固件更新为什么更谨慎
固件层（BMC、BIOS/UEFI、RAID 卡、交换机固件）的漏洞同样要纳入管理，但更新风险明显高于软件补丁：刷写过程断电或网络中断可能直接导致设备无法启动。所以流程上必须预留带外恢复手段与现场支持能力，并在窗口安排、升级顺序、配置备份三个方面提前准备。
基本信息
| 涉及对象 | BMC（iDRAC、iLO、IPMI）、BIOS/UEFI、RAID 卡、交换机与防火墙固件 |
|---|---|
| 风险特点 | 更新失败可能无法远程恢复，需要现场处理 |
| 前置条件 | 双电源与冗余供电、带外通道可达、配置已备份 |
| 升级顺序 | 按厂商文档要求执行，常见做法是先 BMC 后 BIOS |
| 校验方式 | 使用厂商提供的校验和或签名文件 |
| 留痕要求 | 记录升级前后版本与结果，同步更新资产台账 |
更新前检查项与原因
| 检查项 | 内容 | 原因 |
|---|---|---|
| 电源与冗余 | 确认双电源与冗余供电 | 刷写中断电风险最高 |
| 带外通道 | iDRAC、iLO、IPMI 可达且凭据可用 | 远程刷写失败时靠它恢复 |
| 升级顺序 | 按厂商文档要求执行 | 顺序错误可能导致不兼容 |
| 配置备份 | 导出交换机、RAID、BMC 配置 | 失败后可快速恢复业务 |
| 固件校验 | 核对厂商提供的校验和或签名 | 防止文件损坏或被替换 |
| 窗口与值守 | 安排现场或可到场人员 | 远程恢复不了需要人到场 |
更新前检查清单
更新前检查清单
1. 电源：确认双电源与冗余供电，避开市电检修期
2. 带外通道：iDRAC、iLO、IPMI 可达可用，避免远程刷写失败无法恢复
3. 固件版本：按厂商要求执行升级顺序，通常先升级 BMC 再升级 BIOS
4. 备份：导出当前配置（交换机配置、RAID 配置、BMC 配置）
5. 窗口与值守：安排现场或可到场的支持人员，并约定回滚条件典型使用场景
- 硬件例行维护窗口中的固件更新
- 厂商公告要求修复的固件层问题
- 新设备上线前统一固件基线
- 网络设备主备倒换后的备机升级
- 安全整改中的带外管理暴露面收敛
- 通过台账核对全网固件版本分布
固件更新失败往往需要依赖降级开关、双镜像或带外恢复机制。动手前先确认这些兜底手段可用，而不是假设厂商工具一定会成功。
远程升级带外管理固件时网络中断，通道不可达就只能现场恢复。排窗口时要把「人到现场」算进恢复预案，不能只准备远程方案。