cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 netplan = {
  27   "network" => {
  28     "version" => 2,
  29     "renderer" => "networkd",
  30     "ethernets" => {},
  31     "bonds" => {},
  32     "vlans" => {}
  33   }
  34 }
  35
  36 node[:networking][:interfaces].each do |name, interface|
  37   if interface[:interface]
  38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  39       if role[interface[:family]]
  40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  42         node.normal[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  43       end
  44
  45       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  46       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  47     end
  48
  49     prefix = node[:networking][:interfaces][name][:prefix]
  50
  51     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  52     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  53
  54     interface = node[:networking][:interfaces][name]
  55
  56     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  57                    netplan["network"]["vlans"][interface[:interface]] ||= {
  58                      "id" => Regexp.last_match(2).to_i,
  59                      "link" => Regexp.last_match(1),
  60                      "accept-ra" => false,
  61                      "addresses" => [],
  62                      "routes" => []
  63                    }
  64                  elsif interface[:interface] =~ /^bond\d+$/
  65                    netplan["network"]["bonds"][interface[:interface]] ||= {
  66                      "accept-ra" => false,
  67                      "addresses" => [],
  68                      "routes" => []
  69                    }
  70                  else
  71                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  72                      "accept-ra" => false,
  73                      "addresses" => [],
  74                      "routes" => []
  75                    }
  76                  end
  77
  78     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  79
  80     if interface[:mtu]
  81       deviceplan["mtu"] = interface[:mtu]
  82     end
  83
  84     if interface[:bond]
  85       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  86
  87       deviceplan["parameters"] = {
  88         "mode" => interface[:bond][:mode] || "active-backup",
  89         "primary" => interface[:bond][:slaves].first,
  90         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  91         "down-delay" => interface[:bond][:downdelay] || 200,
  92         "up-delay" => interface[:bond][:updelay] || 200
  93       }
  94
  95       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
  96       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
  97     end
  98
  99     if interface[:gateway]
 100       if interface[:family] == "inet"
 101         default_route = "0.0.0.0/0"
 102       elsif interface[:family] == "inet6"
 103         default_route = "::/0"
 104       end
 105
 106       deviceplan["routes"].push(
 107         "to" => default_route,
 108         "via" => interface[:gateway],
 109         "metric" => interface[:metric],
 110         "on-link" => true
 111       )
 112
 113       # This ordering relies on systemd-networkd adding routes
 114       # in reverse order and will need moving before the previous
 115       # route once that is fixed:
 116       #
 117       # https://github.com/systemd/systemd/issues/5430
 118       # https://github.com/systemd/systemd/pull/10938
 119       if interface[:family] == "inet6" &&
 120          !interface[:network].include?(interface[:gateway]) &&
 121          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 122         deviceplan["routes"].push(
 123           "to" => interface[:gateway],
 124           "scope" => "link"
 125         )
 126       end
 127     end
 128
 129     if interface[:routes]
 130       interface[:routes].each do |to, parameters|
 131         route = {
 132           "to" => to
 133         }
 134
 135         route["type"] = parameters[:type] if parameters[:type]
 136         route["via"] = parameters[:via] if parameters[:via]
 137         route["metric"] = parameters[:metric] if parameters[:metric]
 138
 139         deviceplan["routes"].push(route)
 140       end
 141     end
 142   else
 143     node.rm(:networking, :interfaces, name)
 144   end
 145 end
 146
 147 netplan["network"]["bonds"].each_value do |bond|
 148   bond["interfaces"].each do |interface|
 149     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 150   end
 151 end
 152
 153 netplan["network"]["vlans"].each_value do |vlan|
 154   unless vlan["link"] =~ /^bond\d+$/
 155     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 156   end
 157 end
 158
 159 file "/etc/netplan/01-netcfg.yaml" do
 160   action :delete
 161 end
 162
 163 file "/etc/netplan/50-cloud-init.yaml" do
 164   action :delete
 165 end
 166
 167 file "/etc/netplan/99-chef.yaml" do
 168   owner "root"
 169   group "root"
 170   mode 0o644
 171   content YAML.dump(netplan)
 172 end
 173
 174 package "cloud-init" do
 175   action :purge
 176 end
 177
 178 execute "hostname" do
 179   action :nothing
 180   command "/bin/hostname -F /etc/hostname"
 181 end
 182
 183 template "/etc/hostname" do
 184   source "hostname.erb"
 185   owner "root"
 186   group "root"
 187   mode 0o644
