Ansible：如何在set_fact中解析字符串以计算Jinja表达式

你的核心问题是：group_vars中定义的规则条目包含节点独有变量的Jinja引用，但通过set_fact收集后，这些表达式未被自动解析，保留了原始字符串格式。这是因为Ansible默认只会在加载playbook/模板时渲染Jinja，set_fact仅做变量赋值，不会触发二次渲染。以下是两种适配Ansible 2.13.5的解决方案：

方法一：自定义Jinja过滤器（推荐） #

通过编写自定义过滤器，直接调用Jinja2引擎渲染字符串，无需依赖目标主机环境，更可靠可控。

1. 创建自定义过滤器文件
   在你的Ansible角色目录下新建filter_plugins/render.py，内容如下：

from jinja2 import Template
from ansible.errors import AnsibleFilterError

def render_jinja_string(template_str, context_vars):
    try:
        template = Template(template_str)
        return template.render(context_vars)
    except Exception as e:
        raise AnsibleFilterError(f"渲染模板字符串失败: {str(e)}")

class FilterModule:
    def filters(self):
        return {
            'render_jinja': render_jinja_string
        }

2. 收集并渲染规则
   在角色的tasks/main.yml中添加以下步骤：

# 收集所有以lxc_开头的规则变量
- name: 收集LXC/VM规则变量
  ansible.builtin.set_fact:
    raw_rules: "{{ raw_rules | default([]) + [vars[item]] }}"
  loop: "{{ hostvars[inventory_hostname] | dict2items | selectattr('key', 'match', '^lxc_') | map(attribute='key') | list }}"

# 渲染规则条目中的Jinja表达式
- name: 解析规则条目中的节点变量
  ansible.builtin.set_fact:
    processed_rules: "{{ processed_rules | default([]) + [
        rule | combine({
            'entries': rule.entries | map('render_jinja', hostvars[inventory_hostname]) | list
        })
    ] }}"
  loop: "{{ raw_rules }}"
  loop_control:
    loop_var: rule

方法二：使用lookup('template', '/dev/stdin') #

利用Ansible的template lookup功能，将每个规则条目作为标准输入传递，触发模板渲染。该方法无需编写自定义代码，但依赖目标主机的/dev/stdin（Linux系统默认支持）。

在角色的tasks/main.yml中添加：

# 收集规则变量
- name: 收集LXC/VM规则变量
  ansible.builtin.set_fact:
    raw_rules: "{{ raw_rules | default([]) + [vars[item]] }}"
  loop: "{{ hostvars[inventory_hostname] | dict2items | selectattr('key', 'match', '^lxc_') | map(attribute='key') | list }}"

# 逐个渲染规则条目
- name: 解析规则条目中的Jinja表达式
  ansible.builtin.set_fact:
    processed_rules: "{{ processed_rules | default([]) + [processed_rule] }}"
  loop: "{{ raw_rules }}"
  vars:
    current_rule: "{{ item }}"
    rendered_entries: []
  block:
    - name: 渲染单个条目
      ansible.builtin.set_fact:
        rendered_entries: "{{ rendered_entries + [lookup('template', '/dev/stdin', stdin=entry)] }}"
      loop: "{{ current_rule.entries }}"
      loop_control:
        loop_var: entry
    - name: 组装处理后的规则
      ansible.builtin.set_fact:
        processed_rule: "{{ current_rule | combine({'entries': rendered_entries}) }}"

后续步骤 #

处理完规则后，你可以继续按需求整理filter/nat表规则并排序，最终通过ansible.builtin.template写入/etc/iptables/rules.v4：

# 整理规则到对应表
- name: 分类整理filter和nat表规则
  ansible.builtin.set_fact:
    iptables_final_rules:
      filter: "{{ processed_rules | selectattr('table', 'equalto', 'filter') | map(attribute='entries') | flatten | sort }}"
      nat: "{{ processed_rules | selectattr('table', 'equalto', 'nat') | map(attribute='entries') | flatten | sort }}"

# 写入iptables规则文件
- name: 生成iptables规则文件
  ansible.builtin.template:
    src: rules.v4.j2
    dest: /etc/iptables/rules.v4
    mode: '0644'

内容的提问来源于stack exchange，提问作者lexXxel