check_point.mgmt.cp_mgmt_set_global_properties 模块 – 编辑全局属性。

注意

此模块是 check_point.mgmt 集合 (版本 6.2.1) 的一部分。

如果您使用的是 ansible 软件包，则可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用： ansible-galaxy collection install check_point.mgmt。

要在剧本中使用它，请指定： check_point.mgmt.cp_mgmt_set_global_properties。

check_point.mgmt 3.0.0 中的新增功能

概要

• 编辑全局属性。

• 所有操作都是通过 Web 服务 API 执行的。

参数

参数	注释
advanced_conf 字典	配置高级全局属性。强烈建议在修改这些值之前咨询 Check Point 的技术支持。
certs_and_pki 字典	配置证书和 PKI 属性。
cert_validation_enforce_key_size 字符串	在证书验证中强制执行密钥长度（仅限 R80+ 网关）。 选项 "off" "alert" "fail"
host_certs_ecdsa_key_size 字符串	选择主机证书 ECDSA 的密钥大小。 选项 "p-256" "p-384" "p-521"
host_certs_key_size 字符串	选择主机证书的密钥大小。 选项 "4096" "1024" "2048"
allow_remote_registration_of_opsec_products 布尔值	安装 OPSEC 应用程序后，远程管理 (RA) 实用程序使 OPSEC 产品能够完成自身注册，而无需访问 SmartConsole。如果设置为 true，则包括应用程序主机在内的任何主机都可以运行该实用程序。否则，只能从安全管理主机运行 RA 实用程序。 选项 false true
authentication 字典	定义对所有用户以及 Check Point 安全网关请求密码的各种方式（用户、客户端和会话身份验证）都通用的身份验证属性。
allowed_suffix_for_internal_users 字符串	内部用户身份验证的后缀。
auth_internal_users_with_specific_suffix 布尔值	强制执行内部用户身份验证的后缀。 选项 false true
delay_each_auth_attempt_by 整数	将每次身份验证尝试延迟指定的毫秒数。此字段可以输入 1 到 25000 之间的任何值。
enable_delayed_auth 布尔值	除基于证书的身份验证之外的所有身份验证都将延迟指定的时间。应用此延迟将阻止暴力破解身份验证攻击。延迟适用于失败和成功的身份验证尝试。 选项 false true
max_client_auth_attempts_before_connection_termination 整数	会话终止前允许的客户端身份验证失败尝试次数。此字段可以输入 1 到 800 次尝试之间的任何值。
max_days_before_expiration_of_non_pulled_user_certificates 整数	已启动但未提取的用户证书将在指定天数后过期。此字段可以输入 1 到 60 天之间的任何值。
max_rlogin_attempts_before_connection_termination 整数	会话终止前允许的 rlogin 失败尝试次数。此字段可以输入 1 到 800 次尝试之间的任何值。
max_session_auth_attempts_before_connection_termination 整数	会话终止前允许的会话身份验证失败尝试次数。此字段可以输入 1 到 800 次尝试之间的任何值。
max_telnet_attempts_before_connection_termination 整数	会话终止前允许的 telnet 失败尝试次数。此字段可以输入 1 到 800 次尝试之间的任何值。
auto_publish_session 布尔值	如果任务完成后进行了更改，则发布当前会话。 选项 false ← (默认) true
carrier_security 字典	指定系统范围的属性。选择 GTP 内隧道检查选项，包括反欺骗；跟踪和日志记录选项以及完整性测试。
aggressive_aging 布尔值	如果为 true，则启用配置激进老化阈值和超时值。 选项 false true
aggressive_timeout 整数	激进超时。仅当 aggressive-aging 为 true 时可用。
allow_ggsn_replies_from_multiple_interfaces 布尔值	允许来自与发送请求的 IP 地址不同的 IP 地址的 GTP 信令回复（仅适用于低于 R80 的网关）。 选项 false true
block_gtp_in_gtp 布尔值	防止 GTP 数据包封装在 GTP 隧道内。选中此选项后，此类数据包将被丢弃并记录。 选项 false true
enable_g_pdu_seq_number_check_with_max_deviation 布尔值	如果设置为 false，则不强制执行序列检查，并且将接受所有乱序 G-PDU。 为了提高性能，请禁用此扩展完整性测试。 选项 false true
enable_reverse_connections 布尔值	允许运营商安全网关接受从 GGSN 发送到 SGSN 的 PDU，在先前建立的 PDP 上下文中，即使这些 PDU 是通过与已建立的 PDP 上下文的端口不匹配的端口发送的。 选项 false true
enforce_gtp_anti_spoofing 布尔值	验证 G-PDU 是否使用在 PDP 上下文激活过程中已商定的最终用户 IP 地址。选中此选项后，不使用此 IP 地址的数据包将被丢弃并记录。 选项 false true
g_pdu_seq_number_check_max_deviation 整数	指定只有当G-PDU的序列号与预期序列号的差小于或等于允许的偏差时才接受该G-PDU。 仅当enable-g-pdu-seq-number-check-with-max-deviation为true时可用。
gtp_signaling_rate_limit_sampling_interval 整数	与GSN网络对象“载波安全”窗口中找到的“强制执行GTP信令分组速率限制”属性相关联。例如，如果速率限制采样间隔默认为1秒，并且网络对象强制执行默认的每秒2048个PDU的GTP信令分组速率限制，则每秒将进行一次采样，或者在两次连续采样之间会有2048个信令PDU。
memory_activation_threshold 整数	内存激活阈值。仅当aggressive-aging为true时可用。
memory_deactivation_threshold 整数	内存停用阈值。仅当aggressive-aging为true时可用。
one_gtp_echo_on_each_path_frequency 整数	设置每个配置的时间段内每个路径允许的GTP回显交换次数。超过此速率的回显请求将被丢弃并记录。将值设置为0将禁用此功能，并允许在任何间隔内每个路径无限数量的回显请求。
produce_extended_logs_on_unmatched_pdus 布尔值	使用载波安全的扩展GTP相关日志字段记录以前规则未匹配的GTP分组。这些日志为棕色，其“操作”属性为空。默认设置已选中。 选项 false true
produce_extended_logs_on_unmatched_pdus_position 字符串	选择将此隐式规则放置在“最后之前”或作为“最后”规则。 仅当produce-extended-logs-on-unmatched-pdus为true时可用。 选项 "before last" "last"
protocol_violation_track_option 字符串	检测到协议违规（格式错误的分组）时，设置要使用的适当跟踪或警报选项。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
tunnel_activation_threshold 整数	隧道激活阈值。仅当aggressive-aging为true时可用。
tunnel_deactivation_threshold 整数	隧道停用阈值。仅当aggressive-aging为true时可用。
verify_flow_labels 布尔值	查看每个分组的流标签是否与GTP信令定义的流标签匹配。此选项仅与GTP版本0相关。 为了提高性能，请禁用此扩展完整性测试。 选项 false true
