cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 package "netplan.io"
  29
  30 netplan = {
  31   "network" => {
  32     "version" => 2,
  33     "renderer" => "networkd",
  34     "ethernets" => {},
  35     "bonds" => {},
  36     "vlans" => {}
  37   }
  38 }
  39
  40 node[:networking][:interfaces].each do |name, interface|
  41   if interface[:interface]
  42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  43       if role[interface[:family]]
  44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  47       end
  48
  49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  51     end
  52
  53     if interface[:address]
  54       prefix = node[:networking][:interfaces][name][:prefix]
  55
  56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  58     end
  59
  60     interface = node[:networking][:interfaces][name]
  61
  62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  63                    netplan["network"]["vlans"][interface[:interface]] ||= {
  64                      "id" => Regexp.last_match(2).to_i,
  65                      "link" => Regexp.last_match(1),
  66                      "accept-ra" => false,
  67                      "addresses" => [],
  68                      "routes" => []
  69                    }
  70                  elsif interface[:interface] =~ /^bond\d+$/
  71                    netplan["network"]["bonds"][interface[:interface]] ||= {
  72                      "accept-ra" => false,
  73                      "addresses" => [],
  74                      "routes" => []
  75                    }
  76                  else
  77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  78                      "accept-ra" => false,
  79                      "addresses" => [],
  80                      "routes" => []
  81                    }
  82                  end
  83
  84     if interface[:address]
  85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  86     end
  87
  88     if interface[:mtu]
  89       deviceplan["mtu"] = interface[:mtu]
  90     end
  91
  92     if interface[:bond]
  93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  94
  95       deviceplan["parameters"] = {
  96         "mode" => interface[:bond][:mode] || "active-backup",
  97         "primary" => interface[:bond][:slaves].first,
  98         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  99         "down-delay" => interface[:bond][:downdelay] || 200,
 100         "up-delay" => interface[:bond][:updelay] || 200
 101       }
 102
 103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 105     end
 106
 107     if interface[:gateway]
 108       if interface[:family] == "inet"
 109         default_route = "0.0.0.0/0"
 110       elsif interface[:family] == "inet6"
 111         default_route = "::/0"
 112       end
 113
 114       deviceplan["routes"].push(
 115         "to" => default_route,
 116         "via" => interface[:gateway],
 117         "metric" => interface[:metric],
 118         "on-link" => true
 119       )
 120
 121       # This ordering relies on systemd-networkd adding routes
 122       # in reverse order and will need moving before the previous
 123       # route once that is fixed:
 124       #
 125       # https://github.com/systemd/systemd/issues/5430
 126       # https://github.com/systemd/systemd/pull/10938
 127       if interface[:family] == "inet6" &&
 128          !interface[:network].include?(interface[:gateway]) &&
 129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 130         deviceplan["routes"].push(
 131           "to" => interface[:gateway],
 132           "scope" => "link"
 133         )
 134       end
 135
 136       if interface[:role] == "internal" && interface[:gateway] != interface[:address]
 137         search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 138           next unless gateway[:openvpn]
 139
 140           gateway[:openvpn][:tunnels].each_value do |tunnel|
 141             if tunnel[:peer][:address]
 142               deviceplan["routes"].push(
 143                 "to" => "#{tunnel[:peer][:address]}/32",
 144                 "via" => interface[:gateway]
 145               )
 146
 147               route tunnel[:peer][:address] do
 148                 netmask "255.255.255.255"
 149                 gateway interface[:gateway]
 150                 device interface[:interface]
 151               end
 152             end
 153
 154             next unless tunnel[:peer][:networks]
 155
