]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Give up on the hostname resource and do it ourselves
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 package "netplan.io"
27
28 netplan = {
29   "network" => {
30     "version" => 2,
31     "renderer" => "networkd",
32     "ethernets" => {},
33     "bonds" => {},
34     "vlans" => {}
35   }
36 }
37
38 node[:networking][:interfaces].each do |name, interface|
39   if interface[:interface]
40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
41       if role[interface[:family]]
42         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
43         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
44         node.normal[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
45       end
46
47       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
48       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
49     end
50
51     prefix = node[:networking][:interfaces][name][:prefix]
52
53     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
54     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
55
56     interface = node[:networking][:interfaces][name]
57
58     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
59                    netplan["network"]["vlans"][interface[:interface]] ||= {
60                      "id" => Regexp.last_match(2).to_i,
61                      "link" => Regexp.last_match(1),
62                      "accept-ra" => false,
63                      "addresses" => [],
64                      "routes" => []
65                    }
66                  elsif interface[:interface] =~ /^bond\d+$/
67                    netplan["network"]["bonds"][interface[:interface]] ||= {
68                      "accept-ra" => false,
69                      "addresses" => [],
70                      "routes" => []
71                    }
72                  else
73                    netplan["network"]["ethernets"][interface[:interface]] ||= {
74                      "accept-ra" => false,
75                      "addresses" => [],
76                      "routes" => []
77                    }
78                  end
79
80     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
81
82     if interface[:mtu]
83       deviceplan["mtu"] = interface[:mtu]
84     end
85
86     if interface[:bond]
87       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
88
89       deviceplan["parameters"] = {
90         "mode" => interface[:bond][:mode] || "active-backup",
91         "primary" => interface[:bond][:slaves].first,
92         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
93         "down-delay" => interface[:bond][:downdelay] || 200,
94         "up-delay" => interface[:bond][:updelay] || 200
95       }
96
97       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
98       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
99     end
100
101     if interface[:gateway]
102       if interface[:family] == "inet"
103         default_route = "0.0.0.0/0"
104       elsif interface[:family] == "inet6"
105         default_route = "::/0"
106       end
107
108       deviceplan["routes"].push(
109         "to" => default_route,
110         "via" => interface[:gateway],
111         "metric" => interface[:metric],
112         "on-link" => true
113       )
114
115       # This ordering relies on systemd-networkd adding routes
116       # in reverse order and will need moving before the previous
117       # route once that is fixed:
118       #
119       # https://github.com/systemd/systemd/issues/5430
120       # https://github.com/systemd/systemd/pull/10938
121       if interface[:family] == "inet6" &&
122          !interface[:network].include?(interface[:gateway]) &&
123          !IPAddr.new("fe80::/64").include?(interface[:gateway])
124         deviceplan["routes"].push(
125           "to" => interface[:gateway],
126           "scope" => "link"
127         )
128       end
129     end
130
131     if interface[:routes]
132       interface[:routes].each do |to, parameters|
133         route = {
134           "to" => to
135         }
136
137         route["type"] = parameters[:type] if parameters[:type]
138         route["via"] = parameters[:via] if parameters[:via]
139         route["metric"] = parameters[:metric] if parameters[:metric]
140
141         deviceplan["routes"].push(route)
142       end
143     end
144   else
145     node.rm(:networking, :interfaces, name)
146   end
147 end
148
149 netplan["network"]["bonds"].each_value do |bond|
150   bond["interfaces"].each do |interface|
151     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
152   end
153 end
154
155 netplan["network"]["vlans"].each_value do |vlan|
156   unless vlan["link"] =~ /^bond\d+$/
157     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
158   end
159 end
160
161 file "/etc/netplan/01-netcfg.yaml" do
162   action :delete
163 end
164
165 file "/etc/netplan/50-cloud-init.yaml" do
166   action :delete
167 end
168
169 file "/etc/netplan/99-chef.yaml" do
170   owner "root"
171   group "root"
172   mode 0o644
173   content YAML.dump(netplan)
174 end
175
176 package "cloud-init" do
177   action :purge
178 end
179
180 ohai "reload-hostname" do
181   action :nothing
182   plugin "hostname"
183 end
184
185 execute "hostnamectl-set-static" do
186   command "hostnamectl set-static #{node[:networking][:hostname]}"
187   notifies :reload, "ohai[reload-hostname]"
188   not_if { node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
189 end
