Phương pháp độc đáo để khôi phục dữ liệu RAID mất cấu hình

Trong nhiều trường hợp, việc khôi phục dữ liệu RAID có thể trở nên đặc biệt phức tạp khi hệ thống bị mất cấu hình ban đầu. Việc kiểm tra tất cả các cấu hình có khả năng xảy ra khi không có kinh nghiệm thực tế và chuyên môn sâu có thể cực kỳ “vô vọng” và không khả thi. Cùng tìm hiểu phương pháp giúp rút ngắn đáng kể thời gian thử nghiệm cấu hình mà vẫn có độ chính xác cao cũng như đảm tính toàn vẹn của dữ liệu trong bài viết dưới đây.

 

1.Tạo ảnh RAID

Có 2 cách tạo ảnh RAID thường gặp:

Cách 1: Tạo ảnh thiết bị đang được kiểm tra

Ưu điểm lớn nhất của phương pháp này là bạn không cần hiểu rõ cách sắp xếp của mảng RAID. Tuy nhiên, nhược điểm lớn là bạn phải thao tác trực tiếp trên thiết bị đang chạy – điều giám định viên nên tránh tối đa. Chúng ta có thể khởi động máy chủ và chạy phần mềm tạo ảnh từ USB hoặc Live CD – trong quá trình hoạt động, hệ điều hành có thể thay đổi một số dữ liệu.

Lựa chọn khác là khởi động hệ điều hành từ CD hoặc USB và chạy phần mềm. Tuy nhiên, không có gì đảm bảo nó sẽ hoạt động như mong đợi. Ví dụ, nhiều mảng RAID là RAID mềm (Software RAID), nên để nhìn thấy RAID, bạn cần chạy đúng phần mềm thích hợp. Ngoài ra, nếu áp dụng cách này, chúng ta sẽ không thể truy cập các khu vực ổ đĩa không được RAID sử dụng.

Tóm lại, với cách tạo ảnh thiết bị đang được kiểm tra, chúng ta không thể đảm bảo rằng dữ liệu sẽ được giữ nguyên vẹn.

 

Cách 2: Tạo ảnh từng ổ đĩa riêng biệt, sau đó lắp ráp mảng RAID ở chế độ chỉ đọc.

Đây là phương pháp duy nhất đảm bảo tính toàn vẹn của dữ liệu, đồng thời cho phép chúng ta xem xét toàn bộ các khu vực của ổ cứng HDD (RAID có thể không sử dụng toàn bộ dung lượng ổ đĩa lần lượt theo thứ tự mà chỉ dùng một số phân đoạn bên trong. Do đó, có thể tồn tại những vùng không sử dụng chứa dữ liệu ẩn).

Nhược điểm chính của phương pháp này là bạn cần rebuild RAID, tức là phải xác định được cấu hình của nó.

 

2. Xây dựng RAID

Đối với hệ thống RAID 4 ổ đĩa, ta có khoảng 24 cách sắp xếp thứ tự các ổ. Con số này sẽ tăng lên 100 khả năng đối với 5 ổ và hàng nghìn khả năng đối với 7 ổ. Bạn có thể đơn giản hóa quá trình xây dựng lại thứ tự của các ổ đĩa trong RAID băng cách xác định các tham số sau:

• Những ổ đĩa nào được sử dụng: đôi khi không phải tất cả ổ đĩa đều được dùng (hệ thống RAID có thể bao gồm ổ đĩa dự phòng), đôi khi bạn sẽ phải làm việc với những hệ thống bị thiếu ổ (do ổ bị hỏng hoặc đã bị loại bỏ nhưng nhờ cơ chế dự phòng mà mảng RAID vẫn hoạt động).
• Thứ tự các ổ trong mảng RAID: vị trí vật lý của các ổ trong hệ thống có thể phản ánh thứ tự này, nhưng không nên hoàn toàn dựa vào yếu tố này để xác định.
• Cấp độ RAID và thuật toán (nếu có).
• Kích thước block được sử dụng cho việc phân đoạn dữ liệu (striping).
• LBA bắt đầu và kết thúc (không phải lúc nào các ổ đĩa cũng được sử dụng từ LBA 0 đến max).
• Độ trễ: tính năng lặp là đặc điểm thường gặp ở các mảng RAID của HP.

