vsan數(shù)據(jù)恢復環(huán)境：

一套VMware vSAN超融合基礎架構，全閃存，開啟壓縮重刪。共11臺服務器節(jié)點。每臺服務器節(jié)點上配置1塊PCIE固態(tài)硬盤和8-10塊SSD固態(tài)硬盤。

每個服務器節(jié)點上創(chuàng)建1個磁盤組，每個磁盤組將1個PCIE固態(tài)硬盤識別為2個硬盤作為緩存盤，將8-10個SSD固態(tài)硬盤作為容量盤，共同組成vSAN存儲空間，用來存儲虛擬機文件。

vsan故障&檢測：

vSAN中一臺服務器節(jié)點的PCIE緩存盤發(fā)生故障，導致vSAN邏輯架構出現(xiàn)故障，2臺虛擬機磁盤組件出現(xiàn)問題，虛擬機無法正常使用。

將11臺節(jié)點服務器中的所有磁盤編號后取出，以只讀方式做全盤鏡像備份，備份完成后將磁盤按照編號還原到原節(jié)點服務器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件，避免對原始磁盤數(shù)據(jù)造成二次破壞。

掃描&分析全部鏡像文件，發(fā)現(xiàn)由于版本更新和開啟了壓縮重刪機制，底層結構差異較大。

針對這種情況的數(shù)據(jù)恢復，難點在于壓縮和重刪的算法，因為需要大量數(shù)據(jù)碰撞測試和大量代碼來測試壓縮和重刪算法。

vsan數(shù)據(jù)恢復過程：

1、基于鏡像文件分析底層數(shù)據(jù)。根據(jù)底層記錄的磁盤ID等信息，將節(jié)點、磁盤組、緩存盤、容量盤等信息及對應關系進行整理記錄。

2、嘗試在底層搜索&分析組件信息，結果發(fā)現(xiàn)組件信息被壓縮，無法進行分析。

3、測試壓縮和重刪。因該vSAN集群開啟了壓縮重刪機制，底層數(shù)據(jù)結構發(fā)生很大的變化。北亞企安數(shù)據(jù)恢復工程師搭建相同版本的環(huán)境，在搭建好的環(huán)境中通過大量數(shù)據(jù)碰撞測試來研究壓縮重刪的算法和存儲結構。

4、通過大量數(shù)據(jù)碰撞測試研究壓縮重刪算法，因為不確定該vSAN集群的采用了何種壓縮算法，所以北亞企安數(shù)據(jù)恢復工程師只能通過大量規(guī)律數(shù)據(jù)進行逆向推理確定其壓縮算法，然后解壓縮。

壓縮塊：

解壓后：

5、解析重刪位圖。通過大量數(shù)據(jù)測試確定壓縮位圖位置、記錄方式、位圖索引塊大小等，從而獲取位圖索引方式，解析重刪位圖。

6、因為VSAN中所有文件都是以對象的方式存在，每個對象會被分割為多個組件。北亞企安數(shù)據(jù)恢復工程師編寫程序掃描組件信息，根據(jù)組件中的runlist找到每個數(shù)據(jù)塊和該塊在組件的邏輯位置，然后編寫程序提取完整組件。

7、根據(jù)組件信息中的描述信息將組件按照描述信息中記錄的RAID級別和各個組件在對象中的邏輯位置進行組合，拼接出完整的對象，即完整的vmdk文件。因為每個組件可能會有部分數(shù)據(jù)留在緩存盤上，并沒有寫入到容量盤中，所以北亞企安數(shù)據(jù)恢復工程師編寫程序將緩存盤上的數(shù)據(jù)刷新到對應的組件或對象中。

8、因為本案例中虛擬磁盤使用Windows下DFS分布式文件系統(tǒng)并且開啟重刪機制，無法直接提取數(shù)據(jù)。新建DFS環(huán)境，將合并完成的虛擬磁盤掛載到該環(huán)境下，掛載后可直接訪問數(shù)據(jù)。

9、由用戶方對數(shù)據(jù)進行檢測，經(jīng)過檢測確認恢復出來的數(shù)據(jù)完整可用。本次數(shù)據(jù)恢復工作完成。