NTFS

Neues Technologie -Dateisystem^[1]

Entwickler (en)	Microsoft
Vollständiger Name	NT -Dateisystem[2]
Eingeführt	Juli 1993; Vor 29 Jahren mit Windows NT 3.1
Partitionskennung	0x07 (Mbr) EBD0A0A2-B9E5-4433-87C0-68B6B72699C7 (Gpt)
Strukturen
Verzeichnisinhalt	B-Baum Variante[3][4]
Dateizuweisung	Bitmap
Schlechte Blöcke	$ Badclus (MFT -Rekord)
Grenzen
Max. Volumengröße	264 Cluster - 1 Cluster (Format); 256 Tib - 64 KB (Windows 10 Version 1703, Windows Server 2016 oder frühere Implementierung)[5] 8 Pb – 2 Mb (Windows 10 Version 1709, Windows Server 2019 oder spätere Implementierung)[6]
Max. Dateigröße	16 EIB- 1 KB (Format); 16 TB- 64 KB (Windows 7, Windows Server 2008 R2 oder frühere Implementierung)[5] 256 TB- 64 KB (Windows 8, Windows Server 2012 oder spätere Implementierung)[7] 8 Pb – 2 MiB (Windows 10 Version 1709, Windows Server 2019 oder spätere Implementierung)[6]
Max. Anzahl der Dateien	4,294.967.295 (232-1)[5]
Max. Dateiname Länge	255 UTF-16 Codeeinheiten[8]
Erlaubte Zeichen in Dateinamen	Im Win32 Namespace: Any UTF-16 Codeeinheit (Fall-unempfindlich) außer /\:*"? <> | ebenso gut wie Nul[8] Im Posix Namespace: Any UTF-16 Codeeinheit (Fallempfindlichkeit) außer / ebenso gut wie Nul Nachfolgerräume sind nicht erlaubt und werden entfernt[9]
Merkmale
Daten aufgezeichnet	Erstellung, Modifikation, POSIX -Änderung, Zugriff
Datumsbereich	1. Januar 1601-28. Mai 60056 (Dateizeiten sind 63-Bit-Nummern, die 100-Nanosekunden-Intervalle (zehn Millionen pro Sekunde) seit 1601 zählen, was 29.227 Jahre beträgt).
Datumslösung	100 ns
Gabeln	Ja (siehe § Alternative Datenstrom (ADS) unter)
Attribute	Schreibgeschützte, versteckte, system-, archiv-, nicht content-indizierte, offline, temporäre, komprimierte Inhalte
Dateisystemberechtigungen	ACLS
Transparente Komprimierung	Pro Datei, LZ77 (Windows NT 3.51 weiter)
Transparente Verschlüsselung	Pro Datei, Desx (Windows 2000 weiter), Triple Des (Windows XP weiter), AES (Windows XP Service Pack 1, Windows Server 2003 weiter)
Datendingung	Ja (Windows Server 2012)[10]
Sonstiges
Unterstützt Betriebssysteme	Windows NT 3.1 und später Mac OS X 10.3 und später (schreibgeschützt) Linux Kernel Version 2.6 und später Linux-Kernelversion 2.2-2.4 (schreibgeschützte) Freebsd Netbsd OpenBSD (schreibgeschützt) Chrome OS Solaris Reactos (schreibgeschützt)

Neues Technologie -Dateisystem (NTFS) ist a proprietär Journaling -Dateisystem entwickelt von Microsoft.^[2][1] Beginnen mit Windows NT 3.1Es ist das Standarddateisystem der Windows NT Familie.^[11] Es ersetzte Dateizuordnungstabelle (Fett) als bevorzugtes Dateisystem auf Fenster und wird in unterstützt Linux und BSD auch. Das Lesen und Schreiben von NTFS wird unter Verwendung von a bereitgestellt frei und offen Kernel -Implementierung bekannt als NTFS3 in Linux und die NTFS-3G Fahrer in BSD.^[12][13] Durch Verwendung der Konvertieren Befehl, Windows kann konvertieren FAT32/16/12 in NTFS, ohne dass alle Dateien neu schreiben müssen.^[14] NTFS verwendet mehrere Dateien, die normalerweise vor dem Benutzer versteckt sind, um Metadaten über andere auf dem Laufwerk gespeicherte Dateien zu speichern, um die Geschwindigkeit und Leistung beim Lesen von Daten zu verbessern.^[1] Im Gegensatz zu Fett und Hochleistungsdateisystem (HPFS), NTFS -Unterstützung Zugriffskontrolllisten (ACLS), Dateisystemverschlüsselung, transparente Komprimierung, spärliche Dateien und Dateisystem Journaling. NTFS unterstützt auch Schattenkopie Um Backups eines Systems während des Laufens zu ermöglichen, variiert jedoch die Funktionalität der Schattenkopien zwischen verschiedenen Versionen von Windows.^[15]

Geschichte

Mitte der 1980er Jahre, Microsoft und IBM bildete ein gemeinsames Projekt, um die nächste Generation von Grafik zu erstellen Betriebssystem; Das Ergebnis war OS/2 und HPFS. Da Microsoft mit IBM in vielen wichtigen Themen nicht einverstanden war, trennten sie sich schließlich. OS/2 blieb ein IBM -Projekt und Microsoft arbeitete für die Entwicklung Windows NT und NTFS.

Das HPFS Das Dateisystem für OS/2 enthielt mehrere wichtige neue Funktionen. Als Microsoft ihr neues Betriebssystem erstellte, "liehen" sie viele dieser Konzepte für NTFs.^[16] Die ursprünglichen NTFS -Entwickler waren Tom Miller, Gary Kimura, Brian Andrew und David Goebel.^[17]

Wahrscheinlich verwenden HPFS und NTFS dieselbe Festplattenpartition Identifikationstypcode (07). Die Verwendung derselben Partition -ID -Datensatznummer ist sehr ungewöhnlich, da Dutzende nicht verwendeter Code -Nummern verfügbar waren und andere wichtige Dateisysteme ihre eigenen Codes haben. Zum Beispiel hat Fett mehr als neun (jeweils eine für FAT12, FAT16, FAT32, etc.). Algorithmen, die das Dateisystem in einem Partitionstyp 07 identifizieren, müssen zusätzliche Überprüfungen durchführen, um zwischen HPFS und NTFS zu unterscheiden.

Versionen

Microsoft hat fünf Versionen von NTFs veröffentlicht:

NTFS -Versionsnummer	Erstes Betriebssystem	Veröffentlichungsdatum	Neue Eigenschaften	Bemerkungen
1.0	Windows NT 3.1	1993[11]	Erste Version	NTFS 1.0 ist mit 1.1 und neuer nicht kompatibel: Volumes, die von Windows NT 3.5X geschrieben wurden, erst mit Windows NT 3.1 gelesen werden, bis ein Update (verfügbar auf dem NT 3.5X -Installationsmedium) installiert ist.[18]
1.1	Windows NT 3.51	1995	Komprimierte Dateien, genannt Streams und Zugriffskontrolllisten[19]
1.2	Windows NT 4.0	1996	Sicherheitsdeskriptoren	Allgemein als NTFS 4.0 bezeichnet nach der Betriebssystemfreisetzung
3.0	Windows 2000	2000	Festplattenquoten, Verschlüsselung auf Dateiebene in einer Form von Dateisystem verschlüsseln, spärliche Dateien, Punkte reparieren, Aktualisieren Sie die Sequenznummer (USN) Journaling, verteilte Linkverfolgung, die $ Erweitern Ordner und seine Dateien	Die Kompatibilität wurde auch für Windows NT 4.0 mit dem Service Pack 4 -Update zur Verfügung gestellt. Allgemein als NTFS 5.0 bezeichnet.[20]
3.1	Windows XP	Oktober 2001	Erweiterte die Hauptdateitabelle (MFT) Einträge mit redundanter MFT -Datensatznummer (nützlich zur Wiederherstellung beschädigter MFT -Dateien)	Allgemein bezeichnet NTFS 5.1 nach der OS -Veröffentlichung

Das NTFS.sys Die Versionsnummer (z. B. v5.0 in Windows 2000) basiert auf der Betriebssystemversion. Es sollte nicht mit der NTFS -Versionsnummer verwechselt werden (v3.1 seit Windows XP).^[21]

Obwohl nachfolgende Versionen von Windows neue Funktionen des Dateisystems hinzugefügt wurden, haben sie NTFS selbst nicht geändert. Zum Beispiel, Windows Vista implementiert NTFS Symbolische Links, Transaktionale NTFs, Partition schrumpfen und selbstheilend.^[22] Symbolische Links von NTFs sind eine neue Funktion im Dateisystem. Alle anderen sind neue Betriebssystemfunktionen, die bereits vorhandene NTFS -Funktionen verwenden.

