NetApp存储故障:

一台NetApp存储配置24块磁盘。管理员几个月之前删除一个文件夹,后期发现这个文件夹中的数据很重要,需要恢复。

根据NetApp文件系统WAFL的特性,新写入数据覆盖之前的数据的可能性不大,可以尝试恢复这个很久之前删除的文件夹。


NetApp存储数据恢复过程:

1、将NetApp存储上所有磁盘编号后取出,由硬件工程师检测后没有发现有硬盘存在硬件故障。将所有硬盘以只读方式进行扇区级全盘镜像,镜像完成后将所有磁盘按照原样还原到NetApp存储。后续的数据分析和数据恢复操作都基于镜像文件进行,避免对原始磁盘数据造成二次破坏。

2、基于镜像文件分析NetApp存储的数据结构,由于不同型号的WAFL文件系统版本差异很大,所以需要根据节点的结构进行判断,比如数据块节点指针,或为8字节,或为12字节。经过数据恢复工程师的分析,最终确定本案例NetApp存储上WAFL文件系统版本以及数据块指针为8字节。

NetApp数据恢复—NetApp存储WAFL文件系统误删除文件夹的数据恢复案例_服务器数据恢复

经过观察,发现该WAFL文件系统的块大小为8+1扇区,其中前4个扇区为数据块,后一扇区为block标志。有的WAFL文件系统版本中,将最后一个扇区内容压缩至数据扇区的最后一个扇区的最后,以节约磁盘容量。

块校验扇区:

NetApp数据恢复—NetApp存储WAFL文件系统误删除文件夹的数据恢复案例_服务器数据恢复_02

3、分析目录结构,目录结构中存放了文件夹、文件以及文件系统本身的元信息。该结构还存放了文件的节点(该节点唯一)和父文件夹的节点,且与数据节点中的信息一致。

目录:

NetApp数据恢复—NetApp存储WAFL文件系统误删除文件夹的数据恢复案例_netapp数据恢复_03

4、完成分析后扫描全盘,将需要的节点信息以及目录信息全部扫描出来,存放进数据库。

5、根据用户方的要求,在数据库里查找需要的文件和文件夹,建立目录树。

6、研究算法之后,北亚企安数据恢复工程师根据需求编写相应程序,结合根目录提取需要的数据。

7、提取完成后,用户方经过仔细检测,确认恢复出来的数据完整,认可数据恢复结果。