.

Spoiler: 1. extrahieren MBR/GPT Info

HxD Aufruf unter User mit Administratorrechten (oder rechtklick/ausführen als... Administrator)

===== open physical hard disk
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" NICHT entfernen)
Im HxD sind die physical hard disk x Nummern um 1 höher als in der Datenträgerverwaltung angezeigte Datenträgernummern

===== extract MBR/GPT
- Menü: Edit/select block/start-offset: 0 , end-offset: 41FF, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled.")
- in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK

===== extract GPT Mirr
- Reiter "hard disk x" anklicken
- Menü: Edit/select block/start-offset: 57542BFBE00 , end-offset: 57542BFFFFF, hex, OK (mit copy&paste zwecks Tippfehlervermeidung übertragen)
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled 1" anklicken, nicht in die Anzeige klicken!
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MBRGPT.txt" /speichern

- HxD beenden
Den .txt file gezippt in den Anhang stellen

Nochmal zum Startsektor, bin gerade mit HxD mal hingesprungen (4295174144). Dieser Sektor ist komplett leer (0x00). Ein Sektor vorher endet genau die NTFS Partition die funktioniert, ein Sektor später (4295174145) beginnen Daten von TC. Jetzt bin ich unsicher ob der richtige Startsektor nicht 4295174145 anstelle ..44 ist.

Ich würde eher meinen, da beim Partitionieren nahtlos an 1MB Alignments gelagert wird, dass ein Partitionierungsversuch den 1. Sektor plattgemacht hat, wo der TC-Header eigentlich beginnt.

 

[raid5guy]

Args, befürchte du hast recht, wäre wirklich sinnig. So ein mist.
Anbei die MBR/GPT Datei wie gewünscht.

Vielen Dank!

 

[Ernst@at]

so siehts derzeit aus

Spoiler: MBR/GPT Info

[FONT="Lucida Console"][SIZE="3"]Analyzing: \\Pc10\shareddocs\raid5guy TC RAID5\mbrgpt.txt

===== MBR INFORMATION ===== at LBA=0
000001FE 55AA                Boot signature='55AA'... valid
.                            ... Partition Table entry 1 ...
000001C2 EE                  Partition Type: GUID Partition
000001BE 00                  Boot indicator: inactive
000001BF 000200              Start CC-HH-SS:    0-000-02
000001C3 FEFFFF              End   CC-HH-SS: 1023-254-63 (not CHS addressable)
000001C6 01000000            Start    (LBA):           1 0-0-2
000001CA FFFFFFFF            Size  (Blocks):  4294967295 267349-89-3 2097151MiB  2048.00GiB
.                            ... Partition Table entry 2 ...
000001D2 00                  Partition Type: unused partition entry
.                            ... Partition Table entry 3 ...
000001E2 00                  Partition Type: unused partition entry
.                            ... Partition Table entry 4 ...
000001F2 00                  Partition Type: unused partition entry

===== GPT INFORMATION =====   (at LBA= 1) 512
. Header info
00000200 4546492050415254    Signature: 'EFI PART'
00000208 00000100            Version: 1.0
0000020C 5C000000            Hdrlength: 92
00000210 C6187278            Header CRC32: crc verification not yet coded
00000214 00000000            (reserved)
00000218 0100000000000000    current LBA: 1
00000220 FF5FA1BA02000000    backup  LBA: 11721072639
00000228 2200000000000000    firstuse LBA: 34
00000230 DE5FA1BA02000000    lastuse  LBA: 11721072606
00000238 8CFD7434E233463A    . Disk
00000240 BA43BA4BC6732123    .. GUID: 3474FD8C-33E2-3A46-BA43-BA4BC6732123
00000248 0200000000000000    PE start LBA: 2
00000250 80000000            Number of PEs: 128
00000254 80000000            Size of PE: 128
00000258 87D0226C            PE CRC32: crc verification not yet coded
0000025C 00..                start of reserved area ..
000003FF     ..00            .. end of reserved area

