Allow openvpn connections over IPv6
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24
25 network_packages = []
26
27 node[:networking][:interfaces].each do |name, interface|
28   if interface[:interface]
29     network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
30     network_packages |= ["ifenslave"] if interface[:bond]
31
32     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
33       if role[interface[:family]]
34         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
35         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
36       end
37
38       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
39       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
40     end
41
42     prefix = node[:networking][:interfaces][name][:prefix]
43
44     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
45     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
46   else
47     node.rm(:networking, :interfaces, name)
48   end
49 end
50
51 package network_packages
52
53 template "/etc/network/interfaces" do
54   source "interfaces.erb"
55   owner "root"
56   group "root"
57   mode 0o644
58 end
59
60 execute "hostname" do
61   action :nothing
62   command "/bin/hostname -F /etc/hostname"
63 end
64
65 template "/etc/hostname" do
66   source "hostname.erb"
67   owner "root"
68   group "root"
69   mode 0o644
70   notifies :run, "execute[hostname]"
71 end
72
73 template "/etc/hosts" do
74   source "hosts.erb"
75   owner "root"
76   group "root"
77   mode 0o644
78 end
79
80 unless node[:networking][:nameservers].empty?
81   link "/etc/resolv.conf" do
82     action :delete
83     link_type :symbolic
84     to "/run/resolvconf/resolv.conf"
85     only_if { File.symlink?("/etc/resolv.conf") }
86   end
87
88   template "/etc/resolv.conf" do
89     source "resolv.conf.erb"
90     owner "root"
91     group "root"
92     mode 0o644
93   end
94 end
95
96 node.interfaces(:role => :internal) do |interface|
97   if interface[:gateway] && interface[:gateway] != interface[:address]
98     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
99       next unless gateway[:openvpn]
100
101       gateway[:openvpn][:tunnels].each_value do |tunnel|
102         if tunnel[:peer][:address] # ~FC023
103           route tunnel[:peer][:address] do
104             netmask "255.255.255.255"
105             gateway interface[:gateway]
106             device interface[:interface]
107           end
108         end
109
110         next unless tunnel[:peer][:networks]
111
112         tunnel[:peer][:networks].each do |network|
113           route network[:address] do
114             netmask network[:netmask]
115             gateway interface[:gateway]
116             device interface[:interface]
117           end
118         end
119       end
120     end
121   end
122 end
123
124 zones = {}
125
126 search(:node, "networking:interfaces").collect do |n|
127   next if n[:fqdn] == node[:fqdn]
128
129   n.interfaces.each do |interface|
130     next unless interface[:role] == "external" && interface[:zone]
131
132     zones[interface[:zone]] ||= {}
133     zones[interface[:zone]][interface[:family]] ||= []
134     zones[interface[:zone]][interface[:family]] << interface[:address]
135   end
136 end
137
138 package "shorewall"
139
140 template "/etc/default/shorewall" do
141   source "shorewall-default.erb"
142   owner "root"
143   group "root"
144   mode 0o644
145   notifies :restart, "service[shorewall]"
146 end
147
148 template "/etc/shorewall/shorewall.conf" do
149   source "shorewall.conf.erb"
150   owner "root"
151   group "root"
152   mode 0o644
153   notifies :restart, "service[shorewall]"
154 end
155
156 template "/etc/shorewall/zones" do
157   source "shorewall-zones.erb"
158   owner "root"
159   group "root"
160   mode 0o644
161   variables :type => "ipv4"
162   notifies :restart, "service[shorewall]"
163 end
164
165 template "/etc/shorewall/interfaces" do
166   source "shorewall-interfaces.erb"
167   owner "root"
168   group "root"
169   mode 0o644
170   notifies :restart, "service[shorewall]"
171 end
172
173 template "/etc/shorewall/hosts" do
174   source "shorewall-hosts.erb"
175   owner "root"
176   group "root"
177   mode 0o644
178   variables :zones => zones
179   notifies :restart, "service[shorewall]"
180 end
181
182 template "/etc/shorewall/policy" do
