]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Add role for norbert
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24
25 network_packages = []
26
27 node[:networking][:interfaces].each do |name, interface|
28   if interface[:interface]
29     network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
30     network_packages |= ["ifenslave"] if interface[:bond]
31
32     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
33       if role[interface[:family]]
34         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
35         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
36       end
37
38       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
39       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
40     end
41
42     prefix = node[:networking][:interfaces][name][:prefix]
43
44     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
45     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
46   else
47     node.rm(:networking, :interfaces, name)
48   end
49 end
50
51 package network_packages
52
53 template "/etc/network/interfaces" do
54   source "interfaces.erb"
55   owner "root"
56   group "root"
57   mode 0o644
58 end
59
60 execute "hostname" do
61   action :nothing
62   command "/bin/hostname -F /etc/hostname"
63 end
64
65 template "/etc/hostname" do
66   source "hostname.erb"
67   owner "root"
68   group "root"
69   mode 0o644
70   notifies :run, "execute[hostname]"
71 end
72
73 template "/etc/hosts" do
74   source "hosts.erb"
75   owner "root"
76   group "root"
77   mode 0o644
78 end
79
80 unless node[:networking][:nameservers].empty?
81   link "/etc/resolv.conf" do
82     action :delete
83     link_type :symbolic
84     to "/run/resolvconf/resolv.conf"
85     only_if { File.symlink?("/etc/resolv.conf") }
86   end
87
88   template "/etc/resolv.conf" do
89     source "resolv.conf.erb"
90     owner "root"
91     group "root"
92     mode 0o644
93   end
94 end
95
96 node.interfaces(:role => :internal) do |interface|
97   if interface[:gateway] && interface[:gateway] != interface[:address]
98     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
99       next unless gateway[:openvpn]
100
101       gateway[:openvpn][:tunnels].each_value do |tunnel|
102         if tunnel[:peer][:address] # ~FC023
103           route tunnel[:peer][:address] do
104             netmask "255.255.255.255"
105             gateway interface[:gateway]
106             device interface[:interface]
107           end
108         end
109
110         next unless tunnel[:peer][:networks]
111
112         tunnel[:peer][:networks].each do |network|
113           route network[:address] do
114             netmask network[:netmask]
115             gateway interface[:gateway]
116             device interface[:interface]
117           end
118         end
119       end
120     end
121   end
122 end
123
124 zones = {}
125
126 search(:node, "networking:interfaces").collect do |n|
127   next if n[:fqdn] == node[:fqdn]
128
129   n.interfaces.each do |interface|
130     next unless interface[:role] == "external" && interface[:zone]
131
132     zones[interface[:zone]] ||= {}
133     zones[interface[:zone]][interface[:family]] ||= []
134     zones[interface[:zone]][interface[:family]] << interface[:address]
135   end
136 end
137
138 package "shorewall"
139
140 template "/etc/default/shorewall" do
141   source "shorewall-default.erb"
142   owner "root"
143   group "root"
144   mode 0o644
145   notifies :restart, "service[shorewall]"
146 end
147
148 template "/etc/shorewall/shorewall.conf" do
149   source "shorewall.conf.erb"
150   owner "root"
151   group "root"
152   mode 0o644
153   notifies :restart, "service[shorewall]"
154 end
155
156 template "/etc/shorewall/zones" do
157   source "shorewall-zones.erb"
158   owner "root"
159   group "root"
160   mode 0o644
161   variables :type => "ipv4"
162   notifies :restart, "service[shorewall]"
163 end
164
165 template "/etc/shorewall/interfaces" do
166   source "shorewall-interfaces.erb"
167   owner "root"
168   group "root"
169   mode 0o644
170   notifies :restart, "service[shorewall]"
171 end
172
173 template "/etc/shorewall/hosts" do
174   source "shorewall-hosts.erb"
175   owner "root"
176   group "root"
177   mode 0o644
178   variables :zones => zones
179   notifies :restart, "service[shorewall]"
180 end
181
182 template "/etc/shorewall/conntrack" do
183   source "shorewall-conntrack.erb"
184   owner "root"
185   group "root"
186   mode 0o644
187   notifies :restart, "service[shorewall]"
188 end
189
190 template "/etc/shorewall/policy" do
