Revert incorrect rubocop auto-correction
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     http://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24
25 node[:networking][:interfaces].each do |name, interface|
26   if interface[:role] && (role = node[:networking][:roles][interface[:role]])
27     if role[interface[:family]]
28       node.set[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
29       node.set[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
30     end
31
32     node.set[:networking][:interfaces][name][:metric] = role[:metric]
33     node.set[:networking][:interfaces][name][:zone] = role[:zone]
34   end
35
36   prefix = node[:networking][:interfaces][name][:prefix]
37
38   # rubocop:disable Style/RedundantParentheses
39   node.set[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
40   node.set[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
41   # rubocop:enable Style/RedundantParentheses
42 end
43
44 template "/etc/network/interfaces" do
45   source "interfaces.erb"
46   owner "root"
47   group "root"
48   mode 0644
49 end
50
51 execute "hostname" do
52   action :nothing
53   command "/bin/hostname -F /etc/hostname"
54 end
55
56 template "/etc/hostname" do
57   source "hostname.erb"
58   owner "root"
59   group "root"
60   mode 0644
61   notifies :run, "execute[hostname]"
62 end
63
64 template "/etc/hosts" do
65   source "hosts.erb"
66   owner "root"
67   group "root"
68   mode 0644
69 end
70
71 link "/etc/resolv.conf" do
72   action :delete
73   link_type :symbolic
74   to "/run/resolvconf/resolv.conf"
75   only_if { File.symlink?("/etc/resolv.conf") }
76 end
77
78 template "/etc/resolv.conf" do
79   source "resolv.conf.erb"
80   owner "root"
81   group "root"
82   mode 0644
83 end
84
85 node.interfaces(:role => :internal) do |interface|
86   if interface[:gateway] && interface[:gateway] != interface[:address]
87     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
88       next unless gateway[:openvpn]
89
90       gateway[:openvpn][:tunnels].each_value do |tunnel|
91         if tunnel[:peer][:address] # ~FC023
92           route tunnel[:peer][:address] do
93             netmask "255.255.255.255"
94             gateway interface[:gateway]
95             device interface[:interface]
96           end
97         end
98
99         next unless tunnel[:peer][:networks]
100
101         tunnel[:peer][:networks].each do |network|
102           route network[:address] do
103             netmask network[:netmask]
104             gateway interface[:gateway]
105             device interface[:interface]
106           end
107         end
108       end
109     end
110   end
111 end
112
113 zones = {}
114
115 search(:node, "networking:interfaces").collect do |n|
116   next if n[:fqdn] == node[:fqdn]
117
118   n.interfaces.each do |interface|
119     next unless interface[:role] == "external" && interface[:zone]
120
121     zones[interface[:zone]] ||= {}
122     zones[interface[:zone]][interface[:family]] ||= []
123     zones[interface[:zone]][interface[:family]] << interface[:address]
124   end
125 end
126
127 package "shorewall"
128
129 service "shorewall" do
130   action [:enable, :start]
131   supports :restart => true
132   status_command "shorewall status"
133 end
134
135 template "/etc/default/shorewall" do
136   source "shorewall-default.erb"
137   owner "root"
138   group "root"
139   mode 0644
140   notifies :restart, "service[shorewall]"
141 end
142
143 template "/etc/shorewall/shorewall.conf" do
144   source "shorewall.conf.erb"
145   owner "root"
146   group "root"
147   mode 0644
148   notifies :restart, "service[shorewall]"
149 end
150
151 template "/etc/shorewall/zones" do
152   source "shorewall-zones.erb"
153   owner "root"
154   group "root"
155   mode 0644
156   variables :type => "ipv4"
157   notifies :restart, "service[shorewall]"
158 end
159
160 template "/etc/shorewall/interfaces" do
161   source "shorewall-interfaces.erb"
162   owner "root"
163   group "root"
164   mode 0644
165   notifies :restart, "service[shorewall]"
166 end
167
168 template "/etc/shorewall/hosts" do
