fortinet.fortimanager.fmgr_pkg_firewall_policy 模块 – 配置 IPv4 策略。
注意
此模块是 fortinet.fortimanager 集合 (版本 2.8.2) 的一部分。
如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用： ansible-galaxy collection install fortinet.fortimanager。
要在 playbook 中使用它，请指定： fortinet.fortimanager.fmgr_pkg_firewall_policy。
fortinet.fortimanager 1.0.0 中的新增功能
概要
此模块能够配置 FortiManager 设备。
示例包括所有需要在使用前调整为数据源的参数和值。
参数
参数 |
注释 |
|---|---|
无需使用用户名和密码即可访问 FortiManager 的令牌。 |
|
请求 URL 中的参数 (adom)。 |
|
仅当模块模式与 FortiManager API 结构不同时设置为 True，模块将继续执行而无需验证参数。 选项
|
|
启用/禁用任务日志记录。 选项
|
|
使用 FortiCloud API 访问令牌对 Ansible 客户端进行身份验证。 |
|
请求 URL 中的参数 (pkg)。 |
|
设置的顶级参数。 |
|
分配的策略块。 |
|
策略操作 选项
|
|
启用/禁用重放攻击检查。 选项
|
|
(列表或字符串) 应用程序类别 ID 列表。 |
|
(列表或字符串) 应用程序组名称。 |
|
(列表) 应用程序 ID 列表。 |
|
现有应用程序列表的名称。 |
|
用于策略身份验证的 HTTPS 服务器证书。 |
|
启用/禁用基于身份验证的路由。 选项
|
|
用于防火墙身份验证的 HTTP 到 HTTPS 重定向地址。 |
|
启用/禁用将安全配置文件处理卸载到 CP 处理器。 选项
|
|
现有防病毒配置文件的名称。 |
|
启用/禁用最佳路由的使用。 选项
|
|
启用/禁用阻止通知。 选项
|
|
启用以使某些用户免于受限门户。 选项
|
|
启用/禁用捕获数据包。 选项
|
|
现有 CASB 配置文件的名称。 |
|
CASI 配置文件。 |
|
启用/禁用 CGN 端点独立过滤。 选项
|
|
启用/禁用 CGN 端点独立映射 选项
|
|
NP 日志服务器组名称 |
|
资源配额 |
|
会话配额 |
|
启用/禁用软件端点独立过滤控制。 选项
|
|
现有 CIFS 配置文件的名称。 |
|
(字典或字符串) 注释。 |
|
(列表或字符串) 要附加到此策略的日志消息的自定义字段。 |
|
解密的流量镜像。 |
|
启用 TCP NPU 会话延迟以保证 3 路握手的数据包顺序。 选项
|
|
启用/禁用 TCP NPU 会话延迟以保证 3 路握手的包顺序。 选项
|
|
(列表或字符串) 可以由策略匹配的设备或设备组的名称。 |
|
现有 Diameter 过滤器配置文件的名称。 |
|
启用以将数据包 DiffServ 值从会话的原始方向复制到其回复方向。 选项
|
|
启用以将数据包 DiffServ 值更改为指定的 diffservcode-forward 值。 选项
|
|
启用更改数据包反向传输。 选项
|
|
将数据包的DiffServ更改为此值。 |
|
更改数据包反向传输。 |
|
启用/禁用用户身份验证免责声明。 选项
|
|
现有DLP配置文件的名称。 |
|
现有DLP传感器的名称。 |
|
现有DNS过滤器配置文件的名称。 |
|
启用DSCP检查。 选项
|
|
启用否定DSCP匹配。 选项
|
|
DSCP值。 |
|
启用DSRI以忽略HTTP服务器响应。 选项
|
|
（列表或字符串）目标地址和地址组名称。 |
|
（列表或字符串）目标IPv6地址名称和地址组名称。 |
|
启用时，dstaddr6指定目标地址不应是什么。 选项
|
|
启用时，dstaddr指定目标地址不应是什么。 选项
|
|
（列表或字符串）出站 |
|
启用/禁用动态RADIUS定义的流量整形。 选项
|
|
启用/禁用检查与端点无关的过滤针孔。 选项
|
|
启用/禁用学习端点无关过滤针孔。 选项
|
|
启用/禁用邮件收集。 选项
|
|
现有邮件过滤器配置文件的名称。 |
|
在FEC设备上启用/禁用针对与该策略匹配的流量的纠错。 选项
|
|
