vsan數據恢復環境：

一套VMware vSAN超融合基礎架構，全閃存，開啟壓縮重刪。共11臺服務器節點。每臺服務器節點上配置1塊PCIE固態硬盤和8-10塊SSD固態硬盤。

每個服務器節點上創建1個磁盤組，每個磁盤組將1個PCIE固態硬盤識別為2個硬盤作為緩存盤，將8-10個SSD固態硬盤作為容量盤，共同組成vSAN存儲空間，用來存儲虛擬機文件。

vsan故障&檢測：

vSAN中一臺服務器節點的PCIE緩存盤發生故障，導致vSAN邏輯架構出現故障，2臺虛擬機磁盤組件出現問題，虛擬機無法正常使用。

將11臺節點服務器中的所有磁盤編號后取出，以只讀方式做全盤鏡像備份，備份完成后將磁盤按照編號還原到原節點服務器中，后續的數據分析和數據恢復操作都基于鏡像文件，避免對原始磁盤數據造成二次破壞。

掃描&分析全部鏡像文件，發現由于版本更新和開啟了壓縮重刪機制，底層結構差異較大。

針對這種情況的數據恢復，難點在于壓縮和重刪的算法，因為需要大量數據碰撞測試和大量代碼來測試壓縮和重刪算法。

vsan數據恢復過程：

1、基于鏡像文件分析底層數據。根據底層記錄的磁盤ID等信息，將節點、磁盤組、緩存盤、容量盤等信息及對應關系進行整理記錄。

2、嘗試在底層搜索&分析組件信息，結果發現組件信息被壓縮，無法進行分析。

3、測試壓縮和重刪。因該vSAN集群開啟了壓縮重刪機制，底層數據結構發生很大的變化。北亞企安數據恢復工程師搭建相同版本的環境，在搭建好的環境中通過大量數據碰撞測試來研究壓縮重刪的算法和存儲結構。

4、通過大量數據碰撞測試研究壓縮重刪算法，因為不確定該vSAN集群的采用了何種壓縮算法，所以北亞企安數據恢復工程師只能通過大量規律數據進行逆向推理確定其壓縮算法，然后解壓縮。

壓縮塊：

北亞企安數據恢復——vsan數據庫恢復

解壓后：

北亞企安數據恢復——vsan數據庫恢復

5、解析重刪位圖。通過大量數據測試確定壓縮位圖位置、記錄方式、位圖索引塊大小等，從而獲取位圖索引方式，解析重刪位圖。

北亞企安數據恢復——vsan數據庫恢復

6、因為VSAN中所有文件都是以對象的方式存在，每個對象會被分割為多個組件。北亞企安數據恢復工程師編寫程序掃描組件信息，根據組件中的runlist找到每個數據塊和該塊在組件的邏輯位置，然后編寫程序提取完整組件。

北亞企安數據恢復——vsan數據庫恢復

北亞企安數據恢復——vsan數據庫恢復

7、根據組件信息中的描述信息將組件按照描述信息中記錄的RAID級別和各個組件在對象中的邏輯位置進行組合，拼接出完整的對象，即完整的vmdk文件。因為每個組件可能會有部分數據留在緩存盤上，并沒有寫入到容量盤中，所以北亞企安數據恢復工程師編寫程序將緩存盤上的數據刷新到對應的組件或對象中。

北亞企安數據恢復——vsan數據庫恢復

北亞企安數據恢復——vsan數據庫恢復

8、因為本案例中虛擬磁盤使用Windows下DFS分布式文件系統并且開啟重刪機制，無法直接提取數據。新建DFS環境，將合并完成的虛擬磁盤掛載到該環境下，掛載后可直接訪問數據。

北亞企安數據恢復——vsan數據庫恢復

北亞企安數據恢復——vsan數據庫恢復

9、由用戶方對數據進行檢測，經過檢測確認恢復出來的數據完整可用。本次數據恢復工作完成。

審核編輯：湯梓紅