fortinet.fortios.fortios_firewall_policy 模块 – 在 Fortinet 的 FortiOS 和 FortiGate 中配置 IPv4/IPv6 策略。

注意

此模块是 fortinet.fortios 集合 (版本 2.3.8) 的一部分。

如果您使用的是 ansible 包，则可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install fortinet.fortios。您需要其他要求才能使用此模块，请参阅 要求 获取详细信息。

要在 playbook 中使用它，请指定：fortinet.fortios.fortios_firewall_policy。

fortinet.fortios 2.0.0 中的新增功能

概要

• 此模块能够通过允许用户设置和修改防火墙功能和策略类别来配置 FortiGate 或 FortiOS (FOS) 设备。示例包括所有参数，在使用前需要将值调整为数据源。已在 FOS v6.0.0 上测试。

要求

执行此模块的主机需要以下要求。

• ansible>=2.15

参数

参数	注释
access_token 字符串	基于令牌的身份验证。从 Fortigate 的 GUI 生成。
action 字符串	在列表中移动对象的动作指示符 选项 "move"
after 字符串	目标标识符的 mkey
before 字符串	目标标识符的 mkey
enable_log 布尔值	启用/禁用任务的日志记录。 选项 false ← (默认) true
firewall_policy 字典	配置 IPv4/IPv6 策略。
action 字符串	策略操作 (接受/拒绝/IPsec)。 选项 "accept" "deny" "ipsec"
anti_replay 字符串	启用/禁用重放攻击检查。 选项 "enable" "disable"
app_category 列表 / 元素=字典	应用程序类别 ID 列表。
id 整数 / 必需	类别 ID。参见 <a href=’#notes’>备注</a>。
app_group 列表 / 元素=字典	应用程序组名称。
name 字符串 / 必需	应用程序组名称。来源 application.group.name。
application 列表 / 元素=字典	应用程序 ID 列表。
id 整数 / 必需	应用程序 ID。参见 <a href=’#notes’>备注</a>。
application_list 字符串	现有应用程序列表的名称。来源 application.list.name。
auth_cert 字符串	用于策略身份验证的 HTTPS 服务器证书。来源 vpn.certificate.local.name。
auth_path 字符串	启用/禁用基于身份验证的路由。 选项 "enable" "disable"
auth_redirect_addr 字符串	防火墙身份验证的 HTTP 到 HTTPS 重定向地址。
auto_asic_offload 字符串	启用/禁用策略流量 ASIC 卸载。 选项 "enable" "disable"
av_profile 字符串	现有防病毒配置文件的名称。来源 antivirus.profile.name。
block_notification 字符串	启用/禁用阻止通知。 选项 "enable" "disable"
captive_portal_exempt 字符串	启用此选项可使某些用户免受 captive portal 的影响。 选项 "enable" "disable"
capture_packet 字符串	启用/禁用捕获数据包。 选项 "enable" "disable"
casb_profile 字符串	现有 CASB 配置文件的名称。来源 casb.profile.name。
cifs_profile 字符串	现有 CIFS 配置文件的名称。来源 cifs.profile.name。
comments 字符串	注释。
custom_log_fields 列表 / 元素=字典	要添加到此策略的日志消息中的自定义字段。
field_id 字符串 / 必需	自定义日志字段。来源 log.custom-field.id。
decrypted_traffic_mirror 字符串	解密流量镜像。来源 firewall.decrypted-traffic-mirror.name。
delay_tcp_npu_session 字符串	启用 TCP NPU 会话延迟以保证三次握手的数据包顺序。 选项 "enable" "disable"
devices 列表 / 元素=字典	策略可以匹配的设备或设备组的名称。
name 字符串 / 必需	设备或组名称。来源 user.device.alias user.device-group.name user.device-category.name。
diameter_filter_profile 字符串	现有 Diameter 过滤器配置文件的名称。来源 diameter-filter.profile.name。
diffserv_copy 字符串	启用此选项可将数据包的 DiffServ 值从会话的原始方向复制到其回复方向。 选项 "enable" "disable"
diffserv_forward 字符串	启用此选项可将数据包的 DiffServ 值更改为指定的 diffservcode-forward 值。 选项 "enable" "disable"
diffserv_reverse 字符串	启用此选项可将数据包的反向 (回复) DiffServ 值更改为指定的 diffservcode-rev 值。 选项 "enable" "disable"
diffservcode_forward 字符串	将数据包的 DiffServ 更改为此值。
diffservcode_rev 字符串	将数据包的反向 (回复) DiffServ 更改为此值。
disclaimer 字符串	启用/禁用用户身份验证免责声明。 选项 "enable" "disable"
dlp_profile 字符串	现有 DLP 配置文件的名称。来源 dlp.profile.name。
dlp_sensor 字符串	现有 DLP 传感器的名称。来源 dlp.sensor.name。
dnsfilter_profile 字符串	现有 DNS 过滤器配置文件的名称。来源 dnsfilter.profile.name。
dscp_match 字符串	启用 DSCP 检查。 选项 "enable" "disable"
dscp_negate 字符串	启用否定的 DSCP 匹配。 选项 "enable" "disable"
dscp_value 字符串	DSCP 值。
dsri 字符串	启用 DSRI 以忽略 HTTP 服务器响应。 选项 "enable" "disable"
dstaddr 列表 / 元素=字典	目标 IPv4 地址和地址组名称。
name 字符串 / 必需	地址名称。来源 firewall.address.name firewall.addrgrp.name firewall.vip.name firewall.vipgrp.name system.external-resource .name。
dstaddr6 列表 / 元素=字典	目标 IPv6 地址名称和地址组名称。
