]> git.openstreetmap.org Git - chef.git/blob - cookbooks/networking/recipes/default.rb
Add framework for provisioning textfile collectors for prometheus
[chef.git] / cookbooks / networking / recipes / default.rb
1 #
2 # Cookbook:: networking
3 # Recipe:: default
4 #
5 # Copyright:: 2010, OpenStreetMap Foundation.
6 # Copyright:: 2009, Opscode, Inc.
7 #
8 # Licensed under the Apache License, Version 2.0 (the "License");
9 # you may not use this file except in compliance with the License.
10 # You may obtain a copy of the License at
11 #
12 #     https://www.apache.org/licenses/LICENSE-2.0
13 #
14 # Unless required by applicable law or agreed to in writing, software
15 # distributed under the License is distributed on an "AS IS" BASIS,
16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
17 # See the License for the specific language governing permissions and
18 # limitations under the License.
19 #
20 # = Requires
21 # * node[:networking][:nameservers]
22
23 require "ipaddr"
24 require "yaml"
25
26 keys = data_bag_item("networking", "keys")
27
28 package "netplan.io"
29
30 netplan = {
31   "network" => {
32     "version" => 2,
33     "renderer" => "networkd",
34     "ethernets" => {},
35     "bonds" => {},
36     "vlans" => {}
37   }
38 }
39
40 node[:networking][:interfaces].each do |name, interface|
41   if interface[:interface]
42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
43       if role[interface[:family]]
44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
47       end
48
49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
51     end
52
53     if interface[:address]
54       prefix = node[:networking][:interfaces][name][:prefix]
55
56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
58     end
59
60     interface = node[:networking][:interfaces][name]
61
62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
63                    netplan["network"]["vlans"][interface[:interface]] ||= {
64                      "id" => Regexp.last_match(2).to_i,
65                      "link" => Regexp.last_match(1),
66                      "accept-ra" => false,
67                      "addresses" => [],
68                      "routes" => []
69                    }
70                  elsif interface[:interface] =~ /^bond\d+$/
71                    netplan["network"]["bonds"][interface[:interface]] ||= {
72                      "accept-ra" => false,
73                      "addresses" => [],
74                      "routes" => []
75                    }
76                  else
77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
78                      "accept-ra" => false,
79                      "addresses" => [],
80                      "routes" => []
81                    }
82                  end
83
84     if interface[:address]
85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
86     end
87
88     if interface[:mtu]
89       deviceplan["mtu"] = interface[:mtu]
90     end
91
92     if interface[:bond]
93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
94
95       deviceplan["parameters"] = {
96         "mode" => interface[:bond][:mode] || "active-backup",
97         "primary" => interface[:bond][:slaves].first,
98         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
99         "down-delay" => interface[:bond][:downdelay] || 200,
100         "up-delay" => interface[:bond][:updelay] || 200
101       }
102
103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
105     end
106
107     if interface[:gateway]
108       if interface[:family] == "inet"
109         default_route = "0.0.0.0/0"
110       elsif interface[:family] == "inet6"
111         default_route = "::/0"
112       end
113
114       deviceplan["routes"].push(
115         "to" => default_route,
116         "via" => interface[:gateway],
117         "metric" => interface[:metric],
118         "on-link" => true
119       )
120
121       # This ordering relies on systemd-networkd adding routes
122       # in reverse order and will need moving before the previous
123       # route once that is fixed:
124       #
125       # https://github.com/systemd/systemd/issues/5430
126       # https://github.com/systemd/systemd/pull/10938
127       if interface[:family] == "inet6" &&
128          !interface[:network].include?(interface[:gateway]) &&
129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
130         deviceplan["routes"].push(
131           "to" => interface[:gateway],
132           "scope" => "link"
133         )
134       end
135     end
136
137     if interface[:routes]
138       interface[:routes].each do |to, parameters|
139         next if parameters[:via] == interface[:address]
140
141         route = {
142           "to" => to
143         }
144
145         route["type"] = parameters[:type] if parameters[:type]
146         route["via"] = parameters[:via] if parameters[:via]
147         route["metric"] = parameters[:metric] if parameters[:metric]
