]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Avoid installing a private network default route on gateways
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 keys = data_bag_item("networking", "keys")
27
28 package "netplan.io"
29
30 netplan = {
31   "network" => {
32     "version" => 2,
33     "renderer" => "networkd",
34     "ethernets" => {},
35     "bonds" => {},
36     "vlans" => {}
37   }
38 }
39
40 node[:networking][:interfaces].each do |name, interface|
41   if interface[:interface]
42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
43       if role[interface[:family]]
44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
47       end
48
49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
51     end
52
53     if interface[:address]
54       prefix = node[:networking][:interfaces][name][:prefix]
55
56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
58     end
59
60     interface = node[:networking][:interfaces][name]
61
62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
63                    netplan["network"]["vlans"][interface[:interface]] ||= {
64                      "id" => Regexp.last_match(2).to_i,
65                      "link" => Regexp.last_match(1),
66                      "accept-ra" => false,
67                      "addresses" => [],
68                      "routes" => []
69                    }
70                  elsif interface[:interface] =~ /^bond\d+$/
71                    netplan["network"]["bonds"][interface[:interface]] ||= {
72                      "accept-ra" => false,
73                      "addresses" => [],
74                      "routes" => []
75                    }
76                  else
77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
78                      "accept-ra" => false,
79                      "addresses" => [],
80                      "routes" => []
81                    }
82                  end
83
84     if interface[:address]
85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
86     end
87
88     if interface[:mtu]
89       deviceplan["mtu"] = interface[:mtu]
90     end
91
92     if interface[:bond]
93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
94
95       deviceplan["parameters"] = {
96         "mode" => interface[:bond][:mode] || "active-backup",
97         "primary" => interface[:bond][:slaves].first,
98         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
99         "down-delay" => interface[:bond][:downdelay] || 200,
100         "up-delay" => interface[:bond][:updelay] || 200
101       }
102
103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
105     end
106
107     if interface[:gateway] && interface[:gateway] != interface[:address]
108       if interface[:family] == "inet"
109         default_route = "0.0.0.0/0"
110       elsif interface[:family] == "inet6"
111         default_route = "::/0"
112       end
113
114       deviceplan["routes"].push(
115         "to" => default_route,
116         "via" => interface[:gateway],
117         "metric" => interface[:metric],
118         "on-link" => true
119       )
120
121       # This ordering relies on systemd-networkd adding routes
122       # in reverse order and will need moving before the previous
123       # route once that is fixed:
124       #
125       # https://github.com/systemd/systemd/issues/5430
126       # https://github.com/systemd/systemd/pull/10938
127       if interface[:family] == "inet6" &&
128          !interface[:network].include?(interface[:gateway]) &&
129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
130         deviceplan["routes"].push(
131           "to" => interface[:gateway],
132           "scope" => "link"
133         )
134       end
135     end
136
137     if interface[:routes]
138       interface[:routes].each do |to, parameters|
139         next if parameters[:via] == interface[:address]
140
141         route = {
142           "to" => to
143         }
144
145         route["type"] = parameters[:type] if parameters[:type]
146         route["via"] = parameters[:via] if parameters[:via]
147         route["metric"] = parameters[:metric] if parameters[:metric]
148
149         deviceplan["routes"].push(route)
150       end
151     end
152   else
153     node.rm(:networking, :interfaces, name)
154   end
155 end
156
157 netplan["network"]["bonds"].each_value do |bond|
158   bond["interfaces"].each do |interface|
159     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
160   end
161 end
162
163 netplan["network"]["vlans"].each_value do |vlan|
164   unless vlan["link"] =~ /^bond\d+$/
165     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
166   end
167 end
168
169 file "/etc/netplan/00-installer-config.yaml" do
170   action :delete
171 end
172
173 file "/etc/netplan/01-netcfg.yaml" do
