fortinet.fortios.fortios_vpn_ssl_settings 模块 – 配置 Fortinet 的 FortiOS 和 FortiGate 中的 SSL-VPN。
注意
此模块是 fortinet.fortios 集合 (版本 2.3.8) 的一部分。
如果您使用的是 ansible 软件包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用：ansible-galaxy collection install fortinet.fortios。您需要其他要求才能使用此模块，有关详细信息，请参阅 要求。
要在 playbook 中使用它，请指定：fortinet.fortios.fortios_vpn_ssl_settings。
fortinet.fortios 2.0.0 中的新增功能
概要
此模块能够通过允许用户设置和修改 vpn_ssl 功能和设置类别来配置 FortiGate 或 FortiOS (FOS) 设备。示例包括所有参数，在使用前需要将值调整到数据源。已在 FOS v6.0.0 上测试。
要求
执行此模块的主机需要以下要求。
ansible>=2.15
参数
参数 |
注释 |
|---|---|
基于令牌的身份验证。从 FortiGate 的 GUI 生成。 |
|
启用/禁用任务的日志记录。 选项
|
|
要操作的成员属性路径。 如果有多个属性，则用斜杠字符分隔。 标有 member_path 的参数对于执行成员操作是合法的。 |
|
在指定的属性路径下添加或删除成员。 指定 member_state 时，将忽略 state 选项。 选项
|
|
虚拟域，在先前定义的虚拟域中。vdom 是 FortiGate 的虚拟实例，可以将其配置和用作不同的单元。 默认值： |
|
配置 SSL-VPN。 |
|
强制 SSL-VPN 安全级别。高仅允许高。中允许中和高。低允许任何。 选项
|
|
启用/禁用检查身份验证会话的源 IP。 选项
|
|
SSL-VPN 身份验证超时 (1 - 259200 秒（3 天），0 表示无超时)。 |
|
SSL-VPN 的身份验证规则。 |
|
SSL-VPN 身份验证方法限制。 选项
|
|
SSL-VPN 密码强度。 选项
|
|
启用/禁用 SSL-VPN 客户端证书限制。 选项
|
|
用户组。 |
|
组名。来源 user.group.name。 |
|
ID (0 - 4294967295)。请参见 备注。 |
|
SSL-VPN 门户。来源 vpn.ssl.web.portal.name。 |
|
SSL-VPN 领域。来源 vpn.ssl.web.realm.url-path。 |
|
传入流量的源地址。 |
|
地址名称。来源 firewall.address.name firewall.addrgrp.name system.external-resource.name。 |
|
传入流量的 IPv6 源地址。 |
|
IPv6 地址名称。来源 firewall.address6.name firewall.addrgrp6.name system.external-resource.name。 |
|
启用/禁用否定的源 IPv6 地址匹配。 选项
|
|
启用/禁用否定的源地址匹配。 选项
|
|
传入流量的 SSL-VPN 源接口。 |
|
接口名称。来源 system.interface.name system.zone.name。 |
|
用户对等体的名称。来源 user.peer.name。 |
|
用户名。 |
|
用户名。来源 user.local.name。 |
|
启用/禁用为 SSL-VPN 隧道 IP 地址自动创建静态路由。 选项
|
|
选择在 SSL-VPN 协商中不能使用的一个或多个密码技术。仅适用于 TLS 1.2 及以下版本。 选项
|
|
启用/禁用根据浏览器的首选语言覆盖已配置的系统语言。 选项
|
|
启用/禁用验证 HTTP 请求标头中的 Referer 字段。 选项
|
|
选择一个或多个要启用的 TLS 1.3 密码套件。不影响 TLS 1.2 及以下版本的密码。必须至少启用一个。要禁用所有密码，请将 ssl-max-proto-ver 设置为 tls1-2 或以下版本。 选项
|
|
设置与客户端身份验证相关的签名算法。仅影响 TLS 版本 <= 1.2。 选项
|
|
默认 SSL-VPN 门户。来源 vpn.ssl.web.portal.name。 |
|
压缩级别 (0~9)。 |
|
触发压缩的最小数据量 (200 - 65535 字节)。 |
|
DNS 服务器 1。 |
|
DNS 服务器 2。 |
|
用于 SSL-VPN 客户端的 DNS 后缀。 |
|
在连接被认为已断开之前，丢失的心跳次数。 |
|
发送 DTLS 心跳之前的空闲超时。 |
|
DTLS 心跳之间的间隔。 |
|
