community.network.fmgr_fwpol_ipv4 – Разрешает добавление/удаление правил брандмауэра для пакетов в FortiManager.

Примечание

Этот плагин входит в коллекцию community.network (версия 1.3.0).

Для его установки используйте: ansible-galaxy collection install community.network.

Для использования в плейбуке укажите: community.network.fmgr_fwpol_ipv4.

Обзор
Параметры
Примечания
Примеры
Возвращаемые значения

Обзор

Разрешает добавление/удаление правил брандмауэра для пакетов в FortiManager.

Параметры

Параметр	Варианты/Значения по умолчанию	Комментарии
action строка	Варианты: deny accept ipsec	Действие политики (разрешить/заблокировать/ipsec). choice \| deny \| Блокирует сессии, соответствующие политике брандмауэра. choice \| accept \| Разрешает сессии, соответствующие политике брандмауэра. choice \| ipsec \| Политика брандмауэра становится политикой VPN IPsec на основе политики.
adom строка	Значение по умолчанию: "root"	ADOM, к которому должна принадлежать конфигурация.
app_category строка		Список идентификаторов категорий приложений.
app_group строка		Имена групп приложений.
application строка		Список идентификаторов приложений.
application_list строка		Имя существующего списка приложений.
auth_cert строка		Сертификат HTTPS-сервера для аутентификации по политике.
auth_path строка	Варианты: disable enable	Включить/выключить маршрутизацию на основе аутентификации. choice \| disable \| Выключить маршрутизацию на основе аутентификации. choice \| enable \| Включить маршрутизацию на основе аутентификации.
auth_redirect_addr строка		Адрес переадресации HTTP в HTTPS для аутентификации брандмауэра.
auto_asic_offload строка	Варианты: disable enable	Включить/выключить передачу обработки профиля безопасности на процессоры CP. choice \| disable \| Отключить разгрузку ASIC. choice \| enable \| Включить автоматическую разгрузку ASIC.
av_profile строка		Имя существующего профиля антивируса.
block_notification строка	Варианты: disable enable	Включить/выключить уведомление о блокировке. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
captive_portal_exempt строка	Варианты: disable enable	Включить, чтобы освободить некоторых пользователей от портала captive. choice \| disable \| Отключить освобождение от портала captive. choice \| enable \| Включить освобождение от портала captive.
capture_packet строка	Варианты: disable enable	Включить/выключить захват пакетов. choice \| disable \| Отключить захват пакетов. choice \| enable \| Включить захват пакетов.
comments строка		Комментарий.
custom_log_fields строка		Пользовательские поля для добавления в сообщения журналов для этой политики.
delay_tcp_npu_session строка	Варианты: disable enable	Включить задержку сессии TCP NPU для гарантии порядка пакетов трехстороннего рукопожатия. choice \| disable \| Отключить задержку сессии TCP NPU для гарантии порядка пакетов трехстороннего рукопожатия. choice \| enable \| Включить задержку сессии TCP NPU для гарантии порядка пакетов трехстороннего рукопожатия.
devices строка		Имена устройств или групп устройств, которые могут соответствовать политике.
diffserv_forward строка	Варианты: disable enable	Включить для изменения значений DiffServ пакета на указанное значение diffservcode-forward. choice \| disable \| Отключить оптимизацию WAN. choice \| enable \| Включить оптимизацию WAN.
diffserv_reverse строка	Варианты: disable enable	Включить для изменения значений обратного (ответа) DiffServ пакета на указанное значение diffservcode-rev. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
diffservcode_forward строка		Изменить DiffServ пакета на это значение.
diffservcode_rev строка		Изменить DiffServ обратного (ответа) пакета на это значение.
disclaimer строка	Варианты: disable enable	Включить/выключить отказ от ответственности пользователя при аутентификации. choice \| disable \| Отключить отказ от ответственности пользователя при аутентификации. choice \| enable \| Включить отказ от ответственности пользователя при аутентификации.
dlp_sensor строка		Имя существующего датчика DLP.
dnsfilter_profile строка		Имя существующего профиля фильтрации DNS.
dscp_match строка	Варианты: disable enable	Включить проверку DSCP. choice \| disable \| Отключить проверку DSCP. choice \| enable \| Включить проверку DSCP.
dscp_negate строка	Варианты: disable enable	Включить отрицание соответствия DSCP. choice \| disable \| Отключить отрицание DSCP. choice \| enable \| Включить отрицание DSCP.
dscp_value строка		Значение DSCP.
dsri строка	Варианты: disable enable	Включить DSRI для игнорирования ответов HTTP-сервера. choice \| disable \| Отключить DSRI. choice \| enable \| Включить DSRI.
dstaddr строка		Адрес назначения и имена групп адресов.
dstaddr_negate строка	Варианты: disable enable	При включении dstaddr указывает, каким должен НЕ быть адрес назначения. choice \| disable \| Отключить отрицание адреса назначения. choice \| enable \| Включить отрицание адреса назначения.
dstintf строка		Выходной (выходящий) интерфейс.
fail_on_missing_dependency строка	Варианты: enable disable ←	Нормальное поведение — "пропускать" задачи, которые не удовлетворяют проверке зависимостей, чтобы другие задачи могли выполняться. Если установлено «enabled», при возникновении проверки невыполненной зависимости Ansible завершит работу с ошибкой вместо пропуска.
firewall_session_dirty строка	Варианты: check-all check-new	Как обрабатывать сессии, если изменяется конфигурация этой политики брандмауэра. choice \| check-all \| Очистить все текущие сессии, принятые этой политикой. choice \| check-new \| Продолжить разрешение сессий, уже принятых этой политикой.
fixedport строка	Варианты: disable enable	Включить для предотвращения изменения исходного порта сессии при источнике NAT. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
fsso строка	Варианты: disable enable	Включить/выключить Fortinet Single Sign-On. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
fsso_agent_for_ntlm строка		Агент FSSO для использования при аутентификации NTLM.
global_label строка		Метка политики, которая отображается, когда режим интерфейса GUI находится в режиме глобального просмотра.
groups строка		Имена групп пользователей, которые могут пройти аутентификацию по этой политике.
gtp_profile строка		Профиль GTP.
icap_profile строка		Имя существующего профиля ICAP.
identity_based_route строка		Имя правила маршрутизации на основе идентификации.
inbound строка	Варианты: disable enable	Политика IPsec VPN \| только трафик из удаленной сети может инициировать VPN. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
internet_service строка	Варианты: disable enable	Включить/выключить использование Интернет-служб для этой политики. При включении dstaddr и service не используются. choice \| disable \| Отключить использование Интернет-служб в политике. choice \| enable \| Включить использование Интернет-служб в политике.
internet_service_custom строка		Настройка Интернет-службы.
internet_service_id строка		Идентификатор Интернет-службы.

