f5networks.f5_modules.bigip_ike_peer – Управление конфигурацией узла IPSec IKE на BIG-IP
Примечание
Этот плагин входит в состав коллекции f5networks.f5_modules (версия 1.6.0).
Для его установки используйте: ansible-galaxy collection install f5networks.f5_modules.
Для использования в книге задач укажите: f5networks.f5_modules.bigip_ike_peer.
В версии 1.0.0: модуля f5networks.f5_modules
Обзор
- Управление конфигурацией узла IPSec IKE на устройстве BIG-IP.
Параметры
| Параметр | Варианты/Значения по умолчанию | Комментарии | |
|---|---|---|---|
| description строка | Описание IKE-узла. | ||
| name строка / обязательно | Указывает имя IKE-узла. | ||
| partition строка | По умолчанию: "Common" | Раздел устройства для управления ресурсами. | |
| phase1_auth_method строка |
| Указывает метод аутентификации для фазы 1 переговоров. При создании нового IKE-узла, если это значение не указано, по умолчанию используется rsa-signature. | |
| phase1_cert строка | Указывает цифровой сертификат для использования с RSA подписью. При создании нового IKE-узла, если это значение не указано, и phase1_auth_method является rsa-signature, значение по умолчанию default.crt.Этот параметр недопустим, когда phase1_auth_method равен pre-shared-key. | ||
| phase1_encryption_algorithm строка |
| Указывает алгоритм для использования в IKE шифровании. IKE version v2 не поддерживает blowfish, camellia, или cast128. | |
| phase1_hash_algorithm строка |
| Указывает алгоритм для использования в IKE аутентификации. | |
| phase1_key строка | Указывает открытый ключ, содержащийся в цифровом сертификате. При создании нового IKE-узла, если это значение не указано, и phase1_auth_method равно rsa-signature, значение по умолчанию default.key.Этот параметр недопустим, когда phase1_auth_method равно pre-shared-key. | ||
| phase1_lifetime целое число добавлено в версии 1.1.0 f5networks.f5_modules | Определяет срок действия IKE SA в минутах, который будет предложен во время переговоров фазы 1. Допустимый диапазон значений - 1 - 4294967295 минут.При создании нового IKE-узла, если это значение не указано, значение по умолчанию, установленное системой - 1440 минут. | ||
| phase1_perfect_forward_secrecy строка |
| Указывает группу Diffie-Hellman для использования в IKE фазах 1 и 2 переговоров. | |
| phase1_verify_peer_cert логическое значение |
| В IKEv2, указывает, проверяется ли сертификат, отправленный IKE-узлом, с помощью доверенных центров сертификации, CRL и/или сертификата узла. В IKEv1, указывает, проверяется ли идентификатор, отправленный узлом, с помощью данных в сертификате следующим образом: ASN1DN; указывает, что сравнивается все имя субъекта сертификата с идентификатором. Адрес, FQDN или Пользовательский FQDN; указывает, что сравнивается subjectAltName сертификата с идентификатором. Если два не совпадают, переговоры завершаются неудачей. При создании нового IKE-узла, если это значение не указано, и phase1_auth_method равно rsa-signature, значение по умолчанию no.Этот параметр недопустим, когда phase1_auth_method равно pre-shared-key. | |
| presented_id_type строка |
| Указывает тип идентификатора, используемый локальной системой для идентификации себя для узла во время IKE фазы 1 переговоров. | |
| presented_id_value строка | Указывает значение для идентификации при использовании presented_id_type типа override. Это обязательное значение, когда version включает (Cv2). | ||
| preshared_key строка | Указывает строку, общую для IKE-узлов, для взаимной аутентификации. Этот параметр актуален только когда phase1_auth_method равно pre-shared-key. Этот параметр недопустим, когда phase1_auth_method равно rsa-signature. | ||
| provider словарь добавлено в версии 1.0.0 f5networks.f5_modules | Объект словаря, содержащий сведения о подключении. | ||
| auth_provider строка | Настраивает поставщика аутентификации для получения маркеров аутентификации от удаленного устройства. Этот параметр действительно используется при работе с устройствами BIG-IQ. | ||
| no_f5_teem логическое значение |
| Если yes, данные телеметрии TEEM не отправляются на F5.Вы можете опустить этот параметр, задав переменную окружения F5_TEEM. | |
| password строка / обязательно | Пароль учетной записи пользователя для подключения к BIG-IP. Вы можете опустить этот параметр, задав переменную окружения F5_PASSWORD. псевдонимы: pass, pwd | ||
| server строка / обязательно | Хост BIG-IP. Вы можете опустить этот параметр, задав переменную окружения F5_SERVER. | ||
| server_port целое число | По умолчанию: 443 | Порт сервера BIG-IP. Вы можете опустить этот параметр, задав переменную окружения F5_SERVER_PORT. | |
| timeout целое число | Устанавливает таймаут в секундах для связи с сетевым устройством при подключении или отправке команд. Если таймаут истекает до завершения операции, модуль вернёт ошибку. | ||
| transport строка |
| Настраивает транспортное соединение для подключения к удалённому устройству. | |
