fortinet.fortimanager.fmgr_pm_config_pblock_firewall_policy 模块 – 配置 IPv4/IPv6 策略。
注意
此模块是 fortinet.fortimanager 集合 (版本 2.8.2) 的一部分。
如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用： ansible-galaxy collection install fortinet.fortimanager。
要在 playbook 中使用它，请指定： fortinet.fortimanager.fmgr_pm_config_pblock_firewall_policy。
fortinet.fortimanager 2.1.0 中的新增功能
概要
此模块能够配置 FortiManager 设备。
示例包含所有需要在使用前调整为数据源的参数和值。
参数
参数 |
注释 |
|---|---|
无需用户名和密码即可访问 FortiManager 的令牌。 |
|
请求 URL 中的参数 (adom)。 |
|
仅当模块模式与 FortiManager API 结构不同时设置为 True，模块将继续执行而无需验证参数。 选项
|
|
启用/禁用任务的日志记录。 选项
|
|
使用 forticloud API 访问令牌验证 Ansible 客户端。 |
|
请求 URL 中的参数 (pblock)。 |
|
设置的顶级参数。 |
|
已分配的策略块。 |
|
策略操作 选项
|
|
启用/禁用重放攻击检查。 选项
|
|
(列表) 应用类别 ID 列表。 |
|
(列表) 应用组名称。 |
|
(列表) 应用 ID 列表。 |
|
现有应用列表的名称。 |
|
策略身份验证的 HTTPS 服务器证书。 |
|
启用/禁用基于身份验证的路由。 选项
|
|
防火墙身份验证的 HTTP 到 HTTPS 重定向地址。 |
|
启用/禁用策略流量 ASIC 卸载。 选项
|
|
现有防病毒配置文件的名称。 |
|
最佳路由。 选项
|
|
启用/禁用阻止通知。 选项
|
|
启用以豁免某些用户使用受限门户。 选项
|
|
启用/禁用捕获数据包。 选项
|
|
现有 CASB 配置文件的名称。 |
|
启用/禁用 CGN 端点独立过滤。 选项
|
|
启用/禁用 CGN 端点独立映射 选项
|
|
NP 日志服务器组名称 |
|
资源配额 |
|
会话配额 |
|
启用/禁用软件端点独立过滤控制。 选项
|
|
现有 CIFS 配置文件的名称。 |
|
注释。 |
|
(列表) 要附加到此策略的日志消息的自定义字段。 |
|
解密流量镜像。 |
|
启用TCP NPU会话延迟，以保证三次握手的数据包顺序。 选项
|
|
(列表) 可由策略匹配的设备或设备组名称。 |
|
现有Diameter过滤器的名称。 |
|
启用后，将从会话的原始方向复制数据包的DiffServ值到其回复方向。 选项
|
|
启用后，将数据包的DiffServ值更改为指定的diffservcode-forward值。 选项
|
|
启用更改数据包的反向。 选项
|
|
将数据包的DiffServ更改为此值。 |
|
更改数据包的反向。 |
|
启用/禁用用户身份验证免责声明。 选项
|
|
现有DLP配置文件的名称。 |
|
现有DLP传感器的名称。 |
|
现有DNS过滤配置文件的名称。 |
|
启用DSCP检查。 选项
|
|
启用否定DSCP匹配。 选项
|
|
DSCP值。 |
|
启用DSRI以忽略HTTP服务器响应。 选项
|
|
(列表) 目的IPv4地址和地址组名称。 |
|
(列表) 目的IPv6地址名称和地址组名称。 |
|
启用后，dstaddr6指定目标地址不能是什么。 选项
|
|
启用后，dstaddr/dstaddr6指定目标地址不能是什么。 选项
|
|
(列表) 出站 |
|
启用/禁用动态RADIUS定义的流量整形。 选项
|
|
启用/禁用检查端点无关过滤针孔。 选项
|
|
启用/禁用学习端点无关过滤针孔。 选项
|
|
启用/禁用邮件收集。 选项
|
|
现有邮件过滤配置文件的名称。 |
|
在FEC设备上启用/禁用针对此策略匹配的流量的前向纠错。 选项
|
|
现有文件过滤配置文件的名称。 |
|
如果此防火墙策略的配置发生更改，如何处理会话。 选项
|
|
启用后，可防止源NAT更改会话的源端口。 选项
|
|
启用/禁用Fortinet单点登录。 选项
|
|
用于NTLM身份验证的FSSO代理。 |
|
(列表) FSSO组的名称。 |
|
启用/禁用使用地理IP数据库识别任播IP地址。 选项
|
|
根据其物理位置或注册位置匹配地理地址。 选项
|
|
GUI处于全局视图模式时显示的策略标签。 |
|
(列表) 可以使用此策略进行身份验证的用户组名称。 |
|
GTP配置文件。 |
|
重定向HTTP 选项
|
|
现有ICAP配置文件的名称。 |
|
基于身份的路由规则的名称。 |
|
基于策略的IPsec VPN 选项
|
|
策略检查模式 选项
|
|
启用/禁用为此策略使用Internet服务。 选项
|
|
启用/禁用为此策略使用IPv6 Internet服务。 选项
|
|
(列表) 自定义IPv6 Internet服务名称。 |
|
(列表) 自定义Internet服务6组名称。 |
|
(列表) Internet服务组名称。 |
|
(列表) IPv6 Internet服务名称。 |
|
启用后，internet-service6指定服务不能是什么。 选项
|
|
启用/禁用为此策略在源中使用IPv6 Internet服务。 选项
|
|
(列表) 自定义IPv6 Internet服务源名称。 |
|
(列表) 自定义Internet服务6源组名称。 |