190
191 template "/etc/hosts" do
192   source "hosts.erb"
193   owner "root"
194   group "root"
195   mode 0o644
196   not_if { ENV["TEST_KITCHEN"] }
197 end
198
199 service "systemd-resolved" do
200   action [:enable, :start]
201 end
202
203 directory "/etc/systemd/resolved.conf.d" do
204   owner "root"
205   group "root"
206   mode 0o755
207 end
208
209 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
210   source "resolved.conf.erb"
211   owner "root"
212   group "root"
213   mode 0o644
214   notifies :restart, "service[systemd-resolved]", :immediately
215 end
216
217 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
218   mount "/etc/resolv.conf" do
219     action :umount
220     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
221   end
222 end
223
224 link "/etc/resolv.conf" do
225   to "../run/systemd/resolve/stub-resolv.conf"
226 end
227
228 if node[:networking][:tcp_fastopen_key]
229   fastopen_keys = data_bag_item("networking", "fastopen")
230
231   node.normal[:sysctl][:tcp_fastopen] = {
232     :comment => "Set shared key for TCP fast open",
233     :parameters => {
234       "net.ipv4.tcp_fastopen_key" => fastopen_keys[node[:networking][:tcp_fastopen_key]]
235     }
236   }
237 end
238
239 node.interfaces(:role => :internal) do |interface|
240   if interface[:gateway] && interface[:gateway] != interface[:address]
241     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
242       next unless gateway[:openvpn]
243
244       gateway[:openvpn][:tunnels].each_value do |tunnel|
245         if tunnel[:peer][:address]
246           route tunnel[:peer][:address] do
247             netmask "255.255.255.255"
248             gateway interface[:gateway]
249             device interface[:interface]
250           end
251         end
252
253         next unless tunnel[:peer][:networks]
254
255         tunnel[:peer][:networks].each do |network|
256           route network[:address] do
257             netmask network[:netmask]
258             gateway interface[:gateway]
259             device interface[:interface]
260           end
261         end
262       end
263     end
264   end
265 end
266
267 zones = {}
268
269 search(:node, "networking:interfaces").collect do |n|
270   next if n[:fqdn] == node[:fqdn]
271
272   n.interfaces.each do |interface|
273     next unless interface[:role] == "external" && interface[:zone]
274
275     zones[interface[:zone]] ||= {}
276     zones[interface[:zone]][interface[:family]] ||= []
277     zones[interface[:zone]][interface[:family]] << interface[:address]
278   end
279 end
280
281 package "shorewall"
282
283 template "/etc/default/shorewall" do
284   source "shorewall-default.erb"
285   owner "root"
286   group "root"
287   mode 0o644
288   notifies :restart, "service[shorewall]"
289 end
290
291 template "/etc/shorewall/shorewall.conf" do
292   source "shorewall.conf.erb"
293   owner "root"
294   group "root"
295   mode 0o644
296   notifies :restart, "service[shorewall]"
297 end
298
299 template "/etc/shorewall/zones" do
300   source "shorewall-zones.erb"
301   owner "root"
302   group "root"
303   mode 0o644
304   variables :type => "ipv4"
305   notifies :restart, "service[shorewall]"
306 end
307
308 template "/etc/shorewall/interfaces" do
309   source "shorewall-interfaces.erb"
310   owner "root"
311   group "root"
312   mode 0o644
313   notifies :restart, "service[shorewall]"
314 end
315
316 template "/etc/shorewall/hosts" do
317   source "shorewall-hosts.erb"
318   owner "root"
319   group "root"
320   mode 0o644
321   variables :zones => zones
322   notifies :restart, "service[shorewall]"
323 end
324
325 template "/etc/shorewall/conntrack" do
326   source "shorewall-conntrack.erb"
327   owner "root"
328   group "root"
329   mode 0o644
330   notifies :restart, "service[shorewall]"
331   only_if { node[:networking][:firewall][:raw] }
332 end
333
334 template "/etc/shorewall/policy" do
335   source "shorewall-policy.erb"
336   owner "root"
337   group "root"
338   mode 0o644
339   notifies :restart, "service[shorewall]"
340 end
341
342 template "/etc/shorewall/rules" do
343   source "shorewall-rules.erb"
344   owner "root"
345   group "root"
346   mode 0o644
347   variables :family => "inet"
348   notifies :restart, "service[shorewall]"
349 end
350
351 service "shorewall" do
352   action [:enable, :start]
353   supports :restart => true
354   status_command "shorewall status"
355 end
356
357 template "/etc/logrotate.d/shorewall" do
358   source "logrotate.shorewall.erb"
359   owner "root"
360   group "root"
361   mode 0o644
362   variables :name => "shorewall"
363 end
364
365 firewall_rule "limit-icmp-echo" do
366   action :accept
367   family :inet
368   source "net"
369   dest "fw"
370   proto "icmp"
371   dest_ports "echo-request"
372   rate_limit "s:1/sec:5"
373 end
374
375 %w[ucl ams bm].each do |zone|
376   firewall_rule "accept-openvpn-#{zone}" do
377     action :accept
378     source zone
379     dest "fw"
380     proto "udp"
381     dest_ports "1194:1197"
382     source_ports "1194:1197"
383   end
384 end
385
386 if node[:roles].include?("gateway")
387   template "/etc/shorewall/masq" do
388     source "shorewall-masq.erb"
389     owner "root"
390     group "root"
391     mode 0o644
392     notifies :restart, "service[shorewall]"
393   end
394 else
395   file "/etc/shorewall/masq" do
396     action :delete
397     notifies :restart, "service[shorewall]"
398   end
399 end
400
401 unless node.interfaces(:family => :inet6).empty?
