]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
5c73c5cc3197be9d99e10ecf32d0377f33d1fab0
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 package "netplan.io"
27
28 netplan = {
29   "network" => {
30     "version" => 2,
31     "renderer" => "networkd",
32     "ethernets" => {},
33     "bonds" => {},
34     "vlans" => {}
35   }
36 }
37
38 node[:networking][:interfaces].each do |name, interface|
39   if interface[:interface]
40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
41       if role[interface[:family]]
42         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
43         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
44         node.normal[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
45       end
46
47       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
48       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
49     end
50
51     if interface[:address]
52       prefix = node[:networking][:interfaces][name][:prefix]
53
54       node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
55       node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
56     end
57
58     interface = node[:networking][:interfaces][name]
59
60     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
61                    netplan["network"]["vlans"][interface[:interface]] ||= {
62                      "id" => Regexp.last_match(2).to_i,
63                      "link" => Regexp.last_match(1),
64                      "accept-ra" => false,
65                      "addresses" => [],
66                      "routes" => []
67                    }
68                  elsif interface[:interface] =~ /^bond\d+$/
69                    netplan["network"]["bonds"][interface[:interface]] ||= {
70                      "accept-ra" => false,
71                      "addresses" => [],
72                      "routes" => []
73                    }
74                  else
75                    netplan["network"]["ethernets"][interface[:interface]] ||= {
76                      "accept-ra" => false,
77                      "addresses" => [],
78                      "routes" => []
79                    }
80                  end
81
82     if interface[:address]
83       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
84     end
85
86     if interface[:mtu]
87       deviceplan["mtu"] = interface[:mtu]
88     end
89
90     if interface[:bond]
91       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
92
93       deviceplan["parameters"] = {
94         "mode" => interface[:bond][:mode] || "active-backup",
95         "primary" => interface[:bond][:slaves].first,
96         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
97         "down-delay" => interface[:bond][:downdelay] || 200,
98         "up-delay" => interface[:bond][:updelay] || 200
99       }
100
101       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
102       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
103     end
104
105     if interface[:gateway]
106       if interface[:family] == "inet"
107         default_route = "0.0.0.0/0"
108       elsif interface[:family] == "inet6"
109         default_route = "::/0"
110       end
111
112       deviceplan["routes"].push(
113         "to" => default_route,
114         "via" => interface[:gateway],
115         "metric" => interface[:metric],
116         "on-link" => true
117       )
118
119       # This ordering relies on systemd-networkd adding routes
120       # in reverse order and will need moving before the previous
121       # route once that is fixed:
122       #
123       # https://github.com/systemd/systemd/issues/5430
124       # https://github.com/systemd/systemd/pull/10938
125       if interface[:family] == "inet6" &&
126          !interface[:network].include?(interface[:gateway]) &&
127          !IPAddr.new("fe80::/64").include?(interface[:gateway])
128         deviceplan["routes"].push(
129           "to" => interface[:gateway],
130           "scope" => "link"
131         )
132       end
133     end
134
135     if interface[:routes]
136       interface[:routes].each do |to, parameters|
137         route = {
138           "to" => to
139         }
140
141         route["type"] = parameters[:type] if parameters[:type]
142         route["via"] = parameters[:via] if parameters[:via]
143         route["metric"] = parameters[:metric] if parameters[:metric]
144
145         deviceplan["routes"].push(route)
146       end
147     end
148   else
149     node.rm(:networking, :interfaces, name)
150   end
151 end
152
153 netplan["network"]["bonds"].each_value do |bond|
154   bond["interfaces"].each do |interface|
155     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
156   end
157 end
158
159 netplan["network"]["vlans"].each_value do |vlan|
160   unless vlan["link"] =~ /^bond\d+$/
161     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
162   end
163 end
164
165 file "/etc/netplan/01-netcfg.yaml" do
166   action :delete
167 end
168
169 file "/etc/netplan/50-cloud-init.yaml" do
170   action :delete
171 end
172
173 file "/etc/netplan/99-chef.yaml" do
174   owner "root"
175   group "root"
176   mode 0o644
177   content YAML.dump(netplan)
178 end
179
180 package "cloud-init" do
181   action :purge
182 end
183
184 ohai "reload-hostname" do
185   action :nothing
186   plugin "hostname"
187 end
188
189 execute "hostnamectl-set-hostname" do
190   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
191   notifies :reload, "ohai[reload-hostname]"
192   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
