每次只动一台
双机场景下的升级原则是保持业务始终有一台设备承载：先在备机上完成升级并验证功能，确认无误后切换角色，让业务转到已升级设备上，最后升级原主机。整个过程任何时刻都只有一台设备在重启或变更，出现问题时可以用未动过的那台兜底，回退路径清晰。
基本信息
| 适用平台 | 华为 HRP 双机、深信服双机等主备集群 |
|---|---|
| 步骤一 | 升级备机并验证策略、NAT、日志等功能正常 |
| 步骤二 | 手动切换角色，让业务运行在已升级设备上 |
| 步骤三 | 升级原主机，完成后核对双机状态并恢复规划角色 |
典型使用场景
- 版本升级：跨越较大版本时更需要单台先行验证兼容性
- 补丁修复：安全补丁同样按备机优先的顺序执行
- 功能变更：新功能启用前先在备机验证，避免影响在线业务
- 回退准备：升级前导出现配置，明确回退到旧版本的步骤
- 授权与许可变更：部分变更需要重启，同样按单台顺序操作
升级顺序示意
升级顺序示意
1. 备份两台设备的配置与当前版本信息，记录回退点
2. 升级备机 → 验证策略、NAT、日志与关键业务是否正常
3. 手动切换，让业务运行在已升级设备上，确认业务无异常
4. 验证通过后升级原主机，避免两台同时处于重启状态
5. 升级完成后核对双机状态与配置一致性，恢复规划角色升级阶段检查
| 阶段 | 检查内容 | 风险点 |
|---|---|---|
| 升级前 | 配置备份、版本路径、回退方案 | 无回退点即无退路 |
| 备机升级后 | 功能与业务验证 | 未验证就切换，问题带到生产 |
| 切换后 | 业务连通与耗时 | 切换与升级叠加，窗口被拉长 |
| 原主机升级后 | 双机状态与配置一致 | 配置漂移，双机名存实亡 |
切换与升级放在同一个窗口时，提前把回退点设计清楚：每次只动一台设备，任何时刻都要有一台可承载业务的设备。