Модуль fortinet.fortios.fortios_firewall_consolidated_policy — Настройка объединенных правил IPv4/IPv6 в FortiOS и FortiGate Fortinet.
Примечание
Этот модуль является частью коллекции fortinet.fortios (версия 2.3.7).
У вас, возможно, уже установлена эта коллекция, если вы используете пакет ansible. Она не включена в ansible-core. Чтобы проверить установку, выполните ansible-galaxy collection list.
Для установки используйте: ansible-galaxy collection install fortinet.fortios. Для использования данного модуля необходимы дополнительные требования, см. Требования для получения подробностей.
Для использования в playbook, укажите: fortinet.fortios.fortios_firewall_consolidated_policy.
Впервые появился в fortinet.fortios 2.0.0
Описание
- Этот модуль позволяет настроить устройство FortiGate или FortiOS (FOS), позволяя пользователю устанавливать и изменять функцию firewall_consolidated и категорию правил. Примеры включают все параметры и значения, которые необходимо настроить перед использованием. Тестировалось с FOS v6.0.0
Требования
Ниже перечислены требования к хосту, на котором выполняется этот модуль.
- ansible>=2.15
Параметры
Параметр | Комментарии |
|---|---|
access_token string | Токенная аутентификация. Генерируется из графического интерфейса Fortigate. |
enable_log boolean | Включить/отключить ведение журнала для задачи. Варианты:
|
firewall_consolidated_policy dictionary | Настройка объединенных политик IPv4/IPv6. |
|
action string |
Действие политики (разрешить/запретить/ipsec). Варианты:
|
|
application_list string |
Имя существующего списка приложений. Источник application.list.name. |
|
auto_asic_offload string |
Включить/отключить разгрузку трафика политики на ASIC. Варианты:
|
|
av_profile string |
Имя существующего профиля антивируса. Источник antivirus.profile.name. |
|
captive_portal_exempt string |
Включить освобождение некоторых пользователей от портала неволи. Варианты:
|
|
cifs_profile string |
Имя существующего профиля CIFS. Источник cifs.profile.name. |
|
comments string |
Комментарий. |
|
diffserv_forward string |
Включить для изменения значений DiffServ пакета на указанное значение diffservcode-forward. Варианты:
|
|
diffserv_reverse string |
Включить для изменения обратных (ответных) значений DiffServ пакета на указанное значение diffservcode-rev. Варианты:
|
|
diffservcode_forward string |
Изменить DiffServ пакета на это значение. |
|
diffservcode_rev string |
Изменить обратное (ответное) значение DiffServ пакета на это значение. |
|
dlp_sensor string |
Имя существующего датчика DLP. Источник dlp.sensor.name. |
|
dnsfilter_profile string |
Имя существующего профиля фильтра DNS. Источник dnsfilter.profile.name. |
|
dstaddr4 list / elements=dictionary |
Имя целевого IPv4-адреса и имена групп адресов. |
|
name string / required |
Имя адреса. Источник firewall.address.name firewall.addrgrp.name firewall.vip.name firewall.vipgrp.name system.external-resource .name. |
|
dstaddr6 list / elements=dictionary |
Имя целевого IPv6-адреса и имена групп адресов. |
|
name string / required |
Имя адреса. Источник firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system .external-resource.name. |
|
dstaddr_negate string |
При включении dstaddr указывает, чем не должен быть адрес назначения. Choices:
|
|
dstintf list / elements=dictionary |
Исходящий интерфейс (egress). |
|
name string / required |
Имя интерфейса. Источник system.interface.name system.zone.name. |
|
emailfilter_profile string |
Имя существующего профиля фильтра электронной почты. Источник emailfilter.profile.name. |
|
fixedport string |
Включите, чтобы предотвратить изменение исходного порта сессии с помощью исходного NAT. Choices:
|
|
fsso_groups list / elements=dictionary |
Имена групп FSSO. |
|
name string / required |
Имена групп FSSO. Источник user.adgrp.name. |
|
global_label string |
