Záchrana dat na NTFS v Linuxu - do souboru nebo block device

[Petr_70]

Zdravím všechny,
Obracím se na vás s prosbou na řešení: stala se mi nemilá věc, když jsem z důvodu nedostatku místa na pevném disku PC přesunul množství důležitých dat na 2,5“ disk, připojeném přes usb převodník s tím, že uvedená data postupně vypálím na CD/DVD. Bohužel po cca 14 dnech než jsem se k tomu "dokopal" ten zálohovaný disk přestal být čitelný (asi umřel) a data mám v tahu. . .

A teď o co mi jde konkrétně: jelikož se jednalo o disk s NTFS a widle ho nevidí a tedy nelze použít žádný recovery nástroj, chci se pokusit ten disk naklonovat na jiný disk pod Knoppixem, protože ten ho jako "device" najde, ale nepřipojí (hlásí při pokusu o přístup i ručním mountu: "neznámý filesystém").
Se samotným postupem – pomocí nástrojů dd_rhelp/dd_rescue - nemám problém, avšak narážím zde na 2 možnosti a rád bych znal váš názor, pro kterou se rozhodnout:

1)Obraz disku do souboru – pokud bych chtěl použít uvedenou nádstavbu (bash skript) * dd_rhelp, tak ten to umí pouze takto (synt. "Dd_rhelp [infile/device] [outfile]" ).Takto to bývá ve většině doporučení. Otázkou ale je co s tím obrazem disku v souboru dělat dál! – Na opravu linuxových filesystémů lze použít fsck (sudo fsck –y /kde/mam/obraz.img), kterým opravím filesystém a následně připojím (mount –o loop . . .) Ten obraz má ale NTFS a s tím ho neopravím a nic pod windows (resp. Win samotné) si s tím obrazem neporadí, takže nevím zda má valný smysl se pouštět touto cestou. . .

Anebo:

2) Obraz disku na block device – V tomhe případě nelze použít dd_rhelp, který předpokládá IMHO jen výstup do souboru, ale samotný dd_rescue, který umožňuje jako vstup i výstup blokové zařízení. A následně ten disk s nakopírovaným obsahem původního připojit pod windows a tam – pokud data nebudou čitelná se pokusit opravit filesystém – v nejjednodušším případě s pomocí chkdsk /r.

Byl bych velice rád pokud se mi k uvedeným postupům vyjádříte, popřípadě nějak upřesníte dané možnosti uvedených postupů řešení.

Děkuji velice.

*pozn. http://www.kalysto.org/utilities/dd_rhelp/index.en.html

[Muad'Dib]

Hm, nevím sice, co od nás očekáváš, ale zázraky poskytovat neumíme, pouze snad několik drobných poznámek, nanejvýš rad.

Tak především: nevím, jak se ten disk odporoučel, co s ním vlastně je, jak se to projevuje. Totiž, ty pomůcky, co zde uvádíš, jsou zřejmě především pro nějak mechanicky poškozený disk - tedy takový, který třeba už neumí číst z některých sektorů. Jinak bys totiž klidně mohl použít dd; důvodem, pro který byly napsány tyhle prográmky, je prostě to, že dd při chybě čtení prostě chcípne. Ty ovšem potřebuješ to, aby se pokračovalo dále, přičemž nečitelná místa mohou být nahrazena dírami (0h).
Ostatně, takový skript i nad dd by snad nemělo být těžké napsat...

