cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 file "/etc/netplan/00-installer-config.yaml" do
  29   action :delete
  30 end
  31
  32 file "/etc/netplan/01-netcfg.yaml" do
  33   action :delete
  34 end
  35
  36 file "/etc/netplan/50-cloud-init.yaml" do
  37   action :delete
  38 end
  39
  40 file "/etc/netplan/99-chef.yaml" do
  41   action :delete
  42 end
  43
  44 package "netplan.io" do
  45   action :purge
  46 end
  47
  48 package "cloud-init" do
  49   action :purge
  50 end
  51
  52 interfaces = node[:networking][:interfaces].collect do |name, interface|
  53   [interface[:interface], name]
  54 end.to_h
  55
  56 node[:networking][:interfaces].each do |name, interface|
  57   if interface[:interface] =~ /^(.*)\.(\d+)$/
  58     vlan_interface = Regexp.last_match(1)
  59     vlan_id = Regexp.last_match(2)
  60
  61     parent = interfaces[vlan_interface] || "vlans_#{vlan_interface}"
  62
  63     node.default_unless[:networking][:interfaces][parent][:interface] = vlan_interface
  64     node.default_unless[:networking][:interfaces][parent][:vlans] = []
  65
  66     node.default[:networking][:interfaces][parent][:vlans] << vlan_id
  67   end
  68
  69   next unless interface[:role] && (role = node[:networking][:roles][interface[:role]])
  70
  71   if interface[:inet] && role[:inet]
  72     node.default_unless[:networking][:interfaces][name][:inet][:prefix] = role[:inet][:prefix]
  73     node.default_unless[:networking][:interfaces][name][:inet][:gateway] = role[:inet][:gateway]
  74     node.default_unless[:networking][:interfaces][name][:inet][:routes] = role[:inet][:routes]
  75   end
  76
  77   if interface[:inet6] && role[:inet6]
  78     node.default_unless[:networking][:interfaces][name][:inet6][:prefix] = role[:inet6][:prefix]
  79     node.default_unless[:networking][:interfaces][name][:inet6][:gateway] = role[:inet6][:gateway]
  80     node.default_unless[:networking][:interfaces][name][:inet6][:routes] = role[:inet6][:routes]
  81   end
  82
  83   node.default_unless[:networking][:interfaces][name][:metric] = role[:metric]
  84   node.default_unless[:networking][:interfaces][name][:zone] = role[:zone]
  85 end
  86
  87 node[:networking][:interfaces].each do |_, interface|
  88   if interface[:interface] =~ /^.*\.(\d+)$/
  89     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  90       source "vlan.netdev.erb"
  91       owner "root"
  92       group "root"
  93       mode "644"
  94       variables :interface => interface, :vlan => Regexp.last_match(1)
  95       notifies :run, "notify_group[networkctl-reload]"
  96     end
  97   elsif interface[:interface] =~ /^bond\d+$/
  98     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  99       source "bond.netdev.erb"
 100       owner "root"
 101       group "root"
 102       mode "644"
 103       variables :interface => interface
 104       notifies :run, "notify_group[networkctl-reload]"
 105     end
 106
 107     interface[:bond][:slaves].each do |slave|
 108       template "/etc/systemd/network/10-#{slave}.network" do
 109         source "slave.network.erb"
 110         owner "root"
 111         group "root"
 112         mode "644"
 113         variables :master => interface, :slave => slave
 114         notifies :run, "notify_group[networkctl-reload]"
 115       end
 116     end
 117   end
 118
 119   template "/etc/systemd/network/10-#{interface[:interface]}.network" do
 120     source "network.erb"
 121     owner "root"
 122     group "root"
 123     mode "644"
 124     variables :interface => interface
 125     notifies :run, "notify_group[networkctl-reload]"
 126   end
 127 end
 128
 129 package "systemd-resolved" do
 130   action :install
 131   only_if { platform?("ubuntu") && node[:lsb][:release].to_f > 22.04 || platform?("debian") && node[:lsb][:release].to_f > 11.0 }
 132 end
 133
 134 service "systemd-networkd" do
 135   action [:enable, :start]