174   action :delete
175 end
176
177 file "/etc/netplan/50-cloud-init.yaml" do
178   action :delete
179 end
180
181 file "/etc/netplan/99-chef.yaml" do
182   owner "root"
183   group "root"
184   mode "644"
185   content YAML.dump(netplan)
186 end
187
188 package "cloud-init" do
189   action :purge
190 end
191
192 if node[:networking][:wireguard][:enabled]
193   wireguard_id = persistent_token("networking", "wireguard")
194
195   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
196
197   package "wireguard-tools" do
198     compile_time true
199   end
200
201   directory "/var/lib/systemd/wireguard" do
202     owner "root"
203     group "systemd-network"
204     mode "750"
205     compile_time true
206   end
207
208   file "/var/lib/systemd/wireguard/private.key" do
209     action :create_if_missing
210     owner "root"
211     group "systemd-network"
212     mode "640"
213     content %x(wg genkey)
214     compile_time true
215   end
216
217   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
218
219   file "/var/lib/systemd/wireguard/preshared.key" do
220     action :create_if_missing
221     owner "root"
222     group "systemd-network"
223     mode "640"
224     content keys["wireguard"]
225   end
226
227   if node[:roles].include?("gateway")
228     search(:node, "roles:gateway") do |gateway|
229       next if gateway.name == node.name
230       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
231
232       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
233         "#{interface[:network]}/#{interface[:prefix]}"
234       end
235
236       node.default[:networking][:wireguard][:peers] << {
237         :public_key => gateway[:networking][:wireguard][:public_key],
238         :allowed_ips => allowed_ips,
239         :endpoint => "#{gateway.name}:51820"
240       }
241     end
242
243     search(:node, "roles:mail OR roles:prometheus") do |server|
244       allowed_ips = server.interfaces(:role => :internal).map do |interface|
245         "#{interface[:network]}/#{interface[:prefix]}"
246       end
247
248       if server[:networking][:private_address]
249         allowed_ips << "#{server[:networking][:private_address]}/32"
250       end
251
252       node.default[:networking][:wireguard][:peers] << {
253         :public_key => server[:networking][:wireguard][:public_key],
254         :allowed_ips => allowed_ips,
255         :endpoint => "#{server.name}:51820"
256       }
257     end
258
259     node.default[:networking][:wireguard][:peers] << {
260       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
261       :allowed_ips => "10.0.16.1/32",
262       :endpoint => "gate.compton.nu:51820"
263     }
264   end
265
266   template "/etc/systemd/network/wireguard.netdev" do
267     source "wireguard.netdev.erb"
268     owner "root"
269     group "systemd-network"
270     mode "640"
271   end
272
273   template "/etc/systemd/network/wireguard.network" do
274     source "wireguard.network.erb"
275     owner "root"
276     group "root"
277     mode "644"
278   end
279
280   if node[:lsb][:release].to_f < 20.04
281     execute "ip-link-delete-wg0" do
282       action :nothing
283       command "ip link delete wg0"
284       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
285       only_if { ::File.exist?("/sys/class/net/wg0") }
286     end
287
288     service "systemd-networkd" do
289       action :nothing
290       subscribes :restart, "template[/etc/systemd/network/wireguard.netdev]"
291       subscribes :restart, "template[/etc/systemd/network/wireguard.network]"
292       not_if { ENV.key?("TEST_KITCHEN") }
293     end
294   else
295     execute "networkctl-delete-wg0" do
296       action :nothing
297       command "networkctl delete wg0"
298       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
299       only_if { ::File.exist?("/sys/class/net/wg0") }
300     end
301
302     execute "networkctl-reload" do
303       action :nothing
304       command "networkctl reload"
305       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
306       subscribes :run, "template[/etc/systemd/network/wireguard.network]"
307       not_if { ENV.key?("TEST_KITCHEN") }
308     end
309   end
310 end
311
312 ohai "reload-hostname" do
313   action :nothing
314   plugin "hostname"
315 end
316
317 execute "hostnamectl-set-hostname" do
318   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
319   notifies :reload, "ohai[reload-hostname]"
320   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
321 end
322
323 template "/etc/hosts" do
324   source "hosts.erb"
325   owner "root"
326   group "root"
327   mode "644"
328   not_if { kitchen? }
329 end
330
331 service "systemd-resolved" do
332   action [:enable, :start]
333 end
334
335 directory "/etc/systemd/resolved.conf.d" do
