cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook Name:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright 2010, OpenStreetMap Foundation.
   6 # Copyright 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     http://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24
  25 node[:networking][:interfaces].each do |name,interface|
  26   if interface[:role] and role = node[:networking][:roles][interface[:role]]
  27     if role[interface[:family]]
  28       node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  29       node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  30     end
  31
  32     node.default[:networking][:interfaces][name][:metric] = role[:metric]
  33     node.default[:networking][:interfaces][name][:zone] = role[:zone]
  34   end
  35
  36   prefix = node[:networking][:interfaces][name][:prefix]
  37
  38   node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  39   node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  40 end
  41
  42 template "/etc/network/interfaces" do
  43   source "interfaces.erb"
  44   owner "root"
  45   group "root"
  46   mode 0644
  47 end
  48
  49 execute "hostname" do
  50   action :nothing
  51   command "/bin/hostname -F /etc/hostname"
  52 end
  53
  54 template "/etc/hostname" do
  55   source "hostname.erb"
  56   owner "root"
  57   group "root"
  58   mode 0644
  59   notifies :run, resources(:execute => "hostname")
  60 end
  61
  62 template "/etc/hosts" do
  63   source "hosts.erb"
  64   owner "root"
  65   group "root"
  66   mode 0644
  67 end
  68
  69 link "/etc/resolv.conf" do
  70   action :delete
  71   link_type :symbolic
  72   to "/run/resolvconf/resolv.conf"
  73   only_if { File.symlink?("/etc/resolv.conf") }
  74 end
  75
  76 template "/etc/resolv.conf" do
  77   source "resolv.conf.erb"
  78   owner "root"
  79   group "root"
  80   mode 0644
  81 end
  82
  83 node.interfaces(:role => :internal) do |interface|
  84   if interface[:gateway] and interface[:gateway] != interface[:address]
  85     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
  86       if gateway[:openvpn]
  87         gateway[:openvpn][:tunnels].each_value do |tunnel|
  88           if tunnel[:peer][:address]
  89             route tunnel[:peer][:address] do
  90               netmask "255.255.255.255"
  91               gateway interface[:gateway]
  92               device interface[:interface]
  93             end
  94           end
  95
  96           if tunnel[:peer][:networks]
  97             tunnel[:peer][:networks].each do |network|
  98               route network[:address] do
  99                 netmask network[:netmask]
 100                 gateway interface[:gateway]
 101                 device interface[:interface]
 102               end
 103             end
 104           end
 105         end
 106       end
 107     end
 108   end
 109 end
 110
 111 zones = Hash.new
 112
 113 search(:node, "networking:interfaces").collect do |n|
 114   if n[:fqdn] != node[:fqdn]
 115     n.interfaces.each do |interface|
 116       if interface[:role] == "external" and interface[:zone]
 117         zones[interface[:zone]] ||= Hash.new
 118         zones[interface[:zone]][interface[:family]] ||= Array.new
 119         zones[interface[:zone]][interface[:family]] << interface[:address]
 120       end
 121     end
 122   end
 123 end
 124
 125 package "shorewall"
 126
 127 service "shorewall" do
 128   action [ :enable, :start ]
 129   supports :restart => true
 130   status_command "shorewall status"
 131 end
 132
 133 template "/etc/default/shorewall" do
 134   source "shorewall-default.erb"
 135   owner "root"
 136   group "root"
 137   mode 0644
 138   notifies :restart, resources(:service => "shorewall")
 139 end
 140
 141 template "/etc/shorewall/shorewall.conf" do
 142   source "shorewall.conf.erb"
 143   owner "root"
 144   group "root"
 145   mode 0644
 146   notifies :restart, resources(:service => "shorewall")
 147 end
 148
 149 template "/etc/shorewall/zones" do
 150   source "shorewall-zones.erb"
 151   owner "root"
 152   group "root"
 153   mode 0644
 154   variables :type => "ipv4"
 155   notifies :restart, resources(:service => "shorewall")
 156 end
 157
 158 template "/etc/shorewall/interfaces" do
 159   source "shorewall-interfaces.erb"
 160   owner "root"
 161   group "root"
 162   mode 0644
 163   notifies :restart, resources(:service => "shorewall")
