cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook Name:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright 2010, OpenStreetMap Foundation.
   6 # Copyright 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 netplan = {
  27   "network" => {
  28     "version" => 2,
  29     "renderer" => "networkd",
  30     "ethernets" => {},
  31     "bonds" => {},
  32     "vlans" => {}
  33   }
  34 }
  35
  36 node[:networking][:interfaces].each do |name, interface|
  37   if interface[:interface]
  38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  39       if role[interface[:family]]
  40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  42       end
  43
  44       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  45       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  46     end
  47
  48     prefix = node[:networking][:interfaces][name][:prefix]
  49
  50     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  51     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  52
  53     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  54                    netplan["network"]["vlans"][interface[:interface]] ||= {
  55                      "id" => Regexp.last_match(2).to_i,
  56                      "link" => Regexp.last_match(1),
  57                      "accept-ra" => false,
  58                      "addresses" => [],
  59                      "routes" => []
  60                    }
  61                  elsif interface[:interface] =~ /^bond\d+$/
  62                    netplan["network"]["bonds"][interface[:interface]] ||= {
  63                      "accept-ra" => false,
  64                      "addresses" => [],
  65                      "routes" => []
  66                    }
  67                  else
  68                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  69                      "accept-ra" => false,
  70                      "addresses" => [],
  71                      "routes" => []
  72                    }
  73                  end
  74
  75     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  76
  77     if interface[:bond]
  78       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  79
  80       deviceplan["parameters"] = {
  81         "mode" => interface[:bond][:mode] || "active-backup",
  82         "primary" => interface[:bond][:slaves].first,
  83         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  84         "down-delay" => interface[:bond][:downdelay] || 200,
  85         "up-delay" => interface[:bond][:updelay] || 200
  86       }
  87
  88       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
  89       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
  90     end
  91
  92     if interface[:gateway]
  93       if interface[:family] == "inet"
  94         default_route = "0.0.0.0/0"
  95       elsif interface[:family] == "inet6"
  96         default_route = "::/0"
  97       end
  98
  99       deviceplan["routes"].push(
 100         "to" => default_route,
 101         "via" => interface[:gateway],
 102         "metric" => interface[:metric],
 103         "on-link" => true
 104       )
 105
 106       # This ordering relies on systemd-networkd adding routes
 107       # in reverse order and will need moving before the previous
 108       # route once that is fixed:
 109       #
 110       # https://github.com/systemd/systemd/issues/5430
 111       # https://github.com/systemd/systemd/pull/10938
 112       if interface[:family] == "inet6" &&
 113          !interface[:network].include?(interface[:gateway]) &&
 114          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 115         deviceplan["routes"].push(
 116           "to" => interface[:gateway],
 117           "scope" => "link"
 118         )
 119       end
 120     end
 121   else
 122     node.rm(:networking, :interfaces, name)
 123   end
 124 end
 125
 126 netplan["network"]["bonds"].each_value do |bond|
 127   bond["interfaces"].each do |interface|
 128     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 129   end
 130 end
 131
 132 netplan["network"]["vlans"].each_value do |vlan|
 133   unless vlan["link"] =~ /^bond\d+$/
 134     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 135   end
 136 end
 137
 138 file "/etc/netplan/01-netcfg.yaml" do
 139   action :delete
 140 end
 141
 142 file "/etc/netplan/50-cloud-init.yaml" do
 143   action :delete
 144 end
 145
 146 file "/etc/netplan/99-chef.yaml" do
 147   owner "root"
 148   group "root"
 149   mode 0o644
 150   content YAML.dump(netplan)
 151 end
 152
 153 package "cloud-init" do
 154   action :purge
 155 end
 156
 157 execute "hostname" do
 158   action :nothing
 159   command "/bin/hostname -F /etc/hostname"
 160 end
 161
 162 template "/etc/hostname" do
 163   source "hostname.erb"
 164   owner "root"
 165   group "root"
 166   mode 0o644
 167   notifies :run, "execute[hostname]"
 168 end
 169
 170 template "/etc/hosts" do
 171   source "hosts.erb"
 172   owner "root"
 173   group "root"
 174   mode 0o644
 175 end
 176
 177 unless node[:networking][:nameservers].empty?