Skalierbarkeit

NTFS ist für 4 optimiertKB Cluster, unterstützt aber eine maximale Clustergröße von 2 Mb. (Frühere Implementierungen unterstützen bis zu 64 KB)^[6] Die maximale NTFS -Volumengröße, die die Spezifikation unterstützen kann 2⁶⁴ - 1 Cluster, aber nicht alle Implementierungen erreichen dieses theoretische Maximum, wie nachstehend erläutert.

Die in Windows XP Professional implementierte maximale NTFS -Lautstärkegröße ist 2³² - 1 Cluster, teilweise aufgrund der Einschränkungen der Partitionstabelle. Zum Beispiel mit 64 KB -Cluster, die maximale Größe Windows XP NTFS -Lautstärke beträgt 256 TB minus 64 KB. Verwenden der Standardclustergröße von 4 KB, die maximale NTFS -Volumengröße beträgt 16 TB minus 4 KB. Beide sind erheblich höher als die 128 Gb Grenze in Windows XP SP1. Weil Partitionstabellen auf Master Boot Record (MBR) -Disketten nur Partitionsgrößen bis zu 2 unterstützen TB, Multiple Guid -Partitionstabelle (GPT oder "dynamisch") Volumina müssen kombiniert werden, um ein einzelnes NTFS -Volumen größer als 2 zu erzeugen TB. Das Booten von einer GPT -Lautstärke zu einer Windows -Umgebung auf eine von Microsoft unterstützte Weise erfordert ein System mit Einheitliche erweiterbare Firmware -Schnittstelle (UEFI) und 64-Bit-Unterstützung.^[23]

Die maximale theoretische NTFS -Grenze für die Größe einzelner Dateien beträgt 16 Eb^[24] (16 × 1024⁶ oder 2⁶⁴ Bytes) Minus 1 KB, der 18.446.744.073.709.550.592 Bytes belegen. Mit Windows 10 Version 1709 und Windows Server 2019, das Maximum implementiert Dateigröße ist 8 PB minus 2 MB oder 9.007.199.252.643.840 Bytes.^[6]

Interoperabilität

Fenster

Während die verschiedenen NTFS -Versionen größtenteils voll sind nach vorne- und rückwärtskompatibelEs gibt technische Überlegungen zur Montage neuerer NTFS -Volumes in älteren Versionen von Microsoft Windows. Dies wirkt sich auf die Dual-Boot-und externe tragbare Festplatten aus. Beispielsweise versuchen Sie, eine NTFS -Partition mit "vorherigen Versionen" zu verwenden (frühere Versionen "(Bandschattenkopie) Bei einem Betriebssystem, das nicht unterstützt, führt dies dazu, dass die Inhalte dieser früheren Versionen verloren gehen.^[15] Ein Windows-Befehlszeilendienstprogramm rief an Convert.exe Kann unterstützende Dateisysteme in NTFs umwandeln, einschließlich HPFS (Nur unter Windows NT 3.1, 3.5 und 3.51), FAT16 und FAT32 (unter Windows 2000 und später).^[25][26]

Freebsd

Freebsd 3.2 veröffentlicht im Mai 1999, beinhaltete schreibgeschützte NTFS-Unterstützung von Semen Ustimenko.^[27][28] Diese Implementierung wurde auf Netbsd von Christos Zoulas und Jaromir Dolecek und im Dezember 2000 mit NetBSD 1.5 veröffentlicht.^[29] Die FreeBSD -Implementierung von NTFS wurde ebenfalls portiert OpenBSD von Julien Bordet und bietet standardmäßig die native schreibgeschützte NTFS-Unterstützung auf i386- und AMD64-Plattformen zum 1. Mai 2011 veröffentlicht.^[30][28]

Linux

Linux Kernel Die Versionen 2.1.74 und später enthalten ein Fahrer von Martin von Löwis, der die Möglichkeit hat, NTFS -Partitionen zu lesen.^[31] Kernelversionen 2.5.11 und später einen neuen Fahrer enthalten von Anton Altaparmakov (Universität von Cambridge) und Richard Russon, der die Datei gelesen hat.^[32][33][31] Die Möglichkeit, in Dateien zu schreiben, wurde 2006 mit Kernel Version 2.6.15 eingeführt, mit der Benutzer in vorhandene Dateien schreiben, aber nicht die Erstellung neuer zulassen.^[34] Der NTFS -Treiber von Paragon (siehe unten) wurde in Kernel Version 5.15 zusammengefasst und unterstützt Lese-/Schreiben auf normalen, komprimierten und spärlichen Dateien sowie die Wiederholung der Zeitschrift.^[35]

NTFS-3G ist frei Gpl-Lizenzierte Sicherungsumsetzung von NTFs, die ursprünglich von Szabolcs Szakacssits als Linux -Kernel -Treiber entwickelt wurde. Es wurde als Sicherungsprogramm neu geschrieben, um an anderen Systemen zu arbeiten, die die Sicherung unterstützt Mac OS, Freebsd, netbsd, OpenBSD,^[36] Solaris, Qnx, und Haiku^[37] und ermöglicht das Lesen und Schreiben in NTFS -Partitionen. Eine leistungsstärkte kommerzielle Version von NTFS-3G, genannt ", genannt"Tuxera NTFS für Mac "ist auch bei den NTFS-3G-Entwicklern erhältlich.^[38]

Gefangene NTFs, ein "Wraping" -Treiber, der Windows -Treiber verwendet ntfs.sysexistiert für Linux. Es wurde als basiert als Dateisystem im userspace (Fuse) Programm und unter der GPL veröffentlicht, aber die Arbeit an Gefangenen NTFs hat 2006 eingestellt.^[39]

Linux -Kernelversionen 5.15 abtransportieren NTFS3, ein voll funktionsfähiger NTFS-Read-Write-Treiber, der auf NTFS-Versionen bis zu 3.1 funktioniert und hauptsächlich von der erhalten wird Paragon -Softwaregruppe mit dem gefundenen Quellcode gefunden hier.

Mac OS

Mac OS X 10.3 Enthält die schreibgeschützte Implementierung von NTFs von Ustimenko aus FreeBSD. Dann stellte Apple Anton Altaparmakov 2006 an, eine neue NTFS -Implementierung für zu schreiben Mac OS X 10.6.^[40] Native NTFS -Schreibunterstützung ist in 10.6 und später enthalten, wird jedoch standardmäßig nicht aktiviert, obwohl es Problemumgehungen gibt, die die Funktionalität ermöglichen. Benutzerberichte zeigen jedoch an, dass die Funktionalität instabil ist und dazu führt Kernelpanik.^[41]

Paragon -Softwaregruppe verkauft einen Leseschreiber namens namens NTFS für Mac OS X,^[42] das ist auch in einigen Modellen von enthalten Seagate Festplatte.^[43]

OS/2

Das NetDrive -Paket für OS/2 (und Derivate wie z. ECOMSTATION und Arcaos) Unterstützt ein Plugin, mit dem das Lesen und Schreiben von Zugriff auf NTFS -Volumes ermöglicht wird.^[44][45]

DOS

Es gibt einen kostenlosen Nutzungstreiber für Lese-/Schreibtreiber für MS-DOS durch Avira genannt "ntfs4dos".^[46][47]

Vorwärts -Software entwickelte einen "NTFSread" -Treiber (Version 1.200) für DR-DOS 7.0x zwischen 2002 und 2004. Es war Teil ihrer Nero Burning ROM Software.

Sicherheit

NTFS verwendet Zugriffskontrolllisten und Verschlüsselung auf Benutzerebene, um Benutzerdaten zu sichern.

Zugriffskontrolllisten (ACLS)

In NTFS wird jeder Datei oder jedem Ordner a zugewiesen a Sicherheitsdeskriptor Das definiert seinen Besitzer und enthält zwei Zugriffskontrolllisten (ACLS). Die erste ACL, genannt Diskretionäre Zugangskontrolle List (DACL) definiert genau, welche Art von Interaktionen (z. B. Lesen, Schreiben, Ausführen oder Löschen) zulässig oder verboten sind, durch welche Benutzer oder Benutzergruppen. Zum Beispiel Dateien in der C:\Program Files Der Ordner kann von allen Benutzern gelesen und ausgeführt werden, jedoch nur von einem Benutzer geändert werden, der administrative Berechtigungen hält.^[48] Windows Vista fügt hinzu Obligatorische Zugangskontrolle Info an DaCls. DaCls stehen im Hauptaugenmerk von Benutzerkontensteuerung in Windows Vista und später.

