]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Disable firewall on lambton
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 package "netplan.io"
27
28 netplan = {
29   "network" => {
30     "version" => 2,
31     "renderer" => "networkd",
32     "ethernets" => {},
33     "bonds" => {},
34     "vlans" => {}
35   }
36 }
37
38 node[:networking][:interfaces].each do |name, interface|
39   if interface[:interface]
40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
41       if role[interface[:family]]
42         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
43         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
44         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
45       end
46
47       node.default[:networking][:interfaces][name][:metric] = role[:metric]
48       node.default[:networking][:interfaces][name][:zone] = role[:zone]
49     end
50
51     if interface[:address]
52       prefix = node[:networking][:interfaces][name][:prefix]
53
54       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
55       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
56     end
57
58     interface = node[:networking][:interfaces][name]
59
60     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
61                    netplan["network"]["vlans"][interface[:interface]] ||= {
62                      "id" => Regexp.last_match(2).to_i,
63                      "link" => Regexp.last_match(1),
64                      "accept-ra" => false,
65                      "addresses" => [],
66                      "routes" => []
67                    }
68                  elsif interface[:interface] =~ /^bond\d+$/
69                    netplan["network"]["bonds"][interface[:interface]] ||= {
70                      "accept-ra" => false,
71                      "addresses" => [],
72                      "routes" => []
73                    }
74                  else
75                    netplan["network"]["ethernets"][interface[:interface]] ||= {
76                      "accept-ra" => false,
77                      "addresses" => [],
78                      "routes" => []
79                    }
80                  end
81
82     if interface[:address]
83       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
84     end
85
86     if interface[:mtu]
87       deviceplan["mtu"] = interface[:mtu]
88     end
89
90     if interface[:bond]
91       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
92
93       deviceplan["parameters"] = {
94         "mode" => interface[:bond][:mode] || "active-backup",
95         "primary" => interface[:bond][:slaves].first,
96         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
97         "down-delay" => interface[:bond][:downdelay] || 200,
98         "up-delay" => interface[:bond][:updelay] || 200
99       }
100
101       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
102       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
103     end
104
105     if interface[:gateway]
106       if interface[:family] == "inet"
107         default_route = "0.0.0.0/0"
108       elsif interface[:family] == "inet6"
109         default_route = "::/0"
110       end
111
112       deviceplan["routes"].push(
113         "to" => default_route,
114         "via" => interface[:gateway],
115         "metric" => interface[:metric],
116         "on-link" => true
117       )
118
119       # This ordering relies on systemd-networkd adding routes
120       # in reverse order and will need moving before the previous
121       # route once that is fixed:
122       #
123       # https://github.com/systemd/systemd/issues/5430
124       # https://github.com/systemd/systemd/pull/10938
125       if interface[:family] == "inet6" &&
126          !interface[:network].include?(interface[:gateway]) &&
127          !IPAddr.new("fe80::/64").include?(interface[:gateway])
128         deviceplan["routes"].push(
129           "to" => interface[:gateway],
130           "scope" => "link"
131         )
132       end
133
134       if interface[:role] == "internal" && interface[:gateway] != interface[:address]
135         search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
136           next unless gateway[:openvpn]
137
138           gateway[:openvpn][:tunnels].each_value do |tunnel|
139             if tunnel[:peer][:address]
140               deviceplan["routes"].push(
141                 "to" => "#{tunnel[:peer][:address]}/32",
142                 "via" => interface[:gateway]
143               )
144
145               route tunnel[:peer][:address] do
146                 netmask "255.255.255.255"
147                 gateway interface[:gateway]
148                 device interface[:interface]
149               end
150             end
151
152             next unless tunnel[:peer][:networks]
153
154             tunnel[:peer][:networks].each do |network|
155               prefix = IPAddr.new("#{network[:address]}/#{network[:netmask]}").prefix
156
157               deviceplan["routes"].push(
158                 "to" => "#{network[:address]}/#{prefix}",
159                 "via" => interface[:gateway]
160               )
161
162               route network[:address] do
163                 netmask network[:netmask]
164                 gateway interface[:gateway]
165                 device interface[:interface]
166               end
167             end
168           end
169         end
170       end
171     end
172
173     if interface[:routes]
174       interface[:routes].each do |to, parameters|
175         route = {
176           "to" => to
177         }
178
179         route["type"] = parameters[:type] if parameters[:type]
180         route["via"] = parameters[:via] if parameters[:via]
181         route["metric"] = parameters[:metric] if parameters[:metric]
