VMFS簡介：
物理區(qū)：物理上連續(xù)的磁盤空間，即通常意義上的分區(qū)。
本地區(qū)：VMFS管理的物理區(qū)分為保留區(qū)和本地區(qū)，前面一部分是保留區(qū)，后面部分是本地區(qū)。本地區(qū)又分為元文件區(qū)和數據區(qū)。
元文件：與NTFS的元文件類似，屬于FS的管理用數據。VMFS有6個元文件：.VH.SF/.FBB.SF/.FDC.SF/.SBC.SF/.PBC.SF/.PB2.SF。
元文件區(qū)：6個元文件占用的所有空間，在本地區(qū)的前面部分。
數據區(qū)：用于存放文件數據。
datastore：在ESX服務器上看到的VMFS存儲空間。
LV：logical volume，所指的范圍其實和本地區(qū)一樣，即虛擬化卷。
LVM邏輯卷組：用來管理跨disk的LV，相當于VMFS的存儲空間datastore。

VMFS元文件：
.VH.SF： volume header文件，承載了‘本地區(qū)(或者LV)’的大小、時間、塊大小、塊數等信息。
.FBB.SF：file-bitmap文件，承載了‘datastore’里的塊使用情況的位圖信息。
.FDC.SF：file-discriptor文件，承載了‘datastore’里所有文件、目錄的結點信息。
.SBC.SF： subblock分配文件，承載了‘datastore’里所有小文件、目錄的數據區(qū)。
.PBC.SF： point-block文件，指針文件，承載了大文件的額外指針（超出結點記錄范圍的地址）。
.PB2.SF： .PBC.SF的再擴展。

虛擬機刪除的數據恢復流程：
虛擬機刪除后空間被回收，數據會暫存于自由空間中。根據entry中的位圖將所有空閑子塊全部提取出來，在自由空間中進行查找恢復，防止現有數據的干擾。虛擬機刪除后是否可以恢復，關鍵在于磁盤頭部是否還存在，若磁盤頭部還存在就可以嘗試拼接虛擬磁盤。
1、將所有磁盤做好標記后取出，硬件工程師對所有硬盤進行檢測看是否有硬盤存在硬件故障。如果有硬盤存在硬件故障，嘗試修復故障硬盤。
2、將所有磁盤在只讀模式下進行扇區(qū)級全盤鏡像，鏡像完成后將所有磁盤按照原樣還原到原服務器/存儲中。后續(xù)的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
3、基于鏡像分析所有磁盤底層數據。需要分析的內容包括：每個塊組中子塊的數量，每個area中entry的數量，元文件頭部的大小，子塊大小，area的數量。根據entry特征值分析entry的大小。根據entry中的位圖信息，使用北亞企安自主開發(fā)的虛擬化數據恢復工具提取VMFS卷的自由子塊。
4、通過解析每個塊第一條指針至數據區(qū)來判斷丟失虛擬磁盤頭部是否存在。如果存在則嘗試進行虛擬機的拼接工作。
5、遍歷所有類型的子塊，判斷第一條指針是否為磁盤頭部。使用北亞企安自主開發(fā)的虛擬化分析工具判斷每個類型子塊第一條指針是否為磁盤頭部及頭部類型（MBR、EXT4、LVM、Sparse、SeSparse等），并將判斷結果保存至數據庫中。數據庫只記錄磁盤類型和磁盤頭部所在位置，需根據丟失虛擬機大小、文件系統(tǒng)等判斷是否有符合丟失磁盤特征的頭部。
6、分析符合特征的磁盤頭部。按照文件系統(tǒng)存儲結構進行尋址拼接。計算出需要匹配數據塊的特征值和該數據塊在磁盤中的位置，以及特征值在數據庫內的偏移位置。
7、根據需要修復的文件系統(tǒng)特征值和位置，使用北亞企安自研的工具匹配符合結構的數據塊。
8、根據匹配結果及該數據塊在子塊中的連續(xù)性，使用北亞企安自研的工具拼接正確的數據塊。直至恢復出所有數據。

審核編輯 黃宇