]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Blackhole unreachable Google IPv6 blocks on equinix machines
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 netplan = {
27   "network" => {
28     "version" => 2,
29     "renderer" => "networkd",
30     "ethernets" => {},
31     "bonds" => {},
32     "vlans" => {}
33   }
34 }
35
36 node[:networking][:interfaces].each do |name, interface|
37   if interface[:interface]
38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
39       if role[interface[:family]]
40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
42         node.normal[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
43       end
44
45       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
46       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
47     end
48
49     prefix = node[:networking][:interfaces][name][:prefix]
50
51     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
52     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
53
54     interface = node[:networking][:interfaces][name]
55
56     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
57                    netplan["network"]["vlans"][interface[:interface]] ||= {
58                      "id" => Regexp.last_match(2).to_i,
59                      "link" => Regexp.last_match(1),
60                      "accept-ra" => false,
61                      "addresses" => [],
62                      "routes" => []
63                    }
64                  elsif interface[:interface] =~ /^bond\d+$/
65                    netplan["network"]["bonds"][interface[:interface]] ||= {
66                      "accept-ra" => false,
67                      "addresses" => [],
68                      "routes" => []
69                    }
70                  else
71                    netplan["network"]["ethernets"][interface[:interface]] ||= {
72                      "accept-ra" => false,
73                      "addresses" => [],
74                      "routes" => []
75                    }
76                  end
77
78     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
79
80     if interface[:mtu]
81       deviceplan["mtu"] = interface[:mtu]
82     end
83
84     if interface[:bond]
85       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
86
87       deviceplan["parameters"] = {
88         "mode" => interface[:bond][:mode] || "active-backup",
89         "primary" => interface[:bond][:slaves].first,
90         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
91         "down-delay" => interface[:bond][:downdelay] || 200,
92         "up-delay" => interface[:bond][:updelay] || 200
93       }
94
95       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
96       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
97     end
98
99     if interface[:gateway]
100       if interface[:family] == "inet"
101         default_route = "0.0.0.0/0"
102       elsif interface[:family] == "inet6"
103         default_route = "::/0"
104       end
105
106       deviceplan["routes"].push(
107         "to" => default_route,
108         "via" => interface[:gateway],
109         "metric" => interface[:metric],
110         "on-link" => true
111       )
112
113       # This ordering relies on systemd-networkd adding routes
114       # in reverse order and will need moving before the previous
115       # route once that is fixed:
116       #
117       # https://github.com/systemd/systemd/issues/5430
118       # https://github.com/systemd/systemd/pull/10938
119       if interface[:family] == "inet6" &&
120          !interface[:network].include?(interface[:gateway]) &&
121          !IPAddr.new("fe80::/64").include?(interface[:gateway])
122         deviceplan["routes"].push(
123           "to" => interface[:gateway],
124           "scope" => "link"
125         )
126       end
127     end
128
129     if interface[:routes]
130       interface[:routes].each do |to, parameters|
131         route = {
132           "to" => to
133         }
134
135         route["type"] = parameters[:type] if parameters[:type]
136         route["via"] = parameters[:via] if parameters[:via]
137         route["metric"] = parameters[:metric] if parameters[:metric]
138
139         deviceplan["routes"].push(route)
140       end
141     end
142   else
143     node.rm(:networking, :interfaces, name)
144   end
145 end
146
147 netplan["network"]["bonds"].each_value do |bond|
148   bond["interfaces"].each do |interface|
149     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
150   end
151 end
152
153 netplan["network"]["vlans"].each_value do |vlan|
154   unless vlan["link"] =~ /^bond\d+$/
155     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
156   end
157 end
158
159 file "/etc/netplan/01-netcfg.yaml" do
160   action :delete
161 end
162
163 file "/etc/netplan/50-cloud-init.yaml" do
164   action :delete
165 end
166
167 file "/etc/netplan/99-chef.yaml" do
168   owner "root"
169   group "root"
170   mode 0o644
171   content YAML.dump(netplan)
172 end
173
174 package "cloud-init" do
175   action :purge
176 end
177
178 execute "hostname" do
179   action :nothing
180   command "/bin/hostname -F /etc/hostname"
181 end
182
183 template "/etc/hostname" do
184   source "hostname.erb"