Метка для политики, которая отображается, когда графический интерфейс находится в режиме глобального просмотра. |
|
groups list / elements=dictionary |
Имена групп пользователей, которые могут пройти аутентификацию с помощью этой политики. |
|
name string / required |
Имя группы. Источник user.group.name. |
|
http_policy_redirect string |
Перенаправить трафик HTTP(S) на соответствующую политику прозрачного веб-прокси. Choices:
|
|
icap_profile string |
Имя существующего профиля ICAP. Источник icap.profile.name. |
|
inbound string |
VPN на основе политики IPsec: только трафик из удаленной сети может инициировать VPN. Choices:
|
|
inspection_mode string |
Режим проверки политик (Поток/прокси). По умолчанию используется режим Потока. Choices:
|
|
internet_service string |
Включить/отключить использование интернет-служб для этой политики. Если включено, адрес назначения и служба не используются. Choices:
|
|
internet_service_custom list / elements=dictionary |
Имя настраиваемой интернет-службы. |
|
name string / required |
Имя настраиваемой интернет-службы. Источник firewall.internet-service-custom.name. |
|
internet_service_custom_group list / elements=dictionary |
Имя группы настраиваемой интернет-службы. |
|
name string / required |
Имя группы настраиваемой интернет-службы. Источник firewall.internet-service-custom-group.name. |
|
internet_service_group list / elements=dictionary |
Имя группы интернет-служб. |
|
name string / required |
Имя группы интернет-сервисов. Источник firewall.internet-service-group.name. |
|
internet_service_id list / elements=dictionary |
ID интернет-сервиса. |
|
id integer / required |
ID интернет-сервиса. см. <a href=’#notes’>Примечания</a>. Источник firewall.internet-service.id. |
|
internet_service_negate string |
При включении internet-service указывает, каким сервис НЕ должен быть. Варианты:
|
|
internet_service_src string |
Включить/отключить использование интернет-сервисов в источнике для этой политики. Если включено, исходный адрес не используется. Варианты:
|
|
internet_service_src_custom list / elements=dictionary |
Настраиваемое имя источника интернет-сервиса. |
|
name string / required |
Настраиваемое имя интернет-сервиса. Источник firewall.internet-service-custom.name. |
|
internet_service_src_custom_group list / elements=dictionary |
Настраиваемое имя группы источников интернет-сервисов. |
|
name string / required |
Имя группы интернет-сервисов. Источник firewall.internet-service-custom-group.name. |
|
internet_service_src_group list / elements=dictionary |
Имя группы источников интернет-сервисов. |
|
name string / required |
Имя группы интернет-сервисов. Источник firewall.internet-service-group.name. |
|
internet_service_src_id list / elements=dictionary |
ID источника интернет-сервиса. |
|
id integer / required |
ID интернет-сервиса. см. <a href=’#notes’>Примечания</a>. Источник firewall.internet-service.id. |
|
internet_service_src_negate string |
При включении internet-service-src указывает, каким сервис НЕ должен быть. Варианты:
|
|
ippool string |
Включить для использования пулов IP-адресов для исходного NAT. Варианты:
|
|
ips_sensor string |
Имя существующего сенсора IPS. Источник ips.sensor.name. |
|
logtraffic string |
Включить или отключить ведение журнала. Записывать все сессии или сессии профиля безопасности. Варианты:
|
|
logtraffic_start string |
Записывать логи при запуске сессии. Варианты:
|
|
mms_profile string |
Имя существующего профиля MMS. Источник firewall.mms-profile.name. |
|
name string |
Имя политики. |
|
nat string |
Включить/отключить NAT источника. Варианты:
|
|
outbound string |
VPN на основе политик IPsec: только трафик из внутренней сети может инициировать VPN. Варианты:
|
|
per_ip_shaper string |
Формирователь трафика на каждый IP. Источник firewall.shaper.per-ip-shaper.name. |
|
policyid integer / required |
Идентификатор политики (0 - 4294967294). см. <a href=’#notes’>Примечания</a>. |
|
