]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Enable wireguard access for tomh
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 keys = data_bag_item("networking", "keys")
27
28 package "netplan.io"
29
30 netplan = {
31   "network" => {
32     "version" => 2,
33     "renderer" => "networkd",
34     "ethernets" => {},
35     "bonds" => {},
36     "vlans" => {}
37   }
38 }
39
40 node[:networking][:interfaces].each do |name, interface|
41   if interface[:interface]
42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
43       if role[interface[:family]]
44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
47       end
48
49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
51     end
52
53     if interface[:address]
54       prefix = node[:networking][:interfaces][name][:prefix]
55
56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
58     end
59
60     interface = node[:networking][:interfaces][name]
61
62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
63                    netplan["network"]["vlans"][interface[:interface]] ||= {
64                      "id" => Regexp.last_match(2).to_i,
65                      "link" => Regexp.last_match(1),
66                      "accept-ra" => false,
67                      "addresses" => [],
68                      "routes" => []
69                    }
70                  elsif interface[:interface] =~ /^bond\d+$/
71                    netplan["network"]["bonds"][interface[:interface]] ||= {
72                      "accept-ra" => false,
73                      "addresses" => [],
74                      "routes" => []
75                    }
76                  else
77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
78                      "accept-ra" => false,
79                      "addresses" => [],
80                      "routes" => []
81                    }
82                  end
83
84     if interface[:address]
85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
86     end
87
88     if interface[:mtu]
89       deviceplan["mtu"] = interface[:mtu]
90     end
91
92     if interface[:bond]
93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
94
95       deviceplan["parameters"] = {
96         "mode" => interface[:bond][:mode] || "active-backup",
97         "primary" => interface[:bond][:slaves].first,
98         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
99         "down-delay" => interface[:bond][:downdelay] || 200,
100         "up-delay" => interface[:bond][:updelay] || 200
101       }
102
103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
105     end
106
107     if interface[:gateway]
108       if interface[:family] == "inet"
109         default_route = "0.0.0.0/0"
110       elsif interface[:family] == "inet6"
111         default_route = "::/0"
112       end
113
114       deviceplan["routes"].push(
115         "to" => default_route,
116         "via" => interface[:gateway],
117         "metric" => interface[:metric],
118         "on-link" => true
119       )
120
121       # This ordering relies on systemd-networkd adding routes
122       # in reverse order and will need moving before the previous
123       # route once that is fixed:
124       #
125       # https://github.com/systemd/systemd/issues/5430
126       # https://github.com/systemd/systemd/pull/10938
127       if interface[:family] == "inet6" &&
128          !interface[:network].include?(interface[:gateway]) &&
129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
130         deviceplan["routes"].push(
131           "to" => interface[:gateway],
132           "scope" => "link"
133         )
134       end
135     end
136
137     if interface[:routes]
138       interface[:routes].each do |to, parameters|
139         next if parameters[:via] == interface[:address]
140
141         route = {
142           "to" => to
143         }
144
145         route["type"] = parameters[:type] if parameters[:type]
146         route["via"] = parameters[:via] if parameters[:via]
147         route["metric"] = parameters[:metric] if parameters[:metric]
148
149         deviceplan["routes"].push(route)
150       end
151     end
152   else
153     node.rm(:networking, :interfaces, name)
154   end
155 end
156
157 netplan["network"]["bonds"].each_value do |bond|
158   bond["interfaces"].each do |interface|
159     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