336   owner "root"
337   group "root"
338   mode "755"
339 end
340
341 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
342   source "resolved.conf.erb"
343   owner "root"
344   group "root"
345   mode "644"
346   notifies :restart, "service[systemd-resolved]", :immediately
347 end
348
349 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
350   execute "umount-resolve-conf" do
351     command "umount -c /etc/resolv.conf"
352   end
353 end
354
355 link "/etc/resolv.conf" do
356   to "../run/systemd/resolve/stub-resolv.conf"
357 end
358
359 zones = {}
360
361 search(:node, "networking:interfaces").collect do |n|
362   next if n[:fqdn] == node[:fqdn]
363
364   n.interfaces.each do |interface|
365     next unless interface[:role] == "external" && interface[:zone]
366
367     zones[interface[:zone]] ||= {}
368     zones[interface[:zone]][interface[:family]] ||= []
369     zones[interface[:zone]][interface[:family]] << interface[:address]
370   end
371 end
372
373 package "shorewall"
374
375 systemd_service "shorewall-docker" do
376   service "shorewall"
377   dropin "docker"
378   exec_stop "/sbin/shorewall $OPTIONS stop"
379   notifies :restart, "service[shorewall]"
380 end
381
382 template "/etc/default/shorewall" do
383   source "shorewall-default.erb"
384   owner "root"
385   group "root"
386   mode "644"
387   notifies :restart, "service[shorewall]"
388 end
389
390 template "/etc/shorewall/shorewall.conf" do
391   source "shorewall.conf.erb"
392   owner "root"
393   group "root"
394   mode "644"
395   notifies :restart, "service[shorewall]"
396 end
397
398 template "/etc/shorewall/zones" do
399   source "shorewall-zones.erb"
400   owner "root"
401   group "root"
402   mode "644"
403   variables :type => "ipv4"
404   notifies :restart, "service[shorewall]"
405 end
406
407 template "/etc/shorewall/interfaces" do
408   source "shorewall-interfaces.erb"
409   owner "root"
410   group "root"
411   mode "644"
412   notifies :restart, "service[shorewall]"
413 end
414
415 template "/etc/shorewall/hosts" do
416   source "shorewall-hosts.erb"
417   owner "root"
418   group "root"
419   mode "644"
420   variables :zones => zones
421   notifies :restart, "service[shorewall]"
422 end
423
424 template "/etc/shorewall/conntrack" do
425   source "shorewall-conntrack.erb"
426   owner "root"
427   group "root"
428   mode "644"
429   notifies :restart, "service[shorewall]"
430   only_if { node[:networking][:firewall][:raw] }
431 end
432
433 template "/etc/shorewall/policy" do
434   source "shorewall-policy.erb"
435   owner "root"
436   group "root"
437   mode "644"
438   notifies :restart, "service[shorewall]"
439 end
440
441 template "/etc/shorewall/rules" do
442   source "shorewall-rules.erb"
443   owner "root"
444   group "root"
445   mode "644"
446   variables :family => "inet"
447   notifies :restart, "service[shorewall]"
448 end
449
450 template "/etc/shorewall/stoppedrules" do
451   source "shorewall-stoppedrules.erb"
452   owner "root"
453   group "root"
454   mode "644"
455   notifies :restart, "service[shorewall]"
456 end
457
458 if node[:networking][:firewall][:enabled]
459   service "shorewall" do
460     action [:enable, :start]
461     supports :restart => true
462     status_command "shorewall status"
463     ignore_failure true
464   end
465 else
466   service "shorewall" do
467     action [:disable, :stop]
468     supports :restart => true
469     status_command "shorewall status"
470     ignore_failure true
471   end
472 end
473
474 template "/etc/logrotate.d/shorewall" do
475   source "logrotate.shorewall.erb"
476   owner "root"
477   group "root"
478   mode "644"
479   variables :name => "shorewall"
480 end
481
482 firewall_rule "limit-icmp-echo" do
483   action :accept
484   family :inet
485   source "net"
486   dest "fw"
487   proto "icmp"
488   dest_ports "echo-request"
489   rate_limit "s:1/sec:5"
490 end
491
492 if node[:networking][:wireguard][:enabled]
493   wireguard_source = if node[:roles].include?("gateway")
494                        "net"
495                      else
496                        "osm"
497                      end
498
499   firewall_rule "accept-wireguard" do
500     action :accept
501     source wireguard_source
502     dest "fw"
503     proto "udp"
504     dest_ports "51820"
505     source_ports "51820"
506   end
507 end
508
509 if node[:roles].include?("gateway")
510   template "/etc/shorewall/masq" do
511     source "shorewall-masq.erb"
512     owner "root"
513     group "root"
514     mode "644"
515     notifies :restart, "service[shorewall]"
516   end
517 else
518   file "/etc/shorewall/masq" do
519     action :delete
520     notifies :restart, "service[shorewall]"
521   end
522 end
523
524 unless node.interfaces(:family => :inet6).empty?
