Linux文件系统与日志分析（inode、inode节点耗尽故障处理、文件备份和恢复、日志文件管理）

一、扇区（sector），块（block）和文件数据inode

1、扇区（sector）

文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”（sector），每个扇区存储512字节。

2、块（block）

（1）一般连续八个扇区组成一个“块”（block），一个块是4K大小，是文件存取的最小单位。

（2）操作系统读取硬盘的时候，是一次性连续读取多个扇区，即一个块一个块的读取的。

3、索引节点（inode）

（1）文件数据包括实际数据与元信息（类似文件属性）。

（2）文件数据存储在“块”中，存储文件元信息（比如文件的创建者、创建日期、文件大小、文件权限等）的区域就叫inode。因此，一个文件必须占用一个inode，并且至少占用一个block。

inode不包括文件名。文件名是存放在目录当中的。Linux系统中一切皆文件，因此目录也是一种文件。

每个inode都是一个号码，操作系统用inode号码来识别不同的文件。Linux系统内部不使用文件名，而使用inode号码来识别文件。对于系统来说，文件名只是inode号码便于识别的别称，文件名和inode号码是一一对应关系，每个inode号码对应一个文件名。

所以，当用户在Linux系统中试图访问一个文件时，系统会先根据文件名去查找它对应的inode号码；通过inode号码，获取inode信息；根据inode信息，看该用户是否具有访问这个文件的权限；如果有，就指向相对应的数据block，并读取数据。

二、索引节点（inode）

一个文件必须占用一个 inode，并且至少占用一个 block。

inode不包含文件名。文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件。

每个inode都有一个号码，操作系统用inode号码来识别不同的文件。Linux系统内部不使用文件名，而使用inode号码来识别文件。对于系统来说，文件名只是inode号码便于识别的别称，文件名和inode号码是一一对应关系，每个inode号码对应一个文件名。

1、inode的内容

1.1 inode包括文件的元信息

（1）文件的字节数

（2）文件拥有者的User ID

（3）文件的Group ID

（4）文件的读、写、执行权限

（5）文件的时间戳

（6）…

1.2用stat命令可以查看某个文件的inode信息

1 示例：stat aa.txt

1.3Linux系统文件三个主要的时间属性

（1）ctime（change time）————最后一次改变文件或目录（属性）的时间

（2）atime（access time）————最后一次访问文件或目录的时间

（3）mtime（modify time）————最后一次修改文件或目录（内容）的时间

1.4目录文件的结构

（1）目录也是一种

（2）目录文件的结构

1.5每个inode都有一个号码，操作系统用inode号码来识别不同的文件

1.6Linux系统内部不使用文件名，二使用inode号码来识别文件

1.7对于用户，文件名只是inode号码便于识别的别称

2、inode的号码

2.1用户通过文件名打开文件时，系统内部的过程

（1）系统找到这个文件名对应的inode号码

（2）通过inode号码，获取inode信息

（3）根据inode信息，找到文件数据所在的block，读出数据

2.2查看inode号码的方法

ls -i命令：查看文件名对应的inode号码

1 ls -i aa.txt

stat命令：查看文件inode信息中的inode号码

1 stat aa.txt

3、inode的大小

3.1inode也会消耗硬盘

（1）每个inode的大小

（2）一般是128字节或256字节

3.2格式化文件系统时确定inode的总数

使用df -i命令可以查看每个硬盘分区的inode总数和已经使用的数量

4、inode的特殊作用

由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象

（1）当文件名包括特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件

（2）移动或重命名文件时，只改变文件名，不影响inode号码

（3）打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名

（4）文件数据被修改保存后，会生成一个新的 inode 号码

5、通过inode号删除文件

1  find ./ -inum 52305140 -exec rm -i {} \;
2  find ./ -inum 50464299 -delete

第二条命令同理就不做演示

三、inode节点耗尽故障处理

1、使用fdisk创建分区/dev/sdb1，分区大小30M即可
fdisk /dev/sdb  
mkfs.ext4 /dev/sdb1    #这边我们用ext4类型的文件系统进行模拟
mkdir /test
mount /dev/sdb1 /mnt
df -i

2、模拟inode节点耗尽故障
for ((i=1; i<=7680; i++));do touch /test/file$i;done  
或者   touch {1..7680}.txt
df -i
df -hT
3、删除文件恢复
rm -rf /test/*
df -i
df -hT

演示

1.使用fdisk创建分区/dev/sdb1，格式化并挂载

先在外面新建一个磁盘



2、模拟inode节点耗尽故障

四、EXT类型文件恢复

extundelete 是一个开源的 Linux 数据恢复工具，支持 ext3、ext4文件系统。（ext4只能在centos6版本恢复）


1、使用fdisk创建分区/dev/sdb1，格式化ext3文件系统
fdisk /dev/sdb  
mkfs.ext3 /dev/sdb1
mkdir /test
mount /dev/sdb1 /test
df -hT

2、安装依赖包
yum -y install e2fsprogs-devel e2fsprogs-libs

3、编译安装 extundelete
cd /test  切换到test目录中
wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2   #官网下载源
tar jxvf extundelete-0.2.4.tar.bz2               #解压tar包
cd extundelete-0.2.4/                            #切换到解压出来的目录中
./configure --prefix=/usr/local/extundelete && make && make install  #指定安装目录，开始安装   
ln -s /usr/local/extundelete/bin/* /usr/bin/          #创建软连接，让系统识别命令

4、模拟删除并执行恢复操作
cd /test
echo a>a
echo a>b
echo a>c
echo a>d
ls
extundelete /dev/sdb1 --inode 2			#查看文件系统/dev/sdb1下存在哪些文件，i 节点是从 2 开始的，2 代表该文件系统最开始的目录。

rm -rf a b
extundelete /dev/sdb1 --inode 2	
cd ~
umount /test
extundelete /dev/sdb1 --restore-all		#恢复/dev/sdb1 文件系统下的所有内容
#在当前目录下会出现一个RECOVERED_FILES/目录，里面保存了已经恢复的文件
ls RECOVERED_FILES/