设备型号是H3C S7506E-X 需求是修复漏洞升级系统，应该升级哪个版本比较保险

# S7506E‑X IRF 堆叠，R7557P01 漏洞修复升级方案

>
> 组网：两台 S7506E‑X IRF 堆叠，当前版本 S7500EX‑CMW710‑R7557P01，目标：修复安全漏洞，稳定优先。

## 一、推荐目标版本

1. **优先选择：R7585P07（S7500EX‑CMW710‑R7585P07）**
- 属于 R7585 维护分支，大量修复 SSL、web、协议类安全漏洞；
- 对 S7506E‑X 硬件兼容性好，生产环境大量现网部署，稳定性高H3C。
- ⚠️注意：如果设备有**LSQM1TGS24FD0（FD 系列高速万兆板卡），不要使用 R7577P06，该版本对此板卡存在识别异常 MCD=1 报错**。
2. 不建议直接跳转到 R7596 大版本，跨大分支风险偏高；漏洞修复优先选同大分支最新维护补丁版本。

>
> 获取 IPE 包：需要维保账号登录 H3C 官网下载 IPE 完整包；**不要网上找第三方固件**。

>
> 说明：R7557P01 比较老，很多 SSL/web 安全漏洞，单纯打补丁无法全部修复，**需要整机升级 IPE 系统包**，旧补丁不能覆盖全部组件漏洞。

## 二、升级前检查（堆叠 IRF 环境，必做）

1. 备份配置：`save`，导出配置文件、导出当前版本信息。

```
display version
display device
display irf topology
display system stable state
display patch information
```

- `display system stable state` 必须显示`Stable`，系统无异常，再升级；如果状态异常，先排查硬件 / 业务故障，禁止升级。

2. 卸载已经安装的旧补丁：`patch delete all`，旧补丁和新版本容易冲突。
3. 检查 flash 剩余空间，IPE 包大概 300M 左右，保证每块主控 flash 有≥400M 空闲。
4. IRF 环境确认：两台框主控主备状态正常，堆叠链路状态正常，MAD 配置完整。
5. 查看版本说明书：确认业务板卡、光模块全部兼容目标版本。
6. 业务窗口：**选业务低谷维护窗口；S7506E‑X 支持 ISSU 不中断升级，但 ISSU 有约束，建议优先评估业务，必要时停机升级**。

>
> ISSU 约束：

- 当前 R7557P01 升级到 R7585P07 属于**兼容版本**，可以走 ISSU 实现业务尽量不中断；
- 升级期间禁止修改配置、插拔板卡、执行其他命令；
- 如果网络有 BFD，升级前建议临时关闭 BFD，避免邻居震荡H3C。

## 三、两种升级方式（IRF 两台堆叠）

### 方式 A：ISSU 不中断业务升级（推荐，业务允许 ISSU 条件）

1. FTP/TFTP 把`S7500EX‑CMW710‑R7585P07.ipe`上传至**全局主用主控 flash 根目录**。
2. 执行 ISSU 激活升级，系统自动把 IPE 同步到所有主控，逐框重启升级，业务尽量不中断。

```
issu load file flash:/S7500EX‑CMW710‑R7585P07.ipe
```

3. 等待全部流程跑完，不要中断会话；完成后验证版本：`display version`所有主控版本统一为 R7585P07。

### 方式 B：整机重启升级（稳妥，业务可以短暂中断）

1. IPE 上传主用主控 flash 根目录。
2. 指定所有成员所有主控下次启动主版本：

```
boot‑loader file flash:/S7500EX‑CMW710‑R7585P07.ipe all main
```

>
> 命令自动把 IPE 分发到 IRF 里面所有框的全部主控板 flash 里面H3C。

3. 确认 boot‑loader 设置正确：`display boot‑loader`
4. `save`保存，整机重启：`reboot`。
5. 重启完成，检查所有主控、业务板版本、IRF 拓扑、业务状态。

## 四、升级后验证项

1. `display version`：两台设备全部主控版本一致为 R7585P07。
2. `display boot‑loader`：确认主、备启动文件版本正确。
3. `display device`：所有板卡状态正常，无红灯告警。
4. `display irf topology`堆叠状态正常。
5. `display system stable state`状态 Stable。
6. 业务连通性测试；漏洞复测（如 SSL2.0/3.0 等）。

## 五、重要风险提示

1. IRF 堆叠环境**所有主控必须版本完全一致**，不能一框新版本一框老版本，会造成堆叠分裂、业务异常H3C。
2. IPE 包会同步更新 BootWare，不需要单独刷 boot 文件。
3. 如果有 FD 系列高速业务板，避开 R7577P06 版本，优先 R7585P07。
4. 升级前务必备份配置，维护窗口操作，预留回退方案；回退就是重新指定旧 IPE 包重启。

## 简短总结

1. 当前 R7557P01 漏洞较多，**推荐升级 S7500EX‑CMW710‑R7585P07**，同分支稳定维护版本，修复大量安全漏洞；有 FD 万兆板不要使用 R7577P06。
2. IRF 堆叠，优先维护窗口；可以 ISSU 尽量不中断，或者整机重启升级；IPE 包上传主用主控，boot‑loader file xxx.ipe all main 自动同步全部主控。
3. 升级前确认系统 stable 状态正常，删除旧补丁，备份配置；升级完核对版本、板卡、堆叠状态。

>
> 如果没有维保账号下载固件，请联系 H3C400，提供设备 SN 获取版本包与版本说明书。