Block、Inode、xfs、xfsdump、日志

block的作用：用来存真正的数据内容的

我们每个扇区（sector）的大小规定是512B，系统在读取硬盘数据时，并不会一个个扇区去读，是一次性连续读取多个扇区，即一次性读取一个块（block），这种由多个山区组成的快，是文件存取的最小单位，块的大小，最常见的是4kB，即连接8个sector组成一个block

inode的作用：用来存数据的元信息的，所谓元信息指的就是该数据的一些属性，特征

那我们的inode可以记录的信息，有哪些呢？可以是文件权限（rwx）的记录，文件的属主，属组，文件大小，时间戳等，这种存储文件元信息的区域就叫做inode，中文译名为”索引节点“也叫”i“节点，因为，一个文件必须占用一个inode，但至少占用一个block

注：inode中并不包括文件名，其实文件名是存放在目录当中的，Linux系统中一切皆文件，因此目录也是一种文件，及查看目录中的文件，cd转目录后通过ls列目录可以查看文件名，而我们每个inode都有一个号码，系统用inode号码识别不同的文件，系统内部不使用文件名，而是用inode号码来识别文件。

Linux系统文件三个主要的时间属性，修改时有几率会同时更改时间戳

ctime（change time）改变

最后一次改变文件或目录（属性)时间

atime（access time）访问

最后一次访问文件或目录的时间

mtim（modifg time）

最后一次修改文件或目录（内容）得时间

inode的号码

用户通过文件名打开文件时，系统内部的过程

1. 系统找到这个文件名对应的inode号码
2. 通过inode号码，获取inode信息
3. 根据inode信息，找到文件数据所在的block，读出数据

查看inode号码的方法

ls -i命令：查看文件名对应的inode号码

ls -i aa.txt

stat命令：查看文件inode信息中的inode号码

stat aa.txt

当文件名包括特殊字符，可能无法正常删除文件，直接删除inode则可以删除文件

移动或重命名文件时，只改变文件名，不影响inode号码

打开一个文件后，系统通过inode号码来识别该文件，不在考虑文件名

touch a.txt  ls -i a.txt

find . -inum 100......... -exec rm -i[ ]\；

这条命令的意思是find找到的内容作为后面run删除的对象

语法结构分析：-exec 参数后面跟的命令，它的终止是以；为结束标志的【】代表前面find找出来的文件名，\不代表换行符，是立即执行的意思

rm：是否删除普通空文件”./a.txt"?   y

ls -lh

方法二：ls -i at.txt

10......... at.txt

fin . -inum 10...... | xargs rm -f

(xargs 这个参数就是强力的意思，如果前面的输出结果包含空格或制表符也会被强力执行）

ls -i at.txt

恢复XFS类型的文件

extundelete 工具仅可以恢复EXT类型的文件，无法恢复CentOS 7系统默认采用xfs类型的文件，针对xfs文件系统目前也没有比较成熟的文件恢复工具，所以建议提前做好数据备份，以避免数据丢失

xfs类型的文件可使用 xfsdump与xfsrestore工具进行备份恢复，若系统中未安装xfsdump与xfsrestore工具，可以通过 yum install -y xfsdump 命令安装，xfsdump按照inode备份，xfsdumo的备份级别默认为0，xfsdump的命令格式为：xfsdump -f 备份存放位置。

-f 指定备份文件目录

-L 指定标签session label

-M：指定设备标签media label

-s：备份单个文件（-s后面不能直接跟路径）

实验步骤：

加一块硬盘

初始化磁盘（分区、格式化XFS，挂载）

准备测试文件

使用xfsdump命令备份整个分区

删除之前创建的内容，模拟数据丢失

恢复文件

使用xfsdump时，需要注意一下的几个限制：

xfsdump	不支持没有挂载的文件系统备份，所以只能备份已挂载的
xfsdump	必须使用root的权限才能操作（涉及文件系统的关系）
xfsdump	只能备份xfs文件系统
xfsdump	备份下来的数据（档案或储存媒体）只能让xfsrestore解析
xsfdump	是透过文件系统的UUID来分辨哥哥备份档的，因此不能备份两个具有相同UUID的文件系统

extundelet数据备份恢复

删除一个文件，实际上并不清除inode节点和block的数据，只是在这个文件的父目录里面的block中，删除这个文件的名字。Linux是通过Link的数量来控制文件删除的，只有当一个文件不存在任何Link的时候，这个文件才会被删除。

在数据被误删除后，第一时间要做的就是卸载被删除数据所在的分区，如果是根分区的数据遭到误删，就需要将系统进入单用户模式，并且将根分区以只读模式挂载。这样做的原因很简单，因为将文件删除后仅仅是将文件的inode节点中的扇区指针清零，实际文件还存储在磁盘上，如果磁盘继续以读写模式挂载，这些已删除的文件的数据块就可能被操作系统重新分配出去，在这些数据库被新的数据覆盖后，这些数据就真的丢失了，恢复工具也回天无力。所以以只读模式挂载磁盘可以尽量降低数据库中数据被覆盖的风险，以提高恢复数据成功的比例

实验步骤：

编译安装extundelete 之前需要先安装两个依赖包e2fsprogs-libs和e2fsprogs-devel,这两个包在系统安装光盘的/Package目录下就有，使用rpm 或yum命令将其安装。

e2fsprogs-devel安装依赖于libcom_err-devel包。

安装万依赖包后，即可将提前上传的extundelete软件包解压、配置、编译、安装/

模拟删除并执行恢复操作

关于extundelete数据恢复，不能恢复空文件空目录问题，原因是extundelete只能回复block数据块里面有内容的数据，而空文件没有在block数据块里面写过东西，因此，恢复不了

extundelete与xfsdump的区别

extundelete需要额外的去装，而xfsdump默认系统自带

extundelete恢复时需要解挂载，而xfsdump需要挂载点在线时使用

xfsdump使用时必须是root账户才能用

extundelete只能恢复文件系统是ext4格式的文件（必须CentOS6系统）xfsdump只能恢复文件系统格式是xfs格式的文件（CentOS 7默认是xfs文件系统格式）

日志的功能

用于记录系统程序运行中发生的各种事件

通过阅读日志，有助于诊断和解决系统故障

日志文件的分类：

内核及系统日志

rsyslog统一进行管理，日志格式基本相似

用户日志

记录系统用户登录及退出系统的相关信息

程序日志

由各种应用程序独立管理的日志文件，记录格式不统一

日志保存位置

默认位于/var/log目录下

       主要日志文件介绍

       内核及公共信息日志：/var/log/messages

       计划任务日志：/var/log/cron

       系统引导日志：/var/log/dmesg

       邮件系统日志：/var/log/maillog

       记录每个用户靠近的登录事件：/var/log/lastlog

       记录用户认证相关的安全事件消息：/var/log/secure

       记录每个用户登录、注销及系统启动和停机消息：/var/log/wtmp

       记录失败的，错误的登录尝试及验证事件：/var/log/btmp

日志消息的级别

日志记录的一般格式

日志管理策略