name 字符串 / 必需	地址名称。来源 firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system .external-resource.name。
dstaddr6_negate 字符串	启用时，dstaddr6 指定目标地址不能是什么。 选项 "enable" "disable"
dstaddr_negate 字符串	启用后，dstaddr 指定目标地址**不能**是什么。 选项 "enable" "disable"
dstintf 列表 / 元素=字典	出站接口。
name 字符串 / 必需	接口名称。来源：system.interface.name system.zone.name system.sdwan.zone.name。
dynamic_shaping 字符串	启用/禁用动态 RADIUS 定义的流量整形。 选项 "enable" "disable"
email_collect 字符串	启用/禁用电子邮件收集。 选项 "enable" "disable"
emailfilter_profile 字符串	现有电子邮件过滤配置文件的名称。来源：emailfilter.profile.name。
fec 字符串	在 FEC 设备上启用/禁用对匹配此策略的流量进行前向纠错。 选项 "enable" "disable"
file_filter_profile 字符串	现有文件过滤配置文件的名称。来源：file-filter.profile.name。
firewall_session_dirty 字符串	如果此防火墙策略的配置发生更改，如何处理会话。 选项 “check-all” “check-new”
fixedport 字符串	启用此选项可以防止源 NAT 更改会话的源端口。 选项 "enable" "disable"
fsso 字符串	启用/禁用 Fortinet 单点登录。 选项 "enable" "disable"
fsso_agent_for_ntlm 字符串	用于 NTLM 身份验证的 FSSO 代理。来源：user.fsso.name。
fsso_groups 列表 / 元素=字典	FSSO 组的名称。
name 字符串 / 必需	FSSO 组的名称。来源：user.adgrp.name。
geoip_anycast 字符串	启用/禁用使用地理位置 IP 数据库识别 anycast IP 地址。 选项 "enable" "disable"
geoip_match 字符串	根据其物理位置或注册位置匹配地理位置地址。 选项 “physical-location” “registered-location”
global_label 字符串	在 GUI 处于全局视图模式时显示的策略标签。
groups 列表 / 元素=字典	可以使用此策略进行身份验证的用户组的名称。
name 字符串 / 必需	组名称。来源：user.group.name。
gtp_profile 字符串	GTP 配置文件。来源：firewall.gtp.name。
http_policy_redirect 字符串	将 HTTP(S) 流量重定向到匹配的透明 Web 代理策略。 选项 "enable" "disable"
icap_profile 字符串	现有 ICAP 配置文件的名称。来源：icap.profile.name。
identity_based_route 字符串	基于身份的路由规则的名称。来源：firewall.identity-based-route.name。
inbound 字符串	基于策略的 IPsec VPN：只有来自远程网络的流量才能启动 VPN。 选项 "enable" "disable"
inspection_mode 字符串	策略检查模式（流/代理）。默认为流模式。 选项 “proxy” “flow”
internet_service 字符串	启用/禁用为此策略使用 Internet 服务。如果启用，则不使用目标地址和服务。 选项 "enable" "disable"
internet_service6 字符串	启用/禁用为此策略使用 IPv6 Internet 服务。如果启用，则不使用目标地址和服务。 选项 "enable" "disable"
internet_service6_custom 列表 / 元素=字典	自定义 IPv6 Internet 服务名称。
name 字符串 / 必需	自定义 Internet 服务名称。来源：firewall.internet-service-custom.name。
internet_service6_custom_group 列表 / 元素=字典	自定义 Internet 服务 6 组名称。
name 字符串 / 必需	自定义 Internet 服务 6 组名称。来源：firewall.internet-service-custom-group.name。
internet_service6_group 列表 / 元素=字典	Internet 服务组名称。
name 字符串 / 必需	Internet 服务组名称。来源：firewall.internet-service-group.name。
internet_service6_name 列表 / 元素=字典	IPv6 Internet 服务名称。
name 字符串 / 必需	IPv6 Internet 服务名称。来源：firewall.internet-service-name.name。
internet_service6_negate 字符串	启用后，internet-service6 指定服务**不能**是什么。 选项 "enable" "disable"
internet_service6_src 字符串	启用/禁用为此策略的源中使用 IPv6 Internet 服务。如果启用，则不使用源地址。 选项 "enable" "disable"
internet_service6_src_custom 列表 / 元素=字典	自定义 IPv6 Internet 服务源名称。
name 字符串 / 必需	自定义 Internet 服务名称。来源：firewall.internet-service-custom.name。
internet_service6_src_custom_group 列表 / 元素=字典	自定义 Internet 服务 6 源组名称。
name 字符串 / 必需	自定义 Internet 服务 6 组名称。来源：firewall.internet-service-custom-group.name。
internet_service6_src_group 列表 / 元素=字典	Internet 服务 6 源组名称。
name 字符串 / 必需	Internet 服务组名称。来源：firewall.internet-service-group.name。
internet_service6_src_name 列表 / 元素=字典	IPv6 Internet 服务源名称。
name 字符串 / 必需	Internet 服务名称。来源：firewall.internet-service-name.name。
internet_service6_src_negate 字符串	启用后，internet-service6-src 指定服务**不能**是什么。 选项 "enable" "disable"
internet_service_custom 列表 / 元素=字典	自定义 Internet 服务名称。
name 字符串 / 必需	自定义 Internet 服务名称。来源：firewall.internet-service-custom.name。
