Work around lack of "onlink" route flag for IPv6 routes
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 network_packages = []
27
28 netplan = {
29   "network" => {
30     "version" => 2,
31     "renderer" => "networkd",
32     "ethernets" => {},
33     "bonds" => {},
34     "vlans" => {}
35   }
36 }
37
38 node[:networking][:interfaces].each do |name, interface|
39   if interface[:interface]
40     network_packages |= ["vlan"] if interface[:interface] =~ /\.\d+$/
41     network_packages |= ["ifenslave"] if interface[:bond]
42
43     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
44       if role[interface[:family]]
45         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
46         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
47       end
48
49       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
50       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
51     end
52
53     prefix = node[:networking][:interfaces][name][:prefix]
54
55     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
56     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
57
58     if node[:networking][:netplan]
59       deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
60                      netplan["network"]["vlans"][interface[:interface]] ||= {
61                        "id" => Regexp.last_match(2).to_i,
62                        "link" => Regexp.last_match(1),
63                        "accept-ra" => false,
64                        "addresses" => [],
65                        "routes" => []
66                      }
67                    elsif interface[:interface] =~ /^bond\d+$/
68                      netplan["network"]["bonds"][interface[:interface]] ||= {
69                        "accept-ra" => false,
70                        "addresses" => [],
71                        "routes" => []
72                      }
73                    else
74                      netplan["network"]["ethernets"][interface[:interface]] ||= {
75                        "accept-ra" => false,
76                        "addresses" => [],
77                        "routes" => []
78                      }
79                    end
80
81       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
82
83       if interface[:bond]
84         deviceplan["interfaces"] = interface[:bond][:slaves].to_a
85
86         deviceplan["parameters"] = {
87           "mode" => interface[:bond][:mode] || "active-backup",
88           "primary" => interface[:bond][:slaves].first,
89           "mii-monitor-interval" => interface[:bond][:miimon] || 100,
90           "down-delay" => interface[:bond][:downdelay] || 200,
91           "up-delay" => interface[:bond][:updelay] || 200
92         }
93
94         deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
95         deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
96       end
97
98       if interface[:gateway]
99         if interface[:family] == "inet"
100           default_route = "0.0.0.0/0"
101         elsif interface[:family] == "inet6"
102           default_route = "::/0"
103         end
104
105         deviceplan["routes"].push(
106           "to" => default_route,
107           "via" => interface[:gateway],
108           "metric" => interface[:metric],
109           "on-link" => true
110         )
111
112         # This ordering relies on systemd-networkd adding routes
113         # in reverse order and will need moving before the previous
114         # route once that is fixed:
115         #
116         # https://github.com/systemd/systemd/issues/5430
117         # https://github.com/systemd/systemd/pull/10938
118         if interface[:family] == "inet6" &&
119            !interface[:network].include?(interface[:gateway]) &&
120            !IPAddr.new("fe80::/64").include?(interface[:gateway])
121           deviceplan["routes"].push(
122             "to" => interface[:gateway],
123             "scope" => "link"
124           )
125         end
126       end
127     end
128   else
129     node.rm(:networking, :interfaces, name)
130   end
131 end
132
133 if node[:networking][:netplan]
134   package "netplan.io"
135
136   file "/etc/netplan/01-netcfg.yaml" do
137     action :delete
138   end
139
140   netplan["network"]["bonds"].each_value do |bond|
141     bond["interfaces"].each do |interface|
142       netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
143     end
144   end
145
146   netplan["network"]["vlans"].each_value do |vlan|
147     unless vlan["link"] =~ /^bond\d+$/
148       netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
149     end
150   end
151
152   file "/etc/netplan/99-chef.yaml" do
153     owner "root"
154     group "root"
155     mode 0o644
156     content YAML.dump(netplan)
157   end
158
159   service "networking" do
160     action :disable
161   end
162
163   file "/etc/network/interfaces" do
164     action :delete
165   end
166
167   package "ifupdown" do
168     action :purge
169   end
170 else
171   package network_packages
172
173   template "/etc/network/interfaces" do
174     source "interfaces.erb"
175     owner "root"
176     group "root"
177     mode 0o644
178   end
179 end
180
181 execute "hostname" do
182   action :nothing
183   command "/bin/hostname -F /etc/hostname"
184 end
185
186 template "/etc/hostname" do
187   source "hostname.erb"
188   owner "root"
189   group "root"
190   mode 0o644
191   notifies :run, "execute[hostname]"
192 end
193
194 template "/etc/hosts" do
195   source "hosts.erb"
196   owner "root"
197   group "root"
198   mode 0o644
199 end
200
201 unless node[:networking][:nameservers].empty?
