]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Unmount any bind mount that is hiding /etc/resolv.conf
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 package "netplan.io"
27
28 netplan = {
29   "network" => {
30     "version" => 2,
31     "renderer" => "networkd",
32     "ethernets" => {},
33     "bonds" => {},
34     "vlans" => {}
35   }
36 }
37
38 node[:networking][:interfaces].each do |name, interface|
39   if interface[:interface]
40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
41       if role[interface[:family]]
42         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
43         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
44         node.normal[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
45       end
46
47       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
48       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
49     end
50
51     prefix = node[:networking][:interfaces][name][:prefix]
52
53     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
54     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
55
56     interface = node[:networking][:interfaces][name]
57
58     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
59                    netplan["network"]["vlans"][interface[:interface]] ||= {
60                      "id" => Regexp.last_match(2).to_i,
61                      "link" => Regexp.last_match(1),
62                      "accept-ra" => false,
63                      "addresses" => [],
64                      "routes" => []
65                    }
66                  elsif interface[:interface] =~ /^bond\d+$/
67                    netplan["network"]["bonds"][interface[:interface]] ||= {
68                      "accept-ra" => false,
69                      "addresses" => [],
70                      "routes" => []
71                    }
72                  else
73                    netplan["network"]["ethernets"][interface[:interface]] ||= {
74                      "accept-ra" => false,
75                      "addresses" => [],
76                      "routes" => []
77                    }
78                  end
79
80     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
81
82     if interface[:mtu]
83       deviceplan["mtu"] = interface[:mtu]
84     end
85
86     if interface[:bond]
87       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
88
89       deviceplan["parameters"] = {
90         "mode" => interface[:bond][:mode] || "active-backup",
91         "primary" => interface[:bond][:slaves].first,
92         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
93         "down-delay" => interface[:bond][:downdelay] || 200,
94         "up-delay" => interface[:bond][:updelay] || 200
95       }
96
97       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
98       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
99     end
100
101     if interface[:gateway]
102       if interface[:family] == "inet"
103         default_route = "0.0.0.0/0"
104       elsif interface[:family] == "inet6"
105         default_route = "::/0"
106       end
107
108       deviceplan["routes"].push(
109         "to" => default_route,
110         "via" => interface[:gateway],
111         "metric" => interface[:metric],
112         "on-link" => true
113       )
114
115       # This ordering relies on systemd-networkd adding routes
116       # in reverse order and will need moving before the previous
117       # route once that is fixed:
118       #
119       # https://github.com/systemd/systemd/issues/5430
120       # https://github.com/systemd/systemd/pull/10938
121       if interface[:family] == "inet6" &&
122          !interface[:network].include?(interface[:gateway]) &&
123          !IPAddr.new("fe80::/64").include?(interface[:gateway])
124         deviceplan["routes"].push(
125           "to" => interface[:gateway],
126           "scope" => "link"
127         )
128       end
129     end
130
131     if interface[:routes]
132       interface[:routes].each do |to, parameters|
133         route = {
134           "to" => to
135         }
136
137         route["type"] = parameters[:type] if parameters[:type]
138         route["via"] = parameters[:via] if parameters[:via]
139         route["metric"] = parameters[:metric] if parameters[:metric]
140
141         deviceplan["routes"].push(route)
142       end
143     end
144   else
145     node.rm(:networking, :interfaces, name)
146   end
147 end
148
149 netplan["network"]["bonds"].each_value do |bond|
150   bond["interfaces"].each do |interface|
151     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
152   end
153 end
154
155 netplan["network"]["vlans"].each_value do |vlan|
156   unless vlan["link"] =~ /^bond\d+$/
157     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
158   end
159 end
160
161 file "/etc/netplan/01-netcfg.yaml" do
162   action :delete
163 end
164
165 file "/etc/netplan/50-cloud-init.yaml" do
166   action :delete
167 end
168
169 file "/etc/netplan/99-chef.yaml" do
170   owner "root"
171   group "root"
172   mode 0o644
173   content YAML.dump(netplan)
174 end
175
176 package "cloud-init" do
177   action :purge
178 end
179
180 execute "hostname" do
181   action :nothing
182   command "/bin/hostname -F /etc/hostname"
183 end
184
185 template "/etc/hostname" do
186   source "hostname.erb"
187   owner "root"
188   group "root"
189   mode 0o644
190   notifies :run, "execute[hostname]"
191 end
192
193 template "/etc/hosts" do
