cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 package "netplan.io"
  29
  30 netplan = {
  31   "network" => {
  32     "version" => 2,
  33     "renderer" => "networkd",
  34     "ethernets" => {},
  35     "bonds" => {},
  36     "vlans" => {}
  37   }
  38 }
  39
  40 node.rm_normal(:networking)
  41
  42 node[:networking][:interfaces].each do |name, interface|
  43   if interface[:interface]
  44     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  45       if role[interface[:family]]
  46         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  47         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  48         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  49       end
  50
  51       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  52       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  53     end
  54
  55     if interface[:address]
  56       prefix = node[:networking][:interfaces][name][:prefix]
  57
  58       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  59       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  60     end
  61
  62     interface = node[:networking][:interfaces][name]
  63
  64     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  65                    netplan["network"]["vlans"][interface[:interface]] ||= {
  66                      "id" => Regexp.last_match(2).to_i,
  67                      "link" => Regexp.last_match(1),
  68                      "accept-ra" => false,
  69                      "addresses" => [],
  70                      "routes" => []
  71                    }
  72                  elsif interface[:interface] =~ /^bond\d+$/
  73                    netplan["network"]["bonds"][interface[:interface]] ||= {
  74                      "accept-ra" => false,
  75                      "addresses" => [],
  76                      "routes" => []
  77                    }
  78                  else
  79                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  80                      "accept-ra" => false,
  81                      "addresses" => [],
  82                      "routes" => []
  83                    }
  84                  end
  85
  86     if interface[:address]
  87       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  88     end
  89
  90     if interface[:mtu]
  91       deviceplan["mtu"] = interface[:mtu]
  92     end
  93
  94     if interface[:bond]
  95       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  96
  97       deviceplan["parameters"] = {
  98         "mode" => interface[:bond][:mode] || "active-backup",
  99         "primary" => interface[:bond][:slaves].first,
 100         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
 101         "down-delay" => interface[:bond][:downdelay] || 200,
 102         "up-delay" => interface[:bond][:updelay] || 200
 103       }
 104
 105       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 106       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 107     end
 108
 109     if interface[:gateway]
 110       if interface[:family] == "inet"
 111         default_route = "0.0.0.0/0"
 112       elsif interface[:family] == "inet6"
 113         default_route = "::/0"
 114       end
 115
 116       deviceplan["routes"].push(
 117         "to" => default_route,
 118         "via" => interface[:gateway],
 119         "metric" => interface[:metric],
 120         "on-link" => true
 121       )
 122
 123       # This ordering relies on systemd-networkd adding routes
 124       # in reverse order and will need moving before the previous
 125       # route once that is fixed:
 126       #
 127       # https://github.com/systemd/systemd/issues/5430
 128       # https://github.com/systemd/systemd/pull/10938
 129       if interface[:family] == "inet6" &&
 130          !interface[:network].include?(interface[:gateway]) &&
 131          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 132         deviceplan["routes"].push(
 133           "to" => interface[:gateway],
 134           "scope" => "link"
 135         )
 136       end
 137     end
 138
 139     if interface[:routes]
 140       interface[:routes].each do |to, parameters|
 141         next if parameters[:via] == interface[:address]
 142
 143         route = {
 144           "to" => to
 145         }
 146
 147         route["type"] = parameters[:type] if parameters[:type]
 148         route["via"] = parameters[:via] if parameters[:via]
 149         route["metric"] = parameters[:metric] if parameters[:metric]
 150
