cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 package "netplan.io"
  27
  28 netplan = {
  29   "network" => {
  30     "version" => 2,
  31     "renderer" => "networkd",
  32     "ethernets" => {},
  33     "bonds" => {},
  34     "vlans" => {}
  35   }
  36 }
  37
  38 node[:networking][:interfaces].each do |name, interface|
  39   if interface[:interface]
  40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  41       if role[interface[:family]]
  42         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  43         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  44         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  45       end
  46
  47       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  48       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  49     end
  50
  51     if interface[:address]
  52       prefix = node[:networking][:interfaces][name][:prefix]
  53
  54       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  55       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  56     end
  57
  58     interface = node[:networking][:interfaces][name]
  59
  60     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  61                    netplan["network"]["vlans"][interface[:interface]] ||= {
  62                      "id" => Regexp.last_match(2).to_i,
  63                      "link" => Regexp.last_match(1),
  64                      "accept-ra" => false,
  65                      "addresses" => [],
  66                      "routes" => []
  67                    }
  68                  elsif interface[:interface] =~ /^bond\d+$/
  69                    netplan["network"]["bonds"][interface[:interface]] ||= {
  70                      "accept-ra" => false,
  71                      "addresses" => [],
  72                      "routes" => []
  73                    }
  74                  else
  75                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  76                      "accept-ra" => false,
  77                      "addresses" => [],
  78                      "routes" => []
  79                    }
  80                  end
  81
  82     if interface[:address]
  83       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  84     end
  85
  86     if interface[:mtu]
  87       deviceplan["mtu"] = interface[:mtu]
  88     end
  89
  90     if interface[:bond]
  91       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  92
  93       deviceplan["parameters"] = {
  94         "mode" => interface[:bond][:mode] || "active-backup",
  95         "primary" => interface[:bond][:slaves].first,
  96         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  97         "down-delay" => interface[:bond][:downdelay] || 200,
  98         "up-delay" => interface[:bond][:updelay] || 200
  99       }
 100
 101       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 102       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 103     end
 104
 105     if interface[:gateway]
 106       if interface[:family] == "inet"
 107         default_route = "0.0.0.0/0"
 108       elsif interface[:family] == "inet6"
 109         default_route = "::/0"
 110       end
 111
 112       deviceplan["routes"].push(
 113         "to" => default_route,
 114         "via" => interface[:gateway],
 115         "metric" => interface[:metric],
 116         "on-link" => true
 117       )
 118
 119       # This ordering relies on systemd-networkd adding routes
 120       # in reverse order and will need moving before the previous
 121       # route once that is fixed:
 122       #
 123       # https://github.com/systemd/systemd/issues/5430
 124       # https://github.com/systemd/systemd/pull/10938
 125       if interface[:family] == "inet6" &&
 126          !interface[:network].include?(interface[:gateway]) &&
 127          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 128         deviceplan["routes"].push(
 129           "to" => interface[:gateway],
 130           "scope" => "link"
 131         )
 132       end
 133     end
 134
 135     if interface[:routes]
 136       interface[:routes].each do |to, parameters|
 137         route = {
 138           "to" => to
 139         }
 140
 141         route["type"] = parameters[:type] if parameters[:type]
 142         route["via"] = parameters[:via] if parameters[:via]
 143         route["metric"] = parameters[:metric] if parameters[:metric]
 144
 145         deviceplan["routes"].push(route)
 146       end
 147     end
 148   else
 149     node.rm(:networking, :interfaces, name)
 150   end
 151 end
 152
 153 netplan["network"]["bonds"].each_value do |bond|
 154   bond["interfaces"].each do |interface|
 155     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 156   end
 157 end
 158
 159 netplan["network"]["vlans"].each_value do |vlan|
 160   unless vlan["link"] =~ /^bond\d+$/
 161     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 162   end
 163 end
 164
 165 file "/etc/netplan/01-netcfg.yaml" do
 166   action :delete
 167 end
 168
 169 file "/etc/netplan/50-cloud-init.yaml" do
 170   action :delete
 171 end
 172
 173 file "/etc/netplan/99-chef.yaml" do
 174   owner "root"
 175   group "root"
 176   mode "644"
 177   content YAML.dump(netplan)
 178 end
 179
 180 package "cloud-init" do
 181   action :purge
 182 end
 183
 184 ohai "reload-hostname" do
 185   action :nothing
 186   plugin "hostname"
 187 end
 188
 189 execute "hostnamectl-set-hostname" do