===== PE INFORMATION =====   (start LBA= 2) 512
. Partition entry 1
00000400 A2A0D0EBE5B93344    . partition type
00000408 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00000410 5CB8A5CA29704077    . unique partition
00000418 8D2EC02EF3E92CCA    .. GUID: CAA5B85C-7029-7740-8D2E-C02EF3E92CCA
00000420 0008000000000000    Part first LBA: 2048
00000428 FF07008000000000    Part last  LBA: 2147485695 1024.00GiB
00000430 0000000000000080    Attribute flags:
00000438 0000000000000000    . Partition Name:
00000440 0000000000000000    ..
00000448 0000000000000000    ...
00000450 0000000000000000    ....
00000458 0000000000000000    .....
00000460 0000000000000000    ......
00000468 0000000000000000    .......
00000470 0000000000000000    ........
00000478 0000000000000000    .........'....................................'
. Partition entry 2
00000480 A2A0D0EBE5B93344    . partition type
00000488 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00000490 5D31489E82A8452B    . unique partition
00000498 8B9955BB4C47F761    .. GUID: 9E48315D-A882-2B45-8B99-55BB4C47F761
000004A0 0008008000000000    Part first LBA: 2147485696
000004A8 FF27030001000000    Part last  LBA: 4295174143 1024.10GiB
000004B0 0000000000000000    Attribute flags:
000004B8 0000000000000000    . Partition Name:
000004C0 0000000000000000    ..
000004C8 0000000000000000    ...
000004D0 0000000000000000    ....
000004D8 0000000000000000    .....
000004E0 0000000000000000    ......
000004E8 0000000000000000    .......
000004F0 0000000000000000    ........
000004F8 0000000000000000    .........'....................................'
. Partition entry 3-128  *** unused ***

===== GPTMirr INFORMATION =====   (at LBA= 11721072639) 512
. Header info
00008200 4546492050415254    Signature: 'EFI PART'
00008208 00000100            Version: 1.0
0000820C 5C000000            Hdrlength: 92
00008210 16BFF559            Header CRC32: crc verification not yet coded
00008214 00000000            (reserved)
00008218 FF5FA1BA02000000    current LBA: 11721072639
00008220 0100000000000000    backup  LBA: 1
00008228 2200000000000000    firstuse LBA: 34
00008230 DE5FA1BA02000000    lastuse  LBA: 11721072606
00008238 8CFD7434E233463A    . Disk
00008240 BA43BA4BC6732123    .. GUID: 3474FD8C-33E2-3A46-BA43-BA4BC6732123
00008248 DF5FA1BA02000000    PE start LBA: 11721072607
00008250 80000000            Number of PEs: 128
00008254 80000000            Size of PE: 128
00008258 87D0226C            PE CRC32: crc verification not yet coded
0000825C 00..                start of reserved area ..
000003FF     ..00            .. end of reserved area

===== PEMirr INFORMATION =====   (start LBA= 11721072607) 512
. Partition entry 1
00004200 A2A0D0EBE5B93344    . partition type
00004208 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00004210 5CB8A5CA29704077    . unique partition
00004218 8D2EC02EF3E92CCA    .. GUID: CAA5B85C-7029-7740-8D2E-C02EF3E92CCA
00004220 0008000000000000    Part first LBA: 2048
00004228 FF07008000000000    Part last  LBA: 2147485695 1024.00GiB
00004230 0000000000000080    Attribute flags:
00004238 0000000000000000    . Partition Name:
00004240 0000000000000000    ..
00004248 0000000000000000    ...
00004250 0000000000000000    ....
00004258 0000000000000000    .....
00004260 0000000000000000    ......
00004268 0000000000000000    .......
00004270 0000000000000000    ........
00004278 0000000000000000    .........'....................................'
. Partition entry 2
00004280 A2A0D0EBE5B93344    . partition type
00004288 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00004290 5D31489E82A8452B    . unique partition
00004298 8B9955BB4C47F761    .. GUID: 9E48315D-A882-2B45-8B99-55BB4C47F761
000042A0 0008008000000000    Part first LBA: 2147485696
000042A8 FF27030001000000    Part last  LBA: 4295174143 1024.10GiB
000042B0 0000000000000000    Attribute flags:
000042B8 0000000000000000    . Partition Name:
000042C0 0000000000000000    ..
000042C8 0000000000000000    ...
000042D0 0000000000000000    ....
000042D8 0000000000000000    .....
000042E0 0000000000000000    ......
000042E8 0000000000000000    .......
000042F0 0000000000000000    ........
000042F8 0000000000000000    .........'....................................'
. Partition entry 3-128  *** unused ***
[/SIZE][/FONT]

