cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook Name:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright 2010, OpenStreetMap Foundation.
   6 # Copyright 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 netplan = {
  27   "network" => {
  28     "version" => 2,
  29     "renderer" => "networkd",
  30     "ethernets" => {},
  31     "bonds" => {},
  32     "vlans" => {}
  33   }
  34 }
  35
  36 node[:networking][:interfaces].each do |name, interface|
  37   if interface[:interface]
  38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  39       if role[interface[:family]]
  40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  42       end
  43
  44       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  45       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  46     end
  47
  48     prefix = node[:networking][:interfaces][name][:prefix]
  49
  50     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  51     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  52
  53     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  54                    netplan["network"]["vlans"][interface[:interface]] ||= {
  55                      "id" => Regexp.last_match(2).to_i,
  56                      "link" => Regexp.last_match(1),
  57                      "accept-ra" => false,
  58                      "addresses" => [],
  59                      "routes" => []
  60                    }
  61                  elsif interface[:interface] =~ /^bond\d+$/
  62                    netplan["network"]["bonds"][interface[:interface]] ||= {
  63                      "accept-ra" => false,
  64                      "addresses" => [],
  65                      "routes" => []
  66                    }
  67                  else
  68                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  69                      "accept-ra" => false,
  70                      "addresses" => [],
  71                      "routes" => []
  72                    }
  73                  end
  74
  75     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  76
  77     if interface[:bond]
  78       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  79
  80       deviceplan["parameters"] = {
  81         "mode" => interface[:bond][:mode] || "active-backup",
  82         "primary" => interface[:bond][:slaves].first,
  83         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  84         "down-delay" => interface[:bond][:downdelay] || 200,
  85         "up-delay" => interface[:bond][:updelay] || 200
  86       }
  87
  88       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
  89       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
  90     end
  91
  92     if interface[:gateway]
  93       if interface[:family] == "inet"
  94         default_route = "0.0.0.0/0"
  95       elsif interface[:family] == "inet6"
  96         default_route = "::/0"
  97       end
  98
  99       deviceplan["routes"].push(
 100         "to" => default_route,
 101         "via" => interface[:gateway],
 102         "metric" => interface[:metric],
 103         "on-link" => true
 104       )
 105
 106       # This ordering relies on systemd-networkd adding routes
 107       # in reverse order and will need moving before the previous
 108       # route once that is fixed:
 109       #
 110       # https://github.com/systemd/systemd/issues/5430
 111       # https://github.com/systemd/systemd/pull/10938
 112       if interface[:family] == "inet6" &&
 113          !interface[:network].include?(interface[:gateway]) &&
 114          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 115         deviceplan["routes"].push(
 116           "to" => interface[:gateway],
 117           "scope" => "link"
 118         )
 119       end
 120     end
 121   else
 122     node.rm(:networking, :interfaces, name)
 123   end
 124 end
 125
 126 netplan["network"]["bonds"].each_value do |bond|
 127   bond["interfaces"].each do |interface|
 128     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 129   end
 130 end
 131
 132 netplan["network"]["vlans"].each_value do |vlan|
 133   unless vlan["link"] =~ /^bond\d+$/
 134     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 135   end
 136 end
 137
 138 file "/etc/netplan/01-netcfg.yaml" do
 139   action :delete
 140 end
 141
 142 file "/etc/netplan/50-cloud-init.yaml" do
 143   action :delete
 144 end
 145
 146 file "/etc/netplan/99-chef.yaml" do
 147   owner "root"
 148   group "root"
 149   mode 0o644
 150   content YAML.dump(netplan)
 151 end
 152
 153 package "cloud-init" do
 154   action :purge
 155 end
 156
 157 execute "hostname" do
 158   action :nothing
 159   command "/bin/hostname -F /etc/hostname"
 160 end
 161
 162 template "/etc/hostname" do
 163   source "hostname.erb"
 164   owner "root"
 165   group "root"
 166   mode 0o644
 167   notifies :run, "execute[hostname]"
 168 end
 169
 170 template "/etc/hosts" do
