fortinet.fortios.fortios_ips_global 模块 – 在 Fortinet 的 FortiOS 和 FortiGate 中配置 IPS 全局参数。

注意

此模块是 fortinet.fortios 集合 (版本 2.3.8) 的一部分。

如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查是否已安装它，请运行 ansible-galaxy collection list。

要安装它，请使用： ansible-galaxy collection install fortinet.fortios。您需要其他要求才能使用此模块，请参阅 需求 以了解详细信息。

要在剧本中使用它，请指定： fortinet.fortios.fortios_ips_global。

fortinet.fortios 2.0.0 中的新增功能

概要

  • 此模块能够通过允许用户设置和修改 ips 功能和全局类别来配置 FortiGate 或 FortiOS (FOS) 设备。示例包括所有参数，在使用前需要将值调整到数据源。已在 FOS v6.0.0 上测试。

需求

执行此模块的主机需要以下需求。

  • ansible>=2.15

参数

参数

注释

access_token

字符串

基于令牌的身份验证。从 FortiGate 的 GUI 生成。

enable_log

布尔值

启用/禁用任务的日志记录。

选项

  • false ← (默认)

  • true

ips_global

字典

配置 IPS 全局参数。

anomaly_mode

字符串

基于速率的异常的全局阻止模式。

选项

  • "periodical"

  • "continuous"

av_mem_limit

整数

允许用于 AV 扫描的系统内存最大百分比 (10-50)。要禁用，请设置为零。禁用后，AV 内存使用量没有限制。

cp_accel_mode

字符串

将 IPS 模式匹配加速/卸载到 CPx 处理器。

选项

  • "none"

  • "basic"

  • "advanced"

database

字符串

常规或扩展的 IPS 数据库。常规保护免受最新常见攻击和已知攻击。扩展版包括针对传统攻击的保护。

选项

  • "regular"

  • "extended"

deep_app_insp_db_limit

整数

深度应用程序检测数据库中条目的数量限制 (1-2147483647，使用推荐设置 = 0)。

deep_app_insp_timeout

整数

深度应用程序检测的超时时间 (1-2147483647 秒，0 = 使用推荐设置)。

engine_count

整数

正在运行的 IPS 引擎数量。如果设置为默认值 0，FortiOS 会将数量设置为根据 CPU 内核数量优化性能。

exclude_signatures

字符串

排除的签名。

选项

  • "none"

  • "ot"

  • "industrial"

fail_open

字符串

如果 IPS 缓冲区已满，则启用允许流量。默认为禁用，当 IPS 缓冲区已满时，IPS 流量将被阻止。

选项

  • "enable"

  • "disable"

intelligent_mode

字符串

启用/禁用 IPS 自适应扫描（智能模式）。智能模式会根据流量类型优化扫描方法。

选项

  • "enable"

  • "disable"

ips_reserve_cpu

字符串

启用/禁用 IPS 守护程序使用 CPU 0 以外的 CPU。

选项

  • "disable"

  • "enable"

ngfw_max_scan_range

整数

NGFW 策略模式应用程序检测阈值。

np_accel_mode

字符串

通过 NPx 处理器进行 IPS 处理的加速模式。

选项

  • "none"

  • "basic"

packet_log_queue_depth

整数

每个 IPS 引擎的包/pcap 日志队列深度。

session_limit_mode

字符串

会话限制异常使用的并发会话计数方法。在更高的精度 (accurate) 或改进的性能 (heuristics) 之间选择。

选项

  • "accurate"

  • "heuristic"

skype_client_public_ipaddr

字符串

接收 Skype 会话的网络的公共 IP 地址。有助于识别 Skype 会话。用逗号分隔 IP 地址。

socket_size

整数

IPS 套接字缓冲区大小。最大值和默认值取决于可用内存。可以更改以调整性能。

sync_session_ttl

字符串

启用/禁用使用内核会话 TTL 进行 IPS 会话。

选项

  • "enable"

