cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 package "netplan.io"
  27
  28 netplan = {
  29   "network" => {
  30     "version" => 2,
  31     "renderer" => "networkd",
  32     "ethernets" => {},
  33     "bonds" => {},
  34     "vlans" => {}
  35   }
  36 }
  37
  38 node[:networking][:interfaces].each do |name, interface|
  39   if interface[:interface]
  40     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  41       if role[interface[:family]]
  42         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  43         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  44         node.normal[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  45       end
  46
  47       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  48       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  49     end
  50
  51     if interface[:address]
  52       prefix = node[:networking][:interfaces][name][:prefix]
  53
  54       node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  55       node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  56     end
  57
  58     interface = node[:networking][:interfaces][name]
  59
  60     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  61                    netplan["network"]["vlans"][interface[:interface]] ||= {
  62                      "id" => Regexp.last_match(2).to_i,
  63                      "link" => Regexp.last_match(1),
  64                      "accept-ra" => false,
  65                      "addresses" => [],
  66                      "routes" => []
  67                    }
  68                  elsif interface[:interface] =~ /^bond\d+$/
  69                    netplan["network"]["bonds"][interface[:interface]] ||= {
  70                      "accept-ra" => false,
  71                      "addresses" => [],
  72                      "routes" => []
  73                    }
  74                  else
  75                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  76                      "accept-ra" => false,
  77                      "addresses" => [],
  78                      "routes" => []
  79                    }
  80                  end
  81
  82     if interface[:address]
  83       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  84     end
  85
  86     if interface[:mtu]
  87       deviceplan["mtu"] = interface[:mtu]
  88     end
  89
  90     if interface[:bond]
  91       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  92
  93       deviceplan["parameters"] = {
  94         "mode" => interface[:bond][:mode] || "active-backup",
  95         "primary" => interface[:bond][:slaves].first,
  96         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  97         "down-delay" => interface[:bond][:downdelay] || 200,
  98         "up-delay" => interface[:bond][:updelay] || 200
  99       }
 100
 101       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 102       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 103     end
 104
 105     if interface[:gateway]
 106       if interface[:family] == "inet"
 107         default_route = "0.0.0.0/0"
 108       elsif interface[:family] == "inet6"
 109         default_route = "::/0"
 110       end
 111
 112       deviceplan["routes"].push(
 113         "to" => default_route,
 114         "via" => interface[:gateway],
 115         "metric" => interface[:metric],
 116         "on-link" => true
 117       )
 118
 119       # This ordering relies on systemd-networkd adding routes
 120       # in reverse order and will need moving before the previous
 121       # route once that is fixed:
 122       #
 123       # https://github.com/systemd/systemd/issues/5430
 124       # https://github.com/systemd/systemd/pull/10938
 125       if interface[:family] == "inet6" &&
 126          !interface[:network].include?(interface[:gateway]) &&
 127          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 128         deviceplan["routes"].push(
 129           "to" => interface[:gateway],
 130           "scope" => "link"
 131         )
 132       end
 133     end
 134
 135     if interface[:routes]
 136       interface[:routes].each do |to, parameters|
 137         route = {
 138           "to" => to
 139         }
 140
 141         route["type"] = parameters[:type] if parameters[:type]
 142         route["via"] = parameters[:via] if parameters[:via]
 143         route["metric"] = parameters[:metric] if parameters[:metric]
 144
 145         deviceplan["routes"].push(route)
 146       end
 147     end
 148   else
 149     node.rm(:networking, :interfaces, name)
 150   end
 151 end
 152
 153 netplan["network"]["bonds"].each_value do |bond|
 154   bond["interfaces"].each do |interface|
 155     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 156   end
 157 end
 158
 159 netplan["network"]["vlans"].each_value do |vlan|
 160   unless vlan["link"] =~ /^bond\d+$/
 161     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 162   end
 163 end
 164
 165 file "/etc/netplan/01-netcfg.yaml" do
 166   action :delete
 167 end
 168
 169 file "/etc/netplan/50-cloud-init.yaml" do
 170   action :delete
 171 end
 172
 173 file "/etc/netplan/99-chef.yaml" do
 174   owner "root"
 175   group "root"
 176   mode 0o644
 177   content YAML.dump(netplan)
 178 end
 179
 180 package "cloud-init" do
 181   action :purge
 182 end
 183
 184 ohai "reload-hostname" do
 185   action :nothing
 186   plugin "hostname"
 187 end
 188
 189 execute "hostnamectl-set-hostname" do
 190   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 191   notifies :reload, "ohai[reload-hostname]"
 192   not_if { ENV.key?("TEST_KITCHEN") || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 193 end
 194