poolname4 list / elements=dictionary |
Имена пулов IPv4. |
|
name string / required |
Имя пула IPv4. Источник firewall.ippool.name. |
|
poolname6 list / elements=dictionary |
Имена пулов IPv6. |
|
name string / required |
Имя пула IPv6. Источник firewall.ippool6.name. |
|
profile_group string |
Имя группы профилей. Источник firewall.profile-group.name. |
|
profile_protocol_options string |
Имя существующего профиля параметров протокола. Источник firewall.profile-protocol-options.name. |
|
profile_type string |
Определяет, разрешает ли политика брандмауэра группы профилей безопасности или только отдельные профили. Варианты:
|
|
schedule string |
Имя расписания. Источник firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name. |
|
service list / elements=dictionary |
Имена сервисов и групп сервисов. |
|
name string / required |
Имя сервиса. Источник firewall.service.custom.name firewall.service.group.name. |
|
service_negate string |
При включении сервис указывает, каким сервис НЕ должен быть. Варианты:
|
|
session_ttl integer |
TTL в секундах для сессий, принятых этой политикой (0 означает использование системного значения). |
|
srcaddr4 list / elements=dictionary |
Имена источника IPv4 адреса и имен групп адресов. |
|
name string / required |
Имя адреса. Источник firewall.address.name firewall.addrgrp.name system.external-resource.name. |
|
srcaddr6 list / elements=dictionary |
Имена источника IPv6 адреса и имен групп адресов. |
|
name string / required |
Имя адреса. Источник firewall.address6.name firewall.addrgrp6.name system.external-resource.name. |
|
srcaddr_negate string |
При включении srcaddr указывает, каким исходный адрес НЕ должен быть. Варианты:
|
|
srcintf list / elements=dictionary |
Входящий интерфейс. |
|
name string / required |
Имя интерфейса. Источник system.interface.name system.zone.name. |
|
ssh_filter_profile string |
Имя существующего профиля фильтра SSH. Источник ssh-filter.profile.name. |
|
ssh_policy_redirect string |
Перенаправить трафик SSH на соответствующую политику прозрачного прокси. Choices:
|
|
ssl_ssh_profile string |
Имя существующего профиля SSL SSH. Источник firewall.ssl-ssh-profile.name. |
|
status string |
Включить или отключить эту политику. Choices:
|
|
tcp_mss_receiver integer |
Размер максимального сегмента (MSS) TCP для получателя. |
|
tcp_mss_sender integer |
Размер максимального сегмента (MSS) TCP для отправителя. |
|
traffic_shaper string |
Формирователь трафика. Источник firewall.shaper.traffic-shaper.name. |
|
traffic_shaper_reverse string |
Обратный формирователь трафика. Источник firewall.shaper.traffic-shaper.name. |
|
users list / elements=dictionary |
Имена отдельных пользователей, которые могут пройти аутентификацию с помощью этой политики. |
|
name string / required |
Имя пользователя. Источник user.local.name. |
|
utm_status string |
Включить, чтобы добавить один или несколько профилей безопасности (AV, IPS и т. д.) в политику брандмауэра. Choices:
|
|
uuid string |
Универсальный уникальный идентификатор (UUID; назначается автоматически, но может быть сброшен вручную). |
|
voip_profile string |
Имя существующего профиля VoIP. Источник voip.profile.name. |
|
vpntunnel string |
IPsec VPN на основе политик: имя IPsec VPN Фазы 1. Источник vpn.ipsec.phase1.name vpn.ipsec.manualkey.name. |
|
waf_profile string |
Имя существующего профиля брандмауэра веб-приложений. Источник waf.profile.name. |
|
wanopt string |
Включить/отключить оптимизацию WAN. Choices:
|
|
wanopt_detection string |
Режим автоматического обнаружения оптимизации WAN. Choices:
|
|
wanopt_passive_opt string |
Параметры пассивного режима оптимизации WAN. Этот параметр определяет, какой IP-адрес будет использоваться для подключения к серверу. Choices:
|
|
wanopt_peer string |
Партнер оптимизации WAN. Источник wanopt.peer.peer-host-id. |
|
wanopt_profile string |
Профиль оптимизации WAN. Источник wanopt.profile.name. |
