cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook Name:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright 2010, OpenStreetMap Foundation.
   6 # Copyright 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 netplan = {
  27   "network" => {
  28     "version" => 2,
  29     "renderer" => "networkd",
  30     "ethernets" => {},
  31     "bonds" => {},
  32     "vlans" => {}
  33   }
  34 }
  35
  36 node[:networking][:interfaces].each do |name, interface|
  37   if interface[:interface]
  38     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  39       if role[interface[:family]]
  40         node.normal[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  41         node.normal[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  42       end
  43
  44       node.normal[:networking][:interfaces][name][:metric] = role[:metric]
  45       node.normal[:networking][:interfaces][name][:zone] = role[:zone]
  46     end
  47
  48     prefix = node[:networking][:interfaces][name][:prefix]
  49
  50     node.normal[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  51     node.normal[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  52
  53     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  54                    netplan["network"]["vlans"][interface[:interface]] ||= {
  55                      "id" => Regexp.last_match(2).to_i,
  56                      "link" => Regexp.last_match(1),
  57                      "accept-ra" => false,
  58                      "addresses" => [],
  59                      "routes" => []
  60                    }
  61                  elsif interface[:interface] =~ /^bond\d+$/
  62                    netplan["network"]["bonds"][interface[:interface]] ||= {
  63                      "accept-ra" => false,
  64                      "addresses" => [],
  65                      "routes" => []
  66                    }
  67                  else
  68                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  69                      "accept-ra" => false,
  70                      "addresses" => [],
  71                      "routes" => []
  72                    }
  73                  end
  74
  75     deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  76
  77     if interface[:bond]
  78       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  79
  80       deviceplan["parameters"] = {
  81         "mode" => interface[:bond][:mode] || "active-backup",
  82         "primary" => interface[:bond][:slaves].first,
  83         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  84         "down-delay" => interface[:bond][:downdelay] || 200,
  85         "up-delay" => interface[:bond][:updelay] || 200
  86       }
  87
  88       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
  89       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
  90     end
  91
  92     if interface[:gateway]
  93       if interface[:family] == "inet"
  94         default_route = "0.0.0.0/0"
  95       elsif interface[:family] == "inet6"
  96         default_route = "::/0"
  97       end
  98
  99       deviceplan["routes"].push(
 100         "to" => default_route,
 101         "via" => interface[:gateway],
 102         "metric" => interface[:metric],
 103         "on-link" => true
 104       )
 105
 106       # This ordering relies on systemd-networkd adding routes
 107       # in reverse order and will need moving before the previous
 108       # route once that is fixed:
 109       #
 110       # https://github.com/systemd/systemd/issues/5430
 111       # https://github.com/systemd/systemd/pull/10938
 112       if interface[:family] == "inet6" &&
 113          !interface[:network].include?(interface[:gateway]) &&
 114          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 115         deviceplan["routes"].push(
 116           "to" => interface[:gateway],
 117           "scope" => "link"
 118         )
