cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 file "/etc/netplan/00-installer-config.yaml" do
  29   action :delete
  30 end
  31
  32 file "/etc/netplan/01-netcfg.yaml" do
  33   action :delete
  34 end
  35
  36 file "/etc/netplan/50-cloud-init.yaml" do
  37   action :delete
  38 end
  39
  40 file "/etc/netplan/99-chef.yaml" do
  41   action :delete
  42 end
  43
  44 package "ifupdown" do
  45   action :purge
  46 end
  47
  48 package "netplan.io" do
  49   action :purge
  50 end
  51
  52 package "cloud-init" do
  53   action :purge
  54 end
  55
  56 interfaces = node[:networking][:interfaces].collect do |name, interface|
  57   [interface[:interface], name]
  58 end.to_h
  59
  60 node[:networking][:interfaces].each do |_, interface|
  61   next unless interface[:interface] =~ /^(.*)\.(\d+)$/
  62
  63   vlan_interface = Regexp.last_match(1)
  64   vlan_id = Regexp.last_match(2)
  65
  66   parent = interfaces[vlan_interface] || "vlans_#{vlan_interface}"
  67
  68   node.default_unless[:networking][:interfaces][parent][:interface] = vlan_interface
  69   node.default_unless[:networking][:interfaces][parent][:vlans] = []
  70
  71   node.default[:networking][:interfaces][parent][:vlans] << vlan_id
  72 end
  73
  74 node[:networking][:interfaces].each do |_, interface|
  75   if interface[:interface] =~ /^.*\.(\d+)$/
  76     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  77       source "vlan.netdev.erb"
  78       owner "root"
  79       group "root"
  80       mode "644"
  81       variables :interface => interface, :vlan => Regexp.last_match(1)
  82       notifies :run, "notify_group[networkctl-reload]"
  83     end
  84   elsif interface[:interface] =~ /^bond\d+$/
  85     next unless interface[:bond]
  86
  87     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  88       source "bond.netdev.erb"
  89       owner "root"
  90       group "root"
  91       mode "644"
  92       variables :interface => interface
  93       notifies :run, "notify_group[networkctl-reload]"
  94     end
  95
  96     interface[:bond][:slaves].each do |slave|
  97       template "/etc/systemd/network/10-#{slave}.network" do
  98         source "slave.network.erb"
  99         owner "root"
 100         group "root"
 101         mode "644"
 102         variables :master => interface, :slave => slave
 103         notifies :run, "notify_group[networkctl-reload]"
 104       end
 105     end
 106   end
 107
 108   template "/etc/systemd/network/10-#{interface[:interface]}.network" do
 109     source "network.erb"
 110     owner "root"
 111     group "root"
 112     mode "644"
 113     variables :interface => interface
 114     notifies :run, "notify_group[networkctl-reload]"
 115   end
 116 end
 117
 118 package "systemd-resolved" do
 119   action :install
 120   only_if { platform?("ubuntu") && node[:lsb][:release].to_f > 22.04 || platform?("debian") && node[:lsb][:release].to_f > 11.0 }
 121 end
 122
 123 service "systemd-networkd" do
 124   action [:enable, :start]
 125 end
 126
 127 if node[:networking][:wireguard][:enabled]
 128   wireguard_id = persistent_token("networking", "wireguard")
 129
 130   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 131
 132   package "wireguard-tools" do
 133     compile_time true
 134     options "--no-install-recommends"
 135   end
 136
 137   directory "/var/lib/systemd/wireguard" do
 138     owner "root"
 139     group "systemd-network"
 140     mode "750"
 141     compile_time true
 142   end
 143
 144   file "/var/lib/systemd/wireguard/private.key" do
 145     action :create_if_missing
 146     owner "root"
 147     group "systemd-network"
 148     mode "640"
 149     content %x(wg genkey)
 150     compile_time true
 151   end
 152
 153   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 154
 155   file "/var/lib/systemd/wireguard/preshared.key" do