Ale jak postupovat snad víš i sám: pomocí dd (nebo jeho "chytřejších" modifikací) si zkopíruješ ten disk někam do souboru. Klidně tomu prográmku můžeš předhodit celý disk, tedy příslušné blokové zařízení.
Pokud to proběhne bez problémů, budeš mít jeden obrovský soubor, který si můžeš pak připojit jako "loopback device" (Linux), nebo také "virtual node device" (FreeBSD), pomocí losetup (Linux) nebo mdconfig (FreeBSD). Pak s tím budeš moci zacházet jako s "normálním" blokovým zařízením, normálně přes VFS. Přirozeně, musíš mít v jádře příslušnou podporu (konkrétně "loop device" v Linuxu).
Otázkou ovšem zůstává, co si od toho slibuješ...
Obávám se totiž, že pokud ho kapitalistický OS Windows nerozpozná, tak se toho mohlo podělat celkem hodně. A tam ani tak nejde o "opravu" samotného SS, jako spíš o záchranu dat. "Oprava" by totiž mohla značnou část obnovitelných dat prostě jen tak "zahodit".
Ostatně, i pro kapitalistický OS Windows existuje něco podobného, jmenuje se to FileDisk ( http://www.acc.umu.se/~bosse/ | http://branten.se/nt/ ).
Pak by ses snad mohl pokusit o nějaké experimenty s nástroji jako GetDataBack a pod.
Klidně si ten soubor můžeš vytvořit na nějaké ext3 oblasti, kterou si pak připojíš pod Windows.

(Ostatně, "nasypat" něco někam, třeba i obsah souboru "syrově" někam do diskové oblasti také není problém, takže nějaké dilema bych zde neviděl. Proč ale kvůli tomu měnit rozdělení disku???)

[Petr_70]

Předně děkuji za odpověď i za váš čas...

Na otázku co si od toho slibuji zní prostá odpověď: nechci pouštět žádný recovery software na "ostrá data", abych se případně nepřipravil o možnost dát ten disk odborné firmě, která se záchranou dat zabývá.

Rozdíl mezi dd a dd_rescue je mi znám a je to opravdu jak píšete. Mě šlo především o to, jestli - s ohledem na to "co s tím dál" - bude lepší udělat přesný obraz disku na fyzicky jiný disk nebo je lépe (a většinou se to takto dělá) vytvořit obraz disku do souboru, pak se ale přiznám, že pokud je to obraz NTFS, nevím jak dále vhodně postupovat, protože mi není známo co nebo jak pod Linuxem nebo Windows si s takovým souborem poradí!

Jinými slovy: šlo mi o ekvivalentní postup něčeho takového co funguje pro linuxové filesystémy:

Spustit fsck pro obraz disku a pokusit se opravit všechny chyby ve filesystému:
sudo fsck -y /kde/mam/obrazdisku.img

A následně ho zavést jako by se jednalo o pevný disk:
sudo mount -o loop /kde/mam/obrazdisku.img /mnt/hda1

Problém je, že fsck není na NTFS určen. Možná by si s tím poradily nástroje jako ntfs-3g nebo ntfsfix, ale to mi musí říct někdo chytřejší...


"...A tam ani tak nejde o "opravu" samotného SS, jako spíš o záchranu dat..."
To ale nemůžu vědět, zda jsou data prač v důsledku poruchy MFT (filesystému) nebo došlo k jejich vymazání. V každém případě na té kopii nemám co pokazit, že?

Děkuji za případnou odpověď.

[Cobrax]

Mozna neni nutny resit z jakyho systemu to zkouset spravovat, zkusil bych nejakej bootovaci soubor utilit, jako napriklad Hiren's Boot CD, pokud to de takhle "podomacku" z toho disku vytahnout tak bych rek ze s tim to z toho vytahnes... pokud to nejde tak myslim ze zkouset to spravit z Linuxu nema moc smysl (a jestli ma, tak bych rad vedel jakej)

[Muad'Dib]

Předně se omlouvám se za mou hodně opožděnou odpověď...

Na otázku co si od toho slibuji zní prostá odpověď: nechci pouštět žádný recovery software na "ostrá data", abych se případně nepřipravil o možnost dát ten disk odborné firmě, která se záchranou dat zabývá.