160   end
161 end
162
163 netplan["network"]["vlans"].each_value do |vlan|
164   unless vlan["link"] =~ /^bond\d+$/
165     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
166   end
167 end
168
169 file "/etc/netplan/01-netcfg.yaml" do
170   action :delete
171 end
172
173 file "/etc/netplan/50-cloud-init.yaml" do
174   action :delete
175 end
176
177 file "/etc/netplan/99-chef.yaml" do
178   owner "root"
179   group "root"
180   mode "644"
181   content YAML.dump(netplan)
182 end
183
184 package "cloud-init" do
185   action :purge
186 end
187
188 if node[:networking][:wireguard][:enabled]
189   wireguard_id = persistent_token("networking", "wireguard")
190
191   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
192
193   package "wireguard-tools" do
194     compile_time true
195   end
196
197   directory "/var/lib/systemd/wireguard" do
198     owner "root"
199     group "systemd-network"
200     mode "750"
201     compile_time true
202   end
203
204   file "/var/lib/systemd/wireguard/private.key" do
205     action :create_if_missing
206     owner "root"
207     group "systemd-network"
208     mode "640"
209     content %x(wg genkey)
210     compile_time true
211   end
212
213   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
214
215   file "/var/lib/systemd/wireguard/preshared.key" do
216     action :create_if_missing
217     owner "root"
218     group "systemd-network"
219     mode "640"
220     content keys["wireguard"]
221   end
222
223   if node[:roles].include?("gateway")
224     search(:node, "roles:gateway") do |gateway|
225       next if gateway.name == node.name
226       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
227
228       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
229         "#{interface[:network]}/#{interface[:prefix]}"
230       end
231
232       node.default[:networking][:wireguard][:peers] << {
233         :public_key => gateway[:networking][:wireguard][:public_key],
234         :allowed_ips => allowed_ips,
235         :endpoint => "#{gateway.name}:51820"
236       }
237     end
238
239     node.default[:networking][:wireguard][:peers] << {
240       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
241       :allowed_ips => "10.0.16.1/32",
242       :endpoint => "gate.compton.nu:51820"
243     }
244   end
245
246   template "/etc/systemd/network/wireguard.netdev" do
247     source "wireguard.netdev.erb"
248     owner "root"
249     group "systemd-network"
250     mode "640"
251   end
252
253   template "/etc/systemd/network/wireguard.network" do
254     source "wireguard.network.erb"
255     owner "root"
256     group "root"
257     mode "644"
258   end
259
260   if node[:lsb][:release].to_f < 20.04
261     execute "ip-link-delete-wg0" do
262       action :nothing
263       command "ip link delete wg0"
264       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
265       only_if { ::File.exist?("/sys/class/net/wg0") }
266     end
267
268     service "systemd-networkd" do
269       action :nothing
270       subscribes :restart, "template[/etc/systemd/network/wireguard.netdev]"
271       subscribes :restart, "template[/etc/systemd/network/wireguard.network]"
272       not_if { ENV.key?("TEST_KITCHEN") }
273     end
274   else
275     execute "networkctl-delete-wg0" do
276       action :nothing
277       command "networkctl delete wg0"
278       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
279       only_if { ::File.exist?("/sys/class/net/wg0") }
280     end
281
282     execute "networkctl-reload" do
283       action :nothing
284       command "networkctl reload"
285       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
286       subscribes :run, "template[/etc/systemd/network/wireguard.network]"
287       not_if { ENV.key?("TEST_KITCHEN") }
288     end
289   end
290 end
291
292 ohai "reload-hostname" do
293   action :nothing
294   plugin "hostname"
295 end
296
297 execute "hostnamectl-set-hostname" do
298   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
299   notifies :reload, "ohai[reload-hostname]"
300   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
301 end
302
303 template "/etc/hosts" do
304   source "hosts.erb"
305   owner "root"
306   group "root"
307   mode "644"
308   not_if { ENV["TEST_KITCHEN"] }
309 end
310
311 service "systemd-resolved" do
312   action [:enable, :start]