525   package "shorewall6"
526
527   template "/etc/default/shorewall6" do
528     source "shorewall-default.erb"
529     owner "root"
530     group "root"
531     mode "644"
532     notifies :restart, "service[shorewall6]"
533   end
534
535   template "/etc/shorewall6/shorewall6.conf" do
536     source "shorewall6.conf.erb"
537     owner "root"
538     group "root"
539     mode "644"
540     notifies :restart, "service[shorewall6]"
541   end
542
543   template "/etc/shorewall6/zones" do
544     source "shorewall-zones.erb"
545     owner "root"
546     group "root"
547     mode "644"
548     variables :type => "ipv6"
549     notifies :restart, "service[shorewall6]"
550   end
551
552   template "/etc/shorewall6/interfaces" do
553     source "shorewall6-interfaces.erb"
554     owner "root"
555     group "root"
556     mode "644"
557     notifies :restart, "service[shorewall6]"
558   end
559
560   template "/etc/shorewall6/hosts" do
561     source "shorewall6-hosts.erb"
562     owner "root"
563     group "root"
564     mode "644"
565     variables :zones => zones
566     notifies :restart, "service[shorewall6]"
567   end
568
569   template "/etc/shorewall6/conntrack" do
570     source "shorewall-conntrack.erb"
571     owner "root"
572     group "root"
573     mode "644"
574     notifies :restart, "service[shorewall6]"
575     only_if { node[:networking][:firewall][:raw] }
576   end
577
578   template "/etc/shorewall6/policy" do
579     source "shorewall-policy.erb"
580     owner "root"
581     group "root"
582     mode "644"
583     notifies :restart, "service[shorewall6]"
584   end
585
586   template "/etc/shorewall6/rules" do
587     source "shorewall-rules.erb"
588     owner "root"
589     group "root"
590     mode "644"
591     variables :family => "inet6"
592     notifies :restart, "service[shorewall6]"
593   end
594
595   if node[:networking][:firewall][:enabled]
596     service "shorewall6" do
597       action [:enable, :start]
598       supports :restart => true
599       status_command "shorewall6 status"
600       ignore_failure true
601     end
602   else
603     service "shorewall6" do
604       action [:disable, :stop]
605       supports :restart => true
606       status_command "shorewall6 status"
607       ignore_failure true
608     end
609   end
610
611   template "/etc/logrotate.d/shorewall6" do
612     source "logrotate.shorewall.erb"
613     owner "root"
614     group "root"
615     mode "644"
616     variables :name => "shorewall6"
617   end
618
619   firewall_rule "limit-icmp6-echo" do
620     action :accept
621     family :inet6
622     source "net"
623     dest "fw"
624     proto "ipv6-icmp"
625     dest_ports "echo-request"
626     rate_limit "s:1/sec:5"
627   end
628 end
629
630 firewall_rule "accept-http" do
631   action :accept
632   source "net"
633   dest "fw"
634   proto "tcp:syn"
635   dest_ports "http"
636   rate_limit node[:networking][:firewall][:http_rate_limit]
637   connection_limit node[:networking][:firewall][:http_connection_limit]
638 end
639
640 firewall_rule "accept-https" do
641   action :accept
642   source "net"
643   dest "fw"
644   proto "tcp:syn"
645   dest_ports "https"
646   rate_limit node[:networking][:firewall][:http_rate_limit]
647   connection_limit node[:networking][:firewall][:http_connection_limit]
648 end