185   owner "root"
186   group "root"
187   mode 0o644
188   notifies :run, "execute[hostname]"
189 end
190
191 template "/etc/hosts" do
192   source "hosts.erb"
193   owner "root"
194   group "root"
195   mode 0o644
196 end
197
198 service "systemd-resolved" do
199   action [:enable, :start]
200 end
201
202 directory "/etc/systemd/resolved.conf.d" do
203   owner "root"
204   group "root"
205   mode 0o755
206 end
207
208 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
209   source "resolved.conf.erb"
210   owner "root"
211   group "root"
212   mode 0o644
213   notifies :restart, "service[systemd-resolved]"
214 end
215
216 if node[:networking][:tcp_fastopen_key]
217   fastopen_keys = data_bag_item("networking", "fastopen")
218
219   node.normal[:sysctl][:tcp_fastopen] = {
220     :comment => "Set shared key for TCP fast open",
221     :parameters => {
222       "net.ipv4.tcp_fastopen_key" => fastopen_keys[node[:networking][:tcp_fastopen_key]]
223     }
224   }
225 end
226
227 node.interfaces(:role => :internal) do |interface|
228   if interface[:gateway] && interface[:gateway] != interface[:address]
229     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
230       next unless gateway[:openvpn]
231
232       gateway[:openvpn][:tunnels].each_value do |tunnel|
233         if tunnel[:peer][:address]
234           route tunnel[:peer][:address] do
235             netmask "255.255.255.255"
236             gateway interface[:gateway]
237             device interface[:interface]
238           end
239         end
240
241         next unless tunnel[:peer][:networks]
242
243         tunnel[:peer][:networks].each do |network|
244           route network[:address] do
245             netmask network[:netmask]
246             gateway interface[:gateway]
247             device interface[:interface]
248           end
249         end
250       end
251     end
252   end
253 end
254
255 zones = {}
256
257 search(:node, "networking:interfaces").collect do |n|
258   next if n[:fqdn] == node[:fqdn]
259
260   n.interfaces.each do |interface|
261     next unless interface[:role] == "external" && interface[:zone]
262
263     zones[interface[:zone]] ||= {}
264     zones[interface[:zone]][interface[:family]] ||= []
265     zones[interface[:zone]][interface[:family]] << interface[:address]
266   end
267 end
268
269 package "shorewall"
270
271 template "/etc/default/shorewall" do
272   source "shorewall-default.erb"
273   owner "root"
274   group "root"
275   mode 0o644
276   notifies :restart, "service[shorewall]"
277 end
278
279 template "/etc/shorewall/shorewall.conf" do
280   source "shorewall.conf.erb"
281   owner "root"
282   group "root"
283   mode 0o644
284   notifies :restart, "service[shorewall]"
285 end
286
287 template "/etc/shorewall/zones" do
288   source "shorewall-zones.erb"
289   owner "root"
290   group "root"
291   mode 0o644
292   variables :type => "ipv4"
293   notifies :restart, "service[shorewall]"
294 end
295
296 template "/etc/shorewall/interfaces" do
297   source "shorewall-interfaces.erb"
298   owner "root"
299   group "root"
300   mode 0o644
301   notifies :restart, "service[shorewall]"
302 end
303
304 template "/etc/shorewall/hosts" do
305   source "shorewall-hosts.erb"
306   owner "root"
307   group "root"
308   mode 0o644
309   variables :zones => zones
310   notifies :restart, "service[shorewall]"
311 end
312
313 template "/etc/shorewall/conntrack" do
314   source "shorewall-conntrack.erb"
315   owner "root"
316   group "root"
317   mode 0o644
318   notifies :restart, "service[shorewall]"
319   only_if { node[:networking][:firewall][:raw] }
320 end
321
322 template "/etc/shorewall/policy" do
323   source "shorewall-policy.erb"
324   owner "root"
325   group "root"
326   mode 0o644
327   notifies :restart, "service[shorewall]"
328 end
329
330 template "/etc/shorewall/rules" do
331   source "shorewall-rules.erb"
332   owner "root"
333   group "root"
334   mode 0o644
335   variables :family => "inet"
336   notifies :restart, "service[shorewall]"
337 end
338
339 service "shorewall" do
340   action [:enable, :start]
341   supports :restart => true
342   status_command "shorewall status"
343 end
344
345 template "/etc/logrotate.d/shorewall" do
346   source "logrotate.shorewall.erb"
347   owner "root"
348   group "root"
349   mode 0o644
350   variables :name => "shorewall"
351 end
352
353 firewall_rule "limit-icmp-echo" do
354   action :accept
355   family :inet
356   source "net"
357   dest "fw"
358   proto "icmp"
359   dest_ports "echo-request"
360   rate_limit "s:1/sec:5"
361 end
362
363 %w[ucl ams bm].each do |zone|
364   firewall_rule "accept-openvpn-#{zone}" do
365     action :accept
366     source zone
367     dest "fw"
368     proto "udp"
369     dest_ports "1194:1197"
370     source_ports "1194:1197"
371   end
372 end
373
374 if node[:roles].include?("gateway")
375   template "/etc/shorewall/masq" do
376     source "shorewall-masq.erb"
377     owner "root"
378     group "root"
379     mode 0o644
380     notifies :restart, "service[shorewall]"
381   end
382 else
383   file "/etc/shorewall/masq" do
384     action :delete
385     notifies :restart, "service[shorewall]"
386   end
387 end
388
389 unless node.interfaces(:family => :inet6).empty?