connect_control 字典	配置与ConnectControl服务器负载均衡相关的设置。
load_agents_port 整数	设置负载测量代理与ConnectControl通信的端口号。
load_measurement_interval 整数	设置负载测量代理向ConnectControl报告其负载状态的频率（以秒为单位）。
persistence_server_timeout 整数	设置客户端一旦定向到特定服务器后，将继续定向到同一服务器的时间量（以秒为单位）。
server_availability_check_interval 整数	设置ConnectControl检查负载均衡服务器是否正在运行并响应服务请求的频率（以秒为单位）。
server_check_retries 整数	设置ConnectControl在停止向服务器定向流量之前尝试联系服务器的次数。
data_access_control 字典	配置从Check Point自动下载并匿名共享产品数据。此处选择的选项适用于此管理服务器管理的所有安全网关、集群和VSX设备。
auto_download_important_data 布尔值	自动下载并安装软件刀片合同、安全更新和其他重要数据（强烈推荐）。 选项 false true
auto_download_sw_updates_and_new_features 布尔值	自动下载软件更新和新功能（强烈推荐）。 仅当auto-download-important-data设置为true时可用。 选项 false true
send_anonymous_info 布尔值	通过发送匿名信息帮助Check Point改进产品。 选项 false true
share_sensitive_info 布尔值	批准共享核心转储文件和其他相关的崩溃数据，这些数据可能包含个人信息。所有共享数据将根据Check Point的隐私政策进行处理。 仅当send-anonymous-info设置为true时可用。 选项 false true
details_level 字符串	响应中某些字段的详细程度可以从仅显示对象的UID值到对象的完整详细表示形式不等。 选项 "uid" "standard" "full"
domains_to_process list / elements=string	指示要在此处处理命令的域。它不能与details-level full一起使用，必须仅从系统域运行并且ignore-warnings为true。有效值为CURRENT_DOMAIN、ALL_DOMAINS_ON_THIS_SERVER。
firewall 字典	向防火墙规则库添加隐式规则或从中删除隐式规则。确定规则库中隐式规则的位置，以及是否记录它们。
accept_control_connections 布尔值	用于：       将安全策略从安全管理服务器安装到网关。       将日志从网关发送到安全管理服务器。       SmartConsole客户端与安全管理服务器之间的通信       不同机器（安全管理服务器、安全网关）上的防火墙守护进程之间的通信。       连接到OPSEC应用程序，例如RADIUS和TACACS身份验证服务器。 如果禁用“接受控制连接”，并且希望Check Point组件彼此之间以及与OPSEC组件通信，则必须在规则库中显式允许这些连接。 选项 false true
accept_domain_name_over_tcp 布尔值	接受通过TCP的域名（DNS）查询和回复，以允许下载用于服务器之间区域传输的域名解析表。对于客户端，只有在要传输的表非常大的情况下才使用TCP上的DNS。 选项 false true
accept_domain_name_over_tcp_position 字符串	规则库中隐式规则的位置。 仅当accept-domain-name-over-tcp为true时可用。 选项 "first" "last" "before last"
accept_domain_name_over_udp 布尔值	接受通过UDP的域名（DNS）查询和回复。 选项 false true
accept_domain_name_over_udp_position 字符串	规则库中隐式规则的位置。 仅当accept-domain-name-over-udp为true时可用。 选项 "first" "last" "before last"
accept_dynamic_addr_modules_outgoing_internet_connections 布尔值	接受动态地址模块的传出Internet连接。接受DAIP（动态分配IP地址）网关的DHCP流量。在小型办公设备网关中，此规则允许传出的DHCP、PPP、PPTP和L2TP Internet连接（无论它是否是DAIP网关）。 选项 false true
accept_icmp_requests 布尔值	接受互联网控制消息协议消息。 选项 false true
accept_icmp_requests_position 字符串	规则库中隐式规则的位置。 仅当accept-icmp-requests为true时可用。 选项 "first" "last" "before last"
accept_identity_awareness_control_connections 布尔值	接受身份感知的分布式环境配置中安全网关之间的流量。 选项 false true
accept_identity_awareness_control_connections_position 字符串	规则库中隐式规则的位置。 仅当accept-identity-awareness-control-connections为true时可用。 选项 "first" "last" "before last"
accept_incoming_traffic_to_dhcp_and_dns_services_of_gws 布尔值	允许小型办公设备网关提供DHCP中继、DHCP服务器和DNS代理服务，而不管规则库如何。 选项 false true
accept_ips1_management_connections 布尔值	接受IPS-1连接。 仅当accept-control-connections为true时可用。 选项 false true
accept_outgoing_packets_originating_from_connectra_gw 布尔值	接受来自Connectra网关的传出数据包。 仅当accept-outgoing-packets-originating-from-gw为false时可用。 选项 false true
accept_outgoing_packets_originating_from_gw 布尔值	接受来自在Check Point安全网关处发起的连接的所有数据包。 选项 false true
accept_outgoing_packets_originating_from_gw_position 字符串	规则库中隐式规则的位置。 仅当accept-outgoing-packets-originating-from-gw为false时可用。 选项 "first" "last" "before last"
accept_outgoing_packets_to_cp_online_services 布尔值	允许安全网关访问Check Point在线服务。支持R80.10网关及更高版本。 仅当accept-outgoing-packets-originating-from-gw为false时可用。 选项 false true
accept_outgoing_packets_to_cp_online_services_position 字符串	规则库中隐式规则的位置。 仅当accept-outgoing-packets-to-cp-online-services为true时可用。 选项 "first" "last" "before last"
accept_remote_access_control_connections 布尔值	接受远程访问连接。 仅当accept-control-connections为true时可用。 选项 false true
accept_rip 布尔值	接受路由信息协议（RIP），使用UDP端口520。 选项 false true
accept_rip_position 字符串	规则库中隐式规则的位置。 仅当accept-rip为true时可用。 选项 "first" "last" "before last"
accept_smart_update_connections 布尔值	接受SmartUpdate连接。 选项 false true