Die zweite ACL, die als Systemzugangsliste (SACL) bezeichnet wird, definiert, welche Interaktionen mit der Datei oder dem Ordner geprüft werden sollen und ob sie protokolliert werden sollten, wenn die Aktivität erfolgreich, fehlgeschlagen oder beides ist. Beispielsweise kann die Prüfung bei sensiblen Dateien eines Unternehmens aktiviert werden, sodass seine Manager wissen, wann jemand versucht, sie zu löschen oder eine Kopie von ihnen zu erstellen, und ob es ihm erfolgreich ist.^[48]

Verschlüsselung

Dateisystem verschlüsseln (EFS) Bietet die Verschlüsselung der Benutzer transparente eine Datei oder einen Ordner in einem NTFS-Volumen.^[49] EFS arbeitet in Verbindung mit dem EFS -Dienst, Microsoft's Cryptoapi und die Run-Time-Bibliothek der EFS-Dateisystem (FSRTL). EFS funktioniert, indem sie eine Datei mit einer Masse verschlüsseln Symmetrischer Schlüssel (Auch als Dateiverschlüsselungsschlüssel oder FEK bezeichnet), der verwendet wird, da es relativ wenig Zeit benötigt, um große Datenmengen zu verschlüsseln und zu entschlüsseln asymmetrischer Schlüssel Chiffre wird verwendet. Der symmetrische Schlüssel, mit dem die Datei verschlüsselt wird, wird dann mit a verschlüsselt Öffentlicher Schlüssel Dies ist dem Benutzer verbunden, der die Datei verschlüsselt hat, und diese verschlüsselten Daten werden in einem alternativen Datenstrom der verschlüsselten Datei gespeichert. Um die Datei zu entschlüsseln, verwendet das Dateisystem das Privat Schlüssel vom Benutzer zum Entschlüsseln des symmetrischen Schlüssels, der im Datenstrom gespeichert ist. Anschließend wird der symmetrische Schlüssel verwendet, um die Datei zu entschlüsseln. Da dies auf der Dateisystemebene erfolgt, ist es für den Benutzer transparent.^[50] Bei einem Benutzer, der den Zugriff auf ihren Schlüssel verliert, wurde auch die Unterstützung für zusätzliche Entschlüsselungsschlüssel in das EFS -System integriert, damit ein Wiederherstellungsagent bei Bedarf weiterhin auf die Dateien zugreifen kann. NTFS-bereitgestellte Verschlüsselung und NTFS-bereitgestellte Komprimierung schließen sich gegenseitig aus; NTFs können jedoch für einen und ein Dritter-Tool für den anderen verwendet werden.

Die Unterstützung von EFS ist in grundlegenden, staatlichen und mediaCenter -Versionen von Windows nicht verfügbar und muss nach der Installation von professionellen, ultimativen und Serverversionen von Windows oder mithilfe von Enterprise -Bereitstellungstools in Windows -Domänen aktiviert werden.

Merkmale

Tagebuch schreiben

NTFS ist a Journaling -Dateisystem und verwendet das NTFS -Protokoll ($ logfile), um Metadatenänderungen am Volumen aufzuzeichnen. Es ist ein Merkmal, dass Fett für NTFs nicht bereitgestellt wird, um sicherzustellen, dass seine komplexen internen Datenstrukturen bei Systemabstürzen oder Datenbewegungen von der durchgeführt werden. Defragmentierung API, und ermöglichen Sie eine einfache Rollback von nicht übereinstimmenden Änderungen an diesen kritischen Datenstrukturen, wenn das Volumen wieder aufgenommen wird. Insbesondere betroffene Strukturen sind die Volumenzuordnungsbitmap, Modifikationen an Mft Datensätze wie Bewegungen einiger in MFT-Datensätzen und Attributlisten gespeicherter Attribute mit variabler Länge sowie Indizes für Verzeichnisse und Sicherheitsdeskriptoren.

Das Format ($ logfile) hat sich durch mehrere Versionen entwickelt:

Windows -Version	$ Logfile Formatversion
Windows NT 4.0	1.1
Windows 2000
Windows XP
Windows Vista
Windows 7
Windows 8
Windows 8.1	2.0
Windows 10

Die Inkompatibilität der $ logfile -Versionen von implementiert von Windows 8.1 und Windows 10 Verhinderung Windows 8 (und frühere Versionen von Windows) aus der Erkennung von Version 2.0 des $ logfile. Die Rückwärtskompatibilität erfolgt durch Herunterfahren der $ logfile auf Version 1.1, wenn ein NTFS -Volumen sauber gesteuert wird. Es wird erneut auf Version 2.0 aktualisiert, wenn sie auf einer kompatiblen Version von Windows montiert werden. Wenn Sie jedoch im Abmeldungsstatus (a.k.a. Hybrid -Start oder im schnellen Start des A.K.A. -Hybrids, der standardmäßig aktiviert ist), werden montierte Dateisysteme jedoch nicht abgestiegen, und daher werden die $ logfile von aktiven Dateisystemen nicht auf Version 1.1 herabgestuft. Die Unfähigkeit, Version 2.0 des $ logfile durch Versionen von Windows älter als 8,1 zu verarbeiten, führt zu einer unnötigen Aufruf des Chkdsk Disk -Reparatur -Dienstprogramm. Dies ist besonders ein Problem in a Multi-Boot Szenario mit Pre- und Post-8.1-Versionen von Windows oder bei häufigem Verschieben eines Speichergeräts zwischen älteren und neueren Versionen. EIN Windows -Registrierung Die Einstellung ist vorhanden, um das automatische Upgrade des $ logfile auf die neuere Version zu verhindern. Das Problem kann auch durch Deaktivieren des Hybridstiefels behandelt werden.^[51]

Das USN Journal (Update Sequence Number Journal) ist eine Systemverwaltungsfunktion, die (in $ extend \ $ usnjrnl) Änderungen an Dateien, Streams und Verzeichnissen auf dem Volumen sowie deren verschiedenen Attribute und Sicherheitseinstellungen aufzeichnet. Das Journal wird für Anwendungen zur Verfügung gestellt, um Änderungen des Volumens zu verfolgen.^[52] Dieses Journal kann auf Nichtsystemvolumina aktiviert oder deaktiviert werden.^[53]

Harte Links

Das harte Verbindung Durch die Funktion können verschiedene Dateinamen direkt auf denselben Dateiinhalt verweisen. Harte Links können nur mit Dateien im selben Volumen verknüpft werden, da jedes Volumen sein eigenes hat Mft. Harte Links wurden ursprünglich enthalten, um die zu unterstützen Posix Subsystem in Windows nt.^[54]

Obwohl harte Links denselben MFT -Datensatz verwenden (Inode) Welche Dateimetadaten wie Dateigröße, Änderungsdatum und Attribute aufzeichnet, reicht diese Daten auch im Verzeichniseintrag als Leistungsverbesserung zwischengespeichert. Dies bedeutet, dass Sie diese zwischengespeicherten Informationen zusätzlich zum Namen und Inode erhalten, wenn Sie den Inhalt eines Verzeichnisses unter Verwendung von FindFirstFile/FindEntextfile -Familie von APIs (gleichwertig mit dem POSIX Opendir/Readdir -APIs) erhalten. Möglicherweise sehen Sie jedoch keine aktuellen Informationen, da diese Informationen nur dann garantiert werden, wenn eine Datei geschlossen ist, und dann nur für das Verzeichnis, aus dem die Datei geöffnet wurde.^[55] Dies bedeutet, dass eine Datei über harte Links mehrere Namen enthält. Wenn Sie eine Datei über einen Namen aktualisieren, aktualisieren Sie die mit dem anderen Namen zugeordneten zwischengespeicherten Daten nicht. Sie können aktuelle Daten mit der GetFileInformationByHandle (was das wahre Äquivalent der POSIX-STAT-Funktion ist) jederzeit erhalten. Dies kann mit einem Handle erfolgen, der keinen Zugriff auf die Datei selbst hat (über das CreateFile für dwDesiedAccess) und das Schließen dieses Handels haben den zufälligen Effekt bei der Aktualisierung der zwischengespeicherten Informationen.

Windows verwendet harte Links, um sie zu unterstützen kurze (8.3) Dateinamen in NTFs. Der Betriebssystemunterstützung ist erforderlich, da es ältere Anwendungen gibt, die nur mit 8.3 -Dateinamen funktionieren können, aber Unterstützung deaktiviert werden kann. In diesem Fall wird ein zusätzlicher Dateiname -Datensatz und ein Verzeichniseintrag hinzugefügt, aber sowohl 8.3 als auch langer Dateiname werden im Gegensatz zu einem normalen harten Link miteinander verknüpft und aktualisiert.

Das NTFS -Dateisystem hat eine Grenze von 1024 harte Links in einer Datei.^[56]

Alternativer Datenstrom (Anzeigen)

Alternative Datenströme ermöglichen mehr als eine Datenstrom mit einem Dateinamen (a Gabel) unter Verwendung des Formats "Dateiname: StreamName" (z. B. "text.txt: extraStream").

