VSAN数据恢复——开启重删压缩的全闪存VSAN下虚拟机数据恢复案例

本文涉及的产品
无影云电脑个人版,1个月黄金款+200核时
资源编排,不限时长
无影云电脑企业版,4核8GB 120小时 1个月
简介: VMware VSAN超融合架构,11台服务器节点。每台服务器节点上创建1个磁盘组,磁盘组包括1块PCIe固态硬盘(作为缓存盘)和8-10块SSD(作为数据盘),组成VSAN存储空间来存放虚拟机文件。启用了去重和压缩功能。一台服务器节点上的一块PCIE缓存盘出现故障,导致VSAN逻辑架构问题。2台虚拟机磁盘组件出现问题,虚拟机无法正常使用。

VSAN数据恢复环境&故障:
VMware VSAN超融合架构,11台服务器节点。每台服务器节点上创建1个磁盘组,磁盘组包括1块PCIe固态硬盘(作为缓存盘)和8-10块SSD(作为数据盘),组成VSAN存储空间来存放虚拟机文件。启用了去重和压缩功能。
一台服务器节点上的一块PCIE缓存盘出现故障,导致VSAN逻辑架构问题。2台虚拟机磁盘组件出现问题,虚拟机无法正常使用。

VSAN数据恢复过程:
1、将VSAN的节点服务器上所有硬盘标记后拆出,经过硬件工程师的检测后没有发现硬盘存在硬件故障,可以正常读取。将所有硬盘以只读方式进行扇区级全盘镜像。镜像完成后将所有磁盘按照原样还原到原服务器中,后续的数据分析和数据恢复操作都基于镜像进行,避免对原始磁盘数据造成二次破坏。
2、由于VSAN版本更新以及开启了压缩重删,所以底层结构差异较大。这种情况下恢复数据的难点在于压缩和重删的算法。针对开启了压缩和重删的VSAN的数据恢复需要大量测试进行数据碰撞和大量代码测试其算法。
3、基于镜像文件扫描分析。根据底层记录的磁盘ID等信息,北亚企安数据恢复工程师整理记录节点、磁盘组、缓存盘、数据盘等信息和对应关系。
4、尝试在底层搜索&分析组件信息。信息被压缩导致无法分析。
5、VSAN集群开启压缩重删会导致底层数据结构发生很大变化。搭建相同版本的环境进行大量的测试进行数据碰撞来研究压缩重删的算法和存储结构。
6、由于不确定采用了何种压缩算法,所以北亚企安数据恢复工程师只能通过大量规律数据进行逆向推理,确定压缩算法后解压缩。
压缩块:
01副本.jpg

解压后:
02副本.jpg

7、通过大量数据测试,确定压缩位图位置、记录方式、位图索引块大小等。获取位图索引方式,从而解析重删位图。
03副本.jpg

8、VSAN中所有文件均以对象的方式存在,每个对象被分割为多个组件。北亚企安数据恢复工程师编写程序扫描所有组件信息。组件信息中记录了组件ID和该组件所属对象的对象ID等信息。根据组件中的runlist找到每个数据块和该块在组件的逻辑位置,北亚企安数据恢复工程师编写程序提取完整组件。
04副本.jpg
05副本.jpg

9、根据组件信息中的描述信息,将组件按照描述信息中记录的RAID级别和各个组件在对象中的逻辑位置进行组合,拼接出完整的对象(vmdk文件)。可能每个组件都会有部分数据留在缓存盘上,并没有写入到数据盘中,于是北亚企安数据恢复工程师编写程序将缓存盘上的数据刷新到对应的组件或对象中。
06副本.jpg
07副本.jpg

10、由于本案例中虚拟磁盘使用DFS分布式文件系统并且开启了重删,无法直接提取数据。新建DFS环境,将合并完成的虚拟磁盘挂在到该环境下。挂载后可直接访问数据。
08副本.jpg
09副本.jpg

11、用户方对恢复出来的数据进行检测后,确认恢复出来的数据完整有效,认可数据恢复结果。

目录
打赏
0
3
3
0
205
分享
相关文章
虚拟化数据恢复—VMFS简介&误删除虚拟机的数据恢复案例
物理区:物理上连续的磁盘空间,即通常意义上的分区。 本地区:VMFS管理的物理区分为保留区和本地区,前面一部分是保留区,后面部分是本地区。本地区又分为元文件区和数据区。 元文件:与NTFS的元文件类似,属于FS的管理用数据。VMFS有6个元文件:.VH.SF/.FBB.SF/.FDC.SF/.SBC.SF/.PBC.SF/.PB2.SF。 元文件区:6个元文件占用的所有空间,在本地区的前面部分。 数据区:用于存放文件数据。 datastore:在ESX服务器上看到的VMFS存储空间。 LV:logical volume,所指的范围其实和本地区一样,即虚拟化卷。 LVM逻辑卷组:用来管理跨dis
虚拟化数据恢复—Vmware虚拟机误还原快照的数据恢复案例
虚拟化数据恢复环境: 一台虚拟机从物理机迁移到ESXI虚拟化平台,迁移完成后做了一个快照。虚拟机上运行了一个SQL Server数据库,记录了数年的数据。 ESXI虚拟化平台上有数十台虚拟机,EXSI虚拟化平台连接了一台EVA存储,所有的虚拟机都存放在EVA存储上。 虚拟化故障: 工组人员误操作将数年前迁移完成后做的快照还原了,也就意味着虚拟机状态还原到数年前,近几年数据都被删除了。 还原快照相当于删除数据,意味着部分存储空间会被释放。为了不让这部分释放的空间被重用,需要将连接到这台存储的所有虚拟机都关掉,需要将不能长时间宕机的虚拟机迁移到别的EXSI虚拟化平台上。
132 50
VMware虚拟机ping不通原因排查及分析
下面以 VMware 虚拟机为例进行介绍。
1642 3
虚拟机VMware知识积累
虚拟机VMware知识积累
Xshell 连接 VMware虚拟机操作 截图和使用
Xshell 连接 VMware虚拟机操作 截图和使用
106 4
vmware虚拟机安装2024(超详细)
vmware虚拟机安装2024(超详细)
499 6
虚拟机 VMware Workstation 16 PRO 的网络配置
虚拟机 VMware Workstation 16 PRO 的网络配置
124 2
虚拟化数据恢复—VMware虚拟机vmdk文件被误删除的数据恢复案例
虚拟化数据恢复环境: 某品牌服务器(部署VMware EXSI虚拟机)+同品牌存储(存放虚拟机文件)。 虚拟化故障: 意外断电导致服务器上某台虚拟机无法正常启动。查看虚拟机配置文件发现这台故障虚拟机除了磁盘文件以外其他配置文件全部丢失,xxx-flat.vmdk磁盘文件和xxx-000001-delta.vmdk快照文件还在。管理员联系VMware工程师寻求帮助。VMware工程师尝试新建一个虚拟机来解决故障,但发现ESXi存储空间不足。于是将故障虚拟机下的xxx-flat.vmdk磁盘文件删除,然后重建一个虚拟机并且分配固定大小的虚拟磁盘。
iOS自动化测试方案(五):保姆级VMware虚拟机安装MacOS
详细的VMware虚拟机安装macOS Big Sur的保姆级教程,包括下载VMware和macOS镜像、图解安装步骤和遇到问题时的解决方案,旨在帮助读者顺利搭建macOS虚拟机环境。
262 3
iOS自动化测试方案(五):保姆级VMware虚拟机安装MacOS