fortinet.fortios.fortios_firewall_policy6 模块 – 在 Fortinet 的 FortiOS 和 FortiGate 中配置 IPv6 策略。
注意
此模块是 fortinet.fortios 集合 (版本 2.3.8) 的一部分。
如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用： ansible-galaxy collection install fortinet.fortios。您需要其他要求才能使用此模块，请参阅 要求 获取详细信息。
要在剧本中使用它，请指定： fortinet.fortios.fortios_firewall_policy6。
fortinet.fortios 2.0.0 中的新增功能
概要
此模块能够通过允许用户设置和修改防火墙功能和 policy6 类别来配置 FortiGate 或 FortiOS (FOS) 设备。示例包括所有参数，在使用前需要将值调整为数据源。已在 FOS v6.0.0 上测试。
要求
执行此模块的主机需要以下要求。
ansible>=2.15
参数
参数 |
注释 |
|---|---|
基于令牌的身份验证。从 Fortigate 的 GUI 生成。 |
|
启用/禁用任务的日志记录。 选项
|
|
配置 IPv6 策略。 |
|
策略操作 (允许/拒绝/IPsec)。 选项
|
|
启用/禁用防重播检查。 选项
|
|
应用程序类别 ID 列表。 |
|
类别 ID。请参阅 <a href=’#notes’>注释</a>。 |
|
应用程序组名称。 |
|
应用程序组名称。来源 application.group.name。 |
|
应用程序 ID 列表。 |
|
应用程序 ID。请参阅 <a href=’#notes’>注释</a>。 |
|
现有应用程序列表的名称。来源 application.list.name。 |
|
启用/禁用策略流量 ASIC 卸载。 选项
|
|
现有防病毒配置文件的名称。来源 antivirus.profile.name。 |
|
现有 CIFS 配置文件的名称。来源 cifs.profile.name。 |
|
注释。 |
|
日志字段索引号，用于将自定义日志字段附加到此策略的日志消息。 |
|
自定义日志字段。来源 log.custom-field.id。 |
|
策略可以匹配的设备或设备组的名称。 |
|
设备或组名称。来源 user.device.alias user.device-group.name user.device-category.name。 |
|
启用后，将数据包的 DiffServ 值更改为指定的 diffservcode-forward 值。 选项
|
|
启用后，将数据包的反向 (回复) DiffServ 值更改为指定的 diffservcode-rev 值。 选项
|
|
将数据包的 DiffServ 更改为此值。 |
|
将数据包的反向 (回复) DiffServ 更改为此值。 |
|
现有 DLP 传感器的名称。来源 dlp.sensor.name。 |
|
现有 DNS 过滤配置文件的名称。来源 dnsfilter.profile.name。 |
|
启用 DSCP 检查。 选项
|
|
启用否定的 DSCP 匹配。 选项
|
|
DSCP 值。 |
|
启用 DSRI 以忽略 HTTP 服务器响应。 选项
|
|
目标地址和地址组名称。 |
|
地址名称。来源 firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system .external-resource.name。 |
|
启用后，dstaddr 指定目标地址不能是什么。 选项
|
|
出站 (出口) 接口。 |
|
接口名称。来源 system.interface.name system.zone.name。 |
|
现有电子邮件过滤配置文件的名称。来源 emailfilter.profile.name。 |
|
如果此防火墙策略的配置发生更改，如何处理会话。 选项
|
|
启用后，可防止源 NAT 更改会话的源端口。 选项
|
|
FSSO 组的名称。 |
|
FSSO 组的名称。来源 user.adgrp.name。 |
|
在 GUI 处于全局视图模式时显示的策略标签。 |
|
可以使用此策略进行身份验证的用户组的名称。 |
|
组名称。来源 user.group.name。 |
|
将 HTTP(S) 流量重定向到匹配的透明 Web 代理策略。 选项
|
|
现有 ICAP 配置文件的名称。来源 icap.profile.name。 |
|
基于策略的 IPsec VPN：只有来自远程网络的流量才能启动 VPN。 选项
|
|
策略检查模式 (流/代理)。默认为流模式。 选项
|
|
启用后，可使用 IP 池进行源 NAT。 选项
|
|
现有 IPS 传感器的名称。来源 ips.sensor.name。 |
|
GUI处于“分段视图”模式时显示的策略标签。 |
|
启用或禁用日志记录。记录所有会话或安全配置文件会话。 选项
|
|
会话启动时记录日志。 选项
|
|
现有MMS配置文件的名称。来源：firewall.mms-profile.name。 |
|
策略名称。 |
|
启用/禁用源NAT。 选项
|
|
基于策略的IPsec VPN：将目标NAT应用于入站流量。 选项
|
|
基于策略的IPsec VPN：将源NAT应用于出站流量。 选项
|
|
启用/禁用UTM网络处理器加速。 选项
|
|
