fortinet.fortimanager.fmgr_pkg_firewall_policy 模块 – 配置 IPv4 策略。
注意
此模块是 fortinet.fortimanager 集合（版本 2.8.2）的一部分。
如果您使用的是 ansible 包，您可能已经安装了这个集合。它不包含在 ansible-core 中。要检查是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用：ansible-galaxy collection install fortinet.fortimanager。
要在 playbook 中使用它，请指定：fortinet.fortimanager.fmgr_pkg_firewall_policy。
fortinet.fortimanager 1.0.0 中的新功能
概要
此模块能够配置 FortiManager 设备。
示例包括所有需要在使用前调整为数据源的参数和值。
参数
参数 |
注释 |
|---|---|
用于访问 FortiManager 而无需使用用户名和密码的令牌。 |
|
请求的 URL 中的参数 (adom)。 |
|
仅当模块架构与 FortiManager API 结构不同时设置为 True，模块将继续执行而不验证参数。 选项
|
|
启用/禁用任务的日志记录。 选项
|
|
使用 FortiCloud API 访问令牌验证 Ansible 客户端。 |
|
请求的 URL 中的参数 (pkg)。 |
|
设置的顶层参数。 |
|
分配的策略块。 |
|
策略操作 选项
|
|
启用/禁用防重放检查。 选项
|
|
（列表或字符串）应用程序类别 ID 列表。 |
|
（列表或字符串）应用程序组名称。 |
|
（列表）应用程序 ID 列表。 |
|
现有应用程序列表的名称。 |
|
用于策略身份验证的 HTTPS 服务器证书。 |
|
启用/禁用基于身份验证的路由。 选项
|
|
用于防火墙身份验证的 HTTP 到 HTTPS 重定向地址。 |
|
启用/禁用将安全配置文件处理卸载到 CP 处理器。 选项
|
|
现有防病毒配置文件的名称。 |
|
启用/禁用最佳路由的使用。 选项
|
|
启用/禁用阻止通知。 选项
|
|
启用以使某些用户免于使用强制门户。 选项
|
|
启用/禁用捕获数据包。 选项
|
|
现有 CASB 配置文件的名称。 |
|
CASI 配置文件。 |
|
启用/禁用 CGN 端点独立过滤。 选项
|
|
启用/禁用 CGN 端点独立映射 选项
|
|
NP 日志服务器组名称 |
|
资源配额 |
|
会话配额 |
|
启用/禁用软件端点独立过滤控制。 选项
|
|
现有 CIFS 配置文件的名称。 |
|
(字典或字符串) 注释。 |
|
(列表或字符串) 要附加到此策略的日志消息的自定义字段。 |
|
解密流量镜像。 |
|
启用 TCP NPU 会话延迟以保证三次握手的数据包顺序。 选项
|
|
启用/禁用 TCP NPU 会话延迟，以保证三次握手的数据包顺序。 选项
|
|
(列表或字符串) 可由策略匹配的设备或设备组的名称。 |
|
现有 Diameter 过滤配置文件的名称。 |
|
启用以将数据包的 DiffServ 值从会话的原始方向复制到其回复方向。 选项
|
|
启用以将数据包的 DiffServ 值更改为指定的 diffservcode-forward 值。 选项
|
|
启用以更改数据包的反向 选项
|
|
将数据包的 DiffServ 更改为此值。 |
|
更改数据包的反向 |
|
启用/禁用用户身份验证免责声明。 选项
|
|
现有 DLP 配置文件的名称。 |
|
现有 DLP 传感器的名称。 |
|
现有 DNS 过滤配置文件的名称。 |
|
启用 DSCP 检查。 选项
|
|
启用取反的 DSCP 匹配。 选项
|
|
DSCP 值。 |
|
启用 DSRI 以忽略 HTTP 服务器响应。 选项
|
|
(列表或字符串) 目标地址和地址组名称。 |
|
(列表或字符串) 目标 IPv6 地址名称和地址组名称。 |
|
启用后，dstaddr6 指定目标地址不能是什么。 选项
|
|
启用后，dstaddr 指定目标地址不能是什么。 选项
|
|
(列表或字符串) 出站 |
|
启用/禁用动态 RADIUS 定义的流量整形。 选项
|
|
启用/禁用检查端点独立过滤针孔。 选项
|
|
启用/禁用学习端点独立过滤针孔。 选项
|
|
启用/禁用电子邮件收集。 选项
|
|
现有电子邮件过滤配置文件的名称。 |
|
在 FEC 设备上，为此策略匹配的流量启用/禁用前向纠错。 选项
|
|
现有文件过滤配置文件的名称。 |