 156             tunnel[:peer][:networks].each do |network|
 157               prefix = IPAddr.new("#{network[:address]}/#{network[:netmask]}").prefix
 158
 159               deviceplan["routes"].push(
 160                 "to" => "#{network[:address]}/#{prefix}",
 161                 "via" => interface[:gateway]
 162               )
 163
 164               route network[:address] do
 165                 netmask network[:netmask]
 166                 gateway interface[:gateway]
 167                 device interface[:interface]
 168               end
 169             end
 170           end
 171         end
 172       end
 173     end
 174
 175     if interface[:routes]
 176       interface[:routes].each do |to, parameters|
 177         route = {
 178           "to" => to
 179         }
 180
 181         route["type"] = parameters[:type] if parameters[:type]
 182         route["via"] = parameters[:via] if parameters[:via]
 183         route["metric"] = parameters[:metric] if parameters[:metric]
 184
 185         deviceplan["routes"].push(route)
 186       end
 187     end
 188   else
 189     node.rm(:networking, :interfaces, name)
 190   end
 191 end
 192
 193 netplan["network"]["bonds"].each_value do |bond|
 194   bond["interfaces"].each do |interface|
 195     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 196   end
 197 end
 198
 199 netplan["network"]["vlans"].each_value do |vlan|
 200   unless vlan["link"] =~ /^bond\d+$/
 201     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 202   end
 203 end
 204
 205 file "/etc/netplan/01-netcfg.yaml" do
 206   action :delete
 207 end
 208
 209 file "/etc/netplan/50-cloud-init.yaml" do
 210   action :delete
 211 end
 212
 213 file "/etc/netplan/99-chef.yaml" do
 214   owner "root"
 215   group "root"
 216   mode "644"
 217   content YAML.dump(netplan)
 218 end
 219
 220 package "cloud-init" do
 221   action :purge
 222 end
 223
 224 if node[:networking][:wireguard][:enabled]
 225   package "wireguard-tools" do
 226     compile_time true
 227   end
 228
 229   directory "/var/lib/systemd/wireguard" do
 230     owner "root"
 231     group "systemd-network"
 232     mode "750"
 233     compile_time true
 234   end
 235
 236   file "/var/lib/systemd/wireguard/private.key" do
 237     action :create_if_missing
 238     owner "root"
 239     group "systemd-network"
 240     mode "640"
 241     content %x{wg genkey}
 242     compile_time true
 243   end
 244
 245   node.default[:networking][:wireguard][:public_key] = %x{wg pubkey < /var/lib/systemd/wireguard/private.key}
 246
 247   file "/var/lib/systemd/wireguard/preshared.key" do
 248     action :create_if_missing
 249     owner "root"
 250     group "systemd-network"
 251     mode "640"
 252     content keys["wireguard"]
 253   end
 254
 255   template "/etc/systemd/network/wireguard.netdev" do
 256     source "wireguard.netdev.erb"
 257     owner "root"
 258     group "root"
 259     mode "644"
 260   end
 261
 262   template "/etc/systemd/network/wireguard.network" do
 263     source "wireguard.network.erb"
 264     owner "root"
 265     group "root"
 266     mode "644"
 267   end
 268
 269   execute "ip-link-delete-wg0" do
 270     action :nothing
 271     command "ip link delete wg0"
 272     subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 273     only_if { ::File.exist?("/sys/class/net/wg0") }
 274   end
 275
 276   execute "networkctl-reload" do
 277     action :nothing
 278     command "networkctl reload"
 279     subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 280     subscribes :run, "template[/etc/systemd/network/wireguard.network]"
 281     not_if { ENV.key?("TEST_KITCHEN") }
 282   end
 283 end
 284
 285 ohai "reload-hostname" do
 286   action :nothing
 287   plugin "hostname"
 288 end
 289
 290 execute "hostnamectl-set-hostname" do
 291   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 292   notifies :reload, "ohai[reload-hostname]"
 293   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 294 end
 295
 296 template "/etc/hosts" do
 297   source "hosts.erb"
 298   owner "root"
 299   group "root"
 300   mode "644"
 301   not_if { ENV["TEST_KITCHEN"] }
 302 end
 303
 304 service "systemd-resolved" do
 305   action [:enable, :start]
 306 end
 307
 308 directory "/etc/systemd/resolved.conf.d" do
 309   owner "root"
 310   group "root"
 311   mode "755"
 312 end
 313
 314 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 315   source "resolved.conf.erb"
 316   owner "root"
 317   group "root"
 318   mode "644"