148
149         deviceplan["routes"].push(route)
150       end
151     end
152   else
153     node.rm(:networking, :interfaces, name)
154   end
155 end
156
157 netplan["network"]["bonds"].each_value do |bond|
158   bond["interfaces"].each do |interface|
159     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
160   end
161 end
162
163 netplan["network"]["vlans"].each_value do |vlan|
164   unless vlan["link"] =~ /^bond\d+$/
165     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
166   end
167 end
168
169 file "/etc/netplan/01-netcfg.yaml" do
170   action :delete
171 end
172
173 file "/etc/netplan/50-cloud-init.yaml" do
174   action :delete
175 end
176
177 file "/etc/netplan/99-chef.yaml" do
178   owner "root"
179   group "root"
180   mode "644"
181   content YAML.dump(netplan)
182 end
183
184 package "cloud-init" do
185   action :purge
186 end
187
188 if node[:networking][:wireguard][:enabled]
189   wireguard_id = persistent_token("networking", "wireguard")
190
191   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
192
193   package "wireguard-tools" do
194     compile_time true
195   end
196
197   directory "/var/lib/systemd/wireguard" do
198     owner "root"
199     group "systemd-network"
200     mode "750"
201     compile_time true
202   end
203
204   file "/var/lib/systemd/wireguard/private.key" do
205     action :create_if_missing
206     owner "root"
207     group "systemd-network"
208     mode "640"
209     content %x(wg genkey)
210     compile_time true
211   end
212
213   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
214
215   file "/var/lib/systemd/wireguard/preshared.key" do
216     action :create_if_missing
217     owner "root"
218     group "systemd-network"
219     mode "640"
220     content keys["wireguard"]
221   end
222
223   if node[:roles].include?("gateway")
224     search(:node, "roles:gateway") do |gateway|
225       next if gateway.name == node.name
226       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
227
228       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
229         "#{interface[:network]}/#{interface[:prefix]}"
230       end
231
232       node.default[:networking][:wireguard][:peers] << {
233         :public_key => gateway[:networking][:wireguard][:public_key],
234         :allowed_ips => allowed_ips,
235         :endpoint => "#{gateway.name}:51820"
236       }
237     end
238
239     search(:node, "roles:mail") do |server|
240       allowed_ips = server.interfaces(:role => :internal).map do |interface|
241         "#{interface[:network]}/#{interface[:prefix]}"
242       end
243
244       if server[:networking][:private_address]
245         allowed_ips << "#{server[:networking][:private_address]}/32"
246       end
247
248       node.default[:networking][:wireguard][:peers] << {
249         :public_key => server[:networking][:wireguard][:public_key],
250         :allowed_ips => allowed_ips,
251         :endpoint => "#{server.name}:51820"
252       }
253     end
254
255     node.default[:networking][:wireguard][:peers] << {
256       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
257       :allowed_ips => "10.0.16.1/32",
258       :endpoint => "gate.compton.nu:51820"
259     }
260   end
261
262   template "/etc/systemd/network/wireguard.netdev" do
263     source "wireguard.netdev.erb"
264     owner "root"
265     group "systemd-network"
266     mode "640"
267   end
268
269   template "/etc/systemd/network/wireguard.network" do
270     source "wireguard.network.erb"
271     owner "root"
272     group "root"
273     mode "644"
274   end
275
276   if node[:lsb][:release].to_f < 20.04
277     execute "ip-link-delete-wg0" do
278       action :nothing
279       command "ip link delete wg0"
280       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
281       only_if { ::File.exist?("/sys/class/net/wg0") }
282     end
283
284     service "systemd-networkd" do
285       action :nothing
286       subscribes :restart, "template[/etc/systemd/network/wireguard.netdev]"
287       subscribes :restart, "template[/etc/systemd/network/wireguard.network]"
288       not_if { ENV.key?("TEST_KITCHEN") }
289     end
290   else
291     execute "networkctl-delete-wg0" do
292       action :nothing
293       command "networkctl delete wg0"
294       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
295       only_if { ::File.exist?("/sys/class/net/wg0") }
296     end
297
298     execute "networkctl-reload" do
299       action :nothing
300       command "networkctl reload"
301       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
302       subscribes :run, "template[/etc/systemd/network/wireguard.network]"
303       not_if { ENV.key?("TEST_KITCHEN") }
304     end
305   end
306 end
307
308 ohai "reload-hostname" do
309   action :nothing
310   plugin "hostname"
311 end
312
313 execute "hostnamectl-set-hostname" do