 195 template "/etc/hosts" do
 196   source "hosts.erb"
 197   owner "root"
 198   group "root"
 199   mode 0o644
 200   not_if { ENV["TEST_KITCHEN"] }
 201 end
 202
 203 service "systemd-resolved" do
 204   action [:enable, :start]
 205 end
 206
 207 directory "/etc/systemd/resolved.conf.d" do
 208   owner "root"
 209   group "root"
 210   mode 0o755
 211 end
 212
 213 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 214   source "resolved.conf.erb"
 215   owner "root"
 216   group "root"
 217   mode 0o644
 218   notifies :restart, "service[systemd-resolved]", :immediately
 219 end
 220
 221 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 222   mount "/etc/resolv.conf" do
 223     action :umount
 224     device node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"][:devices].first
 225   end
 226 end
 227
 228 link "/etc/resolv.conf" do
 229   to "../run/systemd/resolve/stub-resolv.conf"
 230 end
 231
 232 if node[:networking][:tcp_fastopen_key]
 233   fastopen_keys = data_bag_item("networking", "fastopen")
 234
 235   node.normal[:sysctl][:tcp_fastopen] = {
 236     :comment => "Set shared key for TCP fast open",
 237     :parameters => {
 238       "net.ipv4.tcp_fastopen_key" => fastopen_keys[node[:networking][:tcp_fastopen_key]]
 239     }
 240   }
 241 end
 242
 243 node.interfaces(:role => :internal) do |interface|
 244   if interface[:gateway] && interface[:gateway] != interface[:address]
 245     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 246       next unless gateway[:openvpn]
 247
 248       gateway[:openvpn][:tunnels].each_value do |tunnel|
 249         if tunnel[:peer][:address]
 250           route tunnel[:peer][:address] do
 251             netmask "255.255.255.255"
 252             gateway interface[:gateway]
 253             device interface[:interface]
 254           end
 255         end
 256
 257         next unless tunnel[:peer][:networks]
 258
 259         tunnel[:peer][:networks].each do |network|
 260           route network[:address] do
 261             netmask network[:netmask]
 262             gateway interface[:gateway]
 263             device interface[:interface]
 264           end
 265         end
 266       end
 267     end
 268   end
 269 end
 270
 271 zones = {}
 272
 273 search(:node, "networking:interfaces").collect do |n|
 274   next if n[:fqdn] == node[:fqdn]
 275
 276   n.interfaces.each do |interface|
 277     next unless interface[:role] == "external" && interface[:zone]
 278
 279     zones[interface[:zone]] ||= {}
 280     zones[interface[:zone]][interface[:family]] ||= []
 281     zones[interface[:zone]][interface[:family]] << interface[:address]
 282   end
 283 end
 284
 285 package "shorewall"
 286
 287 template "/etc/default/shorewall" do
 288   source "shorewall-default.erb"
 289   owner "root"
 290   group "root"
 291   mode 0o644
 292   notifies :restart, "service[shorewall]"
 293 end
 294
 295 template "/etc/shorewall/shorewall.conf" do
 296   source "shorewall.conf.erb"
 297   owner "root"
 298   group "root"
 299   mode 0o644
 300   notifies :restart, "service[shorewall]"
 301 end
 302
 303 template "/etc/shorewall/zones" do
 304   source "shorewall-zones.erb"
 305   owner "root"
 306   group "root"
 307   mode 0o644
 308   variables :type => "ipv4"
 309   notifies :restart, "service[shorewall]"
 310 end
 311
 312 template "/etc/shorewall/interfaces" do
 313   source "shorewall-interfaces.erb"
 314   owner "root"
 315   group "root"
 316   mode 0o644
 317   notifies :restart, "service[shorewall]"
 318 end
 319
 320 template "/etc/shorewall/hosts" do
 321   source "shorewall-hosts.erb"
 322   owner "root"
 323   group "root"
 324   mode 0o644
 325   variables :zones => zones
 326   notifies :restart, "service[shorewall]"
 327 end
 328
 329 template "/etc/shorewall/conntrack" do
 330   source "shorewall-conntrack.erb"
 331   owner "root"
 332   group "root"
 333   mode 0o644
 334   notifies :restart, "service[shorewall]"
 335   only_if { node[:networking][:firewall][:raw] }
 336 end
 337
 338 template "/etc/shorewall/policy" do
 339   source "shorewall-policy.erb"
 340   owner "root"
 341   group "root"
 342   mode 0o644
 343   notifies :restart, "service[shorewall]"
 344 end
 345
 346 template "/etc/shorewall/rules" do
 347   source "shorewall-rules.erb"
 348   owner "root"
 349   group "root"
 350   mode 0o644
 351   variables :family => "inet"
 352   notifies :restart, "service[shorewall]"
 353 end
 354
 355 service "shorewall" do
 356   action [:enable, :start]
 357   supports :restart => true
 358   status_command "shorewall status"
 359 end
 360
 361 template "/etc/logrotate.d/shorewall" do
 362   source "logrotate.shorewall.erb"
 363   owner "root"
 364   group "root"
 365   mode 0o644
 366   variables :name => "shorewall"
 367 end
 368
 369 firewall_rule "limit-icmp-echo" do
 370   action :accept
 371   family :inet
 372   source "net"
 373   dest "fw"
 374   proto "icmp"
 375   dest_ports "echo-request"
 376   rate_limit "s:1/sec:5"
 377 end
 378
 379 %w[ucl ams bm].each do |zone|
 380   firewall_rule "accept-openvpn-#{zone}" do
 381     action :accept
 382     source zone
 383     dest "fw"
 384     proto "udp"
 385     dest_ports "1194:1197"
 386     source_ports "1194:1197"
 387   end
 388 end
 389
 390 if node[:roles].include?("gateway")
 391   template "/etc/shorewall/masq" do
 392     source "shorewall-masq.erb"
 393     owner "root"
 394     group "root"
 395     mode 0o644
 396     notifies :restart, "service[shorewall]"
 397   end
 398 else
 399   file "/etc/shorewall/masq" do
 400     action :delete
 401     notifies :restart, "service[shorewall]"
 402   end
 403 end
 404
 405 unless node.interfaces(:family => :inet6).empty?