ich muss mal überprüfen, ob Dein RAID5 nach Neudefinition nicht kleiner als vorher geworden sein könnte. Intel hält scih da unterschiedliche Alignments je nach Definition per BIOS-BootROM oder RST Manager.
Damit wäre dann auch der TC-Header Mirror am Ende auch besch...ädigt, weil der neue GPT Mirror dann da drauf liegen könnte bzw er ist gar nicht mehr sichtbar, weil er jetzt außerhalb des RAID-Bereiches liegt.
Üblicherweise endet die letzte Partition am vorherigen 1MB-alignment
Muss ein wenig in den Annalen der früheren Fälle kramen, um nach Vergleichswerten Ausschau zu halten - melde mich am Nachmittag wieder

Ergänzung (10. Juli 2012)

So, da bin ich wieder. Die Größe des RAID-Volumes mit 11721072640 Sektoren scheint plausibel. Durch die Belegung der letzten 33 Sektoren durch den GPT Mirror ist daher als Ende der Partition 1 Sektor vor dem darunterliegendem 1MB-Alignement der Sektor 11721070591.

Ich erstell Dir mal eine neue GPT mit diesen Daten. Dauert noch ein paar Minuten...

so siehts jetzt aus:

Spoiler: MBR/GPT Info

[FONT="Lucida Console"][SIZE="3"]Analyzing: \\Pc10\shareddocs\raid5guy TC RAID5\mbrgptnew.txt

===== MBR INFORMATION ===== at LBA=0
000001FE 55AA                Boot signature='55AA'... valid
.                            ... Partition Table entry 1 ...
000001C2 EE                  Partition Type: GUID Partition
000001BE 00                  Boot indicator: inactive
000001BF 000200              Start CC-HH-SS:    0-000-02
000001C3 FEFFFF              End   CC-HH-SS: 1023-254-63 (not CHS addressable)
000001C6 01000000            Start    (LBA):           1 0-0-2
000001CA FFFFFFFF            Size  (Blocks):  4294967295 267349-89-3 2097151MiB  2048.00GiB
.                            ... Partition Table entry 2 ...
000001D2 00                  Partition Type: unused partition entry
.                            ... Partition Table entry 3 ...
000001E2 00                  Partition Type: unused partition entry
.                            ... Partition Table entry 4 ...
000001F2 00                  Partition Type: unused partition entry

===== GPT INFORMATION =====   (at LBA= 1) 512
. Header info
00000200 4546492050415254    Signature: 'EFI PART'
00000208 00000100            Version: 1.0
0000020C 5C000000            Hdrlength: 92
00000210 93FDF4E1            Header CRC32: crc verification not yet coded
00000214 00000000            (reserved)
00000218 0100000000000000    current LBA: 1
00000220 FF5FA1BA02000000    backup  LBA: 11721072639
00000228 2200000000000000    firstuse LBA: 34
00000230 DE5FA1BA02000000    lastuse  LBA: 11721072606
00000238 8CFD7434E233463A    . Disk
00000240 BA43BA4BC6732123    .. GUID: 3474FD8C-33E2-3A46-BA43-BA4BC6732123
00000248 0200000000000000    PE start LBA: 2
00000250 80000000            Number of PEs: 128
00000254 80000000            Size of PE: 128
00000258 76FECD4D            PE CRC32: crc verification not yet coded
0000025C 00..                start of reserved area ..
000003FF     ..00            .. end of reserved area