313 end
314
315 directory "/etc/systemd/resolved.conf.d" do
316   owner "root"
317   group "root"
318   mode "755"
319 end
320
321 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
322   source "resolved.conf.erb"
323   owner "root"
324   group "root"
325   mode "644"
326   notifies :restart, "service[systemd-resolved]", :immediately
327 end
328
329 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
330   mount "/etc/resolv.conf" do
331     action :umount
332     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
333   end
334 end
335
336 link "/etc/resolv.conf" do
337   to "../run/systemd/resolve/stub-resolv.conf"
338 end
339
340 zones = {}
341
342 search(:node, "networking:interfaces").collect do |n|
343   next if n[:fqdn] == node[:fqdn]
344
345   n.interfaces.each do |interface|
346     next unless interface[:role] == "external" && interface[:zone]
347
348     zones[interface[:zone]] ||= {}
349     zones[interface[:zone]][interface[:family]] ||= []
350     zones[interface[:zone]][interface[:family]] << interface[:address]
351   end
352 end
353
354 package "shorewall"
355
356 template "/etc/default/shorewall" do
357   source "shorewall-default.erb"
358   owner "root"
359   group "root"
360   mode "644"
361   notifies :restart, "service[shorewall]"
362 end
363
364 template "/etc/shorewall/shorewall.conf" do
365   source "shorewall.conf.erb"
366   owner "root"
367   group "root"
368   mode "644"
369   notifies :restart, "service[shorewall]"
370 end
371
372 template "/etc/shorewall/zones" do
373   source "shorewall-zones.erb"
374   owner "root"
375   group "root"
376   mode "644"
377   variables :type => "ipv4"
378   notifies :restart, "service[shorewall]"
379 end
380
381 template "/etc/shorewall/interfaces" do
382   source "shorewall-interfaces.erb"
383   owner "root"
384   group "root"
385   mode "644"
386   notifies :restart, "service[shorewall]"
387 end
388
389 template "/etc/shorewall/hosts" do
390   source "shorewall-hosts.erb"
391   owner "root"
392   group "root"
393   mode "644"
394   variables :zones => zones
395   notifies :restart, "service[shorewall]"
396 end
397
398 template "/etc/shorewall/conntrack" do
399   source "shorewall-conntrack.erb"
400   owner "root"
401   group "root"
402   mode "644"
403   notifies :restart, "service[shorewall]"
404   only_if { node[:networking][:firewall][:raw] }
405 end
406
407 template "/etc/shorewall/policy" do
408   source "shorewall-policy.erb"
409   owner "root"
410   group "root"
411   mode "644"
412   notifies :restart, "service[shorewall]"
413 end
414
415 template "/etc/shorewall/rules" do
416   action :nothing
417   source "shorewall-rules.erb"
418   owner "root"
419   group "root"
420   mode "644"
421   variables :family => "inet"
422   notifies :restart, "service[shorewall]"
423 end
424
425 notify_group "shorewall-rules" do
426   action :run
427   notifies :create, "template[/etc/shorewall/rules]"
428 end
429
430 if node[:networking][:firewall][:enabled]
431   service "shorewall" do
432     action [:enable, :start]
433     supports :restart => true
434     status_command "shorewall status"
435   end
436 else
437   service "shorewall" do
438     action [:disable, :stop]
439     supports :restart => true
440     status_command "shorewall status"
441   end
442 end
443
444 template "/etc/logrotate.d/shorewall" do
445   source "logrotate.shorewall.erb"
446   owner "root"
447   group "root"
448   mode "644"
449   variables :name => "shorewall"
450 end
451
452 firewall_rule "limit-icmp-echo" do
453   action :accept
454   family :inet
455   source "net"
456   dest "fw"
457   proto "icmp"
458   dest_ports "echo-request"
459   rate_limit "s:1/sec:5"
460 end
461
462 if node[:networking][:wireguard][:enabled]
463   firewall_rule "accept-wireguard" do
464     action :accept
465     source "osm"
466     dest "fw"
467     proto "udp"
468     dest_ports "51820"
469     source_ports "51820"
470   end
471 end
472
473 if node[:roles].include?("gateway")
474   template "/etc/shorewall/masq" do
475     source "shorewall-masq.erb"
476     owner "root"
477     group "root"
478     mode "644"
479     notifies :restart, "service[shorewall]"
480   end
481 else
482   file "/etc/shorewall/masq" do
483     action :delete
484     notifies :restart, "service[shorewall]"
485   end
486 end
487
488 unless node.interfaces(:family => :inet6).empty?