Hele, pořád ještě nevím co se tomu disku vlastně stalo a jak se nyní projevuje... Lze z něj číst všecho bez problémů, nebo je poškozena pouze malá část disku (z které nelze číst), nebo dokonce ten disk vydává nějaké "divné" zvuky?
Dobré by bylo asi se o tom trošičku více rozepsat (třeba i o různých podezřeních a pod.)
Totiž, většinou se nemusíš bát že ten "recovery software" něco pošahal, jelikož většinou jsou udělány tak, že opravdu pouze z daného diskového oddílu pouze čtou a nic na něj nezapisují. Takže by ses prakticky neměl čeho bát. Mnohem horší by bylo pokoušet se takový systém "opravit" nějakým prográmkem na kontrolu a opravu souborového systému, protože právě ony obvykle v těžkých případech "všechno opraví", čili všechny sktruktury mohou "překopat" a pak je v mnoha případech opravdu "po problému", neboť bude "vymalováno" a spousta (meta)dat důležitých pro obnovu bude přepsána nebo smazána.

Mě šlo především o to, jestli - s ohledem na to "co s tím dál" - bude lepší udělat přesný obraz disku na fyzicky jiný disk nebo je lépe (a většinou se to takto dělá) vytvořit obraz disku do souboru, pak se ale přiznám, že pokud je to obraz NTFS, nevím jak dále vhodně postupovat, protože mi není známo co nebo jak pod Linuxem nebo Windows si s takovým souborem poradí!

Tak jak už jsem psal, můžeš se vydat kteroukoliv cestou z těchto 2. A jak už také psal, tak by se pomocí FileDisk-u měl dát i ten soubor připojit pod Windows.

Jinými slovy: šlo mi o ekvivalentní postup něčeho takového co funguje pro linuxové filesystémy:

Spustit fsck pro obraz disku a pokusit se opravit všechny chyby ve filesystému:
sudo fsck -y /kde/mam/obrazdisku.img

A následně ho zavést jako by se jednalo o pevný disk:
sudo mount -o loop /kde/mam/obrazdisku.img /mnt/hda1

Problém je, že fsck není na NTFS určen. Možná by si s tím poradily nástroje jako ntfs-3g nebo ntfsfix, ale to mi musí říct někdo chytřejší...

Však já to sice chápu, ale jak už jsem psal - za žádných okolností by ses neměl pokouše tu oblast opravit pomocí nástrojů na kontrolu a opravu integrity souborového systému. Důvod: viz výše. Takže dále by nemělo mít smysl o tomhle ani uvažovat...

To ale nemůžu vědět, zda jsou data prač v důsledku poruchy MFT (filesystému) nebo došlo k jejich vymazání. V každém případě na té kopii nemám co pokazit, že?

Jde ale o to, že pokud na to pustíš takový chkdsk, tak ten si ti klidně může přizpůsobit metadata "k obrazu svému", tedy tak, aby to bylo konzistentní, přičemž všechna nekonzistentní data může vymazat. Metadata = struktury souborového systému, mezi něž patří i MFT.

Na té kopii sice nemáš co pokazit, ale pokud je ten disk nějak mechanicky poškozen, pak by bylo nejlepší si jeho obsah předtím nějak zkopírovat, aby dále nebyl zbytečně "týrán" pokusy o čtení kolem problémových oblastí atd., protože by se mohl mnohem dříve odporoučet, dokonce nadobro...
Už jen proto by bylo dobré si jeho obsah někam zkopírovat - pokud tedy máš dost místa, přirozeně.

Ale pokud bys měl problém s tím, že nevíš, jak připojit soubor jako diskovou oblast pod Windows, tak se Tě jenom zeptám: zkoušel jsi ten FileDisk? Viz odkazy nahoře. ^

Mozna neni nutny resit z jakyho systemu to zkouset spravovat, zkusil bych nejakej bootovaci soubor utilit, jako napriklad Hiren's Boot CD, pokud to de takhle "podomacku" z toho disku vytahnout tak bych rek ze s tim to z toho vytahnes... pokud to nejde tak myslim ze zkouset to spravit z Linuxu nema moc smysl (a jestli ma, tak bych rad vedel jakej)

Ale on chtěl použít GNU/Linux pouze na to, aby si udělal kopii/zálohu toho disku. Kromě toho, nějak mi není známo, že by na Hirenově CD-čku byly nějak výjimečné nástroje pro obnovu dat.

