Aus CloneZilla-Sicherung ein unter Knoppix mountbares Image erstellen

[Ulrich D i e z]

Hallo, ich versuche jetzt seit drei Tagen, folgendes
zu erreichen, indem ich mich sklavisch an im
Internet gegebene Anleitungen halte, aber irgendwo
gibts immer Fehlermeldungen:

Mittels CloneZilla-CD habe ich eine 300GB grosse
NTFS-Partition eines Windows-Rechners auf
eine 2.5TB grosse externe USB-Festplatte gesichert.

Leider habe ich nicht bedacht, dass Clonezilla nicht
einfach mittels partclone oder dergleichen ein Image-File
erzeugt, sondern auch noch gzip drüberlaufen lässt
und obendrein die Sache auseinanderreisst, so dass
man lauter kleine Teildateien hat.

Jetzt hätte ich gerne aus der CloneZilla-Sicherung
ein einziges unkomprimiertes Image-File am Stück
erzeugt, welches auch auf der 2.5TB grossen
externen USB-Festplatte liegen soll und welches sich
mounten lässt wenn man die Knoppix-Live-CD bootet.

Der erste Teil klappt: Wenn ich mich sklavisch an
die Anleitung halte, bekomme ich nach vier Stunden
ohne Fehlermeldungen so eine Image-Datei am Stück.

Das Programm WinImage unter Windows 7 kann diese
Datei problemlos auslesen und zeigt mir auch die darin
enthaltene Dateistruktur an.

Aber wenn ich Knoppix boote und versuche, dieses
Image gemäß Anleitung zu mounten, gibt es jedesmal
Fehlermeldungen, dass nicht gemountet werden könne,
weil irgendwas am NTFS-Volume nicht passe oder es
sich vielleicht gar nicht um ein NTFS-Volume handele....

Wie kann ich Knoppix dazu bekommen, das Image
eines NTFS-Volume zu mounten?

Ulrich

[Attila]

Post by Ulrich D i e z
Leider habe ich nicht bedacht, dass Clonezilla nicht
einfach mittels partclone oder dergleichen ein Image-File
erzeugt, sondern auch noch gzip drüberlaufen lässt
und obendrein die Sache auseinanderreisst, so dass
man lauter kleine Teildateien hat.

Wenn es noch nicht zu spät ist dafür: Wenn du in Clonezilla die Expert
Einstellungen nutzt, dann kannst du beides abschalten bzw. für das
Splitten einen sehr hohen Wert einstellen.

Persönlich finde ich inzwischen, dass mit partclone direkt zu arbeiten
sogar übersichtlicher ist, da man so auch z.B. ein Backup von sda6 nach
sda1 zurück spielen kann.

Bist du bei deinem eigentlichen Problem nach z.B. so einer Anelitung

http://simonstamm.de/clonezilla-image-mounten-um-einzelne-dateien-wiederherzustellen/

vorgegangen? Sorry, ich selbst habe das noch nie probiert, aber die
Anleitung klingt zumindest in der Theorie gut.

Bis dann, Attila

[Ulrich D i e z]

Post by Attila
Wenn es noch nicht zu spät ist dafür: Wenn du in Clonezilla die Expert
Einstellungen nutzt, [...]

Habe ich nun versucht und ein ca 300 GB grosses
unkmprimiertes Image-File erhalten, das sich unter Knoppix
genausowenig mounten lässt wie das bereits erzeugte.
[ Der Rechner mit dem zu sichernden NTFS-Volume kann
leider kein USB-3 und mit CloneZilla dauert deshalb das
Erzeugen der Sicherung geschlagene sieben Stunden...]

Das Programm WinImage unter Windows 7 bietet mir
allerdings freundlich an, dieses Image in eines zu konvertieren,
das ausser dem Bootsektor der NTFS-Partition auch einen
Master-Boot-Record hat.

Post by Attila
Persönlich finde ich inzwischen, dass mit partclone direkt zu arbeiten
sogar übersichtlicher ist, da man so auch z.B. ein Backup von sda6 nach
sda1 zurück spielen kann.

Für partclone habe ich bisher allerdings leider nur entweder
kurze oder chinesische und damit für mich leider nicht
verständliche Anleitungen im Internet gefunden.