|
(列表) Internet服务6源组名称。 |
|
(列表) IPv6 Internet服务源名称。 |
|
启用后，internet-service6-src指定服务不能是什么。 选项
|
|
(列表) 自定义Internet服务名称。 |
|
(列表) 自定义Internet服务组名称。 |
|
(列表) Internet服务组名称。 |
|
(列表) Internet服务ID。 |
|
(列表) Internet服务名称。 |
|
启用后，internet-service指定服务不能是什么。 选项
|
|
启用/禁用为此策略在源中使用Internet服务。 选项
|
|
(列表) 自定义Internet服务源名称。 |
|
(列表) 自定义Internet服务源组名称。 |
|
(列表) Internet 服务源组名称。 |
|
(列表) Internet 服务源ID。 |
|
(列表) Internet 服务源名称。 |
|
启用后，internet-service-src 指定服务不能是什么。 选项
|
|
策略的IP版本。 |
|
启用后，使用IP池进行源NAT。 选项
|
|
现有IPS传感器的名称。 |
|
现有VoIP的名称 |
|
在GUI处于“分段视图”模式下显示的策略标签。 |
|
启用后允许所有流量，但会记录所有有意义的数据以进行安全信息收集。 选项
|
|
启用/禁用HTTP事务日志。 选项
|
|
启用或禁用日志记录。 选项
|
|
会话开始时记录日志。 选项
|
|
启用后匹配其目标地址已被VIP更改的数据包。 选项
|
|
启用/禁用仅匹配其目标地址已被VIP更改的数据包。 选项
|
|
现有MMS配置文件的名称。 |
|
策略名称。 |
|
启用/禁用源NAT。 选项
|
|
启用/禁用NAT46。 选项
|
|
启用/禁用NAT64。 选项
|
|
基于策略的IPsec VPN 选项
|
|
基于策略的IPsec VPN |
|
基于策略的IPsec VPN 选项
|
|
(列表) 动态网络服务名称。 |
|
(列表) 动态网络服务源名称。 |
|
启用/禁用UTM网络处理器加速。 选项
|
|
启用/禁用NTLM身份验证。 选项
|
|
(列表) 支持的浏览器的HTTP-User-Agent值。 |
|
启用/禁用NTLM访客用户访问。 选项
|
|
基于策略的IPsec VPN 选项
|
|
启用/禁用被动WAN健康测量。 选项
|
|
启用/禁用PCP入站DNAT。 选项
|
|
启用/禁用PCP出站SNAT。 选项
|
|
(列表) PCP池名称。 |
|
按IP流量整形。 |
|
接受来自任何主机的UDP数据包。 选项
|
|
接受来自任何会话遍历实用程序的NAT的UDP数据包 选项
|
|
PFCP配置文件。 |
|
策略的行为。 |
|
启用/禁用策略过期。 选项
|
|
策略过期日期 |
|
策略过期日期和时间（纪元格式）。 |
|
启用/禁用CGNAT的硬件会话设置。 选项
|
|
策略ID |
|
(列表) IP池名称。 |
|
(列表) IPv6池名称。 |
|
启用/禁用保留源NAT中未使用的原始源端口。 选项
|
|
配置文件组的名称。 |
|
现有协议选项配置文件的名称。 |
|
确定防火墙策略只允许安全配置文件组还是单个配置文件。 选项
|
|
启用IP身份验证绕过。 选项
|
|
启用MAC身份验证绕过。 选项
|
|
用户在查看并接受免责声明或进行身份验证后将被重定向到的URL。 |
|
覆盖此策略的默认替换消息组。 |
|
声誉生效的初始流量方向。 选项
|
|
IPv6声誉生效的初始流量方向。 选项
|
|
采取行动的最低声誉。 |
|
采取行动的IPv6最低声誉。 |
|
启用/禁用RADIUS单点登录 选项
|
|
(列表) 如果这是RTP NAT策略，则为地址名称。 |
|
启用实时协议 选项
|
|
阻止或监控与僵尸网络服务器的连接，或禁用僵尸网络扫描。 选项
|
|
调度名称。 |
|
启用后，当调度对象超时时，强制结束当前会话。 选项
|
|
现有SCTP过滤器配置文件的名称。 |
|
启用后，当会话被防火墙策略拒绝或阻止时，发送回复。 选项
|
|
(列表) 服务和服务组名称。 |
|
启用后，service 指定服务不能是什么。 选项
|
|
(整数或字符串) 此策略接受的会话的TTL（秒）。 |
|
(列表) 安全组标签。 |
|
启用/禁用安全组标签 选项
|
|
现有垃圾邮件过滤器配置文件的名称。 |
|
(列表) 供应商MAC源ID。 |
|
(列表) 源IPv4地址和地址组名称。 |
|
(列表) 源IPv6地址名称和地址组名称。 |
|
启用后，srcaddr6 指定源地址**不能**是什么。 选项
|
|
启用后，srcaddr/srcaddr6 指定源地址**不能**是什么。 选项
|
|
(列表) 入站 |
|
现有SSH过滤器配置文件的名称。 |
|
将SSH流量重定向到匹配的透明代理策略。 选项
|
|
启用后，将解密的SSL流量复制到FortiGate接口。 选项
|
|
(列表) SSL镜像接口名称。 |
|
现有SSL SSH配置文件的名称。 |
|
启用或禁用此策略。 选项
|
|
接收端TCP最大分段大小。 |
|
发送端TCP最大分段大小。 |
|
启用/禁用无需SYN标志的TCP会话创建。 选项
|
|
TCP超时配置文件ID。 |
|
启用/禁用在TCP会话过期时发送RST数据包。 选项
|
|
ToS |
|
非零位用于比较，而零位被忽略。 |
|
启用反向TOS匹配。 选项
|
|
流量整形器。 |
|
反向流量整形器。 |
|
UDP超时配置文件ID。 |
|
(列表) URL类别ID列表。 |
|
(列表) 可以使用此策略进行身份验证的单个用户的名称。 |
|
启用以添加一个或多个安全配置文件。 选项