 156     action :create_if_missing
 157     owner "root"
 158     group "systemd-network"
 159     mode "640"
 160     content keys["wireguard"]
 161   end
 162
 163   if node[:roles].include?("gateway")
 164     search(:node, "roles:gateway") do |gateway|
 165       next if gateway.name == node.name
 166       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 167
 168       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 169
 170       node.default[:networking][:wireguard][:peers] << {
 171         :public_key => gateway[:networking][:wireguard][:public_key],
 172         :allowed_ips => allowed_ips,
 173         :endpoint => "#{gateway.name}:51820"
 174       }
 175     end
 176
 177     search(:node, "roles:prometheus") do |server|
 178       allowed_ips = server.ipaddresses(:role => :internal).map(&:subnet)
 179
 180       if server[:networking][:private_address]
 181         allowed_ips << "#{server[:networking][:private_address]}/32"
 182       end
 183
 184       node.default[:networking][:wireguard][:peers] << {
 185         :public_key => server[:networking][:wireguard][:public_key],
 186         :allowed_ips => allowed_ips,
 187         :endpoint => "#{server.name}:51820"
 188       }
 189     end
 190
 191     node.default[:networking][:wireguard][:peers] << {
 192       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 193       :allowed_ips => "10.0.16.1/32",
 194       :endpoint => "gate.compton.nu:51820"
 195     }
 196
 197     # Grant home
 198     node.default[:networking][:wireguard][:peers] << {
 199       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 200       :allowed_ips => "10.89.122.1/32",
 201       :endpoint => "gate.firefishy.com:51820"
 202     }
 203
 204     # Grant roaming
 205     node.default[:networking][:wireguard][:peers] << {
 206       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 207       :allowed_ips => "10.89.123.1/32",
 208       :endpoint => "roaming.firefishy.com:51820"
 209     }
 210   elsif node[:roles].include?("shenron")
 211     search(:node, "roles:gateway") do |gateway|
 212       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 213
 214       node.default[:networking][:wireguard][:peers] << {
 215         :public_key => gateway[:networking][:wireguard][:public_key],
 216         :allowed_ips => allowed_ips,
 217         :endpoint => "#{gateway.name}:51820"
 218       }
 219     end
 220   end
 221
 222   file "/etc/systemd/network/wireguard.netdev" do
 223     action :delete
 224   end
 225
 226   template "/etc/systemd/network/10-wg0.netdev" do
 227     source "wireguard.netdev.erb"
 228     owner "root"
 229     group "systemd-network"
 230     mode "640"
 231     notifies :run, "execute[networkctl-delete-wg0]"
 232     notifies :run, "notify_group[networkctl-reload]"
 233   end
 234
 235   file "/etc/systemd/network/wireguard.network" do
 236     action :delete
 237   end
 238
 239   template "/etc/systemd/network/10-wg0.network" do
 240     source "wireguard.network.erb"
 241     owner "root"
 242     group "root"
 243     mode "644"
 244     notifies :run, "execute[networkctl-reload]"
 245   end
 246
 247   execute "networkctl-delete-wg0" do
 248     action :nothing
 249     command "networkctl delete wg0"
 250     only_if { ::File.exist?("/sys/class/net/wg0") }
 251   end
 252 end
 253
 254 # Setup dokken network in systemd-networkd to avoid systemd-networkd-wait-online delay
 255 template "/etc/systemd/network/dokken.network" do
 256   source "dokken.network.erb"
 257   owner "root"
 258   group "root"
 259   mode "644"
 260   notifies :run, "execute[networkctl-reload]", :immediately
 261   only_if { kitchen? }
 262 end
 263
 264 notify_group "networkctl-reload"
 265
 266 execute "networkctl-reload" do
 267   action :nothing
 268   command "networkctl reload"
 269   subscribes :run, "notify_group[networkctl-reload]"
 270 end
 271
