Add a load more cookbooks
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     http://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24
25 node[:networking][:interfaces].each do |name,interface|
26   if interface[:role] and role = node[:networking][:roles][interface[:role]]
27     if role[interface[:family]]
28       node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
29       node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
30     end
31
32     node.default[:networking][:interfaces][name][:metric] = role[:metric]
33     node.default[:networking][:interfaces][name][:zone] = role[:zone]
34   end
35
36   prefix = node[:networking][:interfaces][name][:prefix]
37
38   node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
39   node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
40 end
41
42 template "/etc/network/interfaces" do
43   source "interfaces.erb"
44   owner "root"
45   group "root"
46   mode 0644
47 end
48
49 execute "hostname" do
50   action :nothing
51   command "/bin/hostname -F /etc/hostname"
52 end
53
54 template "/etc/hostname" do
55   source "hostname.erb"
56   owner "root"
57   group "root"
58   mode 0644
59   notifies :run, resources(:execute => "hostname")
60 end
61
62 template "/etc/hosts" do
63   source "hosts.erb"
64   owner "root"
65   group "root"
66   mode 0644
67 end
68
69 link "/etc/resolv.conf" do
70   action :delete
71   link_type :symbolic
72   to "/run/resolvconf/resolv.conf"
73   only_if { File.symlink?("/etc/resolv.conf") }
74 end
75
76 template "/etc/resolv.conf" do
77   source "resolv.conf.erb"
78   owner "root"
79   group "root"
80   mode 0644
81 end
82
83 node.interfaces(:role => :internal) do |interface|
84   if interface[:gateway] and interface[:gateway] != interface[:address]
85     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
86       if gateway[:openvpn]
87         gateway[:openvpn][:tunnels].each_value do |tunnel|
88           if tunnel[:peer][:address]
89             route tunnel[:peer][:address] do
90               netmask "255.255.255.255"
91               gateway interface[:gateway]
92               device interface[:interface]
93             end
94           end
95
96           if tunnel[:peer][:networks]
97             tunnel[:peer][:networks].each do |network|
98               route network[:address] do
99                 netmask network[:netmask]
100                 gateway interface[:gateway]
101                 device interface[:interface]
102               end
103             end
104           end
105         end
106       end
107     end
108   end
109 end
110
111 zones = Hash.new
112
113 search(:node, "networking:interfaces").collect do |n|
114   if n[:fqdn] != node[:fqdn]
115     n.interfaces.each do |interface|
116       if interface[:role] == "external" and interface[:zone]
117         zones[interface[:zone]] ||= Hash.new
118         zones[interface[:zone]][interface[:family]] ||= Array.new
119         zones[interface[:zone]][interface[:family]] << interface[:address]
120       end
121     end
122   end
123 end
124
125 package "shorewall"
126
127 service "shorewall" do
128   action [ :enable, :start ]
129   supports :restart => true
130   status_command "shorewall status"
131 end
132
133 template "/etc/default/shorewall" do
134   source "shorewall-default.erb"
135   owner "root"
136   group "root"
137   mode 0644
138   notifies :restart, resources(:service => "shorewall")
139 end
140
141 template "/etc/shorewall/shorewall.conf" do
142   source "shorewall.conf.erb"
143   owner "root"
144   group "root"
145   mode 0644
146   notifies :restart, resources(:service => "shorewall")
147 end
148
149 template "/etc/shorewall/zones" do
150   source "shorewall-zones.erb"
151   owner "root"
152   group "root"
153   mode 0644
154   variables :type => "ipv4"
155   notifies :restart, resources(:service => "shorewall")
156 end
157
158 template "/etc/shorewall/interfaces" do
159   source "shorewall-interfaces.erb"
160   owner "root"
161   group "root"
162   mode 0644
163   notifies :restart, resources(:service => "shorewall")
164 end
165
166 template "/etc/shorewall/hosts" do