accept_vrrp_packets_originating_from_cluster_members 布尔值	选择此选项会在安全策略规则库中创建一个隐式规则，该规则接受来自集群成员的VRRP入站和出站流量。 选项 false true
accept_web_and_ssh_connections_for_gw_administration 布尔值	接受小型办公设备网关的Web和SSH连接。 选项 false true
log_implied_rules 布尔值	为与从本窗口中定义的属性在规则库中生成的隐式规则匹配的通信生成日志记录。 选项 false true
security_server 字典	控制用户登录到Check Point安全网关后面的服务器时将看到的欢迎消息。
client_auth_welcome_file 字符串	客户端身份验证欢迎文件是包含内容的文件的名称，当用户使用手动登录方法开始客户端身份验证会话（可选）时，将显示这些内容。由手动登录启动的客户端身份验证会话不受安全服务器调解。
ftp_welcome_msg_file 字符串	FTP欢迎消息文件是包含内容的文件的名称，当用户开始经过身份验证的FTP会话时，将显示这些内容。
http_next_proxy_host 字符串	HTTP下一个代理主机是Check Point安全网关HTTP安全服务器（如果有）后面的HTTP代理的主机名。更改HTTP下一个代理字段将在安全网关数据库下载到身份验证网关后或重新安装安全策略后生效。 这些设置仅适用于NG之前的防火墙网关。对于更高版本，应在“节点属性”窗口中定义这些设置。
http_next_proxy_port 整数	HTTP下一个代理端口是Check Point安全网关HTTP安全服务器（如果有）后面的HTTP代理的端口。更改HTTP下一个代理字段将在安全网关数据库下载到身份验证网关后或重新安装安全策略后生效。 这些设置仅适用于NG之前的防火墙网关。对于更高版本，应在“节点属性”窗口中定义这些设置。
http_servers list / elements=dictionary	此列表指定HTTP服务器。定义HTTP服务器允许您限制传入HTTP。
host 字符串	HTTP服务器的主机名。
logical_name 字符串	HTTP服务器的唯一逻辑名称。
port 整数	HTTP服务器的端口号。
reauthentication 字符串	指定用户在访问特定服务器时是否必须重新进行身份验证。 选项 "standard" "post request" "every request"
mdq_welcome_msg 字符串	MDQ欢迎消息是在用户开始MDQ会话时要显示的消息。MDQ欢迎消息应包含符合RFC 1035的字符，并且必须遵循ARPANET主机名规则， - 此消息必须以数字或字母开头。第一个字母或数字字符之后，其余字符可以是字母、数字、空格、制表符或连字符。 - 此消息不能以空格或制表符结尾，并且限制为63个字符。
rlogin_welcome_msg_file 字符串	Rlogin欢迎消息文件是包含内容的文件的名称，当用户开始经过身份验证的RLOGIN会话时，将显示这些内容。
server_for_null_requests 字符串	来自http-servers的空请求服务器的逻辑名称。
smtp_welcome_msg 字符串	SMTP 欢迎消息是在用户开始 SMTP 会话时显示的消息。
telnet_welcome_msg_file 字符串	Telnet 欢迎消息文件是包含在用户开始已认证 Telnet 会话时显示内容的文件名。
hit_count 字典	启用命中计数功能，该功能跟踪每个规则匹配的连接数。
enable_hit_count 布尔值	选择启用或清除禁用所有安全网关以监控每个规则匹配的连接数。 选项 false true
keep_hit_count_data_up_to 字符串	选择一个时间范围选项。数据将在此期间保存在安全管理服务器数据库中，并在“命中”列中显示。 选项 "3 个月" "6 个月" "1 年" "2 年"
ignore_errors 布尔值	忽略错误应用更改。您将无法发布此类更改。如果忽略警告标志被忽略，警告也将被忽略。 选项 false true
ignore_warnings 布尔值	忽略警告应用更改。 选项 false true
log_and_alert 字典	定义系统范围的日志记录和警报参数。
administrative_notifications 字符串	管理通知指定在发生管理事件（例如，证书即将过期）时要采取的操作。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
alerts 字典	定义警报日志的行为和用于系统警报日志的警报类型。
default_track_option_for_system_alerts 字符串	设置系统警报的默认跟踪选项。 选项 "弹出 窗口警报" "邮件 警报" "SNMP 陷阱 警报" "用户 自定义 警报 1" "用户 自定义 警报 2" "用户 自定义 警报 3"
mail_alert_script 字符串	运行邮件警报脚本，当将“邮件”指定为规则中的跟踪时要执行的操作系统脚本。默认为 internal_sendmail，它不是脚本，而是内部安全网关命令。
popup_alert_script 字符串	运行弹出窗口警报脚本，发出警报时要执行的操作系统脚本。例如，设置另一种通知形式，例如电子邮件或用户定义的命令。
send_mail_alert_to_smartview_monitor 布尔值	向 SmartView Monitor 发送邮件警报，发出邮件警报时，也会将其发送到 SmartView Monitor。 选项 false true
send_popup_alert_to_smartview_monitor 布尔值	向 SmartView Monitor 发送弹出窗口警报，发出警报时，也会将其发送到 SmartView Monitor。 选项 false true
send_snmp_trap_alert_to_smartview_monitor 布尔值	向 SmartView Monitor 发送 SNMP 陷阱警报，发出 SNMP 陷阱警报时，也会将其发送到 SmartView Monitor。 选项 false true
send_user_defined_alert_num1_to_smartview_monitor 布尔值	向 SmartView Monitor 发送用户自定义警报 1，发出警报时，也会将其发送到 SmartView Monitor。 选项 false true
send_user_defined_alert_num2_to_smartview_monitor 布尔值	向 SmartView Monitor 发送用户自定义警报 2，发出警报时，也会将其发送到 SmartView Monitor。 选项 false true
send_user_defined_alert_num3_to_smartview_monitor 布尔值	向 SmartView Monitor 发送用户自定义警报 3，发出警报时，也会将其发送到 SmartView Monitor。 选项 false true
snmp_trap_alert_script 字符串	运行 SNMP 陷阱警报脚本命令，当将“SNMP 陷阱”指定为规则中的跟踪时要执行的命令。默认情况下使用 internal_snmp_trap。此命令由 fwd 进程执行。
user_defined_script_num1 字符串	运行用户定义的脚本，当将“用户定义”指定为规则中的跟踪时，或当选择“用户定义警报 1”作为跟踪选项时要运行的操作系统脚本。
user_defined_script_num2 字符串	运行用户定义的脚本 2，当将“用户定义”指定为规则中的跟踪时，或当选择“用户定义警报 2”作为跟踪选项时要运行的操作系统脚本。
user_defined_script_num3 字符串	运行用户定义的脚本 3，当将“用户定义”指定为规则中的跟踪时，或当选择“用户定义警报 3”作为跟踪选项时要运行的操作系统脚本。
connection_matched_by_sam 字符串	由 SAM 匹配的连接指定当连接被 SAM（可疑活动监控）阻止时要采取的操作。 选项 "弹出 窗口警报" "邮件 警报" "SNMP 陷阱 警报" "用户 自定义 警报 1" "用户 自定义 警报 2" "用户 自定义 警报 3"
dynamic_object_resolution_failure 字符串	动态对象解析失败指定在无法解析动态对象时要采取的操作。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