 178   link "/etc/resolv.conf" do
 179     action :delete
 180     link_type :symbolic
 181     to "/run/resolvconf/resolv.conf"
 182     only_if { File.symlink?("/etc/resolv.conf") }
 183   end
 184
 185   template "/etc/resolv.conf" do
 186     source "resolv.conf.erb"
 187     owner "root"
 188     group "root"
 189     mode 0o644
 190   end
 191 end
 192
 193 node.interfaces(:role => :internal) do |interface|
 194   if interface[:gateway] && interface[:gateway] != interface[:address]
 195     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 196       next unless gateway[:openvpn]
 197
 198       gateway[:openvpn][:tunnels].each_value do |tunnel|
 199         if tunnel[:peer][:address] # ~FC023
 200           route tunnel[:peer][:address] do
 201             netmask "255.255.255.255"
 202             gateway interface[:gateway]
 203             device interface[:interface]
 204           end
 205         end
 206
 207         next unless tunnel[:peer][:networks]
 208
 209         tunnel[:peer][:networks].each do |network|
 210           route network[:address] do
 211             netmask network[:netmask]
 212             gateway interface[:gateway]
 213             device interface[:interface]
 214           end
 215         end
 216       end
 217     end
 218   end
 219 end
 220
 221 zones = {}
 222
 223 search(:node, "networking:interfaces").collect do |n|
 224   next if n[:fqdn] == node[:fqdn]
 225
 226   n.interfaces.each do |interface|
 227     next unless interface[:role] == "external" && interface[:zone]
 228
 229     zones[interface[:zone]] ||= {}
 230     zones[interface[:zone]][interface[:family]] ||= []
 231     zones[interface[:zone]][interface[:family]] << interface[:address]
 232   end
 233 end
 234
 235 package "shorewall"
 236
 237 template "/etc/default/shorewall" do
 238   source "shorewall-default.erb"
 239   owner "root"
 240   group "root"
 241   mode 0o644
 242   notifies :restart, "service[shorewall]"
 243 end
 244
 245 template "/etc/shorewall/shorewall.conf" do
 246   source "shorewall.conf.erb"
 247   owner "root"
 248   group "root"
 249   mode 0o644
 250   notifies :restart, "service[shorewall]"
 251 end
 252
 253 template "/etc/shorewall/zones" do
 254   source "shorewall-zones.erb"
 255   owner "root"
 256   group "root"
 257   mode 0o644
 258   variables :type => "ipv4"
 259   notifies :restart, "service[shorewall]"
 260 end
 261
 262 template "/etc/shorewall/interfaces" do
 263   source "shorewall-interfaces.erb"
 264   owner "root"
 265   group "root"
 266   mode 0o644
 267   notifies :restart, "service[shorewall]"
 268 end
 269
 270 template "/etc/shorewall/hosts" do
 271   source "shorewall-hosts.erb"
 272   owner "root"
 273   group "root"
 274   mode 0o644
 275   variables :zones => zones
 276   notifies :restart, "service[shorewall]"
 277 end
 278
 279 template "/etc/shorewall/conntrack" do
 280   source "shorewall-conntrack.erb"
 281   owner "root"
 282   group "root"
 283   mode 0o644
 284   notifies :restart, "service[shorewall]"
 285   only_if { node[:networking][:firewall][:raw] }
 286 end
 287
 288 template "/etc/shorewall/policy" do
 289   source "shorewall-policy.erb"
 290   owner "root"
 291   group "root"
 292   mode 0o644
 293   notifies :restart, "service[shorewall]"
 294 end
 295
 296 template "/etc/shorewall/rules" do
 297   source "shorewall-rules.erb"
 298   owner "root"
 299   group "root"
 300   mode 0o644
 301   variables :family => "inet"
 302   notifies :restart, "service[shorewall]"
 303 end
 304
 305 service "shorewall" do
 306   action [:enable, :start]
 307   supports :restart => true
 308   status_command "shorewall status"
 309 end
 310
 311 template "/etc/logrotate.d/shorewall" do
 312   source "logrotate.shorewall.erb"
 313   owner "root"
 314   group "root"
 315   mode 0o644
 316   variables :name => "shorewall"
 317 end
 318
 319 firewall_rule "limit-icmp-echo" do
 320   action :accept
 321   family :inet
 322   source "net"
 323   dest "fw"
 324   proto "icmp"
 325   dest_ports "echo-request"
 326   rate_limit "s:1/sec:5"
 327 end
 328
 329 %w[ucl ams bm].each do |zone|
 330   firewall_rule "accept-openvpn-#{zone}" do
 331     action :accept
 332     source zone
 333     dest "fw"
 334     proto "udp"
 335     dest_ports "1194:1197"
 336     source_ports "1194:1197"
 337   end
 338 end
 339
 340 if node[:roles].include?("gateway")
 341   template "/etc/shorewall/masq" do
 342     source "shorewall-masq.erb"
 343     owner "root"
 344     group "root"
 345     mode 0o644
 346     notifies :restart, "service[shorewall]"
 347   end
 348 else
 349   file "/etc/shorewall/masq" do
 350     action :delete
 351     notifies :restart, "service[shorewall]"
 352   end
 353 end
 354
 355 unless node.interfaces(:family => :inet6).empty?