 164 end
 165
 166 template "/etc/shorewall/hosts" do
 167   source "shorewall-hosts.erb"
 168   owner "root"
 169   group "root"
 170   mode 0644
 171   variables :zones => zones
 172   notifies :restart, resources(:service => "shorewall")
 173 end
 174
 175 template "/etc/shorewall/policy" do
 176   source "shorewall-policy.erb"
 177   owner "root"
 178   group "root"
 179   mode 0644
 180   notifies :restart, resources(:service => "shorewall")
 181 end
 182
 183 template "/etc/shorewall/rules" do
 184   source "shorewall-rules.erb"
 185   owner "root"
 186   group "root"
 187   mode 0644
 188   variables :family => "inet", :rules => []
 189   notifies :restart, resources(:service => "shorewall")
 190 end
 191
 192 firewall_rule "limit-icmp-echo" do
 193   action :accept
 194   family :inet
 195   source "net"
 196   dest "fw"
 197   proto "icmp"
 198   dest_ports "echo-request"
 199   if node[:lsb][:release].to_f >= 10.04
 200     rate_limit "s:1/sec:5"
 201   else
 202     rate_limit "1/sec:5"
 203   end
 204 end
 205
 206 [ "ucl", "ic", "bm" ].each do |zone|
 207   firewall_rule "accept-openvpn-#{zone}" do
 208     action :accept
 209     family :inet
 210     source zone
 211     dest "fw"
 212     proto "udp"
 213     dest_ports "1194:1196"
 214     source_ports "1194:1196"
 215   end
 216 end
 217
 218 if node[:roles].include?("gateway")
 219   template "/etc/shorewall/masq" do
 220     source "shorewall-masq.erb"
 221     owner "root"
 222     group "root"
 223     mode 0644
 224     notifies :restart, resources(:service => "shorewall")
 225   end
 226 else
 227   file "/etc/shorewall/masq" do
 228     action :delete
 229     notifies :restart, resources(:service => "shorewall")
 230   end
 231 end
 232
 233 if not node.interfaces(:family => :inet6).empty?
 234   package "shorewall6"
 235
 236   service "shorewall6" do
 237     action [ :enable, :start ]
 238     supports :restart => true
 239     status_command "shorewall6 status"
 240   end
 241
 242   template "/etc/default/shorewall6" do
 243     source "shorewall-default.erb"
 244     owner "root"
 245     group "root"
 246     mode 0644
 247     notifies :restart, resources(:service => "shorewall6")
 248   end
 249
 250   template "/etc/shorewall6/shorewall6.conf" do
 251     source "shorewall6.conf.erb"
 252     owner "root"
 253     group "root"
 254     mode 0644
 255     notifies :restart, resources(:service => "shorewall6")
 256   end
 257
 258   template "/etc/shorewall6/zones" do
 259     source "shorewall-zones.erb"
 260     owner "root"
 261     group "root"
 262     mode 0644
 263     variables :type => "ipv6"
 264     notifies :restart, resources(:service => "shorewall6")
 265   end
 266
 267   template "/etc/shorewall6/interfaces" do
 268     source "shorewall6-interfaces.erb"
 269     owner "root"
 270     group "root"
 271     mode 0644
 272     notifies :restart, resources(:service => "shorewall6")
 273   end
 274
 275   template "/etc/shorewall6/hosts" do
 276     source "shorewall6-hosts.erb"
 277     owner "root"
 278     group "root"
 279     mode 0644
 280     variables :zones => zones
 281     notifies :restart, resources(:service => "shorewall6")
 282   end
 283
 284   template "/etc/shorewall6/policy" do
 285     source "shorewall-policy.erb"
 286     owner "root"
 287     group "root"
 288     mode 0644
 289     notifies :restart, resources(:service => "shorewall6")
 290   end
 291
 292   template "/etc/shorewall6/rules" do
 293     source "shorewall-rules.erb"
 294     owner "root"
 295     group "root"
 296     mode 0644
 297     variables :family => "inet6", :rules => []
 298     notifies :restart, resources(:service => "shorewall6")
 299   end
 300
 301   firewall_rule "limit-icmp6-echo" do
 302     action :accept
 303     family :inet6
 304     source "net"
 305     dest "fw"
 306     proto "ipv6-icmp"
 307     dest_ports "echo-request"
 308     if node[:lsb][:release].to_f >= 10.04
 309       rate_limit "s:1/sec:5"
 310     else
 311       rate_limit "1/sec:5"
 312     end
 313   end
 314 end
 315
 316 firewall_rule "accept-http" do
 317   action :accept
 318   source "net"
 319   dest "fw"
 320   proto "tcp:syn"
 321   dest_ports "http"
 322 end
 323
 324 firewall_rule "accept-https" do
 325   action :accept
 326   source "net"
 327   dest "fw"
 328   proto "tcp:syn"
 329   dest_ports "https"
 330 end