internet_service_custom_group 列表 / 元素=字典	自定义 Internet 服务组名称。
name 字符串 / 必需	自定义 Internet 服务组名称。来源：firewall.internet-service-custom-group.name。
internet_service_group 列表 / 元素=字典	Internet 服务组名称。
name 字符串 / 必需	Internet 服务组名称。来源：firewall.internet-service-group.name。
internet_service_id 列表 / 元素=字典	Internet 服务 ID。
id 整数 / 必需	Internet 服务 ID。参见 注释。来源：firewall.internet-service.id。
internet_service_name 列表 / 元素=字典	Internet 服务名称。
name 字符串 / 必需	Internet 服务名称。来源：firewall.internet-service-name.name。
internet_service_negate 字符串	启用后，internet-service 指定服务**不能**是什么。 选项 "enable" "disable"
internet_service_src 字符串	启用/禁用为此策略的源中使用 Internet 服务。如果启用，则不使用源地址。 选项 "enable" "disable"
internet_service_src_custom 列表 / 元素=字典	自定义 Internet 服务源名称。
name 字符串 / 必需	自定义 Internet 服务名称。来源：firewall.internet-service-custom.name。
internet_service_src_custom_group 列表 / 元素=字典	自定义 Internet 服务源组名称。
name 字符串 / 必需	自定义 Internet 服务组名称。来源：firewall.internet-service-custom-group.name。
internet_service_src_group 列表 / 元素=字典	Internet 服务源组名称。
name 字符串 / 必需	Internet 服务组名称。来源：firewall.internet-service-group.name。
internet_service_src_id 列表 / 元素=字典	Internet 服务源 ID。
id 整数 / 必需	Internet 服务 ID。参见 注释。来源：firewall.internet-service.id。
internet_service_src_name 列表 / 元素=字典	Internet 服务源名称。
name 字符串 / 必需	Internet 服务名称。来源：firewall.internet-service-name.name。
internet_service_src_negate 字符串	启用后，internet-service-src 指定服务**不能**是什么。 选项 "enable" "disable"
ippool 字符串	启用以使用 IP 池进行源 NAT。 选项 "enable" "disable"
ips_sensor 字符串	现有 IPS 传感器的名称。来源：ips.sensor.name。
ips_voip_filter 字符串	现有 VoIP (ips) 配置文件的名称。来源：voip.profile.name。
label 字符串	在 GUI 处于部分视图模式时显示的策略标签。
learning_mode 字符串	启用此选项允许所有内容，但会记录所有有意义的数据以进行安全信息收集。将生成学习报告。 选项 "enable" "disable"
log_http_transaction 字符串	启用/禁用 HTTP 事务日志。 选项 "enable" "disable"
logtraffic 字符串	启用或禁用日志记录。记录所有会话或安全配置文件会话。 选项 “all” “utm” "disable"
logtraffic_start 字符串	会话启动时记录日志。 选项 "enable" "disable"
match_vip 字符串	启用此选项可匹配其目标地址已由 VIP 更改的数据包。 选项 "enable" "disable"
match_vip_only 字符串	启用/禁用仅匹配其目标地址已由 VIP 更改的数据包。 选项 "enable" "disable"
mms_profile 字符串	现有 MMS 配置文件的名称。来源：firewall.mms-profile.name。
name 字符串	策略名称。
nat 字符串	启用/禁用源 NAT。 选项 "enable" "disable"
nat46 字符串	启用/禁用 NAT46。 选项 "enable" "disable"
nat64 字符串	启用/禁用 NAT64。 选项 "enable" "disable"
natinbound 字符串	基于策略的 IPsec VPN：将目标 NAT 应用于入站流量。 选项 "enable" "disable"
natip 字符串	基于策略的 IPsec VPN：出站流量的源 NAT IP 地址。
natoutbound 字符串	基于策略的 IPsec VPN：将源 NAT 应用于出站流量。 选项 "enable" "disable"
network_service_dynamic 列表 / 元素=字典	动态网络服务名称。
name 字符串 / 必需	动态网络服务名称。来源：firewall.network-service-dynamic.name。
network_service_src_dynamic 列表 / 元素=字典	动态网络服务源名称。
name 字符串 / 必需	动态网络服务名称。来源：firewall.network-service-dynamic.name。
np_acceleration 字符串	启用/禁用 UTM 网络处理器加速。 选项 "enable" "disable"
ntlm 字符串	启用/禁用 NTLM 身份验证。 选项 "enable" "disable"
ntlm_enabled_browsers 列表 / 元素=字典	支持的浏览器的 HTTP-User-Agent 值。
user_agent_string 字符串 / 必需	用户代理字符串。
ntlm_guest 字符串	启用/禁用 NTLM 来宾用户访问。 选项 "enable" "disable"
outbound 字符串	基于策略的 IPsec VPN：只有来自内部网络的流量才能启动 VPN。 选项 "enable" "disable"
passive_wan_health_measurement 字符串	启用/禁用被动 WAN 健康状况测量。启用后，将禁用 auto-asic-offload。 选项 "enable" "disable"
pcp_inbound 字符串	启用/禁用 PCP 入站 DNAT。 选项 "enable" "disable"
pcp_outbound 字符串	启用/禁用 PCP 出站 SNAT。 选项 "enable" "disable"
pcp_poolname 列表 / 元素=字典	PCP 池名称。