 406   package "shorewall6"
 407
 408   template "/etc/default/shorewall6" do
 409     source "shorewall-default.erb"
 410     owner "root"
 411     group "root"
 412     mode 0o644
 413     notifies :restart, "service[shorewall6]"
 414   end
 415
 416   template "/etc/shorewall6/shorewall6.conf" do
 417     source "shorewall6.conf.erb"
 418     owner "root"
 419     group "root"
 420     mode 0o644
 421     notifies :restart, "service[shorewall6]"
 422   end
 423
 424   template "/etc/shorewall6/zones" do
 425     source "shorewall-zones.erb"
 426     owner "root"
 427     group "root"
 428     mode 0o644
 429     variables :type => "ipv6"
 430     notifies :restart, "service[shorewall6]"
 431   end
 432
 433   template "/etc/shorewall6/interfaces" do
 434     source "shorewall6-interfaces.erb"
 435     owner "root"
 436     group "root"
 437     mode 0o644
 438     notifies :restart, "service[shorewall6]"
 439   end
 440
 441   template "/etc/shorewall6/hosts" do
 442     source "shorewall6-hosts.erb"
 443     owner "root"
 444     group "root"
 445     mode 0o644
 446     variables :zones => zones
 447     notifies :restart, "service[shorewall6]"
 448   end
 449
 450   template "/etc/shorewall6/conntrack" do
 451     source "shorewall-conntrack.erb"
 452     owner "root"
 453     group "root"
 454     mode 0o644
 455     notifies :restart, "service[shorewall6]"
 456     only_if { node[:networking][:firewall][:raw] }
 457   end
 458
 459   template "/etc/shorewall6/policy" do
 460     source "shorewall-policy.erb"
 461     owner "root"
 462     group "root"
 463     mode 0o644
 464     notifies :restart, "service[shorewall6]"
 465   end
 466
 467   template "/etc/shorewall6/rules" do
 468     source "shorewall-rules.erb"
 469     owner "root"
 470     group "root"
 471     mode 0o644
 472     variables :family => "inet6"
 473     notifies :restart, "service[shorewall6]"
 474   end
 475
 476   service "shorewall6" do
 477     action [:enable, :start]
 478     supports :restart => true
 479     status_command "shorewall6 status"
 480   end
 481
 482   template "/etc/logrotate.d/shorewall6" do
 483     source "logrotate.shorewall.erb"
 484     owner "root"
 485     group "root"
 486     mode 0o644
 487     variables :name => "shorewall6"
 488   end
 489
 490   firewall_rule "limit-icmp6-echo" do
 491     action :accept
 492     family :inet6
 493     source "net"
 494     dest "fw"
 495     proto "ipv6-icmp"
 496     dest_ports "echo-request"
 497     rate_limit "s:1/sec:5"
 498   end
 499 end
 500
 501 firewall_rule "accept-http" do
 502   action :accept
 503   source "net"
 504   dest "fw"
 505   proto "tcp:syn"
 506   dest_ports "http"
 507   rate_limit node[:networking][:firewall][:http_rate_limit]
 508   connection_limit node[:networking][:firewall][:http_connection_limit]
 509 end
 510
 511 firewall_rule "accept-https" do
 512   action :accept
 513   source "net"
 514   dest "fw"
 515   proto "tcp:syn"
 516   dest_ports "https"
 517   rate_limit node[:networking][:firewall][:http_rate_limit]
 518   connection_limit node[:networking][:firewall][:http_connection_limit]
 519 end