NetApp FAS2240-4存儲(chǔ)文件刪除一個(gè)月是怎么恢復(fù)的

故障情況簡介：
需要進(jìn)行數(shù)據(jù)恢復(fù)的設(shè)備是一臺NetApp存儲(chǔ)，共有24塊磁盤組成。由于管理員刪除文件夾，且時(shí)間比較久，刪除有幾個(gè)月時(shí)間。

可恢復(fù)性判斷：
由于NetApp中的文件系統(tǒng)的特性，WAFL是“Write Anywhere File Layout”， 即“任意位置寫入文件布局”的特性，所以覆蓋之前的數(shù)據(jù)的可能性不大，可以進(jìn)行嘗試性數(shù)據(jù)恢復(fù)。

數(shù)據(jù)恢復(fù)步驟：
1，分析NetApp的數(shù)據(jù)結(jié)構(gòu)，由于不同型號的WAFL文件系統(tǒng)版本各有不同且差距較大，所以需要根據(jù)節(jié)點(diǎn)的結(jié)構(gòu)進(jìn)行判斷，比如數(shù)據(jù)塊節(jié)點(diǎn)指針，或?yàn)?字節(jié)，或?yàn)?2字節(jié)。經(jīng)過人工的分析斷定此次案例中的版本為WAFL7.3.4，數(shù)據(jù)塊指針為8字節(jié)。

2，經(jīng)過觀察，該文件系統(tǒng)使用的blocksize為8+1扇區(qū)，其中前4個(gè)扇區(qū)為數(shù)據(jù)塊，后一扇區(qū)為block標(biāo)志，有的版本中，采用的將最后一個(gè)扇區(qū)內(nèi)容壓縮至數(shù)據(jù)扇區(qū)的最后一個(gè)扇區(qū)的最后，以節(jié)約磁盤容量。

塊校驗(yàn)扇區(qū)

3，重要的是分析目錄結(jié)構(gòu)，這里面存放了文件夾，文件，以及文件系統(tǒng)本身的元信息。該結(jié)構(gòu)存放了文件的節(jié)點(diǎn)，該節(jié)點(diǎn)唯一，父文件夾的節(jié)點(diǎn)，且與數(shù)據(jù)節(jié)點(diǎn)中的信息一致。

目錄
4，分析完成這些重要的結(jié)構(gòu)之后，就是進(jìn)行全盤的掃描了，將我們需要的節(jié)點(diǎn)信息以及目錄信息全部掃描出來，存放進(jìn)數(shù)據(jù)庫。
5，根據(jù)用戶的需要，將需要的文件或文件夾的在數(shù)據(jù)庫里面查找，建立我們需要的目錄樹，了解算法之后，根據(jù)需求編寫相應(yīng)的程序，提供根目錄之后，后續(xù)基本就是靠程序跑出來了。