SSLVPN 最大 DTLS hello 超时 (10 - 60 秒)。 |
|
DTLS 最大协议版本。 选项
|
|
DTLS 最小协议版本。 选项
|
|
启用/禁用 DTLS 以防止窃听、篡改或消息伪造。 选项
|
|
隧道模式：启用并行 IPv4 和 IPv6 隧道。Web 模式：支持门户中的 IPv4 和 IPv6 书签。 选项
|
|
将 2F 序列编码为 URL 中的正斜杠。 选项
|
|
加密并存储 SSL-VPN Web 会话的用户名密码。 选项
|
|
启用/禁用仅使用双因素身份验证的PKI用户用于SSL-VPN。 选项
|
|
转发、添加或删除HTTP标头。 选项
|
|
添加HSTS includeSubDomains响应标头。 选项
|
|
启用/禁用允许通过SSL-VPN隧道进行HTTP压缩。 选项
|
|
启用/禁用对HttpOnly Cookie的SSL-VPN支持。 选项
|
|
如果在规定时间内（1-60秒）未收到HTTP请求正文，则SSL-VPN会话将断开连接。 |
|
如果在规定时间内（1-60秒）未收到HTTP请求标头，则SSL-VPN会话将断开连接。 |
|
启用/禁用将80端口重定向到SSL-VPN端口。 选项
|
|
如果空闲时间达到指定秒数，SSL-VPN将断开连接。 |
|
IPv6 DNS服务器1。 |
|
IPv6 DNS服务器2。 |
|
IPv6 WINS服务器1。 |
|
IPv6 WINS服务器2。 |
|
SSL-VPN在阻止之前允许的最大登录尝试次数（0-10）。 |
|
多次登录失败后，用户被阻止登录的时间（0-86400秒）。 |
|
SSLVPN最大登录超时时间（10-180秒）。 |
|
SSL-VPN访问端口（1-65535）。 |
|
启用/禁用，启用表示如果在接口上允许SSL-VPN连接，则在该接口上阻止admin GUI连接。 选项
|
|
启用/禁用要求所有SSL-VPN用户提供客户端证书。 选项
|
|
启用后，允许SSL-VPN会话绕过路由并绑定到传入接口。 选项
|
|
运行FortiClient的机器上的SAML本地重定向端口（0-65535）。0表示禁用FGT侧的重定向。 |
|
HTTPS服务器主机名。设置后，将用于任何重定向的SSL VPN Web代理主机标头。 |
|
用于SSL-VPN的服务器证书名称。来源vpn.certificate.local.name。 |
|
传入流量的源地址。 |
|
地址名称。来源 firewall.address.name firewall.addrgrp.name system.external-resource.name。 |
|
传入流量的 IPv6 源地址。 |
|
IPv6 地址名称。来源 firewall.address6.name firewall.addrgrp6.name system.external-resource.name。 |
|
启用/禁用否定的源 IPv6 地址匹配。 选项
|
|
启用/禁用否定的源地址匹配。 选项
|
|
传入流量的 SSL-VPN 源接口。 |
|
接口名称。来源 system.interface.name system.zone.name。 |
|
启用/禁用允许服务器在隧道断开时进行客户端重新协商。 选项
|
|
启用/禁用插入空片段。 选项
|
|
SSL最大协议版本。 选项
|
|
SSL最小协议版本。 选项
|
|
启用/禁用SSL-VPN。 选项
|
|
tlsv1-0 选项
|
|
tlsv1-1 选项
|
|
tlsv1-2 选项
|
|
tlsv1-3 选项
|
|
将URL中的反斜杠转换为正斜杠。 选项
|
|
用于分配隧道地址的方法。 选项
|
|
如果之前的连接断开，则启用/禁用无需重新授权即可进行隧道连接。 选项
|
|
定义为远程客户端保留的IP地址的IPv4 IP池防火墙对象的名称。 |
|
地址名称。来源firewall.address.name firewall.addrgrp.name。 |
|
定义为远程客户端保留的IP地址的IPv6 IP池防火墙对象的名称。 |
|
地址名称。来源firewall.address6.name firewall.addrgrp6.name。 |
|
隧道连接断开后清理用户会话的秒数（1-86400）。 |
|
启用/禁用不安全的旧版重新协商。 选项
|
|
启用/禁用模糊Web浏览器显示的URL的主机名。 选项
|
|
用户对等体的名称。来源 user.peer.name。 |
|
启用/禁用在使用Web模式时使用防火墙策略中定义的IP池。 选项
|
|
WINS服务器1。 |
|
WINS服务器2。 |
|
添加HTTP X-Content-Type-Options标头。 选项
|
|
启用/禁用对SSLVPN ZTNA会话的设备证书的验证。 选项
|
注释
注意
旧版fortiosapi已弃用，httpapi是运行playbook的首选方式。
示例
- name: Configure SSL-VPN.