| user строка / обязательно | Имя пользователя для подключения к BIG-IP. Этот пользователь должен иметь административные права на устройстве. Вы можете опустить этот параметр, задав переменную окружения F5_USER. | ||
| validate_certs логическое значение |
| Если no, сертификаты SSL не проверяются. Используйте только на контролируемых вами сайтах с самоподписанными сертификатами.Вы можете опустить этот параметр, задав переменную окружения F5_VALIDATE_CERTS. | |
| remote_address строка | Отображает IP-адрес системы BIG-IP, удалённой от системы, которую вы настраиваете. | ||
| state строка |
| Когда present, гарантирует существование ресурса.Когда absent, гарантирует удаление ресурса. | |
| update_password строка |
| always позволит обновлять пароли, если пользователь этого захочет. on_create позволит установить пароль только для вновь созданных IKE-узлов. | |
| verified_id_type строка |
| Указывает тип идентификатора, используемый локальной системой для идентификации узла во время IKE фазы 1 переговоров. Это обязательное значение, когда version включает (Cv2).Когда user-fqdn, значение verified_id_value должно быть в формате Строка "Пользователь @ домен DNS". | |
| verified_id_value строка | Указывает значение для идентификатора при использовании verified_id_type типа override. Это обязательное значение, когда version включает (Cv2). | ||
| version список / элементы=строка |
| Указывает используемую версию IKE. Если система, которую вы настраиваете, является инициатором IPsec, и вы выбрали обе версии, система попытается использовать IKEv2 для переговоров. Если удалённый узел не поддерживает IKEv2, туннель IPsec завершится неудачей. Для использования IKEv1 в этом случае необходимо отключить Версию 2 и повторить попытку. Если система, которую вы настраиваете, является респондентом IPsec, и вы выбрали обе версии, система-инициатор IPsec определит, какую версию IKE использовать. При создании нового IKE-узла это значение обязательно. | |
Примечания
Примечание
- Дополнительную информацию о работе с Ansible для управления устройствами F5 Networks см. на странице https://www.ansible.com/integrations/networks/f5.
- Требуется версия ПО BIG-IP >= 12.
- Модули F5 изменяют только рабочую конфигурацию продукта F5. Для сохранения конфигурации BIG-IP на диске необходимо включить по крайней мере одну задачу, использующую модуль f5networks.f5_modules.bigip_config для сохранения текущей конфигурации. Обратитесь к документации модуля для правильного использования модуля для сохранения рабочей конфигурации.
Примеры
- name: Create new IKE peer
bigip_ike_peer:
name: ike1
remote_address: 1.2.3.4
version:
- v1
provider:
password: secret
server: lb.mydomain.com
user: admin
delegate_to: localhost
- name: Change presented id type - keyid-tag
bigip_ike_peer:
name: ike1
presented_id_type: keyid-tag
presented_id_value: key1
provider:
password: secret
server: lb.mydomain.com
user: admin
delegate_to: localhost
- name: Remove IKE peer
bigip_ike_peer:
name: ike1
state: absent
provider:
password: secret
server: lb.mydomain.com
user: admin
delegate_to: localhost
Значения возврата
Общие значения возврата документированы здесь, следующие поля уникальны для данного модуля:
| Ключ | Возвращаемое значение | Описание |
|---|---|---|
| phase1_auth_method строка | изменено | Новое значение метода аутентификации IKE Phase 1 для ресурса. Пример: rsa-signature |
| phase1_cert строка | изменено | Новые учетные данные сертификата IKE Phase 1. Пример: /Common/cert1.crt |
| phase1_encryption_algorithm строка | изменено | Новый алгоритм шифрования IKE Phase 1. Пример: 3des |
| phase1_hash_algorithm строка | изменено | Новый алгоритм аутентификации IKE Phase 1. Пример: sha256 |
| phase1_key строка | изменено | Новые учетные данные ключа IKE Phase 1. Пример: /Common/cert1.key |
| phase1_perfect_forward_secrecy строка | изменено | Новая реализация Perfect Forward Secrecy IKE Phase 1. Пример: modp1024 |
| phase1_verify_peer_cert булево | изменено | Новое значение проверки сертификата удаленного узла IKE Phase 1. Пример: True |
| presented_id_type строка | изменено | Новое значение типа представленного идентификатора для ресурса. Пример: address |
| presented_id_value строка | изменено | Новое значение представленного идентификатора для типа представленного идентификатора. Пример: 1.2.3.1 |
| remote_address строка | изменено | Новое значение удаленного адреса для ресурса. Пример: 1.2.2.1 |
| verified_id_type строка | изменено | Новое значение типа проверенного идентификатора для ресурса. Пример: address |
| verified_id_value строка | изменено | Новое значение проверенного идентификатора для типа проверенного идентификатора. Пример: 1.2.3.1 |
| version список / элементы=строка | изменено | Новый список версий IKE. Пример: ['v1', 'v2'] |
Авторы
- Tim Rupp (@caphrim007)
- Wojciech Wypior (@wojtek0806)
© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/f5networks/f5_modules/bigip_ike_peer_module.html
