cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 package "netplan.io"
  27
  28 netplan = {
  29   "network" => {
  30     "version" => 2,
  31     "renderer" => "networkd",
  32     "ethernets" => {},
  33     "bonds" => {},
  34     "vlans" => {}
  35   }
  36 }
  37
  38 node[:networking][:interfaces].each do |name, interface|
  39   if interface[:interface]
  40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  41       if role[interface[:family]]
  42         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  43         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  44         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  45       end
  46
  47       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  48       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  49     end
  50
  51     if interface[:address]
  52       prefix = node[:networking][:interfaces][name][:prefix]
  53
  54       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  55       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  56     end
  57
  58     interface = node[:networking][:interfaces][name]
  59
  60     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  61                    netplan["network"]["vlans"][interface[:interface]] ||= {
  62                      "id" => Regexp.last_match(2).to_i,
  63                      "link" => Regexp.last_match(1),
  64                      "accept-ra" => false,
  65                      "addresses" => [],
  66                      "routes" => []
  67                    }
  68                  elsif interface[:interface] =~ /^bond\d+$/
  69                    netplan["network"]["bonds"][interface[:interface]] ||= {
  70                      "accept-ra" => false,
  71                      "addresses" => [],
  72                      "routes" => []
  73                    }
  74                  else
  75                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  76                      "accept-ra" => false,
  77                      "addresses" => [],
  78                      "routes" => []
  79                    }
  80                  end
  81
  82     if interface[:address]
  83       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  84     end
  85
  86     if interface[:mtu]
  87       deviceplan["mtu"] = interface[:mtu]
  88     end
  89
  90     if interface[:bond]
  91       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  92
  93       deviceplan["parameters"] = {
  94         "mode" => interface[:bond][:mode] || "active-backup",
  95         "primary" => interface[:bond][:slaves].first,
  96         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  97         "down-delay" => interface[:bond][:downdelay] || 200,
  98         "up-delay" => interface[:bond][:updelay] || 200
  99       }
 100
 101       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 102       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 103     end
 104
 105     if interface[:gateway]
 106       if interface[:family] == "inet"
 107         default_route = "0.0.0.0/0"
 108       elsif interface[:family] == "inet6"
 109         default_route = "::/0"
 110       end
 111
 112       deviceplan["routes"].push(
 113         "to" => default_route,
 114         "via" => interface[:gateway],
 115         "metric" => interface[:metric],
 116         "on-link" => true
 117       )
 118
 119       # This ordering relies on systemd-networkd adding routes
 120       # in reverse order and will need moving before the previous
 121       # route once that is fixed:
 122       #
 123       # https://github.com/systemd/systemd/issues/5430
 124       # https://github.com/systemd/systemd/pull/10938
 125       if interface[:family] == "inet6" &&
 126          !interface[:network].include?(interface[:gateway]) &&
 127          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 128         deviceplan["routes"].push(
 129           "to" => interface[:gateway],
 130           "scope" => "link"
 131         )
 132       end
 133
 134       if interface[:role] == "internal" && interface[:gateway] != interface[:address]
 135         search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 136           next unless gateway[:openvpn]
 137
 138           gateway[:openvpn][:tunnels].each_value do |tunnel|
 139             if tunnel[:peer][:address]
 140               deviceplan["routes"].push(
 141                 "to" => "#{tunnel[:peer][:address]}/32",
 142                 "via" => interface[:gateway]
 143               )
 144
 145               route tunnel[:peer][:address] do
 146                 netmask "255.255.255.255"
 147                 gateway interface[:gateway]
 148                 device interface[:interface]
 149               end
 150             end
 151
 152             next unless tunnel[:peer][:networks]
 153
 154             tunnel[:peer][:networks].each do |network|
 155               prefix = IPAddr.new("#{network[:address]}/#{network[:netmask]}").prefix
 156
 157               deviceplan["routes"].push(
 158                 "to" => "#{network[:address]}/#{prefix}",
 159                 "via" => interface[:gateway]
 160               )
 161
 162               route network[:address] do
 163                 netmask network[:netmask]
 164                 gateway interface[:gateway]
 165                 device interface[:interface]
 166               end
 167             end
 168           end
 169         end
 170       end
 171     end
 172
 173     if interface[:routes]
 174       interface[:routes].each do |to, parameters|
 175         route = {
 176           "to" => to
 177         }
 178
 179         route["type"] = parameters[:type] if parameters[:type]
