cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 package "netplan.io"
  29
  30 netplan = {
  31   "network" => {
  32     "version" => 2,
  33     "renderer" => "networkd",
  34     "ethernets" => {},
  35     "bonds" => {},
  36     "vlans" => {}
  37   }
  38 }
  39
  40 node[:networking][:interfaces].each do |name, interface|
  41   if interface[:interface]
  42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  43       if role[interface[:family]]
  44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  47       end
  48
  49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  51     end
  52
  53     if interface[:address]
  54       prefix = node[:networking][:interfaces][name][:prefix]
  55
  56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  58     end
  59
  60     interface = node[:networking][:interfaces][name]
  61
  62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  63                    netplan["network"]["vlans"][interface[:interface]] ||= {
  64                      "id" => Regexp.last_match(2).to_i,
  65                      "link" => Regexp.last_match(1),
  66                      "accept-ra" => false,
  67                      "addresses" => [],
  68                      "routes" => []
  69                    }
  70                  elsif interface[:interface] =~ /^bond\d+$/
  71                    netplan["network"]["bonds"][interface[:interface]] ||= {
  72                      "accept-ra" => false,
  73                      "addresses" => [],
  74                      "routes" => []
  75                    }
  76                  else
  77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  78                      "accept-ra" => false,
  79                      "addresses" => [],
  80                      "routes" => []
  81                    }
  82                  end
  83
  84     if interface[:address]
  85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  86     end
  87
  88     if interface[:mtu]
  89       deviceplan["mtu"] = interface[:mtu]
  90     end
  91
  92     if interface[:bond]
  93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  94
  95       deviceplan["parameters"] = {
  96         "mode" => interface[:bond][:mode] || "active-backup",
  97         "primary" => interface[:bond][:slaves].first,
  98         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  99         "down-delay" => interface[:bond][:downdelay] || 200,
 100         "up-delay" => interface[:bond][:updelay] || 200
 101       }
 102
 103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 105     end
 106
 107     if interface[:gateway] && interface[:gateway] != interface[:address]
 108       if interface[:family] == "inet"
 109         default_route = "0.0.0.0/0"
 110       elsif interface[:family] == "inet6"
 111         default_route = "::/0"
 112       end
 113
 114       deviceplan["routes"].push(
 115         "to" => default_route,
 116         "via" => interface[:gateway],
 117         "metric" => interface[:metric],
 118         "on-link" => true
 119       )
 120
 121       # This ordering relies on systemd-networkd adding routes
 122       # in reverse order and will need moving before the previous
 123       # route once that is fixed:
 124       #
 125       # https://github.com/systemd/systemd/issues/5430
 126       # https://github.com/systemd/systemd/pull/10938
 127       if interface[:family] == "inet6" &&
 128          !interface[:network].include?(interface[:gateway]) &&
 129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 130         deviceplan["routes"].push(
 131           "to" => interface[:gateway],
 132           "scope" => "link"
 133         )
 134       end
 135     end
 136
 137     if interface[:routes]
 138       interface[:routes].each do |to, parameters|
 139         next if parameters[:via] == interface[:address]
 140
 141         route = {
 142           "to" => to
 143         }
 144
 145         route["type"] = parameters[:type] if parameters[:type]
 146         route["via"] = parameters[:via] if parameters[:via]
 147         route["metric"] = parameters[:metric] if parameters[:metric]
 148
 149         deviceplan["routes"].push(route)
 150       end
 151     end
 152   else
 153     node.rm(:networking, :interfaces, name)
 154   end
 155 end
 156
 157 netplan["network"]["bonds"].each_value do |bond|
 158   bond["interfaces"].each do |interface|
 159     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false, "optional" => true }
 160   end
 161 end
 162
 163 netplan["network"]["vlans"].each_value do |vlan|
 164   unless vlan["link"] =~ /^bond\d+$/
 165     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 166   end
 167 end
 168
 169 file "/etc/netplan/00-installer-config.yaml" do
 170   action :delete
 171 end
 172
 173 file "/etc/netplan/01-netcfg.yaml" do
 174   action :delete
 175 end
 176
 177 file "/etc/netplan/50-cloud-init.yaml" do
 178   action :delete
 179 end
 180
 181 file "/etc/netplan/99-chef.yaml" do
 182   owner "root"
 183   group "root"
 184   mode "644"
 185   content YAML.dump(netplan)
 186 end
