Модуль fortinet.fortios.fortios_firewall_consolidated_policy — настройка объединённых политик IPv4/IPv6 в Fortinet FortiOS и FortiGate.
Примечание
Этот модуль входит в коллекцию fortinet.fortios (версия 2.5.1).
Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.
Для установки используйте: ansible-galaxy collection install fortinet.fortios. Для использования этого модуля могут потребоваться дополнительные компоненты; подробности см. в разделе Требования.
Чтобы использовать модуль в плейбуке, укажите: fortinet.fortios.fortios_firewall_consolidated_policy.
Добавлено в fortinet.fortios 2.0.0
Краткое описание
- Этот модуль позволяет настраивать устройство FortiGate или FortiOS (FOS), задавая и изменяя функцию firewall_consolidated и категорию политик. Примеры включают все параметры и значения, которые необходимо адаптировать к источникам данных перед использованием. Проверено с FOS v6.0.0
Требования
На узле, выполняющем этот модуль, должны быть установлены следующие компоненты.
- ansible>=2.16
Параметры
Параметр | Комментарии |
|---|---|
access_token string | Аутентификация на основе токена. Создается в графическом интерфейсе Fortigate. |
enable_log boolean | Включить/отключить ведение журнала для задачи. Варианты:
|
firewall_consolidated_policy dictionary | Настройка объединенных политик IPv4/IPv6. |
|
action string |
Действие политики (allow/deny/ipsec). Варианты:
|
|
application_list string |
Имя существующего списка приложений. Источник: application.list.name. |
|
auto_asic_offload string |
Включить/отключить аппаратную разгрузку трафика политики с помощью ASIC. Варианты:
|
|
av_profile string |
Имя существующего антивирусного профиля. Источник: antivirus.profile.name. |
|
captive_portal_exempt string |
Разрешить освобождение некоторых пользователей от проверки через captive portal. Варианты:
|
|
cifs_profile string |
Имя существующего профиля CIFS. Источник: cifs.profile.name. |
|
comments string |
Комментарий. |
|
diffserv_forward string |
Включить изменение значений DiffServ пакета на указанное значение diffservcode-forward. Варианты:
|
|
diffserv_reverse string |
Включить изменение обратных значений DiffServ пакета (ответа) на указанное значение diffservcode-rev. Варианты:
|
|
diffservcode_forward string |
Изменить значение DiffServ пакета на это значение. |
|
diffservcode_rev string |
Изменить обратное значение DiffServ пакета (ответа) на это значение. |
|
dlp_sensor string |
Имя существующего датчика DLP. Источник: dlp.sensor.name. |
|
dnsfilter_profile string |
Имя существующего профиля фильтрации DNS. Источник: dnsfilter.profile.name. |
|
dstaddr4 list / elements=dictionary |
Имя адреса IPv4 назначения и имена групп адресов. |
|
name string / обязательный |
Имя адреса. Источник: firewall.address.name firewall.addrgrp.name firewall.vip.name firewall.vipgrp.name system.external-resource .name. |
|
dstaddr6 list / elements=dictionary |
Имя адреса IPv6 назначения и имена групп адресов. |
|
name string / обязательный |
Имя адреса. Источник: firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system .external-resource.name. |
|
dstaddr_negate string |
Если параметр включен, dstaddr указывает, каким НЕ должен быть адрес назначения. Варианты:
|
|
dstintf list / elements=dictionary |
Исходящий интерфейс (egress). |
|
name string / обязательный |
Имя интерфейса. Источник: system.interface.name system.zone.name. |
|
emailfilter_profile string |
Имя существующего профиля фильтрации электронной почты. Источник: emailfilter.profile.name. |
|
fixedport string |
Включить, чтобы запретить source NAT изменять исходный порт сеанса. Варианты:
|
|
fsso_groups list / elements=dictionary |
Имена групп FSSO. |
|
name string / обязательный |
Имена групп FSSO. Источник: user.adgrp.name. |
|
global_label string |
Метка политики, отображаемая в режиме глобального представления графического интерфейса. |
|
groups list / elements=dictionary |