 180         route["via"] = parameters[:via] if parameters[:via]
 181         route["metric"] = parameters[:metric] if parameters[:metric]
 182
 183         deviceplan["routes"].push(route)
 184       end
 185     end
 186   else
 187     node.rm(:networking, :interfaces, name)
 188   end
 189 end
 190
 191 netplan["network"]["bonds"].each_value do |bond|
 192   bond["interfaces"].each do |interface|
 193     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 194   end
 195 end
 196
 197 netplan["network"]["vlans"].each_value do |vlan|
 198   unless vlan["link"] =~ /^bond\d+$/
 199     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 200   end
 201 end
 202
 203 file "/etc/netplan/01-netcfg.yaml" do
 204   action :delete
 205 end
 206
 207 file "/etc/netplan/50-cloud-init.yaml" do
 208   action :delete
 209 end
 210
 211 file "/etc/netplan/99-chef.yaml" do
 212   owner "root"
 213   group "root"
 214   mode "644"
 215   content YAML.dump(netplan)
 216 end
 217
 218 package "cloud-init" do
 219   action :purge
 220 end
 221
 222 ohai "reload-hostname" do
 223   action :nothing
 224   plugin "hostname"
 225 end
 226
 227 execute "hostnamectl-set-hostname" do
 228   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 229   notifies :reload, "ohai[reload-hostname]"
 230   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 231 end
 232
 233 template "/etc/hosts" do
 234   source "hosts.erb"
 235   owner "root"
 236   group "root"
 237   mode "644"
 238   not_if { ENV["TEST_KITCHEN"] }
 239 end
 240
 241 service "systemd-resolved" do
 242   action [:enable, :start]
 243 end
 244
 245 directory "/etc/systemd/resolved.conf.d" do
 246   owner "root"
 247   group "root"
 248   mode "755"
 249 end
 250
 251 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 252   source "resolved.conf.erb"
 253   owner "root"
 254   group "root"
 255   mode "644"
 256   notifies :restart, "service[systemd-resolved]", :immediately
 257 end
 258
 259 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 260   mount "/etc/resolv.conf" do
 261     action :umount
 262     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
 263   end
 264 end
 265
 266 link "/etc/resolv.conf" do
 267   to "../run/systemd/resolve/stub-resolv.conf"
 268 end
 269
 270 zones = {}
 271
 272 search(:node, "networking:interfaces").collect do |n|
 273   next if n[:fqdn] == node[:fqdn]
 274
 275   n.interfaces.each do |interface|
 276     next unless interface[:role] == "external" && interface[:zone]
 277
 278     zones[interface[:zone]] ||= {}
 279     zones[interface[:zone]][interface[:family]] ||= []
 280     zones[interface[:zone]][interface[:family]] << interface[:address]
 281   end
 282 end
 283
 284 package "shorewall"
 285
 286 template "/etc/default/shorewall" do
 287   source "shorewall-default.erb"
 288   owner "root"
 289   group "root"
 290   mode "644"
 291   notifies :restart, "service[shorewall]"
 292 end
 293
 294 template "/etc/shorewall/shorewall.conf" do
 295   source "shorewall.conf.erb"
 296   owner "root"
 297   group "root"
 298   mode "644"
 299   notifies :restart, "service[shorewall]"
 300 end
 301
 302 template "/etc/shorewall/zones" do
 303   source "shorewall-zones.erb"
 304   owner "root"
 305   group "root"
 306   mode "644"
 307   variables :type => "ipv4"
 308   notifies :restart, "service[shorewall]"
 309 end
 310
 311 template "/etc/shorewall/interfaces" do
 312   source "shorewall-interfaces.erb"
 313   owner "root"
 314   group "root"
 315   mode "644"
 316   notifies :restart, "service[shorewall]"
 317 end
 318
 319 template "/etc/shorewall/hosts" do
 320   source "shorewall-hosts.erb"
 321   owner "root"
 322   group "root"
 323   mode "644"
 324   variables :zones => zones
 325   notifies :restart, "service[shorewall]"
 326 end
 327
 328 template "/etc/shorewall/conntrack" do
 329   source "shorewall-conntrack.erb"
 330   owner "root"
 331   group "root"
 332   mode "644"
 333   notifies :restart, "service[shorewall]"
 334   only_if { node[:networking][:firewall][:raw] }
 335 end
 336
 337 template "/etc/shorewall/policy" do
 338   source "shorewall-policy.erb"
 339   owner "root"
 340   group "root"
 341   mode "644"
 342   notifies :restart, "service[shorewall]"
 343 end
 344
 345 template "/etc/shorewall/rules" do
 346   source "shorewall-rules.erb"
 347   owner "root"
 348   group "root"
 349   mode "644"
 350   variables :family => "inet"
 351   notifies :restart, "service[shorewall]"
 352 end
 353
 354 service "shorewall" do
 355   action [:enable, :start]
 356   supports :restart => true
 357   status_command "shorewall status"
 358 end
 359
 360 template "/etc/logrotate.d/shorewall" do
 361   source "logrotate.shorewall.erb"
 362   owner "root"
 363   group "root"
 364   mode "644"
 365   variables :name => "shorewall"
 366 end
 367
 368 firewall_rule "limit-icmp-echo" do
 369   action :accept
 370   family :inet
 371   source "net"
 372   dest "fw"
 373   proto "icmp"
 374   dest_ports "echo-request"
 375   rate_limit "s:1/sec:5"
 376 end
 377
 378 %w[ucl ams bm].each do |zone|
 379   firewall_rule "accept-openvpn-#{zone}" do
 380     action :accept
 381     source zone
 382     dest "fw"
 383     proto "udp"
 384     dest_ports "1194:1197"
 385     source_ports "1194:1197"
 386   end
 387 end
 388
 389 if node[:roles].include?("gateway")
 390   template "/etc/shorewall/masq" do
 391     source "shorewall-masq.erb"
 392     owner "root"
 393     group "root"
 394     mode "644"
 395     notifies :restart, "service[shorewall]"
 396   end
 397 else
 398   file "/etc/shorewall/masq" do
 399     action :delete
 400     notifies :restart, "service[shorewall]"
 401   end
 402 end
 403
 404 unless node.interfaces(:family => :inet6).empty?