 187
 188 package "cloud-init" do
 189   action :purge
 190 end
 191
 192 if node[:networking][:wireguard][:enabled]
 193   wireguard_id = persistent_token("networking", "wireguard")
 194
 195   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 196
 197   package "wireguard-tools" do
 198     compile_time true
 199   end
 200
 201   directory "/var/lib/systemd/wireguard" do
 202     owner "root"
 203     group "systemd-network"
 204     mode "750"
 205     compile_time true
 206   end
 207
 208   file "/var/lib/systemd/wireguard/private.key" do
 209     action :create_if_missing
 210     owner "root"
 211     group "systemd-network"
 212     mode "640"
 213     content %x(wg genkey)
 214     compile_time true
 215   end
 216
 217   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 218
 219   file "/var/lib/systemd/wireguard/preshared.key" do
 220     action :create_if_missing
 221     owner "root"
 222     group "systemd-network"
 223     mode "640"
 224     content keys["wireguard"]
 225   end
 226
 227   if node[:roles].include?("gateway")
 228     search(:node, "roles:gateway") do |gateway|
 229       next if gateway.name == node.name
 230       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 231
 232       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
 233         "#{interface[:network]}/#{interface[:prefix]}"
 234       end
 235
 236       node.default[:networking][:wireguard][:peers] << {
 237         :public_key => gateway[:networking][:wireguard][:public_key],
 238         :allowed_ips => allowed_ips,
 239         :endpoint => "#{gateway.name}:51820"
 240       }
 241     end
 242
 243     search(:node, "roles:mail OR roles:prometheus") do |server|
 244       allowed_ips = server.interfaces(:role => :internal).map do |interface|
 245         "#{interface[:network]}/#{interface[:prefix]}"
 246       end
 247
 248       if server[:networking][:private_address]
 249         allowed_ips << "#{server[:networking][:private_address]}/32"
 250       end
 251
 252       node.default[:networking][:wireguard][:peers] << {
 253         :public_key => server[:networking][:wireguard][:public_key],
 254         :allowed_ips => allowed_ips,
 255         :endpoint => "#{server.name}:51820"
 256       }
 257     end
 258
 259     node.default[:networking][:wireguard][:peers] << {
 260       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 261       :allowed_ips => "10.0.16.1/32",
 262       :endpoint => "gate.compton.nu:51820"
 263     }
 264
 265     # Grant home
 266     node.default[:networking][:wireguard][:peers] << {
 267       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 268       :allowed_ips => "10.89.122.1/32",
 269       :endpoint => "gate.firefishy.com:51820"
 270     }
 271
 272     # Grant roaming
 273     node.default[:networking][:wireguard][:peers] << {
 274       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 275       :allowed_ips => "10.89.123.1/32"
 276     }
 277   end
 278
 279   template "/etc/systemd/network/wireguard.netdev" do
 280     source "wireguard.netdev.erb"
 281     owner "root"
 282     group "systemd-network"
 283     mode "640"
 284   end
 285
 286   template "/etc/systemd/network/wireguard.network" do
 287     source "wireguard.network.erb"
 288     owner "root"
 289     group "root"
 290     mode "644"
 291   end
 292
 293   if node[:lsb][:release].to_f < 20.04
 294     execute "ip-link-delete-wg0" do
 295       action :nothing
 296       command "ip link delete wg0"
 297       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 298       only_if { ::File.exist?("/sys/class/net/wg0") }
 299     end
 300
 301     service "systemd-networkd" do
 302       action :nothing
 303       subscribes :restart, "template[/etc/systemd/network/wireguard.netdev]"
 304       subscribes :restart, "template[/etc/systemd/network/wireguard.network]"
 305       not_if { kitchen? }
 306     end
 307   else
 308     execute "networkctl-delete-wg0" do
 309       action :nothing
 310       command "networkctl delete wg0"
 311       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 312       only_if { ::File.exist?("/sys/class/net/wg0") }
 313     end
 314
 315     execute "networkctl-reload" do
 316       action :nothing
 317       command "networkctl reload"
 318       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 319       subscribes :run, "template[/etc/systemd/network/wireguard.network]"
 320       not_if { kitchen? }
 321     end
 322   end
 323 end
 324
 325 ohai "reload-hostname" do
 326   action :nothing
 327   plugin "hostname"
 328 end
 329
 330 execute "hostnamectl-set-hostname" do
 331   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 332   notifies :reload, "ohai[reload-hostname]"
 333   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 334 end
 335
 336 template "/etc/hosts" do
 337   source "hosts.erb"
 338   owner "root"
 339   group "root"
 340   mode "644"
 341   not_if { kitchen? }
 342 end
 343
 344 service "systemd-resolved" do
 345   action [:enable, :start]
 346 end
 347
 348 directory "/etc/systemd/resolved.conf.d" do
