Update IP addresses for move from Imperial to Amsterdam
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24
25 network_packages = []
26
27 node[:networking][:interfaces].each do |name, interface|
28   if interface[:interface]
29     network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
30     network_packages |= ["ifenslave"] if interface[:bond]
31
32     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
33       if role[interface[:family]]
34         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
35         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
36       end
37
38       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
39       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
40     end
41
42     prefix = node[:networking][:interfaces][name][:prefix]
43
44     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
45     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
46   else
47     node.rm(:networking, :interfaces, name)
48   end
49 end
50
51 package network_packages
52
53 template "/etc/network/interfaces" do
54   source "interfaces.erb"
55   owner "root"
56   group "root"
57   mode 0o644
58 end
59
60 execute "hostname" do
61   action :nothing
62   command "/bin/hostname -F /etc/hostname"
63 end
64
65 template "/etc/hostname" do
66   source "hostname.erb"
67   owner "root"
68   group "root"
69   mode 0o644
70   notifies :run, "execute[hostname]"
71 end
72
73 template "/etc/hosts" do
74   source "hosts.erb"
75   owner "root"
76   group "root"
77   mode 0o644
78 end
79
80 unless node[:networking][:nameservers].empty?
81   link "/etc/resolv.conf" do
82     action :delete
83     link_type :symbolic
84     to "/run/resolvconf/resolv.conf"
85     only_if { File.symlink?("/etc/resolv.conf") }
86   end
87
88   template "/etc/resolv.conf" do
89     source "resolv.conf.erb"
90     owner "root"
91     group "root"
92     mode 0o644
93   end
94 end
95
96 node.interfaces(:role => :internal) do |interface|
97   if interface[:gateway] && interface[:gateway] != interface[:address]
98     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
99       next unless gateway[:openvpn]
100
101       gateway[:openvpn][:tunnels].each_value do |tunnel|
102         if tunnel[:peer][:address] # ~FC023
103           route tunnel[:peer][:address] do
104             netmask "255.255.255.255"
105             gateway interface[:gateway]
106             device interface[:interface]
107           end
108         end
109
110         next unless tunnel[:peer][:networks]
111
112         tunnel[:peer][:networks].each do |network|
113           route network[:address] do
114             netmask network[:netmask]
115             gateway interface[:gateway]
116             device interface[:interface]
117           end
118         end
119       end
120     end
121   end
122 end
123
124 zones = {}
125
126 search(:node, "networking:interfaces").collect do |n|
127   next if n[:fqdn] == node[:fqdn]
128
129   n.interfaces.each do |interface|
130     next unless interface[:role] == "external" && interface[:zone]
131
132     zones[interface[:zone]] ||= {}
133     zones[interface[:zone]][interface[:family]] ||= []
134     zones[interface[:zone]][interface[:family]] << interface[:address]
135   end
136 end
137
138 package "shorewall"
139
140 template "/etc/default/shorewall" do
141   source "shorewall-default.erb"
142   owner "root"
143   group "root"
144   mode 0o644
145   notifies :restart, "service[shorewall]"
146 end
147
148 template "/etc/shorewall/shorewall.conf" do
149   source "shorewall.conf.erb"
150   owner "root"
151   group "root"
152   mode 0o644
153   notifies :restart, "service[shorewall]"
154 end
155
156 template "/etc/shorewall/zones" do
157   source "shorewall-zones.erb"
158   owner "root"
159   group "root"
160   mode 0o644
161   variables :type => "ipv4"
162   notifies :restart, "service[shorewall]"
163 end
164
165 template "/etc/shorewall/interfaces" do
166   source "shorewall-interfaces.erb"
167   owner "root"
168   group "root"
169   mode 0o644
170   notifies :restart, "service[shorewall]"
171 end
172
173 template "/etc/shorewall/hosts" do
174   source "shorewall-hosts.erb"
175   owner "root"
176   group "root"
177   mode 0o644
178   variables :zones => zones
179   notifies :restart, "service[shorewall]"
180 end
181
182 template "/etc/shorewall/policy" do