194   source "hosts.erb"
195   owner "root"
196   group "root"
197   mode 0o644
198 end
199
200 service "systemd-resolved" do
201   action [:enable, :start]
202 end
203
204 directory "/etc/systemd/resolved.conf.d" do
205   owner "root"
206   group "root"
207   mode 0o755
208 end
209
210 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
211   source "resolved.conf.erb"
212   owner "root"
213   group "root"
214   mode 0o644
215   notifies :restart, "service[systemd-resolved]", :immediately
216 end
217
218 if node[:filesystem][:by_mountpoint]["/etc/resolv.conf"]
219   mount "/etc/resolv.conf" do
220     action :umount
221     device node[:filesystem][:by_mountpoint]["/etc/resolv.conf"][:devices].first
222   end
223 end
224
225 link "/etc/resolv.conf" do
226   to "../run/systemd/resolve/stub-resolv.conf"
227 end
228
229 if node[:networking][:tcp_fastopen_key]
230   fastopen_keys = data_bag_item("networking", "fastopen")
231
232   node.normal[:sysctl][:tcp_fastopen] = {
233     :comment => "Set shared key for TCP fast open",
234     :parameters => {
235       "net.ipv4.tcp_fastopen_key" => fastopen_keys[node[:networking][:tcp_fastopen_key]]
236     }
237   }
238 end
239
240 node.interfaces(:role => :internal) do |interface|
241   if interface[:gateway] && interface[:gateway] != interface[:address]
242     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
243       next unless gateway[:openvpn]
244
245       gateway[:openvpn][:tunnels].each_value do |tunnel|
246         if tunnel[:peer][:address]
247           route tunnel[:peer][:address] do
248             netmask "255.255.255.255"
249             gateway interface[:gateway]
250             device interface[:interface]
251           end
252         end
253
254         next unless tunnel[:peer][:networks]
255
256         tunnel[:peer][:networks].each do |network|
257           route network[:address] do
258             netmask network[:netmask]
259             gateway interface[:gateway]
260             device interface[:interface]
261           end
262         end
263       end
264     end
265   end
266 end
267
268 zones = {}
269
270 search(:node, "networking:interfaces").collect do |n|
271   next if n[:fqdn] == node[:fqdn]
272
273   n.interfaces.each do |interface|
274     next unless interface[:role] == "external" && interface[:zone]
275
276     zones[interface[:zone]] ||= {}
277     zones[interface[:zone]][interface[:family]] ||= []
278     zones[interface[:zone]][interface[:family]] << interface[:address]
279   end
280 end
281
282 package "shorewall"
283
284 template "/etc/default/shorewall" do
285   source "shorewall-default.erb"
286   owner "root"
287   group "root"
288   mode 0o644
289   notifies :restart, "service[shorewall]"
290 end
291
292 template "/etc/shorewall/shorewall.conf" do
293   source "shorewall.conf.erb"
294   owner "root"
295   group "root"
296   mode 0o644
297   notifies :restart, "service[shorewall]"
298 end
299
300 template "/etc/shorewall/zones" do
301   source "shorewall-zones.erb"
302   owner "root"
303   group "root"
304   mode 0o644
305   variables :type => "ipv4"
306   notifies :restart, "service[shorewall]"
307 end
308
309 template "/etc/shorewall/interfaces" do
310   source "shorewall-interfaces.erb"
311   owner "root"
312   group "root"
313   mode 0o644
314   notifies :restart, "service[shorewall]"
315 end
316
317 template "/etc/shorewall/hosts" do
318   source "shorewall-hosts.erb"
319   owner "root"
320   group "root"
321   mode 0o644
322   variables :zones => zones
323   notifies :restart, "service[shorewall]"
324 end
325
326 template "/etc/shorewall/conntrack" do
327   source "shorewall-conntrack.erb"
328   owner "root"
329   group "root"
330   mode 0o644
331   notifies :restart, "service[shorewall]"
332   only_if { node[:networking][:firewall][:raw] }
333 end
334
335 template "/etc/shorewall/policy" do
336   source "shorewall-policy.erb"
337   owner "root"
338   group "root"
339   mode 0o644
340   notifies :restart, "service[shorewall]"
341 end
342
343 template "/etc/shorewall/rules" do
344   source "shorewall-rules.erb"
345   owner "root"
346   group "root"
347   mode 0o644
348   variables :family => "inet"
349   notifies :restart, "service[shorewall]"
350 end
351
352 service "shorewall" do
353   action [:enable, :start]
354   supports :restart => true
355   status_command "shorewall status"
356 end
357
358 template "/etc/logrotate.d/shorewall" do
359   source "logrotate.shorewall.erb"
360   owner "root"
361   group "root"
362   mode 0o644
363   variables :name => "shorewall"
364 end
365
366 firewall_rule "limit-icmp-echo" do
367   action :accept
368   family :inet
369   source "net"
370   dest "fw"
371   proto "icmp"
372   dest_ports "echo-request"
373   rate_limit "s:1/sec:5"
374 end
375
376 %w[ucl ams bm].each do |zone|
377   firewall_rule "accept-openvpn-#{zone}" do
378     action :accept
379     source zone
380     dest "fw"
381     proto "udp"
382     dest_ports "1194:1197"
383     source_ports "1194:1197"
384   end
385 end
386
387 if node[:roles].include?("gateway")
388   template "/etc/shorewall/masq" do
389     source "shorewall-masq.erb"
390     owner "root"
391     group "root"
392     mode 0o644
393     notifies :restart, "service[shorewall]"
394   end
395 else
396   file "/etc/shorewall/masq" do
397     action :delete
398     notifies :restart, "service[shorewall]"
399   end
400 end
401
402 unless node.interfaces(:family => :inet6).empty?
