cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 package "netplan.io"
  29
  30 netplan = {
  31   "network" => {
  32     "version" => 2,
  33     "renderer" => "networkd",
  34     "ethernets" => {},
  35     "bonds" => {},
  36     "vlans" => {}
  37   }
  38 }
  39
  40 node[:networking][:interfaces].each do |name, interface|
  41   if interface[:interface]
  42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  43       if role[interface[:family]]
  44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  47       end
  48
  49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  51     end
  52
  53     if interface[:address]
  54       prefix = node[:networking][:interfaces][name][:prefix]
  55
  56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  58     end
  59
  60     interface = node[:networking][:interfaces][name]
  61
  62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  63                    netplan["network"]["vlans"][interface[:interface]] ||= {
  64                      "id" => Regexp.last_match(2).to_i,
  65                      "link" => Regexp.last_match(1),
  66                      "accept-ra" => false,
  67                      "addresses" => [],
  68                      "routes" => []
  69                    }
  70                  elsif interface[:interface] =~ /^bond\d+$/
  71                    netplan["network"]["bonds"][interface[:interface]] ||= {
  72                      "accept-ra" => false,
  73                      "addresses" => [],
  74                      "routes" => []
  75                    }
  76                  else
  77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  78                      "accept-ra" => false,
  79                      "addresses" => [],
  80                      "routes" => []
  81                    }
  82                  end
  83
  84     if interface[:address]
  85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  86     end
  87
  88     if interface[:mtu]
  89       deviceplan["mtu"] = interface[:mtu]
  90     end
  91
  92     if interface[:bond]
  93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  94
  95       deviceplan["parameters"] = {
  96         "mode" => interface[:bond][:mode] || "active-backup",
  97         "primary" => interface[:bond][:slaves].first,
  98         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  99         "down-delay" => interface[:bond][:downdelay] || 200,
 100         "up-delay" => interface[:bond][:updelay] || 200
 101       }
 102
 103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 105     end
 106
 107     if interface[:gateway]
 108       if interface[:family] == "inet"
 109         default_route = "0.0.0.0/0"
 110       elsif interface[:family] == "inet6"
 111         default_route = "::/0"
 112       end
 113
 114       deviceplan["routes"].push(
 115         "to" => default_route,
 116         "via" => interface[:gateway],
 117         "metric" => interface[:metric],
 118         "on-link" => true
 119       )
 120
 121       # This ordering relies on systemd-networkd adding routes
 122       # in reverse order and will need moving before the previous
 123       # route once that is fixed:
 124       #
 125       # https://github.com/systemd/systemd/issues/5430
 126       # https://github.com/systemd/systemd/pull/10938
 127       if interface[:family] == "inet6" &&
 128          !interface[:network].include?(interface[:gateway]) &&
 129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 130         deviceplan["routes"].push(
 131           "to" => interface[:gateway],
 132           "scope" => "link"
 133         )
 134       end
 135     end
 136
 137     if interface[:routes]
 138       interface[:routes].each do |to, parameters|
 139         next if parameters[:via] == interface[:address]
 140
 141         route = {
 142           "to" => to
 143         }
 144
 145         route["type"] = parameters[:type] if parameters[:type]
 146         route["via"] = parameters[:via] if parameters[:via]
 147         route["metric"] = parameters[:metric] if parameters[:metric]
 148
 149         deviceplan["routes"].push(route)
 150       end
