Set interface MTU correctly
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook Name:: networking
3 # Recipe:: default
4 #
5 # Copyright 2010, OpenStreetMap Foundation.
6 # Copyright 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 netplan = {
27   "network" => {
28     "version" => 2,
29     "renderer" => "networkd",
30     "ethernets" => {},
31     "bonds" => {},
32     "vlans" => {}
33   }
34 }
35
36 node[:networking][:interfaces].each do |name, interface|
37   if interface[:interface]
38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
39       if role[interface[:family]]
40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
42       end
43
44       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
45       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
46     end
47
48     prefix = node[:networking][:interfaces][name][:prefix]
49
50     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
51     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
52
53     interface = node[:networking][:interfaces][name]
54
55     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
56                    netplan["network"]["vlans"][interface[:interface]] ||= {
57                      "id" => Regexp.last_match(2).to_i,
58                      "link" => Regexp.last_match(1),
59                      "accept-ra" => false,
60                      "addresses" => [],
61                      "routes" => []
62                    }
63                  elsif interface[:interface] =~ /^bond\d+$/
64                    netplan["network"]["bonds"][interface[:interface]] ||= {
65                      "accept-ra" => false,
66                      "addresses" => [],
67                      "routes" => []
68                    }
69                  else
70                    netplan["network"]["ethernets"][interface[:interface]] ||= {
71                      "accept-ra" => false,
72                      "addresses" => [],
73                      "routes" => []
74                    }
75                  end
76
77     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
78
79     if interface[:mtu]
80       deviceplan["mtu"] = interface[:mtu]
81     end
82
83     if interface[:bond]
84       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
85
86       deviceplan["parameters"] = {
87         "mode" => interface[:bond][:mode] || "active-backup",
88         "primary" => interface[:bond][:slaves].first,
89         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
90         "down-delay" => interface[:bond][:downdelay] || 200,
91         "up-delay" => interface[:bond][:updelay] || 200
92       }
93
94       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
95       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
96     end
97
98     if interface[:gateway]
99       if interface[:family] == "inet"
100         default_route = "0.0.0.0/0"
101       elsif interface[:family] == "inet6"
102         default_route = "::/0"
103       end
104
105       deviceplan["routes"].push(
106         "to" => default_route,
107         "via" => interface[:gateway],
108         "metric" => interface[:metric],
109         "on-link" => true
110       )
111
112       # This ordering relies on systemd-networkd adding routes
113       # in reverse order and will need moving before the previous
114       # route once that is fixed:
115       #
116       # https://github.com/systemd/systemd/issues/5430
117       # https://github.com/systemd/systemd/pull/10938
118       if interface[:family] == "inet6" &&
119          !interface[:network].include?(interface[:gateway]) &&
120          !IPAddr.new("fe80::/64").include?(interface[:gateway])
121         deviceplan["routes"].push(
122           "to" => interface[:gateway],
123           "scope" => "link"
124         )
125       end
126     end
127   else
128     node.rm(:networking, :interfaces, name)
129   end
130 end
131
132 netplan["network"]["bonds"].each_value do |bond|
133   bond["interfaces"].each do |interface|
134     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
135   end
136 end
137
138 netplan["network"]["vlans"].each_value do |vlan|
139   unless vlan["link"] =~ /^bond\d+$/
140     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
141   end
142 end
143
144 file "/etc/netplan/01-netcfg.yaml" do
145   action :delete
146 end
147
148 file "/etc/netplan/50-cloud-init.yaml" do
149   action :delete
150 end
151
152 file "/etc/netplan/99-chef.yaml" do
153   owner "root"
154   group "root"
155   mode 0o644
156   content YAML.dump(netplan)
157 end
158
159 package "cloud-init" do
160   action :purge
161 end
162
163 execute "hostname" do
164   action :nothing
165   command "/bin/hostname -F /etc/hostname"
166 end
167
168 template "/etc/hostname" do
169   source "hostname.erb"
170   owner "root"
171   group "root"
172   mode 0o644