Post by Attila
Bist du bei deinem eigentlichen Problem nach z.B. so einer Anelitung
http://simonstamm.de/clonezilla-image-mounten-um-einzelne-dateien-
wiederherzustellen/
vorgegangen?

Nach ebendieser bin ich fast vorgegangen.

Zu der Zeile 2 allergings gibt es folgendes zu sagen:

- Die CloneZilla-Dateien heissen bei mir nicht etwa "sda1.ext3.ptcl-img.gz.*"
, sondern "sda1.ntfs.ptcl-img.gz.*"
- Die -O-Option beim partclone-Aufruf bedeutet, dass eine eventuell
bereits existierende Ziel-Image-Datei überschrieben werden darf
und insgesamt funktioniert das nur, wenn eine 0 Byte grosse
Ziel-Image-Datei bereits existiert, also habe ich mittels touch
erstmal eine erzeugt.
Danach lief das fehlermeldungslos durch und partclone hat nach
geschlagenen vier Stunden erklärt, die Image-Datei sei
erfolgreich erzeugt worden.

Zu der Zeile 3 gibt es folgendes zu sagen:

Ich habe danach den Rechner mit Knoppix gebootet und versucht,
das erzeugte Image einzuhängen - es handelt sich aber nicht um ein
ext3-Volume sondern um ein ntfs-Volume, also habe ich statt "t ext3"
eben "t ntfs" bzw "t auto" angegeben und jedesmal eine Fehlermeldung
erhalten, dass rgendwas am NTFS-Volume nicht passe oder es
sich vielleicht gar nicht um ein NTFS-Volume handele....

Ich habe danach den Rechner mit Windows 7 gebootet und mir das
Image-File mit dem Programm WinImage angesehen - dieses
Programm zeigt klaglos die Struktur des Image an - ich kann darin
"herumsurfen", Dateien herauskopieren etc, aber es bietet mit auch
an, das Image in eins überzuführen, bei dem auch ein
Master-Boot-Record dabei ist.

Ulrich

[Ulrich D i e z]

Post by Ulrich D i e z

Post by Attila
Wenn es noch nicht zu spät ist dafür: Wenn du in Clonezilla die Expert
Einstellungen nutzt, [...]

Habe ich nun versucht und ein ca 300 GB grosses
unkmprimiertes Image-File erhalten, das sich unter Knoppix
genausowenig mounten lässt wie das bereits erzeugte.
[ Der Rechner mit dem zu sichernden NTFS-Volume kann
leider kein USB-3 und mit CloneZilla dauert deshalb das
Erzeugen der Sicherung geschlagene sieben Stunden...]
Das Programm WinImage unter Windows 7 bietet mir
allerdings freundlich an, dieses Image in eines zu konvertieren,
das ausser dem Bootsektor der NTFS-Partition auch einen
Master-Boot-Record hat.

Post by Attila
Persönlich finde ich inzwischen, dass mit partclone direkt zu arbeiten
sogar übersichtlicher ist, da man so auch z.B. ein Backup von sda6 nach
sda1 zurück spielen kann.

Für partclone habe ich bisher allerdings leider nur entweder
kurze oder chinesische und damit für mich leider nicht
verständliche Anleitungen im Internet gefunden.

Post by Attila
Bist du bei deinem eigentlichen Problem nach z.B. so einer Anelitung
http://simonstamm.de/clonezilla-image-mounten-um-einzelne-dateien-
wiederherzustellen/
vorgegangen?