Trong thực tế, có nhiều tình huống có thể xảy ra khiến việc xây dựng lại RAID trở nên phức tạp hơn đáng kể, ví dụ như:

• Metadata RAID bị thiếu, hỏng hoặc không chính xác
• File system bị hỏng, khiến việc sử dụng metadata của nó để xác định cấu hình trở nên khó khăn
• Một số ổ đĩa thành phần có thể không được sử dụng – thường là ổ dự phòng hot-spare hoặc ổ hệ thống
• Mảng RAID có cấu hình đặc biệt, chẳng hạn như dịch chuyển dữ liệu bất thường từ đầu ổ đĩa, độ trễ hoặc các thông số khác
• Ngoài ra, nhiều trường hợp giám định viên sẽ cần khắc phục hậu quả của việc rebuild RAID sai dẫn đến hỏng dữ liệu.

 

3. Bí quyết thành công

Để có thể trích xuất thành công dữ liệu RAID, điều tra viên cần biết cách kết hợp nhiều phương pháp tiếp cận khác nhau.

• Kỹ thuật file carving (chế độ “RAW Recovery” trong Data Extractor) với khả năng xác định kích thước phần nguyên của tệp.
• Tổng hợp và phân tích kết quả thu được từ file carving. Các tệp riêng lẻ có thể phán ánh nội dung không chính xác cho đến khi được kết hợp lại với nhau.
• Kiểm tra nhanh các giải thuyết. Để làm được điều này, ta cần một công cụ có khả năng tái tạo RAID trực tiếp (on-the-fly RAID reconstruction). Việc tạo một bản sao ổ đĩa cho mỗi lần kiểm tra giả thuyết sẽ tốn rất nhiều thời gian.

 

4. Kiến thức cơ bản về File Carving

File Carving (chế độ “RAW Recovery” trong PC-3000) là phương pháp tìm kiếm header của tệp dựa trên định dạng tệp mà không cần thông tin từ file system.

Cách đơn giản và phổ biến nhất là tìm kiếm signature ở phần mở đầu tệp. Ví dụ: ảnh PNG có signature “%PNG” ngay tại byte đầu tiên của tệp.

Hiểu biết về định dạng tệp không chỉ cho phép chúng ta tìm ra header mà còn ước tính phần nguyên của tệp từ bên dưới.

Ví dụ, các tệp PNG bao gồm một chuỗi các chunk, mỗi chunk đều có signature, kích thước và checksum – ta có thể xác minh dữ liệu một cách đáng tin cậy. Nếu tệp không bị hỏng hoặc phân mảnh, ta có thể kiểm tra từ đầu đến cuối và kết luận rằng tệp đó còn “nguyên vẹn” và có kích thước N byte.

Nếu tệp bị phân mảnh hoặc một phần nào đó đã bị ghi đè hay thay đổi, ta có thể xác định phần header và một vài đoạn đầu tiên còn nguyên vẹn chiếm K byte. Chuỗi phía sau có thể bị hỏng ở đâu đó, có thể là K+1 hoặc K+100 – điều này không thể xác định được. Nhưng ta có thể khẳng định K byte đầu tiên là nguyên vẹn.

Với các loại tệp khác nhau, khả năng kiểm tra phần nguyên vẹn và độ xác thực cũng khác nhau. Có loại tệp có thể kiểm tra toàn bộ như ví dụ với PNG, nhưng cũng có loại chỉ có thể kiểm tra được vài trăm byte tính từ đầu tệp, ví dụ như các tệp BMP.

Khả năng tìm header và kiểm tra phần nguyên vẹn của nhiều loại tệp khác nhau là một tính năng độc đáp của hệ thống PC-3000 RAID mà không công cụ nào khác có được.

