虛擬化數(shù)據(jù)恢復(fù)—誤刪VM虛擬機如何“滿血復(fù)活”？

VMFS簡介：
物理區(qū)：物理上連續(xù)的磁盤空間，即通常意義上的分區(qū)。
本地區(qū)：VMFS管理的物理區(qū)分為保留區(qū)和本地區(qū)，前面一部分是保留區(qū)，后面部分是本地區(qū)。本地區(qū)又分為元文件區(qū)和數(shù)據(jù)區(qū)。
元文件：與NTFS的元文件類似，屬于FS的管理用數(shù)據(jù)。VMFS有6個元文件：.VH.SF/.FBB.SF/.FDC.SF/.SBC.SF/.PBC.SF/.PB2.SF。
元文件區(qū)：6個元文件占用的所有空間，在本地區(qū)的前面部分。
數(shù)據(jù)區(qū)：用于存放文件數(shù)據(jù)。
datastore：在ESX服務(wù)器上看到的VMFS存儲空間。
LV：logical volume，所指的范圍其實和本地區(qū)一樣，即虛擬化卷。
LVM邏輯卷組：用來管理跨disk的LV，相當(dāng)于VMFS的存儲空間datastore。

VMFS元文件：
.VH.SF： volume header文件，承載了‘本地區(qū)(或者LV)’的大小、時間、塊大小、塊數(shù)等信息。
.FBB.SF：file-bitmap文件，承載了‘datastore’里的塊使用情況的位圖信息。
.FDC.SF：file-discriptor文件，承載了‘datastore’里所有文件、目錄的結(jié)點信息。
.SBC.SF： subblock分配文件，承載了‘datastore’里所有小文件、目錄的數(shù)據(jù)區(qū)。
.PBC.SF： point-block文件，指針文件，承載了大文件的額外指針（超出結(jié)點記錄范圍的地址）。
.PB2.SF： .PBC.SF的再擴展。

虛擬機刪除的數(shù)據(jù)恢復(fù)流程：
虛擬機刪除后空間被回收，數(shù)據(jù)會暫存于自由空間中。根據(jù)entry中的位圖將所有空閑子塊全部提取出來，在自由空間中進(jìn)行查找恢復(fù)，防止現(xiàn)有數(shù)據(jù)的干擾。虛擬機刪除后是否可以恢復(fù)，關(guān)鍵在于磁盤頭部是否還存在，若磁盤頭部還存在就可以嘗試拼接虛擬磁盤。
1、將所有磁盤做好標(biāo)記后取出，硬件工程師對所有硬盤進(jìn)行檢測看是否有硬盤存在硬件故障。如果有硬盤存在硬件故障，嘗試修復(fù)故障硬盤。
2、將所有磁盤在只讀模式下進(jìn)行扇區(qū)級全盤鏡像，鏡像完成后將所有磁盤按照原樣還原到原服務(wù)器/存儲中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
3、基于鏡像分析所有磁盤底層數(shù)據(jù)。需要分析的內(nèi)容包括：每個塊組中子塊的數(shù)量，每個area中entry的數(shù)量，元文件頭部的大小，子塊大小，area的數(shù)量。根據(jù)entry特征值分析entry的大小。根據(jù)entry中的位圖信息，使用北亞企安自主開發(fā)的虛擬化數(shù)據(jù)恢復(fù)工具提取VMFS卷的自由子塊。
4、通過解析每個塊第一條指針至數(shù)據(jù)區(qū)來判斷丟失虛擬磁盤頭部是否存在。如果存在則嘗試進(jìn)行虛擬機的拼接工作。
5、遍歷所有類型的子塊，判斷第一條指針是否為磁盤頭部。使用北亞企安自主開發(fā)的虛擬化分析工具判斷每個類型子塊第一條指針是否為磁盤頭部及頭部類型（MBR、EXT4、LVM、Sparse、SeSparse等），并將判斷結(jié)果保存至數(shù)據(jù)庫中。數(shù)據(jù)庫只記錄磁盤類型和磁盤頭部所在位置，需根據(jù)丟失虛擬機大小、文件系統(tǒng)等判斷是否有符合丟失磁盤特征的頭部。
6、分析符合特征的磁盤頭部。按照文件系統(tǒng)存儲結(jié)構(gòu)進(jìn)行尋址拼接。計算出需要匹配數(shù)據(jù)塊的特征值和該數(shù)據(jù)塊在磁盤中的位置，以及特征值在數(shù)據(jù)庫內(nèi)的偏移位置。
7、根據(jù)需要修復(fù)的文件系統(tǒng)特征值和位置，使用北亞企安自研的工具匹配符合結(jié)構(gòu)的數(shù)據(jù)塊。
8、根據(jù)匹配結(jié)果及該數(shù)據(jù)塊在子塊中的連續(xù)性，使用北亞企安自研的工具拼接正確的數(shù)據(jù)塊。直至恢復(fù)出所有數(shù)據(jù)。

審核編輯 黃宇