===== PE INFORMATION =====   (start LBA= 2) 512
. Partition entry 1
00000400 A2A0D0EBE5B93344    . partition type
00000408 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00000410 5CB8A5CA29704077    . unique partition
00000418 8D2EC02EF3E92CCA    .. GUID: CAA5B85C-7029-7740-8D2E-C02EF3E92CCA
00000420 0008000000000000    Part first LBA: 2048
00000428 FF07008000000000    Part last  LBA: 2147485695 1024.00GiB
00000430 0000000000000080    Attribute flags:
00000438 4200610073006900    . Partition Name:
00000440 6300200064006100    ..
00000448 7400610020007000    ...
00000450 6100720074006900    ....
00000458 740069006F006E00    .....
00000460 0000000000000000    ......
00000468 0000000000000000    .......
00000470 0000000000000000    ........
00000478 0000000000000000    .........'Basic data partition................'
. Partition entry 2
00000480 A2A0D0EBE5B93344    . partition type
00000488 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00000490 5D31489E82A8452B    . unique partition
00000498 8B9955BB4C47F761    .. GUID: 9E48315D-A882-2B45-8B99-55BB4C47F761
000004A0 0008008000000000    Part first LBA: 2147485696
000004A8 FF27030001000000    Part last  LBA: 4295174143 1024.10GiB
000004B0 0000000000000000    Attribute flags:
000004B8 4200610073006900    . Partition Name:
000004C0 6300200064006100    ..
000004C8 7400610020007000    ...
000004D0 6100720074006900    ....
000004D8 740069006F006E00    .....
000004E0 0000000000000000    ......
000004E8 0000000000000000    .......
000004F0 0000000000000000    ........
000004F8 0000000000000000    .........'Basic data partition................'
. Partition entry 3
00000500 A2A0D0EBE5B93344    . partition type
00000508 87C068B6B72699C7    .. GUID: EBD0A0A2-B9E5-4433-87C0-68B6B72699C7
00000510 33352C5CFD537743    . unique partition
00000518 970BD4C5F5ED9C1B    .. GUID: 5C2C3533-53FD-4377-970B-D4C5F5ED9C1B
00000520 0028030001000000    Part first LBA: 4295174144
00000528 FF57A1BA02000000    Part last  LBA: 11721070591 3540.94GiB
00000530 0000000000000000    Attribute flags:
00000538 4200610073006900    . Partition Name:
00000540 6300200064006100    ..
00000548 7400610020007000    ...
00000550 6100720074006900    ....
00000558 740069006F006E00    .....
00000560 0000000000000000    ......
00000568 0000000000000000    .......
00000570 0000000000000000    ........
00000578 0000000000000000    .........'Basic data partition................'
. Partition entry 4-128  *** unused ***
[/SIZE][/FONT]

Entzippe die im Anhang befindliche Datei

Spoiler: Restore GPT Info

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)
========= Überprüfen fileseizechange-popup
Menü: Extras/Options... /General: Hier muss bei "confirm insertion/deletion of bytes" das Häkchen gesetzt sein.
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" diesmal schon entfernen)
In der Menüzeile rechts neben dem Sektoreingabefeld muss "of 7423283200 11721072640" stehen - wenn nicht, bist Du auf einer falschen Platte - Abbrechen!

========= Restore GPT Mirr
- Menü: Edit/select block/start-offset: 57542BFBE00 ; end-offset: 57542BFFFFF , hex, OK (Werte zur Tippfehlervermeidung mit copy&paste übertragen)
- Menü: File/Open... die entpackte Datei gptmirrnew.bin aus dem Anhang
- Strg+A Markiert alles
- Strg+C (Kopiert in die Zwischenablage)
- Menü: File/Close (gptmirrnew.bin)
- Strg+V (Überträgt aus der Zwischenablage) Wenn Fenster Längenänderung aufpoppt, Abbrechen!
- Menü: File/Save (schreibt es auf die Platte zurück)