 151     end
 152   else
 153     node.rm(:networking, :interfaces, name)
 154   end
 155 end
 156
 157 netplan["network"]["bonds"].each_value do |bond|
 158   bond["interfaces"].each do |interface|
 159     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 160   end
 161 end
 162
 163 netplan["network"]["vlans"].each_value do |vlan|
 164   unless vlan["link"] =~ /^bond\d+$/
 165     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 166   end
 167 end
 168
 169 file "/etc/netplan/01-netcfg.yaml" do
 170   action :delete
 171 end
 172
 173 file "/etc/netplan/50-cloud-init.yaml" do
 174   action :delete
 175 end
 176
 177 file "/etc/netplan/99-chef.yaml" do
 178   owner "root"
 179   group "root"
 180   mode "644"
 181   content YAML.dump(netplan)
 182 end
 183
 184 package "cloud-init" do
 185   action :purge
 186 end
 187
 188 if node[:networking][:wireguard][:enabled]
 189   package "wireguard-tools" do
 190     compile_time true
 191   end
 192
 193   directory "/var/lib/systemd/wireguard" do
 194     owner "root"
 195     group "systemd-network"
 196     mode "750"
 197     compile_time true
 198   end
 199
 200   file "/var/lib/systemd/wireguard/private.key" do
 201     action :create_if_missing
 202     owner "root"
 203     group "systemd-network"
 204     mode "640"
 205     content %x{wg genkey}
 206     compile_time true
 207   end
 208
 209   node.default[:networking][:wireguard][:public_key] = %x{wg pubkey < /var/lib/systemd/wireguard/private.key}
 210
 211   file "/var/lib/systemd/wireguard/preshared.key" do
 212     action :create_if_missing
 213     owner "root"
 214     group "systemd-network"
 215     mode "640"
 216     content keys["wireguard"]
 217   end
 218
 219   if node[:roles].include?("gateway")
 220     search(:node, "roles:gateway") do |gateway|
 221       next if gateway.name == node.name
 222       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 223
 224       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
 225         "#{interface[:network]}/#{interface[:metric]}"
 226       end
 227
 228       node.default[:networking][:wireguard][:peers] << {
 229         :public_key => gateway[:networking][:wireguard][:public_key],
 230         :allowed_ips => allowed_ips,
 231         :endpoint => "#{gateway.name}:51820"
 232       }
 233     end
 234   end
 235
 236   template "/etc/systemd/network/wireguard.netdev" do
 237     source "wireguard.netdev.erb"
 238     owner "root"
 239     group "root"
 240     mode "644"
 241   end
 242
 243   template "/etc/systemd/network/wireguard.network" do
 244     source "wireguard.network.erb"
 245     owner "root"
 246     group "root"
 247     mode "644"
 248   end
 249
 250   execute "ip-link-delete-wg0" do
 251     action :nothing
 252     command "ip link delete wg0"
 253     subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 254     only_if { ::File.exist?("/sys/class/net/wg0") }
 255   end
 256
 257   execute "networkctl-reload" do
 258     action :nothing
 259     command "networkctl reload"
 260     subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 261     subscribes :run, "template[/etc/systemd/network/wireguard.network]"
 262     not_if { ENV.key?("TEST_KITCHEN") }
 263   end
 264 end
 265
 266 ohai "reload-hostname" do
 267   action :nothing
 268   plugin "hostname"
 269 end
 270
 271 execute "hostnamectl-set-hostname" do
 272   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 273   notifies :reload, "ohai[reload-hostname]"
 274   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 275 end
 276
 277 template "/etc/hosts" do
 278   source "hosts.erb"
 279   owner "root"
 280   group "root"
 281   mode "644"
 282   not_if { ENV["TEST_KITCHEN"] }
 283 end
 284
 285 service "systemd-resolved" do
 286   action [:enable, :start]
 287 end
 288
 289 directory "/etc/systemd/resolved.conf.d" do
 290   owner "root"
 291   group "root"
 292   mode "755"
 293 end
 294
 295 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 296   source "resolved.conf.erb"
 297   owner "root"
 298   group "root"
 299   mode "644"
 300   notifies :restart, "service[systemd-resolved]", :immediately
 301 end
