f5networks.f5_modules.bigip_firewall_rule – Управление правилами брандмауэра AFM

Примечание

Этот плагин входит в состав коллекции f5networks.f5_modules (версия 1.6.0).

Для его установки используйте: ansible-galaxy collection install f5networks.f5_modules.

Для использования в книге задач укажите: f5networks.f5_modules.bigip_firewall_rule.

Новый в версии 1.0.0: модуля f5networks.f5_modules

Описание
Параметры
Примечания
Примеры
Значения возврата

Описание

Управляет правилами брандмауэра в политике брандмауэра AFM (Advanced Firewall Manager). Новые правила всегда добавляются в конец политики. Правила можно переупорядочить, используя модуль bigip_security_policy. Правила также можно предварительно упорядочить с помощью модуля bigip_security_policy и затем обновить с помощью модуля bigip_firewall_rule.

Параметры

Параметр		Варианты/Значения по умолчанию	Комментарии
action строка		Варианты: accept drop reject accept-decisively	Указывает действие для правила брандмауэра. Когда `accept`, позволяет пакетам с указанным источником, пунктом назначения и протоколом проходить через брандмауэр. Пакеты, соответствующие правилу и принятые, проходят через систему так, как если бы брандмауэр отсутствовал. Когда `drop`, отбрасывает пакеты с указанным источником, пунктом назначения и протоколом. Отбрасывание пакета — это беззвучное действие без уведомления систем источника или пункта назначения. Отбрасывание пакета приводит к повторному подключению до тех пор, пока не будет достигнут порог повторных попыток. Когда `reject`, отклоняет пакеты с указанным источником, пунктом назначения и протоколом. При отклонении пакета брандмауэр отправляет сообщение о недоступности пункта назначения отправителю. Когда `accept-decisively`, позволяет пакетам с указанным источником, пунктом назначения и протоколом проходить через брандмауэр и не требует дальнейшей обработки другими брандмауэрами. Пакеты, соответствующие правилу и принятые, проходят через систему так, как если бы брандмауэр отсутствовал. Если список правил применяется к виртуальному серверу, IP-адресу управления или правилу брандмауэра для собственного IP-адреса, то «Принять решительно» эквивалентно «Принять». При создании нового правила, если этот параметр не указан, значение по умолчанию — `reject`.
description строка			Описание правила.
destination список / элементы=словарь			Указывает пункты назначения пакетов, к которым применяется правило. Оставление этого поля пустым применяет правило ко всем адресам и портам. Вы можете указать следующие пункты назначения. IPv4 или IPv6-адрес, диапазон IPv4 или IPv6-адресов, географическое расположение, VLAN, список адресов, порт, диапазон портов, список портов или список адресов. Вы можете указать смесь различных типов элементов для адреса источника.
	address строка		Указывает конкретный IP-адрес.
	address_list строка		Указывает существующий список адресов.
	address_range строка		Указывает диапазон адресов.
	country строка		Указывает код страны.
	port целое число		Указывает отдельный числовой порт. Этот параметр допустим только тогда, когда `protocol` равно `tcp`(6) или `udp`(17).
	port_list строка		Указывает существующий список портов. Этот параметр допустим только тогда, когда `protocol` равно `tcp`(6) или `udp`(17).
	port_range строка		Указывает диапазон портов, который представляет собой два значения портов, разделенных дефисом. Порт слева от дефиса должен быть меньше порта справа. Этот параметр допустим только тогда, когда `protocol` равно `tcp`(6) или `udp`(17).
icmp_message список / элементы=словарь			Указывает сообщение протокола управления Интернетом (ICMP) или ICMPv6, которое `type` и `code` использует правило. Этот параметр имеет значение только тогда, когда `protocol` равно `icmp`(1) или `icmpv6`(58).
	code строка		Указывает код, возвращаемый в ответ на указанный тип сообщения ICMP. Вы можете указать коды, каждый из которых подходит для соответствующего типа, например, «Нет кода» (0) (связанный с «Эхо-ответом» (0)) и «Недоступен хост» (1) (связанный с «Недоступен пункт назначения» (3)), или вы можете указать `any`, чтобы указать, что система применяет правило для всех кодов в ответ на это конкретное сообщение ICMP. Вы также можете указать произвольный код. Протокол ICMP содержит определения существующих пар кода и номера сообщения.
	type строка		Указывает тип сообщения ICMP. Вы можете указать управляющие сообщения, такие как «Эхо-ответ» (0) и «Недоступен пункт назначения» (3), или вы можете указать `any`, чтобы указать, что система применяет правило для всех сообщений ICMP. Вы также можете указать произвольное сообщение ICMP. Протокол ICMP содержит определения существующих пар типа сообщения и номера.
irule строка			Указывает iRule, который применяется к правилу брандмауэра. iRule может быть запущен при совпадении правила брандмауэра с трафиком.
logging булево		Варианты: no yes	Указывает, включено или выключено ведение журнала для правила брандмауэра. При создании нового правила, если этот параметр не указан, значение по умолчанию — `no`.
name строка / обязательно			Указывает имя правила.
parent_policy строка			Политика, содержащая правило, которое нужно управлять. Требуется один из `parent_policy` или `parent_rule_list`.
parent_rule_list строка			Список правил, содержащий правило, которое нужно управлять. Требуется один из `parent_policy` или `parent_rule_list`.
partition строка		Значение по умолчанию: "Common"	Раздел устройства для управления ресурсами.
protocol строка			Указывает протокол, к которому применяется правило. Протоколы могут быть указаны либо их именем, либо числовым значением. Может быть указано специальное значение протокола `any`, чтобы соответствовать любому протоколу. Числовое эквивалент этого протокола — `255`.
provider словарь добавлен в 1.0.0 от f5networks.f5_modules			Объект словаря, содержащий сведения о подключении.
	auth_provider строка		Настраивает поставщика аутентификации для получения маркеров аутентификации от удаленного устройства. Этот параметр действительно используется при работе с устройствами BIG-IQ.
	no_f5_teem булево	Варианты: no yes	Если `yes`, данные телеметрии TEEM не отправляются в F5. Этот параметр можно опустить, установив переменную среды `F5_TEEM`.
	password строка / обязательно		Пароль для учетной записи пользователя, используемой для подключения к BIG-IP. Этот параметр можно опустить, установив переменную среды `F5_PASSWORD`. псевдонимы: pass, pwd
	server строка / обязательно		Хост BIG-IP. Этот параметр можно опустить, установив переменную среды `F5_SERVER`.
	server_port целое число	Значение по умолчанию: 443	Порт сервера BIG-IP. Этот параметр можно опустить, установив переменную среды `F5_SERVER_PORT`.
	timeout целое число		Указывает время ожидания в секундах для связи с сетевым устройством для подключения или отправки команд. Если время ожидания истекает до завершения операции, модуль выдаст ошибку.
	transport строка	Варианты: rest ←	Настраивает транспортное соединение для использования при подключении к удаленному устройству.
	user строка / обязательно		Имя пользователя для подключения к BIG-IP. Этот пользователь должен иметь административные привилегии на устройстве. Этот параметр можно опустить, установив переменную среды `F5_USER`.
	validate_certs булево	Варианты: no yes ←	Если `no`, сертификаты SSL не проверяются. Используйте этот параметр только на контролируемых вами сайтах с самозаверенными сертификатами. Этот параметр можно опустить, установив переменную среды `F5_VALIDATE_CERTS`.
rule_list строка			Указывает существующий список правил для использования в правиле. Этот параметр исключает многие другие параметры, относящиеся к отдельным правилам. Это включает `logging`, `action`, `source`, `destination`, `irule'`, `protocol` и `logging`. Этот параметр используется только при указании `parent_policy`, в противном случае он игнорируется.