|
|
通用唯一标识符。 |
|
现有VideoFilter配置文件的名称。 |
|
现有虚拟补丁配置文件的名称。 |
|
VLAN转发方向用户优先级。 |
|
VLAN反向方向用户优先级。 |
|
设置VLAN过滤器。 |
|
现有VoIP配置文件的名称。 |
|
基于策略的IPsec VPN |
|
现有Web应用防火墙配置文件的名称。 |
|
启用/禁用WAN优化。 选项
|
|
WAN优化自动检测模式。 选项
|
|
WAN优化被动模式选项。 选项
|
|
WAN优化对等体。 |
|
WAN优化配置文件。 |
|
启用/禁用将匹配此策略的流量转发到已配置的WCCP服务器。 选项
|
|
启用/禁用Web缓存。 选项
|
|
启用/禁用HTTPS的Web缓存。 选项
|
|
现有Web过滤器配置文件的名称。 |
|
Web代理转发服务器名称。 |
|
Web代理配置文件名称。 |
|
启用/禁用WiFi单点登录。 选项
|
|
启用/禁用零信任设备所有权。 选项
|
|
(列表) 源ztna-ems-tag名称。 |
|
(列表) 源ztna-ems-tag-secondary名称。 |
|
(列表) 源ztna-geo-tag名称。 |
|
将ZTNA流量重定向到匹配的Access-Proxy代理策略。 选项
|
|
启用/禁用零信任访问。 选项
|
|
ZTNA标签匹配逻辑。 选项
|
|
底层Json RPC请求的覆盖方法。 选项
|
|
将覆盖失败条件的rc代码列表。 |
|
将覆盖成功条件的rc代码列表。 |
|
创建、更新或删除对象的指令。 选项
|
|
在工作区模式下运行FortiManager时要锁定的ADOM，值可以是全局的和其他值，包括root。 |
|
等待其他用户释放工作区锁的最大时间（秒）。 默认值： |
注释
注意
从2.4.0版本开始，所有输入参数都使用下划线命名约定（snake_case）。请将诸如“var-name”之类的参数更改为“var_name”。旧的参数名称仍然可用，但您将收到弃用警告。您可以通过在ansible.cfg中设置deprecation_warnings=False来忽略此警告。
此FortiManager模块支持在工作区锁定模式下运行，顶级参数workspace_locking_adom和workspace_locking_timeout有助于完成此工作。
要创建或更新对象，请使用state present指令。
要删除对象，请使用state absent指令。
通常，当返回非零rc时，运行一个模块可能会失败。您还可以使用参数rc_failed和rc_succeeded覆盖失败或成功的条件。
示例
- name: Example playbook (generated based on argument schema)
hosts: fortimanagers
connection: httpapi
vars:
ansible_httpapi_use_ssl: true
ansible_httpapi_validate_certs: false
ansible_httpapi_port: 443
tasks:
- name: Configure IPv4/IPv6 policies.
fortinet.fortimanager.fmgr_pm_config_pblock_firewall_policy:
# bypass_validation: false
workspace_locking_adom: <value in [global, custom adom including root]>
workspace_locking_timeout: 300
# rc_succeeded: [0, -2, -3, ...]
# rc_failed: [-2, -3, ...]
adom: <your own value>
pblock: <your own value>
state: present # <value in [present, absent]>
pm_config_pblock_firewall_policy:
_policy_block: <integer>
action: <value in [deny, accept, ipsec, ...]>
anti_replay: <value in [disable, enable]>
application_list: <string>
auth_cert: <string>
auth_path: <value in [disable, enable]>
auth_redirect_addr: <string>
auto_asic_offload: <value in [disable, enable]>
av_profile: <string>
block_notification: <value in [disable, enable]>
captive_portal_exempt: <value in [disable, enable]>
capture_packet: <value in [disable, enable]>
cifs_profile: <string>
comments: <string>
custom_log_fields: <list or string>
decrypted_traffic_mirror: <string>
delay_tcp_npu_session: <value in [disable, enable]>
diffserv_forward: <value in [disable, enable]>
diffserv_reverse: <value in [disable, enable]>
diffservcode_forward: <string>
