inode号与恢复误删文件

一、inode和block概述

• 文件数据包括元信息与实际数据
• 文件存储在硬盘上，硬盘最小存储单位是扇区，每个扇区存储512字节
• block(块）
  – 连续的八个扇区组成一个block（4K）
  – 是文件存取的最小单位
• inode（索引节点）
  – 中文译名为”索引节点“，也叫i节点
  – 用于存储文件元信息
• 一个文件必须占用一个inode，至少占用一个block

二、inode

inode包含文件的元信息

• 文件的字节数
• 文件拥有者的user id
• 文件的group id
• 文件的读、写、执行权限
• 文件的时间戳

用stat命令可以查看某个文件的inode信息
格式：stat 文件名

Linux系统文件的三个主要的时间属性

• ctime(change time)
  – 最后一次改变文件或者目录（属性）的时间
• atime(access time)
  –最后一次访问文件或目录的时间
• mtime(modify time)
  – 最后一次修改文件或目录（内容）的时间

目录也是一种文件
每个inode都有一个号码，操作系统用inode来识别不同的文件
Linux系统内部不使用文件名，而使用inode号码来识别文件
对于用户，文件名只是Inode号码便于识别的别称。

inode的号码

• 用户通过文件名打开文件时，系统内部的过程
  1. 系统找到文件名对应的Inode号码
  2. 通过inode号码，获取inode信息
  3. 根据inode信息，找到文件数据所在的block，读取数据
     
     顺序：访问文件 → 通过文件名找到indoe号 → 通过indoe号获取indoe信息 → 根据indoe信息判断用户是否具有访问权限 → 获取文件数据所造的block，读到数据（如果没有权限，则拒绝访问）
• 查看inode号码的方法
  – ls -i命令：查看文件名对应的inode号码
  
  – stat命令：查看文件inode信息中的inode号码
  
  硬盘分区后的结构：
  

inode的大小

• inode也会消耗磁盘空间
  – 每个inode的大小
  – 一般是128字节或256字节
• 格式化文件系统时确定inode的总数
• 使用dr -i命令可以查看每个硬盘分区的inode总数和已经使用的数量

inode的特殊作用

由于inode号码与文件分离，导致一些unix/linux系统具有以下现象：

• 当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件
• 移动或者重命名文件时，只改变文件名，不影响inode号码
• 打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名

inode号是有限的，如果inode号满了，那么就算内存空间充足也无法再创建新文件，使用def i 磁盘名就可以查看这个磁盘能使用多少个indoe号

三、恢复误删的EXT3类型的文件

extundelete是一个开源的Linux数据恢复工具，支持ext3、ext4。（ext4只能在cenros6版本恢复）
步骤：

• 使用fdisk创建分区
• 格式化ext3文件系统（如果创建完分区没有刷新，可以使用partprobe 分区名进行刷新
• 挂载
• 安装依赖包（yum -y install e2fsprogs-devel e2fsprogs-libs
  ）
• 编译安装（extundelete）
• 将压缩包拖到虚拟机里面，然后解压
• 进入解压之后的目录（cd extundelete-0.2.4/）
• 执行这个文件，指定目录，编译，编译安装（./ configure --prefix=/usr/local/extundelete && make && make install）
• 创建软连接（ln -s /usr/ local/extundelete/bin/* /usr/bin/）

模拟删除并执行恢复操作

• 创建文件
• 查看文件系统/dev/sdcl下存在哪些文件，i节点是从2开始的，2代表该文件系统最开始的目录。（extundelete / dev/ sdcl --inode 2）
• 删除文件
• 查看文件系统/dev/sdcl下存在哪些文件，i节点是从2开始的，2代表该文件系统最开始的目录。（extundelete / dev/ sdcl --inode 2）
• 切换回根目录挂载
• #恢复/ dev / sdcl文件系统下的所有内容，#在当前目录下会出现一个RECOVERED_FILES/目录，里面保存了已经恢复的文件（extundelete / dev / sdcl --restore-all）
• 查看RECOVERED_FILES/

四、恢复XFS类型的文件

使用xfsdump命令格式：
xfsdump -f 备份存放位置 + 要备份的路径或设备文件
xfsdump备份级别（默认为0）

• 0：完全备份
• 1-9：增量备份
  – 完全备份就是将一个文件完完整整的备份，增量备份只对当天修改的内容，
  – 完全备份恢复时找到文件即可很快恢复，增量备份则需要先找到文件，然后一个一个恢复
  xfsdump常用选项：
  -f：指定备份文件目录
  -L：指定标签 session label
  -M：指定设备标签：media label
  -s：备份单个文件，-s后面不能直接跟路径

xfsdump使用限制：

• 只能备份已挂载的文件系统
• 必须使用root的权限才能操作
• 只能备份xfs文件系统
• 备份后的数据只能让xfsrestore解析
• 不能备份两个具有相同UUID的文件系统（可以blkid命令查看）

操作步骤：

• 创建分区、格式化分区、挂载

• 在挂载的目录里写入数据

• 备份写入的数据（xfsdump -f /opt/dump_sdb1 /dev/sdb1 -L dump_sdb1 -M sdb1)如果没输入-L和-M的话，在备份的是很好会提示的
  

• 模拟删除源文件

• 使用xfsrestore命令恢复（==xfsretore -f /opt/dump_sdb1 /data)

这些都是备份之后恢复，跟cp复制备份或者tar压缩备份差不多。占用的空间比cp小，比tar压缩方便。
备份恢复命令有：
tar -czf -xf

xfsdump xfsrestroe

cpio find … | cpio -ocvB > …

误删恢复命令有：
extundelete

lsof