========= Restore MBR/GPT
- Menü: Edit/select block/start-offset: 0 ; end-offset: 43FF , hex, OK
- Menü: File/Open... die entpackte Datei mbrgptnew.bin aus dem Anhang
- Strg+A Markiert alles
- Strg+C (Kopiert in die Zwischenablage)
- Menü: File/Close (mbrgptnew.bin)
- Strg+V (Überträgt aus der Zwischenablage) Wenn Fenster Längenänderung aufpoppt, Abbrechen!
- Menü: File/Save (schreibt es auf die Platte zurück)
- Menü: File/Close

in der Datenträgerverwaltung Menü: Aktion- Datenträger neu einlesen durchführen.
Daraufhin sollte die Partition samt LW-Buchstaben angezeigt werden. Falls nicht, Neustart

Dann sieh mal, ob Du die Partition im TC mit dem TC-Mirror mounten kannst, der sollte unbeschädigt sein...

 

[raid5guy]

Hallo Ernst,

In der Menüzeile rechts neben dem Sektoreingabefeld muss "of 7423283200" stehen - wenn nicht, bist Du auf einer falschen Platte - Abbrechen!

bei mir steht bei der Platte: "von 11721072640" C&P Bug? Habe erstmal nicht weitergemacht.

 

[Ernst@at]

Völlig richtig. Hab es oben ausgebessert.

 

[raid5guy]

Nochmals vielen lieben Dank.

Es erscheint: "Incorrect passwort or not a TrueCrypt Volume". TC Version ist 7.1 sollte daher den Backupheader haben. Ich habe unter den Mount options bei "Use backup header if embedded in volume" ein Häkchen gesetzt.

 

[Ernst@at]

Hier kann vielleicht Simpson474 weiterhelfen, ob das am Ende der Partition tatsächlich der Mirror ist. Womit wurde denn die Partitionierung ursprünglich durchgeführt?
In der Win Datenträgerverwaltung oder mit was anderem zB gparted?
Die jetzt eingesetzten Partitionwerte gelten für eine Partitionierung unter Win bzw diskpart.
Andere Tools können da abweichend arbeiten.
Auch ist mir aufgefallen, dass im GPT-PE der ersten Partition das Flag-bit 0 mit der Bedeutung
"System partition (disk partitioning utilities must preserve the partition as is)"
gesetzt ist - ist das bei TC-Partitions Standard?

 

[raid5guy]

Oh, das weiß ich leider nicht mehr. Ich denke Win diskpart, da ich unter Linux das Raid nie gemountet habe. Auch kann ich zu dem Partition-Bit nichts sagen. Falls sich der Simpson474 nicht meldet schreibe ich ihn die Tage an.

Ich hätte da noch ein paar andere Fragen, deren Antworten vielleicht auch noch andere interessieren könnten. Da so ein Intel Storage Raid anscheinend öfter macken zeigt. Wie macht man es denn richtig(er)? Externes NAS (was ist dann empfehlenswert wenn man die Daten verschlüsseln möchte?) oder lieber einen HW-Raidcontroller? Wie sorgt man dafür dass das Array auch nach einem Biosupdate (anscheinend Hauptgrund bei vielen) oder sonstigem in richtiger Verfassung bleibt? Vorher den Platten die Spannung abknipsen? Fragen über fragen.

Dir nochmals, vielen Dank, für die Hilfe, Müh & Aufwand. Diese Zeilen werden dem leider nicht gerecht, der Dank, ist nicht in Worte zu fassen, ich verbeuge mich.

 

[Ernst@at]

Ein paar Ideen der letzten Zeit dazu, wie man onboard RAIDs sicher betreiben kann, hab ich hier mal abgelassen
zu den Ausfallgründen hier referiert
und meinen Senf über Sinn und Unsinn von Aussagen zu RAID0 gegeben.
Im Laufe der Jahre sind da noch ein paar Ergüsse zur RAID5 Performance und anderen Themen angefallen, welche über die Forumssuche auffindbar sind.
Vielleicht mach ich mal ein gesammeltes Werk daraus...

Bei NAS-Systemen kann das gleiche passieren und ist mitunter schwieriger zu diagnostizieren und zu beheben, geringste Handlingfehler können durch die interne Logik des Controllers/OS zum Totalverlust führen. Jedes RAID oder NAS ist genauso unsicher wie eine Einzelplatte ohne Backup.

