Fix munin for internal-only hosts at Bytemark
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     http://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24
25 network_packages = []
26
27 node[:networking][:interfaces].each do |name, interface|
28   network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
29   network_packages |= ["ifenslave"] if interface[:bond]
30
31   if interface[:role] && (role = node[:networking][:roles][interface[:role]])
32     if role[interface[:family]]
33       node.set[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
34       node.set[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
35     end
36
37     node.set[:networking][:interfaces][name][:metric] = role[:metric]
38     node.set[:networking][:interfaces][name][:zone] = role[:zone]
39   end
40
41   prefix = node[:networking][:interfaces][name][:prefix]
42
43   node.set[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
44   node.set[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
45 end
46
47 package network_packages
48
49 template "/etc/network/interfaces" do
50   source "interfaces.erb"
51   owner "root"
52   group "root"
53   mode 0644
54 end
55
56 execute "hostname" do
57   action :nothing
58   command "/bin/hostname -F /etc/hostname"
59 end
60
61 template "/etc/hostname" do
62   source "hostname.erb"
63   owner "root"
64   group "root"
65   mode 0644
66   notifies :run, "execute[hostname]"
67 end
68
69 template "/etc/hosts" do
70   source "hosts.erb"
71   owner "root"
72   group "root"
73   mode 0644
74 end
75
76 link "/etc/resolv.conf" do
77   action :delete
78   link_type :symbolic
79   to "/run/resolvconf/resolv.conf"
80   only_if { File.symlink?("/etc/resolv.conf") }
81 end
82
83 template "/etc/resolv.conf" do
84   source "resolv.conf.erb"
85   owner "root"
86   group "root"
87   mode 0644
88 end
89
90 node.interfaces(:role => :internal) do |interface|
91   if interface[:gateway] && interface[:gateway] != interface[:address]
92     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
93       next unless gateway[:openvpn]
94
95       gateway[:openvpn][:tunnels].each_value do |tunnel|
96         if tunnel[:peer][:address] # ~FC023
97           route tunnel[:peer][:address] do
98             netmask "255.255.255.255"
99             gateway interface[:gateway]
100             device interface[:interface]
101           end
102         end
103
104         next unless tunnel[:peer][:networks]
105
106         tunnel[:peer][:networks].each do |network|
107           route network[:address] do
108             netmask network[:netmask]
109             gateway interface[:gateway]
110             device interface[:interface]
111           end
112         end
113       end
114     end
115   end
116 end
117
118 zones = {}
119
120 search(:node, "networking:interfaces").collect do |n|
121   next if n[:fqdn] == node[:fqdn]
122
123   n.interfaces.each do |interface|
124     next unless interface[:role] == "external" && interface[:zone]
125
126     zones[interface[:zone]] ||= {}
127     zones[interface[:zone]][interface[:family]] ||= []
128     zones[interface[:zone]][interface[:family]] << interface[:address]
129   end
130 end
131
132 package "shorewall"
133
134 service "shorewall" do
135   action [:enable, :start]
136   supports :restart => true
137   status_command "shorewall status"
138 end
139
140 template "/etc/default/shorewall" do
141   source "shorewall-default.erb"
142   owner "root"
143   group "root"
144   mode 0644
145   notifies :restart, "service[shorewall]"
146 end
147
148 template "/etc/shorewall/shorewall.conf" do
149   source "shorewall.conf.erb"
150   owner "root"
151   group "root"
152   mode 0644
153   notifies :restart, "service[shorewall]"
154 end
155
156 template "/etc/shorewall/zones" do
157   source "shorewall-zones.erb"
158   owner "root"
159   group "root"
160   mode 0644
161   variables :type => "ipv4"
162   notifies :restart, "service[shorewall]"
163 end
164
165 template "/etc/shorewall/interfaces" do
166   source "shorewall-interfaces.erb"
167   owner "root"
168   group "root"
169   mode 0644
170   notifies :restart, "service[shorewall]"
171 end
172