fortinet.fortios.fortios_vpn_ssl_settings:
vdom: "{{ vdom }}"
vpn_ssl_settings:
algorithm: "high"
auth_session_check_source_ip: "enable"
auth_timeout: "28800"
authentication_rule:
-
auth: "any"
cipher: "any"
client_cert: "enable"
groups:
-
name: "default_name_11 (source user.group.name)"
id: "12"
portal: "<your_own_value> (source vpn.ssl.web.portal.name)"
realm: "<your_own_value> (source vpn.ssl.web.realm.url-path)"
source_address:
-
name: "default_name_16 (source firewall.address.name firewall.addrgrp.name system.external-resource.name)"
source_address_negate: "enable"
source_address6:
-
name: "default_name_19 (source firewall.address6.name firewall.addrgrp6.name system.external-resource.name)"
source_address6_negate: "enable"
source_interface:
-
name: "default_name_22 (source system.interface.name system.zone.name)"
user_peer: "<your_own_value> (source user.peer.name)"
users:
-
name: "default_name_25 (source user.local.name)"
auto_tunnel_static_route: "enable"
banned_cipher: "RSA"
browser_language_detection: "enable"
check_referer: "enable"
ciphersuite: "TLS-AES-128-GCM-SHA256"
client_sigalgs: "no-rsa-pss"
default_portal: "<your_own_value> (source vpn.ssl.web.portal.name)"
deflate_compression_level: "6"
deflate_min_data_size: "300"
dns_server1: "<your_own_value>"
dns_server2: "<your_own_value>"
dns_suffix: "<your_own_value>"
dtls_heartbeat_fail_count: "3"
dtls_heartbeat_idle_timeout: "3"
dtls_heartbeat_interval: "3"
dtls_hello_timeout: "10"
dtls_max_proto_ver: "dtls1-0"
dtls_min_proto_ver: "dtls1-0"
dtls_tunnel: "enable"
dual_stack_mode: "enable"
encode_2f_sequence: "enable"
encrypt_and_store_password: "enable"
force_two_factor_auth: "enable"
header_x_forwarded_for: "pass"
hsts_include_subdomains: "enable"
http_compression: "enable"
http_only_cookie: "enable"
http_request_body_timeout: "30"
http_request_header_timeout: "20"
https_redirect: "enable"
idle_timeout: "300"
ipv6_dns_server1: "<your_own_value>"
ipv6_dns_server2: "<your_own_value>"
ipv6_wins_server1: "<your_own_value>"
ipv6_wins_server2: "<your_own_value>"
login_attempt_limit: "2"
login_block_time: "60"
login_timeout: "30"
port: "10443"
port_precedence: "enable"
reqclientcert: "enable"
route_source_interface: "enable"
saml_redirect_port: "8020"
server_hostname: "myhostname"
servercert: "<your_own_value> (source vpn.certificate.local.name)"
source_address:
-
name: "default_name_72 (source firewall.address.name firewall.addrgrp.name system.external-resource.name)"
source_address_negate: "enable"
source_address6:
-
name: "default_name_75 (source firewall.address6.name firewall.addrgrp6.name system.external-resource.name)"
source_address6_negate: "enable"
source_interface:
-
name: "default_name_78 (source system.interface.name system.zone.name)"
ssl_client_renegotiation: "disable"
ssl_insert_empty_fragment: "enable"
ssl_max_proto_ver: "tls1-0"
ssl_min_proto_ver: "tls1-0"
status: "enable"
tlsv1_0: "enable"
tlsv1_1: "enable"
tlsv1_2: "enable"
tlsv1_3: "enable"
transform_backward_slashes: "enable"
tunnel_addr_assigned_method: "first-available"
tunnel_connect_without_reauth: "enable"
tunnel_ip_pools:
-
name: "default_name_92 (source firewall.address.name firewall.addrgrp.name)"
tunnel_ipv6_pools:
-
name: "default_name_94 (source firewall.address6.name firewall.addrgrp6.name)"
tunnel_user_session_timeout: "30"
unsafe_legacy_renegotiation: "enable"
url_obscuration: "enable"
user_peer: "<your_own_value> (source user.peer.name)"
web_mode_snat: "enable"
wins_server1: "<your_own_value>"
wins_server2: "<your_own_value>"
x_content_type_options: "enable"
ztna_trusted_client: "enable"
返回值
常见的返回值已在此处记录，以下是此模块特有的字段。
键 |
描述 |
|---|---|
FortiGate镜像的版本号 返回：始终 示例： |
|
上次用于将内容置备到FortiGate的方法 返回：始终 示例： |
|
FortiGate在上次应用的操作中给出的最后结果 返回：始终 示例： |
|
上次调用FortiGate时使用的主密钥(id) 返回：成功 示例： |
|
用于满足请求的表的名称 返回：始终 示例： |
|
用于满足请求的表的路径 返回：始终 示例： |
|
内部修订号 返回：始终 示例： |
|
设备序列号 返回：始终 示例： |
|
操作结果指示 返回：始终 示例： |
|
使用的虚拟域 返回：始终 示例： |
|
FortiGate版本 返回：始终 示例： |