NTFS -Streams wurden in eingeführt Windows NT 3.1, um Dienste für Macintosh (SFM) zu ermöglichen, um zu speichern Ressourcengabeln. Obwohl aktuelle Versionen von Windows Server nicht mehr SFM, Drittanbieter enthalten Apple -Einreichungsprotokoll (AFP) Produkte (wie z. Grouplogic's Extremez-ip) Verwenden Sie diese Funktion des Dateisystems immer noch. Sehr kleine ADSs (genannt "Zone.identifier") werden von hinzugefügt von Internet Explorer und vor kurzem^[wenn?] von anderen Browsern, um Dateien zu markieren, die von externen Websites als möglicherweise unsicher für ausgeführtes heruntergeladen wurden; Die lokale Shell würde dann eine Benutzerbestätigung erfordern, bevor sie sie öffnen.^[57] Wenn der Benutzer angibt, dass er diesen Bestätigungsdialog nicht mehr möchte, wird diese Anzeigen gelöscht.

Alternative Streams sind nicht in Windows Explorer aufgeführt, und ihre Größe ist nicht in der Größe der Datei enthalten. Wenn die Datei ohne Anzeigen kopiert oder in ein anderes Dateisystem verschoben wird, wird der Benutzer gewarnt, dass alternative Datenströme nicht erhalten werden können. In der Regel wird eine solche Warnung bereitgestellt, wenn die Datei an eine E-Mail angehängt oder auf eine Website hochgeladen wird. Daher kann die Verwendung von alternativen Streams für kritische Daten zu Problemen führen. Microsoft bietet ein Tool namens Streams^[58] So anzeigen Streams auf einem ausgewählten Volumen. Beginnen mit Windows PowerShell 3.0, es ist möglich, Anzeigen nativ mit sechs CMDLets zu verwalten: Add-In-Incontent, Clear-Incontent, Get-Content, Get-Item, Reme-Item, Set-Content.^[59]

Malware hat alternative Datenströme verwendet, um Code auszublenden.^[60] Infolgedessen prüfen Malware -Scanner und andere spezielle Tools nun nach alternativen Datenströmen.

Dateikomprimierung

Die Komprimierung wird auf einer Basis pro Moldater oder pro Datei aktiviert, indem das "komprimierte" Attribut festgelegt wird. Wenn die Komprimierung in einem Ordner aktiviert ist, werden alle Dateien, die in diesem Ordner verschoben oder gespeichert werden komprimiert Verwenden von LZNT1 -Algorithmus (eine Variante von LZ77).^[61] Der Komprimierungsalgorithmus soll Clustergrößen von bis zu 4 KB unterstützen. Wenn die Clustergröße bei einem NTFS -Volumen größer als 4 kb ist, ist die NTFS -Komprimierung nicht verfügbar.^[62] Die Daten werden in 16-Cluster-Stücken (bis zu 64 kb Größe) komprimiert. Wenn die Komprimierung 64 reduziert KB Daten bis 60 KB oder weniger, NTFS behandelt die unnötigen 4 KB -Seiten wie leer spärliche Datei Cluster - sie sind nicht geschrieben. Dies ermöglicht eine angemessene Zufallszugriffszeiten, da das Betriebssystem lediglich der Fragmentekette folgen muss.

Komprimierung funktioniert am besten mit Dateien mit sich wiederholenden Inhalten, werden selten geschrieben, werden normalerweise nacheinander zugegriffen und werden nicht selbst komprimiert. Einzelbenutzersysteme mit begrenztem Festplattenraum können von der NTFS-Komprimierung für kleine Dateien von 4 profitieren KB bis 64 KB oder mehr, abhängig von der Kompressibilität. Dateien kleiner als ungefähr 900 Bytes werden im Verzeichniseintrag des Mft.^[63]

Vorteile

Benutzer von schnell Multi-Core-Prozessoren Findet Verbesserungen der Anwendungsgeschwindigkeit, indem sie ihre Anwendungen und Daten sowie eine Verringerung des verwendeten Raums komprimieren. Selbst wenn SSD -Controller bereits Daten komprimieren, wird die I/O/O -OS immer noch verringert, da weniger Daten übertragen werden.^[64]

Laut Untersuchungen des NTFS -Entwicklungsteams von Microsoft, 50–60 Gb ist eine angemessene maximale Größe für eine komprimierte Datei in einem NTFS -Volumen mit einem 4 KB (Standard) Cluster (Block) Größe. Diese vernünftige maximale Größe nimmt für Volumina mit kleineren Clustergrößen stark ab.^[65]

Nachteile

Große kompressible Dateien werden seit jedem Stück kleiner als 64 stark fragmentiert KB wird zu einem Fragment.^[65][66] Flash -Speicher, wie z. SSD Laufwerke haben keine Verzögerungen der Kopfbewegung und hoch Zugriffszeit mechanischer FestplattenfahrtenDie Fragmentierung hat also nur eine geringere Strafe.

Wenn Systemdateien zur Startzeit (z. B. Treiber, NTLDR, Winload.exe oder BOOTMGR) komprimiert werden, kann das System möglicherweise nicht korrekt gestartet werden, da Dekompressionsfilter noch nicht geladen sind.^{[67][Fehlgeschlagene Überprüfung]} Spätere Ausgaben von Windows^[die?] Lassen Sie nicht zu, dass wichtige Systemdateien komprimiert werden.

Systemkomprimierung

Seit Windows 10Microsoft hat ein neues Dateikomprimierungsschema basierend auf dem Xpress -Algorithmus mit 4K/8K/16K -Blockgröße eingeführt^[68] und die LZX Algorithmus;^[69] Beide sind Varianten von LZ77 aktualisiert mit Huffman -Entropie -Codierung und Bereichscodierung, was Lznt1 fehlte. Diese Komprimierungsalgorithmen wurden aus entnommen Windows -Bildgebungsformat (WIM -Datei).

Das neue Komprimierungsschema wird von der Compactos -Funktion verwendet, wodurch die Festplattennutzung durch Komprimieren von Windows -Systemdateien reduziert wird.^[70] Compactos ist keine Erweiterung der NTFS -Dateikomprimierung und verwendet das "komprimierte" Attribut nicht. Stattdessen setzt es a Reparse Point Auf jeder komprimierten Datei mit einem WOF -Tag (Windows Overlay -Filter), Tag,^[71] Die tatsächlichen Daten werden jedoch in einem alternativen Datenstrom mit dem Namen "WofCompressedData" gespeichert, das von einem WOF auf der Fliege dekomprimiert wird Dateisystemfilter Treiber, und die Hauptdatei ist leer spärliche Datei.^[71] Dieses Design ist nur für den schreibgeschützten Zugriff gedacht, sodass alle Schreibvorgänge in komprimierte Dateien zu einer automatischen Dekompression führen.^[71][72][73]

Die Kompaktoskomprimierung ist für bestimmt OEMs die Betriebssystembilder mit dem vorbereiten /compact Flagge der DISM Werkzeug in Windows ADK,^[74] Es kann aber auch manuell pro Datei mit dem eingeschaltet werden /exe Flagge der compact Befehl.^[75] Der Compactos -Algorithmus vermeidet Dateifragmentierung Durch das Schreiben komprimierter Daten in zusammenhängend zugewiesenen Stücken, im Gegensatz zur Kern -NTFS -Komprimierung.

Compactos -Dateikomprimierung ist eine verbesserte Version der Wimboot -Funktion, die in eingeführt wird Windows 8.1. Wimboot reduziert die Windows -Datenträger -Nutzung, indem Systemdateien in a Komprimiertes WIM -Bild auf einem separaten versteckten Festplattenpartition.^[76] Ähnlich wie bei Compactos enthalten Windows -Systemverzeichnisse nur spärliche Dateien Markiert durch einen Reparaturpunkt mit einem WOF-Tag, und Windows Overlay Filter-Treiber dekomprimiert den Dateiinhalt im Fliege des WIM-Bildes. Wimboot ist jedoch weniger effektiv als Compactos, da neue aktualisierte Versionen von Systemdateien in die Systempartition geschrieben werden müssen, die Speicherplatz verbraucht.^[71]

Spärliche Dateien

Spärliche Dateien Werden Dateien mit leeren Segmenten durchsetzt, für die kein tatsächlicher Speicherplatz verwendet wird. In den Anwendungen sieht die Datei wie eine gewöhnliche Datei mit leeren Regionen aus, die als Regionen mit Nullen gefüllt sind. Das Dateisystem verwaltet eine interne Liste solcher Regionen für jede spärliche Datei.^[77] Eine spärliche Datei enthält nicht unbedingt spärliche Nullenbereiche. Das Attribut "spärliche Datei" bedeutet nur, dass die Datei sie haben darf.