 190   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 191   notifies :reload, "ohai[reload-hostname]"
 192   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 193 end
 194
 195 template "/etc/hosts" do
 196   source "hosts.erb"
 197   owner "root"
 198   group "root"
 199   mode "644"
 200   not_if { ENV["TEST_KITCHEN"] }
 201 end
 202
 203 service "systemd-resolved" do
 204   action [:enable, :start]
 205 end
 206
 207 directory "/etc/systemd/resolved.conf.d" do
 208   owner "root"
 209   group "root"
 210   mode "755"
 211 end
 212
 213 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 214   source "resolved.conf.erb"
 215   owner "root"
 216   group "root"
 217   mode "644"
 218   notifies :restart, "service[systemd-resolved]", :immediately
 219 end
 220
 221 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 222   mount "/etc/resolv.conf" do
 223     action :umount
 224     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
 225   end
 226 end
 227
 228 link "/etc/resolv.conf" do
 229   to "../run/systemd/resolve/stub-resolv.conf"
 230 end
 231
 232 node.interfaces(:role => :internal) do |interface|
 233   if interface[:gateway] && interface[:gateway] != interface[:address]
 234     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 235       next unless gateway[:openvpn]
 236
 237       gateway[:openvpn][:tunnels].each_value do |tunnel|
 238         if tunnel[:peer][:address]
 239           route tunnel[:peer][:address] do
 240             netmask "255.255.255.255"
 241             gateway interface[:gateway]
 242             device interface[:interface]
 243           end
 244         end
 245
 246         next unless tunnel[:peer][:networks]
 247
 248         tunnel[:peer][:networks].each do |network|
 249           route network[:address] do
 250             netmask network[:netmask]
 251             gateway interface[:gateway]
 252             device interface[:interface]
 253           end
 254         end
 255       end
 256     end
 257   end
 258 end
 259
 260 zones = {}
 261
 262 search(:node, "networking:interfaces").collect do |n|
 263   next if n[:fqdn] == node[:fqdn]
 264
 265   n.interfaces.each do |interface|
 266     next unless interface[:role] == "external" && interface[:zone]
 267
 268     zones[interface[:zone]] ||= {}
 269     zones[interface[:zone]][interface[:family]] ||= []
 270     zones[interface[:zone]][interface[:family]] << interface[:address]
 271   end
 272 end
 273
 274 package "shorewall"
 275
 276 template "/etc/default/shorewall" do
 277   source "shorewall-default.erb"
 278   owner "root"
 279   group "root"
 280   mode "644"
 281   notifies :restart, "service[shorewall]"
 282 end
 283
 284 template "/etc/shorewall/shorewall.conf" do
 285   source "shorewall.conf.erb"
 286   owner "root"
 287   group "root"
 288   mode "644"
 289   notifies :restart, "service[shorewall]"
 290 end
 291
 292 template "/etc/shorewall/zones" do
 293   source "shorewall-zones.erb"
 294   owner "root"
 295   group "root"
 296   mode "644"
 297   variables :type => "ipv4"
 298   notifies :restart, "service[shorewall]"
 299 end
 300
 301 template "/etc/shorewall/interfaces" do
 302   source "shorewall-interfaces.erb"
 303   owner "root"
 304   group "root"
 305   mode "644"
 306   notifies :restart, "service[shorewall]"
 307 end
 308
 309 template "/etc/shorewall/hosts" do
 310   source "shorewall-hosts.erb"
 311   owner "root"
 312   group "root"
 313   mode "644"
 314   variables :zones => zones
 315   notifies :restart, "service[shorewall]"
 316 end
 317
 318 template "/etc/shorewall/conntrack" do
 319   source "shorewall-conntrack.erb"
 320   owner "root"
 321   group "root"
 322   mode "644"
 323   notifies :restart, "service[shorewall]"
 324   only_if { node[:networking][:firewall][:raw] }
 325 end
 326
 327 template "/etc/shorewall/policy" do
 328   source "shorewall-policy.erb"
 329   owner "root"
 330   group "root"
 331   mode "644"
 332   notifies :restart, "service[shorewall]"
 333 end
 334
 335 template "/etc/shorewall/rules" do
 336   source "shorewall-rules.erb"
 337   owner "root"
 338   group "root"
 339   mode "644"
 340   variables :family => "inet"
 341   notifies :restart, "service[shorewall]"
 342 end
 343
 344 service "shorewall" do
 345   action [:enable, :start]
 346   supports :restart => true
 347   status_command "shorewall status"
 348 end
 349
 350 template "/etc/logrotate.d/shorewall" do
 351   source "logrotate.shorewall.erb"
 352   owner "root"
 353   group "root"
 354   mode "644"
 355   variables :name => "shorewall"
 356 end
 357
 358 firewall_rule "limit-icmp-echo" do
 359   action :accept
 360   family :inet
 361   source "net"
 362   dest "fw"
 363   proto "icmp"
 364   dest_ports "echo-request"
 365   rate_limit "s:1/sec:5"
 366 end
 367
 368 %w[ucl ams bm].each do |zone|
 369   firewall_rule "accept-openvpn-#{zone}" do
 370     action :accept
 371     source zone
 372     dest "fw"
 373     proto "udp"
 374     dest_ports "1194:1197"
 375     source_ports "1194:1197"
 376   end
 377 end
 378
 379 if node[:roles].include?("gateway")
 380   template "/etc/shorewall/masq" do
 381     source "shorewall-masq.erb"
 382     owner "root"
 383     group "root"
 384     mode "644"
 385     notifies :restart, "service[shorewall]"
 386   end
 387 else
 388   file "/etc/shorewall/masq" do
 389     action :delete
 390     notifies :restart, "service[shorewall]"
 391   end
 392 end
 393
 394 unless node.interfaces(:family => :inet6).empty?