 188   notifies :run, "execute[hostname]"
 189 end
 190
 191 template "/etc/hosts" do
 192   source "hosts.erb"
 193   owner "root"
 194   group "root"
 195   mode 0o644
 196 end
 197
 198 service "systemd-resolved" do
 199   action [:enable, :start]
 200 end
 201
 202 directory "/etc/systemd/resolved.conf.d" do
 203   owner "root"
 204   group "root"
 205   mode 0o755
 206 end
 207
 208 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 209   source "resolved.conf.erb"
 210   owner "root"
 211   group "root"
 212   mode 0o644
 213   notifies :restart, "service[systemd-resolved]"
 214 end
 215
 216 if node[:networking][:tcp_fastopen_key]
 217   fastopen_keys = data_bag_item("networking", "fastopen")
 218
 219   node.normal[:sysctl][:tcp_fastopen] = {
 220     :comment => "Set shared key for TCP fast open",
 221     :parameters => {
 222       "net.ipv4.tcp_fastopen_key" => fastopen_keys[node[:networking][:tcp_fastopen_key]]
 223     }
 224   }
 225 end
 226
 227 node.interfaces(:role => :internal) do |interface|
 228   if interface[:gateway] && interface[:gateway] != interface[:address]
 229     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 230       next unless gateway[:openvpn]
 231
 232       gateway[:openvpn][:tunnels].each_value do |tunnel|
 233         if tunnel[:peer][:address]
 234           route tunnel[:peer][:address] do
 235             netmask "255.255.255.255"
 236             gateway interface[:gateway]
 237             device interface[:interface]
 238           end
 239         end
 240
 241         next unless tunnel[:peer][:networks]
 242
 243         tunnel[:peer][:networks].each do |network|
 244           route network[:address] do
 245             netmask network[:netmask]
 246             gateway interface[:gateway]
 247             device interface[:interface]
 248           end
 249         end
 250       end
 251     end
 252   end
 253 end
 254
 255 zones = {}
 256
 257 search(:node, "networking:interfaces").collect do |n|
 258   next if n[:fqdn] == node[:fqdn]
 259
 260   n.interfaces.each do |interface|
 261     next unless interface[:role] == "external" && interface[:zone]
 262
 263     zones[interface[:zone]] ||= {}
 264     zones[interface[:zone]][interface[:family]] ||= []
 265     zones[interface[:zone]][interface[:family]] << interface[:address]
 266   end
 267 end
 268
 269 package "shorewall"
 270
 271 template "/etc/default/shorewall" do
 272   source "shorewall-default.erb"
 273   owner "root"
 274   group "root"
 275   mode 0o644
 276   notifies :restart, "service[shorewall]"
 277 end
 278
 279 template "/etc/shorewall/shorewall.conf" do
 280   source "shorewall.conf.erb"
 281   owner "root"
 282   group "root"
 283   mode 0o644
 284   notifies :restart, "service[shorewall]"
 285 end
 286
 287 template "/etc/shorewall/zones" do
 288   source "shorewall-zones.erb"
 289   owner "root"
 290   group "root"
 291   mode 0o644
 292   variables :type => "ipv4"
 293   notifies :restart, "service[shorewall]"
 294 end
 295
 296 template "/etc/shorewall/interfaces" do
 297   source "shorewall-interfaces.erb"
 298   owner "root"
 299   group "root"
 300   mode 0o644
 301   notifies :restart, "service[shorewall]"
 302 end
 303
 304 template "/etc/shorewall/hosts" do
 305   source "shorewall-hosts.erb"
 306   owner "root"
 307   group "root"
 308   mode 0o644
 309   variables :zones => zones
 310   notifies :restart, "service[shorewall]"
 311 end
 312
 313 template "/etc/shorewall/conntrack" do
 314   source "shorewall-conntrack.erb"
 315   owner "root"
 316   group "root"
 317   mode 0o644
 318   notifies :restart, "service[shorewall]"
 319   only_if { node[:networking][:firewall][:raw] }
 320 end
 321
 322 template "/etc/shorewall/policy" do
 323   source "shorewall-policy.erb"
 324   owner "root"
 325   group "root"
 326   mode 0o644
 327   notifies :restart, "service[shorewall]"
 328 end
 329
 330 template "/etc/shorewall/rules" do
 331   source "shorewall-rules.erb"
 332   owner "root"
 333   group "root"
 334   mode 0o644
 335   variables :family => "inet"
 336   notifies :restart, "service[shorewall]"
 337 end
 338
 339 service "shorewall" do
 340   action [:enable, :start]
 341   supports :restart => true
 342   status_command "shorewall status"
 343 end
 344
 345 template "/etc/logrotate.d/shorewall" do
 346   source "logrotate.shorewall.erb"
 347   owner "root"
 348   group "root"
 349   mode 0o644
 350   variables :name => "shorewall"
 351 end
 352
 353 firewall_rule "limit-icmp-echo" do
 354   action :accept
 355   family :inet
 356   source "net"
 357   dest "fw"
 358   proto "icmp"
 359   dest_ports "echo-request"
 360   rate_limit "s:1/sec:5"
 361 end
 362
 363 %w[ucl ams bm].each do |zone|
 364   firewall_rule "accept-openvpn-#{zone}" do
 365     action :accept
 366     source zone
 367     dest "fw"
 368     proto "udp"
 369     dest_ports "1194:1197"
 370     source_ports "1194:1197"
 371   end
 372 end
 373
 374 if node[:roles].include?("gateway")
 375   template "/etc/shorewall/masq" do
 376     source "shorewall-masq.erb"
 377     owner "root"
 378     group "root"
 379     mode 0o644
 380     notifies :restart, "service[shorewall]"
 381   end
 382 else
 383   file "/etc/shorewall/masq" do
 384     action :delete
 385     notifies :restart, "service[shorewall]"
 386   end
 387 end
 388
 389 unless node.interfaces(:family => :inet6).empty?