 171   source "hosts.erb"
 172   owner "root"
 173   group "root"
 174   mode 0o644
 175 end
 176
 177 service "systemd-resolved" do
 178   action [:enable, :start]
 179 end
 180
 181 directory "/etc/systemd/resolved.conf.d" do
 182   owner "root"
 183   group "root"
 184   mode 0o755
 185 end
 186
 187 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 188   source "resolved.conf.erb"
 189   owner "root"
 190   group "root"
 191   mode 0o644
 192   notifies :restart, "service[systemd-resolved]"
 193 end
 194
 195 node.interfaces(:role => :internal) do |interface|
 196   if interface[:gateway] && interface[:gateway] != interface[:address]
 197     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 198       next unless gateway[:openvpn]
 199
 200       gateway[:openvpn][:tunnels].each_value do |tunnel|
 201         if tunnel[:peer][:address] # ~FC023
 202           route tunnel[:peer][:address] do
 203             netmask "255.255.255.255"
 204             gateway interface[:gateway]
 205             device interface[:interface]
 206           end
 207         end
 208
 209         next unless tunnel[:peer][:networks]
 210
 211         tunnel[:peer][:networks].each do |network|
 212           route network[:address] do
 213             netmask network[:netmask]
 214             gateway interface[:gateway]
 215             device interface[:interface]
 216           end
 217         end
 218       end
 219     end
 220   end
 221 end
 222
 223 zones = {}
 224
 225 search(:node, "networking:interfaces").collect do |n|
 226   next if n[:fqdn] == node[:fqdn]
 227
 228   n.interfaces.each do |interface|
 229     next unless interface[:role] == "external" && interface[:zone]
 230
 231     zones[interface[:zone]] ||= {}
 232     zones[interface[:zone]][interface[:family]] ||= []
 233     zones[interface[:zone]][interface[:family]] << interface[:address]
 234   end
 235 end
 236
 237 package "shorewall"
 238
 239 template "/etc/default/shorewall" do
 240   source "shorewall-default.erb"
 241   owner "root"
 242   group "root"
 243   mode 0o644
 244   notifies :restart, "service[shorewall]"
 245 end
 246
 247 template "/etc/shorewall/shorewall.conf" do
 248   source "shorewall.conf.erb"
 249   owner "root"
 250   group "root"
 251   mode 0o644
 252   notifies :restart, "service[shorewall]"
 253 end
 254
 255 template "/etc/shorewall/zones" do
 256   source "shorewall-zones.erb"
 257   owner "root"
 258   group "root"
 259   mode 0o644
 260   variables :type => "ipv4"
 261   notifies :restart, "service[shorewall]"
 262 end
 263
 264 template "/etc/shorewall/interfaces" do
 265   source "shorewall-interfaces.erb"
 266   owner "root"
 267   group "root"
 268   mode 0o644
 269   notifies :restart, "service[shorewall]"
 270 end
 271
 272 template "/etc/shorewall/hosts" do
 273   source "shorewall-hosts.erb"
 274   owner "root"
 275   group "root"
 276   mode 0o644
 277   variables :zones => zones
 278   notifies :restart, "service[shorewall]"
 279 end
 280
 281 template "/etc/shorewall/conntrack" do
 282   source "shorewall-conntrack.erb"
 283   owner "root"
 284   group "root"
 285   mode 0o644
 286   notifies :restart, "service[shorewall]"
 287   only_if { node[:networking][:firewall][:raw] }
 288 end
 289
 290 template "/etc/shorewall/policy" do
 291   source "shorewall-policy.erb"
 292   owner "root"
 293   group "root"
 294   mode 0o644
 295   notifies :restart, "service[shorewall]"
 296 end
 297
 298 template "/etc/shorewall/rules" do
 299   source "shorewall-rules.erb"
 300   owner "root"
 301   group "root"
 302   mode 0o644
 303   variables :family => "inet"
 304   notifies :restart, "service[shorewall]"
 305 end
 306
 307 service "shorewall" do
 308   action [:enable, :start]
 309   supports :restart => true
 310   status_command "shorewall status"
 311 end
 312
 313 template "/etc/logrotate.d/shorewall" do
 314   source "logrotate.shorewall.erb"
 315   owner "root"
 316   group "root"
 317   mode 0o644
 318   variables :name => "shorewall"
 319 end
 320
 321 firewall_rule "limit-icmp-echo" do
 322   action :accept
 323   family :inet
 324   source "net"
 325   dest "fw"
 326   proto "icmp"
 327   dest_ports "echo-request"
 328   rate_limit "s:1/sec:5"
 329 end
 330
 331 %w[ucl ams bm].each do |zone|
 332   firewall_rule "accept-openvpn-#{zone}" do
 333     action :accept
 334     source zone
 335     dest "fw"
 336     proto "udp"
 337     dest_ports "1194:1197"
 338     source_ports "1194:1197"
 339   end
 340 end
 341
 342 if node[:roles].include?("gateway")
 343   template "/etc/shorewall/masq" do
 344     source "shorewall-masq.erb"
 345     owner "root"
 346     group "root"
 347     mode 0o644
 348     notifies :restart, "service[shorewall]"
 349   end
 350 else
 351   file "/etc/shorewall/masq" do
 352     action :delete
 353     notifies :restart, "service[shorewall]"
 354   end
 355 end
 356
 357 unless node.interfaces(:family => :inet6).empty?
