]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Fix setting of bond parameters
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 network_packages = []
27
28 netplan = {
29   "network" => {
30     "version" => 2,
31     "renderer" => "networkd",
32     "ethernets" => {},
33     "bonds" => {},
34     "vlans" => {}
35   }
36 }
37
38 node[:networking][:interfaces].each do |name, interface|
39   if interface[:interface]
40     network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
41     network_packages |= ["ifenslave"] if interface[:bond]
42
43     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
44       if role[interface[:family]]
45         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
46         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
47       end
48
49       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
50       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
51     end
52
53     prefix = node[:networking][:interfaces][name][:prefix]
54
55     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
56     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
57
58     if node[:networking][:netplan]
59       if interface[:interface] =~ /^(.*)\.(\d+)$/
60         deviceplan = netplan["network"]["vlans"][interface[:interface]] = {
61           "id" => Regexp.last_match(2).to_i,
62           "link" => Regexp.last_match(1),
63           "accept-ra" => false,
64           "addresses" => [],
65           "routes" => []
66         }
67       elsif interface[:bond]
68         deviceplan = netplan["network"]["bonds"][interface[:interface]] = {
69           "accept-ra" => false,
70           "addresses" => [],
71           "routes" => [],
72           "interfaces" => interface[:bond][:slaves].to_a,
73           "parameters" => {
74             "mode" => interface[:bond][:mode] || "active-backup",
75             "primary" => interface[:bond][:slaves].first,
76             "mii-monitor-interval" => interface[:bond][:miimon] || 100,
77             "down-delay" => interface[:bond][:downdelay] || 200,
78             "up-delay" => interface[:bond][:updelay] || 200
79           }
80         }
81
82         deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
83         deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
84       else
85         deviceplan = netplan["network"]["ethernets"][interface[:interface]] = {
86           "accept-ra" => false,
87           "addresses" => [],
88           "routes" => []
89         }
90       end
91
92       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
93
94       if interface[:gateway]
95         if interface[:family] == "inet"
96           default_route = "0.0.0.0/0"
97         elsif interface[:family] == "inet6"
98           default_route = "::/0"
99         end
100
101         deviceplan["routes"].push(
102           "to" => default_route,
103           "via" => interface[:gateway],
104           "metric" => interface[:metric],
105           "on-link" => true
106         )
107       end
108     end
109   else
110     node.rm(:networking, :interfaces, name)
111   end
112 end
113
114 if node[:networking][:netplan]
115   package "netplan.io"
116
117   file "/etc/netplan/01-netcfg.yaml" do
118     action :delete
119   end
120
121   netplan["network"]["bonds"].each_value do |bond|
122     bond["interfaces"].each do |interface|
123       netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
124     end
125   end
126
127   netplan["network"]["vlans"].each_value do |vlan|
128     unless vlan["link"] =~ /^bond\d+$/
129       netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
130     end
131   end
132
133   file "/etc/netplan/99-chef.yaml" do
134     owner "root"
135     group "root"
136     mode 0o644
137     content YAML.dump(netplan)
138   end
139
140   service "networking" do
141     action :disable
142   end
143
144   file "/etc/network/interfaces" do
145     action :delete
146   end
147
148   package "ifupdown" do
149     action :purge
150   end
151 else
152   package network_packages
153
154   template "/etc/network/interfaces" do
155     source "interfaces.erb"
156     owner "root"
157     group "root"
158     mode 0o644
159   end
160 end
161
162 execute "hostname" do
163   action :nothing
164   command "/bin/hostname -F /etc/hostname"
165 end
166
167 template "/etc/hostname" do
168   source "hostname.erb"
169   owner "root"
170   group "root"
171   mode 0o644
172   notifies :run, "execute[hostname]"
173 end
174
175 template "/etc/hosts" do
176   source "hosts.erb"
177   owner "root"
178   group "root"
179   mode 0o644
180 end
181
182 unless node[:networking][:nameservers].empty?