ip_options_drop 字符串	IP 选项丢弃指定遇到包含 IP 选项的数据包时要采取的操作。Check Point 安全网关始终丢弃这些数据包，但您可以记录它们或发出警报。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
log_every_authenticated_http_connection 布尔值	记录每个已认证的 HTTP 连接指定应为每个已认证的 HTTP 连接生成日志条目。 选项 false true
log_traffic 字符串	记录流量指定是否记录流量。 选项 "none" "log"
packet_is_incorrectly_tagged 字符串	数据包标记不正确。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
packet_tagging_brute_force_attack 字符串	数据包标记暴力攻击。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
sla_violation 字符串	SLA 违规指定在发生 SLA 违规时要采取的操作，如“虚拟链接”窗口中定义的那样。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
time_settings 字典	配置与系统范围的日志记录和警报参数关联的时间设置。
excessive_log_grace_period 整数	指定连续记录相似数据包之间的最短时间（以秒为单位）。如果两个数据包具有相同的源地址、源端口、目标地址和目标端口；并且使用了相同的协议，则认为它们是相似的。在第一个数据包之后，在宽限期内遇到的相似数据包将根据安全策略进行处理，但只有第一个数据包会生成日志条目或警报。在此字段中可以输入 0 到 90 秒之间的任何值。 注意：此选项仅适用于具有日志记录的 DROP 规则。
logs_resolving_timeout 整数	指定在显示日志页面而不解析名称并仅显示 IP 地址之后的时间量（以秒为单位）。在此字段中可以输入 0 到 90 秒之间的任何值。
status_fetching_interval 整数	指定安全管理服务器查询 Check Point 安全网关、Check Point QoS 及其管理的其他网关以获取状态信息的频率。在此字段中可以输入 30 到 900 秒之间的任何值。
virtual_link_statistics_logging_interval 整数	指定记录虚拟链接统计信息的频率（以秒为单位）。此参数仅与在虚拟链接窗口的“SLA 参数”选项卡中启用了 SmartView Monitor 统计信息的虚拟链接相关。在此字段中可以输入 60 到 3600 秒之间的任何值。
vpn_conf_and_key_exchange_errors 字符串	VPN 配置和密钥交换错误指定在记录配置或密钥交换错误时要采取的操作，例如，当尝试与同一加密域内的网络对象建立加密通信时。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
vpn_packet_handling_error 字符串	VPN 数据包处理错误指定在发生加密或解密错误时要采取的操作。日志条目包含执行的操作（丢弃或拒绝）以及错误原因的简短说明，例如方案或方法不匹配。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
vpn_successful_key_exchange 字符串	VPN 成功密钥交换指定成功交换 VPN 密钥时要采取的操作。 选项 "none" "log" "popup alert" "mail alert" "snmp trap alert" "user defined alert no.1" "user defined alert no.2" "user defined alert no.3"
nat 字典	配置适用于所有 NAT 连接的设置。
addr_alloc_and_release_track 字符串	指定是否记录从 IP 池分配和释放每个 IP 地址。 仅当 enable-ip-pool-nat 为 true 时可用。 选项 "ip 分配 日志" "none"
addr_exhaustion_track 字符串	指定如果 IP 池耗尽要采取的操作。 仅当 enable-ip-pool-nat 为 true 时可用。 选项 "ip 耗尽 警报" "none" "ip 耗尽 日志"
allow_bi_directional_nat 布尔值	适用于 NAT 规则库中的自动 NAT 规则，并允许两个自动 NAT 规则匹配连接。如果没有双向 NAT，则只有一个自动 NAT 规则可以匹配连接。 选项 false true
auto_arp_conf 布尔值	确保 Check Point 安全网关可以响应针对已转换（NATed）的机器、网络或地址范围的 ARP 请求。 选项 false true
auto_translate_dest_on_client_side 布尔值	适用于源自客户端，目标为服务器的数据包。服务器的静态 NAT 在客户端执行。 选项 false true
enable_ip_pool_nat 布尔值	适用于源自客户端，目标为服务器的数据包。服务器的静态 NAT 在客户端执行。 选项 false true
manually_translate_dest_on_client_side 布尔值	适用于源自客户端，目标为服务器的数据包。服务器的静态 NAT 在客户端执行。 选项 false true
merge_manual_proxy_arp_conf 布尔值	合并自动和手动 ARP 配置。手动静态 NAT 规则需要手动代理 ARP 配置。 仅当 auto-arp-conf 为 true 时可用。 选项 false true
non_unique_ip_address_ranges list / elements=dictionary	指定非唯一 IP 地址范围。
address_type 字符串	IP 地址的类型。 选项 "IPv4" "IPv6"
first_ipv4_address 字符串	范围内的第一个 IPV4 地址。
first_ipv6_address 字符串	范围内的第一个 IPV6 地址。
last_ipv4_address 字符串	范围内的最后一个 IPV4 地址。
last_ipv6_address 字符串	范围内的最后一个 IPV6 地址。
num_spoofing_errs_that_trigger_brute_force 整数	指示在假定对数据包标记进行攻击并撤销客户端密钥之前，将容忍多少个签名不正确的数据包。
proxy 字典	选择当服务器、网关或客户端需要访问互联网以获得某些 Check Point 功能时是否使用代理服务器，并设置将使用的默认代理服务器。
proxy_address 字符串	指定代理服务器的 URL 或 IP 地址。 仅当 use-proxy-server 设置为 true 时可用。
proxy_port 整数	指定访问服务器的端口。 仅当 use-proxy-server 设置为 true 时可用。
use_proxy_server 布尔值	如果设置为 true，则当功能需要访问互联网时使用代理服务器。 选项 false true
qos 字典	定义服务质量 (QoS) 的常规参数并将其应用于 QoS 规则。
authenticated_ip_expiration 整数	定义 QoS 的身份验证超时。此超时以分钟为单位设置。在已验证的 IP 中，在指定的时间限制内打开的所有连接都将保证带宽，但在时间限制后将不保证带宽。
default_weight_of_rule 整数	定义将保证带宽的权重。为规则设置默认权重。 注意：值将仅应用于新规则。
max_weight_of_rule 整数	定义将保证带宽的权重。为规则设置最大权重。
non_authenticated_ip_expiration 整数	定义 QoS 的身份验证超时。此超时以分钟为单位设置。
unanswered_queried_ip_expiration 整数	定义 QoS 的身份验证超时。此超时以分钟为单位设置。
unit_of_measure 字符串	定义将保证带宽的数据包传输速率。设置度量单位。 选项 "比特/秒" "字节/秒" "千比特/秒" "千字节/秒" "兆比特/秒" "兆字节/秒"
remote_access 字典	配置远程访问属性。
enable_back_connections 布尔值	通常，必须由客户端启动与远程客户端的通信。但是，一旦客户端打开连接，VPN 后面的主机就可以向客户端打开返回或反向连接。对于反向连接，必须在客户端和网关之间的所有设备以及网关本身维护客户端的详细信息。确定是否启用了反向连接。 选项 false true