name 字符串 / 必需	PCP 池名称。来源：system.pcp-server.pools.name。
per_ip_shaper 字符串	每个 IP 流量整形器。来源：firewall.shaper.per-ip-shaper.name。
permit_any_host 字符串	接受来自任何主机的 UDP 数据包。 选项 "enable" "disable"
permit_stun_host 字符串	接受来自任何会话穿越实用程序 (STUN) 主机的 UDP 数据包。 选项 "enable" "disable"
pfcp_profile 字符串	PFCP 配置文件。来源：firewall.pfcp.name。
policy_expiry 字符串	启用/禁用策略过期。 选项 "enable" "disable"
policy_expiry_date 字符串	策略过期日期 (YYYY-MM-DD HH:MM:SS)。
policy_expiry_date_utc 字符串	策略过期日期和时间（以纪元格式）。
policyid 整数 / 必需	策略 ID (0 - 4294967294)。参见 注释。
poolname 列表 / 元素=字典	IP 池名称。
name 字符串 / 必需	IP 池名称。来源：firewall.ippool.name。
poolname6 列表 / 元素=字典	IPv6 池名称。
name 字符串 / 必需	IPv6 池名称。来源：firewall.ippool6.name。
port_preserve 字符串	如果未使用原始源端口，则启用/禁用保留来自源 NAT 的原始源端口。 选项 "enable" "disable"
profile_group 字符串	配置文件组的名称。来源：firewall.profile-group.name。
profile_protocol_options 字符串	现有协议选项配置文件的名称。来源：firewall.profile-protocol-options.name。
profile_type 字符串	确定防火墙策略是否仅允许安全配置文件组或单个配置文件。 选项 “single” “group”
radius_ip_auth_bypass 字符串	启用 IP 身份验证绕过。必须从 RADIUS 服务器接收绕过的 IP 地址。 选项 "enable" "disable"
radius_mac_auth_bypass 字符串	启用 MAC 身份验证绕过。必须从 RADIUS 服务器接收绕过的 MAC 地址。 选项 "enable" "disable"
redirect_url 字符串	用户在查看并接受免责声明或进行身份验证后将被定向到的 URL。
replacemsg_override_group 字符串	为此策略覆盖默认替换消息组。来源：system.replacemsg-group.name。
reputation_direction 字符串	声誉生效的初始流量方向。 选项 “source” “destination”
reputation_direction6 字符串	IPv6 声誉生效的初始流量方向。 选项 “source” “destination”
reputation_minimum 整数	采取行动的最低声誉。来源：firewall.internet-service-reputation.id。
reputation_minimum6 整数	采取行动的 IPv6 最低声誉。来源：firewall.internet-service-reputation.id。
rsso 字符串	启用/禁用 RADIUS 单点登录 (RSSO)。 选项 "enable" "disable"
rtp_addr 列表 / 元素=字典	如果这是 RTP NAT 策略，则为地址名称。
name 字符串 / 必需	地址名称。来源：firewall.internet-service-custom-group.name firewall.addrgrp.name。
rtp_nat 字符串	启用实时协议 (RTP) NAT。 选项 "disable" "enable"
scan_botnet_connections 字符串	阻止或监控与僵尸网络服务器的连接，或禁用僵尸网络扫描。 选项 "disable" “block” “monitor”
schedule 字符串	计划名称。来源：firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name。
schedule_timeout 字符串	启用此选项可在计划对象超时时强制结束当前会话。禁用此选项允许它们因不活动而结束。 选项 "enable" "disable"
sctp_filter_profile 字符串	现有 SCTP 过滤配置文件的名称。来源：sctp-filter.profile.name。
send_deny_packet 字符串	启用此选项可在防火墙策略拒绝或阻止会话时发送回复。 选项 "disable" "enable"
service 列表 / 元素=字典	服务和服务组名称。
name 字符串 / 必需	服务和服务组名称。来源：firewall.service.custom.name firewall.service.group.name。
service_negate 字符串	启用后，service 指定服务**不能**是什么。 选项 "enable" "disable"
session_ttl 字符串	此策略接受的会话的 TTL（以秒为单位）（0 表示使用系统）。
sgt 列表 / 元素=字典	安全组标签。
id 整数 / 必需	安全组标签 (1 - 65535)。参见 注释。
sgt_check 字符串	启用/禁用安全组标签 (SGT) 检查。 选项 "enable" "disable"
spamfilter_profile 字符串	现有垃圾邮件过滤配置文件的名称。来源：spamfilter.profile.name。
src_vendor_mac 列表 / 元素=字典	供应商 MAC 源 ID。
id 整数 / 必需	供应商 MAC ID。参见 注释。来源：firewall.vendor-mac.id。
srcaddr 列表 / 元素=字典	源 IPv4 地址和地址组名称。
name 字符串 / 必需	地址名称。来源：firewall.address.name firewall.addrgrp.name system.external-resource.name。
srcaddr6 列表 / 元素=字典	源 IPv6 地址名称和地址组名称。
name 字符串 / 必需	地址名称。来源：firewall.address6.name system.external-resource.name firewall.addrgrp6.name。
srcaddr6_negate 字符串	启用后，srcaddr6 指定源地址**不能**是什么。 选项 "enable" "disable"
srcaddr_negate 字符串	启用后，srcaddr 指定源地址**不能**是什么。 选项 "enable" "disable"
srcintf 列表 / 元素=字典	入站接口。
name 字符串 / 必需	接口名称。来源：system.interface.name system.zone.name system.sdwan.zone.name。
ssh_filter_profile 字符串	现有 SSH 过滤配置文件的名称。来源：ssh-filter.profile.name。