Datenbankanwendungen können beispielsweise spärliche Dateien verwenden.^[78] Wie bei komprimierten Dateien werden die tatsächlichen Größen von spärlichen Dateien bei der Bestimmung der Quotengrenzen nicht berücksichtigt.^[79]

Bandschattenkopie

Das Lautstärkeschattenkopie (VSS) Hält historische Versionen von Dateien und Ordnern auf NTFS -Bänden durch, indem sie alte, neu überschriebene Daten kopieren, um sie über Schattenkopie zu kopieren Kopieren auf dem Schreiben Technik. Der Benutzer kann später eine frühere Version anfordern, die wiederhergestellt werden soll. Auf diese Weise können Datensicherungsprogramme auch vom Dateisystem verwendeten Dateien archivieren.

Windows Vista führte auch persistente Schattenkopien zur Verwendung mit Systemwiederherstellung und Vorherige Versionen Merkmale. Persistente Schattenkopien werden jedoch gelöscht, wenn ein älteres Betriebssystem an einem NTFS -Volumen montiert wird. Dies geschieht, weil das ältere Betriebssystem das neuere Format anhaltender Schattenkopien nicht versteht.^[80]

Transaktionen

Ab Windows Vista können Anwendungen verwendet werden Transaktionale NTFs (TXF), um mehrere Änderungen an Dateien zu einer einzelnen Transaktion zu gruppieren. Die Transaktion garantiert, dass entweder alle Änderungen vorkommen oder keine von ihnen tun, und dass keine Anwendung außerhalb der Transaktion die Änderungen erfolgt, bis sie begangen sind.^[81]

Es verwendet ähnliche Techniken wie die für Volumenschattenkopien (d. H. Kopie auf dem Schreiben), um sicherzustellen, dass überschriebene Daten sicher zurückgerollt werden können, und ein Clfs Protokollieren Sie, um die Transaktionen zu markieren, die noch nicht begangen wurden, oder diejenigen, die verpflichtet sind, aber immer noch nicht vollständig angewendet wurden (im Falle eines Systemabsturzs während eines Commits eines der Teilnehmer).

Transaktionen -NTFs beschränken die Transaktionen nicht nur auf das lokale NTFS . Diese Transaktionen werden mit allen Teilnehmern mit einem bestimmten Service netzwerkweit koordiniert, die DTC, um sicherzustellen, dass alle Teilnehmer denselben Bekanntheitsstaat erhalten und die Änderungen transportieren, die von jedem Teilnehmer validiert wurden (damit die anderen ihre lokalen Caches für alte Daten ungültig machen oder ihre anhaltenden nicht verbindlichen Änderungen rollen). Transaktional NTFs ermöglicht beispielsweise die Erstellung von netzwerkweiten konsistenten verteilten Dateisystemen, einschließlich ihrer lokalen Live- oder Offline-Caches.

Microsoft rät von der Verwendung von TXF: "Microsoft empfiehlt, dass Entwickler alternative Mittel verwenden" da "TXF in zukünftigen Versionen von Microsoft Windows möglicherweise nicht verfügbar ist".^[82]

Quoten

Festplattenquoten wurden in NTFS v3 eingeführt. Sie ermöglichen dem Administrator eines Computers, der eine Version von Windows ausführt, die NTFS unterstützt, um einen Schwellenwert des Speicherplatzes festzulegen, den Benutzer möglicherweise verwenden. Außerdem können Administratoren verfolgen, wie viel Speicherplatz jeder Benutzer verwendet. Ein Administrator kann eine bestimmte Ebene des Festplattenraums angeben, die ein Benutzer verwendet, bevor er eine Warnung erhält, und dann den Zugriff auf den Benutzer verweigern, sobald er seine obere Platzgrenze erreicht hat. Festplattenquoten berücksichtigen nicht den transparenten NTFS Dateikomprimierung, sollte dies aktiviert werden. Bei Anwendungen, die die Menge an freiem Speicherplatz abfragen, werden auch die Menge an freiem Speicherplatz dem Benutzer, der eine Quote angewendet hat, angewendet.

Punkte reparieren

In NTFS V3 eingeführt, werden NTFS -Reparaturpunkte verwendet, indem ein Reparatur -Tag im Benutzerraumattribut einer Datei oder eines Verzeichnisses verknüpft wird. Microsoft enthält mehrere Standard -Tags, einschließlich Symbolische Links, Verzeichnis Junction -Punkte und Volumenmontagepunkte. Wenn der Objektmanager Analysiert einen Dateisystemnamensuche und trifft auf ein Reparaturattribut, es wird es reparieren Die Namensuche, die die benutzergesteuerten Reparaturdaten an jeden Dateisystem -Filtertreiber übergeben, der in Windows geladen wird. Jeder Filtertreiber untersucht die Reparse -Daten, um festzustellen, ob er diesem Reparaturpunkt zugeordnet ist. Wenn dieser Filtertreiber eine Übereinstimmung bestimmt, fängt er die Anforderung des Dateisystems ab und führt seine spezielle Funktionalität durch.

Einschränkungen

Größenänderung

Beginnen mit Windows Vista Microsoft fügte die integrierte Fähigkeit hinzu, eine Partition zu verkleinern oder zu erweitern. Diese Fähigkeit verlagert jedoch keine Datendateifragmente oder Dateien Datei Datei, der Index von Windows -Sucheund alle Schattenkopie benutzt von Systemwiederherstellung. Verschiedene Tools von Drittanbietern können die Größe von NTFS-Partitionen ändern.

Eine Fahrt

Seit 2017 benötigt Microsoft die OneDrive -Dateistruktur auf einer NTFS -Festplatte.^[83] Dies liegt darauf Jedes Dateisystem und Sicherungsdienstprogramme, die nicht aktualisiert werden, um es zu unterstützen.^[84]

Struktur

NTFS besteht aus mehreren Komponenten, darunter: einem Partition -Bootsektor (PBS), der Startinformationen enthält; Die Master -Datei -Tabelle, in der alle Dateien und Ordner im Dateisystem aufgezeichnet werden; eine Reihe von Meta -Dateien, die zur Strukturierung von Meta -Daten effizienter helfen; Datenströme und Sperrmechanismen.

Innen verwendet NTFS B-Bäume Dateisystemdaten indexieren. EIN Dateisystem Journal wird verwendet, um die Integrität der Dateisystemmetadaten zu garantieren, aber nicht die Inhalte der einzelnen Dateien. Es ist bekannt, dass Systeme mit NTFs im Vergleich zu Fettdateisystemen eine verbesserte Zuverlässigkeit haben.^[85]

NTFS ermöglicht jede Sequenz von 16-Bit-Werten für die Namenscodierung (z. B. Dateinamen, Streamnamen oder Indexnamen) mit Ausnahme 0x0000. Das heisst UTF-16 Code-Einheiten werden unterstützt, das Dateisystem überprüft jedoch nicht, ob eine Sequenz gültig ist utf-16 (es ermöglicht jede Sequenz von kurz Werte, nicht auf die im Unicode -Standard beschränkt). In Win32-Namespace sind alle UTF-16-Code-Einheiten unempfindlich, während sie im POSIX-Namespace fallsempfindlich sind. Die Dateinamen sind auf 255 UTF-16-Codeeinheiten begrenzt. Bestimmte Namen sind im Volumenstammverzeichnis reserviert und können nicht für Dateien verwendet werden. Diese sind $ Mft, $ Mftmirr, $ Logfile, $ Volume, $ Attrdef, . (Punkt), $ Bitmap, $ Boot, $ Badclus, $ Sicher, $ Oben, und $ Erweitern.^[5] . (Punkt) und $ Erweitern sind beide Verzeichnisse; Die anderen sind Dateien. Der NT-Kernel begrenzt die vollständigen Pfade auf 32.767 UTF-16-Codeeinheiten. Es gibt einige zusätzliche Beschränkungen für Codepunkte und Dateinamen.^[86]

Partitionsstiefelsektor (PBS)

NTFS -Startsektorinhalt^[87][88] (Alle Werte außer Saiten werden in gespeichert kleiner Endian bestellen.)

