[RAID5] Probleme beim Rekonstruieren

[dani.boese]

Hallo,

habe z.Zt einen alten Server bei mir, bei dem der RAID Controller abgeraucht ist.
Controller ist irgendein HP NetRAID (relativ alt aus einem NetServer LH3000r).

Das RAID5 besteht / bestand aus 5x 36,4 GB SCSI HDDs.

Problem bei der ganzen Sache:
Die Konfiguration des RAIDs ist nicht bekannt.

Nach meiner Analyse sollte zumindest die StripeSize mit 64KB (128 Sektoren) fest stehen.

Mein Weg/Versuch ist es das RAID in R-Studio zu Rekonstruieren, was bis jetzt eigentlich relativ gut aussah, aber irgendwas doch nicht so ist, wie es sein müsste.

Es werden zwar alle 4 Partitionen angezeigt, jedoch ist die erste (FAT) nicht brauchbar von der Verzeichnisstruktur.

2. Partition lässt sich nicht öffnen.

3. und 4. Partition lassen ich öffnen / Verzeichnisstruktur ist da aber manche Einträge (bzw. Ordner im Baum) doppelt, jedoch sind die wiederhergestellten Daten teilweise korrupt.



Von den 5 HDDs habe ich mir RAW Images angefertigt, mit welchen ich auch im Moment arbeite, die Images sind aber fehlerfrei.

 

[quakegott]

wie war die konsistenz vom raid bevor der controller den löffel abgegeben hat? waren die daten zu dem zeitpunkt noch fehlerfrei vorhanden?

Edit: hatte der controller irgendwelche speziellen features die es verhindern könnten das raid auf einem anderen system zu rekonstruieren?

 

[dani.boese]

Spezielles Feature - Mh nicht das ich wüsste.
Daten waren vorher komplett ohne Fehler.

 

[Ernst@at]

Problem bei der ganzen Sache:
Die Konfiguration des RAIDs ist nicht bekannt.

Die lässt sich eigentlich immer rausfinden.
Wenn man alle Parameter richtig beisammen hat
- Stripe Size
- Plattenreihenfolge
- Parityrotation
müsste sich mit RAID-Recoverytools von den Images weg das RAID-Volume wiederherstellen lassen.
Die Parameter findet man am einfachsten in der $MFT der NTFS-Partitions heraus.
Dazu braucht man erst mal den Beginnsektor der Partition (aus dem MBR)
und dann aus dem NTFS-Bootrec die Clustersize und den Startcluster der $MFT.

 

[dani.boese]

Kannst du mir da etwas Hilfestellung geben ?
Mittlerweile überblicke ich das leider nicht mehr so wirklich.

Auf die schnelle gefunden habe ich folgendes:

 

[Ernst@at]

Wie ich sehe, hast Du die Images in den Files 1-5.dd abgespeichert.
Zur Analyse brauche ich die Dateien in einem speziellen Format
Installiere Dir dazu HxD in der englischen Version von hier
Die Standardeinstellungen nicht verändern
Dann mach von allen 5 Images einen Auszug des ersten Sektors:

HxD Aufruf
- Menu: File/Open .... 1.dd wählen
- Menü: Edit/select block/start-offset: 0 , end-offset: 1FF, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled.")
- in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "dd1_0-1ff.txt" /speichern
- Menu: File/Close (schließt dd1_0-1ff.txt)
- Menu: File/Close (schließt 1.dd)
und dann das Ganze nochmals mit 2.dd bis 5.dd
alle .txt gezippt in den Anhang

 

[dani.boese]

Anbei die Dateien.
Scheint mir irgendeine Service-Partition von dem Netraid zu sein.

 

[Ernst@at]

Passt schon so, auf einer der Platten ist der MBR

[FONT="Lucida Console"][SIZE="3"]Analyzing: \\Pc10\shareddocs\dani.boese RAID5\dd1_0-1ff.txt

===== MBR INFORMATION ===== at LBA=0
0000001FE 55AA               Boot signature='55AA'... valid
.                            ... Partition Table entry 1 ...
0000001C2 12                 Partition Type: unusual, look at http://mirror.href.com/thestarman/asm/mbr/PartTypes.htm
0000001BE 00                 Boot indicator: inactive
0000001BF 010100             Start CC-HH-SS:    0-001-01
0000001C3 FE3F03             End   CC-HH-SS:    3-254-63
0000001C6 3F000000           Start    (LBA):          63 0-1-1
0000001CA C5FA0000           Size  (Blocks):       64197 3-254-0      31MiB     0.03GiB
.                            ... Partition Table entry 2 ...
0000001D2 07                 Partition Type: NTFS
0000001CE 80                 Boot indicator: *** ACTIVE ***
0000001CF 000104             Start CC-HH-SS:    4-000-01
0000001D3 FEFFEC             End   CC-HH-SS: 1004-254-63
0000001D6 04FB0000           Start    (LBA):       64260 4-0-1
0000001DA A960F500           Size  (Blocks):    16081065 1001-0-0    7852MiB     7.67GiB
.                            ... Partition Table entry 3 ...
0000001E2 07                 Partition Type: NTFS
0000001DE 00                 Boot indicator: inactive
0000001DF 00C1ED             Start CC-HH-SS: 1005-000-01
0000001E3 FEFFFF             End   CC-HH-SS: 1023-254-63 (not CHS addressable)
0000001E6 AD5BF600           Start    (LBA):    16145325 1005-0-1
0000001EA BFFA3F06           Size  (Blocks):   104856255 6527-0-0   51199MiB    50.00GiB
.                            ... Partition Table entry 4 ...
0000001F2 07                 Partition Type: NTFS
0000001EE 00                 Boot indicator: inactive
0000001EF 00C1FF             Start CC-HH-SS: 1023-000-01
0000001F3 FEFFFF             End   CC-HH-SS: 1023-254-63 (not CHS addressable)
0000001F6 6C563607           Start    (LBA):   121001580 7532-0-1
0000001FA 42F5BE09           Size  (Blocks):   163509570 10178-0-0   79838MiB    77.97GiB          [/SIZE][/FONT]

auf dd2 ist allerdings das gleiche zu finden, und es findet sich keine Platte mit dem Parity stripe.
Am Beispiel der letzten beiden Bytes des ersten Sektors jeder Platte:
55AA xor 55AA xor 0000 xor 6B56 xor 55AA = 3EFC (ist falsch, sollte immer 0000 sein)
dd1 und dd2 sind nicht exakt gleich, also kannst Du auch nicht irrtümlich das gleiche Image unter verschiedenen Namen abgespeichert haben.
... aber das Rätsel wird sich schon lösen lassen.

 

[dani.boese]

Oke, bin mal gespannt ob sich das wirklich lösen lässt