ssh_policy_redirect 字符串	将 SSH 流量重定向到匹配的透明代理策略。 选项 "enable" "disable"
ssl_mirror 字符串	启用此选项可将解密的 SSL 流量复制到 FortiGate 接口（称为 SSL 镜像）。 选项 "enable" "disable"
ssl_mirror_intf 列表 / 元素=字典	SSL 镜像接口名称。
name 字符串 / 必需	镜像接口名称。来源：system.interface.name system.zone.name。
ssl_ssh_profile 字符串	现有 SSL SSH 配置文件的名称。来源：firewall.ssl-ssh-profile.name。
status 字符串	启用或禁用此策略。 选项 "enable" "disable"
tcp_mss_receiver 整数	接收器 TCP 最大分段大小 (MSS)。
tcp_mss_sender 整数	发送器 TCP 最大分段大小 (MSS)。
tcp_session_without_syn 字符串	启用/禁用创建无 SYN 标志的 TCP 会话。 选项 “all” “data-only” "disable"
timeout_send_rst 字符串	启用/禁用在 TCP 会话过期时发送 RST 数据包。 选项 "enable" "disable"
tos 字符串	用于比较的服务类型 (ToS) 值。
tos_mask 字符串	非零位用于比较，零位被忽略。
tos_negate 字符串	启用反向TOS匹配。 选项 "enable" "disable"
traffic_shaper 字符串	流量整形器。来源：firewall.shaper.traffic-shaper.name。
traffic_shaper_reverse 字符串	反向流量整形器。来源：firewall.shaper.traffic-shaper.name。
url_category 列表 / 元素=字典	URL类别ID列表。
id 整数 / 必需	URL类别ID。参见注释。
users 列表 / 元素=字典	可以使用此策略进行身份验证的单个用户名称。
name 字符串 / 必需	可以使用此策略进行身份验证的单个用户名称。来源：user.local.name user.certificate.name。
utm_status 字符串	启用将一个或多个安全配置文件（AV、IPS等）添加到防火墙策略。 选项 "enable" "disable"
uuid 字符串	通用唯一标识符（UUID；自动分配，但可以手动重置）。
videofilter_profile 字符串	现有VideoFilter配置文件的名称。来源：videofilter.profile.name。
virtual_patch_profile 字符串	现有虚拟补丁配置文件的名称。来源：virtual-patch.profile.name。
vlan_cos_fwd 整数	VLAN转发方向用户优先级：255直通，0最低，7最高。
vlan_cos_rev 整数	VLAN反向方向用户优先级：255直通，0最低，7最高。
vlan_filter 字符串	允许的VLAN范围。
voip_profile 字符串	现有VoIP (voipd) 配置文件的名称。来源：voip.profile.name。
vpntunnel 字符串	基于策略的IPsec VPN：IPsec VPN阶段1的名称。来源：vpn.ipsec.phase1.name vpn.ipsec.manualkey.name。
waf_profile 字符串	现有Web应用程序防火墙配置文件的名称。来源：waf.profile.name。
wanopt 字符串	启用/禁用WAN优化。 选项 "enable" "disable"
wanopt_detection 字符串	WAN优化自动检测模式。 选项 “active” “passive” “off”
wanopt_passive_opt 字符串	WAN优化被动模式选项。此选项决定用于连接服务器的IP地址。 选项 “default” “transparent” “non-transparent”
wanopt_peer 字符串	WAN优化对等体。来源：wanopt.peer.peer-host-id。
wanopt_profile 字符串	WAN优化配置文件。来源：wanopt.profile.name。
wccp 字符串	启用/禁用将匹配此策略的流量转发到已配置的WCCP服务器。 选项 "enable" "disable"
webcache 字符串	启用/禁用Web缓存。 选项 "enable" "disable"
webcache_https 字符串	启用/禁用HTTPS的Web缓存。 选项 "disable" "enable"
webfilter_profile 字符串	现有Web过滤器配置文件的名称。来源：webfilter.profile.name。
webproxy_forward_server 字符串	Web代理转发服务器名称。来源：web-proxy.forward-server.name web-proxy.forward-server-group.name。
webproxy_profile 字符串	Web代理配置文件名称。来源：web-proxy.profile.name。
wsso 字符串	启用/禁用WiFi单点登录(WSSO)。 选项 "enable" "disable"
ztna_device_ownership 字符串	启用/禁用零信任设备所有权。 选项 "enable" "disable"
ztna_ems_tag 列表 / 元素=字典	来源：ztna-ems-tag名称。
name 字符串 / 必需	地址名称。来源：firewall.address.name firewall.addrgrp.name。
ztna_ems_tag_secondary 列表 / 元素=字典	来源：ztna-ems-tag-secondary名称。
name 字符串 / 必需	地址名称。来源：firewall.address.name firewall.addrgrp.name。
ztna_geo_tag 列表 / 元素=字典	来源：ztna-geo-tag名称。
name 字符串 / 必需	地址名称。来源：firewall.address.name firewall.addrgrp.name。
ztna_policy_redirect 字符串	将ZTNA流量重定向到匹配的Access-Proxy代理策略。 选项 "enable" "disable"
ztna_status 字符串	启用/禁用零信任访问。 选项 "enable" "disable"
ztna_tags_match_logic 字符串	ZTNA标签匹配逻辑。 选项 “or” “and”
member_path 字符串	要操作的成员属性路径。 如果有多个属性，则用斜杠字符分隔。 标有member_path的参数对于执行成员操作是合法的。
member_state 字符串	在指定的属性路径下添加或删除成员。 指定member_state时，将忽略state选项。 选项 “present” “absent”
self 字符串	自身标识符的mkey。
state 字符串	指示是创建还是删除对象。 选项 “present” “absent”
vdom 字符串	虚拟域，在之前定义的虚拟域中。vdom是FortiGate的虚拟实例，可以将其配置并用作不同的单元。 默认值："root"

