cookbooks/networking/templates/default/nftables.conf.erb

   1 #!/usr/sbin/nft -f
   2
   3 define external-interfaces = { <%= @interfaces.sort.uniq.join(", ") %> }
   4
   5 define ip-private-addresses = { 10.0.0.0/8, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16 }
   6 define ip6-private-addresses = { 2001:db8::/32, fc00::/7 }
   7
   8 flush ruleset
   9
  10 table inet filter {
  11   set ip-osm-addresses {
  12     type ipv4_addr
  13     elements = { <%= Array(@hosts["inet"]).sort.join(", ") %> }
  14   }
  15
  16   set ip6-osm-addresses {
  17     type ipv6_addr
  18     elements = { <%= Array(@hosts["inet6"]).sort.join(", ") %> }
  19   }
  20
  21   set ip-blacklist {
  22     type ipv4_addr
  23     flags dynamic
  24   }
  25
  26   set ip6-blacklist {
  27     type ipv6_addr
  28     flags dynamic
  29   }
  30
  31 <%- node[:networking][:firewall][:sets].each do |set| %>
  32   set <%= set %> {
  33 <%- if set.end_with?("-ip") %>
  34     type ipv4_addr
  35 <%- elsif set.end_with?("-ip6") %>
  36     type ipv6_addr
  37 <%- end %>
  38     flags dynamic
  39   }
  40
  41 <%- end %>
  42   chain log-and-drop {
  43     limit rate 1/second log
  44     drop
  45   }
  46
  47   chain log-and-reject {
  48     limit rate 1/second log
  49     reject
  50   }
  51
  52   chain incoming {
  53     ip saddr { $ip-private-addresses } jump log-and-drop
  54     ip6 saddr { $ip6-private-addresses } jump log-and-drop
  55
  56     ip saddr @ip-blacklist jump log-and-drop
  57     ip6 saddr @ip6-blacklist jump log-and-drop
  58
  59     ct state { established, related } accept
  60
  61     icmp type { destination-unreachable } accept
  62     icmpv6 type { nd-neighbor-solicit, nd-neighbor-advert, nd-router-solicit, nd-router-advert } accept
  63
  64     icmp type { echo-request } limit rate 1/second accept
  65     icmpv6 type { echo-request } limit rate 1/second accept
  66
  67     meta l4proto { icmp, icmpv6 } jump log-and-drop
  68
  69 <%- node[:networking][:firewall][:incoming].uniq.each do |rule| %>
  70     <%= rule %>
  71 <%- end %>
  72
  73     jump log-and-drop
  74   }
  75
  76   chain outgoing {
  77     ip daddr { $ip-private-addresses } jump log-and-drop
  78     ip6 daddr { $ip6-private-addresses } jump log-and-drop
  79
  80 <%- node[:networking][:firewall][:outgoing].each do |rule| %>
  81     <%= rule %>
  82 <%- end %>
  83
  84     accept
  85   }
  86
  87   chain input {
  88     type filter hook input priority filter;
  89
  90     iif { $external-interfaces } jump incoming
  91
  92     accept
  93   }
  94
  95   chain forward {
  96     type filter hook forward priority filter;
  97
  98     iif { $external-interfaces } jump incoming
  99     oif { $external-interfaces } jump outgoing
 100
 101     accept
 102   }
 103
 104   chain output {
 105     type filter hook output priority filter;
 106
 107     oif { $external-interfaces } jump outgoing
 108
 109     accept
 110   }
 111 }
 112 <%- if node[:roles].include?("gateway") %>
 113
 114 table ip nat {
 115   chain postrouting {
 116     type nat hook postrouting priority srcnat;
 117
 118 <%- node.interfaces(:role => :external).each do |external| %>
 119 <%- node.interfaces(:role => :internal).each do |internal| %>
 120     oif { < %= external[:interface] %> } ip saddr { <%= internal[:network] %>/<%= internal[:prefix] %> } snat <%= external[:address] %>
 121 <%- end %>
 122 <%- end %>
 123   }
 124 }
 125 <%- end %>