深入理解Linux文件系统与日志分析---inode号耗尽故障处理、恢复误删文件的深入了解
一 、inode和block概述
1.1、 概述
文件数据包括元信息与实际数据
文件存储在硬盘上，硬盘最小存储单位是“扇区”，每个扇区储存512字节
block（块）
连续的八个扇区组成一个block,一个block单位是4k
是文件存取的最小单位
inode（索引节点）（考试，面试会考）
中文译名“索引节点”，也叫i节点
用于存储文件元信息
元信息>>>>>>>inode
数据>>>>>>>>>block
一个文件必须占用一个inode，但至少占用一个block
对于磁盘而言，物理层面一个单元的表示形式是扇区
逻辑层面一个单元的表示形式是单元格
删除文件删的是文件名，而不是block和inode，一个文件名对应一个inode；当一个新文件的重新写入磁盘，覆盖到被删除文件的block时，才意味着文件的实际删除，所以当误删文件时，第一件事就是不要再在磁盘写入文件，通过数据恢复有可能找回到误删文件
1.2、 inode的内容
（1）、inode包含文件的元信息
文件的字节数
文件拥有者的User ID
文件的GID
文件的读、写、执行权限
文件的时间戳
。。。。
用stat命令可以查看某个文件的inode信息；ls -i也可以查看inode号码
示例：stat aa.txt
（2）、linux系统文件时间戳的三个主要的时间属性
ctime（change time）
最后一次改变文件或目录（属性即inode）的时间
atime（access time）
最后一次访问文件或目录的时间
mtime（modify time）
最后一次修改文件或目录（内容即block）的时间
（3）、目录文件的结构
目录也是一种文件
目录文件的结构
每个inode都有一个号码，操作系统用inode号码来识别不同的文件
Linux系统内部不使用文件名，而使用inode号码来识别文件
1.3、inode的号码
用户通过文件名打开文件时，系统内部的过程
系统找到这个文件对应的inode号码
通过inode号码，获取inode信息，即元信息
根据inode信息，找到文件数据所在的block，读出数据
查看inode号码的方法
ls -i命令：查看文件名对应的inode号码
ls -i aa.txt
stat命令：查看文件inode信息，信息中包含inode号码
stat aa.txt
1.4、文件存储小结
permission denied 权限拒绝之意
1.5、inode的大小
inode也会消耗硬盘空间
每个inode的大小
一般是128字节或256字节
格式化文件系统时确定inode的总数
使用df -i命令可以查看每个硬盘分区的inode总数和已经使用的数量
1.6、inode的特殊作用
由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象
当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件
移动或重命名文件时，只改变文件名，不影响inode号码
打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件
文件数据被修改后，会生成一个新的inode号码
find ./ -inum 52305140 -exec rm -i {} \;
find ./ -inum 50464299 -delete
1.7、inode节点耗尽故障处理
使用fdisk创建分区/dev/sdb1，分区大小为30M即可
ffdisk /dev/sdb
mkfs,ext4 /dev/sdb1
mkdir /test/
mount /dev/sdb1 /mnt
df -i
模拟inode节点耗尽故障
for ((i=1; i<=7680; i++)) ;do touch /test/ file$i ; done
af -i
lf -hT
#删除文件恢复
rm -rf /test/*
df -i
df -hT
二、链接文件
为文件或目录建立链接文件
文件类型
硬链接 ：别名 软连接：快捷方式
三、恢复误删除的文件
3.1、EXT类型文件恢复
extundelete是一个开源的Linux数据恢复工具，支持ext3、 ext4文件系统。(ext4只能在centos6版本恢复)
(1) 使用fdisk创建分区/dev/sdc1，格式化ext3文件系统
fdisk /dev/sdc
mkfs.ext3 /dev/sdc1
mkdir /test
mount /dev/sdc1 /test
df -hT
(2) 安装依赖包
yum -y install e2fsprogs-devel e2fsprogs-libs
(3) 编译安装extundelete
cd /test
wget http://nchc.dl.sourceforge.net/proiect/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2
tar jxvf extundelete-0.2.4.tar.bz2
cd extundelete-0.2.4
./configure --prefix=/usr/local/extundelete && make && make install
In -s /usr/local/extundelete/bin/* /usr/bin/
(4) 模拟删除并执行恢复操作
cd /test
echo a>a
echo a>b
echo a>c
echo a>d
ls
extundelete /dev/sdc1 --inode 2 #查看文件系统/dev/sdc1下存在哪些文件，i节点是从2开始的， 2代表该文件系统最开
始的目录。
rm -rf a b
extundelete /dev/sdc1 --inode 2 （使用了两次这条命令，个人认为是完成了文件对比，查找所丢失的文件）
cd ~
umount /test （测试过解不解挂载都可以)