Nach ebendieser bin ich fast vorgegangen.
- Die CloneZilla-Dateien heissen bei mir nicht etwa "sda1.ext3.ptcl-img.gz.*"
, sondern "sda1.ntfs.ptcl-img.gz.*"
- Die -O-Option beim partclone-Aufruf bedeutet, dass eine eventuell
bereits existierende Ziel-Image-Datei überschrieben werden darf
und insgesamt funktioniert das nur, wenn eine 0 Byte grosse
Ziel-Image-Datei bereits existiert, also habe ich mittels touch
erstmal eine erzeugt.
Danach lief das fehlermeldungslos durch und partclone hat nach
geschlagenen vier Stunden erklärt, die Image-Datei sei
erfolgreich erzeugt worden.
Ich habe danach den Rechner mit Knoppix gebootet und versucht,
das erzeugte Image einzuhängen - es handelt sich aber nicht um ein
ext3-Volume sondern um ein ntfs-Volume, also habe ich statt "t ext3"
eben "t ntfs" bzw "t auto" angegeben und jedesmal eine Fehlermeldung
erhalten, dass rgendwas am NTFS-Volume nicht passe oder es
sich vielleicht gar nicht um ein NTFS-Volume handele....
Ich habe danach den Rechner mit Windows 7 gebootet und mir das
Image-File mit dem Programm WinImage angesehen - dieses
Programm zeigt klaglos die Struktur des Image an - ich kann darin
"herumsurfen", Dateien herauskopieren etc, aber es bietet mit auch
an, das Image in eins überzuführen, bei dem auch ein
Master-Boot-Record dabei ist.

Nachtrag:

die Sache mit

sudo ntfs-3g /dir/sda1.img /mnt

klappt unter Knoppix bei mir auch nicht sondern bringt da auch
Fehlermeldungen.

Ulrich

[Attila]

Post by Ulrich D i e z
Habe ich nun versucht und ein ca 300 GB grosses
unkmprimiertes Image-File erhalten, das sich unter Knoppix
genausowenig mounten lässt wie das bereits erzeugte.
[ Der Rechner mit dem zu sichernden NTFS-Volume kann
leider kein USB-3 und mit CloneZilla dauert deshalb das
Erzeugen der Sicherung geschlagene sieben Stunden...]

Hast du die Möglichkeit das Image selbst mal zu testen? Wenn eine
300GB große Partition ein 300GB großes Image ergibt, dann wurde wohl
nicht partclone.ntfs benutzt. Aber lieber vorher erst mal die URL zur
FAQ von clonezilla (siehe unten) ausprobieren.

Wenn das nicht so lange dauern würde, würde ich dir ja glatt
vorschlagen mal das Original von clonezilla.org zu verwenden, denn dort
sind wirklich alle partclone.* enthalten.

Post by Ulrich D i e z
Für partclone habe ich bisher allerdings leider nur entweder
kurze oder chinesische und damit für mich leider nicht
verständliche Anleitungen im Internet gefunden.

http://www.partclone.org/usage/partclone.php
http://www.partclone.org/usage/partclone.restore.php

Wenn ich die Namensgebung deines Images richtig deute (NTFS
Partition liegt auf sda1) würde dir folgendes langen:

partclone.ntfs -c -d -s /dev/sda1 -o sda1ntfs.img

Post by Ulrich D i e z
Nach ebendieser bin ich fast vorgegangen.

Es gäbe in der FAQ von clonezilla ein Beispiel für ntfs:

http://drbl.org/faq/fine-print.php?path=./2_System/43_read_ntfsimg_content.faq#43_read_ntfsimg_content.faq

Sorry, bisher habe ich ntfs Partitonen eher gelöscht als gesichert :)

Bis dann, Attila

[Lars Behrens]

Post by Ulrich D i e z
Wie kann ich Knoppix dazu bekommen, das Image
eines NTFS-Volume zu mounten?

Kannst du nicht einen Teil der 2,5TB USB-Platte opfern, eine zweite
Partition anlegen und das Image direkt dahin clonen? Dass kannst du dann
mounten und davon müsstest du dann auch booten können.

[Ulrich D i e z]

Post by Lars Behrens
Kannst du nicht einen Teil der 2,5TB USB-Platte opfern, eine zweite
Partition anlegen und das Image direkt dahin clonen? Dass kannst du dann
mounten und davon müsstest du dann auch booten können.

[Das Problem ist inzwischen gelöst, aber vielleicht ist ja trotzdem
noch von Interesse dass ich auf die Frage eingehe, ]

Im Prinzip ein guter Vorschlag, aber ich wollte das fragliche
Dateisystem lieber nicht direkt auf der Festplatte haben, sodern
in einem "Image-Container" halten.

Vom Image booten möchte ich im konkreten Fall lieber auch
nicht.

