EWF工作方式讨论

EWF中设置EWF Partation Size的选项是指EWF覆盖层的尺寸，覆盖层就是指的EWF的中间层，在开启EWF的情况下，任何对EWF保护层的操作都将反映到覆盖层上，而不是最终 磁盘分区上，只有在提交以后，才会将覆盖层的内容最终提交到最终保护的磁盘上，举个例子，当我对C盘进行EWF保护时，如果在C盘上新建一个文件，该文件 存在于覆盖层上，也就是EWF Partation上，进行提交后（-commit），该文件才会真实地建立在C盘上。 WmSfSXH  
Tm
i \c  
明 白了这个原理，我们再来看一下EWF Partation Size到底应该如何设置。EWF保护方式有两种，一种是内存模式（RAM），一种是磁盘模式（DISK），当使用RAM模式的时候，EWF Partation Size可以不用设置，即为0，这样，覆盖层的尺寸会根据内存的尺寸动态分配，当然，如果对保护分区进行大量的文件操作时，内存就会逐渐消耗殆尽，系统将 会提示内存不足的对话框。当重新启动计算机时，覆盖层的内容就会丢失，因为内存断电后，所有的信息就不被保存，看到的现象就是新建的文件没有了。如果不想 丢失，那么在重新启动前则需要进行提交。 i H /&c=<  
ntdA T& 1u  
而 使用DISK模式的时候，覆盖层存在于物理磁盘上，这时就需要设置EWF Partation Size，通常为了保证对保护分区的操作能够最大限度的保留，建议把EWF Partation Size设置成大于或者等于被保护分区的尺寸，这样，只要能够在被保护分区上作的操作，在EWF Partation上都可以保留，如果小于被保护分区的尺寸，那么可能会出现覆盖层不足的信息，举个例子，如果被保护分区的尺寸是2G，现在我向这个分区 上拷贝1.9G的文件，那么该文件会先保存在EWF Partation上，而EWF Partation只设置了1G，那么显然文件时拷不下的。当然，不是说EWF Partation Size必须设置成大于等于保护分区的尺寸，最小设置为8M以上就可以了。 pcW]gCQ?  

?$47IS
 
需要注意的是，EWF Partation Size的设置要求在磁盘的自由分区或者扩展分区上，所以自由分区或者扩展分区必须具有你设置的EWF Partation大小空间。