Модуль f5networks.f5_modules.bigip_firewall_rule — управление правилами брандмауэра AFM

Примечание

Этот модуль входит в коллекцию f5networks.f5_modules (версия 1.39.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install f5networks.f5_modules.

Чтобы использовать коллекцию в плейбуке, укажите: f5networks.f5_modules.bigip_firewall_rule.

Добавлено в f5networks.f5_modules 1.0.0

Обзор
Параметры
Примечания
Примеры
Возвращаемые значения

Обзор

Управляет правилами брандмауэра в политике брандмауэра AFM (Advanced Firewall Manager). Новые правила всегда добавляются в конец политики. Порядок правил можно изменить с помощью модуля bigip_security_policy. Также можно заранее задать порядок правил с помощью модуля bigip_security_policy, а затем обновить их с помощью модуля bigip_firewall_rule.

Параметры

Параметр	Комментарии
action string	Задает действие для правила брандмауэра. Если указано `accept`, пакеты с заданными источником, назначением и протоколом пропускаются через брандмауэр. Принятые пакеты, соответствующие правилу, проходят через систему так, как если бы брандмауэр отсутствовал. Если указано `drop`, пакеты с заданными источником, назначением и протоколом отбрасываются. Отбрасывание пакета выполняется без уведомления систем-источников и систем-назначений. При отбрасывании пакета соединение повторно устанавливается до достижения порога повторных попыток. Если указано `reject`, пакеты с заданными источником, назначением и протоколом отклоняются. При отклонении пакета брандмауэр отправляет отправителю сообщение о недоступности узла назначения. Если указано `accept-decisively`, пакеты с заданными источником, назначением и протоколом пропускаются через брандмауэр, и дальнейшая обработка другими брандмауэрами не требуется. Принятые пакеты, соответствующие правилу, проходят через систему так, как если бы брандмауэр отсутствовал. Если список правил применяется к виртуальному серверу, IP-адресу управления или правилу брандмауэра для собственного IP-адреса, то «Безусловно принять» эквивалентно «Принять». При создании правила, если этот параметр не указан, используется значение по умолчанию `reject`. Варианты: `"accept"` `"drop"` `"reject"` `"accept-decisively"`
description string	Описание правила.
destination list / elements=dictionary	Задает назначения пакетов, к которым применяется правило. Если оставить это поле пустым, правило будет применяться ко всем адресам и портам. Можно указать следующие элементы назначения: адрес IPv4 или IPv6, диапазон адресов IPv4 или IPv6, географическое расположение, VLAN, список адресов, порт, диапазон портов, список портов или список адресов. Для исходного адреса можно указать сочетание элементов разных типов. Для элементов назначения можно указать специальное значение `any`, чтобы сопоставить любое значение соответствующего элемента.
address string	Задает конкретный IP-адрес.
address_list string	Задает существующий список адресов.
address_range string	Задает диапазон адресов.
country string	Задает код страны.
port string	Задает один числовой порт. Этот параметр допустим только при значении `protocol` `tcp`(6) или `udp`(17).
port_list string	Задает существующий список портов. Этот параметр допустим только при значении `protocol` `tcp`(6) или `udp`(17).
port_range string	Задает диапазон портов в виде двух значений, разделенных дефисом. Значение порта слева от дефиса должно быть меньше значения справа. Этот параметр допустим только при значении `protocol` `tcp`(6) или `udp`(17).
icmp_message list / elements=dictionary	Задает тип сообщения протокола ICMP (Internet Control Message Protocol) или ICMPv6 `type` и `code`, используемый правилом. Этот параметр актуален только при значении `protocol` `icmp`(1) или `icmpv6`(58).
code string	Задает код, возвращаемый в ответ на указанный тип сообщения ICMP. Можно указать коды, каждый из которых соответствует заданному типу, например «Нет кода» (0) (для «Эхо-ответа» (0)) и «Узел недоступен» (1) (для «Назначение недоступно» (3)), либо указать `any`, чтобы система применяла правило ко всем кодам в ответ на это сообщение ICMP. Также можно указать произвольный код. Протокол ICMP содержит определения существующих пар кодов и номеров сообщений.
type string	Задает тип сообщения ICMP. Можно указать управляющие сообщения, например «Эхо-ответ» (0) и «Назначение недоступно» (3), либо указать `any`, чтобы система применяла правило ко всем сообщениям ICMP. Также можно указать произвольное сообщение ICMP. Протокол ICMP содержит определения существующих пар типов и номеров сообщений.
irule string	Задает iRule, применяемое к правилу брандмауэра. iRule может запускаться при совпадении трафика с правилом брандмауэра.
logging boolean	Указывает, включено или отключено ведение журнала для правила брандмауэра. При создании нового правила, если этот параметр не указан, значение по умолчанию — `false`. Варианты: `false` `true`
name string / обязательный	Задает имя правила.
parent_policy string	Политика, содержащая правило, которым необходимо управлять. Необходимо указать либо `parent_policy`, либо `parent_rule_list`.
parent_rule_list string	Список правил, содержащий правило, которым необходимо управлять. Необходимо указать либо `parent_policy`, либо `parent_rule_list`.
partition string	Раздел устройства, в котором выполняется управление ресурсами. По умолчанию: `"Common"`
