网络设备固件升级清单：交换机、防火墙、无线 AP 的升级步骤

简短回答： 网络固件升级要当作正式变更来做：先读发行说明，备份配置，留好旧版本镜像，在计划好的窗口内升级，升级后按书面清单逐项测试。先升一台（或一对设备中的一台）做试点，不要一次全升。是否回退，要在窗口开始之前定好，而不是升级中临时决定。

本文写给负责中小企业交换机、防火墙和无线 AP 的 IT 负责人和工程师。读完后，你可以带着书面计划、回退时限和一份可以交给别人执行的测试清单去做升级。

文中的时间和等待时长只是起点值，请按你的环境和厂商建议调整。

动手前先定四件事

1. 为什么升级？ 安全修复、影响你的缺陷、需要的新功能，或产品停止支持。没有理由的话，运行正常的设备可以等下一个计划周期。
2. 目标版本是哪个？ 用厂商推荐或标注为稳定的版本，而不是下载页上最新的文件。补丁周期可参考补丁管理流程指南。
3. 先升哪一台？ 选同型号、同角色、最不关键的一台，例如备用交换机或分支办公室的 AP。
4. 谁批准、谁值班？ 指定有权决定回退的人，以及负责通知用户的人。

升级前检查清单

第 1 至 10 项在前一天做完，不要等到窗口开始才做；第 11 项的通知至少提前两个工作日发出。

1. 阅读目标版本的发行说明： 已知问题、默认值变化、被移除的功能、最低内存或存储要求、必须经过的中间版本。
2. 确认升级路径。 有些产品不能从旧版本一步升到新版本。厂商会公布路径，例如 Fortinet 提供升级路径工具，并建议按验证过的路径逐步升级、查看每一步的发行说明（2026 年 10 月 28 日核对）。
3. 确认硬件支持： 型号和硬件版本是否支持，需要授权才能下载的产品，其授权或支持合同是否有效。
4. 从厂商官方支持网站下载镜像， 登录官方门户下载，并在厂商公布哈希的情况下核对文件哈希。
5. 备份运行配置， 导出到设备以外的位置。防火墙若厂商说明授权和证书需单独导出，也一并导出。
6. 保留当前固件镜像， 以便重装，与配置备份放在一起，文件名写明版本和日期。
7. 记录当前状态： 固件版本、运行时间、在线端口和链路数量、VPN 隧道、每个 AP 的无线客户端数、VLAN 列表。升级后要对照。
8. 检查设备存储和内存。 很多升级失败是因为可用闪存不够。
9. 检查电源和线路： 机柜 UPS 正常，控制台线和控制台访问可用，有带外管理的话也要备好。
10. 确认冗余： 有没有堆叠成员、高可用对或第二条上联？按厂商文档了解成对设备应如何升级。
11. 提前通知用户： 核心设备至少提前两个工作日。

Windows 上核对哈希：

Get-FileHash .\firmware-image.bin -Algorithm SHA256

把输出与厂商下载页公布的哈希对比（如有公布）。

选维护窗口

1. 选最安静的时段： 依据自己的流量和工单记录，办公室通常是工作日清晨，工作日运营的场所则选周末。
2. 留够时间。 一台交换机的参考安排：准备 10 分钟，加载镜像并重启 15 至 30 分钟，测试 20 分钟，再加一个回退决定点。防火墙和无线控制器通常更久。这些只是示例，以厂商给出的时间为准。
3. 提前定好回退时间。 例如：重启后 30 分钟设备仍不能转发流量就回退。把具体钟点写在计划上。
4. 避开业务高峰、月结等时点， 也不要与其他变更重叠。
5. 安排第二个人 在场或在线：一人操作，一人对照清单。

升级顺序

1. 先试点设备。 如果试点设备承载真实流量，等一天或更久再升其余设备。
2. 按厂商文档规定的顺序。 没有规定的话，先升一台风险低的边缘设备做试点。由控制器管理的无线网络，先升控制器，再通过控制器升级 AP。
3. 成对设备一次一台。 堆叠交换机或高可用防火墙，按厂商文档的流程，确认第一台正常后再升第二台。
4. 你用来登录其他设备的那台放最后， 或者另有进入的办法。
5. 不要把大变更混在一起。 同一晚不要既升固件又重新规划 VLAN。