encrypt_dns_traffic 布尔值	您可以决定是否将远程客户端发送到公司局域网上的 DNS 服务器的 DNS 查询通过 VPN 隧道传输。如果客户端需要在连接到组织但未使用 SecuRemote 客户端时向公司局域网上的 DNS 服务器发出 DNS 查询，请禁用此选项。 选项 false true
endpoint_connect 字典	配置 Endpoint Connect 的全局设置。这些设置适用于所有网关。
cache_password_timeout 整数	缓存密码超时时间（分钟）。
client_upgrade_mode 字符串	选择一个选项来确定客户端如何升级。 选项 “强制升级” “询问用户” “不升级”
connect_mode 字符串	启动与网关连接的方法。 手动 - VPN 连接不会自动启动。 始终连接 - 在以下情况下，Endpoint Connect 将自动建立与上次连接的网关的连接：（a）设备具有有效的 IP 地址；（b）设备从低功耗状态或软重置“唤醒”时；或 (c) 导致设备自动断开连接的条件不再存在（例如，设备超出 PC 同步范围，断开连接时未处于空闲状态）。 在端点客户端配置 - 通过端点客户端确定用于启动与网关连接的方法。 选项 “手动” “始终连接” “在端点客户端配置”
disconnect_when_conn_to_network_is_lost 字符串	启用此功能会在网络连接丢失时将用户与网关断开连接。 选项 “由客户端决定” “真” “假”
disconnect_when_device_is_idle 字符串	启用此功能会在定义的时间段内未发送任何流量时将用户与网关断开连接。 选项 “由客户端决定” “真” “假”
enable_password_caching 字符串	如果输入的用于身份验证的密码保存在用户的本地机器上。 选项 “由客户端决定” “真” “假”
network_location_awareness 字符串	广泛影响，也适用于 Check Point GO 客户端！ Endpoint Connect 智能地检测它是在 VPN 域（企业局域网）内部还是外部，并根据需要自动连接或断开连接。选择“真”并编辑 network-location-awareness-conf 以配置此功能。 选项 “由客户端决定” “真” “假”
network_location_awareness_conf 字典	配置客户端如何确定其相对于内部网络的位置。
consider_undefined_dns_suffixes_as_external 布尔值	通过创建已知为外部的 DNS 后缀列表，可以提高将位置分类为内部或外部的速度。启用此选项可以定义不会被视为外部的 DNS 后缀。 选项 false true
consider_wireless_networks_as_external 布尔值	通过创建已知为外部的无线网络列表，可以提高将位置分类为内部或外部的速度。无线网络由其服务集标识符 (SSID) 标识，SSID 是用于标识特定 802.11 无线局域网的名称。 选项 false true
dns_suffixes list / elements=string	此处未定义的 DNS 后缀将被视为外部。如果此列表为空，则 consider-undefined-dns-suffixes-as-external 将自动设置为 false。 仅当 consider-undefined-dns-suffixes-as-external 设置为 true 时才可用。
excluded_internal_wireless_networks list / elements=string	排除指定的内部网络名称 (SSID)。 仅当 consider-wireless-networks-as-external 设置为 true 时才可用。
network_or_group_of_conn_vpn_client 字符串	VPN 客户端连接到的网络或组的名称或 UID。 仅当 vpn-clients-are-considered-inside-the-internal-network-when-the-client 设置为“从网络或组连接”时才可用。
remember_previously_detected_external_networks 布尔值	通过缓存（在客户端）先前确定为外部的网络名称，可以提高将位置分类为内部或外部的速度。 选项 false true
vpn_clients_are_considered_inside_the_internal_network_when_the_client 字符串	当 VPN 客户端位于内部网络中时，内部资源可用，并且应断开 VPN 隧道连接。确定何时将 VPN 客户端视为位于内部网络中。 通过内部接口连接到网关 - 客户端通过其一个内部接口连接到网关（推荐）。 从网络或组连接 - 客户端从 network-or-group-of-conn-vpn-client 中指定的网络或组连接。 在具有 Active Directory 域访问权限的计算机上运行 - 客户端在可以访问其 Active Directory 域的计算机上运行。 注意，当 VPN 客户端不再位于内部网络中并且客户端设置为“始终连接”模式时，VPN 隧道将自动恢复。 选项 “通过内部接口连接到网关” “从网络或组连接” “在具有 Active Directory 域访问权限的计算机上运行”
re_auth_user_interval 整数	重新向网关发送用户的凭据以验证授权的时间长度（分钟）。
route_all_traffic_to_gw 字符串	在集线器模式下操作客户端，将所有流量发送到 VPN 服务器进行路由、过滤和处理。 选项 “由客户端决定” “真” “假”
hot_spot_and_hotel_registration 字典	配置无线热点和酒店互联网接入注册的设置。
enable_registration 布尔值	为了配置设置，请将“启用注册”设置为 true。为了取消注册（以下配置将不可用），请将“启用注册”设置为 false。启用此功能后，您有几分钟时间完成注册。 选项 false true
local_subnets_access_only 布尔值	仅限本地子网访问。 选项 false true
max_ip_access_during_registration 整数	注册期间允许访问的地址最大数量。
ports list / elements=string	注册期间要打开的端口（最多 10 个端口）。
registration_timeout 整数	完成注册的最长时间（秒）。
track_log 布尔值	跟踪日志。 选项 false true
keep_alive_packet_to_gw_interval 整数	通常，必须由客户端初始化与远程客户端的通信。但是，一旦客户端打开连接，VPN 后面的主机就可以向客户端打开返回连接或回程连接。对于回程连接，必须在客户端和网关之间的所有设备以及网关本身上维护客户端的详细信息。确定客户端发送的保持活动数据包的频率（秒），以便保持与网关的连接。 仅当 enable-back-connections 为 true 时才可用。
scv 字典	定义安全配置验证过程的属性。
apply_scv_on_simplified_mode_fw_policies 布尔值	确定网关是否验证远程访问客户端是否已安全配置。仅当安全策略在简化模式下定义时才在此处设置。如果安全策略在传统模式下定义，则每个规则都会进行验证。 选项 false true
exceptions list / elements=dictionary	指定即使未验证客户端，也可以使用所选服务访问的主机。 仅当 apply-scv-on-simplified-mode-fw-policies 为 true 时才可用。
hosts list / elements=string	指定要从 SCV 中排除的主机。
services list / elements=string	指定要访问的服务。
generate_log 布尔值	如果客户端识别到安全配置已被违反，请选择是否由远程访问客户端生成日志并将其发送到安全管理服务器。 选项 false true
no_scv_for_unsupported_cp_clients 布尔值	不要对来自不支持它的 Check Point VPN 客户端（例如 SSL 网络扩展器、GO、Capsule VPN/Connect、低于 R75 的 Endpoint Connect 或 L2TP 客户端）的连接应用安全配置验证。 仅当 apply-scv-on-simplified-mode-fw-policies 为 true 时才可用。 选项 false true
notify_user 布尔值	如果客户端识别到安全配置已被违反，请选择是否应通知用户。 选项 false true
