为什么双机授权必须一致
防火墙的入侵防御与 WAF 特征库、VPN 模块、虚拟系统数量等能力由授权（License）控制，而授权通常与设备序列号绑定，两台设备各自一套。只要一台缺授权或已过期，切换后对应防护能力就会静默降级：功能看似还在，规则不再更新或模块不可用，安全与业务同时受损，而这种降级在真正切换之前往往不会被发现。
核对清单
| 核对项 | 授权模块、有效期、特征库版本、并发规格 |
|---|---|
| 绑定关系 | 授权多与设备序列号绑定，不能直接复制 |
| 典型差异 | 只续了主机；换机后未迁移授权 |
| 核对时机 | 授权续期后、设备升级后、季度巡检时 |
| 查看方式 | 设备授权列表命令（型号版本不同，如 display license） |
| 台账要求 | 序列号、授权项、到期日、责任人登记在册 |
典型使用场景
- 年度授权续期后，确认两台设备都已完成更新
- 更换设备（故障替换或型号升级）时迁移授权并逐项核对
- 双机演练前确认备机能力与主机一致，避免演练结论失真
- 合规检查要求提供授权清单、有效期与对应序列号证明
- 新增功能模块后确认两台设备同步开通，不留单边能力
核对步骤
核对步骤
主设备：导出授权列表与到期时间 # 基准
备设备：逐项比对模块、有效期与版本 # 对照
差异项：补充授权或修正采购，不带病上线 # 整改
序列号：确认与授权文件登记一致 # 绑定关系
台账：更新模块、到期日与责任人 # 留痕授权差异的后果
| 差异类型 | 切换后的表现 |
|---|---|
| 备机缺入侵防御授权 | 防护模块不生效或规则不更新，静默降级 |
| 特征库版本不一致 | 切换后规则版本突变，误报与漏报同时上升 |
| 授权已过期 | 相关功能不可用，设备仍转发但无防护 |
| 并发规格较低 | 高负载时新建连接失败，业务直接受影响 |
把两台的授权差异纳入巡检表，续期时逐台确认：只更新一台是这类问题最常见的成因。
换机（返修更换或型号升级）后必须确认授权已迁移到新设备序列号，否则可用性问题只在切换那一刻才暴露。