 119       end
 120     end
 121   else
 122     node.rm(:networking, :interfaces, name)
 123   end
 124 end
 125
 126 netplan["network"]["bonds"].each_value do |bond|
 127   bond["interfaces"].each do |interface|
 128     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false }
 129   end
 130 end
 131
 132 netplan["network"]["vlans"].each_value do |vlan|
 133   unless vlan["link"] =~ /^bond\d+$/
 134     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 135   end
 136 end
 137
 138 file "/etc/netplan/01-netcfg.yaml" do
 139   action :delete
 140 end
 141
 142 file "/etc/netplan/50-cloud-init.yaml" do
 143   action :delete
 144 end
 145
 146 file "/etc/netplan/99-chef.yaml" do
 147   owner "root"
 148   group "root"
 149   mode 0o644
 150   content YAML.dump(netplan)
 151 end
 152
 153 package "cloud-init" do
 154   action :purge
 155 end
 156
 157 execute "hostname" do
 158   action :nothing
 159   command "/bin/hostname -F /etc/hostname"
 160 end
 161
 162 template "/etc/hostname" do
 163   source "hostname.erb"
 164   owner "root"
 165   group "root"
 166   mode 0o644
 167   notifies :run, "execute[hostname]"
 168 end
 169
 170 template "/etc/hosts" do
 171   source "hosts.erb"
 172   owner "root"
 173   group "root"
 174   mode 0o644
 175 end
 176
 177 if node[:networking][:resolved]
 178   service "systemd-resolved" do
 179     action [:enable, :start]
 180   end
 181
 182   directory "/etc/systemd/resolved.conf.d" do
 183     owner "root"
 184     group "root"
 185     mode 0o755
 186   end
 187
 188   template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 189     source "resolved.conf.erb"
 190     owner "root"
 191     group "root"
 192     mode 0o644
 193     notifies :restart, "service[systemd-resolved]"
 194   end
 195
 196   file "/etc/resolv.conf" do
 197     action :delete
 198     not_if { ::File.symlink?("/etc/resolv.conf") }
 199   end
 200
 201   link "/etc/resolv.conf" do
 202     to "../run/systemd/resolve/stub-resolv.conf"
 203   end
 204
 205   package "resolvconf" do
 206     action :purge
 207   end
 208 else
 209   unless node[:networking][:nameservers].empty?
 210     link "/etc/resolv.conf" do
 211       action :delete
 212       link_type :symbolic
 213       to "/run/resolvconf/resolv.conf"
 214       only_if { File.symlink?("/etc/resolv.conf") }
 215     end
 216
 217     template "/etc/resolv.conf" do
 218       source "resolv.conf.erb"
 219       owner "root"
 220       group "root"
 221       mode 0o644
 222     end
 223   end
 224 end
 225
 226 node.interfaces(:role => :internal) do |interface|
 227   if interface[:gateway] && interface[:gateway] != interface[:address]
 228     search(:node, "networking_interfaces*address:#{interface[:gateway]}") do |gateway|
 229       next unless gateway[:openvpn]
 230
 231       gateway[:openvpn][:tunnels].each_value do |tunnel|
 232         if tunnel[:peer][:address] # ~FC023
 233           route tunnel[:peer][:address] do
 234             netmask "255.255.255.255"
 235             gateway interface[:gateway]
 236             device interface[:interface]
 237           end
 238         end
 239
 240         next unless tunnel[:peer][:networks]
 241
 242         tunnel[:peer][:networks].each do |network|
 243           route network[:address] do
 244             netmask network[:netmask]
 245             gateway interface[:gateway]
 246             device interface[:interface]
 247           end
 248         end
 249       end
 250     end
 251   end
 252 end
 253
 254 zones = {}
 255
 256 search(:node, "networking:interfaces").collect do |n|
 257   next if n[:fqdn] == node[:fqdn]
 258
 259   n.interfaces.each do |interface|
 260     next unless interface[:role] == "external" && interface[:zone]
 261
 262     zones[interface[:zone]] ||= {}
 263     zones[interface[:zone]][interface[:family]] ||= []
 264     zones[interface[:zone]][interface[:family]] << interface[:address]
 265   end