Byte -Offset	Feldlänge	Typischer Wert	Feldname		Zweck
0x00	3 Bytes	0xEB5290	JMP -Anweisung		Führt dazu, dass die Ausführung nach den Datenstrukturen in diesem Bootsektor fortgesetzt wird.
0x03	8 Bytes	"NTFS" Wort "ntfs" gefolgt von vier nachfolgenden Räumen (0x20)	OEM ID		Dies ist die magische Nummer, die anzeigt, dass dies ein NTFS -Dateisystem ist.
0x0b	2 Bytes	0x0200	BPB	Bytes pro Sektor	Die Anzahl der Bytes in einem Festplattensektor.
0x0d	1 Byte	0x08		Sektoren pro Cluster	Die Anzahl der Sektoren in einem Cluster. Wenn der Wert größer als 0x80 ist, beträgt die Anzahl der Sektoren 2 bis zur Leistung des Absolutwerts der Betrachtung dieses Feldes als negativ.
0x0e	2 Bytes	0x0000		Reservierte Sektoren, ungenutzt
0x10	3 Bytes	0x000000		Ungebraucht	Dieses Feld ist immer 0
0x13	2 Bytes	0x0000		Unbenutzt von NTFs	Dieses Feld ist immer 0
0x15	1 Byte	0xf8		Mediendeskriptor	Die Art des Laufwerks. 0xf8 wird verwendet, um eine Festplatte zu bezeichnen (im Gegensatz zu den verschiedenen Größen von Floppy).
0x16	2 Bytes	0x0000		Ungebraucht	Dieses Feld ist immer 0
0x18	2 Bytes	0x003f		Sektoren pro Spur	Die Anzahl der Festplattensektoren in einem Laufwerk.
0x1a	2 Bytes	0x00ff		Anzahl der Köpfe	Die Anzahl der Köpfe auf der Fahrt.
0x1c	4 Bytes	0x0000003f		Versteckte Sektoren	Die Anzahl der Sektoren vor der Partition.
0x20	4 Bytes	0x00000000		Ungebraucht	Nicht von NTFs verwendet
0x24	4 Bytes	0x00800080	Ebpb	Ungebraucht	Nicht von NTFs verwendet
0x28	8 Bytes	0x00000000007ff54a		Gesamtsektoren	Die Partitionsgröße in Sektoren.
0x30	8 Bytes	0x00000000000004		$ Mft Clusternummer	Der Cluster, der die Master -Dateitabelle enthält
0x38	8 Bytes	0x0000000007ff54		$ Mftmirr Clusternummer	Der Cluster, der eine Sicherung der Master -Dateitabelle enthält
0x40	1 Byte	0xf6		Bytes oder Cluster pro Datei -Datensatzsegment	Ein positiver Wert bezeichnet die Anzahl der Cluster in einem Datei -Datensatzsegment. Ein negativer Wert bezeichnet die Anzahl der Bytes in einem Datei -Datensatzsegment. In diesem Fall beträgt die Größe 2 bis zur Leistung des Absolutwerts. (0xf6 = -10 → 210 = 1024).
0x41	3 Bytes	0x000000		Ungebraucht	Dieses Feld wird von NTFS nicht verwendet
0x44	1 Byte	0x01		Bytes oder Cluster pro Indexpuffer	Ein positiver Wert bezeichnet die Anzahl der Cluster in einem Indexpuffer. Ein negativer Wert bezeichnet die Menge an Bytes und verwendet denselben Algorithmus für negative Zahlen wie das "Bytes oder Cluster pro Dateieinkenntnissegment".
0x45	3 Bytes	0x000000		Ungebraucht	Dieses Feld wird von NTFS nicht verwendet
0x48	8 Bytes	0x1c741bc9741ba514		Volumen Seriennummer	Eine eindeutige Zufallszahl, die dieser Partition zugeordnet ist, um die Dinge organisiert zu halten.
0x50	4 Bytes	0x00000000		Prüfsumme, ungenutzt	Angeblich eine Prüfsumme.
0x54	426 Bytes		Bootstrap -Code		Der Code, der den Rest des Betriebssystems lädt. Dies wird durch die ersten 3 Bytes dieses Sektors vermerkt.
0x01fe	2 Bytes	0xaa55	Sektormarker		Dieses Flag zeigt an, dass dies ein gültiger Bootsektor ist.

Dieses Boot -Partitions -Format basiert grob auf dem früheren FETT Dateisystem, aber die Felder befinden sich an verschiedenen Orten. Einige dieser Felder, insbesondere die "Sektoren pro Spur", "Anzahl der Köpfe" und "versteckte Sektoren" -Felder können Dummy -Werte auf Laufwerken enthalten, bei denen sie entweder keinen Sinn ergeben oder nicht bestimmbar sind.

Das Betriebssystem befasst sich zunächst mit den 8 Bytes bei 0x30, um die Clusternummer des $ mft zu finden, und multipliziert diese Anzahl mit der Anzahl der Sektoren pro Cluster (1 Byte bei 0x0d). Dieser Wert ist der Sektorversatz (LBA) zum $ mft, der unten beschrieben wird.

Hauptdateitabelle

In NTFS, alle Dateien, Verzeichnis und Verzeichnis und Metafile Daten - Dateiname, Erstellungsdatum, Zugriffsberechtigungen (nach Verwendung von Zugriffskontrolllisten) und Größe - werden als Metadaten in der gespeichert Hauptdateitabelle (Mft). Dieser abstrakte Ansatz ermöglichte eine einfache Zugabe von Dateisystemfunktionen während der Entwicklung von Windows NT - ein Beispiel ist das Hinzufügen von Feldern für die Indexierung, die von der verwendet wird Active Directory Software. Auf diese Weise können schnelle Dateisuchsoftware sehr schnell benannte lokale Dateien und Ordner finden, ohne dass ein anderer Index erforderlich ist.

Die MFT -Struktur unterstützt Algorithmen, die minimieren Festplattenfragmentierung.^[89] Ein Verzeichniseintrag besteht aus einem Dateinamen und einer "Datei -ID" (analog zur Inode -Nummer), die Datensatznummer, die die Datei in der Master -Datei -Tabelle darstellt. Die Datei -ID enthält auch eine Wiederverwendungzahl, um abgestandene Referenzen zu erkennen. Während dies stark dem w_fid von ähnelt Dateien-11, andere NTFS -Strukturen unterscheiden sich radikal.

Eine teilweise Kopie des MFT, als MFT -Spiegel bezeichnet, wird bei Korruption gespeichert, um sie zu verwenden.^[90] Wenn der erste Datensatz des MFT beschädigt ist, liest NTFS den zweiten Datensatz, um die MFT -Spiegeldatei zu finden. Standorte für beide Dateien werden im Startsektor gespeichert.^[91]

Metafiles

NTFS enthält mehrere Dateien, die das Dateisystem definieren und organisieren. In jeder Hinsicht sind die meisten dieser Dateien wie jede andere Benutzerdatei strukturiert ($ -Volume ist die eigentümlichste), sind jedoch nicht von direktem Interesse für die Datei -System -Clients.^[92] Diese Metafiles definieren Dateien, sichern kritische Dateisystemdaten, Änderungen des Pufferdateisystems, verwalten die freie Speicherplatzzuweisung, erfüllen BIOS Erwartungen, verfolgen Sie schlechte Zuordnungseinheiten und speichern Sicherheits- und Speicherplatznutzungsinformationen. Alle Inhalte befinden sich in einem unbenannten Datenstrom, sofern nicht anders angegeben.

MFT (Einträge 0–26 sind die NTFS -Metafiles)