现有文件过滤器配置文件的名称。 |
|
如果此防火墙策略的配置发生更改，如何处理会话。 选项
|
|
启用此功能可防止源NAT更改会话的源端口。 选项
|
|
启用/禁用Fortinet单点登录。 选项
|
|
用于NTLM身份验证的FSSO代理。 |
|
（列表或字符串）FSSO组的名称。 |
|
启用/禁用使用地理位置IP数据库识别任何播送IP地址。 选项
|
|
根据其物理位置或注册位置匹配地理位置地址。 选项
|
|
在GUI处于全局视图模式时显示的策略标签。 |
|
（列表或字符串）可以使用此策略进行身份验证的用户组的名称。 |
|
GTP配置文件。 |
|
重定向HTTP 选项
|
|
现有ICAP配置文件的名称。 |
|
基于身份的路由规则的名称。 |
|
基于策略的IPsec VPN 选项
|
|
策略检查模式 选项
|
|
启用/禁用为此策略使用Internet服务。 选项
|
|
启用/禁用为此策略使用IPv6 Internet服务。 选项
|
|
（列表）自定义IPv6 Internet服务名称。 |
|
（列表）自定义Internet Service6组名称。 |
|
（列表）Internet服务组名称。 |
|
（列表）IPv6 Internet服务名称。 |
|
启用时，internet-service6指定服务不应是什么。 选项
|
|
启用/禁用为此策略在源中使用IPv6 Internet服务。 选项
|
|
（列表）自定义IPv6 Internet服务源名称。 |
|
（列表）自定义Internet Service6源组名称。 |
|
（列表）Internet Service6源组名称。 |
|
（列表）IPv6 Internet服务源名称。 |
|
启用时，internet-service6-src指定服务不应是什么。 选项
|
|
（列表或字符串）自定义Internet服务名称。 |
|
（列表或字符串）自定义Internet服务组名称。 |
|
（列表或字符串）Internet服务组名称。 |
|
（列表或字符串）Internet服务ID。 |
|
（列表或字符串）Internet服务名称。 |
|
启用时，internet-service指定服务不应是什么。 选项
|
|
启用/禁用为此策略在源中使用Internet服务。 选项
|
|
（列表或字符串）自定义Internet服务源名称。 |
|
（列表或字符串）自定义Internet服务源组名称。 |
|
（列表或字符串）Internet服务源组名称。 |
|
（列表或字符串）Internet服务源ID。 |
|
（列表或字符串）Internet服务源名称。 |
|
启用时，internet-service-src指定服务不应是什么。 选项
|
|
策略的IP版本。 |
|
启用此功能可使用IP池进行源NAT。 选项
|
|
现有IPS传感器的名称。 |
|
现有VoIP的名称 |
|
在GUI处于节视图模式时显示的策略标签。 |
|
启用此功能可允许所有内容，但会记录所有有意义的数据以收集安全信息。 选项
|
|
启用/禁用HTTP事务日志。 选项
|
|
启用或禁用日志记录。 选项
|
|
记录会话开始和结束时的日志。 选项
|
|
启用匹配其目标地址已被 VIP 更改的数据包。 选项
|
|
启用/禁用仅匹配其目标地址已被 VIP 更改的数据包。 选项
|
|
现有 MMS 配置文件的名称。 |
|
策略名称。 |
|
启用/禁用源 NAT。 选项
|
|
启用/禁用 NAT46。 选项
|
|
启用/禁用 NAT64。 选项
|
|
基于策略的IPsec VPN 选项
|
|
基于策略的IPsec VPN |
|
基于策略的IPsec VPN 选项
|
|
(列表) 动态网络服务名称。 |
|
(列表) 动态网络服务源名称。 |
|
启用/禁用 UTM 网络处理器加速。 选项
|
|
启用/禁用 UTM 网络处理器加速。 选项
|
|
启用/禁用 NTLM 身份验证。 选项
|
|
(列表) 受支持浏览器的 HTTP-User-Agent 值。 |
|
启用/禁用 NTLM 来宾用户访问。 选项
|
|
对象位置。 |
|
基于策略的IPsec VPN 选项
|
|
启用/禁用被动 WAN 健康测量。 选项
|
|
启用/禁用 PCP 入站 DNAT。 选项
|
|
启用/禁用 PCP 出站 SNAT。 选项
|
|
(列表) PCP 池名称。 |
|
每个 IP 流量整形器。 |
|
接受来自任何主机的 UDP 数据包。 选项
|
|
