F100-E-G想升级版本

SecPath F100-E-G（V5.20 R5142P02）完整升级方案
一、设备现状与版本说明
当前系统：Comware V5.20 Release5142P02（老旧 V5 平台），BootROM Basic 1.36、Extend 1.37，硬件版本 A，SN：210235A0W0H158000011
现状风险：该 V5 老版本存在大量 SSH 弱加密、TLS1.0/1.1 漏洞、远程安全漏洞，也是你出现安全事件的根源；F100-E-G 硬件仅支持 Comware V5 分支固件，无法跨版本升级到 V7，强行刷 V7 镜像会直接变砖。
升级目标：升级至 F100-E-G V5 分支最终安全稳定补丁版 CMW520-R5142P18（最终收尾版本，封堵全部已知高危漏洞），官方停止更新后的安全终版。
二、升级前必备准备（重中之重，防止变砖丢配置）
1. 环境与工具
笔记本（电池供电，避免中途断电）+ Console 线 + SecureCRT/Xshell（波特率 9600 8N1）
TFTP/FTP 服务器（推荐 3CDaemon，电脑直连防火墙内网口，互通可达）
业务窗口：必须凌晨断网维护，升级重启约 10 分钟。
2. 双层配置备份
bash
# 1. 保存当前运行配置
save force
# 2. 将配置备份到Flash本地
backup startup-configuration to flash:/old_config_2026.cfg
# 3. 通过TFTP把配置导出到电脑本地留存（以防Flash损坏）
tftp 电脑IP put startup.cfg old_f100.cfg
# 4. 查看Flash剩余空间，新版固件约18MB
dir
若 Flash 剩余空间＜25MB，删除无用旧 bin 文件释放空间：
bash
delete /unreserved flash:旧固件名称.bin
3. 获取正版固件（唯一安全渠道）
该型号固件无公开免费下载权限，两种正规获取方式：
设备在保：拨打 H3C 400-810-0504，提供 SN 号，工程师邮箱下发 F100-E-G-CMW520-R5142P18.bin + 版本说明书；
联系当初采购设备的 H3C 代理商，用合作伙伴账号下载对应硬件 A 版本固件；
❌ 禁止网上来路不明固件，极易植入后门、硬件不兼容变砖。
拿到固件后校验 MD5，和官方 MD5 一致再上传防火墙。
三、分步升级流程（命令行方式，最稳妥）
步骤 1：上传固件至防火墙 Flash
电脑开启 TFTP 服务，防火墙执行上传：
bash
tftp 你的电脑IP get F100-E-G-CMW520-R5142P18.bin
# 上传完成后执行dir确认固件存在于flash根目录
dir
步骤 2：指定下次启动版本
bash
# 设置新版本为主启动文件
boot-loader file flash:/F100-E-G-CMW520-R5142P18.bin main
# 校验启动配置，确认Next main startup version为新版
display boot-loader
步骤 3（可选推荐）：升级 BootROM 适配新版本
新版固件会自动适配 BootROM，手动升级更稳定：
bash
bootrom update file flash:/F100-E-G-CMW520-R5142P18.bin
步骤 4：重启升级（全程严禁断电、拔 Console 线）
bash
reboot
重启过程设备自动写入新版本，全程约 6~10 分钟，Console 持续打印启动日志，出现%Apr 1 00:05:16 F100-E-G SysStart/5/SYSTEM_STARTUP_SUCCESS:即升级成功。
步骤 5：验证版本
bash
display version
# 确认软件版本变为 Version 5.20, Release 5142P18
display boot-loader
四、升级后安全加固（解决安全事件根源）
升级完成必须做漏洞加固，补齐老版本缺失安全策略：
关闭弱加密 SSH 算法（解决 SSH 高危漏洞）
bash
system-view
ssh server algorithm encryption aes256-cbc aes192-cbc aes128-cbc aes256-ctr aes192-ctr aes128-ctr
ssh server algorithm kex diffie-hellman-group-exchange-sha256 ecdh-sha2-nistp256
ssh server algorithm mac hmac-sha2-256 hmac-sha2-512
undo ssh server algorithm encryption des-cbc 3des-cbc aes128-cbc
undo ssh server algorithm kex diffie-hellman-group1-sha1 diffie-hellman-group14-sha1
禁用老旧不安全 TLS 版本
bash
ssl version exclude ssl3 tls1.0 tls1.1
ssl version include tls1.2
修改 web/ssh 管理端口、配置 ACL 限制管理源 IP，仅内网运维 IP 能登录防火墙；
开启防火墙日志上传，对接日志服务器。
五、故障回退方案（升级失败急救）
场景 1：升级启动异常、无法进系统
断电重启防火墙，开机瞬间快速按下 Ctrl+B进入 BootROM 菜单；
选择 Set boot file，将启动文件改回原来的旧版本 bin；
重启即可回退原有版本与配置。
场景 2：配置丢失
通过 TFTP 把之前备份的old_f100.cfg导入恢复配置：
bash
tftp 电脑IP get old_f100.cfg startup.cfg
save
reboot
六、重要限制说明
不能升级 V7 版本：F100-E-G 是老 V5 硬件架构，没有 V7 适配固件，市面上 F100-E-G2 才支持 V7，切勿混用固件；
BootROM 无需单独找升级包，新版本系统自带 BootROM 升级逻辑；
升级后原有业务配置完全保留，无需重新做策略、NAT、VPN。
七、Web 界面升级简易方式（备选）
登录防火墙 Web 管理页 → 系统 → 升级中心 → 软件更新；
点击管理文件 → 上传 P18.bin 固件；
设置启动文件选中上传的新版固件，点击确定重启升级即可。

1. 联系H3C官方或当地办事处（最稳妥）
   这是风险最低、最可靠的途径。直接致电 H3C技术支持热线 400-810-0504，说明情况并请求协助。如果热线无法直接提供，可以请求转接或提供当地H3C办事处的联系方式，向他们说明因安全原因需要升级固件。

2. 联系原设备供应商或代理商
   如果设备是通过供应商或代理商购买的，他们内部可能存有项目交付时的历史固件备份，可以尝试联系他们寻求帮助。

V5版本的

官网已经下架了

联系400要一下版本