Der Grund ist:

Der üblicherweise unter Windows 7 laufende Rechner, dessen
Festplatte ich per CloneZilla spiegeln möchte, gehört einem
Bekannten und ist von Malware befallen.

Wenn dessen korrumpierte NTFS-Partition direkt in eine Partition
auf dem USB-Laufwerk gespiegelt wird, könnte sich folgendes
Szenarium ereignen:

Jemand stöpselt die USB-Festplatte an irgendeinen
Windows-Rechner an und durchforscht unbedarft die
gespiegelte korrumpierte Windows-Partition mit dem
Windows-Explorer, wobei der Windows-Explorer auch gleich
fröhlich alle möglichen Vorschauen und dergleichen anzeigt,
sodass unter Umständen allein durch das Durchsuchen der
hierfür verwendete Windows-Rechner infiziert wird.

Wenn ich statt mit einer gespiegelten Partition mit einem
Image-File arbeite, ist dies weitgehend ausgeschlossen:

Stöpselt man die USB-Festplatte an irgendeinen Windows-Rechner
an und durchforscht sie unbedarft mit dem Windows-Explorer, so
wird einem nur das Vorhandensein eines Image-Files angezeigt.
(Und einer Textdatei, die davor warnt, dass es sich um das
Abbild eines korrumpierten Systems handelt.)
Der Windows-Explorer macht bei Image-Dateien keine Vorschau
oder dergleichen - es kann also hoffentlich nichts Übles sofort
auf den fürs Durchsuchen verwendeten Windows-Rechner
gelangen.



Stellt sich vielleicht die Frage, warum überhaupt ich ein
korrumpiertes System spiegeln/sichern möchte:

Der Plan ist, die Festplatte des korrumpierten Rechners komplett
"plattzumachen" und von Grund auf neu zu installieren.

Aber bevor dieser Rechner plattgemacht wird, wollte ich aus
zwei Gründen ein Backup des korrumpierten Systems haben:

1. Für den Fall, dass nach dem Plattmachen beim Neuinstallieren
etwas schiefgeht, wollte ich mir die Möglichkeit offenhalten,
wenigstens das korrumpierte System wiederherzustellen.

2. Derjenige, dem der fragliche Rechner gehört, hat seine
Dateien überall auf der Festplatte verstreut und er wird
einige Zeit auf der Festplatte herumsuchen müssen, bis er
alles zusammengesammelt hat, was er nach der
Neuinstallation noch braucht.

Für diesen Zusammensuchensprozess wollte ich die
Möglichkeit schaffen, parallel auf zwei Rechnern zu arbeiten:

Zum einen kann der Bekannte auf dem befallenen Rechner
mit der ihm vertrauten Windows-Explorer-Software auf
der Festplatte "herumsurfen", sich die diversen Speicherorte
seiner Dokumente und Fotos etc wieder ins Gedächtnis rufen,
alles anschauen und sich überlegen, was er nach einer
Neuinstallation noch haben will.

Zum anderen kann bei angestöpselter USB-Festplatte
ein zweiter Rechner von der Knoppix-CD gebootet und
das Image file mit der identischen Dateistruktur gemountet
werden.

Dann hat man zeitgleich auf zwei Rechnern die selbe
Datenstruktur zur Verfügung und es kann wie folgt
gearbeitet werden:

Der Bekannte sitzt am ihm vertrauten aber leider korrumpierten
und von allen Netzen (LAN/WLAN/Bluetooth etc) abgetrennten
Windows-Rechner, "duchsurft" das Dateisystem, und überlegt
sich, welche Dateien er für später gerettet haben möchte.

Jemand, der sich mit Knoppix auskennt bzw im Umgang damit
keine Beklommenheit verspürt, sitzt am Knoppix-Rechner und
kopiert dort unter Verwendung des bequemen im graphischen
Desktop laufenden Dateimanagers PCManFM die entsprechenden
Dateien aus dem durch das gemountete Image-File dargestellten
Dateisystem heraus in einen separaten Ordner auf der
USB-Festplatte.