internet_service_negate string	Варианты: disable enable	При включении internet-service указывает, какой службы не должно быть. choice \| disable \| Отключить соответствие для запрещённой службы интернет-сервиса. choice \| enable \| Включить соответствие для запрещённой службы интернет-сервиса.
internet_service_src string	Варианты: disable enable	Включить/отключить использование интернет-служб в источнике для этой политики. Если включено, исходный адрес не используется. choice \| disable \| Отключить использование источника интернет-служб в политике. choice \| enable \| Включить использование источника интернет-служб в политике.
internet_service_src_custom string		Настраиваемое имя источника интернет-службы.
internet_service_src_id string		Идентификатор источника интернет-службы.
internet_service_src_negate string	Варианты: disable enable	При включении internet-service-src указывает, какой службы в источнике не должно быть. choice \| disable \| Отключить соответствие для запрещённого источника интернет-службы. choice \| enable \| Включить соответствие для запрещённого источника интернет-службы.
ippool string	Варианты: disable enable	Включить использование IP-пулов для источника NAT. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
ips_sensor string		Имя существующего датчика IPS.
label string		Метка для политики, отображаемая при отображении интерфейса в режиме «Раздел».
learning_mode string	Варианты: disable enable	Включить, чтобы разрешить всё, но регистрировать все значимые данные для сбора информации о безопасности. choice \| disable \| Отключить режим обучения в политике брандмауэра. choice \| enable \| Включить режим обучения в политике брандмауэра.
logtraffic string	Варианты: disable all utm	Включить или отключить протоколирование. Протоколировать все сессии или сессии профиля безопасности. choice \| disable \| Отключить все протоколирование для этой политики. choice \| all \| Протоколировать все сессии, принятые или отклоненные этой политикой. choice \| utm \| Протоколировать трафик, к которому применяется профиль безопасности.
logtraffic_start string	Варианты: disable enable	Записывать журналы при запуске и завершении сессии. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
match_vip string	Варианты: disable enable	Включить для сопоставления пакетов, у которых были изменены адреса назначения с помощью VIP. choice \| disable \| Не сопоставлять пакет с DNAT. choice \| enable \| Сопоставить пакет с DNAT.
mms_profile string		Имя существующего профиля MMS.
mode string	Варианты: add ← set delete update	Устанавливает один из трёх режимов для управления объектом. Разрешает использование мягких добавлений вместо перезаписи существующих значений
name string		Имя политики.
nat string	Варианты: disable enable	Включить/отключить исходный NAT. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
natinbound string	Варианты: disable enable	Политика VPN на основе IPsec \| применить конечный NAT к входящему трафику. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
natip string		Политика VPN на основе IPsec \| IP-адрес исходного NAT для исходящего трафика.
natoutbound string	Варианты: disable enable	Политика VPN на основе IPsec \| применить исходный NAT к исходящему трафику. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
np_acceleration string	Варианты: disable enable	Включить/отключить ускорение UTM Network Processor. choice \| disable \| Отключить ускорение UTM Network Processor. choice \| enable \| Включить ускорение UTM Network Processor.
ntlm string	Варианты: disable enable	Включить/отключить аутентификацию NTLM. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
ntlm_enabled_browsers string		Значение HTTP-User-Agent поддерживаемых браузеров.
ntlm_guest string	Варианты: disable enable	Включить/отключить доступ гостевого пользователя NTLM. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
outbound string	Варианты: disable enable	Политика VPN на основе IPsec \| только трафик из внутренней сети может инициировать VPN. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
package_name string	По умолчанию: "default"	Пакет политики, который вы хотите изменить
per_ip_shaper string		Формировщик трафика на IP-уровне.
permit_any_host string	Варианты: disable enable	Принимать пакеты UDP от любого хоста. choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
permit_stun_host string	Варианты: disable enable	Принимать пакеты UDP от любого хоста STUN (Session Traversal Utilities for NAT). choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
policyid string		Идентификатор политики.
poolname string		Имена IP-пулов.
profile_group string		Имя группы профилей.
profile_protocol_options string		Имя существующего профиля параметров протокола.
profile_type string	Варианты: single group	Определить, разрешает ли политика брандмауэра группы профилей безопасности или только отдельные профили. choice \| single \| Не разрешать группы профилей безопасности. choice \| group \| Разрешить группы профилей безопасности.
radius_mac_auth_bypass string	Варианты: disable enable	Включить обход аутентификации MAC. Обойденный MAC-адрес должен быть получен от сервера RADIUS. choice \| disable \| Отключить обход аутентификации MAC. choice \| enable \| Включить обход аутентификации MAC.
redirect_url string		URL, на который перенаправляются пользователи после просмотра и принятия отказного уведомления или аутентификации.
replacemsg_override_group string		Переопределить группу сообщений по умолчанию для замены этой политики.
rsso string	Варианты: disable enable	Включить/отключить RADIUS единого входа (RSSO). choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
rtp_addr string		Имена адресов, если это политика RTP NAT.
rtp_nat string	Варианты: disable enable	Включить NAT для Real Time Protocol (RTP). choice \| disable \| Отключить настройку. choice \| enable \| Включить настройку.
scan_botnet_connections string	Варианты: disable block monitor	Заблокировать или отслеживать подключения к серверам ботнета или отключить сканирование ботнета. choice \| disable \| Не сканировать подключения к серверам ботнета. choice \| block \| Блокировать подключения к серверам ботнета. choice \| monitor \| Протоколировать подключения к серверам ботнета.
schedule string		Имя расписания.
schedule_timeout string	Варианты: disable enable	Включить, чтобы при истечении времени действия объекта расписания заставить завершиться текущие сессии. choice \| disable \| Отключить таймаут расписания. choice \| enable \| Включить таймаут расписания.