173   notifies :run, "execute[hostname]"
174 end
175
176 template "/etc/hosts" do
177   source "hosts.erb"
178   owner "root"
179   group "root"
180   mode 0o644
181 end
182
183 service "systemd-resolved" do
184   action [:enable, :start]
185 end
186
187 directory "/etc/systemd/resolved.conf.d" do
188   owner "root"
189   group "root"
190   mode 0o755
191 end
192
193 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
194   source "resolved.conf.erb"
195   owner "root"
196   group "root"
197   mode 0o644
198   notifies :restart, "service[systemd-resolved]"
199 end
200
201 node.interfaces(:role => :internal) do |interface|
202   if interface[:gateway] && interface[:gateway] != interface[:address]
203     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
204       next unless gateway[:openvpn]
205
206       gateway[:openvpn][:tunnels].each_value do |tunnel|
207         if tunnel[:peer][:address] # ~FC023
208           route tunnel[:peer][:address] do
209             netmask "255.255.255.255"
210             gateway interface[:gateway]
211             device interface[:interface]
212           end
213         end
214
215         next unless tunnel[:peer][:networks]
216
217         tunnel[:peer][:networks].each do |network|
218           route network[:address] do
219             netmask network[:netmask]
220             gateway interface[:gateway]
221             device interface[:interface]
222           end
223         end
224       end
225     end
226   end
227 end
228
229 zones = {}
230
231 search(:node, "networking:interfaces").collect do |n|
232   next if n[:fqdn] == node[:fqdn]
233
234   n.interfaces.each do |interface|
235     next unless interface[:role] == "external" && interface[:zone]
236
237     zones[interface[:zone]] ||= {}
238     zones[interface[:zone]][interface[:family]] ||= []
239     zones[interface[:zone]][interface[:family]] << interface[:address]
240   end
241 end
242
243 package "shorewall"
244
245 template "/etc/default/shorewall" do
246   source "shorewall-default.erb"
247   owner "root"
248   group "root"
249   mode 0o644
250   notifies :restart, "service[shorewall]"
251 end
252
253 template "/etc/shorewall/shorewall.conf" do
254   source "shorewall.conf.erb"
255   owner "root"
256   group "root"
257   mode 0o644
258   notifies :restart, "service[shorewall]"
259 end
260
261 template "/etc/shorewall/zones" do
262   source "shorewall-zones.erb"
263   owner "root"
264   group "root"
265   mode 0o644
266   variables :type => "ipv4"
267   notifies :restart, "service[shorewall]"
268 end
269
270 template "/etc/shorewall/interfaces" do
271   source "shorewall-interfaces.erb"
272   owner "root"
273   group "root"
274   mode 0o644
275   notifies :restart, "service[shorewall]"
276 end
277
278 template "/etc/shorewall/hosts" do
279   source "shorewall-hosts.erb"
280   owner "root"
281   group "root"
282   mode 0o644
283   variables :zones => zones
284   notifies :restart, "service[shorewall]"
285 end
286
287 template "/etc/shorewall/conntrack" do
288   source "shorewall-conntrack.erb"
289   owner "root"
290   group "root"
291   mode 0o644
292   notifies :restart, "service[shorewall]"
293   only_if { node[:networking][:firewall][:raw] }
294 end
295
296 template "/etc/shorewall/policy" do
297   source "shorewall-policy.erb"
298   owner "root"
299   group "root"
300   mode 0o644
301   notifies :restart, "service[shorewall]"
302 end
303
304 template "/etc/shorewall/rules" do
305   source "shorewall-rules.erb"
306   owner "root"
307   group "root"
308   mode 0o644
309   variables :family => "inet"
310   notifies :restart, "service[shorewall]"
311 end
312
313 service "shorewall" do
314   action [:enable, :start]
315   supports :restart => true
316   status_command "shorewall status"
317 end
318
319 template "/etc/logrotate.d/shorewall" do
320   source "logrotate.shorewall.erb"
321   owner "root"
322   group "root"
323   mode 0o644
324   variables :name => "shorewall"
325 end
326
327 firewall_rule "limit-icmp-echo" do
328   action :accept
329   family :inet
330   source "net"
331   dest "fw"
332   proto "icmp"
333   dest_ports "echo-request"
334   rate_limit "s:1/sec:5"
335 end
336
337 %w[ucl ams bm].each do |zone|
338   firewall_rule "accept-openvpn-#{zone}" do
339     action :accept
340     source zone
341     dest "fw"
342     proto "udp"
343     dest_ports "1194:1197"
344     source_ports "1194:1197"
345   end
346 end
347
348 if node[:roles].include?("gateway")
349   template "/etc/shorewall/masq" do
350     source "shorewall-masq.erb"
351     owner "root"
352     group "root"
353     mode 0o644
354     notifies :restart, "service[shorewall]"
355   end
356 else
357   file "/etc/shorewall/masq" do
358     action :delete
359     notifies :restart, "service[shorewall]"
360   end
361 end
362
363 unless node.interfaces(:family => :inet6).empty?