only_tcp_ip_protocols_are_used 布尔值	大多数 SCV 检查都是通过 SCV 策略配置的。指定是否要验证是否仅使用 TCP/IP 协议。 选项 false true
policy_installed_on_all_interfaces 布尔值	大多数 SCV 检查都是通过 SCV 策略配置的。指定是否要验证桌面安全策略是否已安装在客户端的所有接口上。 选项 false true
upon_verification_accept_and_log_client_connection 布尔值	如果网关验证了客户端的配置，请决定网关应如何处理未能通过安全配置验证的客户端的连接。可以丢弃连接或接受连接并记录它。 选项 false true
secure_client_mobile 字典	定义 SecureClient Mobile 的属性。
automatically_initiate_dialup 字符串	选中后，客户端将在尝试建立 VPN 连接之前启动 GPRS 拨号连接。请注意，如果通过另一个网络接口已提供本地 IP 地址，则不会启动 GPRS 拨号。 选项 “由客户端决定” “真” “假”
cache_password_timeout 整数	缓存密码超时时间（分钟）。
connect_mode 字符串	启动与网关连接的方法。 在端点客户端配置 - 通过端点客户端确定用于启动与网关连接的方法 手动 - VPN 连接不会自动启动。 始终连接 - 在以下情况下，SecureClient Mobile 将自动建立与上次连接的网关的连接：（a）设备具有有效的 IP 地址；（b）设备从低功耗状态或软重置“唤醒”时；或 (c) 导致设备自动断开连接的条件不再存在（例如，设备超出 PC 同步范围，断开连接时未处于空闲状态）。 根据应用程序请求 - 需要通过 VPN 访问资源的应用程序将能够启动 VPN 连接。 选项 “手动” “始终连接” “根据应用程序请求” “在端点客户端配置”
disconnect_when_device_is_idle 字符串	启用此功能会在定义的时间段内未发送任何流量时将用户与网关断开连接。 选项 “由客户端决定” “真” “假”
enable_password_caching 字符串	如果输入的用于身份验证的密码保存在用户的本地机器上。 选项 “由客户端决定” “真” “假”
re_auth_user_interval 整数	广泛影响，也适用于 SSL 网络扩展器客户端！ 重新向网关发送用户的凭据以验证授权的时间长度（分钟）。
route_all_traffic_to_gw 字符串	在集线器模式下操作客户端，将所有流量发送到 VPN 服务器进行路由、过滤和处理。 选项 “由客户端决定” “真” “假”
supported_encryption_methods 字符串	广泛影响，也适用于 SSL 网络扩展器客户端！ 选择将与远程用户支持的加密算法。 选项 “3des_or_rc4” “3des_only”
user_auth_method 字符串	广泛影响，也适用于 SSL 网络扩展器客户端和 Check Point GO 客户端。 网关将如何对用户进行身份验证。 选项 “带注册的证书” “证书” “混合” “旧版”
simultaneous_login_mode 字符串	选择同时登录模式。 选项 “仅允许单个用户登录” “允许多个用户登录”
ssl_network_extender 字典	定义 SSL 网络扩展器用户的属性。
client_outgoing_keep_alive_packets_frequency 整数	选择发送保持活动数据包的时间间隔。
client_uninstall_upon_disconnection 字符串	选择客户端是否应在与网关断开连接时自动卸载 SSL 网络扩展器。 选项 “强制卸载” “询问用户” “不卸载”
客户端连接升级 字符串	当客户端使用SSL网络扩展器连接到网关时，客户端会自动检查升级。选择客户端是否应自动升级。 选项 “强制升级” “询问用户” “不升级”
re_auth_user_interval 整数	广泛影响，适用于SecureClient Mobile！ 选择用户需要重新身份验证的时间间隔。
扫描端点设备以检查是否符合端点合规性策略 布尔值	如果要扫描端点设备以检查是否符合端点合规性策略，则设置为true。 选项 false true
supported_encryption_methods 字符串	广泛影响，也适用于SecureClient Mobile设备！ 选择将为远程用户支持的加密算法。此处所做的更改也将应用于所有SSL客户端。 选项 “3des_or_rc4” “3des_only”
user_auth_method 字符串	广泛影响，也适用于SecureClient Mobile设备和Check Point GO客户端！ 用户身份验证方法指示用户将如何被网关验证。此处所做的更改也将应用于SSL客户端。 传统 - 仅用户名和密码。 证书 - 仅具有现有证书的证书。 带注册的证书 - 允许您获取新证书，然后仅使用证书身份验证。 混合 - 可以使用用户名和密码或证书。 选项 “带注册的证书” “证书” “混合” “旧版”
VPN高级设置 字典	配置远程访问客户端的加密方法和接口解析。
断开连接时允许向加密域发送明文流量 布尔值	远程访问VPN客户端未连接到站点时SecuRemote/SecureClient的行为 - 处理VPN域流量的方式。流量可以被丢弃或以明文方式发送，无需加密。 选项 false true
启用多入口点配置的负载均衡 布尔值	多入口点配置的负载均衡 - 远程访问客户端将从入口点列表中随机选择一个网关。确保为要作为入口点的所有安全网关定义相同的VPN域。 选项 false true
对站点所有网关的连接使用第一个分配的办公模式IP地址 布尔值	对站点所有网关的连接使用第一个分配的办公模式IP地址。远程用户连接并从网关接收办公模式IP地址后，到该网关加密域的所有连接都将使用办公模式IP作为内部源IP。加密域中的主机将办公模式IP识别为远程用户的IP地址。特定网关分配的办公模式IP地址可以在其自己的加密域和相邻加密域中使用。相邻加密域应位于与分配网关属于同一VPN社区的网关之后。由于远程主机的连接依赖于它接收到的办公模式IP地址，如果发出IP的网关不可用，则站点的所有连接都将终止。 选项 false true
VPN身份验证和加密 字典	配置远程访问客户端支持的加密和身份验证方法。
加密算法 字典	选择在IKE阶段2中协商并在IPSec连接中使用的算法。
IKE 字典	配置IKE阶段1设置。
支持数据完整性 字典	选择将与远程主机支持的散列算法，以确保数据完整性。
AES-XCBC 布尔值	选择是否支持AES-XCBC散列算法与远程主机，以确保数据完整性。 选项 false true
MD5 布尔值	选择是否支持MD5散列算法与远程主机，以确保数据完整性。 选项 false true
SHA1 布尔值	选择是否支持SHA1散列算法与远程主机，以确保数据完整性。 选项 false true
SHA256 布尔值	选择是否支持SHA256散列算法与远程主机，以确保数据完整性。 选项 false true
SHA384 布尔值	选择是否支持SHA384散列算法与远程主机，以确保数据完整性。 选项 false true
SHA512 布尔值	选择是否支持SHA512散列算法与远程主机，以确保数据完整性。 选项 false true
支持迪菲-赫尔曼组 字典	选择将与远程主机支持的迪菲-赫尔曼组。
组1 布尔值	选择是否支持迪菲-赫尔曼组1（768位）与远程主机。 选项 false true
组14 布尔值	选择是否支持迪菲-赫尔曼组14（2048位）与远程主机。 选项 false true
组2 布尔值	选择是否支持迪菲-赫尔曼组2（1024位）与远程主机。 选项 false true
组5 布尔值	选择是否支持迪菲-赫尔曼组5（1536位）与远程主机。 选项 false true
支持加密算法 字典	选择将与远程主机支持的加密算法。
AES-128 布尔值	选择是否支持AES-128加密算法与远程主机。 选项 false true
AES-256 布尔值	选择是否支持AES-256加密算法与远程主机。 选项 false true
DES 布尔值	选择是否支持DES加密算法与远程主机。 选项 false true
3DES 布尔值	选择是否支持3DES加密算法与远程主机。 选项 false true
使用数据完整性 字符串	如果提供多个选择，则此处选择的散列算法将具有最高优先级。 选项 "aes-xcbc" "sha256" "sha1" "md5" "sha384" "sha512"
使用迪菲-赫尔曼组 字符串	SecureClient用户使用在此字段中选择的迪菲-赫尔曼组。 选项 "group 1" "group 2" "group 5" "group 14"