diffservcode_rev: <string>
disclaimer: <value in [disable, enable, user, ...]>
dlp_profile: <string>
dnsfilter_profile: <string>
dsri: <value in [disable, enable]>
dstaddr: <list or string>
dstaddr_negate: <value in [disable, enable]>
dstaddr6: <list or string>
dstintf: <list or string>
dynamic_shaping: <value in [disable, enable]>
email_collect: <value in [disable, enable]>
emailfilter_profile: <string>
fec: <value in [disable, enable]>
file_filter_profile: <string>
firewall_session_dirty: <value in [check-all, check-new]>
fixedport: <value in [disable, enable]>
fsso_agent_for_ntlm: <string>
fsso_groups: <list or string>
geoip_anycast: <value in [disable, enable]>
geoip_match: <value in [physical-location, registered-location]>
global_label: <string>
groups: <list or string>
gtp_profile: <string>
http_policy_redirect: <value in [disable, enable]>
icap_profile: <string>
identity_based_route: <string>
inbound: <value in [disable, enable]>
inspection_mode: <value in [proxy, flow]>
internet_service: <value in [disable, enable]>
internet_service_custom: <list or string>
internet_service_custom_group: <list or string>
internet_service_group: <list or string>
internet_service_name: <list or string>
internet_service_negate: <value in [disable, enable]>
internet_service_src: <value in [disable, enable]>
internet_service_src_custom: <list or string>
internet_service_src_custom_group: <list or string>
internet_service_src_group: <list or string>
internet_service_src_name: <list or string>
internet_service_src_negate: <value in [disable, enable]>
ippool: <value in [disable, enable]>
ips_sensor: <string>
label: <string>
logtraffic: <value in [disable, enable, all, ...]>
logtraffic_start: <value in [disable, enable]>
match_vip: <value in [disable, enable]>
match_vip_only: <value in [disable, enable]>
name: <string>
nat: <value in [disable, enable]>
nat46: <value in [disable, enable]>
nat64: <value in [disable, enable]>
natinbound: <value in [disable, enable]>
natip: <string>
natoutbound: <value in [disable, enable]>
np_acceleration: <value in [disable, enable]>
ntlm: <value in [disable, enable]>
ntlm_enabled_browsers: <list or string>
ntlm_guest: <value in [disable, enable]>
outbound: <value in [disable, enable]>
passive_wan_health_measurement: <value in [disable, enable]>
per_ip_shaper: <string>
permit_any_host: <value in [disable, enable]>
permit_stun_host: <value in [disable, enable]>
pfcp_profile: <string>
policy_expiry: <value in [disable, enable]>
policy_expiry_date: <string>