 395   package "shorewall6"
 396
 397   template "/etc/default/shorewall6" do
 398     source "shorewall-default.erb"
 399     owner "root"
 400     group "root"
 401     mode "644"
 402     notifies :restart, "service[shorewall6]"
 403   end
 404
 405   template "/etc/shorewall6/shorewall6.conf" do
 406     source "shorewall6.conf.erb"
 407     owner "root"
 408     group "root"
 409     mode "644"
 410     notifies :restart, "service[shorewall6]"
 411   end
 412
 413   template "/etc/shorewall6/zones" do
 414     source "shorewall-zones.erb"
 415     owner "root"
 416     group "root"
 417     mode "644"
 418     variables :type => "ipv6"
 419     notifies :restart, "service[shorewall6]"
 420   end
 421
 422   template "/etc/shorewall6/interfaces" do
 423     source "shorewall6-interfaces.erb"
 424     owner "root"
 425     group "root"
 426     mode "644"
 427     notifies :restart, "service[shorewall6]"
 428   end
 429
 430   template "/etc/shorewall6/hosts" do
 431     source "shorewall6-hosts.erb"
 432     owner "root"
 433     group "root"
 434     mode "644"
 435     variables :zones => zones
 436     notifies :restart, "service[shorewall6]"
 437   end
 438
 439   template "/etc/shorewall6/conntrack" do
 440     source "shorewall-conntrack.erb"
 441     owner "root"
 442     group "root"
 443     mode "644"
 444     notifies :restart, "service[shorewall6]"
 445     only_if { node[:networking][:firewall][:raw] }
 446   end
 447
 448   template "/etc/shorewall6/policy" do
 449     source "shorewall-policy.erb"
 450     owner "root"
 451     group "root"
 452     mode "644"
 453     notifies :restart, "service[shorewall6]"
 454   end
 455
 456   template "/etc/shorewall6/rules" do
 457     source "shorewall-rules.erb"
 458     owner "root"
 459     group "root"
 460     mode "644"
 461     variables :family => "inet6"
 462     notifies :restart, "service[shorewall6]"
 463   end
 464
 465   service "shorewall6" do
 466     action [:enable, :start]
 467     supports :restart => true
 468     status_command "shorewall6 status"
 469   end
 470
 471   template "/etc/logrotate.d/shorewall6" do
 472     source "logrotate.shorewall.erb"
 473     owner "root"
 474     group "root"
 475     mode "644"
 476     variables :name => "shorewall6"
 477   end
 478
 479   firewall_rule "limit-icmp6-echo" do
 480     action :accept
 481     family :inet6
 482     source "net"
 483     dest "fw"
 484     proto "ipv6-icmp"
 485     dest_ports "echo-request"
 486     rate_limit "s:1/sec:5"
 487   end
 488 end
 489
 490 firewall_rule "accept-http" do
 491   action :accept
 492   source "net"
 493   dest "fw"
 494   proto "tcp:syn"
 495   dest_ports "http"
 496   rate_limit node[:networking][:firewall][:http_rate_limit]
 497   connection_limit node[:networking][:firewall][:http_connection_limit]
 498 end
 499
 500 firewall_rule "accept-https" do
 501   action :accept
 502   source "net"
 503   dest "fw"
 504   proto "tcp:syn"
 505   dest_ports "https"
 506   rate_limit node[:networking][:firewall][:http_rate_limit]
 507   connection_limit node[:networking][:firewall][:http_connection_limit]
 508 end