Spec-Zone.ru › Ansible

Модуль community.general.ufw — управление межсетевым экраном с помощью UFW

Примечание

Этот модуль входит в коллекцию community.general (версия 12.6.1).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.general. Для использования этого модуля необходимы дополнительные требования. Подробности см. в разделе Требования.

Чтобы использовать модуль в плейбуке, укажите: community.general.ufw.

  • Краткое описание
  • Требования
  • Параметры
  • Атрибуты
  • Примечания
  • Примеры

Краткое описание

  • Управление межсетевым экраном с помощью UFW.

Требования

Следующие требования необходимы на хосте, на котором выполняется этот модуль.

  • пакет ufw

Параметры

Параметр

Комментарии

comment

string

Добавить комментарий к правилу. Требуется UFW версии >=0.35.

default

псевдонимы: policy

string

Изменить политику по умолчанию для входящего или исходящего трафика.

Варианты:

  • "allow"
  • "deny"
  • "reject"

delete

boolean

Удалить правило.

Если delete=true и задано значение для insert, то insert игнорируется.

Варианты:

  • false ← (по умолчанию)
  • true

direction

string

Выбрать направление для правила или команды политики по умолчанию. Не может использоваться одновременно с interface_in и interface_out.

Варианты:

  • "in"
  • "incoming"
  • "out"
  • "outgoing"
  • "routed"

from_ip

псевдонимы: from, src

string

IP-адрес источника.

По умолчанию: "any"

from_port

string

Порт источника.

insert

integer

Вставить соответствующее правило под номером NUM.

Обратите внимание, что ufw нумерует правила, начиная с 1.

Если delete=true и задано значение для insert, то insert игнорируется.

insert_relative_to

string

Позволяет интерпретировать индекс в insert относительно заданной позиции.

zero интерпретирует номер правила как абсолютный индекс (то есть 1 — первое правило).

first-ipv4 интерпретирует номер правила относительно индекса первого правила IPv4 или относительно позиции, на которой находилось бы первое правило IPv4, если сейчас таких правил нет.

last-ipv4 интерпретирует номер правила относительно индекса последнего правила IPv4 или относительно позиции, на которой находилось бы последнее правило IPv4, если сейчас таких правил нет.

first-ipv6 интерпретирует номер правила относительно индекса первого правила IPv6 или относительно позиции, на которой находилось бы первое правило IPv6, если сейчас таких правил нет.

last-ipv6 интерпретирует номер правила относительно индекса последнего правила IPv6 или относительно позиции, на которой находилось бы последнее правило IPv6, если сейчас таких правил нет.

Варианты:

  • "first-ipv4"
  • "first-ipv6"
  • "last-ipv4"
  • "last-ipv6"
  • "zero" ← (по умолчанию)

interface

псевдонимы: if

string

Указать интерфейс для правила. Направление (in или out), используемое для интерфейса, зависит от значения direction. Для маршрутизируемых правил, которым нужно указать входной и выходной интерфейсы, см. interface_in и interface_out. Не может использоваться одновременно с interface_in и interface_out.

interface_in

псевдонимы: if_in

string

добавлено в community.general 0.2.0

Указать входной интерфейс для правила. Этот параметр нельзя использовать одновременно с direction и interface. Однако он совместим с interface_out для маршрутизируемых правил.

interface_out

псевдонимы: if_out

string

добавлено в community.general 0.2.0

Указать выходной интерфейс для правила. Этот параметр нельзя использовать одновременно с direction и interface. Однако он совместим с interface_in для маршрутизируемых правил.

log

boolean

Вести журнал новых подключений, соответствующих этому правилу.

Варианты:

  • false ← (по умолчанию)
  • true

logging

string

Включить или отключить ведение журнала. Для записываемых в журнал пакетов используется средство системного журнала LOG_KERN.

Варианты:

  • "on"
  • "off"
  • "low"
  • "medium"
  • "high"
  • "full"

name

псевдонимы: app

string

Использовать профиль, расположенный в /etc/ufw/applications.d.

proto

псевдонимы: protocol

string

Протокол TCP/IP.

Значение vrrp поддерживается начиная с community.general 10.3.0.

Варианты:

  • "any"
  • "tcp"
  • "udp"
  • "ipv6"
  • "esp"
  • "ah"
  • "gre"
  • "igmp"
  • "vrrp"

route

boolean

Применить правило к маршрутизируемым/перенаправляемым пакетам.

Варианты:

  • false ← (по умолчанию)
  • true

rule

string

Добавить правило межсетевого экрана.

Варианты:

  • "allow"
  • "deny"
  • "limit"
  • "reject"

state

string

enabled перезагружает межсетевой экран и включает его при загрузке.

disabled выгружает межсетевой экран и отключает его запуск при загрузке.

reloaded перезагружает межсетевой экран.

reset отключает межсетевой экран и сбрасывает его настройки до значений по умолчанию при установке.

Варианты:

  • "disabled"
  • "enabled"
  • "reloaded"
  • "reset"

to_ip

псевдонимы: dest, to

string

IP-адрес назначения.