167   source "shorewall-hosts.erb"
168   owner "root"
169   group "root"
170   mode 0644
171   variables :zones => zones
172   notifies :restart, resources(:service => "shorewall")
173 end
174
175 template "/etc/shorewall/policy" do
176   source "shorewall-policy.erb"
177   owner "root"
178   group "root"
179   mode 0644
180   notifies :restart, resources(:service => "shorewall")
181 end
182
183 template "/etc/shorewall/rules" do
184   source "shorewall-rules.erb"
185   owner "root"
186   group "root"
187   mode 0644
188   variables :family => "inet", :rules => []
189   notifies :restart, resources(:service => "shorewall")
190 end
191
192 firewall_rule "limit-icmp-echo" do
193   action :accept
194   family :inet
195   source "net"
196   dest "fw"
197   proto "icmp"
198   dest_ports "echo-request"
199   if node[:lsb][:release].to_f >= 10.04
200     rate_limit "s:1/sec:5"
201   else
202     rate_limit "1/sec:5"
203   end
204 end
205
206 [ "ucl", "ic", "bm" ].each do |zone|
207   firewall_rule "accept-openvpn-#{zone}" do
208     action :accept
209     family :inet
210     source zone
211     dest "fw"
212     proto "udp"
213     dest_ports "1194:1196"
214     source_ports "1194:1196"
215   end
216 end
217
218 if node[:roles].include?("gateway")
219   template "/etc/shorewall/masq" do
220     source "shorewall-masq.erb"
221     owner "root"
222     group "root"
223     mode 0644
224     notifies :restart, resources(:service => "shorewall")
225   end
226 else
227   file "/etc/shorewall/masq" do
228     action :delete
229     notifies :restart, resources(:service => "shorewall")
230   end
231 end
232
233 if not node.interfaces(:family => :inet6).empty?
234   package "shorewall6"
235
236   service "shorewall6" do
237     action [ :enable, :start ]
238     supports :restart => true
239     status_command "shorewall6 status"
240   end
241
242   template "/etc/default/shorewall6" do
243     source "shorewall-default.erb"
244     owner "root"
245     group "root"
246     mode 0644
247     notifies :restart, resources(:service => "shorewall6")
248   end
249
250   template "/etc/shorewall6/shorewall6.conf" do
251     source "shorewall6.conf.erb"
252     owner "root"
253     group "root"
254     mode 0644
255     notifies :restart, resources(:service => "shorewall6")
256   end
257
258   template "/etc/shorewall6/zones" do
259     source "shorewall-zones.erb"
260     owner "root"
261     group "root"
262     mode 0644
263     variables :type => "ipv6"
264     notifies :restart, resources(:service => "shorewall6")
265   end
266
267   template "/etc/shorewall6/interfaces" do
268     source "shorewall6-interfaces.erb"
269     owner "root"
270     group "root"
271     mode 0644
272     notifies :restart, resources(:service => "shorewall6")
273   end
274
275   template "/etc/shorewall6/hosts" do
276     source "shorewall6-hosts.erb"
277     owner "root"
278     group "root"
279     mode 0644
280     variables :zones => zones
281     notifies :restart, resources(:service => "shorewall6")
282   end
283
284   template "/etc/shorewall6/policy" do
285     source "shorewall-policy.erb"
286     owner "root"
287     group "root"
288     mode 0644
289     notifies :restart, resources(:service => "shorewall6")
290   end
291
292   template "/etc/shorewall6/rules" do
293     source "shorewall-rules.erb"
294     owner "root"
295     group "root"
296     mode 0644
297     variables :family => "inet6", :rules => []
298     notifies :restart, resources(:service => "shorewall6")
299   end
300
301   firewall_rule "limit-icmp6-echo" do
302     action :accept
303     family :inet6
304     source "net"
305     dest "fw"
306     proto "ipv6-icmp"
307     dest_ports "echo-request"
308     if node[:lsb][:release].to_f >= 10.04
309       rate_limit "s:1/sec:5"
310     else
311       rate_limit "1/sec:5"
312     end
313   end
314 end
315
316 firewall_rule "accept-http" do
317   action :accept
318   source "net"
319   dest "fw"
320   proto "tcp:syn"
321   dest_ports "http"
322 end
323
324 firewall_rule "accept-https" do
325   action :accept
326   source "net"
327   dest "fw"
328   proto "tcp:syn"
329   dest_ports "https"
330 end