阵列RAID5+0 16块盘每盘3T 只有一个NTFS分区恢复成功

330wang · 发表于 2014-5-26 10:08:46

本帖最后由 330wang 于 2014-5-26 10:31 编辑

做个广告：培训阵列恢复，学完后达到自己能独立分析阵列的能力，包括raid0，raid1E，raid5，raid5EE，HP双循环

先说句题外话
现在的存储越来越大了,一般大型RAID,往往数据量特别巨大.要恢复这样的阵列需要手上有足够的硬盘.......而你要付出的代价也是比较大的.

      一同行打来电话说,自己有个RAID50搞不定,让我帮忙一下.
      这个阵列也是不同一般的阵列,RAID5+0,是第一个亮点,16块盘,是第二个亮点,每个盘3TB是第三个亮点,只有一个NTFS分区是第四个亮点.
      方便期间,让他给我上传了镜像,每个磁盘500000扇区.这对分析阵列足够了.(运气好的话还能包括几个大文件)

这里先给大家普及一下RAID50.

它具有RAID 5和RAID 0的共同特性。它由两组RAID 5磁盘组成（每组最少3个），每一组都使用了分布式奇偶位，而两组硬盘再组建成RAID 0，实验跨磁盘抽取数据。RAID 50提供可靠的数据存储和优秀的整体性能，并支持更大的卷尺寸。即使两个物理磁盘发生故障（每个阵列中一个），数据也可以顺利恢复过来。
RAID 50最少需要6个驱动器，它最适合需要高可靠性存储、高读取速度、高数据传输性能的应用。这些应用包括事务处理和有许多用户存取小文件的办公应用程序。

...................来自baidu知道.

接到镜像后,用winhex打开,并解释为磁盘.
说明一下,winhex下的磁盘1,2,3,4,5,6,7......和客户的真实磁盘相对应,不一定是真实的阵列顺序,真实的磁盘顺序还需要进一步分析.大家看下图

r501

我们可以看到,这个阵列1和8号镜像有MBR信息.且分区表中显示这个阵列中NTFS分区大小为38.2T.

我们先大概分析一下这个阵列的大小(16-2)*3TB=42TB.这是理论上的大小,实际windows会显示42*1000*1000*1000/1024/1024/1024=39.1155TB.
这和我们看到的结果明显不符呀.少了1T多的空间.
这1T的空间哪去了??
我们先留下这个疑问,继续分析这个结构.

下面我们在每个磁盘中搜索一下NTFS文件系统的DBR.

r502

在镜像盘9上发现唯一的一个DBR.

r503

我们看一下这个分区的参数.

r504

我们可以看到,簇大小32扇区,每扇区512字节.分区大小一共82030956543扇区.
这个分区一共82030956543/2/1024/1024/1024=38.1986TB(这和分区表中看到的是一样的,说明这是个正确的DBR信息),还记得之前的39.1155TB吗??
这就说明这个阵列不是普通的RAID5+0结构.

因为知道这是个NTFS分区,所以$MFT就派上用场了.

下面开始搜索每个磁盘的有效$MFT文件,找到有价值的区域.
大家看下图:

r505

在每个磁盘的468480扇区找到了符合条件的MFT记录.
也可以看出块大小及盘顺序.以及校验信息及RAID50的真实结构.
大家好好研究一下这个图吧.

这时我们分析一下容量:
16*3*(1-4/(8*4))=41.143TB换成window可以识别的容量就是41.143*1000*1000*1000/1024/1024/1024=38.317TB. 这回容量差不多了.

好了.结构知道了,下面就是重组了.......
但是这个结构一般软件不支持,那应该怎么办呀??
通过R-Studio特定的模板,组合了这个阵列.

下面进行验证.

r506