|
webcache string |
Включить/выключить кэш веб-страниц. Варианты:
|
|
webcache_https string |
Включить/выключить кэш веб-страниц для HTTPS. Варианты:
|
|
webfilter_profile string |
Имя существующего профиля веб-фильтра. Источник webfilter.profile.name. |
|
webproxy_forward_server string |
Имя сервера прокси-сервера веб-прокси. Источник web-proxy.forward-server.name web-proxy.forward-server-group.name. |
|
webproxy_profile string |
Имя профиля веб-прокси. Источник web-proxy.profile.name. |
member_path string | Путь к атрибуту члена для обработки. Разделяется символом косой черты, если атрибутов несколько. Параметр, помеченный member_path, является допустимым для выполнения операции с членом. |
member_state string | Добавить или удалить члена по указанному пути к атрибуту. Когда member_state указан, опция state игнорируется. Варианты:
|
state string / обязательно | Указывает, нужно ли создать или удалить объект. Варианты:
|
vdom string | Виртуальный домен, определённый ранее. VDOM — это виртуальный экземпляр FortiGate, который может настраиваться и использоваться как отдельная единица. По умолчанию: |
Примечания
Примечание
- Сильно рекомендуется использовать собственное значение в качестве policyid вместо 0. Хотя ‘0’ — специальный заполнитель, позволяющий бэкенду назначить последний доступный номер для объекта, он имеет ограничения. Дополнительные сведения см. в разделе «Вопросы и ответы».
- Модуль legacy fortiosapi устарел; httpapi является предпочтительным способом выполнения playbooks.
- Модуль поддерживает check_mode.
Примеры
- name: Configure consolidated IPv4/IPv6 policies.
fortinet.fortios.fortios_firewall_consolidated_policy:
vdom: "{{ vdom }}"
state: "present"
access_token: "<your_own_value>"
firewall_consolidated_policy:
action: "accept"
application_list: "<your_own_value> (source application.list.name)"
auto_asic_offload: "enable"
av_profile: "<your_own_value> (source antivirus.profile.name)"
captive_portal_exempt: "enable"
cifs_profile: "<your_own_value> (source cifs.profile.name)"
comments: "<your_own_value>"
diffserv_forward: "enable"
diffserv_reverse: "enable"
diffservcode_forward: "<your_own_value>"
diffservcode_rev: "<your_own_value>"
dlp_sensor: "<your_own_value> (source dlp.sensor.name)"
dnsfilter_profile: "<your_own_value> (source dnsfilter.profile.name)"
dstaddr_negate: "enable"
dstaddr4:
-
name: "default_name_18 (source firewall.address.name firewall.addrgrp.name firewall.vip.name firewall.vipgrp.name system.external-resource
.name)"
dstaddr6:
-
name: "default_name_20 (source firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system
.external-resource.name)"
dstintf:
-
name: "default_name_22 (source system.interface.name system.zone.name)"
emailfilter_profile: "<your_own_value> (source emailfilter.profile.name)"
fixedport: "enable"
fsso_groups:
-
name: "default_name_26 (source user.adgrp.name)"
global_label: "<your_own_value>"
groups:
-
name: "default_name_29 (source user.group.name)"
http_policy_redirect: "enable"
icap_profile: "<your_own_value> (source icap.profile.name)"
inbound: "enable"
inspection_mode: "proxy"
internet_service: "enable"
internet_service_custom:
-
name: "default_name_36 (source firewall.internet-service-custom.name)"
internet_service_custom_group:
-
name: "default_name_38 (source firewall.internet-service-custom-group.name)"
internet_service_group:
-
name: "default_name_40 (source firewall.internet-service-group.name)"
internet_service_id:
-
id: "42 (source firewall.internet-service.id)"
internet_service_negate: "enable"
internet_service_src: "enable"
internet_service_src_custom:
-
name: "default_name_46 (source firewall.internet-service-custom.name)"
internet_service_src_custom_group:
-
name: "default_name_48 (source firewall.internet-service-custom-group.name)"
internet_service_src_group:
-
name: "default_name_50 (source firewall.internet-service-group.name)"