 349   owner "root"
 350   group "root"
 351   mode "755"
 352 end
 353
 354 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 355   source "resolved.conf.erb"
 356   owner "root"
 357   group "root"
 358   mode "644"
 359   notifies :restart, "service[systemd-resolved]", :immediately
 360 end
 361
 362 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 363   execute "umount-resolve-conf" do
 364     command "umount -c /etc/resolv.conf"
 365   end
 366 end
 367
 368 link "/etc/resolv.conf" do
 369   to "../run/systemd/resolve/stub-resolv.conf"
 370 end
 371
 372 zones = {}
 373
 374 search(:node, "networking:interfaces").collect do |n|
 375   next if n[:fqdn] == node[:fqdn]
 376
 377   n.interfaces.each do |interface|
 378     next unless interface[:role] == "external" && interface[:zone]
 379
 380     zones[interface[:zone]] ||= {}
 381     zones[interface[:zone]][interface[:family]] ||= []
 382     zones[interface[:zone]][interface[:family]] << interface[:address]
 383   end
 384 end
 385
 386 package "shorewall"
 387
 388 systemd_service "shorewall-docker" do
 389   service "shorewall"
 390   dropin "docker"
 391   exec_stop "/sbin/shorewall $OPTIONS stop"
 392   notifies :restart, "service[shorewall]"
 393 end
 394
 395 template "/etc/default/shorewall" do
 396   source "shorewall-default.erb"
 397   owner "root"
 398   group "root"
 399   mode "644"
 400   notifies :restart, "service[shorewall]"
 401 end
 402
 403 template "/etc/shorewall/shorewall.conf" do
 404   source "shorewall.conf.erb"
 405   owner "root"
 406   group "root"
 407   mode "644"
 408   notifies :restart, "service[shorewall]"
 409 end
 410
 411 template "/etc/shorewall/zones" do
 412   source "shorewall-zones.erb"
 413   owner "root"
 414   group "root"
 415   mode "644"
 416   variables :type => "ipv4"
 417   notifies :restart, "service[shorewall]"
 418 end
 419
 420 template "/etc/shorewall/interfaces" do
 421   source "shorewall-interfaces.erb"
 422   owner "root"
 423   group "root"
 424   mode "644"
 425   notifies :restart, "service[shorewall]"
 426 end
 427
 428 template "/etc/shorewall/hosts" do
 429   source "shorewall-hosts.erb"
 430   owner "root"
 431   group "root"
 432   mode "644"
 433   variables :zones => zones
 434   notifies :restart, "service[shorewall]"
 435 end
 436
 437 template "/etc/shorewall/conntrack" do
 438   source "shorewall-conntrack.erb"
 439   owner "root"
 440   group "root"
 441   mode "644"
 442   notifies :restart, "service[shorewall]"
 443   only_if { node[:networking][:firewall][:raw] }
 444 end
 445
 446 template "/etc/shorewall/policy" do
 447   source "shorewall-policy.erb"
 448   owner "root"
 449   group "root"
 450   mode "644"
 451   notifies :restart, "service[shorewall]"
 452 end
 453
 454 template "/etc/shorewall/rules" do
 455   source "shorewall-rules.erb"
 456   owner "root"
 457   group "root"
 458   mode "644"
 459   variables :family => "inet"
 460   notifies :restart, "service[shorewall]"
 461 end
 462
 463 template "/etc/shorewall/stoppedrules" do
 464   source "shorewall-stoppedrules.erb"
 465   owner "root"
 466   group "root"
 467   mode "644"
 468   notifies :restart, "service[shorewall]"
 469 end
 470
 471 if node[:networking][:firewall][:enabled]
 472   service "shorewall" do
 473     action [:enable, :start]
 474     supports :restart => true
 475     status_command "shorewall status"
 476     ignore_failure true
 477   end
 478 else
 479   service "shorewall" do
 480     action [:disable, :stop]
 481     supports :restart => true
 482     status_command "shorewall status"
 483     ignore_failure true
 484   end
 485 end
 486
 487 template "/etc/logrotate.d/shorewall" do
 488   source "logrotate.shorewall.erb"
 489   owner "root"
 490   group "root"
 491   mode "644"
 492   variables :name => "shorewall"
 493 end
 494
 495 firewall_rule "limit-icmp-echo" do
 496   action :accept
 497   family :inet
 498   source "net"
 499   dest "fw"
 500   proto "icmp"
 501   dest_ports "echo-request"
 502   rate_limit "s:1/sec:5"
 503 end
 504
 505 if node[:networking][:wireguard][:enabled]
 506   wireguard_source = if node[:roles].include?("gateway")
 507                        "net"
 508                      else
 509                        "osm"
 510                      end
 511
 512   firewall_rule "accept-wireguard" do
 513     action :accept
 514     source wireguard_source
 515     dest "fw"
 516     proto "udp"
 517     dest_ports "51820"
 518     source_ports "51820"
 519   end
 520 end
 521
 522 file "/etc/shorewall/masq" do
 523   action :delete
 524 end
 525
 526 file "/etc/shorewall/masq.bak" do
 527   action :delete
 528 end
 529
 530 if node[:roles].include?("gateway")
 531   template "/etc/shorewall/snat" do
 532     source "shorewall-snat.erb"
 533     owner "root"
 534     group "root"
 535     mode "644"
 536     notifies :restart, "service[shorewall]"
 537   end
 538 else
 539   file "/etc/shorewall/snat" do
 540     action :delete
 541     notifies :restart, "service[shorewall]"
 542   end
 543 end
 544
 545 unless node.interfaces(:family => :inet6).empty?