 136 end
 137
 138 if node[:networking][:wireguard][:enabled]
 139   wireguard_id = persistent_token("networking", "wireguard")
 140
 141   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 142
 143   package "wireguard-tools" do
 144     compile_time true
 145     options "--no-install-recommends"
 146   end
 147
 148   directory "/var/lib/systemd/wireguard" do
 149     owner "root"
 150     group "systemd-network"
 151     mode "750"
 152     compile_time true
 153   end
 154
 155   file "/var/lib/systemd/wireguard/private.key" do
 156     action :create_if_missing
 157     owner "root"
 158     group "systemd-network"
 159     mode "640"
 160     content %x(wg genkey)
 161     compile_time true
 162   end
 163
 164   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 165
 166   file "/var/lib/systemd/wireguard/preshared.key" do
 167     action :create_if_missing
 168     owner "root"
 169     group "systemd-network"
 170     mode "640"
 171     content keys["wireguard"]
 172   end
 173
 174   if node[:roles].include?("gateway")
 175     search(:node, "roles:gateway") do |gateway|
 176       next if gateway.name == node.name
 177       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 178
 179       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 180
 181       node.default[:networking][:wireguard][:peers] << {
 182         :public_key => gateway[:networking][:wireguard][:public_key],
 183         :allowed_ips => allowed_ips,
 184         :endpoint => "#{gateway.name}:51820"
 185       }
 186     end
 187
 188     search(:node, "roles:prometheus") do |server|
 189       allowed_ips = server.ipaddresses(:role => :internal).map(&:subnet)
 190
 191       if server[:networking][:private_address]
 192         allowed_ips << "#{server[:networking][:private_address]}/32"
 193       end
 194
 195       node.default[:networking][:wireguard][:peers] << {
 196         :public_key => server[:networking][:wireguard][:public_key],
 197         :allowed_ips => allowed_ips,
 198         :endpoint => "#{server.name}:51820"
 199       }
 200     end
 201
 202     node.default[:networking][:wireguard][:peers] << {
 203       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 204       :allowed_ips => "10.0.16.1/32",
 205       :endpoint => "gate.compton.nu:51820"
 206     }
 207
 208     # Grant home
 209     node.default[:networking][:wireguard][:peers] << {
 210       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 211       :allowed_ips => "10.89.122.1/32",
 212       :endpoint => "gate.firefishy.com:51820"
 213     }
 214
 215     # Grant roaming
 216     node.default[:networking][:wireguard][:peers] << {
 217       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 218       :allowed_ips => "10.89.123.1/32",
 219       :endpoint => "roaming.firefishy.com:51820"
 220     }
 221   elsif node[:roles].include?("shenron")
 222     search(:node, "roles:gateway") do |gateway|
 223       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 224
 225       node.default[:networking][:wireguard][:peers] << {
 226         :public_key => gateway[:networking][:wireguard][:public_key],
 227         :allowed_ips => allowed_ips,
 228         :endpoint => "#{gateway.name}:51820"
 229       }
 230     end
 231   end
 232
 233   file "/etc/systemd/network/wireguard.netdev" do
 234     action :delete
 235   end
 236
 237   template "/etc/systemd/network/10-wg0.netdev" do
 238     source "wireguard.netdev.erb"
 239     owner "root"
 240     group "systemd-network"
 241     mode "640"
 242     notifies :run, "execute[networkctl-delete-wg0]"
 243     notifies :run, "notify_group[networkctl-reload]"
 244   end
 245
 246   file "/etc/systemd/network/wireguard.network" do
 247     action :delete
 248   end
 249
 250   template "/etc/systemd/network/10-wg0.network" do
 251     source "wireguard.network.erb"
 252     owner "root"
 253     group "root"
 254     mode "644"