390   package "shorewall6"
391
392   template "/etc/default/shorewall6" do
393     source "shorewall-default.erb"
394     owner "root"
395     group "root"
396     mode 0o644
397     notifies :restart, "service[shorewall6]"
398   end
399
400   template "/etc/shorewall6/shorewall6.conf" do
401     source "shorewall6.conf.erb"
402     owner "root"
403     group "root"
404     mode 0o644
405     notifies :restart, "service[shorewall6]"
406   end
407
408   template "/etc/shorewall6/zones" do
409     source "shorewall-zones.erb"
410     owner "root"
411     group "root"
412     mode 0o644
413     variables :type => "ipv6"
414     notifies :restart, "service[shorewall6]"
415   end
416
417   template "/etc/shorewall6/interfaces" do
418     source "shorewall6-interfaces.erb"
419     owner "root"
420     group "root"
421     mode 0o644
422     notifies :restart, "service[shorewall6]"
423   end
424
425   template "/etc/shorewall6/hosts" do
426     source "shorewall6-hosts.erb"
427     owner "root"
428     group "root"
429     mode 0o644
430     variables :zones => zones
431     notifies :restart, "service[shorewall6]"
432   end
433
434   template "/etc/shorewall6/conntrack" do
435     source "shorewall-conntrack.erb"
436     owner "root"
437     group "root"
438     mode 0o644
439     notifies :restart, "service[shorewall6]"
440     only_if { node[:networking][:firewall][:raw] }
441   end
442
443   template "/etc/shorewall6/policy" do
444     source "shorewall-policy.erb"
445     owner "root"
446     group "root"
447     mode 0o644
448     notifies :restart, "service[shorewall6]"
449   end
450
451   template "/etc/shorewall6/rules" do
452     source "shorewall-rules.erb"
453     owner "root"
454     group "root"
455     mode 0o644
456     variables :family => "inet6"
457     notifies :restart, "service[shorewall6]"
458   end
459
460   service "shorewall6" do
461     action [:enable, :start]
462     supports :restart => true
463     status_command "shorewall6 status"
464   end
465
466   template "/etc/logrotate.d/shorewall6" do
467     source "logrotate.shorewall.erb"
468     owner "root"
469     group "root"
470     mode 0o644
471     variables :name => "shorewall6"
472   end
473
474   firewall_rule "limit-icmp6-echo" do
475     action :accept
476     family :inet6
477     source "net"
478     dest "fw"
479     proto "ipv6-icmp"
480     dest_ports "echo-request"
481     rate_limit "s:1/sec:5"
482   end
483 end
484
485 firewall_rule "accept-http" do
486   action :accept
487   source "net"
488   dest "fw"
489   proto "tcp:syn"
490   dest_ports "http"
491   rate_limit node[:networking][:firewall][:http_rate_limit]
492   connection_limit node[:networking][:firewall][:http_connection_limit]
493 end
494
495 firewall_rule "accept-https" do
496   action :accept
497   source "net"
498   dest "fw"
499   proto "tcp:syn"
500   dest_ports "https"
501   rate_limit node[:networking][:firewall][:http_rate_limit]
502   connection_limit node[:networking][:firewall][:http_connection_limit]
503 end