【服务器数据恢复】Apple苹果Xsan文件系统卷宗误操作导致文件丢失数据恢复案例

一：案例描述
客户向我们反馈他们的macOS服务器上因为人为误操作，删除了重要的图片文件和视频文件存档，希望能够帮助他们进行数据恢复。
二：解决方案
1.案例评估
1）什么是苹果Xsan文件系统
macOS服务器上使用的都是苹果Xsan文件系统，一般也可以说成Xsan宗卷，是目前Apple为最高需求的大小型计算环境设计的64位簇文件系统。该文件系统属于日志型文件系统，大的结构方式类似于常见的EXT4，但是又是独立区分的，可以参照下图：

2）Xsan阵列崩溃与误操作导致文件丢失的恢复方案区别
Xsan文件系统最多的故障多为阵列奔溃，这种是最好处理的，只需要按照正常的RAID方式即可轻轻松松随便恢复，对于专业数据恢复公司来说，非常简单，但是对于Xsan文件系统运行正常，只是各种误操作删除或者是丢失了文件，这种情况下则需要更深层次的方案才能解决，因为目前来说，市面上还没用能够支持Xsan文件系统扫描恢复的软件工具。目前海境超备恢复过的Xsan文件系统，全是同行或者是多次数据恢复不理想最后再通过商家或同行“介绍”找来的，具体原因也很简单，无法解析该文件系统的数据恢复公司都会直接采用RAW恢复的方式提取文件，这样可以恢复部分连续存储的小文件，但是只有内容，没有目录和名字。而且这对于Xsan来说，这种恢复方式只能提取一小部分连续存储的小文件。
2.恢复方案
1）普通RAW恢复
新建2个测试文件，CS0011大小为100M，CS0022大小为1M
CS0011的文件头为E6B58BE8AF95E69687E4BBB630303131
CS0022的文件头为E6B58BE8AF95E69687E4BBB630303232
通过RAW恢复，可以恢复CS0022文件，但是无法恢复分段式存储的CS0011文件，如下图所示：

文件CS0011如下图所示：

通过RAW恢复则无法获取文件存储列表，只能按照假设文件是连续存储的情况恢复，则CS0011该文件通过RAW恢复只能恢复出9份里面的1份，故：恢复的文件无效，无法打开，文件损坏。
2）Xsan文件系统目录恢复
为了防止误操作丢失的文件被新写入的文件造成覆盖，应停止往Xsan文件系统内进行任何的写入操作，通过光纤口把Xsan的成员空间挂载到一个安全的恢复环境内；
重组Xsan的阵列，将各个成员使用软件工具重新组合，模拟出正常的Xsan文件系统的环境。上面两个步骤属于恢复Xsan文件系统的正常操作，重点在于下面的解析；
使用数据恢复专用工具对文件系统区域进行解析，找到丢失的文件目录结构，手动根据列表的数据进行数据恢复提取。

三：案例总结
Xsan是Apple专为满足数据可用性的最高需求的大小型计算环境设计的64位簇文件系统。这项专业技术使多个Mac桌面和Xserve系统通过高速光纤通道网络共享RAID存储卷标。每个客户端可以直接在中央文件系统上读取和写入数据，从而增强工作组协作并提高用户效率。Xsan允许多台计算机通过高速光纤通道同时访问XserveRAID中存储的TB甚至PB容量数据。高性能的存储网络Xsan充分利用了Mac OS X系统中强大的64位文件系统，使得SAN上的数十个系统可同时读写共享的存储内容。