 302
 303 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 304   mount "/etc/resolv.conf" do
 305     action :umount
 306     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
 307   end
 308 end
 309
 310 link "/etc/resolv.conf" do
 311   to "../run/systemd/resolve/stub-resolv.conf"
 312 end
 313
 314 zones = {}
 315
 316 search(:node, "networking:interfaces").collect do |n|
 317   next if n[:fqdn] == node[:fqdn]
 318
 319   n.interfaces.each do |interface|
 320     next unless interface[:role] == "external" && interface[:zone]
 321
 322     zones[interface[:zone]] ||= {}
 323     zones[interface[:zone]][interface[:family]] ||= []
 324     zones[interface[:zone]][interface[:family]] << interface[:address]
 325   end
 326 end
 327
 328 package "shorewall"
 329
 330 template "/etc/default/shorewall" do
 331   source "shorewall-default.erb"
 332   owner "root"
 333   group "root"
 334   mode "644"
 335   notifies :restart, "service[shorewall]"
 336 end
 337
 338 template "/etc/shorewall/shorewall.conf" do
 339   source "shorewall.conf.erb"
 340   owner "root"
 341   group "root"
 342   mode "644"
 343   notifies :restart, "service[shorewall]"
 344 end
 345
 346 template "/etc/shorewall/zones" do
 347   source "shorewall-zones.erb"
 348   owner "root"
 349   group "root"
 350   mode "644"
 351   variables :type => "ipv4"
 352   notifies :restart, "service[shorewall]"
 353 end
 354
 355 template "/etc/shorewall/interfaces" do
 356   source "shorewall-interfaces.erb"
 357   owner "root"
 358   group "root"
 359   mode "644"
 360   notifies :restart, "service[shorewall]"
 361 end
 362
 363 template "/etc/shorewall/hosts" do
 364   source "shorewall-hosts.erb"
 365   owner "root"
 366   group "root"
 367   mode "644"
 368   variables :zones => zones
 369   notifies :restart, "service[shorewall]"
 370 end
 371
 372 template "/etc/shorewall/conntrack" do
 373   source "shorewall-conntrack.erb"
 374   owner "root"
 375   group "root"
 376   mode "644"
 377   notifies :restart, "service[shorewall]"
 378   only_if { node[:networking][:firewall][:raw] }
 379 end
 380
 381 template "/etc/shorewall/policy" do
 382   source "shorewall-policy.erb"
 383   owner "root"
 384   group "root"
 385   mode "644"
 386   notifies :restart, "service[shorewall]"
 387 end
 388
 389 template "/etc/shorewall/rules" do
 390   action :nothing
 391   source "shorewall-rules.erb"
 392   owner "root"
 393   group "root"
 394   mode "644"
 395   variables :family => "inet"
 396   notifies :restart, "service[shorewall]"
 397 end
 398
 399 notify_group "shorewall-rules" do
 400   action :run
 401   notifies :create, "template[/etc/shorewall/rules]"
 402 end
 403
 404 if node[:networking][:firewall][:enabled]
 405   service "shorewall" do
 406     action [:enable, :start]
 407     supports :restart => true
 408     status_command "shorewall status"
 409   end
 410 else
 411   service "shorewall" do
 412     action [:disable, :stop]
 413     supports :restart => true
 414     status_command "shorewall status"
 415   end
 416 end
 417
 418 template "/etc/logrotate.d/shorewall" do
 419   source "logrotate.shorewall.erb"
 420   owner "root"
 421   group "root"
 422   mode "644"
 423   variables :name => "shorewall"
 424 end
 425
 426 firewall_rule "limit-icmp-echo" do
 427   action :accept
 428   family :inet
 429   source "net"
 430   dest "fw"
 431   proto "icmp"
 432   dest_ports "echo-request"
 433   rate_limit "s:1/sec:5"
 434 end
 435
 436 if node[:networking][:wireguard][:enabled]
 437   firewall_rule "accept-wireguard" do
 438     action :accept
 439     source "osm"
 440     dest "fw"
 441     proto "udp"
 442     dest_ports "51820"
 443     source_ports "51820"
 444   end
 445 end
 446
 447 if node[:roles].include?("gateway")
 448   template "/etc/shorewall/masq" do
 449     source "shorewall-masq.erb"
 450     owner "root"
 451     group "root"
 452     mode "644"
 453     notifies :restart, "service[shorewall]"
 454   end
 455 else
 456   file "/etc/shorewall/masq" do
 457     action :delete
 458     notifies :restart, "service[shorewall]"
 459   end
 460 end
 461
 462 unless node.interfaces(:family => :inet6).empty?