|
如果此防火墙策略的配置更改，如何处理会话。 选项
|
|
启用以防止源 NAT 更改会话的源端口。 选项
|
|
启用/禁用 Fortinet 单点登录。 选项
|
|
用于 NTLM 身份验证的 FSSO 代理。 |
|
(列表或字符串) FSSO 组的名称。 |
|
使用地理 IP 数据库启用/禁用识别任播 IP 地址。 选项
|
|
根据地理位置的物理位置或注册位置匹配地理位置地址。 选项
|
|
当 GUI 处于全局视图模式时显示的策略标签。 |
|
(列表或字符串) 可以使用此策略进行身份验证的用户组的名称。 |
|
GTP 配置文件。 |
|
重定向 HTTP 选项
|
|
现有 ICAP 配置文件的名称。 |
|
基于身份的路由规则的名称。 |
|
基于策略的 IPsec VPN 选项
|
|
策略检查模式 选项
|
|
启用/禁用此策略使用 Internet 服务。 选项
|
|
启用/禁用此策略使用 IPv6 Internet 服务。 选项
|
|
(列表) 自定义 IPv6 Internet 服务名称。 |
|
(列表) 自定义 Internet Service6 组名称。 |
|
(列表) Internet 服务组名称。 |
|
(列表) IPv6 Internet 服务名称。 |
|
启用后，internet-service6 指定该服务不能是什么。 选项
|
|
启用/禁用此策略在源中使用 IPv6 Internet 服务。 选项
|
|
(列表) 自定义 IPv6 Internet 服务源名称。 |
|
(列表) 自定义 Internet Service6 源组名称。 |
|
(列表) Internet Service6 源组名称。 |
|
(列表) IPv6 Internet Service 源名称。 |
|
启用后，internet-service6-src 指定服务必须“不是”什么。 选项
|
|
(列表或字符串) 自定义 Internet 服务名称。 |
|
(列表或字符串) 自定义 Internet 服务组名称。 |
|
(列表或字符串) Internet 服务组名称。 |
|
(列表或字符串) Internet 服务 ID。 |
|
(列表或字符串) Internet 服务名称。 |
|
启用后，internet-service 指定服务必须“不是”什么。 选项
|
|
启用/禁用在此策略的源中使用 Internet 服务。 选项
|
|
(列表或字符串) 自定义 Internet 服务源名称。 |
|
(列表或字符串) 自定义 Internet 服务源组名称。 |
|
(列表或字符串) Internet 服务源组名称。 |
|
(列表或字符串) Internet 服务源 ID。 |
|
(列表或字符串) Internet 服务源名称。 |
|
启用后，internet-service-src 指定服务必须“不是”什么。 选项
|
|
策略的 IP 版本。 |
|
启用以将 IP 池用于源 NAT。 选项
|
|
现有 IPS 传感器的名称。 |
|
现有 VoIP 的名称 |
|
当 GUI 处于节视图模式时，显示的策略标签。 |
|
启用以允许所有内容，但记录所有有意义的数据以进行安全信息收集。 选项
|
|
启用/禁用 HTTP 事务日志。 选项
|
|
启用或禁用日志记录。 选项
|
|
当会话开始和结束时记录日志。 选项
|
|
启用以匹配目标地址已被 VIP 更改的数据包。 选项
|
|
启用/禁用仅匹配目标地址已被 VIP 更改的那些数据包。 选项
|
|
现有 MMS 配置文件的名称。 |
|
策略名称。 |
|
启用/禁用源 NAT。 选项
|
|
启用/禁用 NAT46。 选项
|
|
启用/禁用 NAT64。 选项
|
|
基于策略的 IPsec VPN 选项
|
|
基于策略的 IPsec VPN |
|
基于策略的 IPsec VPN 选项
|
|
(列表) 动态网络服务名称。 |
|
(列表) 动态网络服务源名称。 |
|
启用/禁用 UTM 网络处理器加速。 选项
|
|
启用/禁用 UTM 网络处理器加速。 选项
|
|
启用/禁用 NTLM 身份验证。 选项
|
|
(列表) 受支持浏览器的 HTTP-User-Agent 值。 |
|
启用/禁用 NTLM 来宾用户访问。 选项
|
|
对象位置。 |
|
基于策略的 IPsec VPN 选项
|
|
启用/禁用被动 WAN 健康状况测量。 选项
|
|
启用/禁用 PCP 入站 DNAT。 选项
|
|
启用/禁用 PCP 出站 SNAT。 选项
|
|
(列表) PCP 池名称。 |
|
每个 IP 的流量整形器。 |
|
接受来自任何主机的 UDP 数据包。 选项