send_deny_packet string	Выбор: disable enable	Включить отправку ответа, когда сессия отклоняется или блокируется политикой брандмауэра. choice \| disable \| Отключить отправку пакетов отказа. choice \| enable \| Включить отправку пакетов отказа.
service string		Имена сервисов и групп сервисов.
service_negate string	Выбор: disable enable	При включении параметр service указывает, что сервис НЕ должен быть. choice \| disable \| Отключить соответствие с отрицанием сервиса. choice \| enable \| Включить соответствие с отрицанием сервиса.
session_ttl string		Время жизни сессии в секундах для сессий, принятых этой политикой (0 означает использование системного значения по умолчанию для TTL сессии).
spamfilter_profile string		Имя существующего профиля фильтра спама.
srcaddr string		Имена исходных адресов и групп адресов.
srcaddr_negate string	Выбор: disable enable	При включении srcaddr указывает, что исходный адрес НЕ должен быть. choice \| disable \| Отключить отрицание исходного адреса. choice \| enable \| Включить отрицание исходного адреса.
srcintf string		Входящий (входящий) интерфейс.
ssh_filter_profile string		Имя существующего профиля фильтра SSH.
ssl_mirror string	Выбор: disable enable	Включить копирование расшифрованного трафика SSL на интерфейс FortiGate (копирование SSL). choice \| disable \| Отключить копирование SSL. choice \| enable \| Включить копирование SSL.
ssl_mirror_intf string		Имя интерфейса копирования SSL.
ssl_ssh_profile string		Имя существующего профиля SSL SSH.
status string	Выбор: disable enable	Включить или отключить эту политику. choice \| disable \| Отключить параметр. choice \| enable \| Включить параметр.
tcp_mss_receiver string		Максимальный размер сегмента TCP (MSS) приемника.
tcp_mss_sender string		Максимальный размер сегмента TCP (MSS) отправителя.
tcp_session_without_syn string	Выбор: all data-only disable	Включить/отключить создание TCP-сессии без флага SYN. choice \| all \| Включить TCP-сессию без SYN. choice \| data-only \| Включить TCP-сессию только с данными. choice \| disable \| Отключить TCP-сессию без SYN.
timeout_send_rst string	Выбор: disable enable	Включить/отключить отправку пакетов RST при истечении срока действия TCP-сессий. choice \| disable \| Отключить отправку пакетов RST при истечении срока действия TCP-сессии. choice \| enable \| Включить отправку пакетов RST при истечении срока действия TCP-сессии.
traffic_shaper string		Формировщик трафика.
traffic_shaper_reverse string		Обратный формировщик трафика.
url_category string		Список идентификаторов категорий URL.
users string		Имена отдельных пользователей, которые могут пройти аутентификацию с этой политикой.
utm_status string	Выбор: disable enable	Включить добавление одного или нескольких профилей безопасности (AV, IPS и т.д.) в политику брандмауэра. choice \| disable \| Отключить параметр. choice \| enable \| Включить параметр.
vlan_cos_fwd string		Приоритет пользователя для направления VLAN \| 255 пропуск, 0 низший, 7 высший.
vlan_cos_rev string		Приоритет пользователя для обратного направления VLAN \| 255 пропуск, 0 низший, 7 высший.
vlan_filter string		Установить фильтры VLAN.
voip_profile string		Имя существующего профиля VoIP.