402   package "shorewall6"
403
404   template "/etc/default/shorewall6" do
405     source "shorewall-default.erb"
406     owner "root"
407     group "root"
408     mode 0o644
409     notifies :restart, "service[shorewall6]"
410   end
411
412   template "/etc/shorewall6/shorewall6.conf" do
413     source "shorewall6.conf.erb"
414     owner "root"
415     group "root"
416     mode 0o644
417     notifies :restart, "service[shorewall6]"
418   end
419
420   template "/etc/shorewall6/zones" do
421     source "shorewall-zones.erb"
422     owner "root"
423     group "root"
424     mode 0o644
425     variables :type => "ipv6"
426     notifies :restart, "service[shorewall6]"
427   end
428
429   template "/etc/shorewall6/interfaces" do
430     source "shorewall6-interfaces.erb"
431     owner "root"
432     group "root"
433     mode 0o644
434     notifies :restart, "service[shorewall6]"
435   end
436
437   template "/etc/shorewall6/hosts" do
438     source "shorewall6-hosts.erb"
439     owner "root"
440     group "root"
441     mode 0o644
442     variables :zones => zones
443     notifies :restart, "service[shorewall6]"
444   end
445
446   template "/etc/shorewall6/conntrack" do
447     source "shorewall-conntrack.erb"
448     owner "root"
449     group "root"
450     mode 0o644
451     notifies :restart, "service[shorewall6]"
452     only_if { node[:networking][:firewall][:raw] }
453   end
454
455   template "/etc/shorewall6/policy" do
456     source "shorewall-policy.erb"
457     owner "root"
458     group "root"
459     mode 0o644
460     notifies :restart, "service[shorewall6]"
461   end
462
463   template "/etc/shorewall6/rules" do
464     source "shorewall-rules.erb"
465     owner "root"
466     group "root"
467     mode 0o644
468     variables :family => "inet6"
469     notifies :restart, "service[shorewall6]"
470   end
471
472   service "shorewall6" do
473     action [:enable, :start]
474     supports :restart => true
475     status_command "shorewall6 status"
476   end
477
478   template "/etc/logrotate.d/shorewall6" do
479     source "logrotate.shorewall.erb"
480     owner "root"
481     group "root"
482     mode 0o644
483     variables :name => "shorewall6"
484   end
485
486   firewall_rule "limit-icmp6-echo" do
487     action :accept
488     family :inet6
489     source "net"
490     dest "fw"
491     proto "ipv6-icmp"
492     dest_ports "echo-request"
493     rate_limit "s:1/sec:5"
494   end
495 end
496
497 firewall_rule "accept-http" do
498   action :accept
499   source "net"
500   dest "fw"
501   proto "tcp:syn"
502   dest_ports "http"
503   rate_limit node[:networking][:firewall][:http_rate_limit]
504   connection_limit node[:networking][:firewall][:http_connection_limit]
505 end
506
507 firewall_rule "accept-https" do
508   action :accept
509   source "net"
510   dest "fw"
511   proto "tcp:syn"
512   dest_ports "https"
513   rate_limit node[:networking][:firewall][:http_rate_limit]
514   connection_limit node[:networking][:firewall][:http_connection_limit]
515 end