internet_service_src_id:
-
id: "52 (source firewall.internet-service.id)"
internet_service_src_negate: "enable"
ippool: "enable"
ips_sensor: "<your_own_value> (source ips.sensor.name)"
logtraffic: "all"
logtraffic_start: "enable"
mms_profile: "<your_own_value> (source firewall.mms-profile.name)"
name: "default_name_59"
nat: "enable"
outbound: "enable"
per_ip_shaper: "<your_own_value> (source firewall.shaper.per-ip-shaper.name)"
policyid: "<you_own_value>"
poolname4:
-
name: "default_name_65 (source firewall.ippool.name)"
poolname6:
-
name: "default_name_67 (source firewall.ippool6.name)"
profile_group: "<your_own_value> (source firewall.profile-group.name)"
profile_protocol_options: "<your_own_value> (source firewall.profile-protocol-options.name)"
profile_type: "single"
schedule: "<your_own_value> (source firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name)"
service:
-
name: "default_name_73 (source firewall.service.custom.name firewall.service.group.name)"
service_negate: "enable"
session_ttl: "1382400"
srcaddr_negate: "enable"
srcaddr4:
-
name: "default_name_78 (source firewall.address.name firewall.addrgrp.name system.external-resource.name)"
srcaddr6:
-
name: "default_name_80 (source firewall.address6.name firewall.addrgrp6.name system.external-resource.name)"
srcintf:
-
name: "default_name_82 (source system.interface.name system.zone.name)"
ssh_filter_profile: "<your_own_value> (source ssh-filter.profile.name)"
ssh_policy_redirect: "enable"
ssl_ssh_profile: "<your_own_value> (source firewall.ssl-ssh-profile.name)"
status: "enable"
tcp_mss_receiver: "32767"
tcp_mss_sender: "32767"
traffic_shaper: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
traffic_shaper_reverse: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
users:
-
name: "default_name_92 (source user.local.name)"
utm_status: "enable"
uuid: "<your_own_value>"
voip_profile: "<your_own_value> (source voip.profile.name)"
vpntunnel: "<your_own_value> (source vpn.ipsec.phase1.name vpn.ipsec.manualkey.name)"
waf_profile: "<your_own_value> (source waf.profile.name)"
wanopt: "enable"
wanopt_detection: "active"
wanopt_passive_opt: "default"
wanopt_peer: "<your_own_value> (source wanopt.peer.peer-host-id)"
wanopt_profile: "<your_own_value> (source wanopt.profile.name)"
webcache: "enable"
webcache_https: "disable"
webfilter_profile: "<your_own_value> (source webfilter.profile.name)"
webproxy_forward_server: "<your_own_value> (source web-proxy.forward-server.name web-proxy.forward-server-group.name)"
webproxy_profile: "<your_own_value> (source web-proxy.profile.name)"
Значения возврата
Общие значения возврата задокументированы здесь, следующие поля уникальны для этого модуля:
Ключ | Описание |
|---|---|
build строка | Номер сборки образа fortigate Возвращается: всегда Пример: |
http_method строка | Последний метод, используемый для подготовки контента в FortiGate Возвращается: всегда Пример: |
http_status строка | Последний результат, полученный от FortiGate после последней операции Возвращается: всегда Пример: |
mkey строка | Главный ключ (id), используемый в последнем вызове FortiGate Возвращается: успех Пример: |
name строка | Имя таблицы, используемой для выполнения запроса Возвращается: всегда Пример: |
path строка | Путь к таблице, используемой для выполнения запроса Возвращается: всегда Пример: |
revision строка | Внутренний номер ревизии Возвращается: всегда Пример: |
serial строка | Серийный номер устройства Возвращается: всегда Пример: |
status строка | Указание результата операции Возвращается: всегда Пример: |
vdom строка | Используемый виртуальный домен Возвращается: всегда Пример: |
version строка | Версия FortiGate Возвращается: всегда Пример: |
Ссылки на коллекцию
© 2012–2018 Michael DeHaan
© 2018–2024 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/latest/collections/fortinet/fortios/fortios_firewall_consolidated_policy_module.html
