VMFS簡(jiǎn)介：
物理區(qū)：物理上連續(xù)的磁盤(pán)空間，即通常意義上的分區(qū)。
本地區(qū)：VMFS管理的物理區(qū)分為保留區(qū)和本地區(qū)，前面一部分是保留區(qū)，后面部分是本地區(qū)。本地區(qū)又分為元文件區(qū)和數(shù)據(jù)區(qū)。
元文件：與NTFS的元文件類似，屬于FS的管理用數(shù)據(jù)。VMFS有6個(gè)元文件：.VH.SF/.FBB.SF/.FDC.SF/.SBC.SF/.PBC.SF/.PB2.SF。
元文件區(qū)：6個(gè)元文件占用的所有空間，在本地區(qū)的前面部分。
數(shù)據(jù)區(qū)：用于存放文件數(shù)據(jù)。
datastore：在ESX服務(wù)器上看到的VMFS存儲(chǔ)空間。
LV：logical volume，所指的范圍其實(shí)和本地區(qū)一樣，即虛擬化卷。
LVM邏輯卷組：用來(lái)管理跨disk的LV，相當(dāng)于VMFS的存儲(chǔ)空間datastore。

VMFS元文件：
.VH.SF： volume header文件，承載了‘本地區(qū)(或者LV)’的大小、時(shí)間、塊大小、塊數(shù)等信息。
.FBB.SF：file-bitmap文件，承載了‘datastore’里的塊使用情況的位圖信息。
.FDC.SF：file-discriptor文件，承載了‘datastore’里所有文件、目錄的結(jié)點(diǎn)信息。
.SBC.SF： subblock分配文件，承載了‘datastore’里所有小文件、目錄的數(shù)據(jù)區(qū)。
.PBC.SF： point-block文件，指針文件，承載了大文件的額外指針（超出結(jié)點(diǎn)記錄范圍的地址）。
.PB2.SF： .PBC.SF的再擴(kuò)展。

虛擬機(jī)刪除的數(shù)據(jù)恢復(fù)流程：
虛擬機(jī)刪除后空間被回收，數(shù)據(jù)會(huì)暫存于自由空間中。根據(jù)entry中的位圖將所有空閑子塊全部提取出來(lái)，在自由空間中進(jìn)行查找恢復(fù)，防止現(xiàn)有數(shù)據(jù)的干擾。虛擬機(jī)刪除后是否可以恢復(fù)，關(guān)鍵在于磁盤(pán)頭部是否還存在，若磁盤(pán)頭部還存在就可以嘗試拼接虛擬磁盤(pán)。
1、將所有磁盤(pán)做好標(biāo)記后取出，硬件工程師對(duì)所有硬盤(pán)進(jìn)行檢測(cè)看是否有硬盤(pán)存在硬件故障。如果有硬盤(pán)存在硬件故障，嘗試修復(fù)故障硬盤(pán)。
2、將所有磁盤(pán)在只讀模式下進(jìn)行扇區(qū)級(jí)全盤(pán)鏡像，鏡像完成后將所有磁盤(pán)按照原樣還原到原服務(wù)器/存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
3、基于鏡像分析所有磁盤(pán)底層數(shù)據(jù)。需要分析的內(nèi)容包括：每個(gè)塊組中子塊的數(shù)量，每個(gè)area中entry的數(shù)量，元文件頭部的大小，子塊大小，area的數(shù)量。根據(jù)entry特征值分析entry的大小。根據(jù)entry中的位圖信息，使用北亞企安自主開(kāi)發(fā)的虛擬化數(shù)據(jù)恢復(fù)工具提取VMFS卷的自由子塊。
4、通過(guò)解析每個(gè)塊第一條指針至數(shù)據(jù)區(qū)來(lái)判斷丟失虛擬磁盤(pán)頭部是否存在。如果存在則嘗試進(jìn)行虛擬機(jī)的拼接工作。
5、遍歷所有類型的子塊，判斷第一條指針是否為磁盤(pán)頭部。使用北亞企安自主開(kāi)發(fā)的虛擬化分析工具判斷每個(gè)類型子塊第一條指針是否為磁盤(pán)頭部及頭部類型（MBR、EXT4、LVM、Sparse、SeSparse等），并將判斷結(jié)果保存至數(shù)據(jù)庫(kù)中。數(shù)據(jù)庫(kù)只記錄磁盤(pán)類型和磁盤(pán)頭部所在位置，需根據(jù)丟失虛擬機(jī)大小、文件系統(tǒng)等判斷是否有符合丟失磁盤(pán)特征的頭部。
6、分析符合特征的磁盤(pán)頭部。按照文件系統(tǒng)存儲(chǔ)結(jié)構(gòu)進(jìn)行尋址拼接。計(jì)算出需要匹配數(shù)據(jù)塊的特征值和該數(shù)據(jù)塊在磁盤(pán)中的位置，以及特征值在數(shù)據(jù)庫(kù)內(nèi)的偏移位置。
7、根據(jù)需要修復(fù)的文件系統(tǒng)特征值和位置，使用北亞企安自研的工具匹配符合結(jié)構(gòu)的數(shù)據(jù)塊。
8、根據(jù)匹配結(jié)果及該數(shù)據(jù)塊在子塊中的連續(xù)性，使用北亞企安自研的工具拼接正確的數(shù)據(jù)塊。直至恢復(fù)出所有數(shù)據(jù)。

審核編輯 黃宇