NetApp数据恢复—WAFL文件系统误删除的数据恢复案例

NetApp存储故障：
一台NetApp存储配置24块磁盘。管理员几个月之前删除一个文件夹，后期发现这个文件夹中的数据很重要，需要恢复。
根据NetApp文件系统WAFL的特性，新写入数据覆盖之前的数据的可能性不大，可以尝试恢复这个很久之前删除的文件夹。

NetApp存储数据恢复过程：
1、将NetApp存储上所有磁盘编号后取出，由硬件工程师检测后没有发现有硬盘存在硬件故障。将所有硬盘以只读方式进行扇区级全盘镜像，镜像完成后将所有磁盘按照原样还原到NetApp存储。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、基于镜像文件分析NetApp存储的数据结构，由于不同型号的WAFL文件系统版本差异很大，所以需要根据节点的结构进行判断，比如数据块节点指针，或为8字节，或为12字节。经过数据恢复工程师的分析，最终确定本案例NetApp存储上WAFL文件系统版本以及数据块指针为8字节。

经过观察，发现该WAFL文件系统的块大小为8+1扇区，其中前4个扇区为数据块，后一扇区为block标志。有的WAFL文件系统版本中，将最后一个扇区内容压缩至数据扇区的最后一个扇区的最后，以节约磁盘容量。
块校验扇区：

3、分析目录结构，目录结构中存放了文件夹、文件以及文件系统本身的元信息。该结构还存放了文件的节点（该节点唯一）和父文件夹的节点，且与数据节点中的信息一致。
目录：

4、完成分析后扫描全盘，将需要的节点信息以及目录信息全部扫描出来，存放进数据库。
5、根据用户方的要求，在数据库里查找需要的文件和文件夹，建立目录树。
6、研究算法之后，北亚企安数据恢复工程师根据需求编写相应程序，结合根目录提取需要的数据。
7、提取完成后，用户方经过仔细检测，确认恢复出来的数据完整，认可数据恢复结果。