使用Ansible配置Fortigate SSL负载均衡VIP时遇-56错误求助

问题场景 #

使用Ansible FortiOS Galaxy插件配置Fortigate 60E（FortiOS7.4.2）的VIP时，普通VIP可正常部署，但SSL类型的server-load-balancer型VIP返回-56错误，提示必须至少配置1个服务器证书，而指定的证书已在设备上安装。

配置代码 #

- name: "Configure {{ vdom }} vdom virtual IP for IPv4"
  fortios_firewall_vip:
    vdom:  "{{ vdom }}"
    state: "{{ state }}"
    access_token: "{{ token }}"
    firewall_vip:
      name: "vip_ssl_placeholder"
      extintf: "management"
      extip: "10.10.10.1"
      extport: "6363"
      type: "server-load-balance"
      server_type: "ssl"
      monitor:
      - name: "tcp-6363-link-monitor"
      ldb_method: "least-rtt"
      persistence: "ssl-session-id"
      realservers:
      - id: "1"
        ip: "10.16.10.1"
        port: "6363"
      - id: "2"
        ip: "10.16.10.2"
        port: "6363"
      ssl_mode: "full"
      ssl_certificate: "Fortinet_Factory"

错误信息 #

meta:
    build: 2571
    cli_error: |-
      current vf=root:0
      There must be at least 1 server certificate configured.
      attribute set operator error, -56, discard the setting
      Command fail. Return code -56
    error: -56
    http_method: POST
    http_status: 500
    name: vip
    path: firewall
    revision: 18eaa14db7184d138cc857f49e1819a3
    revision_changed: false
    serial: FGT60Exxxxxxxxx
    status: error
    vdom: root
    version: v7.4.2
  msg: Error in repo

环境信息 #

• Ansible [core 2.14.12]
• Ansible-Galaxy插件：fortinet.fortios 2.3.4
• Fortigate 60E，FortiOS 7.4.2

已尝试操作 #

• 通过Fortigate GUI手动配置该VIP，可正常完成并选中目标证书
• 用diag deb en和diag deb cli 8对比手动配置的CLI命令，与脚本生成的命令一致

问题分析与解决 #

错误-56含义 #

错误码-56是属性设置操作错误，表示FortiGate API无法识别或接受传入的某个参数配置，此处具体表现为系统判定未配置服务器证书。

解决方案 #

问题核心是Ansible参数名称与FortiOS API不匹配：

• 你使用的ssl_certificate并非SSL负载均衡VIP对应的证书参数，正确参数应为ssl_server_certificate。

修改配置代码中的证书参数：

# 替换原有的 ssl_certificate 行
ssl_server_certificate: "Fortinet_Factory"

额外建议 #

若修改参数后仍有问题，可尝试升级fortinet.fortios插件到最新版本（当前最新为3.x系列），新版本插件通常会更好适配FortiOS 7.4.x的API参数映射。

内容的提问来源于stack exchange，提问作者janholzbecher