升级过程中

1. 在监控里设置维护标记，或把设备移出告警路径，避免告警刷屏。
2. 再保存一次配置，并确认备份文件能打开。
3. 对设备和它后面的一台主机持续 ping，这样能看到确切的中断时长：

ping -t 10.0.0.1

1. 加载新镜像，按厂商说明设置启动镜像。设备空间允许的话，把旧镜像留在设备上作后备。
2. 重启，有控制台就盯着控制台，并记录每一步的时间。
3. 写闪存时不要中断重启或断电。

升级后验证

对照升级前记录的状态逐项检查。

1. 版本： 设备显示目标版本。
2. 接口： 原来在线的端口和上联仍在线，没有新增错误或抖动。
3. 二层： VLAN 存在，Trunk 承载正确的 VLAN，生成树稳定且根桥与之前一致。
4. 三层： 路由、默认网关和路由邻居恢复。
5. 防火墙： 策略已加载，NAT 正常，VPN 隧道在线，从内网主机访问互联网和对外发布的服务测试通过。
6. 无线： 每个 SSID 都能连接，漫游正常，控制器显示 AP 已加入。
7. 经过该设备的服务： DHCP、DNS、认证（RADIUS）以及一个业务应用。
8. 管理： 日志送到日志服务器，监控能看到设备，SNMP 或 API 检查有响应。
9. 配置： 保存，重新备份，与之前的备份对比是否有意外的默认值变化。
10. 观察 24 小时： 看错误计数、CPU 和内存，以及工单队列。

回退方案

开始之前就写好。

1. 触发条件： 设备无法启动、到回退时间仍不转发流量、关键业务失败，或在设定时间内无法解释的问题。
2. 方法： 启动旧镜像或重装保存的镜像；若新版本改变了配置格式，再恢复保存的配置。降级务必按厂商流程，因为有些版本不重置配置就不支持降级。
3. 访问： 窗口前测试过控制台或带外访问。
4. 备机： 同型号备机，预先刷好旧固件，应对最坏情况。
5. 回退之后： 用同一份测试清单验证，通知用户，在再次尝试前记录失败原因。

常见错误

1. 没读发行说明就升到最新文件。 先读说明，选厂商推荐的版本。
2. 跳过厂商要求的中间版本。 按文档路径逐步升级。
3. 没有测试过的进入方式。 设备起不来又没有控制台，短窗口就变成现场出勤。先测试访问方式。
4. 成对设备同时升级。 先升一台，验证后再升另一台。
5. 备份存在被升级的设备本身。 只存在要升级的那台上的备份不算备份。
6. 没记录升级前状态， 无法判断问题是不是新出现的。
7. 同时改多件事， 出了故障很难判断原因。

如何确认升级成功

1. 版本与目标一致，镜像哈希与厂商公布的一致。
2. 升级后清单每一项通过，结果与升级前状态一起记录下来。
3. 之后一天没有新告警，错误计数没有上升。
4. 用户没有反映速度、无线漫游或 VPN 行为有变化。
5. 升级后的备份与旧备份一起保存。

常见问题

固件升级的最佳实践有哪些？

读发行说明，按厂商的升级路径走，备份配置，保留旧镜像，在计划窗口内升级并设好回退时间，先升试点设备，事后按书面清单测试。

什么是固件？

固件是存储在交换机、防火墙、无线 AP 等设备里的软件，控制硬件如何工作。更新方法是加载厂商提供的新镜像。

交换机固件升级的步骤是什么？

备份配置，下载并校验镜像，检查可用闪存，加载镜像并设为启动镜像，在窗口内重启，再验证端口、VLAN、生成树和上联。具体命令请用厂商为你的型号提供的命令。

固件应该从哪里下载？

从厂商官方支持门户下载，对应你的确切型号和硬件版本，并核对公布的哈希。不要使用论坛或文件分享网站上的副本。

下一步

如果希望由我们安排维护窗口、备份和回退，请了解我们的网络设备维护服务。

2026 年 10 月 28 日核对的来源：Fortinet 升级路径工具（docs.fortinet.com/upgrade-tool）。