使用加密算法 字符串	选择具有最高优先级的加密算法。如果有多个加密算法可供选择，则将使用在此字段中选择的算法。 选项 "AES-256" "DES" "AES-128" "3DES"
IPSec 字典	配置IPSec阶段2设置。
对所有用户强制执行加密算法和数据完整性 布尔值	对所有用户强制执行加密算法和数据完整性。 选项 false true
支持数据完整性 字典	选择将与远程主机支持的散列算法，以确保数据完整性。
AES-XCBC 布尔值	选择是否支持AES-XCBC散列算法与远程主机，以确保数据完整性。 选项 false true
MD5 布尔值	选择是否支持MD5散列算法与远程主机，以确保数据完整性。 选项 false true
SHA1 布尔值	选择是否支持SHA1散列算法与远程主机，以确保数据完整性。 选项 false true
SHA256 布尔值	选择是否支持SHA256散列算法与远程主机，以确保数据完整性。 选项 false true
SHA384 布尔值	选择是否支持SHA384散列算法与远程主机，以确保数据完整性。 选项 false true
SHA512 布尔值	选择是否支持SHA512散列算法与远程主机，以确保数据完整性。 选项 false true
支持加密算法 字典	选择将与远程主机支持的加密算法。
AES-128 布尔值	选择是否支持AES-128加密算法与远程主机。 选项 false true
AES-256 布尔值	选择是否支持AES-256加密算法与远程主机。 选项 false true
DES 布尔值	选择是否支持DES加密算法与远程主机。 选项 false true
3DES 布尔值	选择是否支持3DES加密算法与远程主机。 选项 false true
使用数据完整性 字符串	如果提供多个选择，则此处选择的散列算法将具有最高优先级。 选项 "aes-xcbc" "sha1" "sha256" "sha384" "sha512" "md5"
使用加密算法 字符串	选择具有最高优先级的加密算法。如果有多个加密算法可供选择，则将使用在此字段中选择的算法。 选项 "AES-256" "DES" "AES-128" "3DES"
加密方法 字符串	选择加密方法。 选项 "优先IKEv2，支持IKEv1" "仅IKEv2" "仅IKEv1"
L2TP预共享密钥 字符串	输入预共享密钥。 仅当support-l2tp-with-pre-shared-key设置为true时可用。
预共享密钥 布尔值	用户密码在用户的IKE属性的“身份验证”选项卡中指定（在用户属性窗口中，“加密”选项卡>“编辑”）。 选项 false true
支持使用预共享密钥的L2TP 布尔值	使用集中管理的IKE预共享密钥。 选项 false true
支持SC（混合模式）、L2TP（PAP）和诺基亚客户端（CRACK）的传统身份验证 布尔值	支持SC（混合模式）、L2TP（PAP）和诺基亚客户端（CRACK）的传统身份验证。 选项 false true
支持传统EAP 布尔值	支持传统EAP（可扩展身份验证协议）。 选项 false true
状态检测 字典	调整状态检测参数。
接受状态性ICMP错误报文 布尔值	接受引用规则库已接受的另一个非ICMP连接（例如，正在进行的TCP或UDP连接）的ICMP错误报文。 选项 false true
接受状态性ICMP回复报文 布尔值	接受规则库已接受的ICMP请求的ICMP回复报文。 选项 false true
接受未知服务的其他IP协议回复报文 布尔值	接受其他未定义服务的回复报文（即，不是以下服务之一的服务：TCP、UDP、ICMP）。 选项 false true
接受未知服务的UDP回复报文 布尔值	指定是否接受未知服务的UDP回复。 选项 false true
丢弃非状态性ICMP报文 布尔值	丢弃与连接当前状态不一致的ICMP报文。 选项 false true
丢弃非状态性SCTP报文 布尔值	丢弃与连接当前状态不一致的SCTP报文。 选项 false true
丢弃非状态性TCP报文 布尔值	丢弃与连接当前状态不一致的TCP报文。 选项 false true
ICMP虚拟会话超时 整数	ICMP虚拟会话将在此时间段（以秒为单位）后被视为超时。
丢弃非状态性ICMP报文时记录日志 布尔值	丢弃这些非状态性ICMP报文时生成日志条目。 仅当drop-out-of-state-icmp-packets为true时可用。 选项 false true
丢弃非状态性SCTP报文时记录日志 布尔值	丢弃这些非状态性SCTP报文时生成日志条目。 仅当drop-out-of-state-sctp-packets为true时可用。 选项 false true
丢弃非状态性TCP报文时记录日志 布尔值	丢弃这些非状态性TCP报文时生成日志条目。 仅当drop-out-of-state-tcp-packets为true时可用。 选项 false true
其他IP协议虚拟会话超时 整数	未在此处明确配置的服务的虚拟会话将在此时间段（以秒为单位）后被视为超时。
SCTP结束超时 整数	连接结束或重置后，SCTP连接将在指定秒数后结束，以便允许延迟到达的连接的离散ACK。
SCTP会话超时 整数	空闲连接保留在安全网关连接表中的时间（以秒为单位）。
SCTP启动超时 整数	如果第一个报文到达与连接建立之间的时间间隔超过此值（以秒为单位），则SCTP连接将超时。
TCP结束超时 整数	TCP连接仅在两个FIN报文（每个方向一个，客户端到服务器和服务器到客户端）或一个RST报文之后TCP结束超时秒后终止。当TCP连接结束（发送FIN报文或连接重置）时，Check Point安全网关将保持连接在连接表中另一个TCP结束超时秒，以便允许延迟到达的连接的离散ACK。
R80.20及以上网关的TCP结束超时 整数	TCP连接仅在两个FIN报文（每个方向一个，客户端到服务器和服务器到客户端）或一个RST报文之后TCP结束超时秒后终止。当TCP连接结束（发送FIN报文或连接重置）时，Check Point安全网关将保持连接在连接表中另一个TCP结束超时秒，以便允许延迟到达的连接的离散ACK。
TCP非状态性丢弃例外 list / elements=string	允许非状态性报文的网关和集群的名称或UID。
TCP会话超时 整数	空闲连接保留在安全网关连接表中的时间长度（以秒为单位）。
TCP启动超时 整数	如果第一个报文到达与连接建立（TCP三次握手）之间的时间间隔超过TCP启动超时秒，则TCP连接将超时。
UDP虚拟会话超时 整数	指定UDP回复通道在没有任何报文返回的情况下可以保持打开的时间（以秒为单位）。
用户帐户 字典	设置用户帐户的过期时间并配置“即将过期”警告。
过期前天数 整数	帐户在您选择的天数后过期。 仅当expiration-date-method设置为“expire after”时可用。
过期日期 字符串	使用以下格式指定过期日期：YYYY-MM-DD。 仅当expiration-date-method设置为“expire at”时可用。
过期日期方法 字符串	选择过期日期方法。 Expire at - 帐户在您选择的日期过期。 Expire after - 帐户在您选择的天数后过期。 选项 "expire after" "expire at"
提前显示帐户过期指示的天数 布尔值	激活“已过期帐户”链接，以打开“已过期帐户”窗口。 选项 false true
用户权限 字典	决定是否显示和访问WebAccess规则库。此策略定义哪些用户（即哪些Windows域）可以访问组织的内部站点。
显示WebAccess视图 布尔值	指定是否显示WebAccess规则库。此规则库用于UserAuthority。 选项 false true
仅信任以下Windows域 list / elements=string	指定哪些Windows域可以访问组织的内部站点。 仅当windows-domains-to-trust设置为SELECTIVELY时可用。
要信任的Windows域 字符串	将防火墙用户名与Windows域用户名匹配以进行单点登录时，选择是信任所有域还是指定要信任的Windows域。 ALL - 允许所有Windows域访问组织的内部站点。 SELECTIVELY - 允许您指定哪些Windows域可以访问组织的内部站点。 选项 "selectively" "all"
用户检查 字典	如果无法确定用户浏览器中的语言设置，则设置UserCheck消息的语言。
