cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook Name:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright 2010, OpenStreetMap Foundation.
   6 # Copyright 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 network_packages = []
  27
  28 netplan = {
  29   "network" => {
  30     "version" => 2,
  31     "renderer" => "networkd",
  32     "ethernets" => {},
  33     "bonds" => {},
  34     "vlans" => {}
  35   }
  36 }
  37
  38 node[:networking][:interfaces].each do |name, interface|
  39   if interface[:interface]
  40     network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
  41     network_packages |= ["ifenslave"] if interface[:bond]
  42
  43     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  44       if role[interface[:family]]
  45         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  46         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  47       end
  48
  49       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  50       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  51     end
  52
  53     prefix = node[:networking][:interfaces][name][:prefix]
  54
  55     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  56     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  57
  58     if node[:networking][:netplan]
  59       if interface[:interface] =~ /^(.*)\.(\d+)$/
  60         deviceplan = netplan["network"]["vlans"][interface[:interface]] = {
  61           "id" => Regexp.last_match(2).to_i,
  62           "link" => Regexp.last_match(1),
  63           "accept-ra" => false,
  64           "addresses" => [],
  65           "routes" => []
  66         }
  67       elsif interface[:bond]
  68         deviceplan = netplan["network"]["bonds"][interface[:interface]] = {
  69           "accept-ra" => false,
  70           "addresses" => [],
  71           "routes" => [],
  72           "interfaces" => interface[:bond][:slaves].to_a,
  73           "parameters" => {
  74             "mode" => interface[:bond][:mode] || "active-backup",
  75             "primary" => interface[:bond][:slaves].first,
  76             "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  77             "down-delay" => interface[:bond][:downdelay] || 200,
  78             "up-delay" => interface[:bond][:updelay] || 200
  79           }
  80         }
  81
  82         deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
  83         deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
  84       else
  85         deviceplan = netplan["network"]["ethernets"][interface[:interface]] = {
  86           "accept-ra" => false,
  87           "addresses" => [],
  88           "routes" => []
  89         }
  90       end
  91
  92       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  93
  94       if interface[:gateway]
  95         if interface[:family] == "inet"
  96           default_route = "0.0.0.0/0"
  97         elsif interface[:family] == "inet6"
  98           default_route = "::/0"
  99         end
 100
 101         deviceplan["routes"].push(
 102           "to" => default_route,
 103           "via" => interface[:gateway],
 104           "metric" => interface[:metric],
 105           "on-link" => true
 106         )
 107       end
 108     end
 109   else
 110     node.rm(:networking, :interfaces, name)
 111   end
 112 end
 113
 114 if node[:networking][:netplan]
 115   package "netplan.io"
 116
 117   file "/etc/netplan/01-netcfg.yaml" do
 118     action :delete
 119   end
 120
 121   netplan["network"]["bonds"].each_value do |bond|
 122     bond["interfaces"].each do |interface|
 123       netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 124     end
 125   end
 126
 127   netplan["network"]["vlans"].each_value do |vlan|
 128     unless vlan["link"] =~ /^bond\d+$/
 129       netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 130     end
 131   end
 132
 133   file "/etc/netplan/99-chef.yaml" do
 134     owner "root"
 135     group "root"
 136     mode 0o644
 137     content YAML.dump(netplan)
 138   end
 139
 140   service "networking" do
 141     action :disable
 142   end
 143
 144   file "/etc/network/interfaces" do
 145     action :delete
 146   end
 147
 148   package "ifupdown" do
 149     action :purge
 150   end
 151 else
 152   package network_packages
 153
 154   template "/etc/network/interfaces" do
 155     source "interfaces.erb"
 156     owner "root"
 157     group "root"
 158     mode 0o644
 159   end
 160 end
 161
 162 execute "hostname" do
 163   action :nothing
 164   command "/bin/hostname -F /etc/hostname"
 165 end
 166
 167 template "/etc/hostname" do
 168   source "hostname.erb"
 169   owner "root"
 170   group "root"
 171   mode 0o644
 172   notifies :run, "execute[hostname]"
 173 end
 174
 175 template "/etc/hosts" do
 176   source "hosts.erb"
 177   owner "root"
 178   group "root"
 179   mode 0o644
 180 end
 181
 182 unless node[:networking][:nameservers].empty?
