cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook Name:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright 2010, OpenStreetMap Foundation.
   6 # Copyright 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 netplan = {
  27   "network" => {
  28     "version" => 2,
  29     "renderer" => "networkd",
  30     "ethernets" => {},
  31     "bonds" => {},
  32     "vlans" => {}
  33   }
  34 }
  35
  36 node[:networking][:interfaces].each do |name, interface|
  37   if interface[:interface]
  38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  39       if role[interface[:family]]
  40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  42       end
  43
  44       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  45       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  46     end
  47
  48     prefix = node[:networking][:interfaces][name][:prefix]
  49
  50     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  51     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  52
  53     interface = node[:networking][:interfaces][name]
  54
  55     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  56                    netplan["network"]["vlans"][interface[:interface]] ||= {
  57                      "id" => Regexp.last_match(2).to_i,
  58                      "link" => Regexp.last_match(1),
  59                      "accept-ra" => false,
  60                      "addresses" => [],
  61                      "routes" => []
  62                    }
  63                  elsif interface[:interface] =~ /^bond\d+$/
  64                    netplan["network"]["bonds"][interface[:interface]] ||= {
  65                      "accept-ra" => false,
  66                      "addresses" => [],
  67                      "routes" => []
  68                    }
  69                  else
  70                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  71                      "accept-ra" => false,
  72                      "addresses" => [],
  73                      "routes" => []
  74                    }
  75                  end
  76
  77     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  78
  79     if interface[:mtu]
  80       deviceplan["mtu"] = interface[:mtu]
  81     end
  82
  83     if interface[:bond]
  84       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  85
  86       deviceplan["parameters"] = {
  87         "mode" => interface[:bond][:mode] || "active-backup",
  88         "primary" => interface[:bond][:slaves].first,
  89         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  90         "down-delay" => interface[:bond][:downdelay] || 200,
  91         "up-delay" => interface[:bond][:updelay] || 200
  92       }
  93
  94       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
  95       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
  96     end
  97
  98     if interface[:gateway]
  99       if interface[:family] == "inet"
 100         default_route = "0.0.0.0/0"
 101       elsif interface[:family] == "inet6"
 102         default_route = "::/0"
 103       end
 104
 105       deviceplan["routes"].push(
 106         "to" => default_route,
 107         "via" => interface[:gateway],
 108         "metric" => interface[:metric],
 109         "on-link" => true
 110       )
 111
 112       # This ordering relies on systemd-networkd adding routes
 113       # in reverse order and will need moving before the previous
 114       # route once that is fixed:
 115       #
 116       # https://github.com/systemd/systemd/issues/5430
 117       # https://github.com/systemd/systemd/pull/10938
 118       if interface[:family] == "inet6" &&
 119          !interface[:network].include?(interface[:gateway]) &&
 120          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 121         deviceplan["routes"].push(
 122           "to" => interface[:gateway],
 123           "scope" => "link"
 124         )
 125       end
 126     end
 127   else
 128     node.rm(:networking, :interfaces, name)
 129   end
 130 end
 131
 132 netplan["network"]["bonds"].each_value do |bond|
 133   bond["interfaces"].each do |interface|
 134     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 135   end
 136 end
 137
 138 netplan["network"]["vlans"].each_value do |vlan|
 139   unless vlan["link"] =~ /^bond\d+$/
 140     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 141   end
 142 end
 143
 144 file "/etc/netplan/01-netcfg.yaml" do
 145   action :delete
 146 end
 147
 148 file "/etc/netplan/50-cloud-init.yaml" do
 149   action :delete
 150 end
 151
 152 file "/etc/netplan/99-chef.yaml" do
 153   owner "root"
 154   group "root"
 155   mode 0o644
 156   content YAML.dump(netplan)
 157 end
 158
 159 package "cloud-init" do
 160   action :purge
 161 end
 162
 163 execute "hostname" do
 164   action :nothing
 165   command "/bin/hostname -F /etc/hostname"
 166 end
 167
 168 template "/etc/hostname" do
 169   source "hostname.erb"
 170   owner "root"
 171   group "root"
 172   mode 0o644