注释

注意

• 我们强烈建议使用您自己的值作为policyid，而不是0。虽然‘0’是一个特殊的占位符，允许后端为对象分配最新的可用编号，但它确实有一些限制。请在问答中查找更多详细信息。

• 旧版fortiosapi已弃用，httpapi是运行剧本的首选方式。

• 通过在另一个对象之后（之前）移动自身来调整对象顺序。

• 当操作是移动对象时，必须只指定[after, before]中的一个。

• 该模块支持check_mode。

示例

- name: Configure IPv4/IPv6 policies.
  fortinet.fortios.fortios_firewall_policy:
      vdom: "{{ vdom }}"
      state: "present"
      access_token: "<your_own_value>"
      firewall_policy:
          action: "accept"
          anti_replay: "enable"
          app_category:
              -
                  id: "6"
          app_group:
              -
                  name: "default_name_8 (source application.group.name)"
          application:
              -
                  id: "10"
          application_list: "<your_own_value> (source application.list.name)"
          auth_cert: "<your_own_value> (source vpn.certificate.local.name)"
          auth_path: "enable"
          auth_redirect_addr: "<your_own_value>"
          auto_asic_offload: "enable"
          av_profile: "<your_own_value> (source antivirus.profile.name)"
          block_notification: "enable"
          captive_portal_exempt: "enable"
          capture_packet: "enable"
          casb_profile: "<your_own_value> (source casb.profile.name)"
          cifs_profile: "<your_own_value> (source cifs.profile.name)"
          comments: "<your_own_value>"
          custom_log_fields:
              -
                  field_id: "<your_own_value> (source log.custom-field.id)"
          decrypted_traffic_mirror: "<your_own_value> (source firewall.decrypted-traffic-mirror.name)"
          delay_tcp_npu_session: "enable"
          devices:
              -
                  name: "default_name_28 (source user.device.alias user.device-group.name user.device-category.name)"
          diameter_filter_profile: "<your_own_value> (source diameter-filter.profile.name)"
          diffserv_copy: "enable"
          diffserv_forward: "enable"
          diffserv_reverse: "enable"
          diffservcode_forward: "<your_own_value>"
          diffservcode_rev: "<your_own_value>"
          disclaimer: "enable"
          dlp_profile: "<your_own_value> (source dlp.profile.name)"
          dlp_sensor: "<your_own_value> (source dlp.sensor.name)"
          dnsfilter_profile: "<your_own_value> (source dnsfilter.profile.name)"
          dscp_match: "enable"
          dscp_negate: "enable"
          dscp_value: "<your_own_value>"
          dsri: "enable"
          dstaddr:
              -
                  name: "default_name_44 (source firewall.address.name firewall.addrgrp.name firewall.vip.name firewall.vipgrp.name system.external-resource
                    .name)"
          dstaddr_negate: "enable"
          dstaddr6:
              -
                  name: "default_name_47 (source firewall.address6.name firewall.addrgrp6.name firewall.vip6.name firewall.vipgrp6.name system
                    .external-resource.name)"
          dstaddr6_negate: "enable"
          dstintf:
              -
                  name: "default_name_50 (source system.interface.name system.zone.name system.sdwan.zone.name)"
          dynamic_shaping: "enable"
          email_collect: "enable"
          emailfilter_profile: "<your_own_value> (source emailfilter.profile.name)"
          fec: "enable"
          file_filter_profile: "<your_own_value> (source file-filter.profile.name)"
          firewall_session_dirty: "check-all"
          fixedport: "enable"
          fsso: "enable"
          fsso_agent_for_ntlm: "<your_own_value> (source user.fsso.name)"
          fsso_groups:
              -
                  name: "default_name_61 (source user.adgrp.name)"
          geoip_anycast: "enable"
          geoip_match: "physical-location"
          global_label: "<your_own_value>"
          groups:
              -
                  name: "default_name_66 (source user.group.name)"
          gtp_profile: "<your_own_value> (source firewall.gtp.name)"
          http_policy_redirect: "enable"
          icap_profile: "<your_own_value> (source icap.profile.name)"
          identity_based_route: "<your_own_value> (source firewall.identity-based-route.name)"
          inbound: "enable"
          inspection_mode: "proxy"
          internet_service: "enable"
          internet_service_custom:
              -
                  name: "default_name_75 (source firewall.internet-service-custom.name)"
          internet_service_custom_group:
              -
                  name: "default_name_77 (source firewall.internet-service-custom-group.name)"
          internet_service_group:
              -
                  name: "default_name_79 (source firewall.internet-service-group.name)"
          internet_service_id:
              -
                  id: "81 (source firewall.internet-service.id)"
          internet_service_name:
              -
                  name: "default_name_83 (source firewall.internet-service-name.name)"
          internet_service_negate: "enable"
          internet_service_src: "enable"
          internet_service_src_custom:
              -
                  name: "default_name_87 (source firewall.internet-service-custom.name)"
          internet_service_src_custom_group:
              -
                  name: "default_name_89 (source firewall.internet-service-custom-group.name)"
          internet_service_src_group:
              -
                  name: "default_name_91 (source firewall.internet-service-group.name)"
          internet_service_src_id:
              -
                  id: "93 (source firewall.internet-service.id)"
          internet_service_src_name:
              -
                  name: "default_name_95 (source firewall.internet-service-name.name)"
          internet_service_src_negate: "enable"
          internet_service6: "enable"
          internet_service6_custom:
              -
                  name: "default_name_99 (source firewall.internet-service-custom.name)"
          internet_service6_custom_group:
              -
                  name: "default_name_101 (source firewall.internet-service-custom-group.name)"
          internet_service6_group:
              -
                  name: "default_name_103 (source firewall.internet-service-group.name)"
          internet_service6_name:
              -
                  name: "default_name_105 (source firewall.internet-service-name.name)"
          internet_service6_negate: "enable"
          internet_service6_src: "enable"
          internet_service6_src_custom:
              -
                  name: "default_name_109 (source firewall.internet-service-custom.name)"
          internet_service6_src_custom_group:
              -
                  name: "default_name_111 (source firewall.internet-service-custom-group.name)"
          internet_service6_src_group:
              -
                  name: "default_name_113 (source firewall.internet-service-group.name)"
          internet_service6_src_name:
              -
                  name: "default_name_115 (source firewall.internet-service-name.name)"
          internet_service6_src_negate: "enable"