364   package "shorewall6"
365
366   template "/etc/default/shorewall6" do
367     source "shorewall-default.erb"
368     owner "root"
369     group "root"
370     mode 0o644
371     notifies :restart, "service[shorewall6]"
372   end
373
374   template "/etc/shorewall6/shorewall6.conf" do
375     source "shorewall6.conf.erb"
376     owner "root"
377     group "root"
378     mode 0o644
379     notifies :restart, "service[shorewall6]"
380   end
381
382   template "/etc/shorewall6/zones" do
383     source "shorewall-zones.erb"
384     owner "root"
385     group "root"
386     mode 0o644
387     variables :type => "ipv6"
388     notifies :restart, "service[shorewall6]"
389   end
390
391   template "/etc/shorewall6/interfaces" do
392     source "shorewall6-interfaces.erb"
393     owner "root"
394     group "root"
395     mode 0o644
396     notifies :restart, "service[shorewall6]"
397   end
398
399   template "/etc/shorewall6/hosts" do
400     source "shorewall6-hosts.erb"
401     owner "root"
402     group "root"
403     mode 0o644
404     variables :zones => zones
405     notifies :restart, "service[shorewall6]"
406   end
407
408   template "/etc/shorewall6/conntrack" do
409     source "shorewall-conntrack.erb"
410     owner "root"
411     group "root"
412     mode 0o644
413     notifies :restart, "service[shorewall6]"
414     only_if { node[:networking][:firewall][:raw] }
415   end
416
417   template "/etc/shorewall6/policy" do
418     source "shorewall-policy.erb"
419     owner "root"
420     group "root"
421     mode 0o644
422     notifies :restart, "service[shorewall6]"
423   end
424
425   template "/etc/shorewall6/rules" do
426     source "shorewall-rules.erb"
427     owner "root"
428     group "root"
429     mode 0o644
430     variables :family => "inet6"
431     notifies :restart, "service[shorewall6]"
432   end
433
434   service "shorewall6" do
435     action [:enable, :start]
436     supports :restart => true
437     status_command "shorewall6 status"
438   end
439
440   template "/etc/logrotate.d/shorewall6" do
441     source "logrotate.shorewall.erb"
442     owner "root"
443     group "root"
444     mode 0o644
445     variables :name => "shorewall6"
446   end
447
448   firewall_rule "limit-icmp6-echo" do
449     action :accept
450     family :inet6
451     source "net"
452     dest "fw"
453     proto "ipv6-icmp"
454     dest_ports "echo-request"
455     rate_limit "s:1/sec:5"
456   end
457 end
458
459 firewall_rule "accept-http" do
460   action :accept
461   source "net"
462   dest "fw"
463   proto "tcp:syn"
464   dest_ports "http"
465   rate_limit node[:networking][:firewall][:http_rate_limit]
466   connection_limit node[:networking][:firewall][:http_connection_limit]
467 end
468
469 firewall_rule "accept-https" do
470   action :accept
471   source "net"
472   dest "fw"
473   proto "tcp:syn"
474   dest_ports "https"
475   rate_limit node[:networking][:firewall][:http_rate_limit]
476   connection_limit node[:networking][:firewall][:http_connection_limit]
477 end