故障情况简介:
需要进行数据恢复的设备是一台NetApp存储,共有24块磁盘组成。由于管理员删除文件夹,且时间比较久,删除有几个月时间。

可恢复性判断:
由于NetApp中的文件系统的特性,WAFL是“Write Anywhere File Layout”, 即“任意位置写入文件布局”的特性,所以覆盖之前的数据的可能性不大,可以进行尝试性数据恢复。

数据恢复步骤:
1,分析NetApp的数据结构,由于不同型号的WAFL文件系统版本各有不同且差距较大,所以需要根据节点的结构进行判断,比如数据块节点指针,或为8字节,或为12字节。经过人工的分析断定此次案例中的版本为WAFL7.3.4,数据块指针为8字节。
NetApp FAS2240-4存储文件删除一个月是怎么恢复的_第1张图片
2,经过观察,该文件系统使用的blocksize为8+1扇区,其中前4个扇区为数据块,后一扇区为block标志,有的版本中,采用的将最后一个扇区内容压缩至数据扇区的最后一个扇区的最后,以节约磁盘容量。
NetApp FAS2240-4存储文件删除一个月是怎么恢复的_第2张图片
块校验扇区

3,重要的是分析目录结构,这里面存放了文件夹,文件,以及文件系统本身的元信息。该结构存放了文件的节点,该节点唯一,父文件夹的节点,且与数据节点中的信息一致。
NetApp FAS2240-4存储文件删除一个月是怎么恢复的_第3张图片
目录
4,分析完成这些重要的结构之后,就是进行全盘的扫描了,将我们需要的节点信息以及目录信息全部扫描出来,存放进数据库。
5,根据用户的需要,将需要的文件或文件夹的在数据库里面查找,建立我们需要的目录树,了解算法之后,根据需求编写相应的程序,提供根目录之后,后续基本就是靠程序跑出来了。