 546   package "shorewall6"
 547
 548   template "/etc/default/shorewall6" do
 549     source "shorewall-default.erb"
 550     owner "root"
 551     group "root"
 552     mode "644"
 553     notifies :restart, "service[shorewall6]"
 554   end
 555
 556   template "/etc/shorewall6/shorewall6.conf" do
 557     source "shorewall6.conf.erb"
 558     owner "root"
 559     group "root"
 560     mode "644"
 561     notifies :restart, "service[shorewall6]"
 562   end
 563
 564   template "/etc/shorewall6/zones" do
 565     source "shorewall-zones.erb"
 566     owner "root"
 567     group "root"
 568     mode "644"
 569     variables :type => "ipv6"
 570     notifies :restart, "service[shorewall6]"
 571   end
 572
 573   template "/etc/shorewall6/interfaces" do
 574     source "shorewall6-interfaces.erb"
 575     owner "root"
 576     group "root"
 577     mode "644"
 578     notifies :restart, "service[shorewall6]"
 579   end
 580
 581   template "/etc/shorewall6/hosts" do
 582     source "shorewall6-hosts.erb"
 583     owner "root"
 584     group "root"
 585     mode "644"
 586     variables :zones => zones
 587     notifies :restart, "service[shorewall6]"
 588   end
 589
 590   template "/etc/shorewall6/conntrack" do
 591     source "shorewall-conntrack.erb"
 592     owner "root"
 593     group "root"
 594     mode "644"
 595     notifies :restart, "service[shorewall6]"
 596     only_if { node[:networking][:firewall][:raw] }
 597   end
 598
 599   template "/etc/shorewall6/policy" do
 600     source "shorewall-policy.erb"
 601     owner "root"
 602     group "root"
 603     mode "644"
 604     notifies :restart, "service[shorewall6]"
 605   end
 606
 607   template "/etc/shorewall6/rules" do
 608     source "shorewall-rules.erb"
 609     owner "root"
 610     group "root"
 611     mode "644"
 612     variables :family => "inet6"
 613     notifies :restart, "service[shorewall6]"
 614   end
 615
 616   if node[:networking][:firewall][:enabled]
 617     service "shorewall6" do
 618       action [:enable, :start]
 619       supports :restart => true
 620       status_command "shorewall6 status"
 621       ignore_failure true
 622     end
 623   else
 624     service "shorewall6" do
 625       action [:disable, :stop]
 626       supports :restart => true
 627       status_command "shorewall6 status"
 628       ignore_failure true
 629     end
 630   end
 631
 632   template "/etc/logrotate.d/shorewall6" do
 633     source "logrotate.shorewall.erb"
 634     owner "root"
 635     group "root"
 636     mode "644"
 637     variables :name => "shorewall6"
 638   end
 639
 640   firewall_rule "limit-icmp6-echo" do
 641     action :accept
 642     family :inet6
 643     source "net"
 644     dest "fw"
 645     proto "ipv6-icmp"
 646     dest_ports "echo-request"
 647     rate_limit "s:1/sec:5"
 648   end
 649 end
 650
 651 firewall_rule "accept-http" do
 652   action :accept
 653   source "net"
 654   dest "fw"
 655   proto "tcp:syn"
 656   dest_ports "http"
 657   rate_limit node[:networking][:firewall][:http_rate_limit]
 658   connection_limit node[:networking][:firewall][:http_connection_limit]
 659 end
 660
 661 firewall_rule "accept-https" do
 662   action :accept
 663   source "net"
 664   dest "fw"
 665   proto "tcp:syn"
 666   dest_ports "https"
 667   rate_limit node[:networking][:firewall][:http_rate_limit]
 668   connection_limit node[:networking][:firewall][:http_connection_limit]
 669 end