|
|
接受来自任何 NAT 会话遍历实用程序的 UDP 数据包 选项
|
|
PFCP 配置文件。 |
|
策略的行为。 |
|
启用/禁用策略过期。 选项
|
|
策略到期日期 |
|
策略到期日期和时间，以纪元格式表示。 |
|
启用/禁用 CGNAT 的硬件会话设置。 选项
|
|
策略 ID。 |
|
(列表或字符串) IP 池名称。 |
|
(列表或字符串) IPv6 池名称。 |
|
启用/禁用保留来自源 NAT 的原始源端口（如果尚未使用）。 选项
|
|
配置文件组的名称。 |
|
现有协议选项配置文件的名称。 |
|
确定防火墙策略是仅允许安全配置文件组还是仅允许单个配置文件。 选项
|
|
启用 IP 身份验证绕过。 选项
|
|
启用 MAC 地址认证绕过。 选项
|
|
用户在看到并接受免责声明或完成身份验证后将被定向到的 URL。 |
|
覆盖此策略的默认替换消息组。 |
|
用于信誉生效的初始流量方向。 选项
|
|
用于 IPv6 信誉生效的初始流量方向。 选项
|
|
采取行动的最低信誉值。 |
|
采取行动的 IPv6 最低信誉值。 |
|
启用/禁用 RADIUS 单点登录。 选项
|
|
（列表或字符串）如果这是一个 RTP NAT 策略，则为地址名称。 |
|
启用实时协议 (RTP)。 选项
|
|
阻止或监视与僵尸网络服务器的连接，或禁用僵尸网络扫描。 选项
|
|
计划名称。 |
|
启用后，当计划对象超时时，强制当前会话结束。 选项
|
|
现有 SCTP 过滤器配置文件的名称。 |
|
启用后，当会话被防火墙策略拒绝或阻止时发送回复。 选项
|
|
（列表或字符串）服务和服务组名称。 |
|
启用后，服务指定该服务必须不是什么。 选项
|
|
（整数或字符串）此策略接受的会话的会话 TTL（以秒为单位）。 |
|
（列表）安全组标签。 |
|
启用/禁用安全组标签 选项
|
|
现有垃圾邮件过滤器配置文件的名称。 |
|
（列表或字符串）供应商 MAC 源 ID。 |
|
（列表或字符串）源地址和地址组名称。 |
|
（列表或字符串）源 IPv6 地址名称和地址组名称。 |
|
启用后，srcaddr6 指定源地址必须不是什么。 选项
|
|
启用后，srcaddr 指定源地址必须不是什么。 选项
|
|
（列表或字符串）传入 |
|
现有 SSH 过滤器配置文件的名称。 |
|
将 SSH 流量重定向到匹配的透明代理策略。 选项
|
|
启用后，将解密的 SSL 流量复制到 FortiGate 接口。 选项
|
|
（列表或字符串）SSL 镜像接口名称。 |
|
现有 SSL SSH 配置文件的名称。 |
|
启用或禁用此策略。 选项
|
|
应用于此策略的对象标签的名称。 |
|
接收方 TCP 最大段大小。 |
|
发送方 TCP 最大段大小。 |
|
启用/禁用在没有 SYN 标志的情况下创建 TCP 会话。 选项
|
|
TCP 超时配置文件 ID。 |
|
启用/禁用在 TCP 会话过期时发送 RST 数据包。 选项
|
|
ToS |
|
非零位位置用于比较，而零位位置将被忽略。 |
|
启用取反的 TOS 匹配。 选项
|
|
流量整形器。 |
|
反向流量整形器。 |
|
UDP 超时配置文件 ID。 |
|
（列表或字符串）URL 类别 ID 列表。 |
|
（列表或字符串）可以使用此策略进行身份验证的个人用户的名称。 |
|
启用后，添加一个或多个安全配置文件 选项
|
|
通用唯一标识符。 |
|
现有视频过滤器配置文件的名称。 |
|
现有虚拟补丁配置文件的名称。 |
|
VLAN 前向方向用户优先级。 |
|
VLAN 反向方向用户优先级。 |
|
设置 VLAN 过滤器。 |
|
现有 VoIP 配置文件的名称。 |
|
VPN 目标节点。 |
|
主机。 |
|
序列。 |
|
子网。 |
|
VPN 源节点。 |
|
主机。 |
|
序列。 |
|
子网。 |
|
基于策略的 IPsec VPN |
|
现有 Web 应用程序防火墙配置文件的名称。 |
|
启用/禁用 WAN 优化。 选项
|
|
WAN 优化自动检测模式。 选项
|
|
WAN 优化被动模式选项。 选项
|
|
WAN 优化对等体。 |
|
WAN 优化配置文件。 |
|
启用/禁用将与此策略匹配的流量转发到配置的 WCCP 服务器。 选项
|
|
启用/禁用 Web 缓存。 选项
|
|
启用/禁用 HTTPS 的 Web 缓存。 选项
|
|
现有 Web 过滤器配置文件的名称。 |
|
Web 代理转发服务器名称。 |
|
Web 代理配置文件名称。 |
|
启用/禁用 WiFi 单点登录 选项
|
|