Segmentnummer	Dateiname	Zweck
0	$ Mft	Beschreibt alle Dateien auf dem Volumen, einschließlich Dateinamen, Zeitstempel, Streamnamen und Listen von Clusternummern, in denen Datenströme sich befinden, Indizes, Sicherheitskennungen, und Dateiattribute wie "nur", "," komprimiert "," verschlüsselt "usw.
1	$ Mftmirr	Duplikat der ersten lebenswichtigen Einträge von $ mft, normalerweise 4 Einträge (4) Kilobytes).
2	$ Logfile	Enthält Transaktionsprotokoll von Dateisystemmetadaten Änderungen.
3	$ Volume	Enthält Informationen zum Volumen, nämlich die Volumenobjektkennung, Volumenetikett, Dateisystemversion und Volumenflags (montiert, Chkdsk angefordert, angefordert $ logfile -Größenänderung, auf NT 4 montiert, serielle Nummer aktualisiert, Struktur -Upgrade -Anforderung). Diese Daten werden nicht in einem Datenstrom gespeichert, sondern in speziellen MFT -Attributen: Wenn vorhanden, wird eine Volumen -Objekt -ID in einem $ Object_id -Datensatz gespeichert. Das Volumenetikett wird in einem $ Volume_Name -Datensatz gespeichert, und die verbleibenden Volumendaten sind in einem $ volumen_informationsdatensatz. Hinweis: Die Seriennummer der Lautstärke wird in Datei $ boot (unten) gespeichert.
4	$ Attrdef	Eine Tabelle der MFT -Attribute, die numerische Kennungen mit Namen assoziiert.
5	.	Wurzelverzeichnis. Verzeichnisdaten werden in $ index_root und $ index_allocation -Attributen gespeichert, die beide $ i30 bezeichnet werden.
6	$ Bitmap	Ein Array von Biteinträgen: Jedes Bit zeigt an, ob sein entsprechender Cluster verwendet (zugeordnet) oder kostenlos (zur Zuordnung verfügbar) verwendet wird.
7	$ Boot	Lautstärkendatensatz (VBR). Diese Datei befindet sich immer bei den ersten Clustern auf dem Volumen. Es beinhaltet Bootstrap -Code (sehen Ntdrl/Bootmgr) und ein BIOS -Parameterblock einschließlich eines Volumen Seriennummer und Clusternummern von $ mft und $ mftmirr.
8	$ Badclus	Eine Datei, die alle Cluster enthält, die als mit markiert markiert sind schlechte Sektoren. Diese Datei vereinfacht das Clustermanagement durch das Chkdsk -Dienstprogramm sowohl als Ort, um neu entdeckte schlechte Sektoren zu setzen, als auch um nicht referenzierte Cluster zu identifizieren. Diese Datei enthält zwei Datenströme, selbst auf Bänden ohne schlechte Sektoren: Ein unbenannter Stream enthält schlechte Sektoren - sie ist null Länge für perfekte Volumina; Der zweite Stream heißt $ Bad und enthält alle Cluster auf dem Band, nicht im ersten Stream.
9	$ Sicher	Zugriffskontrollliste Datenbank, die den Overhead mit vielen identischen ACLs reduziert, die mit jeder Datei gespeichert sind, indem diese ACLs nur in dieser Datenbank gespeichert werden (enthält zwei Indizes: $ sii (Standard_informations -ID) und $ sdh (Sicherheitsdeskriptor Hash), die den Stream mit dem Namen $ SDS mit der tatsächlichen ACL -Tabelle indexieren).[19]
10	$ Oben	Eine Tabelle der Unicode-Großbuchstaben zur Gewährleistung der Fall-Unempfindlichkeit in Win32- und DOS-Namespaces.
11	$ Erweitern	Ein Dateisystemverzeichnis, das verschiedene optionale Erweiterungen enthält, wie z.
12–23	Reserviert für $ MFT -Erweiterungseinträge. Erweiterungseinträge sind zusätzliche MFT -Datensätze, die zusätzliche Attribute enthalten, die nicht in den primären Datensatz passen. Dies kann auftreten, wenn die Datei ausreichend fragmentiert ist, viele Ströme, lange Dateinamen, komplexe Sicherheit oder andere seltene Situationen aufweist.
24	$ Erweitert \ $ quote	Hält Festplattenquoteninformationen. Enthält zwei Indexwurzeln mit dem Namen $ O und $ q.
25	$ Erweitert \ $ objid	Hält Linkverfolgung Information. Enthält eine Index root und zu Allokation mit dem Namen $ o.
26	$ Erweitert \ $ repariert	Hält Reparse Point Daten (wie z. Symbolische Links). Enthält eine Index root und zu Allokation mit dem Namen $ r.
27–	Beginn der regulären Dateieinträge.

Diese Metafile werden speziell von Fenstern behandelt, direkt von der behandelt Ntfs.sys Fahrer und sind schwer direkt anzusehen: Spezielle, speziell gebaute Werkzeuge sind erforderlich.^[93] Ab Windows 7 verbietet der NTFS -Treiber den Benutzerzugriff vollständig, was zu a führt BSOD Immer wenn ein Versuch, eine Metadatendatei auszuführen, durchgeführt wird. Ein solches Tool ist das NFI.EXE ("Ntfs Dateisektorinformationsdienstprogramm"), das als Teil der Microsoft -OEM -Support -Tools frei verteilt ist. Um beispielsweise Informationen zum Segment "$ MFT" -Master-Datei-Tabelle zu erhalten, wird der folgende Befehl verwendet: nfi.exe c: \ $ mft^[94] Eine andere Möglichkeit, die Einschränkung zu umgehen, besteht darin, zu verwenden 7-ZipDateimanager und wechseln Sie zum Ntfs-Pfad auf niedriger Ebene \\.\X:\ (wo X:\ ähnelt jedem Laufwerk/einer Partition). Hier erscheinen 3 neue Ordner: $ Erweitern, [Gelöscht] (Ein Pseudo-Folder, den 7-Zip verwendet, um Dateien zu anhängen, die vom Dateisystem angezeigt werden, um sie anzuzeigen) und [SYSTEM] (Ein weiterer Pseudo-Folder, der alle NTFS-Metadatendateien enthält). Dieser Trick kann von abnehmbaren Geräten verwendet werden (USB Flash -Laufwerke, externe Festplatten, SD -Kartenusw.) in Windows, aber dies auf der aktiven Partition erfordert Offline -Zugriff (nämlich Winre).

Attributlisten, Attribute und Streams

Für jede im MFT -Datensatz beschriebene Datei (oder Verzeichnis) gibt es ein lineares Repository von Stream -Deskriptoren (auch benannt Attribute), zusammengepackt in einem oder mehreren MFT-Datensätzen (mit dem sogenannten Attribute Liste) mit zusätzlicher Polsterung, um die feste 1 kb -Größe jedes MFT -Datensatzes zu füllen, und das beschreibt die mit dieser Datei verbundenen effektiven Streams vollständig.

Jedes Attribut verfügt von Bytes. Für NTFs werden die Standarddaten von Dateien, die alternativen Datenströme oder die Indexdaten für Verzeichnisse als Attribute gespeichert.

Laut $ attrdef können einige Attribute entweder ansässig oder nicht ansässig sein. Das $ Data -Attribut, das Dateidaten enthält, ist ein solches Beispiel. Wenn das Attribut ansässig ist (was durch eine Flagge dargestellt wird), wird sein Wert direkt im MFT -Datensatz gespeichert. Andernfalls werden Cluster für die Daten zugewiesen, und die Cluster -Standortinformationen werden als Daten im Attribut gespeichert.

• Für jede Datei in der MFT die Attribute identifiziert von Attributtyp, Attributname muss einzigartig sein. Zusätzlich hat NTFS einige Bestellbeschränkungen für diese Attribute.
• Es gibt einen vordefinierten Null -Attributtyp, der das Ende der Liste der Attribute in einem MFT -Datensatz angibt. Es muss als letztes Attribut im Datensatz vorhanden sein (alle anderen verfügbaren Speicherplatz, nachdem es ignoriert wird, und besteht nur aus Polsterbytes, die der Rekordgröße im MFT entsprechen).
• Einige Attributtypen sind erforderlich und müssen in jedem MFT -Datensatz vorhanden sein, mit Ausnahme von nicht verwendeten Datensätzen, die nur durch Null -Attributtypen angezeigt werden.
  • Dies ist der Fall für das Attribut $ Standard_information, das als Datensatz festgelegt wird und die enthält Zeitstempel und andere grundlegende Single-Bit-Attribute (kompatibel mit denen, die von verwaltet werden FETT in dos oder Windows 9x).
• Einige Attributtypen können keinen Namen haben und müssen anonym bleiben.
  • Dies ist der Fall für die Standardattribute oder für den bevorzugten NTFS-Attributtyp "Dateiname" oder für den Attributtyp "Short Dateiname", wenn er ebenfalls vorhanden ist (für die Kompatibilität mit dos-ähnlichen Anwendungen siehe unten). Es ist auch möglich, dass eine Datei nur einen kurzen Dateinamen enthält. In diesem Fall wird es die bevorzugte, wie im Windows Explorer aufgeführt.
  • Die in der Attributliste gespeicherten Dateiname -Attribute machen die Datei nicht sofort über das hierarchische Dateisystem zugänglich. Tatsächlich müssen alle Dateinamen in mindestens einem anderen Verzeichnis auf demselben Volumen separat indiziert werden. Dort muss es einen eigenen MFT -Rekord und seinen eigenen haben Sicherheitsdeskriptoren und Attribute, die auf die MFT -Datensatznummer für diese Datei verweisen. Auf diese Weise kann dieselbe Datei oder das gleiche Verzeichnis mehrmals von mehreren Containern auf demselben Volumen, möglicherweise mit unterschiedlichen Dateinamen, "festgebinkt" werden.
• Der Standarddatenstrom einer regulären Datei ist ein Stream von Typ $ -Daten, jedoch mit einem anonymen Namen, und die ADSS sind ähnlich, müssen jedoch benannt werden.
• Andererseits hat der Standarddatenstrom von Verzeichnissen einen eindeutigen Typ, aber nicht anonym: Sie haben einen Attributnamen ("$ i30" in NTFS 3+), der das Indexierungsformat widerspiegelt.

