]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/templates/default/nftables.conf.erb
Merge interface families
[chef.git] / cookbooks / networking / templates / default / nftables.conf.erb
1 #!/usr/sbin/nft -f
2
3 <% unless @interfaces.empty? -%>
4 define external-interfaces = { <%= @interfaces.sort.uniq.join(", ") %> }
5 <% end -%>
6
7 define ip-private-addresses = { 0.0.0.0, 10.0.0.0/8, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16 }
8 define ip-multicast-addresses = { 224.0.0.0/4 }
9 define ip6-private-addresses = { 2001:db8::/32, fc00::/7 }
10 define ip6-multicast-addresses = { ff00::/8 }
11
12 table inet chef-filter {
13   set ip-osm-addresses {
14     type ipv4_addr
15 <% unless Array(@hosts[:inet]).empty? -%>
16     elements = { <%= Array(@hosts[:inet]).sort.join(", ") %> }
17 <% end -%>
18   }
19
20   set ip6-osm-addresses {
21     type ipv6_addr
22 <% unless Array(@hosts[:inet6]).empty? -%>
23     elements = { <%= Array(@hosts[:inet6]).sort.join(", ") %> }
24 <% end -%>
25   }
26
27   set ip-blocklist {
28     type ipv4_addr
29     flags interval
30   }
31
32   set ip6-blocklist {
33     type ipv6_addr
34     flags interval
35   }
36
37   set ratelimit-icmp-echo-ip {
38     type ipv4_addr
39     flags dynamic
40     timeout 120s
41   }
42
43   set ratelimit-icmp-echo-ip6 {
44     type ipv6_addr
45     flags dynamic
46     timeout 120s
47   }
48
49 <% node[:networking][:firewall][:sets].each do |set| -%>
50   set <%= set[:name] %> {
51     type <%= set[:type] %>
52 <% if set[:flags] -%>
53     flags <%= set[:flags].join(", ") %>
54 <% end -%>
55 <% if set[:timeout] -%>
56     timeout <%= set[:timeout] %>s
57 <% end -%>
58   }
59
60 <% end -%>
61
62 <% node[:networking][:firewall][:helpers].each do |helper| -%>
63   ct helper <%= helper[:name] %> {
64     type "<%= helper[:helper] %>" protocol <%= helper[:protocol] %>
65   }
66
67 <% end -%>
68   chain log-and-drop {
69     limit rate 1/second log
70     drop
71   }
72
73   chain log-and-reject {
74     limit rate 1/second log
75     reject
76   }
77
78   chain incoming {
79 <% if node[:networking][:firewall][:allowlist].empty? -%>
80     ip saddr { $ip-private-addresses, $ip-multicast-addresses } jump log-and-drop
81 <% else -%>
82     ip saddr { $ip-private-addresses, $ip-multicast-addresses } ip saddr != { <%= node[:networking][:firewall][:allowlist].sort.join(", ") %> } jump log-and-drop
83 <% end -%>
84     ip6 saddr { $ip6-private-addresses, $ip6-multicast-addresses } jump log-and-drop
85
86     ip saddr @ip-blocklist jump log-and-drop
87     ip6 saddr @ip6-blocklist jump log-and-drop
88
89     icmp type { echo-request } update @ratelimit-icmp-echo-ip { ip saddr limit rate 1/second } accept
90     icmp type { echo-request } drop
91
92     icmpv6 type { nd-neighbor-solicit, nd-neighbor-advert, nd-router-solicit, nd-router-advert } accept
93     icmpv6 type { echo-request } update @ratelimit-icmp-echo-ip6 { ip6 saddr limit rate 1/second } accept
94     icmpv6 type { echo-request } drop
95
96     ct state { established, related } accept
97
98     meta l4proto { icmp, icmpv6 } jump log-and-drop
99
100     tcp flags & (fin|syn|rst|psh|ack|urg) == fin|psh|urg jump log-and-drop
101     tcp flags & (fin|syn|rst|psh|ack|urg) == 0x0 jump log-and-drop
102     tcp flags & (syn|rst) == syn|rst jump log-and-drop
103     tcp flags & (fin|rst) == fin|rst jump log-and-drop
104     tcp flags & (fin|syn) == fin|syn jump log-and-drop
105     tcp flags & (fin|psh|ack) == fin|psh jump log-and-drop
106     tcp sport 0 tcp flags & (fin|syn|rst|ack) == syn jump log-and-drop
107
108 <% node[:networking][:firewall][:incoming].uniq.each do |rule| -%>
109     <%= rule %>
110 <% end -%>
111
112     jump log-and-drop
113   }
114
115   chain outgoing {
116 <% if node[:networking][:firewall][:allowlist].empty? -%>
117     ip daddr { $ip-private-addresses } jump log-and-drop
118 <% else -%>
119     ip daddr { $ip-private-addresses } ip daddr != { <%= node[:networking][:firewall][:allowlist].sort.join(", ") %> } jump log-and-drop
120 <% end -%>
121     ip6 daddr { $ip6-private-addresses } jump log-and-drop
122
123 <% node[:networking][:firewall][:outgoing].each do |rule| -%>
124     <%= rule %>
125 <% end -%>
126
127     accept
128   }
129
130   chain input {
131     type filter hook input priority filter;
132
133 <% unless @interfaces.empty? -%>
134     iifname { $external-interfaces } jump incoming
135 <% end -%>
136
137     accept
138   }
139
140   chain forward {
141     type filter hook forward priority filter;
142
143 <% unless @interfaces.empty? -%>
144     iifname { $external-interfaces } jump incoming
145     oifname { $external-interfaces } jump outgoing
146 <% end -%>
147
148     accept
149   }
150
151   chain output {
152     type filter hook output priority filter;
153
154 <% unless @interfaces.empty? -%>
155     oifname { $external-interfaces } jump outgoing
156 <% end -%>
157
158     accept
159   }
160 }
161 <% if node[:roles].include?("gateway") -%>
162
163 table ip chef-nat {
164   chain postrouting {
165     type nat hook postrouting priority srcnat;
166
167 <% node.interfaces(:role => :external).each do |external| -%>
168 <% node.ipaddresses(:role => :internal, :family => :inet).each do |internal| -%>
169     oifname { <%= external[:interface] %> } ip saddr { <%= internal.subnet %> } snat <%= external[:inet][:address] %>
170 <% end -%>
171 <% end -%>
172   }
173 }
174 <% end -%>