 356   package "shorewall6"
 357
 358   template "/etc/default/shorewall6" do
 359     source "shorewall-default.erb"
 360     owner "root"
 361     group "root"
 362     mode 0o644
 363     notifies :restart, "service[shorewall6]"
 364   end
 365
 366   template "/etc/shorewall6/shorewall6.conf" do
 367     source "shorewall6.conf.erb"
 368     owner "root"
 369     group "root"
 370     mode 0o644
 371     notifies :restart, "service[shorewall6]"
 372   end
 373
 374   template "/etc/shorewall6/zones" do
 375     source "shorewall-zones.erb"
 376     owner "root"
 377     group "root"
 378     mode 0o644
 379     variables :type => "ipv6"
 380     notifies :restart, "service[shorewall6]"
 381   end
 382
 383   template "/etc/shorewall6/interfaces" do
 384     source "shorewall6-interfaces.erb"
 385     owner "root"
 386     group "root"
 387     mode 0o644
 388     notifies :restart, "service[shorewall6]"
 389   end
 390
 391   template "/etc/shorewall6/hosts" do
 392     source "shorewall6-hosts.erb"
 393     owner "root"
 394     group "root"
 395     mode 0o644
 396     variables :zones => zones
 397     notifies :restart, "service[shorewall6]"
 398   end
 399
 400   template "/etc/shorewall6/conntrack" do
 401     source "shorewall-conntrack.erb"
 402     owner "root"
 403     group "root"
 404     mode 0o644
 405     notifies :restart, "service[shorewall6]"
 406     only_if { node[:networking][:firewall][:raw] }
 407   end
 408
 409   template "/etc/shorewall6/policy" do
 410     source "shorewall-policy.erb"
 411     owner "root"
 412     group "root"
 413     mode 0o644
 414     notifies :restart, "service[shorewall6]"
 415   end
 416
 417   template "/etc/shorewall6/rules" do
 418     source "shorewall-rules.erb"
 419     owner "root"
 420     group "root"
 421     mode 0o644
 422     variables :family => "inet6"
 423     notifies :restart, "service[shorewall6]"
 424   end
 425
 426   service "shorewall6" do
 427     action [:enable, :start]
 428     supports :restart => true
 429     status_command "shorewall6 status"
 430   end
 431
 432   template "/etc/logrotate.d/shorewall6" do
 433     source "logrotate.shorewall.erb"
 434     owner "root"
 435     group "root"
 436     mode 0o644
 437     variables :name => "shorewall6"
 438   end
 439
 440   firewall_rule "limit-icmp6-echo" do
 441     action :accept
 442     family :inet6
 443     source "net"
 444     dest "fw"
 445     proto "ipv6-icmp"
 446     dest_ports "echo-request"
 447     rate_limit "s:1/sec:5"
 448   end
 449 end
 450
 451 firewall_rule "accept-http" do
 452   action :accept
 453   source "net"
 454   dest "fw"
 455   proto "tcp:syn"
 456   dest_ports "http"
 457   rate_limit node[:networking][:firewall][:http_rate_limit]
 458   connection_limit node[:networking][:firewall][:http_connection_limit]
 459 end
 460
 461 firewall_rule "accept-https" do
 462   action :accept
 463   source "net"
 464   dest "fw"
 465   proto "tcp:syn"
 466   dest_ports "https"
 467   rate_limit node[:networking][:firewall][:http_rate_limit]
 468   connection_limit node[:networking][:firewall][:http_connection_limit]
 469 end