191   source "shorewall-policy.erb"
192   owner "root"
193   group "root"
194   mode 0o644
195   notifies :restart, "service[shorewall]"
196 end
197
198 template "/etc/shorewall/rules" do
199   source "shorewall-rules.erb"
200   owner "root"
201   group "root"
202   mode 0o644
203   variables :family => "inet"
204   notifies :restart, "service[shorewall]"
205 end
206
207 service "shorewall" do
208   action [:enable, :start]
209   supports :restart => true
210   status_command "shorewall status"
211 end
212
213 template "/etc/logrotate.d/shorewall" do
214   source "logrotate.shorewall.erb"
215   owner "root"
216   group "root"
217   mode 0o644
218   variables :name => "shorewall"
219 end
220
221 firewall_rule "limit-icmp-echo" do
222   action :accept
223   family :inet
224   source "net"
225   dest "fw"
226   proto "icmp"
227   dest_ports "echo-request"
228   rate_limit "s:1/sec:5"
229 end
230
231 %w[ucl ams bm].each do |zone|
232   firewall_rule "accept-openvpn-#{zone}" do
233     action :accept
234     source zone
235     dest "fw"
236     proto "udp"
237     dest_ports "1194:1197"
238     source_ports "1194:1197"
239   end
240 end
241
242 if node[:roles].include?("gateway")
243   template "/etc/shorewall/masq" do
244     source "shorewall-masq.erb"
245     owner "root"
246     group "root"
247     mode 0o644
248     notifies :restart, "service[shorewall]"
249   end
250 else
251   file "/etc/shorewall/masq" do
252     action :delete
253     notifies :restart, "service[shorewall]"
254   end
255 end
256
257 unless node.interfaces(:family => :inet6).empty?
258   package "shorewall6"
259
260   template "/etc/default/shorewall6" do
261     source "shorewall-default.erb"
262     owner "root"
263     group "root"
264     mode 0o644
265     notifies :restart, "service[shorewall6]"
266   end
267
268   template "/etc/shorewall6/shorewall6.conf" do
269     source "shorewall6.conf.erb"
270     owner "root"
271     group "root"
272     mode 0o644
273     notifies :restart, "service[shorewall6]"
274   end
275
276   template "/etc/shorewall6/zones" do
277     source "shorewall-zones.erb"
278     owner "root"
279     group "root"
280     mode 0o644
281     variables :type => "ipv6"
282     notifies :restart, "service[shorewall6]"
283   end
284
285   template "/etc/shorewall6/interfaces" do
286     source "shorewall6-interfaces.erb"
287     owner "root"
288     group "root"
289     mode 0o644
290     notifies :restart, "service[shorewall6]"
291   end
292
293   template "/etc/shorewall6/hosts" do
294     source "shorewall6-hosts.erb"
295     owner "root"
296     group "root"
297     mode 0o644
298     variables :zones => zones
299     notifies :restart, "service[shorewall6]"
300   end
301
302   template "/etc/shorewall6/conntrack" do
303     source "shorewall-conntrack.erb"
304     owner "root"
305     group "root"
306     mode 0o644
307     notifies :restart, "service[shorewall6]"
308   end
309
310   template "/etc/shorewall6/policy" do
311     source "shorewall-policy.erb"
312     owner "root"
313     group "root"
314     mode 0o644
315     notifies :restart, "service[shorewall6]"
316   end
317
318   template "/etc/shorewall6/rules" do
319     source "shorewall-rules.erb"
320     owner "root"
321     group "root"
322     mode 0o644
323     variables :family => "inet6"
324     notifies :restart, "service[shorewall6]"
325   end
326
327   service "shorewall6" do
328     action [:enable, :start]
329     supports :restart => true
330     status_command "shorewall6 status"
331   end
332
333   template "/etc/logrotate.d/shorewall6" do
334     source "logrotate.shorewall.erb"
335     owner "root"
336     group "root"
337     mode 0o644
338     variables :name => "shorewall6"
339   end
340
341   firewall_rule "limit-icmp6-echo" do
342     action :accept
343     family :inet6
344     source "net"
345     dest "fw"
346     proto "ipv6-icmp"
347     dest_ports "echo-request"
348     rate_limit "s:1/sec:5"
349   end
350 end
351
352 firewall_rule "accept-http" do
353   action :accept
354   source "net"
355   dest "fw"
356   proto "tcp:syn"
357   dest_ports "http"
358   rate_limit node[:networking][:firewall][:http_rate_limit]
359   connection_limit node[:networking][:firewall][:http_connection_limit]
360 end
361
362 firewall_rule "accept-https" do
363   action :accept
364   source "net"
365   dest "fw"
366   proto "tcp:syn"
367   dest_ports "https"
368   rate_limit node[:networking][:firewall][:http_rate_limit]
369   connection_limit node[:networking][:firewall][:http_connection_limit]
370 end