 151         deviceplan["routes"].push(route)
 152       end
 153     end
 154   else
 155     node.rm(:networking, :interfaces, name)
 156   end
 157 end
 158
 159 netplan["network"]["bonds"].each_value do |bond|
 160   bond["interfaces"].each do |interface|
 161     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 162   end
 163 end
 164
 165 netplan["network"]["vlans"].each_value do |vlan|
 166   unless vlan["link"] =~ /^bond\d+$/
 167     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 168   end
 169 end
 170
 171 file "/etc/netplan/01-netcfg.yaml" do
 172   action :delete
 173 end
 174
 175 file "/etc/netplan/50-cloud-init.yaml" do
 176   action :delete
 177 end
 178
 179 file "/etc/netplan/99-chef.yaml" do
 180   owner "root"
 181   group "root"
 182   mode "644"
 183   content YAML.dump(netplan)
 184 end
 185
 186 package "cloud-init" do
 187   action :purge
 188 end
 189
 190 if node[:networking][:wireguard][:enabled]
 191   wireguard_id = persistent_token("networking", "wireguard")
 192
 193   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 194
 195   package "wireguard-tools" do
 196     compile_time true
 197   end
 198
 199   directory "/var/lib/systemd/wireguard" do
 200     owner "root"
 201     group "systemd-network"
 202     mode "750"
 203     compile_time true
 204   end
 205
 206   file "/var/lib/systemd/wireguard/private.key" do
 207     action :create_if_missing
 208     owner "root"
 209     group "systemd-network"
 210     mode "640"
 211     content %x(wg genkey)
 212     compile_time true
 213   end
 214
 215   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 216
 217   file "/var/lib/systemd/wireguard/preshared.key" do
 218     action :create_if_missing
 219     owner "root"
 220     group "systemd-network"
 221     mode "640"
 222     content keys["wireguard"]
 223   end
 224
 225   if node[:roles].include?("gateway")
 226     search(:node, "roles:gateway") do |gateway|
 227       next if gateway.name == node.name
 228       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 229
 230       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
 231         "#{interface[:network]}/#{interface[:prefix]}"
 232       end
 233
 234       node.default[:networking][:wireguard][:peers] << {
 235         :public_key => gateway[:networking][:wireguard][:public_key],
 236         :allowed_ips => allowed_ips,
 237         :endpoint => "#{gateway.name}:51820"
 238       }
 239     end
 240   end
 241
 242   template "/etc/systemd/network/wireguard.netdev" do
 243     source "wireguard.netdev.erb"
 244     owner "root"
 245     group "systemd-network"
 246     mode "640"
 247   end
 248
 249   template "/etc/systemd/network/wireguard.network" do
 250     source "wireguard.network.erb"
 251     owner "root"
 252     group "root"
 253     mode "644"
 254   end
 255
 256   if node[:lsb][:release].to_f < 20.04
 257     execute "ip-link-delete-wg0" do
 258       action :nothing
 259       command "ip link delete wg0"
 260       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 261       only_if { ::File.exist?("/sys/class/net/wg0") }
 262     end
 263
 264     service "systemd-networkd" do
 265       action :nothing
 266       subscribes :restart, "template[/etc/systemd/network/wireguard.netdev]"
 267       subscribes :restart, "template[/etc/systemd/network/wireguard.network]"
 268       not_if { ENV.key?("TEST_KITCHEN") }
 269     end
 270   else
 271     execute "networkctl-delete-wg0" do
 272       action :nothing
 273       command "networkctl delete wg0"
 274       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 275       only_if { ::File.exist?("/sys/class/net/wg0") }
 276     end
 277
 278     execute "networkctl-reload" do
 279       action :nothing
 280       command "networkctl reload"
 281       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 282       subscribes :run, "template[/etc/systemd/network/wireguard.network]"
 283       not_if { ENV.key?("TEST_KITCHEN") }
 284     end
 285   end
 286 end
 287
 288 ohai "reload-hostname" do
 289   action :nothing
 290   plugin "hostname"
 291 end
 292
 293 execute "hostnamectl-set-hostname" do
 294   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 295   notifies :reload, "ohai[reload-hostname]"
 296   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 297 end
 298
 299 template "/etc/hosts" do
 300   source "hosts.erb"
 301   owner "root"
 302   group "root"
 303   mode "644"
 304   not_if { ENV["TEST_KITCHEN"] }
 305 end
 306
 307 service "systemd-resolved" do