 358   package "shorewall6"
 359
 360   template "/etc/default/shorewall6" do
 361     source "shorewall-default.erb"
 362     owner "root"
 363     group "root"
 364     mode 0o644
 365     notifies :restart, "service[shorewall6]"
 366   end
 367
 368   template "/etc/shorewall6/shorewall6.conf" do
 369     source "shorewall6.conf.erb"
 370     owner "root"
 371     group "root"
 372     mode 0o644
 373     notifies :restart, "service[shorewall6]"
 374   end
 375
 376   template "/etc/shorewall6/zones" do
 377     source "shorewall-zones.erb"
 378     owner "root"
 379     group "root"
 380     mode 0o644
 381     variables :type => "ipv6"
 382     notifies :restart, "service[shorewall6]"
 383   end
 384
 385   template "/etc/shorewall6/interfaces" do
 386     source "shorewall6-interfaces.erb"
 387     owner "root"
 388     group "root"
 389     mode 0o644
 390     notifies :restart, "service[shorewall6]"
 391   end
 392
 393   template "/etc/shorewall6/hosts" do
 394     source "shorewall6-hosts.erb"
 395     owner "root"
 396     group "root"
 397     mode 0o644
 398     variables :zones => zones
 399     notifies :restart, "service[shorewall6]"
 400   end
 401
 402   template "/etc/shorewall6/conntrack" do
 403     source "shorewall-conntrack.erb"
 404     owner "root"
 405     group "root"
 406     mode 0o644
 407     notifies :restart, "service[shorewall6]"
 408     only_if { node[:networking][:firewall][:raw] }
 409   end
 410
 411   template "/etc/shorewall6/policy" do
 412     source "shorewall-policy.erb"
 413     owner "root"
 414     group "root"
 415     mode 0o644
 416     notifies :restart, "service[shorewall6]"
 417   end
 418
 419   template "/etc/shorewall6/rules" do
 420     source "shorewall-rules.erb"
 421     owner "root"
 422     group "root"
 423     mode 0o644
 424     variables :family => "inet6"
 425     notifies :restart, "service[shorewall6]"
 426   end
 427
 428   service "shorewall6" do
 429     action [:enable, :start]
 430     supports :restart => true
 431     status_command "shorewall6 status"
 432   end
 433
 434   template "/etc/logrotate.d/shorewall6" do
 435     source "logrotate.shorewall.erb"
 436     owner "root"
 437     group "root"
 438     mode 0o644
 439     variables :name => "shorewall6"
 440   end
 441
 442   firewall_rule "limit-icmp6-echo" do
 443     action :accept
 444     family :inet6
 445     source "net"
 446     dest "fw"
 447     proto "ipv6-icmp"
 448     dest_ports "echo-request"
 449     rate_limit "s:1/sec:5"
 450   end
 451 end
 452
 453 firewall_rule "accept-http" do
 454   action :accept
 455   source "net"
 456   dest "fw"
 457   proto "tcp:syn"
 458   dest_ports "http"
 459   rate_limit node[:networking][:firewall][:http_rate_limit]
 460   connection_limit node[:networking][:firewall][:http_connection_limit]
 461 end
 462
 463 firewall_rule "accept-https" do
 464   action :accept
 465   source "net"
 466   dest "fw"
 467   proto "tcp:syn"
 468   dest_ports "https"
 469   rate_limit node[:networking][:firewall][:http_rate_limit]
 470   connection_limit node[:networking][:firewall][:http_connection_limit]
 471 end