193 end
194
195 template "/etc/hosts" do
196   source "hosts.erb"
197   owner "root"
198   group "root"
199   mode 0o644
200   not_if { ENV["TEST_KITCHEN"] }
201 end
202
203 service "systemd-resolved" do
204   action [:enable, :start]
205 end
206
207 directory "/etc/systemd/resolved.conf.d" do
208   owner "root"
209   group "root"
210   mode 0o755
211 end
212
213 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
214   source "resolved.conf.erb"
215   owner "root"
216   group "root"
217   mode 0o644
218   notifies :restart, "service[systemd-resolved]", :immediately
219 end
220
221 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
222   mount "/etc/resolv.conf" do
223     action :umount
224     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
225   end
226 end
227
228 link "/etc/resolv.conf" do
229   to "../run/systemd/resolve/stub-resolv.conf"
230 end
231
232 if node[:networking][:tcp_fastopen_key]
233   fastopen_keys = data_bag_item("networking", "fastopen")
234
235   node.normal[:sysctl][:tcp_fastopen] = {
236     :comment => "Set shared key for TCP fast open",
237     :parameters => {
238       "net.ipv4.tcp_fastopen_key" => fastopen_keys[node[:networking][:tcp_fastopen_key]]
239     }
240   }
241 end
242
243 node.interfaces(:role => :internal) do |interface|
244   if interface[:gateway] && interface[:gateway] != interface[:address]
245     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
246       next unless gateway[:openvpn]
247
248       gateway[:openvpn][:tunnels].each_value do |tunnel|
249         if tunnel[:peer][:address]
250           route tunnel[:peer][:address] do
251             netmask "255.255.255.255"
252             gateway interface[:gateway]
253             device interface[:interface]
254           end
255         end
256
257         next unless tunnel[:peer][:networks]
258
259         tunnel[:peer][:networks].each do |network|
260           route network[:address] do
261             netmask network[:netmask]
262             gateway interface[:gateway]
263             device interface[:interface]
264           end
265         end
266       end
267     end
268   end
269 end
270
271 zones = {}
272
273 search(:node, "networking:interfaces").collect do |n|
274   next if n[:fqdn] == node[:fqdn]
275
276   n.interfaces.each do |interface|
277     next unless interface[:role] == "external" && interface[:zone]
278
279     zones[interface[:zone]] ||= {}
280     zones[interface[:zone]][interface[:family]] ||= []
281     zones[interface[:zone]][interface[:family]] << interface[:address]
282   end
283 end
284
285 package "shorewall"
286
287 template "/etc/default/shorewall" do
288   source "shorewall-default.erb"
289   owner "root"
290   group "root"
291   mode 0o644
292   notifies :restart, "service[shorewall]"
293 end
294
295 template "/etc/shorewall/shorewall.conf" do
296   source "shorewall.conf.erb"
297   owner "root"
298   group "root"
299   mode 0o644
300   notifies :restart, "service[shorewall]"
301 end
302
303 template "/etc/shorewall/zones" do
304   source "shorewall-zones.erb"
305   owner "root"
306   group "root"
307   mode 0o644
308   variables :type => "ipv4"
309   notifies :restart, "service[shorewall]"
310 end
311
312 template "/etc/shorewall/interfaces" do
313   source "shorewall-interfaces.erb"
314   owner "root"
315   group "root"
316   mode 0o644
317   notifies :restart, "service[shorewall]"
318 end
319
320 template "/etc/shorewall/hosts" do
321   source "shorewall-hosts.erb"
322   owner "root"
323   group "root"
324   mode 0o644
325   variables :zones => zones
326   notifies :restart, "service[shorewall]"
327 end
328
329 template "/etc/shorewall/conntrack" do
330   source "shorewall-conntrack.erb"
331   owner "root"
332   group "root"
333   mode 0o644
334   notifies :restart, "service[shorewall]"
335   only_if { node[:networking][:firewall][:raw] }
336 end
337
338 template "/etc/shorewall/policy" do
339   source "shorewall-policy.erb"
340   owner "root"
341   group "root"
342   mode 0o644
343   notifies :restart, "service[shorewall]"
344 end
345
346 template "/etc/shorewall/rules" do
347   source "shorewall-rules.erb"
348   owner "root"
349   group "root"
350   mode 0o644
351   variables :family => "inet"
352   notifies :restart, "service[shorewall]"
353 end
354
355 service "shorewall" do
356   action [:enable, :start]
357   supports :restart => true
358   status_command "shorewall status"
359 end
360
361 template "/etc/logrotate.d/shorewall" do
362   source "logrotate.shorewall.erb"
363   owner "root"
364   group "root"
365   mode 0o644
366   variables :name => "shorewall"
367 end
368
369 firewall_rule "limit-icmp-echo" do
370   action :accept
371   family :inet
372   source "net"
373   dest "fw"
374   proto "icmp"
375   dest_ports "echo-request"
376   rate_limit "s:1/sec:5"
377 end
378
379 %w[ucl ams bm].each do |zone|
380   firewall_rule "accept-openvpn-#{zone}" do
381     action :accept
382     source zone
383     dest "fw"
384     proto "udp"
385     dest_ports "1194:1197"
386     source_ports "1194:1197"
387   end
388 end
389
390 if node[:roles].include?("gateway")
391   template "/etc/shorewall/masq" do
392     source "shorewall-masq.erb"
393     owner "root"
394     group "root"
395     mode 0o644
396     notifies :restart, "service[shorewall]"
397   end
398 else
399   file "/etc/shorewall/masq" do
400     action :delete
401     notifies :restart, "service[shorewall]"
402   end
403 end
404
405 unless node.interfaces(:family => :inet6).empty?