Имена групп пользователей, которые могут пройти аутентификацию с помощью этой политики. |
|
name string / обязательный |
Имя группы. Источник: user.group.name. |
|
http_policy_redirect string |
Перенаправлять трафик HTTP(S) в соответствующую политику прозрачного веб-прокси. Варианты:
|
|
icap_profile string |
Имя существующего профиля ICAP. Источник: icap.profile.name. |
|
inbound string |
IPsec VPN на основе политик: инициировать VPN может только трафик из удаленной сети. Варианты:
|
|
inspection_mode string |
Режим проверки политики (Flow/proxy). По умолчанию используется режим Flow. Варианты:
|
|
internet_service string |
Включить/отключить использование интернет-служб для этой политики. Если параметр включен, адрес назначения и служба не используются. Варианты:
|
|
internet_service_custom list / elements=dictionary |
Имя пользовательской интернет-службы. |
|
name string / обязательный |
Имя пользовательской интернет-службы. Источник: firewall.internet-service-custom.name. |
|
internet_service_custom_group list / elements=dictionary |
Имя группы пользовательских интернет-служб. |
|
name string / обязательный |
Имя группы пользовательских интернет-служб. Источник: firewall.internet-service-custom-group.name. |
|
internet_service_group list / elements=dictionary |
Имя группы интернет-служб. |
|
name string / обязательный |
Имя группы интернет-служб. Источник: firewall.internet-service-group.name. |
|
internet_service_id list / elements=dictionary |
Идентификатор интернет-службы. |
|
id integer / обязательный |
Идентификатор интернет-службы. См. <a href=’#notes’>Примечания</a>. Источник: firewall.internet-service.id. |
|
internet_service_negate string |
Если параметр включен, internet-service указывает, какой НЕ должна быть служба. Варианты:
|
|
internet_service_src string |
Включить/отключить использование интернет-служб в качестве источника для этой политики. Если параметр включен, исходный адрес не используется. Варианты:
|
|
internet_service_src_custom list / elements=dictionary |
Имя пользовательской интернет-службы источника. |
|
name string / обязательный |
Имя пользовательской интернет-службы. Источник: firewall.internet-service-custom.name. |
|
internet_service_src_custom_group list / elements=dictionary |
Имя группы пользовательских интернет-служб источника. |
|
name string / обязательный |
Имя группы пользовательских интернет-служб. Источник: firewall.internet-service-custom-group.name. |
|
internet_service_src_group list / elements=dictionary |
Имя группы интернет-служб источника. |
|
name string / обязательный |
Имя группы интернет-служб. Источник: firewall.internet-service-group.name. |
|
internet_service_src_id list / elements=dictionary |
Идентификатор интернет-службы источника. |
|
id integer / обязательный |
Идентификатор интернет-службы. См. <a href=’#notes’>Примечания</a>. Источник: firewall.internet-service.id. |
|
internet_service_src_negate string |
Если параметр включен, internet-service-src указывает, какой НЕ должна быть служба. Варианты:
|
|
ippool string |
Включить использование пулов IP-адресов для source NAT. Варианты:
|
|
ips_sensor string |
Имя существующего датчика IPS. Источник ips.sensor.name. |
|
logtraffic string |
Включить или отключить ведение журналов. Регистрировать все сеансы или только сеансы с профилями безопасности. Варианты:
|
|
logtraffic_start string |
Записывать журналы при начале сеанса. Варианты:
|
|
mms_profile string |
Имя существующего профиля MMS. Источник firewall.mms-profile.name. |
|
name string |
Имя политики. |
|
nat string |
Включить или отключить исходный NAT. Варианты:
|
|
outbound string |
Политика на основе IPsec VPN: только трафик из внутренней сети может инициировать VPN-подключение. Варианты:
|
|
per_ip_shaper string |
Формирователь трафика для каждого IP-адреса. Источник firewall.shaper.per-ip-shaper.name. |
|
policyid integer / обязательный |
Идентификатор политики (0–4294967294). См. <a href=’#notes’>Примечания</a>. |