 255     notifies :run, "execute[networkctl-reload]"
 256   end
 257
 258   execute "networkctl-delete-wg0" do
 259     action :nothing
 260     command "networkctl delete wg0"
 261     only_if { ::File.exist?("/sys/class/net/wg0") }
 262   end
 263 end
 264
 265 notify_group "networkctl-reload"
 266
 267 execute "networkctl-reload" do
 268   action :nothing
 269   command "networkctl reload"
 270   subscribes :run, "notify_group[networkctl-reload]"
 271 end
 272
 273 ohai "reload-hostname" do
 274   action :nothing
 275   plugin "hostname"
 276 end
 277
 278 execute "hostnamectl-set-hostname" do
 279   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 280   notifies :reload, "ohai[reload-hostname]"
 281   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 282 end
 283
 284 template "/etc/hosts" do
 285   source "hosts.erb"
 286   owner "root"
 287   group "root"
 288   mode "644"
 289   not_if { kitchen? }
 290 end
 291
 292 service "systemd-resolved" do
 293   action [:enable, :start]
 294 end
 295
 296 directory "/etc/systemd/resolved.conf.d" do
 297   owner "root"
 298   group "root"
 299   mode "755"
 300 end
 301
 302 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 303   source "resolved.conf.erb"
 304   owner "root"
 305   group "root"
 306   mode "644"
 307   notifies :restart, "service[systemd-resolved]", :immediately
 308 end
 309
 310 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 311   execute "umount-resolve-conf" do
 312     command "umount -c /etc/resolv.conf"
 313   end
 314 end
 315
 316 link "/etc/resolv.conf" do
 317   to "../run/systemd/resolve/stub-resolv.conf"
 318 end
 319
 320 hosts = { :inet => [], :inet6 => [] }
 321
 322 search(:node, "networking:interfaces").collect do |n|
 323   next if n[:fqdn] == node[:fqdn]
 324
 325   n.interfaces.each do |interface|
 326     next unless interface[:role] == "external"
 327
 328     hosts[:inet] << interface[:inet][:address] if interface[:inet]
 329     hosts[:inet6] << interface[:inet6][:address] if interface[:inet6]
 330   end
 331 end
 332
 333 package "nftables"
 334
 335 interfaces = []
 336
 337 node.interfaces(:role => :external).each do |interface|
 338   interfaces << interface[:interface]
 339 end
 340
 341 template "/etc/nftables.conf" do
 342   source "nftables.conf.erb"
 343   owner "root"
 344   group "root"
 345   mode "755"
 346   variables :interfaces => interfaces, :hosts => hosts
 347   notifies :reload, "service[nftables]"
 348 end
 349
 350 directory "/var/lib/nftables" do
 351   owner "root"
 352   group "root"
 353   mode "755"
 354 end
 355
 356 template "/usr/local/bin/nftables" do
 357   source "nftables.erb"
 358   owner "root"
 359   group "root"
 360   mode "755"
 361 end
 362
 363 systemd_service "nftables-stop" do
 364   action :delete
 365   service "nftables"
 366   dropin "stop"
 367 end
 368
 369 systemd_service "nftables-chef" do
 370   service "nftables"
 371   dropin "chef"
 372   exec_start "/usr/local/bin/nftables start"
 373   exec_reload "/usr/local/bin/nftables reload"
 374   exec_stop "/usr/local/bin/nftables stop"
 375 end
 376
 377 if node[:networking][:firewall][:enabled]
 378   service "nftables" do
 379     action [:enable, :start]
 380   end
 381 else
 382   service "nftables" do
 383     action [:disable, :stop]
 384   end
 385 end
 386
 387 if node[:networking][:wireguard][:enabled]
 388   firewall_rule "accept-wireguard" do
 389     action :accept
 390     context :incoming
 391     protocol :udp
 392     source :osm unless node[:roles].include?("gateway")
 393     dest_ports "51820"
 394     source_ports "51820"
 395   end
 396 end
 397
 398 firewall_rule "accept-http" do
 399   action :accept
 400   context :incoming
 401   protocol :tcp
 402   dest_ports %w[http https]
 403   rate_limit node[:networking][:firewall][:http_rate_limit]
 404   connection_limit node[:networking][:firewall][:http_connection_limit]
 405 end