十台 NAS 的补丁别一台台点：CMS 集中更新 DSM 与分批节奏
引言
安全补丁最怕的就是「最后一台没打」。NAS 数量上了两位数，逐台登 DSM 点更新既慢又容易漏——漏掉的那台往往就是出口上最暴露的那台。Central Management System 的「DSM 更新」页面把这件事收进一个控制台：只列可更新的服务器，按群组过滤、多选批量推送，更新类型还能限定在重要与安全更新。这篇按「备前置、选服务器、定来源、设类型」的动线，把集中更新的标准流程走一遍。
什么场景用它最值
一是多机位补丁治理：分公司机房、产线机柜里的 NAS 统一推送，不再靠人肉清单。二是分级分批：CMS 的群组过滤配合先测试组后生产组的节奏，把更新风险切小。三是离线/受控环境：支持手动上传 .pat 文件更新，不出网的内网段也能吃到补丁。
操作步骤
-
动手前核对两条前置：CMS 主机可连接到 Internet 以获取最新 DSM 更新；至少有一个存储空间可供 CMS 主机存储安装文件。为什么：这是官方列明的开始之前准备项——主机不联网拿不到补丁源，没有存储空间则补丁包无处暂存，两条缺一，后面的向导走一半必然折返。
-
进入「CMS > DSM 更新」页面，先看列表口径：页面只会列出可以更新的服务器，运行最新 DSM 版本的服务器不显示；要找特定服务器，用右上角搜索栏输入关键字，或按群组过滤。为什么：「只列可更新」意味着这个页面天然就是补丁缺口清单——每天扫一眼是空的，补丁治理就是达标的；按群组过滤则是分批更新的入口，先筛出测试群组。
-
选择要更新的服务器，单击「更新」按钮；按住 Ctrl 键并单击鼠标左键可一次选择多台。为什么：多选是效率所在，但第一次执行建议只勾测试群组的那几台——集中更新的风险不在点按钮，而在一台有异常时批量放大。
-
在向导中选择安装来源，二选一：「更新至 Synology 网站上提供的最新 DSM 版本」（需指定 DSM 补丁在 CMS 主机中的存储位置），或「手动更新 .pat 文件」（先从 Synology 网站下载对应 .pat 并上传到 CMS 主机，再选定该文件），随后按向导完成。为什么：在线方式拿最新版，适合常规节奏；.pat 方式适合版本要钉死的受控环境——补丁先在测试机验证过再推全网，版本一致性由人把控而不是由「最新」两个字把控。
-
全量推送用「全部更新」按钮：来源选项与单台更新相同（最新版或 .pat），按向导完成。为什么：全部更新的正确用法是「测试批验证通过之后的那一次」——先小批量确认业务无碍，再一键收尾，批次之间的间隔就是你的回旋余地。
-
设置更新类型：单击「设置」按钮，在「检查最新的 DSM 更新」与「仅检查 DSM 的重要更新和安全性更新」之间选择。为什么：前一种定期检查所有最新版本，适合跟版积极的团队；后一种只在有重要与安全性更新时在 CMS > DSM 更新中亮出来——生产环境用后者，把非关键功能更新的干扰先过滤掉，安全补丁的优先级反而更醒目。
-
更新执行与维护窗口对齐：把集中推送安排在业务低峰，更新前确认各服务器无进行中的大任务。为什么：DSM 更新会重启系统，白天推送等于替业务按下暂停键——集中化只是把「逐台点」变成「一次点」，窗口纪律仍要自己守。
三条边界先知道
- 页面只显示可更新服务器：列表为空代表全网最新，别误以为 CMS 失联；核对方式是看服务器总数与列表口径的差。
- .pat 与机型要对上：手动更新前确认 .pat 文件对应目标服务器的机型与当前版本路径，跨型号混推会直接失败。
- 集中更新不代替备份：推送前各服务器按既有策略留好配置备份与数据备份，更新出问题时的退路在备份里，不在 CMS 里。
结语
CMS 的 DSM 更新页把多机补丁治理压缩成「列表即缺口、群组即批次、来源即策略」三件事，配合先测试后全量的节奏，安全补丁的到达率不再依赖人的记性。机器越多，这种集中化的价值越直白。贵州诚鑫致达科技在为客户做 NAS 集中运维时，会把更新类型、分批群组与维护窗口一并写进运维手册——补丁治理成体系，安全水位才立得住。