首选语言 字符串	新的UserCheck消息的首选语言。 选项 "南非荷兰语" "阿尔巴尼亚语" "阿姆哈拉语" "阿拉伯语" "亚美尼亚语" "巴斯克语" "白俄罗斯语" "波斯尼亚语" "保加利亚语" "加泰罗尼亚语" "中文" "克罗地亚语" "捷克语" "丹麦语" "荷兰语" "英语" "爱沙尼亚语" "芬兰语" "法语" "盖尔语" "格鲁吉亚语" "德语" "希腊语" "希伯来语" "印地语" "匈牙利语" "冰岛语" "印尼语" "爱尔兰语" "意大利语" "日语" "韩语" "拉脱维亚语" "立陶宛语" "马其顿语" "马耳他语" 尼泊尔语 挪威语 波兰语 葡萄牙语 罗马尼亚语 俄语 塞尔维亚语 斯洛伐克语 斯洛文尼亚语 索布语 西班牙语 斯瓦希里语 瑞典语 泰语 土耳其语 乌克兰语 越南语 威尔士语
使用邮件服务器发送邮件 字符串	用于发送邮件的邮件服务器名称或UID。
用户目录 字典	用户可以启用LDAP用户目录并指定LDAP的全局参数。如果启用了LDAP用户目录，则表示用户是在外部LDAP服务器上管理的，而不是在内部Check Point安全网关用户数据库上。
缓存大小 整数	允许缓存的最大用户数。缓存采用先进先出 (FIFO) 方式。当向已满的缓存中添加新用户时，将删除第一个用户以腾出空间用于新用户。Check Point安全网关不会查询LDAP服务器以获取缓存中已有的用户，除非缓存已超时。
登录时显示用户DN 字符串	决定是否在登录时显示用户的DN。如果选择显示用户DN，可以选择在用户登录时提示输入密码时显示它，或者在身份验证方案请求时显示它。当帐户单元中存在多个同名用户时，此属性是一个有用的诊断工具。在这种情况下，将选择第一个用户，而忽略其他用户。 选项 "不显示" "按需显示" 显示
用户活动目录过期时启用密码更改 布尔值	对于使用MS活动目录的组织，此设置允许密码已过期的用户自动创建新密码。 选项 false true
启用密码过期配置 布尔值	启用密码有效期天数的配置。 如果启用用户活动目录过期时启用密码更改为真，则密码过期时间由活动目录确定。在这种情况下，建议不要将其设置为真。 选项 false true
对用户管理管理员强制执行规则 布尔值	创建或修改Check Point密码时，对LDAP用户强制执行密码强度规则。 选项 false true
最小密码长度 整数	指定密码的最小长度（以字符为单位）。
密码过期时间 整数	指定密码的有效期天数。用户使用特殊的LDAP密码进行身份验证。如果此密码过期，则必须定义一个新密码。 仅当启用密码过期配置为真时才可用。
密码必须包含数字 布尔值	密码必须包含一个数字。 选项 false true
密码必须包含符号 布尔值	密码必须包含一个符号。 选项 false true
密码必须包含小写字符 布尔值	密码必须包含一个小写字符。 选项 false true
密码必须包含大写字符 布尔值	密码必须包含一个大写字符。 选项 false true
缓存用户超时时间 整数	缓存用户超时并需要再次从LDAP服务器获取的时间段。
版本 字符串	检查点版本。如果没有给出版本，则采用最新版本。
VPN 字典	配置与VPN相关的设置。
用于DNS解析的域名 字符串	输入将用于网关DNS查找的域名。使用的DNS主机名是“gateway_name.domain_name”。
启用备份网关 布尔值	启用备份网关。 选项 false true
启用网关到网关流量的接收时解密 布尔值	启用网关到网关流量的接收时解密。这仅与传统模式下的策略相关。在传统模式下，“接受”操作确定允许连接，而“加密”操作确定允许和加密连接。选择VPN是否接受与具有“接受”操作的规则匹配的加密数据包或将其丢弃。 选项 false true
启用多入口点配置的负载均衡 布尔值	启用多个入口点配置（站点到站点连接）的负载分发。VPN多入口点 (MEP) 功能为Check Point安全网关提供高可用性和负载分发。MEP有四种模式，       首先响应，其中选择第一个回复对等网关的网关。例如，如果一个组织在MEP配置中具有两个网关——一个在伦敦，另一个在纽约，则组织会选择此选项。对于位于英国的Check Point安全网关对等体，首先尝试伦敦网关，然后尝试纽约网关是有意义的。由于地理位置上更靠近位于英国的Check Point安全网关对等体，伦敦网关将首先响应，并成为内部网络的入口点。       VPN域，当目标IP属于特定VPN域时，该域的网关成为所选入口点。此网关成为主网关，而MEP配置中的其他网关成为其备份网关。       随机选择，其中远程Check Point安全网关对等体随机选择一个网关来打开VPN连接。对于每个IP源/目标地址对，都会随机选择一个新的网关。一个组织可能有很多性能相同的机器。在这种情况下，启用负载分发是有意义的。这些机器以随机且平等的方式使用。       手动设置优先级列表，可以为整个社区或单个卫星网关手动设置网关优先级。 . 选项 false true
在VPN列中启用VPN方向匹配 布尔值	在VPN列中启用VPN方向匹配。 注意，VPN方向匹配仅在Gaia、SecurePlatform、Linux和IPSO上受支持。 选项 false true
CRL无效后的宽限期 整数	建立VPN隧道时，对等体会出示其证书进行身份验证。网关机器上的时钟必须与证书颁发机构机器上的时钟同步。否则，用于验证对等体证书的证书吊销列表 (CRL) 可能被认为无效，从而导致身份验证失败。为了解决时钟时间不同的问题，宽限期允许更宽的CRL有效期窗口。
CRL有效之前的宽限期 整数	建立VPN隧道时，对等体会出示其证书进行身份验证。网关机器上的时钟必须与证书颁发机构机器上的时钟同步。否则，用于验证对等体证书的证书吊销列表 (CRL) 可能被认为无效，从而导致身份验证失败。为了解决时钟时间不同的问题，宽限期允许更宽的CRL有效期窗口。
安全远程安全客户端的宽限期扩展 整数	处理远程客户端时，需要延长宽限期。远程客户端有时依赖于对等网关来提供CRL。如果客户端的时钟与网关的时钟不同步，则网关认为有效的CRL可能被客户端认为无效。
支持来自已识别源的IKE DOS保护 字符串	当同时处理的IKE协商数量超过VPN容量的阈值时，网关会得出结论，它要么负载过高，要么正在遭受拒绝服务攻击。VPN可以过滤掉可能是潜在拒绝服务攻击源的对等体。有两种保护类型，       无状态 - 对等体必须以证明对等体的IP地址未被欺骗的方式响应IKE通知。如果对等体无法证明这一点，VPN不会为IKE协商分配资源       难题 - 这与无状态相同，但此外，对等体还必须解决一个数学难题。解决这个难题会消耗对等体的CPU资源，从而使其难以同时启动多个IKE协商。 难题比无状态更安全，但会影响性能。 由于这些类型的攻击涉及对IKE协议的新专有添加，因此启用这些保护机制可能会导致与非Check Point VPN产品或旧版本的VPN出现问题。 选项 难题 无状态 "none"
支持来自未识别源的IKE DOS保护 字符串	当同时处理的IKE协商数量超过VPN容量的阈值时，网关会得出结论，它要么负载过高，要么正在遭受拒绝服务攻击。VPN可以过滤掉可能是潜在拒绝服务攻击源的对等体。有两种保护类型，       无状态 - 对等体必须以证明对等体的IP地址未被欺骗的方式响应IKE通知。如果对等体无法证明这一点，VPN不会为IKE协商分配资源       难题 - 这与无状态相同，但此外，对等体还必须解决一个数学难题。解决这个难题会消耗对等体的CPU资源，从而使其难以同时启动多个IKE协商。 难题比无状态更安全，但会影响性能。 由于这些类型的攻击涉及对IKE协议的新专有添加，因此启用这些保护机制可能会导致与非Check Point VPN产品或旧版本的VPN出现问题。 选项 难题 无状态 "none"
VPN配置方法 字符串	为所有新的安全策略决定简化模式或传统模式，或决定在每个策略的基础上使用哪种模式。 选项 简化 传统 按策略
等待任务完成 布尔值	等待任务结束。例如发布任务。 选项 false true ← (默认)
等待任务超时时间 整数	在抛出超时错误之前要等待多少分钟。 默认： 30

示例

- name: set-global-properties
  cp_mgmt_set_global_properties:
    firewall:
      security_server:
        http_servers:
          - host: host name of server
            logical_name: unique logical name
            port: 8080
            reauthentication: post request

返回值

常见的返回值已在此处记录，以下是此模块特有的字段

键	描述
cp_mgmt_set_global_properties 字典	检查点set-global-properties输出。 返回：始终。

作者

• Eden Brillant (@chkp-edenbr)

集合链接

• 问题跟踪器
• 代码库（源代码）