          ippool: "enable"
          ips_sensor: "<your_own_value> (source ips.sensor.name)"
          ips_voip_filter: "<your_own_value> (source voip.profile.name)"
          label: "<your_own_value>"
          learning_mode: "enable"
          log_http_transaction: "enable"
          logtraffic: "all"
          logtraffic_start: "enable"
          match_vip: "enable"
          match_vip_only: "enable"
          mms_profile: "<your_own_value> (source firewall.mms-profile.name)"
          name: "default_name_128"
          nat: "enable"
          nat46: "enable"
          nat64: "enable"
          natinbound: "enable"
          natip: "<your_own_value>"
          natoutbound: "enable"
          network_service_dynamic:
              -
                  name: "default_name_136 (source firewall.network-service-dynamic.name)"
          network_service_src_dynamic:
              -
                  name: "default_name_138 (source firewall.network-service-dynamic.name)"
          np_acceleration: "enable"
          ntlm: "enable"
          ntlm_enabled_browsers:
              -
                  user_agent_string: "<your_own_value>"
          ntlm_guest: "enable"
          outbound: "enable"
          passive_wan_health_measurement: "enable"
          pcp_inbound: "enable"
          pcp_outbound: "enable"
          pcp_poolname:
              -
                  name: "default_name_149 (source system.pcp-server.pools.name)"
          per_ip_shaper: "<your_own_value> (source firewall.shaper.per-ip-shaper.name)"
          permit_any_host: "enable"
          permit_stun_host: "enable"
          pfcp_profile: "<your_own_value> (source firewall.pfcp.name)"
          policy_expiry: "enable"
          policy_expiry_date: "<your_own_value>"
          policy_expiry_date_utc: "<your_own_value>"
          policyid: "<you_own_value>"
          poolname:
              -
                  name: "default_name_159 (source firewall.ippool.name)"
          poolname6:
              -
                  name: "default_name_161 (source firewall.ippool6.name)"
          port_preserve: "enable"
          profile_group: "<your_own_value> (source firewall.profile-group.name)"
          profile_protocol_options: "<your_own_value> (source firewall.profile-protocol-options.name)"
          profile_type: "single"
          radius_ip_auth_bypass: "enable"
          radius_mac_auth_bypass: "enable"
          redirect_url: "<your_own_value>"
          replacemsg_override_group: "<your_own_value> (source system.replacemsg-group.name)"
          reputation_direction: "source"
          reputation_direction6: "source"
          reputation_minimum: "0"
          reputation_minimum6: "0"
          rsso: "enable"
          rtp_addr:
              -
                  name: "default_name_176 (source firewall.internet-service-custom-group.name firewall.addrgrp.name)"
          rtp_nat: "disable"
          scan_botnet_connections: "disable"
          schedule: "<your_own_value> (source firewall.schedule.onetime.name firewall.schedule.recurring.name firewall.schedule.group.name)"
          schedule_timeout: "enable"
          sctp_filter_profile: "<your_own_value> (source sctp-filter.profile.name)"
          send_deny_packet: "disable"
          service:
              -
                  name: "default_name_184 (source firewall.service.custom.name firewall.service.group.name)"
          service_negate: "enable"
          session_ttl: "<your_own_value>"
          sgt:
              -
                  id: "188"
          sgt_check: "enable"
          spamfilter_profile: "<your_own_value> (source spamfilter.profile.name)"
          src_vendor_mac:
              -
                  id: "192 (source firewall.vendor-mac.id)"
          srcaddr:
              -
                  name: "default_name_194 (source firewall.address.name firewall.addrgrp.name system.external-resource.name)"
          srcaddr_negate: "enable"
          srcaddr6:
              -
                  name: "default_name_197 (source firewall.address6.name system.external-resource.name firewall.addrgrp6.name)"
          srcaddr6_negate: "enable"
          srcintf:
              -
                  name: "default_name_200 (source system.interface.name system.zone.name system.sdwan.zone.name)"
          ssh_filter_profile: "<your_own_value> (source ssh-filter.profile.name)"
          ssh_policy_redirect: "enable"
          ssl_mirror: "enable"
          ssl_mirror_intf:
              -
                  name: "default_name_205 (source system.interface.name system.zone.name)"
          ssl_ssh_profile: "<your_own_value> (source firewall.ssl-ssh-profile.name)"
          status: "enable"
          tcp_mss_receiver: "0"
          tcp_mss_sender: "0"
          tcp_session_without_syn: "all"
          timeout_send_rst: "enable"
          tos: "<your_own_value>"
          tos_mask: "<your_own_value>"
          tos_negate: "enable"
          traffic_shaper: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
          traffic_shaper_reverse: "<your_own_value> (source firewall.shaper.traffic-shaper.name)"
          url_category:
              -
                  id: "218"
          users:
              -
                  name: "default_name_220 (source user.local.name user.certificate.name)"
          utm_status: "enable"
          uuid: "<your_own_value>"
          videofilter_profile: "<your_own_value> (source videofilter.profile.name)"
          virtual_patch_profile: "<your_own_value> (source virtual-patch.profile.name)"
          vlan_cos_fwd: "255"
          vlan_cos_rev: "255"
          vlan_filter: "<your_own_value>"
          voip_profile: "<your_own_value> (source voip.profile.name)"
          vpntunnel: "<your_own_value> (source vpn.ipsec.phase1.name vpn.ipsec.manualkey.name)"
          waf_profile: "<your_own_value> (source waf.profile.name)"
          wanopt: "enable"
          wanopt_detection: "active"
          wanopt_passive_opt: "default"
          wanopt_peer: "<your_own_value> (source wanopt.peer.peer-host-id)"
          wanopt_profile: "<your_own_value> (source wanopt.profile.name)"
          wccp: "enable"
          webcache: "enable"
          webcache_https: "disable"
          webfilter_profile: "<your_own_value> (source webfilter.profile.name)"
          webproxy_forward_server: "<your_own_value> (source web-proxy.forward-server.name web-proxy.forward-server-group.name)"
          webproxy_profile: "<your_own_value> (source web-proxy.profile.name)"
          wsso: "enable"
          ztna_device_ownership: "enable"
          ztna_ems_tag:
              -
                  name: "default_name_245 (source firewall.address.name firewall.addrgrp.name)"
          ztna_ems_tag_secondary:
              -
                  name: "default_name_247 (source firewall.address.name firewall.addrgrp.name)"
          ztna_geo_tag:
              -
                  name: "default_name_249 (source firewall.address.name firewall.addrgrp.name)"
          ztna_policy_redirect: "enable"
          ztna_status: "enable"
          ztna_tags_match_logic: "or"