 272 ohai "reload-hostname" do
 273   action :nothing
 274   plugin "hostname"
 275 end
 276
 277 execute "hostnamectl-set-hostname" do
 278   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 279   notifies :reload, "ohai[reload-hostname]"
 280   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 281 end
 282
 283 template "/etc/hosts" do
 284   source "hosts.erb"
 285   owner "root"
 286   group "root"
 287   mode "644"
 288   not_if { kitchen? }
 289 end
 290
 291 service "systemd-resolved" do
 292   action [:enable, :start]
 293 end
 294
 295 directory "/etc/systemd/resolved.conf.d" do
 296   owner "root"
 297   group "root"
 298   mode "755"
 299 end
 300
 301 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 302   source "resolved.conf.erb"
 303   owner "root"
 304   group "root"
 305   mode "644"
 306   notifies :restart, "service[systemd-resolved]", :immediately
 307 end
 308
 309 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 310   execute "umount-resolve-conf" do
 311     command "umount -c /etc/resolv.conf"
 312   end
 313 end
 314
 315 link "/etc/resolv.conf" do
 316   to "../run/systemd/resolve/stub-resolv.conf"
 317 end
 318
 319 package "ruby"
 320
 321 gem_package "dbus-systemd" do
 322   gem_binary node[:ruby][:system_gem]
 323 end
 324
 325 prometheus_exporter "resolved" do
 326   port 10028
 327   user "systemd-resolve"
 328   restrict_address_families "AF_UNIX"
 329 end
 330
 331 hosts = { :inet => [], :inet6 => [] }
 332
 333 search(:node, "networking:interfaces").collect do |n|
 334   next if n[:fqdn] == node[:fqdn]
 335
 336   n.interfaces.each do |interface|
 337     next unless interface[:role] == "external"
 338
 339     hosts[:inet] << interface[:inet][:address] if interface[:inet]
 340     hosts[:inet6] << interface[:inet6][:address] if interface[:inet6]
 341   end
 342 end
 343
 344 package "nftables"
 345
 346 interfaces = []
 347
 348 node.interfaces(:role => :external).each do |interface|
 349   interfaces << interface[:interface]
 350 end
 351
 352 template "/etc/nftables.conf" do
 353   source "nftables.conf.erb"
 354   owner "root"
 355   group "root"
 356   mode "755"
 357   variables :interfaces => interfaces, :hosts => hosts
 358   notifies :reload, "service[nftables]"
 359 end
 360
 361 directory "/var/lib/nftables" do
 362   owner "root"
 363   group "root"
 364   mode "755"
 365 end
 366
 367 template "/usr/local/bin/nftables" do
 368   source "nftables.erb"
 369   owner "root"
 370   group "root"
 371   mode "755"
 372 end
 373
 374 systemd_service "nftables-stop" do
 375   action :delete
 376   service "nftables"
 377   dropin "stop"
 378 end
 379
 380 systemd_service "nftables-chef" do
 381   service "nftables"
 382   dropin "chef"
 383   exec_start "/usr/local/bin/nftables start"
 384   exec_reload "/usr/local/bin/nftables reload"
 385   exec_stop "/usr/local/bin/nftables stop"
 386 end
 387
 388 if node[:networking][:firewall][:enabled]
 389   service "nftables" do
 390     action [:enable, :start]
 391   end
 392 else
 393   service "nftables" do
 394     action [:disable, :stop]
 395   end
 396 end
 397
 398 if node[:networking][:wireguard][:enabled]
 399   firewall_rule "accept-wireguard" do
 400     action :accept
 401     context :incoming
 402     protocol :udp
 403     source :osm unless node[:roles].include?("gateway")
 404     dest_ports "51820"
 405     source_ports "51820"
 406   end
 407 end
 408
 409 firewall_rule "accept-http-osm" do
 410   action :accept
 411   context :incoming
 412   protocol :tcp
 413   source :osm
 414   dest_ports %w[http https]
 415 end
 416
 417 firewall_rule "accept-http" do
 418   action :accept
 419   context :incoming
 420   protocol :tcp
 421   dest_ports %w[http https]
 422   rate_limit node[:networking][:firewall][:http_rate_limit]
 423   connection_limit node[:networking][:firewall][:http_connection_limit]
 424 end