 183   link "/etc/resolv.conf" do
 184     action :delete
 185     link_type :symbolic
 186     to "/run/resolvconf/resolv.conf"
 187     only_if { File.symlink?("/etc/resolv.conf") }
 188   end
 189
 190   template "/etc/resolv.conf" do
 191     source "resolv.conf.erb"
 192     owner "root"
 193     group "root"
 194     mode 0o644
 195   end
 196 end
 197
 198 node.interfaces(:role => :internal) do |interface|
 199   if interface[:gateway] && interface[:gateway] != interface[:address]
 200     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 201       next unless gateway[:openvpn]
 202
 203       gateway[:openvpn][:tunnels].each_value do |tunnel|
 204         if tunnel[:peer][:address] # ~FC023
 205           route tunnel[:peer][:address] do
 206             netmask "255.255.255.255"
 207             gateway interface[:gateway]
 208             device interface[:interface]
 209           end
 210         end
 211
 212         next unless tunnel[:peer][:networks]
 213
 214         tunnel[:peer][:networks].each do |network|
 215           route network[:address] do
 216             netmask network[:netmask]
 217             gateway interface[:gateway]
 218             device interface[:interface]
 219           end
 220         end
 221       end
 222     end
 223   end
 224 end
 225
 226 zones = {}
 227
 228 search(:node, "networking:interfaces").collect do |n|
 229   next if n[:fqdn] == node[:fqdn]
 230
 231   n.interfaces.each do |interface|
 232     next unless interface[:role] == "external" && interface[:zone]
 233
 234     zones[interface[:zone]] ||= {}
 235     zones[interface[:zone]][interface[:family]] ||= []
 236     zones[interface[:zone]][interface[:family]] << interface[:address]
 237   end
 238 end
 239
 240 package "shorewall"
 241
 242 template "/etc/default/shorewall" do
 243   source "shorewall-default.erb"
 244   owner "root"
 245   group "root"
 246   mode 0o644
 247   notifies :restart, "service[shorewall]"
 248 end
 249
 250 template "/etc/shorewall/shorewall.conf" do
 251   source "shorewall.conf.erb"
 252   owner "root"
 253   group "root"
 254   mode 0o644
 255   notifies :restart, "service[shorewall]"
 256 end
 257
 258 template "/etc/shorewall/zones" do
 259   source "shorewall-zones.erb"
 260   owner "root"
 261   group "root"
 262   mode 0o644
 263   variables :type => "ipv4"
 264   notifies :restart, "service[shorewall]"
 265 end
 266
 267 template "/etc/shorewall/interfaces" do
 268   source "shorewall-interfaces.erb"
 269   owner "root"
 270   group "root"
 271   mode 0o644
 272   notifies :restart, "service[shorewall]"
 273 end
 274
 275 template "/etc/shorewall/hosts" do
 276   source "shorewall-hosts.erb"
 277   owner "root"
 278   group "root"
 279   mode 0o644
 280   variables :zones => zones
 281   notifies :restart, "service[shorewall]"
 282 end
 283
 284 template "/etc/shorewall/conntrack" do
 285   source "shorewall-conntrack.erb"
 286   owner "root"
 287   group "root"
 288   mode 0o644
 289   notifies :restart, "service[shorewall]"
 290   only_if { node[:networking][:firewall][:raw] }
 291 end
 292
 293 template "/etc/shorewall/policy" do
 294   source "shorewall-policy.erb"
 295   owner "root"
 296   group "root"
 297   mode 0o644
 298   notifies :restart, "service[shorewall]"
 299 end
 300
 301 template "/etc/shorewall/rules" do
 302   source "shorewall-rules.erb"
 303   owner "root"
 304   group "root"
 305   mode 0o644
 306   variables :family => "inet"
 307   notifies :restart, "service[shorewall]"
 308 end
 309
 310 service "shorewall" do
 311   action [:enable, :start]
 312   supports :restart => true
 313   status_command "shorewall status"
 314 end
 315
 316 template "/etc/logrotate.d/shorewall" do
 317   source "logrotate.shorewall.erb"
 318   owner "root"
 319   group "root"
 320   mode 0o644
 321   variables :name => "shorewall"
 322 end
 323
 324 firewall_rule "limit-icmp-echo" do
 325   action :accept
 326   family :inet
 327   source "net"
 328   dest "fw"
 329   proto "icmp"
 330   dest_ports "echo-request"
 331   rate_limit "s:1/sec:5"
 332 end
 333
 334 %w[ucl ams bm].each do |zone|
 335   firewall_rule "accept-openvpn-#{zone}" do
 336     action :accept
 337     source zone
 338     dest "fw"
 339     proto "udp"
 340     dest_ports "1194:1197"
 341     source_ports "1194:1197"
 342   end
 343 end
 344
 345 if node[:roles].include?("gateway")
 346   template "/etc/shorewall/masq" do
 347     source "shorewall-masq.erb"
 348     owner "root"
 349     group "root"
 350     mode 0o644
 351     notifies :restart, "service[shorewall]"
 352   end
 353 else
 354   file "/etc/shorewall/masq" do
 355     action :delete
 356     notifies :restart, "service[shorewall]"
 357   end
 358 end
 359
 360 unless node.interfaces(:family => :inet6).empty?