173 template "/etc/shorewall/hosts" do
174   source "shorewall-hosts.erb"
175   owner "root"
176   group "root"
177   mode 0644
178   variables :zones => zones
179   notifies :restart, "service[shorewall]"
180 end
181
182 template "/etc/shorewall/policy" do
183   source "shorewall-policy.erb"
184   owner "root"
185   group "root"
186   mode 0644
187   notifies :restart, "service[shorewall]"
188 end
189
190 template "/etc/shorewall/rules" do
191   source "shorewall-rules.erb"
192   owner "root"
193   group "root"
194   mode 0644
195   variables :rules => []
196   notifies :restart, "service[shorewall]"
197 end
198
199 template "/etc/logrotate.d/shorewall" do
200   source "logrotate.shorewall.erb"
201   owner "root"
202   group "root"
203   mode 0644
204   variables :name => "shorewall"
205 end
206
207 firewall_rule "limit-icmp-echo" do
208   action :accept
209   family :inet
210   source "net"
211   dest "fw"
212   proto "icmp"
213   dest_ports "echo-request"
214   rate_limit "s:1/sec:5"
215 end
216
217 %w(ucl ic bm aws).each do |zone|
218   firewall_rule "accept-openvpn-#{zone}" do
219     action :accept
220     family :inet
221     source zone
222     dest "fw"
223     proto "udp"
224     dest_ports "1194:1197"
225     source_ports "1194:1197"
226   end
227 end
228
229 if node[:roles].include?("gateway")
230   template "/etc/shorewall/masq" do
231     source "shorewall-masq.erb"
232     owner "root"
233     group "root"
234     mode 0644
235     notifies :restart, "service[shorewall]"
236   end
237 else
238   file "/etc/shorewall/masq" do
239     action :delete
240     notifies :restart, "service[shorewall]"
241   end
242 end
243
244 unless node.interfaces(:family => :inet6).empty?
245   package "shorewall6"
246
247   service "shorewall6" do
248     action [:enable, :start]
249     supports :restart => true
250     status_command "shorewall6 status"
251   end
252
253   template "/etc/default/shorewall6" do
254     source "shorewall-default.erb"
255     owner "root"
256     group "root"
257     mode 0644
258     notifies :restart, "service[shorewall6]"
259   end
260
261   template "/etc/shorewall6/shorewall6.conf" do
262     source "shorewall6.conf.erb"
263     owner "root"
264     group "root"
265     mode 0644
266     notifies :restart, "service[shorewall6]"
267   end
268
269   template "/etc/shorewall6/zones" do
270     source "shorewall-zones.erb"
271     owner "root"
272     group "root"
273     mode 0644
274     variables :type => "ipv6"
275     notifies :restart, "service[shorewall6]"
276   end
277
278   template "/etc/shorewall6/interfaces" do
279     source "shorewall6-interfaces.erb"
280     owner "root"
281     group "root"
282     mode 0644
283     notifies :restart, "service[shorewall6]"
284   end
285
286   template "/etc/shorewall6/hosts" do
287     source "shorewall6-hosts.erb"
288     owner "root"
289     group "root"
290     mode 0644
291     variables :zones => zones
292     notifies :restart, "service[shorewall6]"
293   end
294
295   template "/etc/shorewall6/policy" do
296     source "shorewall-policy.erb"
297     owner "root"
298     group "root"
299     mode 0644
300     notifies :restart, "service[shorewall6]"
301   end
302
303   template "/etc/shorewall6/rules" do
304     source "shorewall-rules.erb"
305     owner "root"
306     group "root"
307     mode 0644
308     variables :rules => []
309     notifies :restart, "service[shorewall6]"
310   end
311
312   template "/etc/logrotate.d/shorewall6" do
313     source "logrotate.shorewall.erb"
314     owner "root"
315     group "root"
316     mode 0644
317     variables :name => "shorewall6"
318   end
319
320   firewall_rule "limit-icmp6-echo" do
321     action :accept
322     family :inet6
323     source "net"
324     dest "fw"
325     proto "ipv6-icmp"
326     dest_ports "echo-request"
327     rate_limit "s:1/sec:5"
328   end
329 end
330
331 firewall_rule "accept-http" do
332   action :accept
333   source "net"
334   dest "fw"
335   proto "tcp:syn"
336   dest_ports "http"
337 end
338
339 firewall_rule "accept-https" do
340   action :accept
341   source "net"
342   dest "fw"
343   proto "tcp:syn"
344   dest_ports "https"
345 end