 308   action [:enable, :start]
 309 end
 310
 311 directory "/etc/systemd/resolved.conf.d" do
 312   owner "root"
 313   group "root"
 314   mode "755"
 315 end
 316
 317 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 318   source "resolved.conf.erb"
 319   owner "root"
 320   group "root"
 321   mode "644"
 322   notifies :restart, "service[systemd-resolved]", :immediately
 323 end
 324
 325 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 326   mount "/etc/resolv.conf" do
 327     action :umount
 328     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
 329   end
 330 end
 331
 332 link "/etc/resolv.conf" do
 333   to "../run/systemd/resolve/stub-resolv.conf"
 334 end
 335
 336 zones = {}
 337
 338 search(:node, "networking:interfaces").collect do |n|
 339   next if n[:fqdn] == node[:fqdn]
 340
 341   n.interfaces.each do |interface|
 342     next unless interface[:role] == "external" && interface[:zone]
 343
 344     zones[interface[:zone]] ||= {}
 345     zones[interface[:zone]][interface[:family]] ||= []
 346     zones[interface[:zone]][interface[:family]] << interface[:address]
 347   end
 348 end
 349
 350 package "shorewall"
 351
 352 template "/etc/default/shorewall" do
 353   source "shorewall-default.erb"
 354   owner "root"
 355   group "root"
 356   mode "644"
 357   notifies :restart, "service[shorewall]"
 358 end
 359
 360 template "/etc/shorewall/shorewall.conf" do
 361   source "shorewall.conf.erb"
 362   owner "root"
 363   group "root"
 364   mode "644"
 365   notifies :restart, "service[shorewall]"
 366 end
 367
 368 template "/etc/shorewall/zones" do
 369   source "shorewall-zones.erb"
 370   owner "root"
 371   group "root"
 372   mode "644"
 373   variables :type => "ipv4"
 374   notifies :restart, "service[shorewall]"
 375 end
 376
 377 template "/etc/shorewall/interfaces" do
 378   source "shorewall-interfaces.erb"
 379   owner "root"
 380   group "root"
 381   mode "644"
 382   notifies :restart, "service[shorewall]"
 383 end
 384
 385 template "/etc/shorewall/hosts" do
 386   source "shorewall-hosts.erb"
 387   owner "root"
 388   group "root"
 389   mode "644"
 390   variables :zones => zones
 391   notifies :restart, "service[shorewall]"
 392 end
 393
 394 template "/etc/shorewall/conntrack" do
 395   source "shorewall-conntrack.erb"
 396   owner "root"
 397   group "root"
 398   mode "644"
 399   notifies :restart, "service[shorewall]"
 400   only_if { node[:networking][:firewall][:raw] }
 401 end
 402
 403 template "/etc/shorewall/policy" do
 404   source "shorewall-policy.erb"
 405   owner "root"
 406   group "root"
 407   mode "644"
 408   notifies :restart, "service[shorewall]"
 409 end
 410
 411 template "/etc/shorewall/rules" do
 412   action :nothing
 413   source "shorewall-rules.erb"
 414   owner "root"
 415   group "root"
 416   mode "644"
 417   variables :family => "inet"
 418   notifies :restart, "service[shorewall]"
 419 end
 420
 421 notify_group "shorewall-rules" do
 422   action :run
 423   notifies :create, "template[/etc/shorewall/rules]"
 424 end
 425
 426 if node[:networking][:firewall][:enabled]
 427   service "shorewall" do
 428     action [:enable, :start]
 429     supports :restart => true
 430     status_command "shorewall status"
 431   end
 432 else
 433   service "shorewall" do
 434     action [:disable, :stop]
 435     supports :restart => true
 436     status_command "shorewall status"
 437   end
 438 end
 439
 440 template "/etc/logrotate.d/shorewall" do
 441   source "logrotate.shorewall.erb"
 442   owner "root"
 443   group "root"
 444   mode "644"
 445   variables :name => "shorewall"
 446 end
 447
 448 firewall_rule "limit-icmp-echo" do
 449   action :accept
 450   family :inet
 451   source "net"
 452   dest "fw"
 453   proto "icmp"
 454   dest_ports "echo-request"
 455   rate_limit "s:1/sec:5"
 456 end
 457
 458 if node[:networking][:wireguard][:enabled]
 459   firewall_rule "accept-wireguard" do
 460     action :accept
 461     source "osm"
 462     dest "fw"
 463     proto "udp"
 464     dest_ports "51820"
 465     source_ports "51820"
 466   end
 467 end
 468
 469 if node[:roles].include?("gateway")
 470   template "/etc/shorewall/masq" do
 471     source "shorewall-masq.erb"
 472     owner "root"
 473     group "root"
 474     mode "644"
 475     notifies :restart, "service[shorewall]"
 476   end
 477 else
 478   file "/etc/shorewall/masq" do
 479     action :delete
 480     notifies :restart, "service[shorewall]"
 481   end
 482 end
 483
 484 unless node.interfaces(:family => :inet6).empty?
