【管理篇 / 升级】❀ 14. FortiOS 7.4固件升级新规后的7.4.4版本的升级 ❀ FortiGate 防火墙

　　【简介】相信看过上一篇文章的都已经知道了，FortiOS 7.4版本的固件升级和降级都增加了条件，那就是需要设备在服务期内，但是小版本的升级是允许的，例如7.4.0升级到7.4.1、7.4.2，现在最新版本7.4.4来了。

---

  获得FortiOS 7.4.4版本固件

　　获得FortiOS固件的方法有很多种，最简单的方法就是通过support.fortinet.com官网下载。

　　① 登录support.fortinet.net的前提是必须拥有一个帐号，如果没有可以注册，只需一个邮箱就可以注册。

　　② 输入帐号和密码，点击【LOGIN】，登录官网。

　　③ 下载固件的另一个条件是，必须注册FortiGate防火墙设备，而且最少有一台设备在服务期内。 

　　④ 选择菜单【Support】-【Firmware Download】。

　　⑤ 选择【Download】，当出现上图显示的提示时，说明即使有注册的设备，但是设备都过了服务期，仍然无法下载固件。 

　　⑥ 选择【Download】，当出现上图的镜像文件路径时，就表示可以下载FortiGate防火墙的固件了。

　　⑦ 选择好需要版本后，就可以下载所有的型号的固件了，即使你只有一个注册的设备在服务期内。

  通过CONSOLE口刷新FortiOS 7.4.4版本固件

　　通过CONSOLE口刷新固件最简单有效，并且不受设备是否在服务期内的限制。但是条件比较高。首先需要有配置线和网线，并且需要配置TFTP上传环境，以及仿终端软件，当然最关键的是不能直接远程操作。具体的操作方法参考相应文章。

  从非FortiOS 7.4版本直接升级到FortiOS 7.4.4版本

　　FortiOS 7.4版本以前，是不需要验证设备是否在服务期内的，可以直接升级或降级。

　　① 我们来试试从FortiOS 7.2.8是否能直接升级到FortiOS 7.4.4，在菜单【仪表板】-【状态】下的【系统信息】小部件上点击鼠标，弹出菜单选择【Update firmware in System > Fabric Management】。

　　② 选择设备，点击【升级】。

　　③ 选择【文件上传】，打开刚才下载的最新版本FortiOS 7.4.4版本固件文件，固件文件需要和FortiGate防火墙型号一一对应，不通用的。点击【确认和备份配置】。

　　④ 现在的固件版本会加上F和M进行标注。M可以理解为稳定版本，也就是推荐在生产环境下使用的版本，F表示新添加功能的版本，也可以理解为测试版本，不推荐在生产环境下使用。由于7.2.8是M稳定版本，7.4.4是F功能版本，因此出现警告提示。点击【确认切换到功能成熟度】。

　　⑤ 提示升级固件将会重启防火墙，点击【继续】，然后会看到一系列的提示，不再描述，防火墙重启。

　　⑥ 防火墙固件成功的从7.2.8版本升级到了7.4.4版本。同样方法我们试试从7.4.4降级到7.2.8。

　　⑦ 文件上传选择7.2.8版本的固件，出现无法安装的警告提示，意思是固件升级服务过期，无法安装固件。来的时候好好的。。。。。。回不去了。。。。。。

  从FortiOS 7.4.3版本升级到FortiOS 7.4.4版本

　　相信很多喜欢尝鲜的朋友已经从7.2升级到7.4.3了，我们再看看在7.4.3下能不能升级到7.4.4 。

　　① 首先我们从7.2.8升级到7.4.3，选择菜单【仪表板】-【状态】，点击【系统信息】小部件，弹出菜单选择【Update firmware in System > Firmware & Registration】。

　　② 选择设备，点击【升级】。

　　③ 选择【文件上传】，选择好7.4.4的固件后，也出现了同样的无法操作的提示，【确认和备份】按钮是灰色，无法继续操作。不是说好小版本升级不做限制的吗？人与人的信任在哪里？

  从FortiOS 7.4.3版本升级到FortiOS 7.4.4版本的解决办法

　　那有还有没有办法可以升级到7.4.4版本呢？通过CONSOLE口刷固件肯定是可以的，但是如果设备不在边上，只能远程操作呢？

　　① 其实FortiGate防火墙固件有防错机制，同时保存了两份固件的。通过diagnose sys flash list命令，可以看到有两个固件镜像。

　　② 如果在升级后遇到问题需要回退（降级），我们可以将当前的运行版本切换回升级前的上个版本。运行命令execute set-next-reboot加问号，可以看到有两个参数，primary代理分区1，secondary代表分区2，分区3忽略。现在启动的系统7.4.3版本是在分区2，运行命令execute set-next-reboot primary，将系统切换到分区1。

　　③ 虽然用命令切换了分区，但是要重启防火墙才能生效。执行命令execute reboot重启防火墙，提示是否继续，输入y。

　　④ 由于是防火墙从7.2.8升级到7.4.3的，因此重启后，系统又回到升级7.4.3前7.2.8版本了。第三小节已经描述了7.2.8可以直接升级到7.4.4，这里就不再细述了。

　　⑤ 再次执行命令diagnose sys flash list，可以看到活动镜像是分区1了。

　　【总结】升级到7.4.4固件的办法有二种，一是通过CONSOLE刷机，缺点是不能远程。二是从非7.4版本直接升级，例如从6.4、7.0、7.2直接升级，缺点是版本跨度太大的话，会丢失部分配置。建议升级后恢复出厂设置重新配置过。

　　对于已经升级到7.4.3的，可以通过命令切换前一个固件版本，回到非7.4版本，再直接升级到7.4.4。升级或切换前最好是备份一下配置，7.4.3的配置可以直接导入到7.4.4中。

---