183   link "/etc/resolv.conf" do
184     action :delete
185     link_type :symbolic
186     to "/run/resolvconf/resolv.conf"
187     only_if { File.symlink?("/etc/resolv.conf") }
188   end
189
190   template "/etc/resolv.conf" do
191     source "resolv.conf.erb"
192     owner "root"
193     group "root"
194     mode 0o644
195   end
196 end
197
198 node.interfaces(:role => :internal) do |interface|
199   if interface[:gateway] && interface[:gateway] != interface[:address]
200     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
201       next unless gateway[:openvpn]
202
203       gateway[:openvpn][:tunnels].each_value do |tunnel|
204         if tunnel[:peer][:address] # ~FC023
205           route tunnel[:peer][:address] do
206             netmask "255.255.255.255"
207             gateway interface[:gateway]
208             device interface[:interface]
209           end
210         end
211
212         next unless tunnel[:peer][:networks]
213
214         tunnel[:peer][:networks].each do |network|
215           route network[:address] do
216             netmask network[:netmask]
217             gateway interface[:gateway]
218             device interface[:interface]
219           end
220         end
221       end
222     end
223   end
224 end
225
226 zones = {}
227
228 search(:node, "networking:interfaces").collect do |n|
229   next if n[:fqdn] == node[:fqdn]
230
231   n.interfaces.each do |interface|
232     next unless interface[:role] == "external" && interface[:zone]
233
234     zones[interface[:zone]] ||= {}
235     zones[interface[:zone]][interface[:family]] ||= []
236     zones[interface[:zone]][interface[:family]] << interface[:address]
237   end
238 end
239
240 package "shorewall"
241
242 template "/etc/default/shorewall" do
243   source "shorewall-default.erb"
244   owner "root"
245   group "root"
246   mode 0o644
247   notifies :restart, "service[shorewall]"
248 end
249
250 template "/etc/shorewall/shorewall.conf" do
251   source "shorewall.conf.erb"
252   owner "root"
253   group "root"
254   mode 0o644
255   notifies :restart, "service[shorewall]"
256 end
257
258 template "/etc/shorewall/zones" do
259   source "shorewall-zones.erb"
260   owner "root"
261   group "root"
262   mode 0o644
263   variables :type => "ipv4"
264   notifies :restart, "service[shorewall]"
265 end
266
267 template "/etc/shorewall/interfaces" do
268   source "shorewall-interfaces.erb"
269   owner "root"
270   group "root"
271   mode 0o644
272   notifies :restart, "service[shorewall]"
273 end
274
275 template "/etc/shorewall/hosts" do
276   source "shorewall-hosts.erb"
277   owner "root"
278   group "root"
279   mode 0o644
280   variables :zones => zones
281   notifies :restart, "service[shorewall]"
282 end
283
284 template "/etc/shorewall/conntrack" do
285   source "shorewall-conntrack.erb"
286   owner "root"
287   group "root"
288   mode 0o644
289   notifies :restart, "service[shorewall]"
290   only_if { node[:networking][:firewall][:raw] }
291 end
292
293 template "/etc/shorewall/policy" do
294   source "shorewall-policy.erb"
295   owner "root"
296   group "root"
297   mode 0o644
298   notifies :restart, "service[shorewall]"
299 end
300
301 template "/etc/shorewall/rules" do
302   source "shorewall-rules.erb"
303   owner "root"
304   group "root"
305   mode 0o644
306   variables :family => "inet"
307   notifies :restart, "service[shorewall]"
308 end
309
310 service "shorewall" do
311   action [:enable, :start]
312   supports :restart => true
313   status_command "shorewall status"
314 end
315
316 template "/etc/logrotate.d/shorewall" do
317   source "logrotate.shorewall.erb"
318   owner "root"
319   group "root"
320   mode 0o644
321   variables :name => "shorewall"
322 end
323
324 firewall_rule "limit-icmp-echo" do
325   action :accept
326   family :inet
327   source "net"
328   dest "fw"
329   proto "icmp"
330   dest_ports "echo-request"
331   rate_limit "s:1/sec:5"
332 end
333
334 %w[ucl ams bm].each do |zone|
335   firewall_rule "accept-openvpn-#{zone}" do
336     action :accept
337     source zone
338     dest "fw"
339     proto "udp"
340     dest_ports "1194:1197"
341     source_ports "1194:1197"
342   end
343 end
344
345 if node[:roles].include?("gateway")
346   template "/etc/shorewall/masq" do
347     source "shorewall-masq.erb"
348     owner "root"
349     group "root"
350     mode 0o644
351     notifies :restart, "service[shorewall]"
352   end
353 else
354   file "/etc/shorewall/masq" do
355     action :delete
356     notifies :restart, "service[shorewall]"
357   end
358 end
359
360 unless node.interfaces(:family => :inet6).empty?