403   package "shorewall6"
404
405   template "/etc/default/shorewall6" do
406     source "shorewall-default.erb"
407     owner "root"
408     group "root"
409     mode 0o644
410     notifies :restart, "service[shorewall6]"
411   end
412
413   template "/etc/shorewall6/shorewall6.conf" do
414     source "shorewall6.conf.erb"
415     owner "root"
416     group "root"
417     mode 0o644
418     notifies :restart, "service[shorewall6]"
419   end
420
421   template "/etc/shorewall6/zones" do
422     source "shorewall-zones.erb"
423     owner "root"
424     group "root"
425     mode 0o644
426     variables :type => "ipv6"
427     notifies :restart, "service[shorewall6]"
428   end
429
430   template "/etc/shorewall6/interfaces" do
431     source "shorewall6-interfaces.erb"
432     owner "root"
433     group "root"
434     mode 0o644
435     notifies :restart, "service[shorewall6]"
436   end
437
438   template "/etc/shorewall6/hosts" do
439     source "shorewall6-hosts.erb"
440     owner "root"
441     group "root"
442     mode 0o644
443     variables :zones => zones
444     notifies :restart, "service[shorewall6]"
445   end
446
447   template "/etc/shorewall6/conntrack" do
448     source "shorewall-conntrack.erb"
449     owner "root"
450     group "root"
451     mode 0o644
452     notifies :restart, "service[shorewall6]"
453     only_if { node[:networking][:firewall][:raw] }
454   end
455
456   template "/etc/shorewall6/policy" do
457     source "shorewall-policy.erb"
458     owner "root"
459     group "root"
460     mode 0o644
461     notifies :restart, "service[shorewall6]"
462   end
463
464   template "/etc/shorewall6/rules" do
465     source "shorewall-rules.erb"
466     owner "root"
467     group "root"
468     mode 0o644
469     variables :family => "inet6"
470     notifies :restart, "service[shorewall6]"
471   end
472
473   service "shorewall6" do
474     action [:enable, :start]
475     supports :restart => true
476     status_command "shorewall6 status"
477   end
478
479   template "/etc/logrotate.d/shorewall6" do
480     source "logrotate.shorewall.erb"
481     owner "root"
482     group "root"
483     mode 0o644
484     variables :name => "shorewall6"
485   end
486
487   firewall_rule "limit-icmp6-echo" do
488     action :accept
489     family :inet6
490     source "net"
491     dest "fw"
492     proto "ipv6-icmp"
493     dest_ports "echo-request"
494     rate_limit "s:1/sec:5"
495   end
496 end
497
498 firewall_rule "accept-http" do
499   action :accept
500   source "net"
501   dest "fw"
502   proto "tcp:syn"
503   dest_ports "http"
504   rate_limit node[:networking][:firewall][:http_rate_limit]
505   connection_limit node[:networking][:firewall][:http_connection_limit]
506 end
507
508 firewall_rule "accept-https" do
509   action :accept
510   source "net"
511   dest "fw"
512   proto "tcp:syn"
513   dest_ports "https"
514   rate_limit node[:networking][:firewall][:http_rate_limit]
515   connection_limit node[:networking][:firewall][:http_connection_limit]
516 end