vsan數(shù)據(jù)恢復(fù)環(huán)境：

一套VMware vSAN超融合基礎(chǔ)架構(gòu)，全閃存，開(kāi)啟壓縮重刪。共11臺(tái)服務(wù)器節(jié)點(diǎn)。每臺(tái)服務(wù)器節(jié)點(diǎn)上配置1塊PCIE固態(tài)硬盤和8-10塊SSD固態(tài)硬盤。

每個(gè)服務(wù)器節(jié)點(diǎn)上創(chuàng)建1個(gè)磁盤組，每個(gè)磁盤組將1個(gè)PCIE固態(tài)硬盤識(shí)別為2個(gè)硬盤作為緩存盤，將8-10個(gè)SSD固態(tài)硬盤作為容量盤，共同組成vSAN存儲(chǔ)空間，用來(lái)存儲(chǔ)虛擬機(jī)文件。

vsan故障&檢測(cè)：

vSAN中一臺(tái)服務(wù)器節(jié)點(diǎn)的PCIE緩存盤發(fā)生故障，導(dǎo)致vSAN邏輯架構(gòu)出現(xiàn)故障，2臺(tái)虛擬機(jī)磁盤組件出現(xiàn)問(wèn)題，虛擬機(jī)無(wú)法正常使用。

將11臺(tái)節(jié)點(diǎn)服務(wù)器中的所有磁盤編號(hào)后取出，以只讀方式做全盤鏡像備份，備份完成后將磁盤按照編號(hào)還原到原節(jié)點(diǎn)服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。

掃描&分析全部鏡像文件，發(fā)現(xiàn)由于版本更新和開(kāi)啟了壓縮重刪機(jī)制，底層結(jié)構(gòu)差異較大。

針對(duì)這種情況的數(shù)據(jù)恢復(fù)，難點(diǎn)在于壓縮和重刪的算法，因?yàn)樾枰罅繑?shù)據(jù)碰撞測(cè)試和大量代碼來(lái)測(cè)試壓縮和重刪算法。

vsan數(shù)據(jù)恢復(fù)過(guò)程：

1、基于鏡像文件分析底層數(shù)據(jù)。根據(jù)底層記錄的磁盤ID等信息，將節(jié)點(diǎn)、磁盤組、緩存盤、容量盤等信息及對(duì)應(yīng)關(guān)系進(jìn)行整理記錄。

2、嘗試在底層搜索&分析組件信息，結(jié)果發(fā)現(xiàn)組件信息被壓縮，無(wú)法進(jìn)行分析。

3、測(cè)試壓縮和重刪。因該vSAN集群開(kāi)啟了壓縮重刪機(jī)制，底層數(shù)據(jù)結(jié)構(gòu)發(fā)生很大的變化。北亞企安數(shù)據(jù)恢復(fù)工程師搭建相同版本的環(huán)境，在搭建好的環(huán)境中通過(guò)大量數(shù)據(jù)碰撞測(cè)試來(lái)研究壓縮重刪的算法和存儲(chǔ)結(jié)構(gòu)。

4、通過(guò)大量數(shù)據(jù)碰撞測(cè)試研究壓縮重刪算法，因?yàn)椴淮_定該vSAN集群的采用了何種壓縮算法，所以北亞企安數(shù)據(jù)恢復(fù)工程師只能通過(guò)大量規(guī)律數(shù)據(jù)進(jìn)行逆向推理確定其壓縮算法，然后解壓縮。

壓縮塊：

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

解壓后：

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

5、解析重刪位圖。通過(guò)大量數(shù)據(jù)測(cè)試確定壓縮位圖位置、記錄方式、位圖索引塊大小等，從而獲取位圖索引方式，解析重刪位圖。

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

6、因?yàn)閂SAN中所有文件都是以對(duì)象的方式存在，每個(gè)對(duì)象會(huì)被分割為多個(gè)組件。北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序掃描組件信息，根據(jù)組件中的runlist找到每個(gè)數(shù)據(jù)塊和該塊在組件的邏輯位置，然后編寫程序提取完整組件。

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

7、根據(jù)組件信息中的描述信息將組件按照描述信息中記錄的RAID級(jí)別和各個(gè)組件在對(duì)象中的邏輯位置進(jìn)行組合，拼接出完整的對(duì)象，即完整的vmdk文件。因?yàn)槊總€(gè)組件可能會(huì)有部分?jǐn)?shù)據(jù)留在緩存盤上，并沒(méi)有寫入到容量盤中，所以北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序?qū)⒕彺姹P上的數(shù)據(jù)刷新到對(duì)應(yīng)的組件或?qū)ο笾小?/p>

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

8、因?yàn)楸景咐刑摂M磁盤使用Windows下DFS分布式文件系統(tǒng)并且開(kāi)啟重刪機(jī)制，無(wú)法直接提取數(shù)據(jù)。新建DFS環(huán)境，將合并完成的虛擬磁盤掛載到該環(huán)境下，掛載后可直接訪問(wèn)數(shù)據(jù)。

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——vsan數(shù)據(jù)庫(kù)恢復(fù)

9、由用戶方對(duì)數(shù)據(jù)進(jìn)行檢測(cè)，經(jīng)過(guò)檢測(cè)確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)完整可用。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯：湯梓紅