启用/禁用零信任设备所有权。 选项
|
|
(列表或字符串) 源 ztna-ems-tag 名称。 |
|
(列表) 源 ztna-ems-tag-secondary 名称。 |
|
(列表或字符串) 源 ztna-geo-tag 名称。 |
|
将 ZTNA 流量重定向到匹配的 Access-Proxy 代理策略。 选项
|
|
启用/禁用零信任访问。 选项
|
|
ZTNA 标签匹配逻辑。 选项
|
|
底层 Json RPC 请求的覆盖方法。 选项
|
|
将覆盖失败条件的 rc 代码列表。 |
|
将覆盖成功条件的 rc 代码列表。 |
|
创建、更新或删除对象的指令。 选项
|
|
在工作区模式下运行的 FortiManager 要锁定的 ADOM，该值可以是 global 和其他值，包括 root。 |
|
等待其他用户释放工作区锁定的最长时间（秒）。 默认值: |
注释
注意
从 2.4.0 版本开始，所有输入参数都使用下划线命名约定 (snake_case) 进行命名。请将参数（例如 “var-name”）更改为 “var_name”。旧的参数名称仍然可用，但您会收到弃用警告。您可以通过在 ansible.cfg 中设置 deprecation_warnings=False 来忽略此警告。
此 FortiManager 模块支持在工作区锁定模式下运行，顶层参数 workspace_locking_adom 和 workspace_locking_timeout 有助于完成此工作。
要创建或更新对象，请使用 state present 指令。
要删除对象，请使用 state absent 指令。
通常，当返回非零 rc 时，运行一个模块可能会失败。您还可以使用参数 rc_failed 和 rc_succeeded 来覆盖失败或成功的条件。
示例
- name: Example playbook
hosts: fortimanagers
connection: httpapi
vars:
ansible_httpapi_use_ssl: true
ansible_httpapi_validate_certs: false
ansible_httpapi_port: 443
tasks:
- name: Configure IPv4 policies.
fortinet.fortimanager.fmgr_pkg_firewall_policy:
bypass_validation: false
adom: ansible
pkg: ansible # package name
state: present
pkg_firewall_policy:
action: accept # <value in [deny, accept, ipsec, ...]>
comments: ansible-comment
dstaddr: all
dstintf: any
# name: ansible-test-policy
nat: disable
policyid: 1
schedule: always
service: ALL
srcaddr: all
srcintf: any
status: disable
- name: Gathering fortimanager facts
hosts: fortimanagers
gather_facts: false
connection: httpapi
vars:
ansible_httpapi_use_ssl: true
ansible_httpapi_validate_certs: false
ansible_httpapi_port: 443
tasks:
- name: Retrieve all the IPv4 policies
fortinet.fortimanager.fmgr_fact:
facts:
selector: "pkg_firewall_policy"
params:
adom: "ansible"
pkg: "ansible" # package name
policy: "your_value"
返回值
通用返回值记录在此处 这里，以下是此模块独有的字段
键 |
描述 |
|---|---|
请求的结果。 返回: 总是 |
|
请求的完整 URL。 返回: 总是 示例: |
|
API 请求的状态。 返回: 总是 示例: |
|
API 响应。 返回: 总是 |
|
API 响应的描述性消息。 返回: 总是 示例: |
|
目标系统的信息。 返回: 总是 |
|
请求的状态。 返回: 总是 示例: |
|
如果 playbook 中使用的参数不受当前 FortiManager 版本支持，则发出警告。 返回: 复杂 |