fortinet.fortios.fortios_ips_global 模块 – 在 Fortinet 的 FortiOS 和 FortiGate 中配置 IPS 全局参数。

注意

此模块是 fortinet.fortios 集合（版本 2.3.8）的一部分。

如果您正在使用 ansible 包，您可能已经安装了此集合。它不包含在 ansible-core 中。要检查是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install fortinet.fortios。您需要进一步的要求才能使用此模块，请参阅 要求 了解详细信息。

要在 playbook 中使用它，请指定：fortinet.fortios.fortios_ips_global。

fortinet.fortios 2.0.0 中的新增功能

概要

  • 此模块能够通过允许用户设置和修改 IPS 功能和全局类别来配置 FortiGate 或 FortiOS (FOS) 设备。 示例包括在使用前需要调整为数据源的所有参数和值。 使用 FOS v6.0.0 测试

要求

在执行此模块的主机上需要以下要求。

  • ansible>=2.15

参数

参数

注释

access_token

字符串

基于令牌的身份验证。从 Fortigate 的 GUI 生成。

enable_log

布尔值

启用/禁用任务的日志记录。

选项

  • false ← (默认)

  • true

ips_global

字典

配置 IPS 全局参数。

anomaly_mode

字符串

基于速率的异常的全局阻止模式。

选项

  • "periodical"

  • "continuous"

av_mem_limit

整数

允许用于 AV 扫描的系统内存的最大百分比 (10 - 50)。要禁用，请设置为零。禁用后，对 AV 内存使用没有限制。

cp_accel_mode

字符串

IPS 模式匹配加速/卸载到 CPx 处理器。

选项

  • "none"

  • "basic"

  • "advanced"

database

字符串

常规或扩展的 IPS 数据库。常规保护免受最新的常见和野外攻击。扩展包括对旧攻击的保护。

选项

  • "regular"

  • "extended"

deep_app_insp_db_limit

整数

深度应用程序检查数据库中条目的数量限制 (1 - 2147483647，使用建议的设置 = 0)。

deep_app_insp_timeout

整数

深度应用程序检查的超时 (1 - 2147483647 秒，0 = 使用建议的设置)。

engine_count

整数

正在运行的 IPS 引擎的数量。 如果设置为默认值 0，则 FortiOS 会根据 CPU 核心数量将该数量设置为优化性能。

exclude_signatures

字符串

排除的签名。

选项

  • "none"

  • "ot"

  • "industrial"

fail_open

字符串

启用此选项可在 IPS 缓冲区已满时允许流量。 默认值为禁用，并且当 IPS 缓冲区已满时，IPS 流量会被阻止。

选项

  • "enable"

  • "disable"

intelligent_mode

字符串

启用/禁用 IPS 自适应扫描（智能模式）。 智能模式会针对流量类型优化扫描方法。

选项

  • "enable"

  • "disable"

ips_reserve_cpu

字符串

启用/禁用 IPS 守护进程使用 CPU 0 以外的 CPU。

选项

  • "disable"

  • "enable"

ngfw_max_scan_range

整数

NGFW 策略模式应用程序检测阈值。

np_accel_mode

字符串

NPx 处理器 IPS 处理的加速模式。

选项

  • "none"

  • "basic"

packet_log_queue_depth

整数

每个 IPS 引擎的数据包/pcap 日志队列深度。

session_limit_mode

字符串

会话限制异常使用的并发会话计数方法。 选择更高的准确性（准确）或更高的性能（启发式）。

选项

  • "accurate"

  • "heuristic"

skype_client_public_ipaddr

字符串

接收 Skype 会话的网络公有 IP 地址。 有助于识别 Skype 会话。 用逗号分隔 IP 地址。

socket_size

整数

IPS 套接字缓冲区大小。 最大值和默认值取决于可用内存。 可以更改以调整性能。

sync_session_ttl

字符串

启用/禁用内核会话 TTL 用于 IPS 会话。

选项

  • "enable"