406   package "shorewall6"
407
408   template "/etc/default/shorewall6" do
409     source "shorewall-default.erb"
410     owner "root"
411     group "root"
412     mode 0o644
413     notifies :restart, "service[shorewall6]"
414   end
415
416   template "/etc/shorewall6/shorewall6.conf" do
417     source "shorewall6.conf.erb"
418     owner "root"
419     group "root"
420     mode 0o644
421     notifies :restart, "service[shorewall6]"
422   end
423
424   template "/etc/shorewall6/zones" do
425     source "shorewall-zones.erb"
426     owner "root"
427     group "root"
428     mode 0o644
429     variables :type => "ipv6"
430     notifies :restart, "service[shorewall6]"
431   end
432
433   template "/etc/shorewall6/interfaces" do
434     source "shorewall6-interfaces.erb"
435     owner "root"
436     group "root"
437     mode 0o644
438     notifies :restart, "service[shorewall6]"
439   end
440
441   template "/etc/shorewall6/hosts" do
442     source "shorewall6-hosts.erb"
443     owner "root"
444     group "root"
445     mode 0o644
446     variables :zones => zones
447     notifies :restart, "service[shorewall6]"
448   end
449
450   template "/etc/shorewall6/conntrack" do
451     source "shorewall-conntrack.erb"
452     owner "root"
453     group "root"
454     mode 0o644
455     notifies :restart, "service[shorewall6]"
456     only_if { node[:networking][:firewall][:raw] }
457   end
458
459   template "/etc/shorewall6/policy" do
460     source "shorewall-policy.erb"
461     owner "root"
462     group "root"
463     mode 0o644
464     notifies :restart, "service[shorewall6]"
465   end
466
467   template "/etc/shorewall6/rules" do
468     source "shorewall-rules.erb"
469     owner "root"
470     group "root"
471     mode 0o644
472     variables :family => "inet6"
473     notifies :restart, "service[shorewall6]"
474   end
475
476   service "shorewall6" do
477     action [:enable, :start]
478     supports :restart => true
479     status_command "shorewall6 status"
480   end
481
482   template "/etc/logrotate.d/shorewall6" do
483     source "logrotate.shorewall.erb"
484     owner "root"
485     group "root"
486     mode 0o644
487     variables :name => "shorewall6"
488   end
489
490   firewall_rule "limit-icmp6-echo" do
491     action :accept
492     family :inet6
493     source "net"
494     dest "fw"
495     proto "ipv6-icmp"
496     dest_ports "echo-request"
497     rate_limit "s:1/sec:5"
498   end
499 end
500
501 firewall_rule "accept-http" do
502   action :accept
503   source "net"
504   dest "fw"
505   proto "tcp:syn"
506   dest_ports "http"
507   rate_limit node[:networking][:firewall][:http_rate_limit]
508   connection_limit node[:networking][:firewall][:http_connection_limit]
509 end
510
511 firewall_rule "accept-https" do
512   action :accept
513   source "net"
514   dest "fw"
515   proto "tcp:syn"
516   dest_ports "https"
517   rate_limit node[:networking][:firewall][:http_rate_limit]
518   connection_limit node[:networking][:firewall][:http_connection_limit]
519 end