Netapp数据恢复—误删NetApp卷数据：从崩溃到恢复的实战复盘

NetApp存储数据恢复环境：
NetApp某型号存储存储上有96块SAS接口硬盘，硬盘扇区大小是520字节。所有lun映射到小型机使用，存放Oracle数据库文件，采用ASM裸设备存储方式。

NetApp存储故障：
工作人员误操作删除了存储上的所有lun。沟通后得知：由于业务变化，需要重新规划空间，工作人员将存储卷全部删除并重新分配。删除卷但还没有分配的时候，上层业务宕机。运维工程师紧急排查故障情况，发现业务服务器上的磁盘都看不见了，无法访问数据。

NetApp存储数据恢复过程：
1、将NetApp存储上的每块磁盘以只读方式做完整镜像。后续所有恢复操作都在镜像文件上进行，避免对原始磁盘数据造成二次破坏。
2、分析Netapp存储的存储过程。
a、分析盘序和LVM的组成方式。
b、扫描硬盘内的所有节点。
c、在扫描结果中找到文件大小符合需求的节点并提取此节点。
d、根据索引根内的第一级数据指针提取本文件的所有直接数据指针，在指针提取完毕后开始提取文件数据。
3、在硬盘前面扇区的位置找到超级块相关信息，从超级块中得到相应信息。
netapp超级块：

北亚企安数据恢复—NetApp数据恢复

4、根据数据块描述信息判断出哪些磁盘是校验盘（提取数据时校验盘需剔除）。
校验块描述信息样例：

北亚企安数据恢复—NetApp数据恢复

5、依据每块磁盘的磁盘信息以及磁盘的RAID盘序表确定盘序。确定各个磁盘所属aggr组，判断组内盘序，获取到数据盘的盘序。
netapp盘序表：

北亚企安数据恢复—NetApp数据恢复

6、分析节点及节点头部信息。
Netapp的节点分布在数量众多的数据块内，在数据块内的节点又被统一组织为节点组。每个节点组的部分字节记录一些系统数据；部分字节为一项，记录各个文件节点。根据用户级别可分为系统文件节点和用户文件节点。
netapp节点样例图：

北亚企安数据恢复—NetApp数据恢复

7、获取目录项，并根据其节点编号，找到对应节点。
目录项信息：

北亚企安数据恢复—NetApp数据恢复

8、分析好存储结构之后，使用北亚企安自主开发的NetApp解析程序提取数据， 解析asm文件系统，提取出数据库文件。

北亚企安数据恢复—NetApp数据恢复

9、搭建小机环境，安装oracle数据库，检测数据库文件和备份文件。
a、使用提取出的数据库文件可以正常启动数据库。
b、筛选出最新的数据库备份文件，使用筛选出的备份文件还原数据库。经过一一尝试，筛选出最新的可用的数据库备份，还原数据库环境。
10、用户方工程师验证后确认数据完整有效，本次数据恢复工作完成。

审核编辑 黄宇