NetApp數(shù)據(jù)恢復(fù)環(huán)境&故障：
某公司一臺(tái)NetApp存儲(chǔ)，該存儲(chǔ)中有24塊磁盤。
工作人員誤刪除了NetApp存儲(chǔ)中一個(gè)文件夾，文件夾中有非常重要的數(shù)據(jù)。
數(shù)據(jù)恢復(fù)工程師在現(xiàn)場(chǎng)對(duì)該存儲(chǔ)進(jìn)行了初檢。雖然這個(gè)文件夾被刪除很長(zhǎng)時(shí)間，但是根據(jù)NetApp存儲(chǔ)中的WAFL文件系統(tǒng)的特性，刪除數(shù)據(jù)被覆蓋的可能性不大，可以嘗試恢復(fù)數(shù)據(jù)。

NetApp存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1，由于WAFL文件系統(tǒng)不同版本之間的差距比較大，北亞企安數(shù)據(jù)恢復(fù)工程師首先需要根據(jù)節(jié)點(diǎn)的結(jié)構(gòu)對(duì)數(shù)據(jù)塊節(jié)點(diǎn)指針進(jìn)行判斷。經(jīng)過(guò)對(duì)該NetApp存儲(chǔ)的數(shù)據(jù)結(jié)構(gòu)進(jìn)行分析，北亞企安數(shù)據(jù)恢復(fù)工程師確定本案例中的文件系統(tǒng)版本為WAFL7.3.4，數(shù)據(jù)塊指針為16字節(jié)。

北亞企安數(shù)據(jù)恢復(fù)—NetApp數(shù)據(jù)恢復(fù)

2，分析扇區(qū)。通過(guò)對(duì)扇區(qū)的分析得知該文件系統(tǒng)使用的blocksize為16+2扇區(qū)，其中前8個(gè)扇區(qū)為數(shù)據(jù)塊，后2扇區(qū)為block標(biāo)志。
塊校驗(yàn)扇區(qū)：

北亞企安數(shù)據(jù)恢復(fù)—NetApp數(shù)據(jù)恢復(fù)

3，分析目錄結(jié)構(gòu)。NetApp存儲(chǔ)的目錄結(jié)構(gòu)中存放了文件、文件夾以及文件系統(tǒng)本身的元信息。該結(jié)構(gòu)存放了文件的節(jié)點(diǎn)（該節(jié)點(diǎn)唯一）和父文件夾的節(jié)點(diǎn)，且與數(shù)據(jù)節(jié)點(diǎn)中的信息一致。
目錄：

北亞企安數(shù)據(jù)恢復(fù)—NetApp數(shù)據(jù)恢復(fù)

4，將后續(xù)數(shù)據(jù)恢復(fù)所需要的信息通過(guò)上述幾個(gè)步驟分析獲取到之后，開始對(duì)NetApp存儲(chǔ)進(jìn)行全盤掃描，將節(jié)點(diǎn)信息和目錄信息掃描出來(lái)，并存放到數(shù)據(jù)庫(kù)中以備后用。
5，根據(jù)用戶方的描述在數(shù)據(jù)庫(kù)中查找需要?jiǎng)h除的那個(gè)文件夾。建立需要的目錄樹，了解算法后北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)需求編寫相應(yīng)的程序，根據(jù)根目錄使用編寫的程序提取出用戶所需的數(shù)據(jù)。
6、經(jīng)過(guò)用戶方驗(yàn)證，確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)完整有效，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