489   package "shorewall6"
490
491   template "/etc/default/shorewall6" do
492     source "shorewall-default.erb"
493     owner "root"
494     group "root"
495     mode "644"
496     notifies :restart, "service[shorewall6]"
497   end
498
499   template "/etc/shorewall6/shorewall6.conf" do
500     source "shorewall6.conf.erb"
501     owner "root"
502     group "root"
503     mode "644"
504     notifies :restart, "service[shorewall6]"
505   end
506
507   template "/etc/shorewall6/zones" do
508     source "shorewall-zones.erb"
509     owner "root"
510     group "root"
511     mode "644"
512     variables :type => "ipv6"
513     notifies :restart, "service[shorewall6]"
514   end
515
516   template "/etc/shorewall6/interfaces" do
517     source "shorewall6-interfaces.erb"
518     owner "root"
519     group "root"
520     mode "644"
521     notifies :restart, "service[shorewall6]"
522   end
523
524   template "/etc/shorewall6/hosts" do
525     source "shorewall6-hosts.erb"
526     owner "root"
527     group "root"
528     mode "644"
529     variables :zones => zones
530     notifies :restart, "service[shorewall6]"
531   end
532
533   template "/etc/shorewall6/conntrack" do
534     source "shorewall-conntrack.erb"
535     owner "root"
536     group "root"
537     mode "644"
538     notifies :restart, "service[shorewall6]"
539     only_if { node[:networking][:firewall][:raw] }
540   end
541
542   template "/etc/shorewall6/policy" do
543     source "shorewall-policy.erb"
544     owner "root"
545     group "root"
546     mode "644"
547     notifies :restart, "service[shorewall6]"
548   end
549
550   template "/etc/shorewall6/rules" do
551     action :nothing
552     source "shorewall-rules.erb"
553     owner "root"
554     group "root"
555     mode "644"
556     variables :family => "inet6"
557     notifies :restart, "service[shorewall6]"
558   end
559
560   notify_group "shorewall6-rules" do
561     action :run
562     notifies :create, "template[/etc/shorewall6/rules]"
563   end
564
565   if node[:networking][:firewall][:enabled]
566     service "shorewall6" do
567       action [:enable, :start]
568       supports :restart => true
569       status_command "shorewall6 status"
570     end
571   else
572     service "shorewall6" do
573       action [:disable, :stop]
574       supports :restart => true
575       status_command "shorewall6 status"
576     end
577   end
578
579   template "/etc/logrotate.d/shorewall6" do
580     source "logrotate.shorewall.erb"
581     owner "root"
582     group "root"
583     mode "644"
584     variables :name => "shorewall6"
585   end
586
587   firewall_rule "limit-icmp6-echo" do
588     action :accept
589     family :inet6
590     source "net"
591     dest "fw"
592     proto "ipv6-icmp"
593     dest_ports "echo-request"
594     rate_limit "s:1/sec:5"
595   end
596 end
597
598 firewall_rule "accept-http" do
599   action :accept
600   source "net"
601   dest "fw"
602   proto "tcp:syn"
603   dest_ports "http"
604   rate_limit node[:networking][:firewall][:http_rate_limit]
605   connection_limit node[:networking][:firewall][:http_connection_limit]
606 end
607
608 firewall_rule "accept-https" do
609   action :accept
610   source "net"
611   dest "fw"
612   proto "tcp:syn"
613   dest_ports "https"
614   rate_limit node[:networking][:firewall][:http_rate_limit]
615   connection_limit node[:networking][:firewall][:http_connection_limit]
616 end