policyid: <integer>
poolname: <list or string>
poolname6: <list or string>
profile_group: <string>
profile_protocol_options: <string>
profile_type: <value in [single, group]>
radius_mac_auth_bypass: <value in [disable, enable]>
redirect_url: <string>
replacemsg_override_group: <string>
reputation_direction: <value in [source, destination]>
reputation_minimum: <integer>
rtp_addr: <list or string>
rtp_nat: <value in [disable, enable]>
schedule: <string>
schedule_timeout: <value in [disable, enable]>
sctp_filter_profile: <string>
send_deny_packet: <value in [disable, enable]>
service: <list or string>
service_negate: <value in [disable, enable]>
session_ttl: <integer or string>
sgt: <list or integer>
sgt_check: <value in [disable, enable]>
src_vendor_mac: <list or string>
srcaddr: <list or string>
srcaddr_negate: <value in [disable, enable]>
srcaddr6: <list or string>
srcintf: <list or string>
ssh_filter_profile: <string>
ssh_policy_redirect: <value in [disable, enable]>
ssl_ssh_profile: <string>
status: <value in [disable, enable]>
tcp_mss_receiver: <integer>
tcp_mss_sender: <integer>
tcp_session_without_syn: <value in [all, data-only, disable]>
timeout_send_rst: <value in [disable, enable]>
tos: <string>
tos_mask: <string>
tos_negate: <value in [disable, enable]>
traffic_shaper: <string>
traffic_shaper_reverse: <string>
users: <list or string>
utm_status: <value in [disable, enable]>
uuid: <string>
videofilter_profile: <string>
vlan_cos_fwd: <integer>
vlan_cos_rev: <integer>
vlan_filter: <string>
voip_profile: <string>
vpntunnel: <string>
waf_profile: <string>
wanopt: <value in [disable, enable]>
wanopt_detection: <value in [active, passive, off]>
wanopt_passive_opt: <value in [default, transparent, non-transparent]>
wanopt_peer: <string>
wanopt_profile: <string>
wccp: <value in [disable, enable]>
webcache: <value in [disable, enable]>
webcache_https: <value in [disable, ssl-server, any, ...]>
webfilter_profile: <string>
webproxy_forward_server: <string>
webproxy_profile: <string>
ztna_ems_tag: <list or string>
ztna_geo_tag: <list or string>
ztna_status: <value in [disable, enable]>
policy_offload: <value in [disable, enable]>
cgn_session_quota: <integer>
tcp_timeout_pid: <string>
udp_timeout_pid: <string>
dlp_sensor: <string>
cgn_eif: <value in [disable, enable]>
cgn_log_server_grp: <string>
cgn_resource_quota: <integer>
cgn_eim: <value in [disable, enable]>
mms_profile: <string>
app_category: <list or string>
internet_service_src_id: <list or string>
rsso: <value in [disable, enable]>