182
183         deviceplan["routes"].push(route)
184       end
185     end
186   else
187     node.rm(:networking, :interfaces, name)
188   end
189 end
190
191 netplan["network"]["bonds"].each_value do |bond|
192   bond["interfaces"].each do |interface|
193     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
194   end
195 end
196
197 netplan["network"]["vlans"].each_value do |vlan|
198   unless vlan["link"] =~ /^bond\d+$/
199     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
200   end
201 end
202
203 file "/etc/netplan/01-netcfg.yaml" do
204   action :delete
205 end
206
207 file "/etc/netplan/50-cloud-init.yaml" do
208   action :delete
209 end
210
211 file "/etc/netplan/99-chef.yaml" do
212   owner "root"
213   group "root"
214   mode "644"
215   content YAML.dump(netplan)
216 end
217
218 package "cloud-init" do
219   action :purge
220 end
221
222 ohai "reload-hostname" do
223   action :nothing
224   plugin "hostname"
225 end
226
227 execute "hostnamectl-set-hostname" do
228   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
229   notifies :reload, "ohai[reload-hostname]"
230   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
231 end
232
233 template "/etc/hosts" do
234   source "hosts.erb"
235   owner "root"
236   group "root"
237   mode "644"
238   not_if { ENV["TEST_KITCHEN"] }
239 end
240
241 service "systemd-resolved" do
242   action [:enable, :start]
243 end
244
245 directory "/etc/systemd/resolved.conf.d" do
246   owner "root"
247   group "root"
248   mode "755"
249 end
250
251 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
252   source "resolved.conf.erb"
253   owner "root"
254   group "root"
255   mode "644"
256   notifies :restart, "service[systemd-resolved]", :immediately
257 end
258
259 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
260   mount "/etc/resolv.conf" do
261     action :umount
262     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
263   end
264 end
265
266 link "/etc/resolv.conf" do
267   to "../run/systemd/resolve/stub-resolv.conf"
268 end
269
270 zones = {}
271
272 search(:node, "networking:interfaces").collect do |n|
273   next if n[:fqdn] == node[:fqdn]
274
275   n.interfaces.each do |interface|
276     next unless interface[:role] == "external" && interface[:zone]
277
278     zones[interface[:zone]] ||= {}
279     zones[interface[:zone]][interface[:family]] ||= []
280     zones[interface[:zone]][interface[:family]] << interface[:address]
281   end
282 end
283
284 package "shorewall"
285
286 template "/etc/default/shorewall" do
287   source "shorewall-default.erb"
288   owner "root"
289   group "root"
290   mode "644"
291   notifies :restart, "service[shorewall]"
292 end
293
294 template "/etc/shorewall/shorewall.conf" do
295   source "shorewall.conf.erb"
296   owner "root"
297   group "root"
298   mode "644"
299   notifies :restart, "service[shorewall]"
300 end
301
302 template "/etc/shorewall/zones" do
303   source "shorewall-zones.erb"
304   owner "root"
305   group "root"
306   mode "644"
307   variables :type => "ipv4"
308   notifies :restart, "service[shorewall]"
309 end
310
311 template "/etc/shorewall/interfaces" do
312   source "shorewall-interfaces.erb"
313   owner "root"
314   group "root"
315   mode "644"
316   notifies :restart, "service[shorewall]"
317 end
318
319 template "/etc/shorewall/hosts" do
320   source "shorewall-hosts.erb"
321   owner "root"
322   group "root"
323   mode "644"
324   variables :zones => zones
325   notifies :restart, "service[shorewall]"
326 end
327
328 template "/etc/shorewall/conntrack" do
329   source "shorewall-conntrack.erb"
330   owner "root"
331   group "root"
332   mode "644"
333   notifies :restart, "service[shorewall]"
334   only_if { node[:networking][:firewall][:raw] }
335 end
336
337 template "/etc/shorewall/policy" do
338   source "shorewall-policy.erb"
339   owner "root"
340   group "root"
341   mode "644"
342   notifies :restart, "service[shorewall]"
343 end
344
345 template "/etc/shorewall/rules" do
346   action :nothing
347   source "shorewall-rules.erb"
348   owner "root"
349   group "root"
350   mode "644"
351   variables :family => "inet"
352   notifies :restart, "service[shorewall]"
353 end
354
355 notify_group "shorewall-rules" do
356   action :run
357   notifies :create, "template[/etc/shorewall/rules]"
358 end
359
360 if node[:networking][:firewall][:enabled]
361   service "shorewall" do
362     action [:enable, :start]
363     supports :restart => true
364     status_command "shorewall status"
365   end
366 else
367   service "shorewall" do
368     action [:disable, :stop]
369     supports :restart => true
370     status_command "shorewall status"
371   end
372 end
373
374 template "/etc/logrotate.d/shorewall" do
375   source "logrotate.shorewall.erb"
376   owner "root"
377   group "root"
378   mode "644"
379   variables :name => "shorewall"
380 end
381
382 firewall_rule "limit-icmp-echo" do
383   action :accept
384   family :inet
385   source "net"
386   dest "fw"
387   proto "icmp"
388   dest_ports "echo-request"
389   rate_limit "s:1/sec:5"
390 end
391
392 %w[ucl ams bm].each do |zone|
393   firewall_rule "accept-openvpn-#{zone}" do
394     action :accept
395     source zone
396     dest "fw"
397     proto "udp"
398     dest_ports "1194:1197"
399     source_ports "1194:1197"
400   end
401 end
402
403 if node[:roles].include?("gateway")
404   template "/etc/shorewall/masq" do
405     source "shorewall-masq.erb"
406     owner "root"
407     group "root"
408     mode "644"
409     notifies :restart, "service[shorewall]"
410   end
411 else
412   file "/etc/shorewall/masq" do
413     action :delete
414     notifies :restart, "service[shorewall]"
415   end
416 end
417
418 unless node.interfaces(:family => :inet6).empty?