 

5. Khắc phục sự cố tập tin trên thành phần RAID

Hãy cùng nghiên cứu một hệ thống RAID 5 đồng bộ trái (Left Synchronous – LS) đơn giản gồm 3 ổ đĩa thành phần. Nếu bạn đã từng thử khôi phục dữ liệu RAID, có lẽ bạn đã quen thuộc với cấu hình này:

Cùng xem xét ổ đĩa thành phần A:

Bảng RAID này mô tả quy luật lặp lại của phép dịch. Hình ảnh chỉ hiển thị 2 lần lặp lại đầy đủ và phần đầu của lần lặp lại thứ 3. Vì là thành phần RAID, nó lưu trữ các block dữ liệu và block dự phòng – XOR. Các block dữ liệu không chạy lần lượt 0, 1, 2, 3, …, mà chúng có các khoảng trống – 0, 3, 6, v.v. vì các block khác được lưu trữ trên các ổ thành phần khác.

Bây giờ, hãy cùng tìm hiểu cách thức hoạt động của việc craving tệp trên các thành phần RAID.

Ổ thành phần lưu trữ các block riêng lẻ của mảng RAID, do đó phần nguyên của tệp bị giới hạn bởi kích thước block.

• Tệp có thể bắt đầu và kết thúc ở đâu đó bên trong block dữ liệu
• Những tệp lớn sẽ bị ngắt ở cuối block vì phần còn lại của tệp được lưu trữ trên một ổ thành phần khác

Ở đây chúng ta thấy các tình huống mà xác suất xảy ra là cực kỳ nhỏ:

Phần nguyên của tệp trên ổ thành phần RAID:

• Không thể di chuyển từ block này sang block khác
• Không thể nằm trong block XOR

Tất nhiên, những trường hợp như vậy vẫn tồn tại, nhưng số lượng ít hơn nhiều so với những trường hợp “bình thường”.

Kết luận: Chúng ta chỉ có thể tìm thấy phần nguyên của tệp bên trong các block dữ liệu riêng lẻ.

 

6. Xử lý thống kê dữ liệu sau File Carving

Quy tắc chuyển đổi dữ liệu trong RAID là tuần hoàn. Trong trường hợp này, cứ 2 trong 3 block thực sự là block dữ liệu, và blok cuối cùng là XOR:

Nếu chúng ta chỉ cộng tổng số phần nguyên trong mỗi sector của mỗi block, chúng ta sẽ thấy:

• Có rất nhiều phần nguyên của các tệp bên trong các block dữ liệu
• Không có gì bên trong XOR
• Bạn có thể thấy ranh giới giữa các block vì tệp không vượt

Thực tế, chỉ có hệ thống PC-3000 RAID mới có khả năng xử lý dữ liệu carved theo phương pháp thống kê và minh họa kết quả bằng đồ họa. Trong ảnh chụp màn hình này, bạn có thể thấy biểu đồ từ phần mềm thu được trong quá trình xử lý thực tế:

Hình ảnh nhận được khá giống với những ảnh trên. Các block dữ liệu và block XOR “trống” hiện lên rất rõ. Các đường màu đỏ hiển thị vị trí các giá trị 0 và khác 0 nằm cạnh nhau, chúng giúp ta thấy được ranh giới tiềm năng giữa các block.

Đây là hình ảnh 3 ổ đĩa:

Ta có thể thấy block XOR (block “trống”) nằm ở những vị trí khác nhau trên các ổ đĩa thành phần, như quy luật của RAID 5. Kích thước block bằng 128 sector và được hiển thị trên biểu đồ (đừng quên rằng, LBA tăng dần từ trái sang phải, không phải từ trên xuống dưới).