 173   notifies :run, "execute[hostname]"
 174 end
 175
 176 template "/etc/hosts" do
 177   source "hosts.erb"
 178   owner "root"
 179   group "root"
 180   mode 0o644
 181 end
 182
 183 service "systemd-resolved" do
 184   action [:enable, :start]
 185 end
 186
 187 directory "/etc/systemd/resolved.conf.d" do
 188   owner "root"
 189   group "root"
 190   mode 0o755
 191 end
 192
 193 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 194   source "resolved.conf.erb"
 195   owner "root"
 196   group "root"
 197   mode 0o644
 198   notifies :restart, "service[systemd-resolved]"
 199 end
 200
 201 node.interfaces(:role => :internal) do |interface|
 202   if interface[:gateway] && interface[:gateway] != interface[:address]
 203     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 204       next unless gateway[:openvpn]
 205
 206       gateway[:openvpn][:tunnels].each_value do |tunnel|
 207         if tunnel[:peer][:address] # ~FC023
 208           route tunnel[:peer][:address] do
 209             netmask "255.255.255.255"
 210             gateway interface[:gateway]
 211             device interface[:interface]
 212           end
 213         end
 214
 215         next unless tunnel[:peer][:networks]
 216
 217         tunnel[:peer][:networks].each do |network|
 218           route network[:address] do
 219             netmask network[:netmask]
 220             gateway interface[:gateway]
 221             device interface[:interface]
 222           end
 223         end
 224       end
 225     end
 226   end
 227 end
 228
 229 zones = {}
 230
 231 search(:node, "networking:interfaces").collect do |n|
 232   next if n[:fqdn] == node[:fqdn]
 233
 234   n.interfaces.each do |interface|
 235     next unless interface[:role] == "external" && interface[:zone]
 236
 237     zones[interface[:zone]] ||= {}
 238     zones[interface[:zone]][interface[:family]] ||= []
 239     zones[interface[:zone]][interface[:family]] << interface[:address]
 240   end
 241 end
 242
 243 package "shorewall"
 244
 245 template "/etc/default/shorewall" do
 246   source "shorewall-default.erb"
 247   owner "root"
 248   group "root"
 249   mode 0o644
 250   notifies :restart, "service[shorewall]"
 251 end
 252
 253 template "/etc/shorewall/shorewall.conf" do
 254   source "shorewall.conf.erb"
 255   owner "root"
 256   group "root"
 257   mode 0o644
 258   notifies :restart, "service[shorewall]"
 259 end
 260
 261 template "/etc/shorewall/zones" do
 262   source "shorewall-zones.erb"
 263   owner "root"
 264   group "root"
 265   mode 0o644
 266   variables :type => "ipv4"
 267   notifies :restart, "service[shorewall]"
 268 end
 269
 270 template "/etc/shorewall/interfaces" do
 271   source "shorewall-interfaces.erb"
 272   owner "root"
 273   group "root"
 274   mode 0o644
 275   notifies :restart, "service[shorewall]"
 276 end
 277
 278 template "/etc/shorewall/hosts" do
 279   source "shorewall-hosts.erb"
 280   owner "root"
 281   group "root"
 282   mode 0o644
 283   variables :zones => zones
 284   notifies :restart, "service[shorewall]"
 285 end
 286
 287 template "/etc/shorewall/conntrack" do
 288   source "shorewall-conntrack.erb"
 289   owner "root"
 290   group "root"
 291   mode 0o644
 292   notifies :restart, "service[shorewall]"
 293   only_if { node[:networking][:firewall][:raw] }
 294 end
 295
 296 template "/etc/shorewall/policy" do
 297   source "shorewall-policy.erb"
 298   owner "root"
 299   group "root"
 300   mode 0o644
 301   notifies :restart, "service[shorewall]"
 302 end
 303
 304 template "/etc/shorewall/rules" do
 305   source "shorewall-rules.erb"
 306   owner "root"
 307   group "root"
 308   mode 0o644
 309   variables :family => "inet"
 310   notifies :restart, "service[shorewall]"
 311 end
 312
 313 service "shorewall" do
 314   action [:enable, :start]
 315   supports :restart => true
 316   status_command "shorewall status"
 317 end
 318
 319 template "/etc/logrotate.d/shorewall" do
 320   source "logrotate.shorewall.erb"
 321   owner "root"
 322   group "root"
 323   mode 0o644
 324   variables :name => "shorewall"
 325 end
 326
 327 firewall_rule "limit-icmp-echo" do
 328   action :accept
 329   family :inet
 330   source "net"
 331   dest "fw"
 332   proto "icmp"
 333   dest_ports "echo-request"
 334   rate_limit "s:1/sec:5"
 335 end
 336
 337 %w[ucl ams bm].each do |zone|
 338   firewall_rule "accept-openvpn-#{zone}" do
 339     action :accept
 340     source zone
 341     dest "fw"
 342     proto "udp"
 343     dest_ports "1194:1197"
 344     source_ports "1194:1197"
 345   end
 346 end
 347
 348 if node[:roles].include?("gateway")
 349   template "/etc/shorewall/masq" do
 350     source "shorewall-masq.erb"
 351     owner "root"
 352     group "root"
 353     mode 0o644
 354     notifies :restart, "service[shorewall]"
 355   end
 356 else
 357   file "/etc/shorewall/masq" do
 358     action :delete
 359     notifies :restart, "service[shorewall]"
 360   end
 361 end
 362
 363 unless node.interfaces(:family => :inet6).empty?
