Polskie Forum Synology

Cześć wszystkim! Chciałbym podzielić się wynikami testu, który przeprowadziliśmy na Synology DS418play. Sprawdziliśmy, co da się odczytać z dysków po przerwaniu rozbudowy macierzy RAID5 i utracie jednego z jej pierwotnych członków.

Na początku krótkie wyjaśnienie: jestem jednym z programistów Hetman Software, ukraińskiej firmy zajmującej się oprogramowaniem do odzyskiwania danych. W eksperymencie korzystaliśmy z naszego programu, ale poniżej skupiam się na konfiguracji, metodzie badania, wynikach i ograniczeniach. Nie jest to instrukcja obsługi programu ani oferta sprzedażowa.

1. Konfiguracja początkowa

NAS: Synology DS418play.
Początkowa macierz: RAID5 z trzech dysków.
Dwa woluminy danych:

• Btrfs: około 450 GB, w tym około 100 GB plików testowych.
• Ext4: około 461 GB, w tym około 50 GB plików testowych.

W zestawie testowym znajdowały się zdjęcia, dokumenty, archiwa, filmy i inne pliki. Na woluminie Btrfs utworzyliśmy również trzy migawki w różnych momentach: pierwszą przed dodaniem kolejnych plików, drugą po dodaniu nowych danych i trzecią po usunięciu części plików.

2. Rozbudowa RAID5 i symulacja awarii

Do NAS-a dodaliśmy czwarty dysk HDD o pojemności 500 GB i rozpoczęliśmy rozszerzanie RAID5 z trzech do czterech członków.

Gdy postęp operacji wynosił około 20% (na ekranie 20,33%), celowo odłączyliśmy zasilanie. Następnie wykluczyliśmy z zestawu do odzyskiwania jeden z trzech pierwotnych dysków RAID5, symulując jego całkowitą awarię.

Do dyspozycji pozostały trzy dyski: dwa z pierwotnej macierzy oraz nowo dodany czwarty dysk. Analizę przeprowadziliśmy na komputerze z systemem Windows. Wszystkie operacje odczytu i skanowania wykonywaliśmy bez zapisywania danych na dyskach źródłowych.

3. Automatyczne odtworzenie bieżącej konfiguracji RAID

Metadane pozwoliły rozpoznać czteroelementowy RAID5 z jednym brakującym dyskiem. Narzędzie analityczne rozpoznało także warstwy przechowywania danych Synology, w tym LVM i wolumin Btrfs.

Szybkie skanowanie Btrfs wykazało:

• 10 275 plików
• 733 foldery

Mogliśmy przeglądać strukturę katalogów i podglądać zawartość wybranych obrazów, dokumentów, filmów i innych plików. Odnaleźliśmy również trzy migawki Btrfs i uzyskaliśmy dostęp do danych z wcześniejszych stanów systemu plików, w tym do plików usuniętych z aktywnego woluminu po wykonaniu migawek.

Dodatkowy podgląd zbioru testowego na woluminie Btrfs (około 100 GB):

4. Dlaczego bieżąca konfiguracja RAID nie wystarczyła?

Przerwana rozbudowa oznacza, że część danych mogła zostać już przekształcona do układu czterodyskowego, podczas gdy inna część nadal odpowiadała pierwotnej geometrii trzech dysków.

Dlatego nie zakładaliśmy, że pojedyncza rekonstrukcja nowego RAID5 ujawni wszystkie zachowane struktury. Postanowiliśmy osobno przeanalizować także pierwotny układ macierzy.

5. Ręczne odtworzenie pierwotnego RAID5

Tym razem wykorzystaliśmy dwa ocalałe dyski należące do oryginalnego RAID5, dodając w konfiguracji pustą pozycję w miejsce utraconego członka.

Parametry tej rekonstrukcji:

• Poziom RAID: RAID5
• Liczba członków: 3
• Dostępne pierwotne dyski: 2
• Brakujące dyski: 1
• Rozmiar bloku (chunk size): 64 KB
• Układ: Left-Symmetric

Po osobnym skanowaniu tak utworzonego układu odnaleźliśmy system plików Ext4, którego nie udało się uzyskać z wcześniej analizowanej czterodyskowej konfiguracji.

Wynik skanowania Ext4:

• 3 417 plików
• 152 foldery

Można było przeglądać strukturę katalogów, odnaleźć testowy zbiór około 50 GB i podglądać zawartość wybranych plików.

6. Co potwierdził eksperyment?

W tym przypadku dwa różne sposoby interpretowania tych samych ocalałych dysków pozwoliły dotrzeć do odmiennych danych:

• Nowy, częściowo rozbudowany czterodyskowy RAID5 udostępnił Btrfs, jego katalogi i migawki.
• Pierwotny trzydyskowy RAID5, odtworzony ręcznie z jednym brakującym członkiem, udostępnił dodatkowo wolumin Ext4.
• Obydwa warianty dawały dostęp do wybranych czytelnych plików mimo awarii jednego z oryginalnych dysków.

Liczby plików podane przez skaner nie są równoznaczne ze stuprocentowym odzyskaniem wszystkich danych. W tym raporcie pokazujemy wykryte struktury i przykłady możliwego do odczytania materiału, ale nie przedstawiamy pełnego porównania sum SHA-256 wszystkich plików z kopią wzorcową.

Wynik zależy od konkretnej konfiguracji, miejsca przerwania operacji, stanu nośników i tego, czy dane zostały nadpisane. W rzeczywistej awarii najlepiej przerwać wszelkie operacje zapisu i, jeśli to możliwe, analizować obrazy sektorowe oryginalnych dysków.

7. Co chcielibyście przetestować następnym razem?

Jeśli taki format jest dla Was interesujący, chętnie pokażę też bardziej techniczną stronę rekonstrukcji: jak odczytuje się metadane RAID w edytorze hex, jak sprawdza się kolejność dysków i rozmiar bloku oraz jak odnajduje się struktury systemu plików.

Jestem również ciekaw Waszych propozycji następnego eksperymentu. Może SHR-1 lub SHR-2, przerwana migracja RAID, uszkodzone metadane, utrata migawek Btrfs albo inny scenariusz, z którym spotkaliście się w praktyce?

Chętnie odpowiem na pytania dotyczące metod i ograniczeń naszego testu. Dzięki za przeczytanie!