Ale především bych ještě 1 chtěl varovat před různými pokusy o opravu souborového systému ("SS").
A i když je to OT, tak to raději zde uvedu. Tak třeba mně se jednou stalo, že jsem si chěl zvětšit 1 oddíl se SS FAT32 pomocí kapitalistického programu Partition Magic ("PM"), samozřejmě, že ani po 4 hodinách se jakoby nic nedělo, žádný pokrok, pouze se "žhavil disk", tak jsem ztratil trpělivost to restartoval, nu a samozřejmě, oddíl "v tahu". Ale jelikož PM postupuje tak, že postupně přepisuje a mění FAT-ku, tak pomocí (opět sice kapitalistického prográmku, ale socializovaného crackem, jak by řekli spolubydlící) GetDataBack jsem si postupně vybíral a přepínal mezi již přepsanou a ještě nepřepsanou částí FAT-ky - a podařilo se mi obnovit prakticky všecho - a vlastně všechno, co jsem chtěl, pouze bordel, dočasné soubory atd. jsem tam nechal. Naštěstí jsem měl předtím ten SS úplně defragmentován.

[Petr_70]

Velmi se vám omlouvám za dlouhé odmlčení, které bylo způsobeno pracovní zaneprázdněností a také tím, že onen diskutovaný 2,5" disk jsem měl připojený jak jsem uvedl přes usb převodník a redukci a chtěl jsem ještě prověřit, zda není vadná ona redukce a připojit ho běžným způsobem do desktopového PC. K tomuto účelu jsem koupil druhou redukci, která - aby toho nebylo málo - byla vadná (disk se ani neroztočil) a tedy jsem musel sehnat jinou.
Ukázalo se ale, že v tom problém není - situace se nijak nezměnila...

Ptáš se jak se to vlastně projevuje- - tedy: ten disk není vůbec vidět pod Windows ve Správě disků a to ani jako neinicializovaný tzn. bez přiděleného písmenka. Prostě vůbec. Když ten 2,5" disk jsem předtím zapojil přes ten usb převodník tak sice Windows zobrazí hlášku Nové zařízení, ale nic víc...

Když to bootnu z Knoppixu tak ho připojí jako zařízení /dev/hdc, ale nezavede tj. při pokusu o přístup sdělí "neznámý souborový systém". To jsem ale už uváděl. Bohužel nevidí ani žádný oddíl (hdc1). "fdisk -l" mi po chvíli čekání vůbec nic nevypíše!

Jinak je BIOSem rozpoznán bez problémů, ale jak Win XP tak Linux s tím nešťastným diskem startují dlouho a ztěžka. Je přitom slyšet pokusy o načítání (opakované, "chrastící" zvuky). Nedokážu ale podle nich jednoznačně tvrdit, zda se ten disk odporoučel. Problém s přístupem na něj ale je!

Teď jak to řešit. IMHO to moc optimisticky nevypadá. Jediné co mne napadá je pokusit udělat jeho obraz na druhý disk a s ohledem na možné chyby pomocí "dd_rescue /dev/hdc /dev/hda" a pak - s ohledem na to co píšeš ve svých příspěvcích, když ta data nebudou vidět - to svěřit nějakému recovery nástroji. Z toho co se mi nabízí GetDataBack for NTFS nebo Easy Recovery. Klonovat ten disk pod Windows je bezpředmětné, když ho ani nevidí.

Ten FileDisk je jistě zajímavá možnost, slyším o něm vůbec poprve, ale teď asi není na místě se tím zabývat, když s tím nemám žádné praktické zkušenosti, takže se kloním k variantě č.2 uvedenou výše.

Mohu tě prosím požádat (a příp. ostatní) o vyjádření a jak bys(te) postupoval v takové situaci?