Расписание строка			Указывает расписание для правила брандмауэра. Вы настраиваете расписания для определения дней и времени, когда правило брандмауэра активируется.
Источник список / элементы=словарь			Указывает источники пакетов, к которым применяется правило. Оставление этого поля пустым применяет правило ко всем адресам и портам. Вы можете указать следующие элементы источника. IPv4 или IPv6 адрес, диапазон IPv4 или IPv6 адресов, географическое местоположение, VLAN, список адресов, порт, диапазон портов, список портов или список адресов. Вы можете указать смесь различных типов элементов для адреса источника.
	адрес строка		Указывает определённый IP-адрес.
	список_адресов строка		Указывает существующий список адресов.
	диапазон_адресов строка		Указывает диапазон адресов.
	страна строка		Указывает код страны.
	порт целое число		Указывает отдельный числовой порт. Этот вариант допустим только когда `protocol` `tcp`(6) или `udp`(17).
	список_портов строка		Указывает существующий список портов. Этот вариант допустим только когда `protocol` `tcp`(6) или `udp`(17).
	диапазон_портов строка		Указывает диапазон портов, который представляет собой два значения портов, разделенные дефисом. Порт слева от дефиса должен быть меньше порта справа. Этот вариант допустим только когда `protocol` `tcp`(6) или `udp`(17).
	vlan строка		Указывает VLAN, к которым применяется правило. Источник VLAN относится к источнику пакета.
состояние строка		Варианты: наличие ← отсутствие	Когда `state` `present`, гарантирует, что правило существует. Когда `state` `absent`, гарантирует, что правило удалено.
статус строка		Варианты: активировано деактивировано планировано	Указывает состояние активности правила или списка правил. Когда `disabled`, указывает, что правило или список правил вообще не применяются. Когда `enabled`, указывает, что система применяет правило брандмауэра или список правил к данному контексту и адресам. Когда `scheduled`, указывает, что система применяет правило или список правил в соответствии с указанным расписанием. При создании нового правила, если этот параметр не указан, значение по умолчанию `enabled`.

