f5networks.f5_modules.bigip_ike_peer 模块 – 在 BIG-IP 上管理 IPSec IKE 对等体配置

注意

此模块是 f5networks.f5_modules 集合 (版本 1.32.1) 的一部分。

如果您使用的是 ansible 包，则可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用： ansible-galaxy collection install f5networks.f5_modules。

要在 playbook 中使用它，请指定： f5networks.f5_modules.bigip_ike_peer。

f5networks.f5_modules 1.0.0 中的新增功能

概要

• 管理 BIG-IP 设备上的 IPSec IKE 对等体配置。

参数

参数	注释
description 字符串	IKE 对等体的描述。
name 字符串 / 必填	指定 IKE 对等体的名称。
partition 字符串	用于管理资源的设备分区。 默认值： "Common"
phase1_auth_method 字符串	指定第一阶段协商的身份验证方法。 创建新的 IKE 对等体时，如果未指定此值，则默认为 rsa-signature。 选项 "pre-shared-key" "rsa-signature"
phase1_cert 字符串	指定要用于 RSA 签名的数字证书。 创建新的 IKE 对等体时，如果未指定此值，并且 phase1_auth_method 为 rsa-signature，则默认为 default.crt。 当 phase1_auth_method 为 pre-shared-key 时，此参数无效。
phase1_encryption_algorithm 字符串	指定要用于 IKE 加密的算法。 IKE version v2 不支持 blowfish、camellia 或 cast128。 选项 "3des" "des" "blowfish" "cast128" "aes128" "aes192" "aes256" "camellia"
phase1_hash_algorithm 字符串	指定要用于 IKE 身份验证的算法。 选项 "sha1" "md5" "sha256" "sha384" "sha512"
phase1_key 字符串	指定数字证书包含的公钥。 创建新的 IKE 对等体时，如果未指定此值，并且 phase1_auth_method 为 rsa-signature，则默认为 default.key。 当 phase1_auth_method 为 pre-shared-key 时，此参数无效。
phase1_lifetime 整数 f5networks.f5_modules 1.1.0 中新增	定义将在第一阶段协商中提出的 IKE SA 的生命周期（以分钟为单位）。 可接受的值范围是 1 - 4294967295 分钟。 创建新的 IKE 对等体时，如果未指定此值，则系统设置的默认值为 1440 分钟。
phase1_perfect_forward_secrecy 字符串	指定要用于 IKE 第一阶段和第二阶段协商的 Diffie-Hellman 组。 选项 "ecp256" "ecp384" "ecp521" "modp768" "modp1024" "modp1536" "modp2048" "modp3072" "modp4096" "modp6144" "modp8192"
phase1_verify_peer_cert 布尔值	在 IKEv2 中，指定是否使用受信任的证书颁发机构、CRL 和/或对等证书来验证 IKE 对等体发送的证书。 在 IKEv1 中，指定是否使用证书中的凭据以以下方式验证对等体发送的标识符：ASN1DN；指定将整个证书主题名称与标识符进行比较。地址、FQDN 或用户 FQDN；指定将证书的 subjectAltName 与标识符进行比较。如果两者不匹配，则协商失败。 创建新的 IKE 对等体时，如果未指定此值，并且 phase1_auth_method 为 rsa-signature，则默认为 false。 当 phase1_auth_method 为 pre-shared-key 时，此参数无效。 选项 false true
presented_id_type 字符串	指定本地系统在 IKE 第一阶段协商期间用于向对等体标识自身的标识符类型。 选项 "address" "asn1dn" "fqdn" "keyid-tag" "user-fqdn" "override"
presented_id_value 字符串	使用 presented_id_type 为 override 时，指定标识符的值。 当 version 包含 (Cv2) 时，这是必填值。
preshared_key 字符串	指定 IKE 对等体共享用于相互身份验证的字符串。 此参数仅在 phase1_auth_method 为 pre-shared-key 时相关。 当 phase1_auth_method 为 rsa-signature 时，此参数无效。
provider 字典 f5networks.f5_modules 1.0.0 中新增	包含连接详细信息的字典对象。
auth_provider 字符串	配置 auth provider 以从远程设备获取身份验证令牌。 此选项在使用 BIG-IQ 设备时非常有用。
no_f5_teem 布尔值	如果为 yes，则不会将 TEEM 遥测数据发送到 F5。 您可以通过设置环境变量 F5_TELEMETRY_OFF 来省略此选项。 以前使用的变量 F5_TEEM 已弃用，因为其名称令人困惑。 选项 false ← (默认) true
密码 别名：pass，pwd 字符串 / 必填	用于连接 BIG-IP 或 BIG-IQ 的用户帐户密码。 您可以通过设置环境变量 F5_PASSWORD 来省略此选项。
服务器 字符串 / 必填	BIG-IP 主机或 BIG-IQ 主机。 您可以通过设置环境变量 F5_SERVER 来省略此选项。
服务器端口 整数	BIG-IP 服务器端口。 您可以通过设置环境变量 F5_SERVER_PORT 来省略此选项。 默认值： 443
超时 整数	指定与网络设备通信的超时时间（以秒为单位），用于连接或发送命令。如果在操作完成之前超时，模块将报错。
传输 字符串	配置连接到远程设备时使用的传输连接。 选项 "rest" ← (默认)
用户 字符串 / 必填	连接到 BIG-IP 或 BIG-IQ 的用户名。此用户必须具有设备上的管理员权限。 您可以通过设置环境变量 F5_USER 来省略此选项。
验证证书 布尔值	如果为 no，则不验证 SSL 证书。仅在使用自签名证书的个人控制站点上使用此选项。 您可以通过设置环境变量 F5_VALIDATE_CERTS 来省略此选项。 选项 false true ← (默认)
远程地址 字符串	显示与您正在配置的系统远程的 BIG-IP 系统的 IP 地址。
状态 字符串	当 present 时，确保资源存在。 当 absent 时，确保资源被移除。 选项 "present" ← (默认) "absent"
更新密码 字符串	always 允许在用户选择时更新密码。on_create 仅为新创建的 IKE 对等体设置密码。 选项 "always" ← (默认) "on_create"
已验证的 ID 类型 字符串	指定本地系统在 IKE 第一阶段协商期间用于识别对等体的标识符类型。 当 version 包含 (Cv2) 时，这是必填值。 当 user-fqdn 时，verified_id_value 的值必须采用 用户@DNS 域名 字符串的形式。 选项 "address" "asn1dn" "fqdn" "keyid-tag" "user-fqdn" "override"
已验证的 ID 值 字符串	当使用 verified_id_type 为 override 时，指定标识符的值。 当 version 包含 (Cv2) 时，这是必填值。
版本 列表 / 元素=字符串	指定使用哪个版本的 IKE（互联网密钥交换）。 如果正在配置的系统是 IPsec 发起者，并且选择了两个版本，则系统尝试使用 IKEv2 进行协商。如果远程对等体不支持 IKEv2，则 IPsec 隧道将失败。在这种情况下，要使用 IKEv1，必须取消选择版本 2 并重试。 如果正在配置的系统是 IPsec 响应者，并且选择了两个版本，则 IPsec 发起者系统将确定要使用的 IKE 版本。 创建新的 IKE 对等体时，此值是必需的。 选项 "v1" "v2"