314   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
315   notifies :reload, "ohai[reload-hostname]"
316   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
317 end
318
319 template "/etc/hosts" do
320   source "hosts.erb"
321   owner "root"
322   group "root"
323   mode "644"
324   not_if { ENV["TEST_KITCHEN"] }
325 end
326
327 service "systemd-resolved" do
328   action [:enable, :start]
329 end
330
331 directory "/etc/systemd/resolved.conf.d" do
332   owner "root"
333   group "root"
334   mode "755"
335 end
336
337 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
338   source "resolved.conf.erb"
339   owner "root"
340   group "root"
341   mode "644"
342   notifies :restart, "service[systemd-resolved]", :immediately
343 end
344
345 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
346   execute "umount-resolve-conf" do
347     command "umount -c /etc/resolv.conf"
348   end
349 end
350
351 link "/etc/resolv.conf" do
352   to "../run/systemd/resolve/stub-resolv.conf"
353 end
354
355 zones = {}
356
357 search(:node, "networking:interfaces").collect do |n|
358   next if n[:fqdn] == node[:fqdn]
359
360   n.interfaces.each do |interface|
361     next unless interface[:role] == "external" && interface[:zone]
362
363     zones[interface[:zone]] ||= {}
364     zones[interface[:zone]][interface[:family]] ||= []
365     zones[interface[:zone]][interface[:family]] << interface[:address]
366   end
367 end
368
369 package "shorewall"
370
371 template "/etc/default/shorewall" do
372   source "shorewall-default.erb"
373   owner "root"
374   group "root"
375   mode "644"
376   notifies :restart, "service[shorewall]"
377 end
378
379 template "/etc/shorewall/shorewall.conf" do
380   source "shorewall.conf.erb"
381   owner "root"
382   group "root"
383   mode "644"
384   notifies :restart, "service[shorewall]"
385 end
386
387 template "/etc/shorewall/zones" do
388   source "shorewall-zones.erb"
389   owner "root"
390   group "root"
391   mode "644"
392   variables :type => "ipv4"
393   notifies :restart, "service[shorewall]"
394 end
395
396 template "/etc/shorewall/interfaces" do
397   source "shorewall-interfaces.erb"
398   owner "root"
399   group "root"
400   mode "644"
401   notifies :restart, "service[shorewall]"
402 end
403
404 template "/etc/shorewall/hosts" do
405   source "shorewall-hosts.erb"
406   owner "root"
407   group "root"
408   mode "644"
409   variables :zones => zones
410   notifies :restart, "service[shorewall]"
411 end
412
413 template "/etc/shorewall/conntrack" do
414   source "shorewall-conntrack.erb"
415   owner "root"
416   group "root"
417   mode "644"
418   notifies :restart, "service[shorewall]"
419   only_if { node[:networking][:firewall][:raw] }
420 end
421
422 template "/etc/shorewall/policy" do
423   source "shorewall-policy.erb"
424   owner "root"
425   group "root"
426   mode "644"
427   notifies :restart, "service[shorewall]"
428 end
429
430 template "/etc/shorewall/rules" do
431   action :nothing
432   source "shorewall-rules.erb"
433   owner "root"
434   group "root"
435   mode "644"
436   variables :family => "inet"
437   notifies :restart, "service[shorewall]"
438 end
439
440 notify_group "shorewall-rules" do
441   action :run
442   notifies :create, "template[/etc/shorewall/rules]"
443 end
444
445 if node[:networking][:firewall][:enabled]
446   service "shorewall" do
447     action [:enable, :start]
448     supports :restart => true
449     status_command "shorewall status"
450   end
451 else
452   service "shorewall" do
453     action [:disable, :stop]
454     supports :restart => true
455     status_command "shorewall status"
456   end
457 end
458
459 template "/etc/logrotate.d/shorewall" do
460   source "logrotate.shorewall.erb"
461   owner "root"
462   group "root"
463   mode "644"
464   variables :name => "shorewall"
465 end
466
467 firewall_rule "limit-icmp-echo" do
468   action :accept
469   family :inet
470   source "net"
471   dest "fw"
472   proto "icmp"
473   dest_ports "echo-request"
474   rate_limit "s:1/sec:5"
475 end
476
477 if node[:networking][:wireguard][:enabled]
478   wireguard_source = if node[:roles].include?("gateway")
479                        "net"
480                      else
481                        "osm"
482                      end
483
484   firewall_rule "accept-wireguard" do
485     action :accept
486     source wireguard_source
487     dest "fw"
488     proto "udp"
489     dest_ports "51820"
490     source_ports "51820"
491   end
492 end
493
494 if node[:roles].include?("gateway")
495   template "/etc/shorewall/masq" do
496     source "shorewall-masq.erb"
497     owner "root"
498     group "root"
499     mode "644"
500     notifies :restart, "service[shorewall]"
501   end
502 else
503   file "/etc/shorewall/masq" do
504     action :delete
505     notifies :restart, "service[shorewall]"
506   end
507 end
508
509 unless node.interfaces(:family => :inet6).empty?