 361   package "shorewall6"
 362
 363   template "/etc/default/shorewall6" do
 364     source "shorewall-default.erb"
 365     owner "root"
 366     group "root"
 367     mode 0o644
 368     notifies :restart, "service[shorewall6]"
 369   end
 370
 371   template "/etc/shorewall6/shorewall6.conf" do
 372     source "shorewall6.conf.erb"
 373     owner "root"
 374     group "root"
 375     mode 0o644
 376     notifies :restart, "service[shorewall6]"
 377   end
 378
 379   template "/etc/shorewall6/zones" do
 380     source "shorewall-zones.erb"
 381     owner "root"
 382     group "root"
 383     mode 0o644
 384     variables :type => "ipv6"
 385     notifies :restart, "service[shorewall6]"
 386   end
 387
 388   template "/etc/shorewall6/interfaces" do
 389     source "shorewall6-interfaces.erb"
 390     owner "root"
 391     group "root"
 392     mode 0o644
 393     notifies :restart, "service[shorewall6]"
 394   end
 395
 396   template "/etc/shorewall6/hosts" do
 397     source "shorewall6-hosts.erb"
 398     owner "root"
 399     group "root"
 400     mode 0o644
 401     variables :zones => zones
 402     notifies :restart, "service[shorewall6]"
 403   end
 404
 405   template "/etc/shorewall6/conntrack" do
 406     source "shorewall-conntrack.erb"
 407     owner "root"
 408     group "root"
 409     mode 0o644
 410     notifies :restart, "service[shorewall6]"
 411     only_if { node[:networking][:firewall][:raw] }
 412   end
 413
 414   template "/etc/shorewall6/policy" do
 415     source "shorewall-policy.erb"
 416     owner "root"
 417     group "root"
 418     mode 0o644
 419     notifies :restart, "service[shorewall6]"
 420   end
 421
 422   template "/etc/shorewall6/rules" do
 423     source "shorewall-rules.erb"
 424     owner "root"
 425     group "root"
 426     mode 0o644
 427     variables :family => "inet6"
 428     notifies :restart, "service[shorewall6]"
 429   end
 430
 431   service "shorewall6" do
 432     action [:enable, :start]
 433     supports :restart => true
 434     status_command "shorewall6 status"
 435   end
 436
 437   template "/etc/logrotate.d/shorewall6" do
 438     source "logrotate.shorewall.erb"
 439     owner "root"
 440     group "root"
 441     mode 0o644
 442     variables :name => "shorewall6"
 443   end
 444
 445   firewall_rule "limit-icmp6-echo" do
 446     action :accept
 447     family :inet6
 448     source "net"
 449     dest "fw"
 450     proto "ipv6-icmp"
 451     dest_ports "echo-request"
 452     rate_limit "s:1/sec:5"
 453   end
 454 end
 455
 456 firewall_rule "accept-http" do
 457   action :accept
 458   source "net"
 459   dest "fw"
 460   proto "tcp:syn"
 461   dest_ports "http"
 462   rate_limit node[:networking][:firewall][:http_rate_limit]
 463   connection_limit node[:networking][:firewall][:http_connection_limit]
 464 end
 465
 466 firewall_rule "accept-https" do
 467   action :accept
 468   source "net"
 469   dest "fw"
 470   proto "tcp:syn"
 471   dest_ports "https"
 472   rate_limit node[:networking][:firewall][:http_rate_limit]
 473   connection_limit node[:networking][:firewall][:http_connection_limit]
 474 end