 390   package "shorewall6"
 391
 392   template "/etc/default/shorewall6" do
 393     source "shorewall-default.erb"
 394     owner "root"
 395     group "root"
 396     mode 0o644
 397     notifies :restart, "service[shorewall6]"
 398   end
 399
 400   template "/etc/shorewall6/shorewall6.conf" do
 401     source "shorewall6.conf.erb"
 402     owner "root"
 403     group "root"
 404     mode 0o644
 405     notifies :restart, "service[shorewall6]"
 406   end
 407
 408   template "/etc/shorewall6/zones" do
 409     source "shorewall-zones.erb"
 410     owner "root"
 411     group "root"
 412     mode 0o644
 413     variables :type => "ipv6"
 414     notifies :restart, "service[shorewall6]"
 415   end
 416
 417   template "/etc/shorewall6/interfaces" do
 418     source "shorewall6-interfaces.erb"
 419     owner "root"
 420     group "root"
 421     mode 0o644
 422     notifies :restart, "service[shorewall6]"
 423   end
 424
 425   template "/etc/shorewall6/hosts" do
 426     source "shorewall6-hosts.erb"
 427     owner "root"
 428     group "root"
 429     mode 0o644
 430     variables :zones => zones
 431     notifies :restart, "service[shorewall6]"
 432   end
 433
 434   template "/etc/shorewall6/conntrack" do
 435     source "shorewall-conntrack.erb"
 436     owner "root"
 437     group "root"
 438     mode 0o644
 439     notifies :restart, "service[shorewall6]"
 440     only_if { node[:networking][:firewall][:raw] }
 441   end
 442
 443   template "/etc/shorewall6/policy" do
 444     source "shorewall-policy.erb"
 445     owner "root"
 446     group "root"
 447     mode 0o644
 448     notifies :restart, "service[shorewall6]"
 449   end
 450
 451   template "/etc/shorewall6/rules" do
 452     source "shorewall-rules.erb"
 453     owner "root"
 454     group "root"
 455     mode 0o644
 456     variables :family => "inet6"
 457     notifies :restart, "service[shorewall6]"
 458   end
 459
 460   service "shorewall6" do
 461     action [:enable, :start]
 462     supports :restart => true
 463     status_command "shorewall6 status"
 464   end
 465
 466   template "/etc/logrotate.d/shorewall6" do
 467     source "logrotate.shorewall.erb"
 468     owner "root"
 469     group "root"
 470     mode 0o644
 471     variables :name => "shorewall6"
 472   end
 473
 474   firewall_rule "limit-icmp6-echo" do
 475     action :accept
 476     family :inet6
 477     source "net"
 478     dest "fw"
 479     proto "ipv6-icmp"
 480     dest_ports "echo-request"
 481     rate_limit "s:1/sec:5"
 482   end
 483 end
 484
 485 firewall_rule "accept-http" do
 486   action :accept
 487   source "net"
 488   dest "fw"
 489   proto "tcp:syn"
 490   dest_ports "http"
 491   rate_limit node[:networking][:firewall][:http_rate_limit]
 492   connection_limit node[:networking][:firewall][:http_connection_limit]
 493 end
 494
 495 firewall_rule "accept-https" do
 496   action :accept
 497   source "net"
 498   dest "fw"
 499   proto "tcp:syn"
 500   dest_ports "https"
 501   rate_limit node[:networking][:firewall][:http_rate_limit]
 502   connection_limit node[:networking][:firewall][:http_connection_limit]
 503 end