419   package "shorewall6"
420
421   template "/etc/default/shorewall6" do
422     source "shorewall-default.erb"
423     owner "root"
424     group "root"
425     mode "644"
426     notifies :restart, "service[shorewall6]"
427   end
428
429   template "/etc/shorewall6/shorewall6.conf" do
430     source "shorewall6.conf.erb"
431     owner "root"
432     group "root"
433     mode "644"
434     notifies :restart, "service[shorewall6]"
435   end
436
437   template "/etc/shorewall6/zones" do
438     source "shorewall-zones.erb"
439     owner "root"
440     group "root"
441     mode "644"
442     variables :type => "ipv6"
443     notifies :restart, "service[shorewall6]"
444   end
445
446   template "/etc/shorewall6/interfaces" do
447     source "shorewall6-interfaces.erb"
448     owner "root"
449     group "root"
450     mode "644"
451     notifies :restart, "service[shorewall6]"
452   end
453
454   template "/etc/shorewall6/hosts" do
455     source "shorewall6-hosts.erb"
456     owner "root"
457     group "root"
458     mode "644"
459     variables :zones => zones
460     notifies :restart, "service[shorewall6]"
461   end
462
463   template "/etc/shorewall6/conntrack" do
464     source "shorewall-conntrack.erb"
465     owner "root"
466     group "root"
467     mode "644"
468     notifies :restart, "service[shorewall6]"
469     only_if { node[:networking][:firewall][:raw] }
470   end
471
472   template "/etc/shorewall6/policy" do
473     source "shorewall-policy.erb"
474     owner "root"
475     group "root"
476     mode "644"
477     notifies :restart, "service[shorewall6]"
478   end
479
480   template "/etc/shorewall6/rules" do
481     action :nothing
482     source "shorewall-rules.erb"
483     owner "root"
484     group "root"
485     mode "644"
486     variables :family => "inet6"
487     notifies :restart, "service[shorewall6]"
488   end
489
490   notify_group "shorewall6-rules" do
491     action :run
492     notifies :create, "template[/etc/shorewall6/rules]"
493   end
494
495   if node[:networking][:firewall][:enabled]
496     service "shorewall6" do
497       action [:enable, :start]
498       supports :restart => true
499       status_command "shorewall6 status"
500     end
501   else
502     service "shorewall6" do
503       action [:disable, :stop]
504       supports :restart => true
505       status_command "shorewall6 status"
506     end
507   end
508
509   template "/etc/logrotate.d/shorewall6" do
510     source "logrotate.shorewall.erb"
511     owner "root"
512     group "root"
513     mode "644"
514     variables :name => "shorewall6"
515   end
516
517   firewall_rule "limit-icmp6-echo" do
518     action :accept
519     family :inet6
520     source "net"
521     dest "fw"
522     proto "ipv6-icmp"
523     dest_ports "echo-request"
524     rate_limit "s:1/sec:5"
525   end
526 end
527
528 firewall_rule "accept-http" do
529   action :accept
530   source "net"
531   dest "fw"
532   proto "tcp:syn"
533   dest_ports "http"
534   rate_limit node[:networking][:firewall][:http_rate_limit]
535   connection_limit node[:networking][:firewall][:http_connection_limit]
536 end
537
538 firewall_rule "accept-https" do
539   action :accept
540   source "net"
541   dest "fw"
542   proto "tcp:syn"
543   dest_ports "https"
544   rate_limit node[:networking][:firewall][:http_rate_limit]
545   connection_limit node[:networking][:firewall][:http_connection_limit]
546 end