vpn_dst_node string		ТОЛЬКО ДЛЯ ЭКСПЕРТОВ! НЕОБХОДИМЫ ЗНАНИЯ API FMGR JSON! Список нескольких дочерних объектов для добавления. Ожидается список словарей. Словари должны использовать параметры API FortiManager, а не ansible. Если отправлено, все остальные префиксные подпараметры ИГНОРИРУЮТСЯ. Этот объект взаимоисключающий со своими вариантами. Ожидается, что вы знаете, что делаете с этими параметрами списка, и используете руководство по API JSON.
vpn_dst_node_host string		Хост узла назначения VPN.
vpn_dst_node_seq string		Порядковый номер узла назначения VPN.
vpn_dst_node_subnet string		Порядковый номер узла назначения VPN.
vpn_src_node string		ТОЛЬКО ДЛЯ ЭКСПЕРТОВ! НЕОБХОДИМЫ ЗНАНИЯ API FMGR JSON! Список нескольких дочерних объектов для добавления. Ожидается список словарей. Словари должны использовать параметры API FortiManager, а не ansible. Если отправлено, все остальные префиксные подпараметры ИГНОРИРУЮТСЯ. Этот объект взаимоисключающий со своими вариантами. Ожидается, что вы знаете, что делаете с этими параметрами списка, и используете руководство по API JSON.
vpn_src_node_host string		Хост узла источника VPN.
vpn_src_node_seq string		Порядковый номер узла источника VPN.
vpn_src_node_subnet string		Узел источника VPN.
vpntunnel string		Политика IPsec VPN \| имя фазы 1 IPsec VPN.
waf_profile string		Имя существующего профиля брандмауэра веб-приложений.
wanopt string	Выбор: disable enable	Включить/отключить оптимизацию WAN. choice \| disable \| Отключить параметр. choice \| enable \| Включить параметр.
wanopt_detection string	Выбор: active passive off	Режим автоматического обнаружения оптимизации WAN. choice \| active \| Активный режим автоматического обнаружения узла оптимизации WAN. choice \| passive \| Пассивный режим автоматического обнаружения узла оптимизации WAN. choice \| off \| Выключить автоматическое обнаружение узла оптимизации WAN.
wanopt_passive_opt string	Выбор: default transparent non-transparent	Параметры пассивного режима оптимизации WAN. Этот параметр определяет, какой IP-адрес будет использоваться для подключения к серверу. choice \| default \| Позволить клиенту WAN opt peer решить. choice \| transparent \| Использовать адрес клиента для подключения к серверу. choice \| non-transparent \| Использовать локальный адрес FortiGate для подключения к серверу.
wanopt_peer string		Узел оптимизации WAN.
wanopt_profile string		Профиль оптимизации WAN.
wccp string	Выбор: disable enable	Включить/выключить пересылку трафика, соответствующего этой политике, на настроенный сервер WCCP. choice \| disable \| Отключить настройку WCCP. choice \| enable \| Включить настройку WCCP.
webcache string	Выбор: disable enable	Включить/отключить кэш веб-страниц. choice \| disable \| Отключить параметр. choice \| enable \| Включить параметр.
webcache_https string	Выбор: disable enable	Включить/отключить кэш веб-страниц для HTTPS. choice \| disable \| Отключить кэш веб-страниц для HTTPS. choice \| enable \| Включить кэш веб-страниц для HTTPS.
webfilter_profile string		Имя существующего профиля фильтра веб-страниц.
wsso string	Выбор: disable enable	Включить/отключить WiFi Single Sign On (WSSO). choice \| disable \| Отключить параметр. choice \| enable \| Включить параметр.