202   link "/etc/resolv.conf" do
203     action :delete
204     link_type :symbolic
205     to "/run/resolvconf/resolv.conf"
206     only_if { File.symlink?("/etc/resolv.conf") }
207   end
208
209   template "/etc/resolv.conf" do
210     source "resolv.conf.erb"
211     owner "root"
212     group "root"
213     mode 0o644
214   end
215 end
216
217 node.interfaces(:role => :internal) do |interface|
218   if interface[:gateway] && interface[:gateway] != interface[:address]
219     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
220       next unless gateway[:openvpn]
221
222       gateway[:openvpn][:tunnels].each_value do |tunnel|
223         if tunnel[:peer][:address] # ~FC023
224           route tunnel[:peer][:address] do
225             netmask "255.255.255.255"
226             gateway interface[:gateway]
227             device interface[:interface]
228           end
229         end
230
231         next unless tunnel[:peer][:networks]
232
233         tunnel[:peer][:networks].each do |network|
234           route network[:address] do
235             netmask network[:netmask]
236             gateway interface[:gateway]
237             device interface[:interface]
238           end
239         end
240       end
241     end
242   end
243 end
244
245 zones = {}
246
247 search(:node, "networking:interfaces").collect do |n|
248   next if n[:fqdn] == node[:fqdn]
249
250   n.interfaces.each do |interface|
251     next unless interface[:role] == "external" && interface[:zone]
252
253     zones[interface[:zone]] ||= {}
254     zones[interface[:zone]][interface[:family]] ||= []
255     zones[interface[:zone]][interface[:family]] << interface[:address]
256   end
257 end
258
259 package "shorewall"
260
261 template "/etc/default/shorewall" do
262   source "shorewall-default.erb"
263   owner "root"
264   group "root"
265   mode 0o644
266   notifies :restart, "service[shorewall]"
267 end
268
269 template "/etc/shorewall/shorewall.conf" do
270   source "shorewall.conf.erb"
271   owner "root"
272   group "root"
273   mode 0o644
274   notifies :restart, "service[shorewall]"
275 end
276
277 template "/etc/shorewall/zones" do
278   source "shorewall-zones.erb"
279   owner "root"
280   group "root"
281   mode 0o644
282   variables :type => "ipv4"
283   notifies :restart, "service[shorewall]"
284 end
285
286 template "/etc/shorewall/interfaces" do
287   source "shorewall-interfaces.erb"
288   owner "root"
289   group "root"
290   mode 0o644
291   notifies :restart, "service[shorewall]"
292 end
293
294 template "/etc/shorewall/hosts" do
295   source "shorewall-hosts.erb"
296   owner "root"
297   group "root"
298   mode 0o644
299   variables :zones => zones
300   notifies :restart, "service[shorewall]"
301 end
302
303 template "/etc/shorewall/conntrack" do
304   source "shorewall-conntrack.erb"
305   owner "root"
306   group "root"
307   mode 0o644
308   notifies :restart, "service[shorewall]"
309   only_if { node[:networking][:firewall][:raw] }
310 end
311
312 template "/etc/shorewall/policy" do
313   source "shorewall-policy.erb"
314   owner "root"
315   group "root"
316   mode 0o644
317   notifies :restart, "service[shorewall]"
318 end
319
320 template "/etc/shorewall/rules" do
321   source "shorewall-rules.erb"
322   owner "root"
323   group "root"
324   mode 0o644
325   variables :family => "inet"
326   notifies :restart, "service[shorewall]"
327 end
328
329 service "shorewall" do
330   action [:enable, :start]
331   supports :restart => true
332   status_command "shorewall status"
333 end
334
335 template "/etc/logrotate.d/shorewall" do
336   source "logrotate.shorewall.erb"
337   owner "root"
338   group "root"
339   mode 0o644
340   variables :name => "shorewall"
341 end
342
343 firewall_rule "limit-icmp-echo" do
344   action :accept
345   family :inet
346   source "net"
347   dest "fw"
348   proto "icmp"
349   dest_ports "echo-request"
350   rate_limit "s:1/sec:5"
351 end
352
353 %w[ucl ams bm].each do |zone|
354   firewall_rule "accept-openvpn-#{zone}" do
355     action :accept
356     source zone
357     dest "fw"
358     proto "udp"
359     dest_ports "1194:1197"
360     source_ports "1194:1197"
361   end
362 end
363
364 if node[:roles].include?("gateway")
365   template "/etc/shorewall/masq" do
366     source "shorewall-masq.erb"
367     owner "root"
368     group "root"
369     mode 0o644
370     notifies :restart, "service[shorewall]"
371   end
372 else
373   file "/etc/shorewall/masq" do
374     action :delete
375     notifies :restart, "service[shorewall]"
376   end
377 end
378
379 unless node.interfaces(:family => :inet6).empty?