|
poolname4 list / элементы=dictionary |
Имена пулов IPv4. |
|
name string / обязательный |
Имя пула IPv4. Источник firewall.ippool.name. |
|
poolname6 list / элементы=dictionary |
Имена пулов IPv6. |
|
name string / обязательный |
Имя пула IPv6. Источник firewall.ippool6.name. |
|
profile_group string |
Имя группы профилей. Источник firewall.profile-group.name. |
|
profile_protocol_options string |
Имя существующего профиля параметров протокола. Источник firewall.profile-protocol-options.name. |
|
profile_type string |
Определяет, разрешает ли политика брандмауэра использовать группы профилей безопасности или только отдельные профили. Варианты:
|
|
schedule string |
Имя расписания. Источник firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name. |
|
service list / элементы=dictionary |
Имена служб и групп служб. |
|
name string / обязательный |
Имя службы. Источник firewall.service.custom.name firewall.service.group.name. |
|
service_negate string |
Если параметр включён, service указывает, чем служба НЕ должна быть. Варианты:
|
|
session_ttl integer |
Время жизни (TTL) в секундах для сеансов, разрешённых этой политикой (0 означает использование системного значения). |
|
srcaddr4 list / элементы=dictionary |
Имя исходного адреса IPv4 и имена групп адресов. |
|
name string / обязательный |
Имя адреса. Источник firewall.address.name firewall.addrgrp.name system.external-resource.name. |
|
srcaddr6 list / элементы=dictionary |
Имя исходного адреса IPv6 и имена групп адресов. |
|
name string / обязательный |
Имя адреса. Источник firewall.address6.name firewall.addrgrp6.name system.external-resource.name. |
|
srcaddr_negate string |
Если параметр включён, srcaddr указывает, чем исходный адрес НЕ должен быть. Варианты:
|
|
srcintf list / элементы=dictionary |
Входящий интерфейс. |
|
name string / обязательный |
Имя интерфейса. Источник system.interface.name system.zone.name. |
|
ssh_filter_profile string |
Имя существующего профиля фильтрации SSH. Источник ssh-filter.profile.name. |
|
ssh_policy_redirect string |
Перенаправлять трафик SSH в соответствующую политику прозрачного прокси-сервера. Варианты:
|
|
ssl_ssh_profile string |
Имя существующего профиля SSL SSH. Источник firewall.ssl-ssh-profile.name. |
|
status string |
Включить или отключить эту политику. Варианты:
|
|
tcp_mss_receiver integer |
Максимальный размер сегмента TCP (MSS) для получателя. |
|
tcp_mss_sender integer |
Максимальный размер сегмента TCP (MSS) для отправителя. |
|
traffic_shaper string |
Формирователь трафика. Источник firewall.shaper.traffic-shaper.name. |
|
traffic_shaper_reverse string |
Формирователь обратного трафика. Источник firewall.shaper.traffic-shaper.name. |
|
users list / элементы=dictionary |
Имена отдельных пользователей, которые могут пройти аутентификацию с помощью этой политики. |
|
name string / обязательный |
Имя пользователя. Источник user.local.name. |
|
utm_status string |
Включить добавление в политику брандмауэра одного или нескольких профилей безопасности (AV, IPS и т. д.). Варианты:
|
|
uuid string |
Универсальный уникальный идентификатор (UUID; назначается автоматически, но может быть сброшен вручную). |
|
voip_profile string |
Имя существующего профиля VoIP. Источник voip.profile.name. |
|
vpntunnel string |
Политика на основе IPsec VPN: имя фазы 1 IPsec VPN. Источник vpn.ipsec.phase1.name vpn.ipsec.manualkey.name. |
|
waf_profile string |
Имя существующего профиля брандмауэра веб-приложений. Источник waf.profile.name. |
|
wanopt string |
Включить или отключить оптимизацию WAN. Варианты:
|
|
wanopt_detection string |
Режим автоматического обнаружения оптимизации WAN. Варианты:
|
|
wanopt_passive_opt string |
Параметры пассивного режима оптимизации WAN. Этот параметр определяет, какой IP-адрес будет использоваться для подключения к серверу. Варианты:
|
|
wanopt_peer string |
Пир оптимизации WAN. Источник wanopt.peer.peer-host-id. |
|
wanopt_profile string |