Ergänzung (11. Juli 2012)

Es kann natürlich auch sein, dass das TC-Mount nicht funktioniert, weil
- die Partition nicht in der max. verbeibenden Größe definiert wurde, sondern ein runder GB-Wert und daher kleiner als jetzt definiert. Vielleicht findet Testcrypt ja doch was da hinten.
- oder das RAID-Array früher um 6144 Sektoren größer war. Dagegen spricht, dass unterhalb der derzeitigen GPT-Mirrordaten längere Sequenzen von 00en zu finden sind.

 

[Simpson474]

Ich hab deinen zweiten Post irgendwie übersehen, du musst in TestCrypt den Bereich um die Partitionsgrenzen absuchen und nicht die komplette Partition - wobei 10 Jahre voraussichtliche Analysezeit irgendwie auch beeindruckend klingt. Versuch mal die folgenden zwei Bereiche:
429516411-429518411
11721071639-11721073639

EDIT: Partitionstypen, Flags, usw. sind TrueCrypt egal - wichtig ist einzig und allein dass die Partition exakt bei dem ersten Sektor des TrueCrypt-Volumes beginnt und im Falle eines zu benutzenden Backup-Headers exakt am letzten Sektor des TrueCrypt-Volumes endet. Bei einem normalen TrueCrypt-Header darf die Partition auch größter sein als ursprünglich erstellt, so lange diese beim richtigen Sektor beginnt.

 

[Ernst@at]

Leider haben wir schon festgestellt, dass der erste Sektor der Partition (wahrscheinlich durch einen versuchten Partitionierungsvorgang) auf 512 x 00en gelöscht wurde, wie es so in Windows eigen ist. Also wird die Suche vorne eher erfolglos sein

Hinten die Suche ab 11721070592 bis zum Ende und wenn das nichts bringt, dann den Bereich darunter

 

[Simpson474]

Man sollte vielleicht doch mal alles lesen

Ich hoffe jetzt wirklich, dass die Formatierung der 3,5TB Partition damals nicht abgebrochen wurde - in diesem Fall erstellt TrueCrypt nämlich durch einen Bug keinen Backup-Header. Außerdem solltest du das Passwort mit dem US-Tastaturlayout eintippen, da dies bei System Favorite Volumes zum Einsatz kommt.

 

[raid5guy]

"Volume was successfully mounted as F:\"

Explorer an, auf F:\ geklickt, und dann erstmal 5min das Adrenalin und Serotonin genossen.
Es ist alles vorhanden. Hier schonmal unendliche Verbundenheit und Bitte, euch zu Melden wenn Ihr mal in Hamburg seid. Ich denke mir dann gerne etwas aus.

Wie/Was kann ich machen um meine in Testcrypt gefundene Partition wieder mit TC mounten zu können? Anbei ein Bild von Testcrypt mit den Sektorinfos.

 

[Simpson474]

Die Daten für einen MBR könnte ich dir zusammenbauen - bezüglich GPT habe ich so gut wie keine Ahnung: wahrscheinlich passen die aktuellen Partitionsgrenzen noch nicht genau zum wirklichen TrueCrypt-Volume. Du könntest noch einen Screenshot von TestCrypt machen, vielleicht kann Ernst@at die Daten ja noch korrigieren.

EDIT: OK, Screenshot ist ja schon da - wobei mir da einfällt, ich hatte schon länger vor die Daten hier zusätzlich als LBA-Adressen auszugeben, C/H/S ist ja bei GPT nicht wirklich brauchbar

 

[Ernst@at]

Wenn Du mir noch verrätst, wie das CHS-Ausgabeformat bei Dir lautet
cyl*16065+head*63+sector cyl(head mit 0, sector mit 1 beginnend?

dann wird sich das ja wohl basteln lassen.

ah ja-
(729603*16065)+(3*63)+(1-1)= 11721072384
(267362*16065)+(57*63)+(24-1)= 4295174144
(729603*16065)+(7*63)+(4-1)= 11721072639

und wo wäre dann Partition Beginn und Ende? die beiden Letzten?