VSAN數據恢復環境&故障：
VMware VSAN超融合架構，11臺服務器節點。每臺服務器節點上創建1個磁盤組，磁盤組包括1塊PCIe固態硬盤（作為緩存盤）和8-10塊SSD（作為數據盤），組成VSAN存儲空間來存放虛擬機文件。啟用了去重和壓縮功能。
一臺服務器節點上的一塊PCIE緩存盤出現故障，導致VSAN邏輯架構問題。2臺虛擬機磁盤組件出現問題，虛擬機無法正常使用。

VSAN數據恢復過程：
1、將VSAN的節點服務器上所有硬盤標記后拆出，經過硬件工程師的檢測后沒有發現硬盤存在硬件故障，可以正常讀取。將所有硬盤以只讀方式進行扇區級全盤鏡像。鏡像完成后將所有磁盤按照原樣還原到原服務器中，后續的數據分析和數據恢復操作都基于鏡像進行，避免對原始磁盤數據造成二次破壞。
2、由于VSAN版本更新以及開啟了壓縮重刪，所以底層結構差異較大。這種情況下恢復數據的難點在于壓縮和重刪的算法。針對開啟了壓縮和重刪的VSAN的數據恢復需要大量測試進行數據碰撞和大量代碼測試其算法。
3、基于鏡像文件掃描分析。根據底層記錄的磁盤ID等信息，北亞企安數據恢復工程師整理記錄節點、磁盤組、緩存盤、數據盤等信息和對應關系。
4、嘗試在底層搜索&分析組件信息。信息被壓縮導致無法分析。
5、VSAN集群開啟壓縮重刪會導致底層數據結構發生很大變化。搭建相同版本的環境進行大量的測試進行數據碰撞來研究壓縮重刪的算法和存儲結構。
6、由于不確定采用了何種壓縮算法，所以北亞企安數據恢復工程師只能通過大量規律數據進行逆向推理，確定壓縮算法后解壓縮。
壓縮塊：

北亞企安數據恢復—VSAN數據恢復

解壓后：

北亞企安數據恢復—VSAN數據恢復

7、通過大量數據測試，確定壓縮位圖位置、記錄方式、位圖索引塊大小等。獲取位圖索引方式，從而解析重刪位圖。

北亞企安數據恢復—VSAN數據恢復

8、VSAN中所有文件均以對象的方式存在，每個對象被分割為多個組件。北亞企安數據恢復工程師編寫程序掃描所有組件信息。組件信息中記錄了組件ID和該組件所屬對象的對象ID等信息。根據組件中的runlist找到每個數據塊和該塊在組件的邏輯位置，北亞企安數據恢復工程師編寫程序提取完整組件。

北亞企安數據恢復—VSAN數據恢復

北亞企安數據恢復—VSAN數據恢復

9、根據組件信息中的描述信息，將組件按照描述信息中記錄的RAID級別和各個組件在對象中的邏輯位置進行組合，拼接出完整的對象（vmdk文件）。可能每個組件都會有部分數據留在緩存盤上，并沒有寫入到數據盤中，于是北亞企安數據恢復工程師編寫程序將緩存盤上的數據刷新到對應的組件或對象中。

北亞企安數據恢復—VSAN數據恢復

北亞企安數據恢復—VSAN數據恢復

北亞企安數據恢復—VSAN數據恢復

北亞企安數據恢復—VSAN數據恢復

10、由于本案例中虛擬磁盤使用DFS分布式文件系統并且開啟了重刪，無法直接提取數據。新建DFS環境，將合并完成的虛擬磁盤掛在到該環境下。掛載后可直接訪問數據。

11、用戶方對恢復出來的數據進行檢測后，確認恢復出來的數據完整有效，認可數據恢復結果。

審核編輯 黃宇