extundelete /dev/sdc1 --restore-all #恢复/dev/sdc1文件系统下的所有内容（恢复）
3.2、xfs类型文件备份和恢复
（1）、简介
Centos 7系统默认采用xfs类型的文件， xfs类型的文件可使用xfsdump与xfsrestore工具进行备份恢复。xfsdump的备份级别有两种：0表示完全备份；1-9表示增量备份。xfsdump的备份级别默认为0。
（2）、xfsdump的命令格式为
xfsdump -f 备份存放位置 要备份的路径或设备文件
（3）、 xfsdump命令常用的选项
-f：指定备份文件目录
-L：指定标签session label
-M：指定设备标签media label
-s：备份单个文件， -s后面不能直接跟路径
（4）、xfsdump使用限制
只能备份已挂载的文件系统
必须使用root的权限才能操作
只能备份XFS文件系统
备份后的数据只能让xfsrestore解析
不能备份两个具有相同UUID的文件系统(可用blkid命令查看)
（5）、具体实验步骤
a、使用fdisk创建分区/dev/sdb1，格式化xfs文件系统
fdisk /dev/sdb
partprobe /dev/sdb
mkfs.xfs [-f] /dev/sdb1
mkdir /data
mount /dev/sdb1 /data
cd /data
cp /etc/passwd ./
mkdir test
touch test/a
b、使用xfsdump命令备份整个分区
rpm -qa | grep xfsdump
yum install -y xfsdump
xfsdump -f /opt/dump_sdb1 /dev/sdb1 [-L dump_sdb1 -M sdb1]
c、模拟数据丢失并使用xfsrestore命令恢复文件
cd /data/
rm - rf ./* 或者rm -rf *
ls
xfsrestore -f /opt/dump_sdb1 /data/
四、日志分析
4.1、 日志的功能
用于记录系统、程序运行中发生的各种事件
通过阅读日志，有助于诊断和解决系统故障
4.2、 日志文件的分类
内核及系统日志
由系统服务syslog统一进行管理，日志格式基本相似
主配置文件/etc/rsyslog.conf
用户日志
记录系统用户登陆及退出系统的相关信息
程序日志
由各种应用程序独立管理的日志文件，记录格式不统一
4.3、 日志保存位置
默认位于：/var/log 目录下
4.4 、主要日志文件介绍
常见的-一些日志文件: .
内核及公共消息日志: .
/var/log/ messages: 记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。
对于未使用独立日志文件的应用程序或服务，一.般都可以从该日志文件中获得相关的事件记录信息。
计划任务日志:
/var/log/cron:记录crond计划任务产生的事件信息。
系统引导日志:
/var/log/dmesg: 记录Linux系统在引导过程中的各种事件信息。
邮件系统日志:
/var/log/maillog: 记录进入或发出系统的电子邮件活动。
用户登录日志:
/var/log/secure: 记录用户认证相关的安全事件信息。
/var/log/lastlog: 记录每个用户最近的登录事件。二进制格式
/var/log/wtmp: 记录每个用户登录、注销及系统启动和停机事件。二进制格式
/var/ run/btmp: 记录失败的、错误的登录尝试及验证事件。二进制格式
五、内核及系统日志
5.1、由系统服务 rsyslog统一管理
软件包： rsyslog-7.4.7-16.el7.x86_64
主要程序： /sbin/rsyslogd
配置文件： /etc/rsyslog.conf
5.2、日志消息的级别
Linux系统内核日志消息的优先级别(数字等级越小，优先级越高，消息越重要)
vim /etc/ rsyslog. conf #查看rsyslog. conf配置文件
* . info; mail . none; authpriv . none; cron . none /var/ log/messages
* . info #表示info等级及以上的所有等级的信息都写到对应的日志文件里
mail . none #表示某事件的信息不写到日志文件里(这里比如是邮件)
5.3、日志记录的一般格式
六、用户日志分析
6.1、保存了用户登录、退出系统等相关信息
/var/log/lastlog： 最近的用户登录事件
/var/log/wtmp： 用户登录、注销及系统开、关机事件
/var/run/utmp： 当前登录的每个用户的详细信息
/var/log/secure： 与用户验证相关的安全性事件
6.2、分析工具
users、 who、 w、 last、 lastb
last命令用于查询成功登录到系统的用户记录
lastb命令用于查询登陆失败的用户记录
6.3、由相应的应用程序独立进行管理
Web服务： /var/log/httpd/
access_log、error_log
代理服务： /var/log/squid/
access/log、cacge.log
FTP服务： /var/log/xferlog
分析工具
文本查看、grep过滤检测、Webmin管理套件中查看
awk、swd等文本过滤、格式化编辑工具
Webalizer、Awstats（图形化）等专用日志分析工具
6.4、 日志管理策略
及时做好备份和归档
延长日志保存期限
控制日志访问权限
日志中可能会包含各类敏感信息，如账户、口令等
集中管理日志
将服务器的日志文件发送到统一的日志文件服务器
便于日志信息的统一收集、整理和分析
杜绝日志信息的意外丢失、恶意篡改或删除
日志文件的作用：可以用来判断服务器是否故障、用于备份的作用
七、本章总结：
block与iinode
硬链接与软连接
恢复误删除的文件
Linux主要包含的日志文件
Linux系统的日志消息级别
Linux系统中用户日志的查询命令
who、w、users、last、lastb