As camadas de uma SAN
O SNIA define SAN como uma rede cuja finalidade principal é transferir dados entre computadores e dispositivos de armazenamento. No storage, os discos formam grupos de RAID ou pools. Desse espaço saem os LUNs, endereços de unidades lógicas que o servidor recebe como se fossem discos locais. O servidor formata cada LUN: com VMFS num host VMware, com NTFS ou ReFS no Windows, com outros sistemas no Linux.
Muitos storages usam thin provisioning, o provisionamento sob demanda: o LUN anuncia uma capacidade, mas o espaço físico só é alocado quando os dados são gravados. Isso permite prometer mais espaço do que existe nos discos. Quando o pool físico acaba, o comportamento depende do equipamento, e em muitos casos os LUNs param de aceitar gravação ou ficam offline.
Onde o problema pode estar
No array: discos que falharam acima da tolerância do grupo, controladora que perdeu a configuração, atualização de firmware interrompida. No LUN: exclusão por engano, mapeamento trocado entre servidores, um LUN apresentado a dois servidores que gravaram ao mesmo tempo sem um sistema de arquivos feito para isso. No sistema de arquivos: VMFS ou NTFS corrompido, partição apagada, máquina virtual removida do datastore.
Cada camada pede uma abordagem. Se o array está íntegro e o erro é no sistema de arquivos, mexer nos discos do storage não ajuda e só aumenta o risco. Se o problema é no array, tentar reparar o VMFS antes de estabilizar os discos agrava tudo. Por isso o primeiro passo é descobrir em que camada a falha começou, pelos registros do storage e dos servidores.
Como a avaliação funciona
Quando a falha é do array, os discos do storage são copiados para imagens, e os grupos de RAID ou pools são remontados virtualmente, inclusive com o mapa de alocação do thin provisioning, que diz onde cada pedaço do LUN está. Storages com formatos proprietários exigem análise específica, e nem todo modelo pode ser atendido. Quando a falha é só lógica, a avaliação pode partir de uma cópia do LUN.
Com os LUNs refeitos, o sistema de arquivos e as máquinas virtuais são examinados. Se a SAN guarda máquinas virtuais, veja também VMware e Hyper-V. Em caso de ransomware, a análise só começa com o ambiente isolado pela equipe de resposta.