接受来自任何 NAT 会话遍历实用程序的 UDP 数据包 选项
|
|
PFCP 配置文件。 |
|
策略的行为。 |
|
启用/禁用策略过期。 选项
|
|
策略过期日期 |
|
策略过期日期和时间，以纪元格式表示。 |
|
启用/禁用 CGNAT 的硬件会话设置。 选项
|
|
策略 ID。 |
|
(列表或字符串) IP 池名称。 |
|
(列表或字符串) IPv6 池名称。 |
|
启用/禁用保留源 NAT 中未使用的原始源端口。 选项
|
|
配置文件组的名称。 |
|
现有协议选项配置文件的名称。 |
|
确定防火墙策略是否仅允许安全配置文件组或单个配置文件。 选项
|
|
启用 IP 身份验证绕过。 选项
|
|
启用 MAC 身份验证绕过。 选项
|
|
用户在查看并接受免责声明或进行身份验证后将被定向到的 URL。 |
|
覆盖此策略的默认替换消息组。 |
|
声誉生效的初始流量方向。 选项
|
|
IPv6 声誉生效的初始流量方向。 选项
|
|
采取行动的最低声誉。 |
|
采取行动的 IPv6 最低声誉。 |
|
启用/禁用 RADIUS 单点登录 选项
|
|
(列表或字符串) 如果这是 RTP NAT 策略，则为地址名称。 |
|
启用实时协议 选项
|
|
阻止或监控与僵尸网络服务器的连接或禁用僵尸网络扫描。 选项
|
|
调度名称。 |
|
启用强制结束当前会话，当调度对象超时时。 选项
|
|
现有 SCTP 过滤器配置文件的名称。 |
|
启用在会话被防火墙策略拒绝或阻止时发送回复。 选项
|
|
(列表或字符串) 服务和服务组名称。 |
|
启用时，service 指定服务不能是什么。 选项
|
|
(整数或字符串) 此策略接受的会话的会话 TTL（以秒为单位）。 |
|
(列表) 安全组标签。 |
|
启用/禁用安全组标签 选项
|
|
现有垃圾邮件过滤器配置文件的名称。 |
|
(列表或字符串) 供应商 MAC 源 ID。 |
|
(列表或字符串) 源地址和地址组名称。 |
|
(列表或字符串) 源 IPv6 地址名称和地址组名称。 |
|
启用时，srcaddr6 指定源地址不能是什么。 选项
|
|
启用时，srcaddr 指定源地址不能是什么。 选项
|
|
(列表或字符串) 入站 |
|
现有 SSH 过滤器配置文件的名称。 |
|
将 SSH 流量重定向到匹配的透明代理策略。 选项
|
|
启用将解密的 SSL 流量复制到 FortiGate 接口。 选项
|
|
(列表或字符串) SSL 镜像接口名称。 |
|
现有 SSL SSH 配置文件的名称。 |
|
启用或禁用此策略。 选项
|
|
应用于此策略的对象标签的名称。 |
|
接收器 TCP 最大分段大小 |
|
发送器 TCP 最大分段大小 |
|
启用/禁用创建没有 SYN 标志的 TCP 会话。 选项
|
|
TCP 超时配置文件 ID |
|
启用/禁用在TCP会话过期时发送RST数据包。 选项
|
|
ToS |
|
非零位用于比较，零位被忽略。 |
|
启用反向ToS匹配。 选项
|
|
流量整形器。 |
|
反向流量整形器。 |
|
UDP超时配置文件ID。 |
|
(列表或字符串) URL类别ID列表。 |
|
(列表或字符串) 可使用此策略进行身份验证的单个用户名称。 |
|
启用以添加一个或多个安全配置文件。 选项
|
|
通用唯一标识符。 |
|
现有视频过滤配置文件的名称。 |
|
现有虚拟补丁配置文件的名称。 |
|
VLAN转发方向用户优先级。 |
|
VLAN反向方向用户优先级。 |
|
设置VLAN过滤器。 |
|
现有VoIP配置文件的名称。 |
|
VPN目标节点。 |
|
主机。 |
|
序列号。 |
|
子网。 |
|
VPN源节点。 |
|
主机。 |
|
序列号。 |
|
子网。 |
|
基于策略的IPsec VPN |
|
现有Web应用程序防火墙配置文件的名称。 |
|
启用/禁用WAN优化。 选项
|
|
WAN优化自动检测模式。 选项
|
|
WAN优化被动模式选项。 选项
|
|
WAN优化对等体。 |
|
WAN优化配置文件。 |
|
启用/禁用将匹配此策略的流量转发到已配置的WCCP服务器。 选项
|
|
启用/禁用Web缓存。 选项
|
|
启用/禁用HTTPS的Web缓存。 选项
|
|
现有Web过滤器配置文件的名称。 |
|
Web代理转发服务器名称。 |
|
Web代理配置文件名称。 |
|
启用/禁用WiFi单点登录。 选项
|
|
启用/禁用零信任设备所有权。 选项