 

7. Biểu đồ cho các chu kỳ khác nhau

Kích thước chu kỳ là số lượng đĩa nhân với kích thước block và độ trễ. Vậy trong trường hợp sai sót, chúng ta sẽ nhận được gì? Dưới đây là các ví dụ thực tế về sự thay đổi của biểu đồ của cùng một ổ đĩa trong các chu kỳ khác nhau:

• Trong trường hợp đầu tiên, kích thước block bị đặt nhỏ hơn 2 lần so với nhu cầu. Ta nhận được chu kỳ nhỏ hơn 2 lần và không thể xác định đây có phải RAID 5 hay không.
• Hình ảnh thứ hai – tất cả tham số đều chính xác, có thể khẳng định đây là RAID 5.
• Hình ảnh cuối cùng – số lượng ổ thành viên bị chọn sai là 4 thay vì 3 và ta nhận được biểu đồ “lỗi”

Vì vậy, nếu xây dựng thống kê với chu kỳ sai, ta sẽ nhận thấy biểu đồ không chính xác.

Việc tính toán chu kỳ và xem biểu đồ có thể được sử dụng như một cách kiểm tra nhanh. Nếu thấy các vùng trống (như trong các block XOR) – các tham số được thiết lập chính xác. Nếu không, đây có thể là lỗi hoặc cấu hình không có bất kỳ block XOR, RS hoặc HS nào. Trong trường hợp thực tế, biểu đồ có thể được xây dựng gần như ngay lập tức, vì vậy ta có thể sử dụng chúng như một cách kiểm tra nhanh.

 

8. Ví dụ về các cấu hình khác nhau

* RAID 5, 8 ổ đĩa, kích thước block 128 sector

Ta có thể thấy cấu hình RAID 5 được xây dựng trên 8 ổ đĩa với kích thước block bằng 128 sector như sau:

• Đây là RAID 5 bởi nó chỉ có 1 block “trống” duy nhất: XOR
• Xác định được 8 ổ đĩa thành phần nhờ chu kỳ gồm 8 block
• Kích thước block 128 sector có thể thấy rõ qua khoảng cách giữa các đường phụ màu đỏ

Ngoài ra, trong ảnh ta cũng có thể thấy trong block XOR hiển thị “noise”. Một số tệp đã được tìm thấy ở đó, điều này không phải là không có khả năng. Tuy nhiên, số lượng tệp tại đây ít hơn đáng kể so với các block dữ liệu.

 

* RAID 6 (hoặc 5EE), 6 ổ đĩa, kích thước block 256 sector, vị trí bắt đầu của LBA đã bị dịch chuyển

• Đây là RAID 6 vì nó có 2 block “trống”: 1 là XOR, block còn lại là Reed-Solomon (hoặc Hot-Spare block nếu là 5EE)
• Xác định được 6 ổ đĩa thành phần nhờ chu kỳ gồm 6 block
• Độ dài của một “đỉnh” là 256 sector, đây là kích thước block

Trong hình ảnh dưới đây, ta có thể thấy có 2 phần của block ở đầu và cuối:

Điều này xảy ra do RAID không bắt đầu từ 0 như các trường hợp tước. Kích thước của phần màu xanh lam ở đầu là 64 sector. Điều này có nghĩa là RAID bắt đầu với một số LBA, có dạng như sau: N* Kích thước block + 64, N = 0, 1, 2, … Trong trường hợp này, LBA bắt đầu là 1088 (=4*256+64), đây là vị trí điển hình cho một số HP và Compaq array.

 

* RAID 5, 4 ổ đĩa, độ trễ 16, kích thước block 128 sector

Ta có thể thấy ¼ khu vực ngoài cùng bên phải là vùng chứa dữ liệu dịch vụ. Có rất nhiều đường màu đỏ – những “noise” này tạo ra các tệp nhỏ được tìm thấy trong XOR. Tổng cộng có 4 ổ đĩa, vì vậy ta có thể nhận định rằng đây là RAID 5 gồm 4 ổ đĩa. (Có thể thấy biểu đồ tương tự với RAID 6 gồm 8 ổ đĩa). Các vùng còn lại được điền dữ liệu. Phóng to một trong các vùng, ta thấy 16 khối bên trong một vùng. Điều này có nghĩa độ trễ là 16 và kích thước khối là 128 sector.

 

* RAID 0 (hoặc 10 hoặc 1E), kích thước block 128 sector

Nếu không xác định đúng chu kỳ, RAID 10, 1E, … trông sẽ giống hệt nhau.