Alle Attribute einer bestimmten Datei können mithilfe des NFI.Exe ("Ntfs -Dateisektorinformationsdienstprogramms") angezeigt werden, das als Teil der Microsoft "OEM -Support -Tools" frei verteilt wird.^[94]

Windows -Systemaufrufe können alternative Datenströme verarbeiten.^[5] Abhängig vom Betriebssystem, des Dienstprogramms und des Remote -Dateisystems kann eine Dateiübertragung stillschweigend Datenströme streifen.^[5] Eine sichere Möglichkeit zum Kopieren oder Verschieben von Dateien besteht darin, die Aufrufe von Backupread- und Backupwrite -Systemen zu verwenden, mit denen Programme Streams aufzählen können, um zu überprüfen, ob jeder Stream in das Zielvolumen geschrieben werden sollte und wissentlich unerwünschte Streams überspringt.^[5]

Bewohner vs. nicht ansässige Attribute

Um den Speicher zu optimieren und den E/A -Overhead für den sehr häufigen Fall von Attributen mit sehr geringem zugeordnetem Wert zu reduzieren, platziert NTFS den Wert innerhalb des Attributs selbst (wenn die Größe des Attributs nicht die maximale Größe von einem überschreitet MFT -Datensatz), anstatt den MFT -Datensatzraum zu verwenden, um Cluster aufzulisten, die die Daten enthalten; In diesem Fall speichert das Attribut die Daten nicht direkt, sondern speichert nur eine Zuordnungskarte (in Form von Daten läuft) Hinweis auf die tatsächlichen Daten, die an anderer Stelle auf dem Volumen gespeichert sind.^[95] Wenn auf den Wert direkt aus dem Attribut zugegriffen werden kann, wird er als "Resident Data" bezeichnet (von Computer-Forensik Arbeitskräfte). Die Datenmenge, die passt, hängt in hohem Maße von den Eigenschaften der Datei ab, aber 700 bis 800 Bytes sind in Einzelstream-Dateien mit nicht langen Dateinamen und ohne ACLs üblich.

• Einige Attribute (z. B. der bevorzugte Dateiname, die grundlegenden Dateiattribute) können nicht ohne Anmeldung erstellt werden. Für nicht ansässige Attribute muss ihre Allokationskarte in MFT-Datensätze passen.
• Verschlüsselt von NTFs, spärlichen Datenströmen oder komprimierten Datenströmen können nicht bewohnt werden.
• Das Format der Zuordnungskarte für nicht ansässige Attribute hängt von der Fähigkeit der Unterstützung der spärlichen Datenspeicherung ab. In der aktuellen Implementierung von NTFs kann ein nicht ansässiger Datenstrom als spärlich markiert und konvertiert werden, sondern kann nicht wieder in Nicht-Parse-Daten geändert werden, sodass er nicht mehr wohnhaft ist, es sei denn Allokationskarte vollständig.
• Wenn ein nicht ansässiges Attribut so fragmentiert ist, dass seine effektive Allokationskarte nicht vollständig in einen MFT-Datensatz passen kann, speichert NTFS das Attribut in mehreren Datensätzen. Der erste von ihnen heißt Basisprotokoll, während die anderen als Erweiterungsunterlagen bezeichnet werden. NTFS erstellt ein spezielles Attribut $ ordnungsgemäß_List, um Informationen zu speichern, die verschiedene Teile des langen Attributs auf die MFT -Datensätze abzubilden, was bedeutet, dass die Allokationskarte in mehrere Datensätze aufgeteilt werden kann. Die $ attribute_list selbst kann auch nicht ansässig sein, aber seine eigene Zuordnungskarte muss in einen MFT-Datensatz passen.
• Wenn es zu viele Attribute für eine Datei gibt (einschließlich Anzeigen, erweiterte Attribute oder Sicherheitsdeskriptoren), so dass sie nicht alle in den MFT -Datensatz passen können, auch Erweiterungsdatensätze verwendet werden, um die anderen Attribute zu speichern, wobei das gleiche Format verwendet wird wie das, das im Basis -MFT -Datensatz verwendet wird, jedoch ohne die Platzbeschränkungen eines MFT -Datensatzes.

Die Allokationskarte wird in Form von gespeichert Daten läuft mit komprimierter Codierung. Jeder Datenlauf stellt eine zusammenhängende Gruppe von Clustern dar, die den Attributwert speichern. Für Dateien mit einem Multi-GB-Volumen kann jeder Eintrag als 5 bis 7 Bytes codiert werden, was bedeutet, dass ein 1-kb-MFT-Datensatz etwa 100 solcher Datenspeicher speichern kann. Da die $ attribute_list jedoch auch eine Größengrenze hat, ist es gefährlich, mehr als 1 Million Fragmente einer einzelnen Datei in einem NTFS größer als 10 Gb.^[96]

Der NTFS-Dateisystem-Treiber versucht manchmal, die Daten einiger der Attribute zu verlagern, die nicht in die Cluster ansässig sind, und versucht auch, die in Clustern gespeicherten Daten in das Attribut innerhalb des MFT-Datensatzes zu verschieben, basierend auf Prioritäts- und bevorzugte Bestellregeln und Größenbeschränkungen.

Da residente Dateien keine direkten Cluster ("Zuweisungseinheiten") belegen, ist es möglich, dass ein NTFS -Volumen mehr Dateien auf einem Volumen enthält als Cluster. Zum Beispiel eine 74.5 GB Partition NTFS -Formate mit 19.543.064 Clustern von 4 KB. Subtrahieren von Systemdateien (eine 64 MB-Protokolldatei, eine Bitmap-Datei mit 2.442.888 Byte und etwa 25 Cluster mit festem Overhead) lässt 19.526.158 Cluster für Dateien und Indizes frei. Da es vier MFT -Aufzeichnungen pro Cluster gibt, könnte dieser Volumen theoretisch fast 4 × 19.526.158 = 78.104.632 Resident -Dateien aufnehmen.

Opportunistische Schlösser

Opportunistische Dateisperren (OPLOCKS) ermöglichen es Clients, ihre Pufferstrategie für eine bestimmte Datei oder einen bestimmten Stream zu ändern, um die Leistung zu erhöhen und die Netzwerkverwendung zu verringern.^[97] Opplocks gelten für den angegebenen offenen Stream einer Datei und wirken sich nicht auf die Operationen auf einem anderen Stream aus.

Opplocks können verwendet werden, um im Hintergrund transparent auf Dateien zugreifen zu können. Ein Netzwerk-Client kann vermeiden, Informationen in eine Datei auf einem Remote-Server zu schreiben, wenn kein anderer Prozess auf die Daten zugreift, oder es kann Lesedaten pufferen, wenn kein anderer Prozess Daten schreibt.

Windows unterstützt vier verschiedene Arten von Operationen:

• Stufe 2 (oder geteilt) OPLOCK: Mehrere Leser, keine Schriftsteller (d. H. Lesen von Caching).
• Stufe 1 (oder exklusiv) OPLOCK: Exklusiver Zugriff mit willkürlicher Pufferung (d. H. Lesen und Schreiben von Caching).
• Batch Oplock (ebenfalls exklusiv): Ein Stream wird auf dem Server geöffnet, aber auf dem Client -Computer geschlossen (d. H. Lesen, Schreiben und Handeln).
• Filter Oplock (auch exklusiv): Anwendungen und Dateisystemfilter können "zurückgehen", wenn andere versuchen, auf denselben Stream zuzugreifen (d. H. Lesen und Schreiben von Caching) (seit Windows 2000)

Opportunistische Schlösser wurden in Windows 7 und Windows Server 2008 R2 mit Tasten pro Klient verbessert.^[98]

Zeit

Windows NT und seine Nachkommen halten interne Zeitstempel als koordinierte Weltzeit und die entsprechenden Konvertierungen für Anzeigezwecke vornehmen; Alle NTFS -Zeitstempel sind in UTC.

Aus historischen Gründen halten die Versionen von Fenstern, die NTFs nicht unterstützen, die Zeit intern als lokale Zone -Zeit, und daher auch alle Dateisysteme - außer NTFs -, die durch aktuelle Versionen von Windows unterstützt werden. Dies bedeutet, dass das Betriebssystem beim kopierten oder zwischen NTFS- und Nicht-NTFS-Partitionen verschobenen OS kopiert oder verschoben wird, muss das Betriebssystem Zeitstempel im laufenden Flug konvertieren. Aber wenn einige Dateien verschoben werden, wenn Sommerzeit (DST) ist in Kraft und andere Dateien werden verschoben, wenn Standardzeit In der Tat kann es einige Unklarheiten in den Konvertierungen geben. Infolgedessen können Benutzer, insbesondere kurz nach einem der Tage, an denen sich die Zeit der lokalen Zonen ändert, beobachten, dass einige Dateien Zeitstempel haben, die um eine Stunde falsch sind. Aufgrund der Unterschiede in der Implementierung von DST in verschiedenen Gerichtsbarkeiten kann dies zu einem möglichen Zeitstempelfehler von bis zu 4 Stunden in einem bestimmten Zeitraum von 12 Monaten führen.^[99]

Siehe auch

• Vergleich von Dateisystemen
• NTFSDOS
• ntfsresize
• Winfs (ein storniertes Microsoft -Dateisystem)
• Refs, ein neueres Microsoft -Dateisystem

Verweise

Weitere Lektüre