網絡設備固件升級清單：交換機、防火牆、無線 AP 的升級步驟

簡短回答： 網絡固件升級要當作正式變更來做：先讀發行說明，備份配置，留好舊版本映像，在計劃好的時段內升級，升級後按書面清單逐項測試。先升一部（或一對設備中的一部）做試點，不要一次全升。是否回退，要在時段開始之前定好，而不是升級中途臨時決定。

本文寫給負責中小企業交換機、防火牆和無線 AP 的 IT 負責人和工程師。讀完後，你可以帶著書面計劃、回退時限和一份可以交給同事執行的測試清單去做升級。

文中的時間和等待時長只是起點值，請按你的環境和廠商建議調整。

動手前先定四件事

1. 為何升級？ 安全修復、影響你的缺陷、需要的新功能，或產品終止支援。沒有理由的話，運作正常的設備可以等下一個計劃週期。
2. 目標版本是哪個？ 用廠商推薦或標示為穩定的版本，而不是下載頁上最新的文件。補丁週期可參考補丁管理流程指南。
3. 先升哪一部？ 選同型號、同角色、最不關鍵的一部，例如後備交換機或分公司的 AP。
4. 誰批准、誰當值？ 指定有權決定回退的人，以及負責通知用戶的人。

升級前檢查清單

第 1 至 10 項在前一天做完，不要等到時段開始才做；第 11 項的通知至少提前兩個工作天發出。

1. 閱讀目標版本的發行說明： 已知問題、預設值變化、被移除的功能、最低記憶體或存儲要求、必須經過的中間版本。
2. 確認升級路徑。 有些產品不能從舊版本一步升到新版本。廠商會公佈路徑，例如 Fortinet 提供升級路徑工具，並建議按驗證過的路徑逐步升級、查看每一步的發行說明（2026 年 10 月 28 日核對）。
3. 確認硬件支援： 型號和硬件版本是否支援，需要授權才能下載的產品，其授權或支援合約是否有效。
4. 從廠商官方支援網站下載映像， 登入官方門戶下載，並在廠商公佈哈希值的情況下核對文件哈希值。
5. 備份運行配置， 匯出到設備以外的位置。防火牆若廠商說明授權和證書需另行匯出，也一併匯出。
6. 保留現行固件映像， 以便重裝，與配置備份放在一起，文件名註明版本和日期。
7. 記錄現時狀態： 固件版本、運行時間、在線端口和鏈路數量、VPN 隧道、每個 AP 的無線客戶端數、VLAN 列表。升級後要對照。
8. 檢查設備存儲和記憶體。 很多升級失敗是因為可用閃存不足。
9. 檢查電源和線路： 機櫃 UPS 正常，控制台線和控制台訪問可用，有帶外管理的話也要預備好。
10. 確認冗餘： 有沒有堆疊成員、高可用對或第二條上聯？按廠商文件了解成對設備應如何升級。
11. 提前通知用戶： 核心設備至少提前兩個工作天。

Windows 上核對哈希值：

Get-FileHash .\firmware-image.bin -Algorithm SHA256

把輸出與廠商下載頁公佈的哈希值對比（如有公佈）。

選維護時段

1. 選最空閒的時段： 依據自己的流量和工單記錄，辦公室通常是工作天清晨，平日營運的場所則選週末。
2. 預留足夠時間。 一部交換機的參考安排：準備 10 分鐘，載入映像並重啟 15 至 30 分鐘，測試 20 分鐘，再加一個回退決定點。防火牆和無線控制器通常更久。這些只是示例，以廠商給出的時間為準。
3. 預先定好回退時間。 例如：重啟後 30 分鐘設備仍不能轉發流量就回退。把具體時間寫在計劃上。
4. 避開業務高峰、月結等時間， 也不要與其他變更重疊。
5. 安排第二個人 在場或在線：一人操作，一人對照清單。

升級順序

1. 先試點設備。 如果試點設備承載真實流量，等一天或更久再升其餘設備。
2. 按廠商文件規定的順序。 沒有規定的話，先升一部風險低的邊緣設備做試點。由控制器管理的無線網絡，先升控制器，再通過控制器升級 AP。
3. 成對設備一次一部。 堆疊交換機或高可用防火牆，按廠商文件的流程，確認第一部正常後再升第二部。
4. 你用來登入其他設備的那部放最後， 或者另有進入的辦法。
5. 不要把大變更混在一起。 同一晚不要既升固件又重新規劃 VLAN。