Không như RAID 5 hoặc 6, ở các cấp độ RAID này không có block XOR, Reed-Solomon hoặc HS, vì vậy ta không thấy các block “trống”. Ngoài ra, ta cũng không thể xác định chính xác số lượng đĩa trong RAID, bởi vì với số lượng ổ khác nhau vẫn có thể xuất hiện các mẫu tương tự.

 

* JBOD hoặc ổ đĩa không thuộc RAID

Hãy nhìn biểu đồ của JBOD hoặc của 1 ổ đĩa không thuộc RAID, ta có thể thấy hoàn toàn không có bất kỳ block nào:

 

* Một ổ đĩa không được sử dụng và một ổ đĩa bị mất

Các ổ đĩa không được sử dụng là những ổ đĩa không thuộc về mảng RAID cụ thể. Đây có thể là ổ đĩa dự phòng hoặc ổ đĩa dùng để lưu trữ dữ liệu hệ điều hành.

Trong hình, bạn có thể thấy có 4 ổ đĩa thuộc về mảng RAID 5 được tạo ra từ 5 ổ đĩa với kích thước block 512 sector. Ổ cuối cùng là “ngoại lai”. Biểu đồ của ổ đĩa này khác hẳn so với các ổ còn lại. Kết luận: ổ đĩa cuối cùng là không được sử dụng.

Như vậy, chúng ta chỉ có 4 ổ đĩa trong tổng số 5 ổ, nghĩa là mảng RAID 5 này đã mất 1 ổ đĩa thành phần.

 

9. Ý nghĩa của biểu đồ

Có thể thấy rằng mỗi cấp độ RAID đều có một biểu đồ đặc trưng riêng, phản ánh rất nhiều thông tin về cấu hình cũng như những đặc tính quan trọng khác. Chỉ bằng việc quan sát biểu đồ, ta đã có rất nhiều thông tin về mảng RAID, bao gồm:

• Kích thước block
• Cấp độ RAID
• Số lượng ổ đĩa thành viên
• Độ trễ
• Tập hợp các LBA bắt đầu có thể sử dụng
• Các ổ đĩa bị mất và không sử dụng

Vậy còn thứ tự của các ổ đĩa thì sao?

Dưới đây là một ví dụ về RAID 5 gồm 5 ổ đĩa. Theo bạn, có bao nhiêu khả năng sắp xếp thứ tự ổ đĩa?

Biểu đồ của tất cả các ổ đĩa cho phép ta xác định đường chéo XOR. Tổng cộng, trong RAID 5 có 4 thuật toán được sử dụng. Với mỗi thuật toán, ta có thể xác định chính xác thứ tự ổ đĩa bằng cách sử dụng đường chéo này. Công cụ Data Extractor RAID Edition cung cấp nhiều phương pháp khác nhau để tìm ra lựa chọn đúng và cách kiểm chứng. Một cách ngắn gọn và đơn giản nhất, hay thử cả 4 tùy chọn.

Để làm được điều này, bạn cần có khả năng build RAID nhanh và quan sát các cấu hình khác nhau thay vì phảo tạo ảnh cho từng cấu hình. Hệ thống PC-3000 RAID cho phép nhanh chóng thay đổi các tham số RAID và xem kết quả ngay lập tức. Vì vậy, việc kiểm tra 4 cấu hình chỉ mất chưa đầy một phút. Tình huống tương tự cũng xảy ra với RAID 6 và RAID 5EE, nhưng ở đây có thêm một vài tùy chọn. Với mỗi thuật toán, bạn cần xác định block nào – XOR hay RS – sẽ đi trước.

Tóm lại, phương pháp được giới thiệu ở trên dựa trên việc xử lý thống kê các kết quả từ file carving hay còn gọi là biểu đồ, giúp thu hẹp từ hàng triệu khả năng xuống chỉ còn một vài lựa chọn khả thi. Nói cách khác, nó giúp cho những vấn đề phức tạp trong khôi phục dữ liệu RAID trở nên đơn giản hơn rất nhiều!