Da das Knoppix-System nicht korrumpiert ist, kann man davon
ausgehen, dass zum einen der Kopiervorgang korrekt abläuft
und zum anderen nicht irgendein Virus etwa in den Kopiervorgang
eingreift und/oder sonstige Daten auf der externen Festplatte
korrumpiert/infiziert.

Die herauskopierten Dateien befinden sich alle in einem separaten
Ordner und es reicht aus, den Inhalt lediglich dieses Ordners auf
Malware zu untersuchen bevor man später die herauskopierten
Dateien in das neu installierte System transferiert.

Ulrich

[Edzard Egberts]

Post by Ulrich D i e z
Aber wenn ich Knoppix boote und versuche, dieses
Image gemäß Anleitung zu mounten, gibt es jedesmal
Fehlermeldungen, dass nicht gemountet werden könne,
weil irgendwas am NTFS-Volume nicht passe oder es
sich vielleicht gar nicht um ein NTFS-Volume handele....

Ich habe mal erfolgreich dd-Images gemountet, das aber nicht
dokumentiert, sondern finde nur noch eine "Mount_dd.bash", die
irgendetwas mit Offset macht. Vielleicht hilft Dir das ja trotzdem:

#!/bin/bash
#----------------------------------------------------------------------
# Author: haveaniceday
# Version: 1, Last updated: 12/2007
#----------------------------------------------------------------------

# fdisk finden
PATH="/sbin:$PATH"
if [ $# -lt 1 ]
then
echo "usage: ${0##*/} <image>"
exit 1
fi

IMAGE=$1
if [ ! -f $IMAGE ]
then
echo "Warnung, $IMAGE ist kein File"
fi

# tr -d '*' => bootflag entfernen
LANG=C fdisk -lu $IMAGE 2>&1 | tr -d '*' | grep "$IMAGE[a-z0-9]" |
while read part start end blocks id rest
do
echo
echo "$read $part $start $end $blocks $id $rest"
case $id in
5|f|85) echo "Ignoriere extended partition"
continue
;;
82) echo "Ignoriere Swap"
continue
;;
*)
;;
esac

let offset=$start*512
echo mount -o loop,ro,offset=$offset $IMAGE /mnt
done
exit 0

[Heiko Schlenker]

Post by Ulrich D i e z
Jetzt hätte ich gerne aus der CloneZilla-Sicherung
ein einziges unkomprimiertes Image-File am Stück
erzeugt, welches auch auf der 2.5TB grossen
externen USB-Festplatte liegen soll und welches sich
mounten lässt wenn man die Knoppix-Live-CD bootet.

Wenn Clonezilla das Image mit Hilfe von ntfsclone erzeugt hat, dann
ist es besser, dessen Option "--save-image" *nicht* zu verwenden, wenn
das Image später gemountet werden soll.

Gruß, Heiko

[Bernd]

Am Fri, 28 Feb 2014 01:39:21 +0100
schrieb Ulrich D i e z <***@web.de>:

(...)

Post by Ulrich D i e z
Mittels CloneZilla-CD habe ich eine 300GB grosse
NTFS-Partition eines Windows-Rechners auf
eine 2.5TB grosse externe USB-Festplatte gesichert.

(...)

Post by Ulrich D i e z
Jetzt hätte ich gerne aus der CloneZilla-Sicherung
ein einziges unkomprimiertes Image-File am Stück
erzeugt, welches auch auf der 2.5TB grossen
externen USB-Festplatte liegen soll und welches sich
mounten lässt wenn man die Knoppix-Live-CD bootet.
Der erste Teil klappt: Wenn ich mich sklavisch an
die Anleitung halte, bekomme ich nach vier Stunden
ohne Fehlermeldungen so eine Image-Datei am Stück.

(...)

# mount -o loop -t ntfs image.img /mnt

Bernd

PS: Ggf. offset=<Offset, Bytes> angeben, wenn die Partition nicht direkt
am Anfang der Imagedatei beginnt.

[Manfred Schmitt]

Post by Bernd
Am Fri, 28 Feb 2014 01:39:21 +0100
(...)

Post by Ulrich D i e z
Mittels CloneZilla-CD habe ich eine 300GB grosse
NTFS-Partition eines Windows-Rechners auf
eine 2.5TB grosse externe USB-Festplatte gesichert.