 364   package "shorewall6"
 365
 366   template "/etc/default/shorewall6" do
 367     source "shorewall-default.erb"
 368     owner "root"
 369     group "root"
 370     mode 0o644
 371     notifies :restart, "service[shorewall6]"
 372   end
 373
 374   template "/etc/shorewall6/shorewall6.conf" do
 375     source "shorewall6.conf.erb"
 376     owner "root"
 377     group "root"
 378     mode 0o644
 379     notifies :restart, "service[shorewall6]"
 380   end
 381
 382   template "/etc/shorewall6/zones" do
 383     source "shorewall-zones.erb"
 384     owner "root"
 385     group "root"
 386     mode 0o644
 387     variables :type => "ipv6"
 388     notifies :restart, "service[shorewall6]"
 389   end
 390
 391   template "/etc/shorewall6/interfaces" do
 392     source "shorewall6-interfaces.erb"
 393     owner "root"
 394     group "root"
 395     mode 0o644
 396     notifies :restart, "service[shorewall6]"
 397   end
 398
 399   template "/etc/shorewall6/hosts" do
 400     source "shorewall6-hosts.erb"
 401     owner "root"
 402     group "root"
 403     mode 0o644
 404     variables :zones => zones
 405     notifies :restart, "service[shorewall6]"
 406   end
 407
 408   template "/etc/shorewall6/conntrack" do
 409     source "shorewall-conntrack.erb"
 410     owner "root"
 411     group "root"
 412     mode 0o644
 413     notifies :restart, "service[shorewall6]"
 414     only_if { node[:networking][:firewall][:raw] }
 415   end
 416
 417   template "/etc/shorewall6/policy" do
 418     source "shorewall-policy.erb"
 419     owner "root"
 420     group "root"
 421     mode 0o644
 422     notifies :restart, "service[shorewall6]"
 423   end
 424
 425   template "/etc/shorewall6/rules" do
 426     source "shorewall-rules.erb"
 427     owner "root"
 428     group "root"
 429     mode 0o644
 430     variables :family => "inet6"
 431     notifies :restart, "service[shorewall6]"
 432   end
 433
 434   service "shorewall6" do
 435     action [:enable, :start]
 436     supports :restart => true
 437     status_command "shorewall6 status"
 438   end
 439
 440   template "/etc/logrotate.d/shorewall6" do
 441     source "logrotate.shorewall.erb"
 442     owner "root"
 443     group "root"
 444     mode 0o644
 445     variables :name => "shorewall6"
 446   end
 447
 448   firewall_rule "limit-icmp6-echo" do
 449     action :accept
 450     family :inet6
 451     source "net"
 452     dest "fw"
 453     proto "ipv6-icmp"
 454     dest_ports "echo-request"
 455     rate_limit "s:1/sec:5"
 456   end
 457 end
 458
 459 firewall_rule "accept-http" do
 460   action :accept
 461   source "net"
 462   dest "fw"
 463   proto "tcp:syn"
 464   dest_ports "http"
 465   rate_limit node[:networking][:firewall][:http_rate_limit]
 466   connection_limit node[:networking][:firewall][:http_connection_limit]
 467 end
 468
 469 firewall_rule "accept-https" do
 470   action :accept
 471   source "net"
 472   dest "fw"
 473   proto "tcp:syn"
 474   dest_ports "https"
 475   rate_limit node[:networking][:firewall][:http_rate_limit]
 476   connection_limit node[:networking][:firewall][:http_connection_limit]
 477 end