升級過程中

1. 在監控裡設定維護標記，或把設備移出警報路徑，避免警報刷屏。
2. 再儲存一次配置，並確認備份文件能打開。
3. 對設備和它後面的一部主機持續 ping，這樣能看到確切的中斷時長：

ping -t 10.0.0.1

1. 載入新映像，按廠商說明設定啟動映像。設備空間許可的話，把舊映像留在設備上作後備。
2. 重啟，有控制台就盯著控制台，並記錄每一步的時間。
3. 寫入閃存時不要中斷重啟或斷電。

升級後驗證

對照升級前記錄的狀態逐項檢查。

1. 版本： 設備顯示目標版本。
2. 接口： 原來在線的端口和上聯仍在線，沒有新增錯誤或抖動。
3. 二層： VLAN 存在，Trunk 承載正確的 VLAN，生成樹穩定且根橋與之前一致。
4. 三層： 路由、預設閘道和路由鄰居恢復。
5. 防火牆： 策略已載入，NAT 正常，VPN 隧道在線，從內網主機訪問互聯網和對外發佈的服務測試通過。
6. 無線： 每個 SSID 都能連接，漫遊正常，控制器顯示 AP 已加入。
7. 經過該設備的服務： DHCP、DNS、認證（RADIUS）以及一個業務應用。
8. 管理： 日誌送到日誌服務器，監控能看到設備，SNMP 或 API 檢查有回應。
9. 配置： 儲存，重新備份，與之前的備份對比是否有意外的預設值變化。
10. 觀察 24 小時： 看錯誤計數、CPU 和記憶體，以及工單隊列。

回退方案

開始之前就寫好。

1. 觸發條件： 設備無法啟動、到回退時間仍不轉發流量、關鍵業務失敗，或在設定時間內無法解釋的問題。
2. 方法： 啟動舊映像或重裝保存的映像；若新版本改變了配置格式，再恢復保存的配置。降級務必按廠商流程，因為有些版本不重設配置就不支援降級。
3. 訪問： 時段前測試過控制台或帶外訪問。
4. 後備機： 同型號後備機，預先刷好舊固件，應對最壞情況。
5. 回退之後： 用同一份測試清單驗證，通知用戶，在再次嘗試前記錄失敗原因。

常見錯誤

1. 沒讀發行說明就升到最新文件。 先讀說明，選廠商推薦的版本。
2. 跳過廠商要求的中間版本。 按文件路徑逐步升級。
3. 沒有測試過的進入方式。 設備起不來又沒有控制台，短時段就變成到場處理。先測試訪問方式。
4. 成對設備同時升級。 先升一部，驗證後再升另一部。
5. 備份存在被升級的設備本身。 只存在要升級的那部上的備份不算備份。
6. 沒記錄升級前狀態， 無法判斷問題是不是新出現的。
7. 同時改多件事， 出了故障很難判斷原因。

如何確認升級成功

1. 版本與目標一致，映像哈希值與廠商公佈的一致。
2. 升級後清單每一項通過，結果與升級前狀態一起記錄下來。
3. 之後一天沒有新警報，錯誤計數沒有上升。
4. 用戶沒有反映速度、無線漫遊或 VPN 行為有變化。
5. 升級後的備份與舊備份一起保存。

常見問題

固件升級的最佳做法有哪些？

讀發行說明，按廠商的升級路徑走，備份配置，保留舊映像，在計劃時段內升級並設好回退時間，先升試點設備，事後按書面清單測試。

甚麼是固件？

固件是存儲在交換機、防火牆、無線 AP 等設備裡的軟件，控制硬件如何運作。更新方法是載入廠商提供的新映像。

交換機固件升級的步驟是甚麼？

備份配置，下載並校驗映像，檢查可用閃存，載入映像並設為啟動映像，在時段內重啟，再驗證端口、VLAN、生成樹和上聯。具體命令請用廠商為你的型號提供的命令。

固件應該從哪裡下載？

從廠商官方支援門戶下載，對應你的確切型號和硬件版本，並核對公佈的哈希值。不要使用論壇或文件分享網站上的副本。

下一步

如果希望由我們安排維護時段、備份和回退，請了解我們的網絡設備維護服務。

2026 年 10 月 28 日核對的來源：Fortinet 升級路徑工具（docs.fortinet.com/upgrade-tool）。