  • "disable"

tls_active_probe

字典

TLS 主动探测配置。

interface

字符串

指定要到达服务器的传出接口。 源 system.interface.name。

interface_select_method

字符串

指定如何选择要到达服务器的传出接口。

选项

  • "auto"

  • "sdwan"

  • "specify"

source_ip

字符串

用于 TLS 主动探测的源 IP 地址。

source_ip6

字符串

用于 TLS 主动探测的源 IPv6 地址。

vdom

字符串

TLS 主动探测的虚拟域名。 源 system.vdom.name。

traffic_submit

字符串

启用/禁用将此 FortiGate 发现的攻击数据提交到 FortiGuard。

选项

  • "enable"

  • "disable"

member_path

字符串

要操作的成员属性路径。

如果有多个属性，则用斜杠字符分隔。

标有 member_path 的参数对于执行成员操作是合法的。

member_state

字符串

在指定的属性路径下添加或删除成员。

指定 member_state 时，将忽略 state 选项。

选项

  • "present"

  • "absent"

vdom

字符串

虚拟域，在先前定义的域中。 vdom 是 FortiGate 的虚拟实例，可以配置并用作不同的单元。

默认值： "root"

注释

注意

  • 旧版 fortiosapi 已弃用，httpapi 是运行 playbook 的首选方式

示例

- name: Configure IPS global parameter.
  fortinet.fortios.fortios_ips_global:
      vdom: "{{ vdom }}"
      ips_global:
          anomaly_mode: "periodical"
          av_mem_limit: "0"
          cp_accel_mode: "none"
          database: "regular"
          deep_app_insp_db_limit: "0"
          deep_app_insp_timeout: "0"
          engine_count: "0"
          exclude_signatures: "none"
          fail_open: "enable"
          intelligent_mode: "enable"
          ips_reserve_cpu: "disable"
          ngfw_max_scan_range: "4096"
          np_accel_mode: "none"
          packet_log_queue_depth: "128"
          session_limit_mode: "accurate"
          skype_client_public_ipaddr: "<your_own_value>"
          socket_size: "256"
          sync_session_ttl: "enable"
          tls_active_probe:
              interface: "<your_own_value> (source system.interface.name)"
              interface_select_method: "auto"
              source_ip: "84.230.14.43"
              source_ip6: "<your_own_value>"
              vdom: "<your_own_value> (source system.vdom.name)"
          traffic_submit: "enable"

返回值

此处记录了常见的返回值 此处，以下是此模块独有的字段

键

描述

build

字符串

fortigate 映像的版本号

返回： 始终

示例： "1547"

http_method

字符串

上次用于将内容配置到 FortiGate 中的方法

返回： 始终

示例： "PUT"

http_status

字符串

FortiGate 在上次操作中给出的最后结果

返回： 始终

示例: "200"

mkey

字符串

在上次调用 FortiGate 时使用的主密钥（ID）

返回: 成功

示例: "id"

name

字符串

用于满足请求的表的名称

返回： 始终

示例: "urlfilter"

path

字符串

用于满足请求的表的路径

返回： 始终

示例: "webfilter"

revision

字符串

内部修订号

返回： 始终

示例: "17.0.2.10658"

serial

字符串

设备的序列号

返回： 始终

示例: "FGVMEVYYQT3AB5352"

status

字符串

操作结果的指示

返回： 始终

示例: "success"

vdom

字符串

使用的虚拟域

返回： 始终

示例: "root"

version

字符串

FortiGate 的版本

返回： 始终

示例: "v5.6.3"

作者

  • Link Zheng (@chillancezen)

  • Jie Xue (@JieX19)

  • Hongbin Lu (@fgtdev-hblu)

  • Frank Shen (@frankshen01)

  • Miguel Angel Munoz (@mamunozgonzalez)

  • Nicolas Thomas (@thomnico)