Профиль оптимизации WAN. Источник wanopt.profile.name. |
|
webcache string |
Включить или отключить веб-кэширование. Варианты:
|
|
webcache_https string |
Включить или отключить веб-кэширование для HTTPS. Варианты:
|
|
webfilter_profile string |
Имя существующего профиля веб-фильтрации. Источник webfilter.profile.name. |
|
webproxy_forward_server string |
Имя сервера пересылки веб-прокси. Источник web-proxy.forward-server.name web-proxy.forward-server-group.name. |
|
webproxy_profile string |
Имя профиля веб-прокси. Источник web-proxy.profile.name. |
member_path string | Путь к атрибуту элемента, с которым нужно выполнить операцию. Если атрибутов несколько, их следует разделить символом косой черты. Параметр, помеченный как member_path, можно использовать для выполнения операции над элементом. |
member_state string | Добавить или удалить элемент по указанному пути атрибута. Если задан member_state, параметр state игнорируется. Варианты:
|
state string / обязательный | Указывает, нужно ли создать или удалить объект. Варианты:
|
vdom string | Виртуальный домен из числа ранее определённых. VDOM — это виртуальный экземпляр FortiGate, который можно настроить и использовать как отдельное устройство. По умолчанию: |
Примечания
Примечание
- Мы настоятельно рекомендуем использовать собственное значение policyid вместо 0. Значение «0» — это специальный заполнитель, который позволяет серверной части назначить объекту последний доступный номер, однако его использование имеет ограничения. Подробнее см. в разделе «Вопросы и ответы».
- Устаревший fortiosapi объявлен устаревшим; предпочтительный способ запуска плейбуков — httpapi.
- Модуль поддерживает check_mode.
Примеры
- name: Configure consolidated IPv4/IPv6 policies.
fortinet.fortios.fortios_firewall_consolidated_policy:
vdom: "{{ vdom }}"
state: "present"
access_token: "<your_own_value>"
firewall_consolidated_policy:
action: "accept"
application_list: "<your_own_value> (source application.list.name)"
auto_asic_offload: "enable"
av_profile: "<your_own_value> (source antivirus.profile.name)"
captive_portal_exempt: "enable"
cifs_profile: "<your_own_value> (source cifs.profile.name)"
comments: "<your_own_value>"
diffserv_forward: "enable"
diffserv_reverse: "enable"
diffservcode_forward: "<your_own_value>"
diffservcode_rev: "<your_own_value>"
dlp_sensor: "<your_own_value> (source dlp.sensor.name)"
dnsfilter_profile: "<your_own_value> (source dnsfilter.profile.name)"
dstaddr_negate: "enable"
dstaddr4:
-
name: "default_name_18 (source firewall.address.name firewall.addrgrp.name firewall.vip.name firewall.vipgrp.name system.external-resource
.name)"
dstaddr6:
-
name: "default_name_20 (source firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system
.external-resource.name)"
dstintf:
-
name: "default_name_22 (source system.interface.name system.zone.name)"
emailfilter_profile: "<your_own_value> (source emailfilter.profile.name)"
fixedport: "enable"
fsso_groups:
-
name: "default_name_26 (source user.adgrp.name)"
global_label: "<your_own_value>"
groups:
-
name: "default_name_29 (source user.group.name)"
http_policy_redirect: "enable"
icap_profile: "<your_own_value> (source icap.profile.name)"
inbound: "enable"
inspection_mode: "proxy"
internet_service: "enable"
internet_service_custom:
-
name: "default_name_36 (source firewall.internet-service-custom.name)"
internet_service_custom_group:
-
name: "default_name_38 (source firewall.internet-service-custom-group.name)"
internet_service_group:
-
name: "default_name_40 (source firewall.internet-service-group.name)"
internet_service_id:
-
id: "42 (source firewall.internet-service.id)"
internet_service_negate: "enable"
internet_service_src: "enable"
internet_service_src_custom:
-
name: "default_name_46 (source firewall.internet-service-custom.name)"
internet_service_src_custom_group:
-
name: "default_name_48 (source firewall.internet-service-custom-group.name)"