183   source "shorewall-policy.erb"
184   owner "root"
185   group "root"
186   mode 0o644
187   notifies :restart, "service[shorewall]"
188 end
189
190 template "/etc/shorewall/rules" do
191   source "shorewall-rules.erb"
192   owner "root"
193   group "root"
194   mode 0o644
195   variables :family => "inet"
196   notifies :restart, "service[shorewall]"
197 end
198
199 service "shorewall" do
200   action [:enable, :start]
201   supports :restart => true
202   status_command "shorewall status"
203 end
204
205 template "/etc/logrotate.d/shorewall" do
206   source "logrotate.shorewall.erb"
207   owner "root"
208   group "root"
209   mode 0o644
210   variables :name => "shorewall"
211 end
212
213 firewall_rule "limit-icmp-echo" do
214   action :accept
215   family :inet
216   source "net"
217   dest "fw"
218   proto "icmp"
219   dest_ports "echo-request"
220   rate_limit "s:1/sec:5"
221 end
222
223 %w[ucl ams bm].each do |zone|
224   firewall_rule "accept-openvpn-#{zone}" do
225     action :accept
226     source zone
227     dest "fw"
228     proto "udp"
229     dest_ports "1194:1197"
230     source_ports "1194:1197"
231   end
232 end
233
234 if node[:roles].include?("gateway")
235   template "/etc/shorewall/masq" do
236     source "shorewall-masq.erb"
237     owner "root"
238     group "root"
239     mode 0o644
240     notifies :restart, "service[shorewall]"
241   end
242 else
243   file "/etc/shorewall/masq" do
244     action :delete
245     notifies :restart, "service[shorewall]"
246   end
247 end
248
249 unless node.interfaces(:family => :inet6).empty?
250   package "shorewall6"
251
252   template "/etc/default/shorewall6" do
253     source "shorewall-default.erb"
254     owner "root"
255     group "root"
256     mode 0o644
257     notifies :restart, "service[shorewall6]"
258   end
259
260   template "/etc/shorewall6/shorewall6.conf" do
261     source "shorewall6.conf.erb"
262     owner "root"
263     group "root"
264     mode 0o644
265     notifies :restart, "service[shorewall6]"
266   end
267
268   template "/etc/shorewall6/zones" do
269     source "shorewall-zones.erb"
270     owner "root"
271     group "root"
272     mode 0o644
273     variables :type => "ipv6"
274     notifies :restart, "service[shorewall6]"
275   end
276
277   template "/etc/shorewall6/interfaces" do
278     source "shorewall6-interfaces.erb"
279     owner "root"
280     group "root"
281     mode 0o644
282     notifies :restart, "service[shorewall6]"
283   end
284
285   template "/etc/shorewall6/hosts" do
286     source "shorewall6-hosts.erb"
287     owner "root"
288     group "root"
289     mode 0o644
290     variables :zones => zones
291     notifies :restart, "service[shorewall6]"
292   end
293
294   template "/etc/shorewall6/policy" do
295     source "shorewall-policy.erb"
296     owner "root"
297     group "root"
298     mode 0o644
299     notifies :restart, "service[shorewall6]"
300   end
301
302   template "/etc/shorewall6/rules" do
303     source "shorewall-rules.erb"
304     owner "root"
305     group "root"
306     mode 0o644
307     variables :family => "inet6"
308     notifies :restart, "service[shorewall6]"
309   end
310
311   service "shorewall6" do
312     action [:enable, :start]
313     supports :restart => true
314     status_command "shorewall6 status"
315   end
316
317   template "/etc/logrotate.d/shorewall6" do
318     source "logrotate.shorewall.erb"
319     owner "root"
320     group "root"
321     mode 0o644
322     variables :name => "shorewall6"
323   end
324
325   firewall_rule "limit-icmp6-echo" do
326     action :accept
327     family :inet6
328     source "net"
329     dest "fw"
330     proto "ipv6-icmp"
331     dest_ports "echo-request"
332     rate_limit "s:1/sec:5"
333   end
334 end
335
336 firewall_rule "accept-http" do
337   action :accept
338   source "net"
339   dest "fw"
340   proto "tcp:syn"
341   dest_ports "http"
342   rate_limit node[:networking][:firewall][:http_rate_limit]
343   connection_limit node[:networking][:firewall][:http_connection_limit]
344 end
345
346 firewall_rule "accept-https" do
347   action :accept
348   source "net"
349   dest "fw"
350   proto "tcp:syn"
351   dest_ports "https"
352   rate_limit node[:networking][:firewall][:http_rate_limit]
353   connection_limit node[:networking][:firewall][:http_connection_limit]
354 end