380   package "shorewall6"
381
382   template "/etc/default/shorewall6" do
383     source "shorewall-default.erb"
384     owner "root"
385     group "root"
386     mode 0o644
387     notifies :restart, "service[shorewall6]"
388   end
389
390   template "/etc/shorewall6/shorewall6.conf" do
391     source "shorewall6.conf.erb"
392     owner "root"
393     group "root"
394     mode 0o644
395     notifies :restart, "service[shorewall6]"
396   end
397
398   template "/etc/shorewall6/zones" do
399     source "shorewall-zones.erb"
400     owner "root"
401     group "root"
402     mode 0o644
403     variables :type => "ipv6"
404     notifies :restart, "service[shorewall6]"
405   end
406
407   template "/etc/shorewall6/interfaces" do
408     source "shorewall6-interfaces.erb"
409     owner "root"
410     group "root"
411     mode 0o644
412     notifies :restart, "service[shorewall6]"
413   end
414
415   template "/etc/shorewall6/hosts" do
416     source "shorewall6-hosts.erb"
417     owner "root"
418     group "root"
419     mode 0o644
420     variables :zones => zones
421     notifies :restart, "service[shorewall6]"
422   end
423
424   template "/etc/shorewall6/conntrack" do
425     source "shorewall-conntrack.erb"
426     owner "root"
427     group "root"
428     mode 0o644
429     notifies :restart, "service[shorewall6]"
430     only_if { node[:networking][:firewall][:raw] }
431   end
432
433   template "/etc/shorewall6/policy" do
434     source "shorewall-policy.erb"
435     owner "root"
436     group "root"
437     mode 0o644
438     notifies :restart, "service[shorewall6]"
439   end
440
441   template "/etc/shorewall6/rules" do
442     source "shorewall-rules.erb"
443     owner "root"
444     group "root"
445     mode 0o644
446     variables :family => "inet6"
447     notifies :restart, "service[shorewall6]"
448   end
449
450   service "shorewall6" do
451     action [:enable, :start]
452     supports :restart => true
453     status_command "shorewall6 status"
454   end
455
456   template "/etc/logrotate.d/shorewall6" do
457     source "logrotate.shorewall.erb"
458     owner "root"
459     group "root"
460     mode 0o644
461     variables :name => "shorewall6"
462   end
463
464   firewall_rule "limit-icmp6-echo" do
465     action :accept
466     family :inet6
467     source "net"
468     dest "fw"
469     proto "ipv6-icmp"
470     dest_ports "echo-request"
471     rate_limit "s:1/sec:5"
472   end
473 end
474
475 firewall_rule "accept-http" do
476   action :accept
477   source "net"
478   dest "fw"
479   proto "tcp:syn"
480   dest_ports "http"
481   rate_limit node[:networking][:firewall][:http_rate_limit]
482   connection_limit node[:networking][:firewall][:http_connection_limit]
483 end
484
485 firewall_rule "accept-https" do
486   action :accept
487   source "net"
488   dest "fw"
489   proto "tcp:syn"
490   dest_ports "https"
491   rate_limit node[:networking][:firewall][:http_rate_limit]
492   connection_limit node[:networking][:firewall][:http_connection_limit]
493 end