internet_service_src_group:
-
name: "default_name_50 (source firewall.internet-service-group.name)"
internet_service_src_id:
-
id: "52 (source firewall.internet-service.id)"
internet_service_src_negate: "enable"
ippool: "enable"
ips_sensor: "<your_own_value> (source ips.sensor.name)"
logtraffic: "all"
logtraffic_start: "enable"
mms_profile: "<your_own_value> (source firewall.mms-profile.name)"
name: "default_name_59"
nat: "enable"
outbound: "enable"
per_ip_shaper: "<your_own_value> (source firewall.shaper.per-ip-shaper.name)"
policyid: "<you_own_value>"
poolname4:
-
name: "default_name_65 (source firewall.ippool.name)"
poolname6:
-
name: "default_name_67 (source firewall.ippool6.name)"
profile_group: "<your_own_value> (source firewall.profile-group.name)"
profile_protocol_options: "<your_own_value> (source firewall.profile-protocol-options.name)"
profile_type: "single"
schedule: "<your_own_value> (source firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name)"
service:
-
name: "default_name_73 (source firewall.service.custom.name firewall.service.group.name)"
service_negate: "enable"
session_ttl: "1382400"
srcaddr_negate: "enable"
srcaddr4:
-
name: "default_name_78 (source firewall.address.name firewall.addrgrp.name system.external-resource.name)"
srcaddr6:
-
name: "default_name_80 (source firewall.address6.name firewall.addrgrp6.name system.external-resource.name)"
srcintf:
-
name: "default_name_82 (source system.interface.name system.zone.name)"
ssh_filter_profile: "<your_own_value> (source ssh-filter.profile.name)"
ssh_policy_redirect: "enable"
ssl_ssh_profile: "<your_own_value> (source firewall.ssl-ssh-profile.name)"
status: "enable"
tcp_mss_receiver: "32767"
tcp_mss_sender: "32767"
traffic_shaper: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
traffic_shaper_reverse: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
users:
-
name: "default_name_92 (source user.local.name)"
utm_status: "enable"
uuid: "<your_own_value>"
voip_profile: "<your_own_value> (source voip.profile.name)"
vpntunnel: "<your_own_value> (source vpn.ipsec.phase1.name vpn.ipsec.manualkey.name)"
waf_profile: "<your_own_value> (source waf.profile.name)"
wanopt: "enable"
wanopt_detection: "active"
wanopt_passive_opt: "default"
wanopt_peer: "<your_own_value> (source wanopt.peer.peer-host-id)"
wanopt_profile: "<your_own_value> (source wanopt.profile.name)"
webcache: "enable"
webcache_https: "disable"
webfilter_profile: "<your_own_value> (source webfilter.profile.name)"
webproxy_forward_server: "<your_own_value> (source web-proxy.forward-server.name web-proxy.forward-server-group.name)"
webproxy_profile: "<your_own_value> (source web-proxy.profile.name)"
Возвращаемые значения
Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:
Ключ | Описание |
|---|---|
build string | Номер сборки образа FortiGate Возвращается: всегда Пример: |
http_method string | Последний метод, использованный для передачи содержимого в FortiGate Возвращается: всегда Пример: |
http_status string | Последний результат, возвращённый FortiGate для последней выполненной операции Возвращается: всегда Пример: |
mkey string | Главный ключ (идентификатор), использованный при последнем вызове FortiGate Возвращается: при успехе Пример: |
name string | Имя таблицы, использованной для выполнения запроса Возвращается: всегда Пример: |
path string | Путь к таблице, использованной для выполнения запроса Возвращается: всегда Пример: |
revision string | Внутренний номер ревизии Возвращается: всегда Пример: |
serial string | Серийный номер устройства Возвращается: всегда Пример: |
status string | Результат выполнения операции Возвращается: всегда Пример: |
vdom string | Используемый виртуальный домен Возвращается: всегда Пример: |
version string | Версия FortiGate Возвращается: всегда Пример: |
Ссылки на коллекцию
© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/fortinet/fortios/fortios_firewall_consolidated_policy_module.html