  • "disable"

tls_active_probe

字典

TLS 主动探测配置。

interface

字符串

指定到达服务器的出站接口。源系统.接口.名称。

interface_select_method

字符串

指定如何选择到达服务器的出站接口。

选项

  • "auto"

  • "sdwan"

  • "specify"

source_ip

字符串

用于 TLS 主动探测的源 IP 地址。

source_ip6

字符串

用于 TLS 主动探测的源 IPv6 地址。

vdom

字符串

用于 TLS 主动探测的虚拟域名称。源系统.vdom.名称。

traffic_submit

字符串

启用/禁用将此 FortiGate 发现的攻击数据提交到 FortiGuard。

选项

  • "enable"

  • "disable"

member_path

字符串

要操作的成员属性路径。

如果有多个属性，则用斜杠字符分隔。

标有 member_path 的参数对于执行成员操作是合法的。

member_state

字符串

在指定的属性路径下添加或删除成员。

指定 member_state 时，将忽略 state 选项。

选项

  • "present"

  • “不存在”

vdom

字符串

虚拟域，属于之前定义的域之一。vdom 是 FortiGate 的虚拟实例，可以将其配置和使用为不同的单元。

默认值： "root"

注释

注意

  • 旧版 fortiosapi 已弃用，httpapi 是运行 playbook 的首选方式。

示例

- name: Configure IPS global parameter.
  fortinet.fortios.fortios_ips_global:
      vdom: "{{ vdom }}"
      ips_global:
          anomaly_mode: "periodical"
          av_mem_limit: "0"
          cp_accel_mode: "none"
          database: "regular"
          deep_app_insp_db_limit: "0"
          deep_app_insp_timeout: "0"
          engine_count: "0"
          exclude_signatures: "none"
          fail_open: "enable"
          intelligent_mode: "enable"
          ips_reserve_cpu: "disable"
          ngfw_max_scan_range: "4096"
          np_accel_mode: "none"
          packet_log_queue_depth: "128"
          session_limit_mode: "accurate"
          skype_client_public_ipaddr: "<your_own_value>"
          socket_size: "256"
          sync_session_ttl: "enable"
          tls_active_probe:
              interface: "<your_own_value> (source system.interface.name)"
              interface_select_method: "auto"
              source_ip: "84.230.14.43"
              source_ip6: "<your_own_value>"
              vdom: "<your_own_value> (source system.vdom.name)"
          traffic_submit: "enable"

返回值

常见的返回值已在 此处 记录，以下是此模块独有的字段：

键

描述

build

字符串

FortiGate 镜像的版本号

返回值：始终返回

示例： "1547"

http_method

字符串

上次用于将内容配置到 FortiGate 的方法

返回值：始终返回

示例： "PUT"

http_status

字符串

FortiGate 在上次应用的操作中给出的最后结果

返回值：始终返回

示例： "200"

mkey

字符串

上次调用 FortiGate 时使用的主密钥 (ID)

返回值：成功

示例： "id"

name

字符串

用于满足请求的表的名称

返回值：始终返回

示例： "urlfilter"

path

字符串

用于满足请求的表的路径

返回值：始终返回

示例： "webfilter"

revision

字符串

内部版本号

返回值：始终返回

示例： "17.0.2.10658"

serial

字符串

设备的序列号

返回值：始终返回

示例： "FGVMEVYYQT3AB5352"

status

字符串

操作结果指示

返回值：始终返回

示例： "success"

vdom

字符串

使用的虚拟域

返回值：始终返回

示例： "root"

version

字符串

FortiGate 的版本

返回值：始终返回

示例： "v5.6.3"

作者

  • 郑链 (@chillancezen)

  • 薛杰 (@JieX19)

  • 卢洪滨 (@fgtdev-hblu)

  • 沈方 (@frankshen01)

  • Miguel Angel Munoz (@mamunozgonzalez)

  • Nicolas Thomas (@thomnico)