基于策略的IPsec VPN：只有来自内部网络的流量才能启动VPN。 选项
|
|
每个IP流量整形器。来源：firewall.shaper.per-ip-shaper.name。 |
|
策略ID (0 - 4294967294)。参见 备注。 |
|
IP池名称。 |
|
IP池名称。来源：firewall.ippool6.name。 |
|
配置文件组的名称。来源：firewall.profile-group.name。 |
|
现有协议选项配置文件的名称。来源：firewall.profile-protocol-options.name。 |
|
确定防火墙策略只允许安全配置文件组还是单个配置文件。 选项
|
|
覆盖此策略的默认替换消息组。来源：system.replacemsg-group.name。 |
|
启用/禁用RADIUS单点登录(RSSO)。 选项
|
|
计划名称。来源：firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name。 |
|
启用/禁用返回拒绝数据包。 选项
|
|
服务和服务组名称。 |
|
地址名称。来源：firewall.service.custom.name firewall.service.group.name。 |
|
启用时，service指定服务不应是什么。 选项
|
|
此策略接受的会话的会话TTL（秒）。0表示使用系统默认会话TTL。 |
|
现有垃圾邮件过滤器配置文件的名称。来源：spamfilter.profile.name。 |
|
源地址和地址组名称。 |
|
地址名称。来源：firewall.address6.name firewall.addrgrp6.name system.external-resource.name。 |
|
启用时，srcaddr指定源地址不应是什么。 选项
|
|
传入（入站）接口。 |
|
接口名称。来源：system.zone.name system.interface.name。 |
|
现有SSH过滤器配置文件的名称。来源：ssh-filter.profile.name。 |
|
将SSH流量重定向到匹配的透明代理策略。 选项
|
|
启用后，将解密的SSL流量复制到FortiGate接口（称为SSL镜像）。 选项
|
|
SSL镜像接口名称。 |
|
接口名称。来源：system.zone.name system.interface.name。 |
|
现有SSL SSH配置文件的名称。来源：firewall.ssl-ssh-profile.name。 |
|
启用或禁用此策略。 选项
|
|
接收方TCP最大段大小（MSS）。 |
|
发送方TCP最大段大小（MSS）。 |
|
启用/禁用创建无SYN标志的TCP会话。 选项
|
|
启用/禁用在TCP会话过期时发送RST数据包。 选项
|
|
用于比较的服务类型(ToS)值。 |
|
非零位位置用于比较，而零位位置被忽略。 |
|
启用反向TOS匹配。 选项
|
|
反向流量整形器。来源：firewall.shaper.traffic-shaper.name。 |
|
反向流量整形器。来源：firewall.shaper.traffic-shaper.name。 |
|
URL类别ID列表。 |
|
URL类别ID。参见 备注。 |
|
可以使用此策略进行身份验证的单个用户的名称。 |
|
可以使用此策略进行身份验证的单个用户的名称。来源：user.local.name。 |
|
启用AV/Web/IPS保护配置文件。 选项
|
|
通用唯一标识符(UUID；自动分配，但可以手动重置)。 |
|
VLAN转发方向用户优先级：255直通，0最低，7最高 |
|
VLAN反向方向用户优先级：255直通，0最低，7最高 |
|
设置VLAN过滤器。 |
|
现有VoIP配置文件的名称。来源：voip.profile.name。 |
|
基于策略的IPsec VPN：IPsec VPN Phase 1的名称。来源：vpn.ipsec.phase1.name vpn.ipsec.manualkey.name。 |
|
现有Web应用程序防火墙配置文件的名称。来源：waf.profile.name。 |
|
启用/禁用Web缓存。 选项
|
|
启用/禁用HTTPS的Web缓存。 选项
|
|
现有Web过滤器配置文件的名称。来源：webfilter.profile.name。 |
|
Web代理转发服务器名称。来源：web-proxy.forward-server.name web-proxy.forward-server-group.name。 |
|
Web代理配置文件名称。来源：web-proxy.profile.name。 |
|
要操作的成员属性路径。 如果有多个属性，则用斜杠字符分隔。 标有member_path的参数对于执行成员操作是合法的。 |
|
在指定的属性路径下添加或删除成员。 指定member_state时，将忽略state选项。 选项
|
|
指示是创建还是删除对象。 选项
|
|
虚拟域，在先前定义的虚拟域中。vdom是FortiGate的虚拟实例，可以将其配置和用作不同的单元。 默认值： |
备注
注意
我们强烈建议您使用自己的值作为policyid，而不是0。虽然‘0’是一个特殊的占位符，允许后端为对象分配最新的可用号码，但它确实有一些限制。请在问答中查找更多详细信息。
旧的fortiosapi已弃用，httpapi是运行剧本的首选方法。
该模块支持check_mode。
示例
- name: Configure IPv6 policies.