361   package "shorewall6"
362
363   template "/etc/default/shorewall6" do
364     source "shorewall-default.erb"
365     owner "root"
366     group "root"
367     mode 0o644
368     notifies :restart, "service[shorewall6]"
369   end
370
371   template "/etc/shorewall6/shorewall6.conf" do
372     source "shorewall6.conf.erb"
373     owner "root"
374     group "root"
375     mode 0o644
376     notifies :restart, "service[shorewall6]"
377   end
378
379   template "/etc/shorewall6/zones" do
380     source "shorewall-zones.erb"
381     owner "root"
382     group "root"
383     mode 0o644
384     variables :type => "ipv6"
385     notifies :restart, "service[shorewall6]"
386   end
387
388   template "/etc/shorewall6/interfaces" do
389     source "shorewall6-interfaces.erb"
390     owner "root"
391     group "root"
392     mode 0o644
393     notifies :restart, "service[shorewall6]"
394   end
395
396   template "/etc/shorewall6/hosts" do
397     source "shorewall6-hosts.erb"
398     owner "root"
399     group "root"
400     mode 0o644
401     variables :zones => zones
402     notifies :restart, "service[shorewall6]"
403   end
404
405   template "/etc/shorewall6/conntrack" do
406     source "shorewall-conntrack.erb"
407     owner "root"
408     group "root"
409     mode 0o644
410     notifies :restart, "service[shorewall6]"
411     only_if { node[:networking][:firewall][:raw] }
412   end
413
414   template "/etc/shorewall6/policy" do
415     source "shorewall-policy.erb"
416     owner "root"
417     group "root"
418     mode 0o644
419     notifies :restart, "service[shorewall6]"
420   end
421
422   template "/etc/shorewall6/rules" do
423     source "shorewall-rules.erb"
424     owner "root"
425     group "root"
426     mode 0o644
427     variables :family => "inet6"
428     notifies :restart, "service[shorewall6]"
429   end
430
431   service "shorewall6" do
432     action [:enable, :start]
433     supports :restart => true
434     status_command "shorewall6 status"
435   end
436
437   template "/etc/logrotate.d/shorewall6" do
438     source "logrotate.shorewall.erb"
439     owner "root"
440     group "root"
441     mode 0o644
442     variables :name => "shorewall6"
443   end
444
445   firewall_rule "limit-icmp6-echo" do
446     action :accept
447     family :inet6
448     source "net"
449     dest "fw"
450     proto "ipv6-icmp"
451     dest_ports "echo-request"
452     rate_limit "s:1/sec:5"
453   end
454 end
455
456 firewall_rule "accept-http" do
457   action :accept
458   source "net"
459   dest "fw"
460   proto "tcp:syn"
461   dest_ports "http"
462   rate_limit node[:networking][:firewall][:http_rate_limit]
463   connection_limit node[:networking][:firewall][:http_connection_limit]
464 end
465
466 firewall_rule "accept-https" do
467   action :accept
468   source "net"
469   dest "fw"
470   proto "tcp:syn"
471   dest_ports "https"
472   rate_limit node[:networking][:firewall][:http_rate_limit]
473   connection_limit node[:networking][:firewall][:http_connection_limit]
474 end