internet_service_id: <list or string>
best_route: <value in [disable, enable]>
fsso: <value in [disable, enable]>
url_category: <list or string>
app_group: <list or string>
ssl_mirror_intf: <list or string>
wsso: <value in [disable, enable]>
ssl_mirror: <value in [disable, enable]>
application: <list or integer>
dscp_negate: <value in [disable, enable]>
learning_mode: <value in [disable, enable]>
devices: <list or string>
dscp_value: <string>
spamfilter_profile: <string>
scan_botnet_connections: <value in [disable, block, monitor]>
dscp_match: <value in [disable, enable]>
diffserv_copy: <value in [disable, enable]>
dstaddr6_negate: <value in [disable, enable]>
internet_service6: <value in [disable, enable]>
internet_service6_custom: <list or string>
internet_service6_custom_group: <list or string>
internet_service6_group: <list or string>
internet_service6_name: <list or string>
internet_service6_negate: <value in [disable, enable]>
internet_service6_src: <value in [disable, enable]>
internet_service6_src_custom: <list or string>
internet_service6_src_custom_group: <list or string>
internet_service6_src_group: <list or string>
internet_service6_src_name: <list or string>
internet_service6_src_negate: <value in [disable, enable]>
network_service_dynamic: <list or string>
network_service_src_dynamic: <list or string>
reputation_direction6: <value in [source, destination]>
reputation_minimum6: <integer>
srcaddr6_negate: <value in [disable, enable]>
ip_version_type: <string>
ips_voip_filter: <string>
pcp_inbound: <value in [disable, enable]>
pcp_outbound: <value in [disable, enable]>
pcp_poolname: <list or string>
policy_behaviour_type: <string>
policy_expiry_date_utc: <string>
ztna_device_ownership: <value in [disable, enable]>
ztna_ems_tag_secondary: <list or string>
ztna_policy_redirect: <value in [disable, enable]>
ztna_tags_match_logic: <value in [or, and]>
casb_profile: <string>
virtual_patch_profile: <string>
diameter_filter_profile: <string>
port_preserve: <value in [disable, enable]>
cgn_sw_eif_ctrl: <value in [disable, enable]>
eif_check: <value in [disable, enable]>
eif_learn: <value in [disable, enable]>
log_http_transaction: <value in [disable, enable, all, ...]>
radius_ip_auth_bypass: <value in [disable, enable]>
返回值
常见的返回值已在此处记录，以下是此模块独有的字段。
键 |
描述 |
|---|---|
请求的结果。 返回：始终 |
|
请求的完整URL。 返回：始终 示例： |
|
API请求的状态。 返回：始终 示例： |
|
API响应。 返回：始终 |
|
API响应的描述性消息。 返回：始终 示例： |
|
目标系统的信息。 返回：始终 |
|
请求的状态。 返回：始终 示例： |
|
如果剧本中使用的参数不受当前FortiManager版本支持，则会发出警告。 返回：复杂类型 |