protocol string	Задает протокол, к которому применяется правило. Протоколы можно указывать по имени или числовому значению. Для сопоставления с любым протоколом можно указать специальное значение протокола `any`. Числовой эквивалент этого протокола — `255`.
provider dictionary добавлено в f5networks.f5_modules 1.0.0	Объект dict, содержащий сведения о подключении.
auth_provider string	Настраивает поставщика аутентификации для получения токенов аутентификации с удаленного устройства. Этот параметр используется при работе с устройствами BIG-IQ.
no_f5_teem boolean	Если `yes`, данные телеметрии TEEM не отправляются в F5. Этот параметр можно не указывать, задав переменную среды `F5_TELEMETRY_OFF`. Ранее использовавшаяся переменная `F5_TEEM` устарела, поскольку ее название было неоднозначным. Варианты: `false` ← (по умолчанию) `true`
password псевдонимы: pass, pwd string / обязательный	Пароль учетной записи пользователя, используемой для подключения к BIG-IP или BIG-IQ. Этот параметр можно не указывать, задав переменную среды `F5_PASSWORD`.
server string / обязательный	Узел BIG-IP или BIG-IQ. Этот параметр можно не указывать, задав переменную среды `F5_SERVER`.
server_port integer	Порт сервера BIG-IP. Этот параметр можно не указывать, задав переменную среды `F5_SERVER_PORT`. По умолчанию: `443`
timeout integer	Задает время ожидания в секундах при подключении к сетевому устройству или отправке ему команд. Если время ожидания истекает до завершения операции, модуль завершится с ошибкой.
transport string	Настраивает транспортное соединение для подключения к удаленному устройству. Варианты: `"rest"` ← (по умолчанию)
user string / обязательный	Имя пользователя для подключения к BIG-IP или BIG-IQ. У этого пользователя должны быть права администратора на устройстве. Этот параметр можно не указывать, задав переменную среды `F5_USER`.
validate_certs boolean	Если `no`, сертификаты SSL не проверяются. Используйте этот параметр только на контролируемых вами сайтах с самозаверяющими сертификатами. Этот параметр можно не указывать, задав переменную среды `F5_VALIDATE_CERTS`. Варианты: `false` `true` ← (по умолчанию)
rule_list string	Задает существующий список правил, используемый в правиле. Этот параметр несовместим со многими другими настройками отдельных правил, включая `logging`, `action`, `source`, `destination`, `irule'`, `protocol` и `logging`. Этот параметр используется только при указании `parent_policy`, в противном случае он игнорируется.
schedule string	Задает расписание для правила брандмауэра. Расписание задает дни и время, когда правило брандмауэра активно.
source list / elements=dictionary	Задает источники пакетов, к которым применяется правило. Если оставить это поле пустым, правило будет применяться ко всем адресам и портам. Можно указать следующие элементы источника: адрес IPv4 или IPv6, диапазон адресов IPv4 или IPv6, географическое расположение, VLAN, список адресов, порт, диапазон портов, список портов или список адресов. Для исходного адреса можно указать сочетание элементов разных типов. Для всех элементов источника можно указать специальное значение `any`, чтобы сопоставить любое значение соответствующего элемента.
address string	Задает конкретный IP-адрес.
address_list string	Задает существующий список адресов.
address_range string	Задает диапазон адресов.
country string	Задает код страны.
port string	Задает один числовой порт. Этот параметр допустим только при значении `protocol` `tcp`(6) или `udp`(17).
port_list string	Задает существующий список портов. Этот параметр допустим только при значении `protocol` `tcp`(6) или `udp`(17).
port_range string	Задает диапазон портов в виде двух значений, разделенных дефисом. Значение порта слева от дефиса должно быть меньше значения справа. Этот параметр допустим только при значении `protocol` `tcp`(6) или `udp`(17).
vlan string	Задает VLAN, к которым применяется правило. Источник VLAN относится к источнику пакета.
state string	Если `state` имеет значение `present`, гарантирует существование правила. Если `state` имеет значение `absent`, гарантирует удаление правила. Варианты: `"present"` ← (по умолчанию) `"absent"`
status string	Указывает состояние активности правила или списка правил. Если указано `disabled`, правило или список правил не применяется. Если указано `enabled`, система применяет правило или список правил брандмауэра к заданному контексту и адресам. Если указано `scheduled`, система применяет правило или список правил согласно заданному расписанию. При создании нового правила, если этот параметр не указан, используется значение по умолчанию `enabled`. Варианты: `"enabled"` `"disabled"` `"scheduled"`

Примечания

Примечание

Дополнительные сведения об использовании Ansible для управления устройствами F5 Networks см. на странице https://www.ansible.com/integrations/networks/f5.
Требуется версия программного обеспечения BIG-IP >= 12.
Модули F5 изменяют только текущую конфигурацию продукта F5. Чтобы сохранить специфичную для BIG-IP конфигурацию на диск, обязательно включите хотя бы одну задачу, использующую модуль f5networks.f5_modules.bigip_config для сохранения текущей конфигурации. Правильный способ сохранения текущей конфигурации см. в документации модуля.