Примечания

Примечание

Дополнительную информацию об использовании Ansible для управления устройствами F5 Networks см. на https://www.ansible.com/integrations/networks/f5.
Требуется версия ПО BIG-IP >= 12.
Модули F5 манипулируют только текущей конфигурацией продукта F5. Чтобы гарантировать сохранение конфигурации BIG-IP на диске, убедитесь, что вы включили по крайней мере одну задачу, которая использует модуль f5networks.f5_modules.bigip_config, чтобы сохранить текущую конфигурацию. Обратитесь к документации модуля для правильного использования модуля, чтобы сохранить текущую конфигурацию.

Примеры

- name: Create a new rule in the foo firewall policy
  bigip_firewall_rule:
    name: foo
    parent_policy: policy1
    protocol: tcp
    source:
      - address: 1.2.3.4
      - address: "::1"
      - address_list: foo-list1
      - address_range: 1.1.1.1-2.2.2.2
      - vlan: vlan1
      - country: US
      - port: 22
      - port_list: port-list1
      - port_range: 80-443
    destination:
      - address: 1.2.3.4
      - address: "::1"
      - address_list: foo-list1
      - address_range: 1.1.1.1-2.2.2.2
      - country: US
      - port: 22
      - port_list: port-list1
      - port_range: 80-443
    irule: irule1
    action: accept
    logging: yes
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

- name: Create an ICMP specific rule
  bigip_firewall_rule:
    name: foo
    protocol: icmp
    icmp_message:
      type: 0
    source:
      - country: US
    action: drop
    logging: yes
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

- name: Add a new policy rule that uses an existing rule list
  bigip_firewall_rule:
    name: foo
    parent_policy: foo_policy
    rule_list: rule-list1
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

Значения возврата

Общие значения возврата документированы здесь, следующие поля уникальны для этого модуля:

Ключ		Возвращаемое значение	Описание
action строка		изменённое	Действие для правила брандмауэра. Пример: drop
description строка		изменённое	Описание правила. Пример: MyRule
destination сложное		изменённое	Назначение пакетов, на которые распространяется правило. Пример: хеш/словарь значений
	address строка	изменённое	Конкретный IP-адрес. Пример: 192.168.1.1
	address_list строка	изменённое	Существующий список адресов. Пример: foo-list1
	address_range строка	изменённое	Диапазон адресов. Пример: 1.1.1.1-2.2.2.2
	country строка	изменённое	Код страны. Пример: US
	port целое число	изменённое	Одиночный числовой порт. Пример: 8080
	port_list строка	изменённое	Существующий список портов. Пример: port-list1
	port_range строка	изменённое	Диапазон портов. Пример: 80-443
icmp_message сложное		изменённое	Сообщение (ICMP) или ICMPv6 `type` и `code` используемое правилом. Пример: хеш/словарь значений
	code строка	изменённое	Код, возвращённый в ответ на указанный тип сообщения ICMP. Пример: 1
	type строка	изменённое	Тип сообщения ICMP.
irule строка		изменённое	iRule, применяемый к правилу брандмауэра. Пример: _sys_auth_radius
logging булево		изменённое	Включить или выключить ведение журнала для правила брандмауэра. Пример: True
name строка		изменённое	Имя правила. Пример: FooRule
parent_policy строка		изменённое	Политика, содержащая правило для управления. Пример: FooPolicy
parent_rule_list строка		изменённое	Список правил, содержащий правило для управления. Пример: FooRuleList
protocol строка		изменённое	Протокол, к которому применяется правило. Пример: any
rule_list строка		изменённое	Существующий список правил для использования в родительской политике. Пример: rule-list-1
schedule строка		изменённое	График для правила брандмауэра. Пример: Foo_schedule
source сложное		изменённое	Источники пакетов, на которые распространяется правило. Пример: хеш/словарь значений
	address строка	изменённое	Конкретный IP-адрес. Пример: 192.168.1.1
	address_list строка	изменённое	Существующий список адресов. Пример: foo-list1
	address_range строка	изменённое	Диапазон адресов. Пример: 1.1.1.1-2.2.2.2
	country строка	изменённое	Код страны. Пример: US
	port целое число	изменённое	Одиночный числовой порт. Пример: 8080
	port_list строка	изменённое	Существующий список портов. Пример: port-list1
	port_range строка	изменённое	Диапазон портов. Пример: 80-443
	vlan строка	изменённое	VLAN-ы источника для пакетов. Пример: vlan1
status строка		изменённое	Состояние активности правила или списка правил. Пример: scheduled

Авторы

Tim Rupp (@caphrim007)
Wojciech Wypior (@wojtek0806)

© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/f5networks/f5_modules/bigip_firewall_rule_module.html