510   package "shorewall6"
511
512   template "/etc/default/shorewall6" do
513     source "shorewall-default.erb"
514     owner "root"
515     group "root"
516     mode "644"
517     notifies :restart, "service[shorewall6]"
518   end
519
520   template "/etc/shorewall6/shorewall6.conf" do
521     source "shorewall6.conf.erb"
522     owner "root"
523     group "root"
524     mode "644"
525     notifies :restart, "service[shorewall6]"
526   end
527
528   template "/etc/shorewall6/zones" do
529     source "shorewall-zones.erb"
530     owner "root"
531     group "root"
532     mode "644"
533     variables :type => "ipv6"
534     notifies :restart, "service[shorewall6]"
535   end
536
537   template "/etc/shorewall6/interfaces" do
538     source "shorewall6-interfaces.erb"
539     owner "root"
540     group "root"
541     mode "644"
542     notifies :restart, "service[shorewall6]"
543   end
544
545   template "/etc/shorewall6/hosts" do
546     source "shorewall6-hosts.erb"
547     owner "root"
548     group "root"
549     mode "644"
550     variables :zones => zones
551     notifies :restart, "service[shorewall6]"
552   end
553
554   template "/etc/shorewall6/conntrack" do
555     source "shorewall-conntrack.erb"
556     owner "root"
557     group "root"
558     mode "644"
559     notifies :restart, "service[shorewall6]"
560     only_if { node[:networking][:firewall][:raw] }
561   end
562
563   template "/etc/shorewall6/policy" do
564     source "shorewall-policy.erb"
565     owner "root"
566     group "root"
567     mode "644"
568     notifies :restart, "service[shorewall6]"
569   end
570
571   template "/etc/shorewall6/rules" do
572     action :nothing
573     source "shorewall-rules.erb"
574     owner "root"
575     group "root"
576     mode "644"
577     variables :family => "inet6"
578     notifies :restart, "service[shorewall6]"
579   end
580
581   notify_group "shorewall6-rules" do
582     action :run
583     notifies :create, "template[/etc/shorewall6/rules]"
584   end
585
586   if node[:networking][:firewall][:enabled]
587     service "shorewall6" do
588       action [:enable, :start]
589       supports :restart => true
590       status_command "shorewall6 status"
591     end
592   else
593     service "shorewall6" do
594       action [:disable, :stop]
595       supports :restart => true
596       status_command "shorewall6 status"
597     end
598   end
599
600   template "/etc/logrotate.d/shorewall6" do
601     source "logrotate.shorewall.erb"
602     owner "root"
603     group "root"
604     mode "644"
605     variables :name => "shorewall6"
606   end
607
608   firewall_rule "limit-icmp6-echo" do
609     action :accept
610     family :inet6
611     source "net"
612     dest "fw"
613     proto "ipv6-icmp"
614     dest_ports "echo-request"
615     rate_limit "s:1/sec:5"
616   end
617 end
618
619 firewall_rule "accept-http" do
620   action :accept
621   source "net"
622   dest "fw"
623   proto "tcp:syn"
624   dest_ports "http"
625   rate_limit node[:networking][:firewall][:http_rate_limit]
626   connection_limit node[:networking][:firewall][:http_connection_limit]
627 end
628
629 firewall_rule "accept-https" do
630   action :accept
631   source "net"
632   dest "fw"
633   proto "tcp:syn"
634   dest_ports "https"
635   rate_limit node[:networking][:firewall][:http_rate_limit]
636   connection_limit node[:networking][:firewall][:http_connection_limit]
637 end