Примечания

Примечание

Полная документация по адресу https://ftnt-ansible-docs.readthedocs.io/ru/latest/.

Примеры

- name: ADD VERY BASIC IPV4 POLICY WITH NO NAT (WIDE OPEN)
  community.network.fmgr_fwpol_ipv4:
    mode: "set"
    adom: "ansible"
    package_name: "default"
    name: "Basic_IPv4_Policy"
    comments: "Created by Ansible"
    action: "accept"
    dstaddr: "all"
    srcaddr: "all"
    dstintf: "any"
    srcintf: "any"
    logtraffic: "utm"
    service: "ALL"
    schedule: "always"

- name: ADD VERY BASIC IPV4 POLICY WITH NAT AND MULTIPLE ENTRIES
  community.network.fmgr_fwpol_ipv4:
    mode: "set"
    adom: "ansible"
    package_name: "default"
    name: "Basic_IPv4_Policy_2"
    comments: "Created by Ansible"
    action: "accept"
    dstaddr: "google-play"
    srcaddr: "all"
    dstintf: "any"
    srcintf: "any"
    logtraffic: "utm"
    service: "HTTP, HTTPS"
    schedule: "always"
    nat: "enable"
    users: "karen, kevin"

- name: ADD VERY BASIC IPV4 POLICY WITH NAT AND MULTIPLE ENTRIES AND SEC PROFILES
  community.network.fmgr_fwpol_ipv4:
    mode: "set"
    adom: "ansible"
    package_name: "default"
    name: "Basic_IPv4_Policy_3"
    comments: "Created by Ansible"
    action: "accept"
    dstaddr: "google-play, autoupdate.opera.com"
    srcaddr: "corp_internal"
    dstintf: "zone_wan1, zone_wan2"
    srcintf: "zone_int1"
    logtraffic: "utm"
    service: "HTTP, HTTPS"
    schedule: "always"
    nat: "enable"
    users: "karen, kevin"
    av_profile: "sniffer-profile"
    ips_sensor: "default"

Значения возврата

Общие значения возвращаемых значений описаны здесь, ниже приведены поля, уникальные для этого модуля:

Ключ	Возвращаемое	Описание
api_result string	всегда	полный ответ API, включает код состояния и сообщение

Авторы

Luke Weighall (@lweighall)
Andrew Welsh (@Ghilli3)
Jim Huber (@p4r4n0y1ng)

© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/community/network/fmgr_fwpol_ipv4_module.html