fortinet.fortios.fortios_firewall_policy6:
vdom: "{{ vdom }}"
state: "present"
access_token: "<your_own_value>"
firewall_policy6:
action: "accept"
anti_replay: "enable"
app_category:
-
id: "6"
app_group:
-
name: "default_name_8 (source application.group.name)"
application:
-
id: "10"
application_list: "<your_own_value> (source application.list.name)"
auto_asic_offload: "enable"
av_profile: "<your_own_value> (source antivirus.profile.name)"
cifs_profile: "<your_own_value> (source cifs.profile.name)"
comments: "<your_own_value>"
custom_log_fields:
-
field_id: "<your_own_value> (source log.custom-field.id)"
devices:
-
name: "default_name_19 (source user.device.alias user.device-group.name user.device-category.name)"
diffserv_forward: "enable"
diffserv_reverse: "enable"
diffservcode_forward: "<your_own_value>"
diffservcode_rev: "<your_own_value>"
dlp_sensor: "<your_own_value> (source dlp.sensor.name)"
dnsfilter_profile: "<your_own_value> (source dnsfilter.profile.name)"
dscp_match: "enable"
dscp_negate: "enable"
dscp_value: "<your_own_value>"
dsri: "enable"
dstaddr:
-
name: "default_name_31 (source firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system
.external-resource.name)"
dstaddr_negate: "enable"
dstintf:
-
name: "default_name_34 (source system.interface.name system.zone.name)"
emailfilter_profile: "<your_own_value> (source emailfilter.profile.name)"
firewall_session_dirty: "check-all"
fixedport: "enable"
fsso_groups:
-
name: "default_name_39 (source user.adgrp.name)"
global_label: "<your_own_value>"
groups:
-
name: "default_name_42 (source user.group.name)"
http_policy_redirect: "enable"
icap_profile: "<your_own_value> (source icap.profile.name)"
inbound: "enable"
inspection_mode: "proxy"
ippool: "enable"
ips_sensor: "<your_own_value> (source ips.sensor.name)"
label: "<your_own_value>"
logtraffic: "all"
logtraffic_start: "enable"
mms_profile: "<your_own_value> (source firewall.mms-profile.name)"
name: "default_name_53"
nat: "enable"
natinbound: "enable"
natoutbound: "enable"
np_acceleration: "enable"
outbound: "enable"
per_ip_shaper: "<your_own_value> (source firewall.shaper.per-ip-shaper.name)"
policyid: "<you_own_value>"
poolname:
-
name: "default_name_62 (source firewall.ippool6.name)"
profile_group: "<your_own_value> (source firewall.profile-group.name)"
profile_protocol_options: "<your_own_value> (source firewall.profile-protocol-options.name)"
profile_type: "single"
replacemsg_override_group: "<your_own_value> (source system.replacemsg-group.name)"
rsso: "enable"
schedule: "<your_own_value> (source firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name)"
send_deny_packet: "enable"
service:
-
name: "default_name_71 (source firewall.service.custom.name firewall.service.group.name)"
service_negate: "enable"
session_ttl: "<your_own_value>"
spamfilter_profile: "<your_own_value> (source spamfilter.profile.name)"
srcaddr:
-
name: "default_name_76 (source firewall.address6.name firewall.addrgrp6.name system.external-resource.name)"
srcaddr_negate: "enable"
srcintf:
-
name: "default_name_79 (source system.zone.name system.interface.name)"
ssh_filter_profile: "<your_own_value> (source ssh-filter.profile.name)"
ssh_policy_redirect: "enable"
ssl_mirror: "enable"
ssl_mirror_intf:
-
name: "default_name_84 (source system.zone.name system.interface.name)"
ssl_ssh_profile: "<your_own_value> (source firewall.ssl-ssh-profile.name)"
status: "enable"
tcp_mss_receiver: "32767"
tcp_mss_sender: "32767"
tcp_session_without_syn: "all"
timeout_send_rst: "enable"
tos: "<your_own_value>"
tos_mask: "<your_own_value>"
tos_negate: "enable"
traffic_shaper: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
traffic_shaper_reverse: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
url_category:
-
id: "97"
users:
-
name: "default_name_99 (source user.local.name)"
utm_status: "enable"
uuid: "<your_own_value>"
vlan_cos_fwd: "3"
vlan_cos_rev: "3"
vlan_filter: "<your_own_value>"
voip_profile: "<your_own_value> (source voip.profile.name)"
vpntunnel: "<your_own_value> (source vpn.ipsec.phase1.name vpn.ipsec.manualkey.name)"
waf_profile: "<your_own_value> (source waf.profile.name)"
webcache: "enable"
webcache_https: "disable"
webfilter_profile: "<your_own_value> (source webfilter.profile.name)"
webproxy_forward_server: "<your_own_value> (source web-proxy.forward-server.name web-proxy.forward-server-group.name)"
webproxy_profile: "<your_own_value> (source web-proxy.profile.name)"
返回值
常见的返回值已在此处记录 此处，以下是此模块特有的字段
键 |
描述 |
|---|---|
FortiGate镜像的版本号 返回： 始终 示例： |
|
上次用于将内容置入FortiGate的方法 返回： 始终 示例： |
|
FortiGate在上次应用的操作中给出的最后结果 返回： 始终 示例： |
|
上次调用FortiGate时使用的主密钥(ID) 返回： 成功 示例： |
|
用于满足请求的表的名称 返回： 始终 示例： |
|
用于满足请求的表的路径 返回： 始终 示例： |
|
内部修订号 返回： 始终 示例： |
|
设备的序列号 返回： 始终 示例： |
|
操作结果的指示 返回： 始终 示例： |
|
使用的虚拟域 返回： 始终 示例： |
|
FortiGate的版本 返回： 始终 示例： |