По умолчанию: "any"

to_port

псевдонимы: port

string

Порт назначения.

Атрибуты

Атрибут

Поддержка

Описание

check_mode

Поддержка: full

Может выполняться в режиме check_mode и возвращать прогноз изменения состояния, не изменяя целевой узел.

diff_mode

Поддержка: none

В режиме diff возвращает сведения об изменениях (или возможных изменениях в check_mode).

Примечания

Примечание

  • Другие примеры см. в man ufw.
  • Предупреждение: Хотя сам модуль можно запускать с использованием параллельных стратегий, ufw не поддерживает параллельное выполнение, поскольку правила межсетевого экрана должны иметь определённый порядок, а при параллельном выполнении этот порядок не гарантируется. Не используйте параллельное выполнение: Результаты непредсказуемы, и при таком запуске модуль может завершиться с ошибкой, не сообщив о ней.

Примеры

- name: Allow everything and enable UFW
  community.general.ufw:
    state: enabled
    policy: allow

- name: Set logging
  community.general.ufw:
    logging: 'on'

# Sometimes it is desirable to let the sender know when traffic is
# being denied, rather than simply ignoring it. In these cases, use
# reject instead of deny. In addition, log rejected connections:
- community.general.ufw:
    rule: reject
    port: auth
    log: true

# ufw supports connection rate limiting, which is useful for protecting
# against brute-force login attacks. ufw will deny connections if an IP
# address has attempted to initiate 6 or more connections in the last
# 30 seconds. See  http://www.debian-administration.org/articles/187
# for details. Typical usage is:
- community.general.ufw:
    rule: limit
    port: ssh
    proto: tcp

# Allow OpenSSH. (Note that as ufw manages its own state, simply removing
# a rule=allow task can leave those ports exposed. Either use delete=true
# or a separate state=reset task)
- community.general.ufw:
    rule: allow
    name: OpenSSH

- name: Delete OpenSSH rule
  community.general.ufw:
    rule: allow
    name: OpenSSH
    delete: true

- name: Deny all access to port 53
  community.general.ufw:
    rule: deny
    port: '53'

- name: Allow port range 60000-61000
  community.general.ufw:
    rule: allow
    port: 60000:61000
    proto: tcp

- name: Allow all access to tcp port 80
  community.general.ufw:
    rule: allow
    port: '80'
    proto: tcp

- name: Allow all access from RFC1918 networks to this host
  community.general.ufw:
    rule: allow
    src: '{{ item }}'
  loop:
    - 10.0.0.0/8
    - 172.16.0.0/12
    - 192.168.0.0/16

- name: Deny access to udp port 514 from host 1.2.3.4 and include a comment
  community.general.ufw:
    rule: deny
    proto: udp
    src: 1.2.3.4
    port: '514'
    comment: Block syslog

- name: Allow incoming access to eth0 from 1.2.3.5 port 5469 to 1.2.3.4 port 5469
  community.general.ufw:
    rule: allow
    interface: eth0
    direction: in
    proto: udp
    src: 1.2.3.5
    from_port: '5469'
    dest: 1.2.3.4
    to_port: '5469'

# Note that IPv6 must be enabled in /etc/default/ufw for IPv6 firewalling to work.
- name: Deny all traffic from the IPv6 2001:db8::/32 to tcp port 25 on this host
  community.general.ufw:
    rule: deny
    proto: tcp
    src: 2001:db8::/32
    port: '25'

- name: Deny all IPv6 traffic to tcp port 20 on this host
  # this should be the first IPv6 rule
  community.general.ufw:
    rule: deny
    proto: tcp
    port: '20'
    to_ip: "::"
    insert: 0
    insert_relative_to: first-ipv6

- name: Deny all IPv4 traffic to tcp port 20 on this host
  # This should be the third to last IPv4 rule
  # (insert: -1 addresses the second to last IPv4 rule;
  #  so the new rule will be inserted before the second
  #  to last IPv4 rule, and will be come the third to last
  #  IPv4 rule.)
  community.general.ufw:
    rule: deny
    proto: tcp
    port: '20'
    to_ip: "::"
    insert: -1
    insert_relative_to: last-ipv4

# Can be used to further restrict a global FORWARD policy set to allow
- name: Deny forwarded/routed traffic from subnet 1.2.3.0/24 to subnet 4.5.6.0/24
  community.general.ufw:
    rule: deny
    route: true
    src: 192.0.2.0/24
    dest: 198.51.100.0/24

Авторы

  • Aleksey Ovcharenko (@ovcharenko)
  • Jarno Keskikangas (@pyykkis)
  • Ahti Kitsik (@ahtik)

Ссылки на коллекцию

  • Отслеживание проблем
  • Репозиторий (исходный код)
  • Задать вопрос
  • Сообщить об ошибке
  • Предложить новую функцию
  • Общение

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/general/ufw_module.html

Spec-Zone.ru

Настройки Оффлайн Что нового Помощь О нас
Spec-Zone .ru
спецификации, руководства, описания, API