|
|
(列表或字符串) 源ztna-ems-tag名称。 |
|
(列表) 源ztna-ems-tag-secondary名称。 |
|
(列表或字符串) 源ztna-geo-tag名称。 |
|
将ZTNA流量重定向到匹配的访问代理proxy-policy。 选项
|
|
启用/禁用零信任访问。 选项
|
|
ZTNA标签匹配逻辑。 选项
|
|
底层Json RPC请求的覆盖方法。 选项
|
|
将覆盖失败条件的rc代码列表。 |
|
将覆盖成功条件的rc代码列表。 |
|
创建、更新或删除对象的指令。 选项
|
|
在工作区模式下锁定FortiManager的ADOM，值可以是global和其他包括root。 |
|
等待其他用户释放工作区锁的最大时间（秒）。 默认值: |
注释
注意
从2.4.0版本开始，所有输入参数都使用下划线命名约定（snake_case）。请将诸如“var-name”之类的参数更改为“var_name”。旧的参数名称仍然可用，但您会收到弃用警告。您可以在ansible.cfg中设置deprecation_warnings=False来忽略此警告。
此FortiManager模块支持在工作区锁定模式下运行，顶级参数workspace_locking_adom和workspace_locking_timeout有助于完成此工作。
要创建或更新对象，请使用state present指令。
要删除对象，请使用state absent指令。
通常，当返回非零rc时，运行一个模块可能会失败。您还可以使用参数rc_failed和rc_succeeded覆盖失败或成功的条件。
示例
- name: Example playbook
hosts: fortimanagers
connection: httpapi
vars:
ansible_httpapi_use_ssl: true
ansible_httpapi_validate_certs: false
ansible_httpapi_port: 443
tasks:
- name: Configure IPv4 policies.
fortinet.fortimanager.fmgr_pkg_firewall_policy:
bypass_validation: false
adom: ansible
pkg: ansible # package name
state: present
pkg_firewall_policy:
action: accept # <value in [deny, accept, ipsec, ...]>
comments: ansible-comment
dstaddr: all
dstintf: any
# name: ansible-test-policy
nat: disable
policyid: 1
schedule: always
service: ALL
srcaddr: all
srcintf: any
status: disable
- name: Gathering fortimanager facts
hosts: fortimanagers
gather_facts: false
connection: httpapi
vars:
ansible_httpapi_use_ssl: true
ansible_httpapi_validate_certs: false
ansible_httpapi_port: 443
tasks:
- name: Retrieve all the IPv4 policies
fortinet.fortimanager.fmgr_fact:
facts:
selector: "pkg_firewall_policy"
params:
adom: "ansible"
pkg: "ansible" # package name
policy: "your_value"
返回值
公共返回值已记录此处，以下是此模块特有的字段：
键 |
描述 |
|---|---|
请求的结果。 返回: 始终 |
|
请求的完整URL。 返回: 始终 示例: |
|
API请求的状态。 返回: 始终 示例: |
|
API响应。 返回: 始终 |
|
API响应的描述性消息。 返回: 始终 示例: |
|
目标系统的信息。 返回: 始终 |
|
请求的状态。 返回: 始终 示例: |
|
如果剧本中使用的参数不受当前FortiManager版本支持，则会发出警告。 返回: 复杂类型 |