Примеры

- name: Create a new rule in the foo firewall policy
  bigip_firewall_rule:
    name: foo
    parent_policy: policy1
    protocol: tcp
    source:
      - address: 1.2.3.4
      - address: "::1"
      - address_list: foo-list1
      - address_range: 1.1.1.1-2.2.2.2
      - vlan: vlan1
      - country: US
      - port: 22
      - port_list: port-list1
      - port_range: 80-443
    destination:
      - address: 1.2.3.4
      - address: "::1"
      - address_list: foo-list1
      - address_range: 1.1.1.1-2.2.2.2
      - country: US
      - port: 22
      - port_list: port-list1
      - port_range: 80-443
    irule: irule1
    action: accept
    logging: true
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

- name: Create an ICMP specific rule
  bigip_firewall_rule:
    name: foo
    protocol: icmp
    icmp_message:
      type: 0
    source:
      - country: US
    action: drop
    logging: true
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

- name: Add a new policy rule that uses an existing rule list
  bigip_firewall_rule:
    name: foo
    parent_policy: foo_policy
    rule_list: rule-list1
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
action string	Действие для правила межсетевого экрана. Возвращается: changed Пример: `"drop"`
description string	Описание правила. Возвращается: changed Пример: `"MyRule"`
destination complex	Адресаты пакетов, к которым применяется правило. Возвращается: changed Пример: `"hash/dictionary of values"`
address string	Конкретный IP-адрес. Возвращается: changed Пример: `"192.168.1.1"`
address_list string	Существующий список адресов. Возвращается: changed Пример: `"foo-list1"`
address_range string	Диапазон адресов. Возвращается: changed Пример: `"1.1.1.1-2.2.2.2"`
country string	Код страны. Возвращается: changed Пример: `"US"`
port string	Один числовой порт. Возвращается: changed Пример: `"8080"`
port_list string	Существующий список портов. Возвращается: changed Пример: `"port-list1"`
port_range string	Диапазон портов. Возвращается: changed Пример: `"80-443"`
icmp_message complex	Сообщение (ICMP) или ICMPv6 `type` и `code`, используемое правилом. Возвращается: changed Пример: `"hash/dictionary of values"`
code string	Код, возвращаемый в ответ на указанный тип сообщения ICMP. Возвращается: changed Пример: `"1"`
type string	Тип сообщения ICMP. Возвращается: changed Пример: `"0"`
irule string	iRule, применяемый к правилу межсетевого экрана. Возвращается: changed Пример: `"_sys_auth_radius"`
logging boolean	Включить или отключить ведение журнала для правила межсетевого экрана. Возвращается: changed Пример: `true`
name string	Имя правила. Возвращается: changed Пример: `"FooRule"`
parent_policy string	Политика, содержащая правило, которым нужно управлять. Возвращается: changed Пример: `"FooPolicy"`
parent_rule_list string	Список правил, содержащий правило, которым нужно управлять. Возвращается: changed Пример: `"FooRuleList"`
protocol string	Протокол, к которому применяется правило. Возвращается: changed Пример: `"any"`
rule_list string	Существующий список правил для использования в родительской политике. Возвращается: changed Пример: `"rule-list-1"`
schedule string	Расписание для правила межсетевого экрана. Возвращается: changed Пример: `"Foo_schedule"`
source complex	Источники пакетов, к которым применяется правило. Возвращается: changed Пример: `"hash/dictionary of values"`
address string	Конкретный IP-адрес. Возвращается: changed Пример: `"192.168.1.1"`
address_list string	Существующий список адресов. Возвращается: changed Пример: `"foo-list1"`
address_range string	Диапазон адресов. Возвращается: changed Пример: `"1.1.1.1-2.2.2.2"`
country string	Код страны. Возвращается: changed Пример: `"US"`
port string	Один числовой порт. Возвращается: changed Пример: `"8080"`
port_list string	Существующий список портов. Возвращается: changed Пример: `"port-list1"`
port_range string	Диапазон портов. Возвращается: changed Пример: `"80-443"`
vlan string	Исходные VLAN для пакетов. Возвращается: changed Пример: `"vlan1"`
status string	Состояние активности правила или списка правил. Возвращается: changed Пример: `"scheduled"`

Авторы

Tim Rupp (@caphrim007)
Wojciech Wypior (@wojtek0806)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/f5networks/f5_modules/bigip_firewall_rule_module.html