Восстановление удалённых файлов с ext4-раздела.

Один из пользователей в офисе случайно удалил кучку файлов с сетевого ресурса, которые оказались важными. Не буду здесь обсуждать, почему архивация этого ресурса не велась - моей вины здесь нет, не велась и всё. Пришлось восстанавливать данные, и, в итоге, они были восстановлены. Здесь укажу последовательность действий. Их немного.

В-первую очередь, надо отмонтировать раздел, чтоб никто не перезаписал то место на диске, где хранились стёртые данные.

umount /dev/mapper/partition

Затем желательно снять образ раздела, чтоб с ним было время спокойно поработать. Это можно сделать так:

dd if=/dev/mapper/partition |ssh username@bckhost "cat >~/partition.img"

или так:

dd if=/dev/mapper/partition |ssh username@bckhost "dd of=~/partition.img"

Теперь раздел можно замонтировать обратно, чтоб остальные пользователи продолжали работать, пока админ копается с восстановлением:

mount /dev/mapper/partition

Теперь можно заняться восстановлением. Первоначально я попытался использовать утилиту photorec из testdisk-а, так как я уже когда-то что-то восстанавливал с её помощью. Время сканирования образа зависит от его размера и у меня заняло долгие часы, а результат процесса представляет собой кучу каталогов с ничего не говорящими названиями типа "recup_dir.1". Имена файлов в этих калогах тоже могут быть изменены. В общем результат неудовлетворительный. Кстати, чтоб утилита photorec "увидела" образ, нужно явно указать путь к нему в командной строке (о чём можно узнать, запустив команду с ключом --help):

photorec /d recup_dir file.dd

Тем не менее утилита незаменима для восстановления, например, удалённых с флэшки фотографий - название утилиты об этом и говорит. Кроме того работает с большим количеством разделов, включая юниксовые и широко распространённый vfat(fat32).

Позже я нашёл необходимый мне инструмент. Им оказалась программа extundelete. Установка на Gentoo прошла быстро:

emerge -va extundelete

Программа работает с разделами ext3/ext4. Ключами командной строки можно задать время, начиная с которого(или не позже которого) восстанавливать удалённые файлы, а также некоторые другие параметры, например, восстановление одного конкретного файла. Я поступил проще, восстановил всё, что можно было:

extundelete --restore-all ~/partition.img

По-умолчанию, результатом команды будет каталог RECOVERED_FILES, являющийся корнем, относительно которого воссоздана структура вложенных каталогов с восстановленными файлами. Теперь результат достигнут: выбираем нужные файлы и копируем обратно на сетевой ресурс, с которого их удалили.