返回值

公共返回值已在此处记录，以下是此模块独有的字段

键	描述
build 字符串	FortiGate镜像的版本号。 返回：始终 示例："1547"
http_method 字符串	上次用于将内容置备到FortiGate的方法。 返回：始终 示例："PUT"
http_status 字符串	FortiGate在上次应用的操作中给出的最后结果。 返回：始终 示例："200"
mkey 字符串	上次调用FortiGate时使用的主密钥(ID)。 返回：成功 示例："id"
name 字符串	用于完成请求的表的名称。 返回：始终 示例："urlfilter"
path 字符串	用于完成请求的表的路径。 返回：始终 示例："webfilter"
revision 字符串	内部修订号。 返回：始终 示例："17.0.2.10658"
serial 字符串	设备的序列号。 返回：始终 示例："FGVMEVYYQT3AB5352"
status 字符串	操作结果的指示。 返回：始终 示例："success"
vdom 字符串	使用的虚拟域。 返回：始终 示例："root"
version 字符串	FortiGate的版本。 返回：始终 示例："v5.6.3"

作者

• 郑链 (@chillancezen)

• 薛杰 (@JieX19)

• 卢洪斌 (@fgtdev-hblu)

• 沈峰 (@frankshen01)

• Miguel Angel Munoz (@mamunozgonzalez)

• Nicolas Thomas (@thomnico)

资源链接

• 问题跟踪器
• 主页
• 代码仓库