FortiOS 固件降级笔记：刷机前先花一分钟校验 image

因为运行版本上碰到需要回退的问题，把一台 FortiGate 100F 从 FortiOS v7.4.7 降级到 v7.4.4。降级比升级更需要谨慎，这里记录流程里最值得写下来的部分：固件完整性校验。

为什么一定要校验固件

固件文件走了这么一条路才到防火墙上：Fortinet 服务器 → 浏览器下载 → 本地磁盘 → 上传到设备。任何一环的损坏（下载中断、磁盘问题、传输出错）都可能产生一个「大小差不多但内容坏掉」的 image。给网关设备刷一个损坏的固件，轻则启动失败，重则变砖——而这台设备背后是整个办公室的网络。

一分钟的校验，值。

Step 1：拿官方 checksum

Fortinet 支持站的固件下载页，每个 image 后面都有一个 Checksum 链接，点开显示：

Fortinet 支持站的 checksum 弹窗（真实截图）——每个固件文件都有这个入口

注意 image 要选对：型号（FGT_100F）+ 版本 + build 号，同一个版本页面里挂着几十个不同型号的 image，选错型号刷不进去还算好的结果。

Step 2：本地校验

Windows 不用装任何工具，自带的 certutil 就行：

certutil -hashfile FGT_100F-v7.4.4.F-build2662-FORTINET.out MD5

输出：

MD5 hash of FGT_100F-v7.4.4.F-build2662-FORTINET.out:
5ca226ed079b51bfd6c9a9eeafcae335
CertUtil: -hashfile command completed successfully.

和官网的值逐字符对上（复制到记事本对齐比肉眼扫一遍靠谱），才进入下一步。想更稳可以用 SHA-512 再校一次：certutil -hashfile <file> SHA512。

Step 3：降级本身的注意事项

• 先备份当前配置（System → Configuration → Backup）。FortiOS 跨版本降级可能丢失部分配置，回退后要有底可查；
• 看目标版本的 release notes 里的 downgrade path——不是任意两个版本之间都能直接降，有些要走中间版本；
• 安排维护窗口：降级过程设备会重启，HA 环境按 secondary → primary 的顺序逐台来；
• 刷完确认版本号、license 状态、关键 policy 和 VPN 是否完好，再宣布收工。

教训

校验 checksum 是那种「99 次白做，1 次救命」的动作。做过一次固件半途损坏的恢复之后，你就再也不会跳过它了。

顺带一提：这个习惯对所有要刷进设备的东西都适用——交换机固件、UPS 固件、IPMI……官方给了 checksum 的，都校。