(...)

Post by Ulrich D i e z
Jetzt hätte ich gerne aus der CloneZilla-Sicherung
ein einziges unkomprimiertes Image-File am Stück
erzeugt, welches auch auf der 2.5TB grossen
externen USB-Festplatte liegen soll und welches sich
mounten lässt wenn man die Knoppix-Live-CD bootet.

(...)
# mount -o loop -t ntfs image.img /mnt

Zumindest frueher wollte man mit dem Treiber zumindest nicht schreiben
weil dann gerne mal das Dateisystem zerlegt wurde. So habe ich es
zumindest in Erinnerung. Genutzt habe ich den wenn ueberhaupt nur
hoechst selten.
Da Linux seit Jahren als default, also wenn man -t nicht angibt und es
auch keine Konfiguration in der /etc/fstab fuer das device gibt, Fuse
ntfs-3g nutzt und nicht ntfs vermute ich mal das ist auch heutzutage
nicht wesentlich anders.
Eventuell ist der ntfs-Treiber aber lesend schneller als ntfs-3g?

Post by Bernd
PS: Ggf. offset=<Offset, Bytes> angeben, wenn die Partition nicht direkt
am Anfang der Imagedatei beginnt.

Oder man nimmt einfach kpartx.

Und wech,
Manne

[Ulrich D i e z]

Post by Ulrich D i e z
Das Programm WinImage unter Windows 7 kann diese
Datei problemlos auslesen und zeigt mir auch die darin
enthaltene Dateistruktur an.

[...]

Post by Ulrich D i e z
Aber wenn ich Knoppix boote und versuche, dieses
Image gemäß Anleitung zu mounten, gibt es jedesmal
Fehlermeldungen, dass nicht gemountet werden könne,
weil irgendwas am NTFS-Volume nicht passe oder es
sich vielleicht gar nicht um ein NTFS-Volume handele....

Vielen Dank an alle, die geantwortet haben und helfen
wollten.

Inzwischen habe ich bis zu einem gewissen Grad
herausgefunden, womit das Problem zusammehängt
und muss zu meiner Schande sagen, dass es wohl
nichts mit Linux zu tun hat, sondern wohl mit der
Integrität der fürs Abspeichern des Image-File
verwendeten externen USB-Platte:

Unter Windows 7 konnte ich zwar mit dem Programm
WinImage durch die Verzeichnisstruktur des im Image-File
gespeicherten Dateisystems "browsen" und etliche Dateien
herauskopieren, aber es gab dann doch auch etliche
Dateien, bei denen der Versuch, sie herauszukopieren,
Fehlermeldungen verursacht hat(, was mir aber vorher nicht
aufgefallen war, da ich bei meinen ersten "Stichproben"
wohl nicht an solche poblematischen Dateien geraten war),
und denen zufolge von der externen USB-Platte nicht
gelesen werden konnte.

Also habe ich die externe USB-Platte unter Win7 via
scandisk und via chkdsk untersuchen lassen und festgestellt,
dass sie lauter defekte Sektoren hat und dass es offenbar
immer mehr werden. Dabei hatte ich die Festplatte erst vor
einem Vierteljahr neu gekauft und so gut wie nie benutzt.

Ich habe also eine weitere externe Festplatte eines anderen
Herstellers besorgt, dort nochmal gemäß
http://simonstamm.de/clonezilla-image-mounten-um-einzelne-dateien-wiederherzustellen/
(unter Vornahme der für die Anpassung der Vorgehensweise
an meine Gegebenheiten notwendigen Änderungen) das
Image-File auf die selbe Weise erzeugt wie beim letztenmal,
und diesmal lässt es sich unter Knoppix problemlos mounten.

Bitte entschuldigt, dass ich diese Linux-Newsgroup belästigt
habe, ohne vorher die Integrität der Festplatte überprüft
zu haben. Mein Haupt in Scham senkend gelobe ich hiermit
Besserung und bitte um Nachsicht. Ich habe in meiner
"Methodensammlung" notiert, in Zukunft bei der Fehlersuche
auch bei solchen Datenträgern, die noch einigermassen neu
sind, erst deren Integrität zu überprüfen.

Ulrich