169   source "shorewall-hosts.erb"
170   owner "root"
171   group "root"
172   mode 0644
173   variables :zones => zones
174   notifies :restart, "service[shorewall]"
175 end
176
177 template "/etc/shorewall/policy" do
178   source "shorewall-policy.erb"
179   owner "root"
180   group "root"
181   mode 0644
182   notifies :restart, "service[shorewall]"
183 end
184
185 template "/etc/shorewall/rules" do
186   source "shorewall-rules.erb"
187   owner "root"
188   group "root"
189   mode 0644
190   variables :rules => []
191   notifies :restart, "service[shorewall]"
192 end
193
194 template "/etc/logrotate.d/shorewall" do
195   source "logrotate.shorewall.erb"
196   owner "root"
197   group "root"
198   mode 0644
199   variables :name => "shorewall"
200 end
201
202 firewall_rule "limit-icmp-echo" do
203   action :accept
204   family :inet
205   source "net"
206   dest "fw"
207   proto "icmp"
208   dest_ports "echo-request"
209   rate_limit "s:1/sec:5"
210 end
211
212 %w(ucl ic bm).each do |zone|
213   firewall_rule "accept-openvpn-#{zone}" do
214     action :accept
215     family :inet
216     source zone
217     dest "fw"
218     proto "udp"
219     dest_ports "1194:1196"
220     source_ports "1194:1196"
221   end
222 end
223
224 if node[:roles].include?("gateway")
225   template "/etc/shorewall/masq" do
226     source "shorewall-masq.erb"
227     owner "root"
228     group "root"
229     mode 0644
230     notifies :restart, "service[shorewall]"
231   end
232 else
233   file "/etc/shorewall/masq" do
234     action :delete
235     notifies :restart, "service[shorewall]"
236   end
237 end
238
239 unless node.interfaces(:family => :inet6).empty?
240   package "shorewall6"
241
242   service "shorewall6" do
243     action [:enable, :start]
244     supports :restart => true
245     status_command "shorewall6 status"
246   end
247
248   template "/etc/default/shorewall6" do
249     source "shorewall-default.erb"
250     owner "root"
251     group "root"
252     mode 0644
253     notifies :restart, "service[shorewall6]"
254   end
255
256   template "/etc/shorewall6/shorewall6.conf" do
257     source "shorewall6.conf.erb"
258     owner "root"
259     group "root"
260     mode 0644
261     notifies :restart, "service[shorewall6]"
262   end
263
264   template "/etc/shorewall6/zones" do
265     source "shorewall-zones.erb"
266     owner "root"
267     group "root"
268     mode 0644
269     variables :type => "ipv6"
270     notifies :restart, "service[shorewall6]"
271   end
272
273   template "/etc/shorewall6/interfaces" do
274     source "shorewall6-interfaces.erb"
275     owner "root"
276     group "root"
277     mode 0644
278     notifies :restart, "service[shorewall6]"
279   end
280
281   template "/etc/shorewall6/hosts" do
282     source "shorewall6-hosts.erb"
283     owner "root"
284     group "root"
285     mode 0644
286     variables :zones => zones
287     notifies :restart, "service[shorewall6]"
288   end
289
290   template "/etc/shorewall6/policy" do
291     source "shorewall-policy.erb"
292     owner "root"
293     group "root"
294     mode 0644
295     notifies :restart, "service[shorewall6]"
296   end
297
298   template "/etc/shorewall6/rules" do
299     source "shorewall-rules.erb"
300     owner "root"
301     group "root"
302     mode 0644
303     variables :rules => []
304     notifies :restart, "service[shorewall6]"
305   end
306
307   template "/etc/logrotate.d/shorewall6" do
308     source "logrotate.shorewall.erb"
309     owner "root"
310     group "root"
311     mode 0644
312     variables :name => "shorewall6"
313   end
314
315   firewall_rule "limit-icmp6-echo" do
316     action :accept
317     family :inet6
318     source "net"
319     dest "fw"
320     proto "ipv6-icmp"
321     dest_ports "echo-request"
322     rate_limit "s:1/sec:5"
323   end
324 end
325
326 firewall_rule "accept-http" do
327   action :accept
328   source "net"
329   dest "fw"
330   proto "tcp:syn"
331   dest_ports "http"
332 end
333
334 firewall_rule "accept-https" do
335   action :accept
336   source "net"
337   dest "fw"
338   proto "tcp:syn"
339   dest_ports "https"
340 end