 405   package "shorewall6"
 406
 407   template "/etc/default/shorewall6" do
 408     source "shorewall-default.erb"
 409     owner "root"
 410     group "root"
 411     mode "644"
 412     notifies :restart, "service[shorewall6]"
 413   end
 414
 415   template "/etc/shorewall6/shorewall6.conf" do
 416     source "shorewall6.conf.erb"
 417     owner "root"
 418     group "root"
 419     mode "644"
 420     notifies :restart, "service[shorewall6]"
 421   end
 422
 423   template "/etc/shorewall6/zones" do
 424     source "shorewall-zones.erb"
 425     owner "root"
 426     group "root"
 427     mode "644"
 428     variables :type => "ipv6"
 429     notifies :restart, "service[shorewall6]"
 430   end
 431
 432   template "/etc/shorewall6/interfaces" do
 433     source "shorewall6-interfaces.erb"
 434     owner "root"
 435     group "root"
 436     mode "644"
 437     notifies :restart, "service[shorewall6]"
 438   end
 439
 440   template "/etc/shorewall6/hosts" do
 441     source "shorewall6-hosts.erb"
 442     owner "root"
 443     group "root"
 444     mode "644"
 445     variables :zones => zones
 446     notifies :restart, "service[shorewall6]"
 447   end
 448
 449   template "/etc/shorewall6/conntrack" do
 450     source "shorewall-conntrack.erb"
 451     owner "root"
 452     group "root"
 453     mode "644"
 454     notifies :restart, "service[shorewall6]"
 455     only_if { node[:networking][:firewall][:raw] }
 456   end
 457
 458   template "/etc/shorewall6/policy" do
 459     source "shorewall-policy.erb"
 460     owner "root"
 461     group "root"
 462     mode "644"
 463     notifies :restart, "service[shorewall6]"
 464   end
 465
 466   template "/etc/shorewall6/rules" do
 467     source "shorewall-rules.erb"
 468     owner "root"
 469     group "root"
 470     mode "644"
 471     variables :family => "inet6"
 472     notifies :restart, "service[shorewall6]"
 473   end
 474
 475   service "shorewall6" do
 476     action [:enable, :start]
 477     supports :restart => true
 478     status_command "shorewall6 status"
 479   end
 480
 481   template "/etc/logrotate.d/shorewall6" do
 482     source "logrotate.shorewall.erb"
 483     owner "root"
 484     group "root"
 485     mode "644"
 486     variables :name => "shorewall6"
 487   end
 488
 489   firewall_rule "limit-icmp6-echo" do
 490     action :accept
 491     family :inet6
 492     source "net"
 493     dest "fw"
 494     proto "ipv6-icmp"
 495     dest_ports "echo-request"
 496     rate_limit "s:1/sec:5"
 497   end
 498 end
 499
 500 firewall_rule "accept-http" do
 501   action :accept
 502   source "net"
 503   dest "fw"
 504   proto "tcp:syn"
 505   dest_ports "http"
 506   rate_limit node[:networking][:firewall][:http_rate_limit]
 507   connection_limit node[:networking][:firewall][:http_connection_limit]
 508 end
 509
 510 firewall_rule "accept-https" do
 511   action :accept
 512   source "net"
 513   dest "fw"
 514   proto "tcp:syn"
 515   dest_ports "https"
 516   rate_limit node[:networking][:firewall][:http_rate_limit]
 517   connection_limit node[:networking][:firewall][:http_connection_limit]
 518 end