183   source "shorewall-policy.erb"
184   owner "root"
185   group "root"
186   mode 0o644
187   notifies :restart, "service[shorewall]"
188 end
189
190 template "/etc/shorewall/rules" do
191   source "shorewall-rules.erb"
192   owner "root"
193   group "root"
194   mode 0o644
195   variables :family => "inet"
196   notifies :restart, "service[shorewall]"
197 end
198
199 service "shorewall" do
200   action [:enable, :start]
201   supports :restart => true
202   status_command "shorewall status"
203 end
204
205 template "/etc/logrotate.d/shorewall" do
206   source "logrotate.shorewall.erb"
207   owner "root"
208   group "root"
209   mode 0o644
210   variables :name => "shorewall"
211 end
212
213 firewall_rule "limit-icmp-echo" do
214   action :accept
215   family :inet
216   source "net"
217   dest "fw"
218   proto "icmp"
219   dest_ports "echo-request"
220   rate_limit "s:1/sec:5"
221 end
222
223 %w[ucl ic bm aws].each do |zone|
224   firewall_rule "accept-openvpn-#{zone}" do
225     action :accept
226     family :inet
227     source zone
228     dest "fw"
229     proto "udp"
230     dest_ports "1194:1197"
231     source_ports "1194:1197"
232   end
233 end
234
235 if node[:roles].include?("gateway")
236   template "/etc/shorewall/masq" do
237     source "shorewall-masq.erb"
238     owner "root"
239     group "root"
240     mode 0o644
241     notifies :restart, "service[shorewall]"
242   end
243 else
244   file "/etc/shorewall/masq" do
245     action :delete
246     notifies :restart, "service[shorewall]"
247   end
248 end
249
250 unless node.interfaces(:family => :inet6).empty?
251   package "shorewall6"
252
253   template "/etc/default/shorewall6" do
254     source "shorewall-default.erb"
255     owner "root"
256     group "root"
257     mode 0o644
258     notifies :restart, "service[shorewall6]"
259   end
260
261   template "/etc/shorewall6/shorewall6.conf" do
262     source "shorewall6.conf.erb"
263     owner "root"
264     group "root"
265     mode 0o644
266     notifies :restart, "service[shorewall6]"
267   end
268
269   template "/etc/shorewall6/zones" do
270     source "shorewall-zones.erb"
271     owner "root"
272     group "root"
273     mode 0o644
274     variables :type => "ipv6"
275     notifies :restart, "service[shorewall6]"
276   end
277
278   template "/etc/shorewall6/interfaces" do
279     source "shorewall6-interfaces.erb"
280     owner "root"
281     group "root"
282     mode 0o644
283     notifies :restart, "service[shorewall6]"
284   end
285
286   template "/etc/shorewall6/hosts" do
287     source "shorewall6-hosts.erb"
288     owner "root"
289     group "root"
290     mode 0o644
291     variables :zones => zones
292     notifies :restart, "service[shorewall6]"
293   end
294
295   template "/etc/shorewall6/policy" do
296     source "shorewall-policy.erb"
297     owner "root"
298     group "root"
299     mode 0o644
300     notifies :restart, "service[shorewall6]"
301   end
302
303   template "/etc/shorewall6/rules" do
304     source "shorewall-rules.erb"
305     owner "root"
306     group "root"
307     mode 0o644
308     variables :family => "inet6"
309     notifies :restart, "service[shorewall6]"
310   end
311
312   service "shorewall6" do
313     action [:enable, :start]
314     supports :restart => true
315     status_command "shorewall6 status"
316   end
317
318   template "/etc/logrotate.d/shorewall6" do
319     source "logrotate.shorewall.erb"
320     owner "root"
321     group "root"
322     mode 0o644
323     variables :name => "shorewall6"
324   end
325
326   firewall_rule "limit-icmp6-echo" do
327     action :accept
328     family :inet6
329     source "net"
330     dest "fw"
331     proto "ipv6-icmp"
332     dest_ports "echo-request"
333     rate_limit "s:1/sec:5"
334   end
335 end
336
337 firewall_rule "accept-http" do
338   action :accept
339   source "net"
340   dest "fw"
341   proto "tcp:syn"
342   dest_ports "http"
343   rate_limit node[:networking][:firewall][:http_rate_limit]
344   connection_limit node[:networking][:firewall][:http_connection_limit]
345 end
346
347 firewall_rule "accept-https" do
348   action :accept
349   source "net"
350   dest "fw"
351   proto "tcp:syn"
352   dest_ports "https"
353   rate_limit node[:networking][:firewall][:http_rate_limit]
354   connection_limit node[:networking][:firewall][:http_connection_limit]
355 end