 319   notifies :restart, "service[systemd-resolved]", :immediately
 320 end
 321
 322 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 323   mount "/etc/resolv.conf" do
 324     action :umount
 325     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
 326   end
 327 end
 328
 329 link "/etc/resolv.conf" do
 330   to "../run/systemd/resolve/stub-resolv.conf"
 331 end
 332
 333 zones = {}
 334
 335 search(:node, "networking:interfaces").collect do |n|
 336   next if n[:fqdn] == node[:fqdn]
 337
 338   n.interfaces.each do |interface|
 339     next unless interface[:role] == "external" && interface[:zone]
 340
 341     zones[interface[:zone]] ||= {}
 342     zones[interface[:zone]][interface[:family]] ||= []
 343     zones[interface[:zone]][interface[:family]] << interface[:address]
 344   end
 345 end
 346
 347 package "shorewall"
 348
 349 template "/etc/default/shorewall" do
 350   source "shorewall-default.erb"
 351   owner "root"
 352   group "root"
 353   mode "644"
 354   notifies :restart, "service[shorewall]"
 355 end
 356
 357 template "/etc/shorewall/shorewall.conf" do
 358   source "shorewall.conf.erb"
 359   owner "root"
 360   group "root"
 361   mode "644"
 362   notifies :restart, "service[shorewall]"
 363 end
 364
 365 template "/etc/shorewall/zones" do
 366   source "shorewall-zones.erb"
 367   owner "root"
 368   group "root"
 369   mode "644"
 370   variables :type => "ipv4"
 371   notifies :restart, "service[shorewall]"
 372 end
 373
 374 template "/etc/shorewall/interfaces" do
 375   source "shorewall-interfaces.erb"
 376   owner "root"
 377   group "root"
 378   mode "644"
 379   notifies :restart, "service[shorewall]"
 380 end
 381
 382 template "/etc/shorewall/hosts" do
 383   source "shorewall-hosts.erb"
 384   owner "root"
 385   group "root"
 386   mode "644"
 387   variables :zones => zones
 388   notifies :restart, "service[shorewall]"
 389 end
 390
 391 template "/etc/shorewall/conntrack" do
 392   source "shorewall-conntrack.erb"
 393   owner "root"
 394   group "root"
 395   mode "644"
 396   notifies :restart, "service[shorewall]"
 397   only_if { node[:networking][:firewall][:raw] }
 398 end
 399
 400 template "/etc/shorewall/policy" do
 401   source "shorewall-policy.erb"
 402   owner "root"
 403   group "root"
 404   mode "644"
 405   notifies :restart, "service[shorewall]"
 406 end
 407
 408 template "/etc/shorewall/rules" do
 409   action :nothing
 410   source "shorewall-rules.erb"
 411   owner "root"
 412   group "root"
 413   mode "644"
 414   variables :family => "inet"
 415   notifies :restart, "service[shorewall]"
 416 end
 417
 418 notify_group "shorewall-rules" do
 419   action :run
 420   notifies :create, "template[/etc/shorewall/rules]"
 421 end
 422
 423 if node[:networking][:firewall][:enabled]
 424   service "shorewall" do
 425     action [:enable, :start]
 426     supports :restart => true
 427     status_command "shorewall status"
 428   end
 429 else
 430   service "shorewall" do
 431     action [:disable, :stop]
 432     supports :restart => true
 433     status_command "shorewall status"
 434   end
 435 end
 436
 437 template "/etc/logrotate.d/shorewall" do
 438   source "logrotate.shorewall.erb"
 439   owner "root"
 440   group "root"
 441   mode "644"
 442   variables :name => "shorewall"
 443 end
 444
 445 firewall_rule "limit-icmp-echo" do
 446   action :accept
 447   family :inet
 448   source "net"
 449   dest "fw"
 450   proto "icmp"
 451   dest_ports "echo-request"
 452   rate_limit "s:1/sec:5"
 453 end
 454
 455 %w[ucl ams bm].each do |zone|
 456   firewall_rule "accept-openvpn-#{zone}" do
 457     action :accept
 458     source zone
 459     dest "fw"
 460     proto "udp"
 461     dest_ports "1194:1197"
 462     source_ports "1194:1197"
 463   end
 464 end
 465
 466 if node[:networking][:wireguard][:enabled]
 467   firewall_rule "accept-wireguard" do
 468     action :accept
 469     source "osm"
 470     dest "fw"
 471     proto "udp"
 472     dest_ports "51820"
 473     source_ports "51820"
 474   end
 475 end
 476
 477 if node[:roles].include?("gateway")
 478   template "/etc/shorewall/masq" do
 479     source "shorewall-masq.erb"
 480     owner "root"
 481     group "root"
 482     mode "644"
 483     notifies :restart, "service[shorewall]"
 484   end
 485 else
 486   file "/etc/shorewall/masq" do
 487     action :delete
 488     notifies :restart, "service[shorewall]"
 489   end
 490 end
 491
 492 unless node.interfaces(:family => :inet6).empty?