 485   package "shorewall6"
 486
 487   template "/etc/default/shorewall6" do
 488     source "shorewall-default.erb"
 489     owner "root"
 490     group "root"
 491     mode "644"
 492     notifies :restart, "service[shorewall6]"
 493   end
 494
 495   template "/etc/shorewall6/shorewall6.conf" do
 496     source "shorewall6.conf.erb"
 497     owner "root"
 498     group "root"
 499     mode "644"
 500     notifies :restart, "service[shorewall6]"
 501   end
 502
 503   template "/etc/shorewall6/zones" do
 504     source "shorewall-zones.erb"
 505     owner "root"
 506     group "root"
 507     mode "644"
 508     variables :type => "ipv6"
 509     notifies :restart, "service[shorewall6]"
 510   end
 511
 512   template "/etc/shorewall6/interfaces" do
 513     source "shorewall6-interfaces.erb"
 514     owner "root"
 515     group "root"
 516     mode "644"
 517     notifies :restart, "service[shorewall6]"
 518   end
 519
 520   template "/etc/shorewall6/hosts" do
 521     source "shorewall6-hosts.erb"
 522     owner "root"
 523     group "root"
 524     mode "644"
 525     variables :zones => zones
 526     notifies :restart, "service[shorewall6]"
 527   end
 528
 529   template "/etc/shorewall6/conntrack" do
 530     source "shorewall-conntrack.erb"
 531     owner "root"
 532     group "root"
 533     mode "644"
 534     notifies :restart, "service[shorewall6]"
 535     only_if { node[:networking][:firewall][:raw] }
 536   end
 537
 538   template "/etc/shorewall6/policy" do
 539     source "shorewall-policy.erb"
 540     owner "root"
 541     group "root"
 542     mode "644"
 543     notifies :restart, "service[shorewall6]"
 544   end
 545
 546   template "/etc/shorewall6/rules" do
 547     action :nothing
 548     source "shorewall-rules.erb"
 549     owner "root"
 550     group "root"
 551     mode "644"
 552     variables :family => "inet6"
 553     notifies :restart, "service[shorewall6]"
 554   end
 555
 556   notify_group "shorewall6-rules" do
 557     action :run
 558     notifies :create, "template[/etc/shorewall6/rules]"
 559   end
 560
 561   if node[:networking][:firewall][:enabled]
 562     service "shorewall6" do
 563       action [:enable, :start]
 564       supports :restart => true
 565       status_command "shorewall6 status"
 566     end
 567   else
 568     service "shorewall6" do
 569       action [:disable, :stop]
 570       supports :restart => true
 571       status_command "shorewall6 status"
 572     end
 573   end
 574
 575   template "/etc/logrotate.d/shorewall6" do
 576     source "logrotate.shorewall.erb"
 577     owner "root"
 578     group "root"
 579     mode "644"
 580     variables :name => "shorewall6"
 581   end
 582
 583   firewall_rule "limit-icmp6-echo" do
 584     action :accept
 585     family :inet6
 586     source "net"
 587     dest "fw"
 588     proto "ipv6-icmp"
 589     dest_ports "echo-request"
 590     rate_limit "s:1/sec:5"
 591   end
 592 end
 593
 594 firewall_rule "accept-http" do
 595   action :accept
 596   source "net"
 597   dest "fw"
 598   proto "tcp:syn"
 599   dest_ports "http"
 600   rate_limit node[:networking][:firewall][:http_rate_limit]
 601   connection_limit node[:networking][:firewall][:http_connection_limit]
 602 end
 603
 604 firewall_rule "accept-https" do
 605   action :accept
 606   source "net"
 607   dest "fw"
 608   proto "tcp:syn"
 609   dest_ports "https"
 610   rate_limit node[:networking][:firewall][:http_rate_limit]
 611   connection_limit node[:networking][:firewall][:http_connection_limit]
 612 end