注释

注意

• 有关使用 Ansible 管理 F5 网络设备的更多信息，请参见 https://ansible.org.cn/integrations/networks/f5。

• 需要 BIG-IP 软件版本 >= 12。

• F5 模块仅操作 F5 产品的运行配置。为了确保 BIG-IP 特定的配置持久保存到磁盘，请务必包含至少一项使用 f5networks.f5_modules.bigip_config 模块保存运行配置的任务。请参考模块的文档，了解保存运行配置的模块的正确使用方法。

示例

- name: Create new IKE peer
  bigip_ike_peer:
    name: ike1
    remote_address: 1.2.3.4
    version:
      - v1
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

- name: Change presented id type - keyid-tag
  bigip_ike_peer:
    name: ike1
    presented_id_type: keyid-tag
    presented_id_value: key1
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

- name: Remove IKE peer
  bigip_ike_peer:
    name: ike1
    state: absent
    provider:
      password: secret
      server: lb.mydomain.com
      user: admin
  delegate_to: localhost

返回值

常见的返回值已在 此处 记录，以下是此模块特有的字段

密钥	描述
phase1_auth_method 字符串	资源的新 IKE 第一阶段凭据身份验证方法值。 已返回：已更改 示例： "rsa-signature"
phase1_cert 字符串	新的 IKE 第一阶段证书凭据。 已返回：已更改 示例： "/Common/cert1.crt"
phase1_encryption_algorithm 字符串	新的 IKE 第一阶段加密算法。 已返回：已更改 示例： "3des"
phase1_hash_algorithm 字符串	新的 IKE 第一阶段身份验证算法。 已返回：已更改 示例： "sha256"
phase1_key 字符串	新的 IKE 第一阶段密钥凭据。 已返回：已更改 示例： "/Common/cert1.key"
phase1_perfect_forward_secrecy 字符串	新的 IKE 第一阶段完全正向保密。 已返回：已更改 示例： "modp1024"
phase1_verify_peer_cert 布尔值	新的 IKE 第一阶段密钥验证对等证书设置。 已返回：已更改 示例： true
presented_id_type 字符串	资源的新呈现 ID 类型值。 已返回：已更改 示例： "address"
presented_id_value 字符串	呈现 ID 类型的新呈现 ID 值设置。 已返回：已更改 示例： "1.2.3.1"
远程地址 字符串	资源的新远程地址值。 已返回：已更改 示例： "1.2.2.1"
已验证的 ID 类型 字符串	资源的新已验证 ID 类型值。 已返回：已更改 示例： "address"
已验证的 ID 值 字符串	已验证 ID 类型的新已验证 ID 值设置。 已返回：已更改 示例： "1.2.3.1"
版本 列表 / 元素=字符串	新的 IKE 版本列表。 已返回：已更改 示例： ["v1", "v2"]

作者

• Tim Rupp (@caphrim007)

• Wojciech Wypior (@wojtek0806)

集合链接

• 问题跟踪器
• 主页
• 仓库（源代码）