 493   package "shorewall6"
 494
 495   template "/etc/default/shorewall6" do
 496     source "shorewall-default.erb"
 497     owner "root"
 498     group "root"
 499     mode "644"
 500     notifies :restart, "service[shorewall6]"
 501   end
 502
 503   template "/etc/shorewall6/shorewall6.conf" do
 504     source "shorewall6.conf.erb"
 505     owner "root"
 506     group "root"
 507     mode "644"
 508     notifies :restart, "service[shorewall6]"
 509   end
 510
 511   template "/etc/shorewall6/zones" do
 512     source "shorewall-zones.erb"
 513     owner "root"
 514     group "root"
 515     mode "644"
 516     variables :type => "ipv6"
 517     notifies :restart, "service[shorewall6]"
 518   end
 519
 520   template "/etc/shorewall6/interfaces" do
 521     source "shorewall6-interfaces.erb"
 522     owner "root"
 523     group "root"
 524     mode "644"
 525     notifies :restart, "service[shorewall6]"
 526   end
 527
 528   template "/etc/shorewall6/hosts" do
 529     source "shorewall6-hosts.erb"
 530     owner "root"
 531     group "root"
 532     mode "644"
 533     variables :zones => zones
 534     notifies :restart, "service[shorewall6]"
 535   end
 536
 537   template "/etc/shorewall6/conntrack" do
 538     source "shorewall-conntrack.erb"
 539     owner "root"
 540     group "root"
 541     mode "644"
 542     notifies :restart, "service[shorewall6]"
 543     only_if { node[:networking][:firewall][:raw] }
 544   end
 545
 546   template "/etc/shorewall6/policy" do
 547     source "shorewall-policy.erb"
 548     owner "root"
 549     group "root"
 550     mode "644"
 551     notifies :restart, "service[shorewall6]"
 552   end
 553
 554   template "/etc/shorewall6/rules" do
 555     action :nothing
 556     source "shorewall-rules.erb"
 557     owner "root"
 558     group "root"
 559     mode "644"
 560     variables :family => "inet6"
 561     notifies :restart, "service[shorewall6]"
 562   end
 563
 564   notify_group "shorewall6-rules" do
 565     action :run
 566     notifies :create, "template[/etc/shorewall6/rules]"
 567   end
 568
 569   if node[:networking][:firewall][:enabled]
 570     service "shorewall6" do
 571       action [:enable, :start]
 572       supports :restart => true
 573       status_command "shorewall6 status"
 574     end
 575   else
 576     service "shorewall6" do
 577       action [:disable, :stop]
 578       supports :restart => true
 579       status_command "shorewall6 status"
 580     end
 581   end
 582
 583   template "/etc/logrotate.d/shorewall6" do
 584     source "logrotate.shorewall.erb"
 585     owner "root"
 586     group "root"
 587     mode "644"
 588     variables :name => "shorewall6"
 589   end
 590
 591   firewall_rule "limit-icmp6-echo" do
 592     action :accept
 593     family :inet6
 594     source "net"
 595     dest "fw"
 596     proto "ipv6-icmp"
 597     dest_ports "echo-request"
 598     rate_limit "s:1/sec:5"
 599   end
 600 end
 601
 602 firewall_rule "accept-http" do
 603   action :accept
 604   source "net"
 605   dest "fw"
 606   proto "tcp:syn"
 607   dest_ports "http"
 608   rate_limit node[:networking][:firewall][:http_rate_limit]
 609   connection_limit node[:networking][:firewall][:http_connection_limit]
 610 end
 611
 612 firewall_rule "accept-https" do
 613   action :accept
 614   source "net"
 615   dest "fw"
 616   proto "tcp:syn"
 617   dest_ports "https"
 618   rate_limit node[:networking][:firewall][:http_rate_limit]
 619   connection_limit node[:networking][:firewall][:http_connection_limit]
 620 end