 463   package "shorewall6"
 464
 465   template "/etc/default/shorewall6" do
 466     source "shorewall-default.erb"
 467     owner "root"
 468     group "root"
 469     mode "644"
 470     notifies :restart, "service[shorewall6]"
 471   end
 472
 473   template "/etc/shorewall6/shorewall6.conf" do
 474     source "shorewall6.conf.erb"
 475     owner "root"
 476     group "root"
 477     mode "644"
 478     notifies :restart, "service[shorewall6]"
 479   end
 480
 481   template "/etc/shorewall6/zones" do
 482     source "shorewall-zones.erb"
 483     owner "root"
 484     group "root"
 485     mode "644"
 486     variables :type => "ipv6"
 487     notifies :restart, "service[shorewall6]"
 488   end
 489
 490   template "/etc/shorewall6/interfaces" do
 491     source "shorewall6-interfaces.erb"
 492     owner "root"
 493     group "root"
 494     mode "644"
 495     notifies :restart, "service[shorewall6]"
 496   end
 497
 498   template "/etc/shorewall6/hosts" do
 499     source "shorewall6-hosts.erb"
 500     owner "root"
 501     group "root"
 502     mode "644"
 503     variables :zones => zones
 504     notifies :restart, "service[shorewall6]"
 505   end
 506
 507   template "/etc/shorewall6/conntrack" do
 508     source "shorewall-conntrack.erb"
 509     owner "root"
 510     group "root"
 511     mode "644"
 512     notifies :restart, "service[shorewall6]"
 513     only_if { node[:networking][:firewall][:raw] }
 514   end
 515
 516   template "/etc/shorewall6/policy" do
 517     source "shorewall-policy.erb"
 518     owner "root"
 519     group "root"
 520     mode "644"
 521     notifies :restart, "service[shorewall6]"
 522   end
 523
 524   template "/etc/shorewall6/rules" do
 525     action :nothing
 526     source "shorewall-rules.erb"
 527     owner "root"
 528     group "root"
 529     mode "644"
 530     variables :family => "inet6"
 531     notifies :restart, "service[shorewall6]"
 532   end
 533
 534   notify_group "shorewall6-rules" do
 535     action :run
 536     notifies :create, "template[/etc/shorewall6/rules]"
 537   end
 538
 539   if node[:networking][:firewall][:enabled]
 540     service "shorewall6" do
 541       action [:enable, :start]
 542       supports :restart => true
 543       status_command "shorewall6 status"
 544     end
 545   else
 546     service "shorewall6" do
 547       action [:disable, :stop]
 548       supports :restart => true
 549       status_command "shorewall6 status"
 550     end
 551   end
 552
 553   template "/etc/logrotate.d/shorewall6" do
 554     source "logrotate.shorewall.erb"
 555     owner "root"
 556     group "root"
 557     mode "644"
 558     variables :name => "shorewall6"
 559   end
 560
 561   firewall_rule "limit-icmp6-echo" do
 562     action :accept
 563     family :inet6
 564     source "net"
 565     dest "fw"
 566     proto "ipv6-icmp"
 567     dest_ports "echo-request"
 568     rate_limit "s:1/sec:5"
 569   end
 570 end
 571
 572 firewall_rule "accept-http" do
 573   action :accept
 574   source "net"
 575   dest "fw"
 576   proto "tcp:syn"
 577   dest_ports "http"
 578   rate_limit node[:networking][:firewall][:http_rate_limit]
 579   connection_limit node[:networking][:firewall][:http_connection_limit]
 580 end
 581
 582 firewall_rule "accept-https" do
 583   action :accept
 584   source "net"
 585   dest "fw"
 586   proto "tcp:syn"
 587   dest_ports "https"
 588   rate_limit node[:networking][:firewall][:http_rate_limit]
 589   connection_limit node[:networking][:firewall][:http_connection_limit]
 590 end