 266 end
 267
 268 package "shorewall"
 269
 270 template "/etc/default/shorewall" do
 271   source "shorewall-default.erb"
 272   owner "root"
 273   group "root"
 274   mode 0o644
 275   notifies :restart, "service[shorewall]"
 276 end
 277
 278 template "/etc/shorewall/shorewall.conf" do
 279   source "shorewall.conf.erb"
 280   owner "root"
 281   group "root"
 282   mode 0o644
 283   notifies :restart, "service[shorewall]"
 284 end
 285
 286 template "/etc/shorewall/zones" do
 287   source "shorewall-zones.erb"
 288   owner "root"
 289   group "root"
 290   mode 0o644
 291   variables :type => "ipv4"
 292   notifies :restart, "service[shorewall]"
 293 end
 294
 295 template "/etc/shorewall/interfaces" do
 296   source "shorewall-interfaces.erb"
 297   owner "root"
 298   group "root"
 299   mode 0o644
 300   notifies :restart, "service[shorewall]"
 301 end
 302
 303 template "/etc/shorewall/hosts" do
 304   source "shorewall-hosts.erb"
 305   owner "root"
 306   group "root"
 307   mode 0o644
 308   variables :zones => zones
 309   notifies :restart, "service[shorewall]"
 310 end
 311
 312 template "/etc/shorewall/conntrack" do
 313   source "shorewall-conntrack.erb"
 314   owner "root"
 315   group "root"
 316   mode 0o644
 317   notifies :restart, "service[shorewall]"
 318   only_if { node[:networking][:firewall][:raw] }
 319 end
 320
 321 template "/etc/shorewall/policy" do
 322   source "shorewall-policy.erb"
 323   owner "root"
 324   group "root"
 325   mode 0o644
 326   notifies :restart, "service[shorewall]"
 327 end
 328
 329 template "/etc/shorewall/rules" do
 330   source "shorewall-rules.erb"
 331   owner "root"
 332   group "root"
 333   mode 0o644
 334   variables :family => "inet"
 335   notifies :restart, "service[shorewall]"
 336 end
 337
 338 service "shorewall" do
 339   action [:enable, :start]
 340   supports :restart => true
 341   status_command "shorewall status"
 342 end
 343
 344 template "/etc/logrotate.d/shorewall" do
 345   source "logrotate.shorewall.erb"
 346   owner "root"
 347   group "root"
 348   mode 0o644
 349   variables :name => "shorewall"
 350 end
 351
 352 firewall_rule "limit-icmp-echo" do
 353   action :accept
 354   family :inet
 355   source "net"
 356   dest "fw"
 357   proto "icmp"
 358   dest_ports "echo-request"
 359   rate_limit "s:1/sec:5"
 360 end
 361
 362 %w[ucl ams bm].each do |zone|
 363   firewall_rule "accept-openvpn-#{zone}" do
 364     action :accept
 365     source zone
 366     dest "fw"
 367     proto "udp"
 368     dest_ports "1194:1197"
 369     source_ports "1194:1197"
 370   end
 371 end
 372
 373 if node[:roles].include?("gateway")
 374   template "/etc/shorewall/masq" do
 375     source "shorewall-masq.erb"
 376     owner "root"
 377     group "root"
 378     mode 0o644
 379     notifies :restart, "service[shorewall]"
 380   end
 381 else
 382   file "/etc/shorewall/masq" do
 383     action :delete
 384     notifies :restart, "service[shorewall]"
 385   end
 386 end
 387
 388 unless node.interfaces(:family => :inet6).empty?
 389   package "shorewall6"
 390
 391   template "/etc/default/shorewall6" do
 392     source "shorewall-default.erb"
 393     owner "root"
 394     group "root"
 395     mode 0o644
 396     notifies :restart, "service[shorewall6]"
 397   end
 398
 399   template "/etc/shorewall6/shorewall6.conf" do
 400     source "shorewall6.conf.erb"
 401     owner "root"
 402     group "root"
 403     mode 0o644
 404     notifies :restart, "service[shorewall6]"
 405   end
 406
 407   template "/etc/shorewall6/zones" do
 408     source "shorewall-zones.erb"
 409     owner "root"
 410     group "root"
 411     mode 0o644
 412     variables :type => "ipv6"
 413     notifies :restart, "service[shorewall6]"
 414   end
 415
 416   template "/etc/shorewall6/interfaces" do
 417     source "shorewall6-interfaces.erb"
 418     owner "root"
 419     group "root"
 420     mode 0o644
 421     notifies :restart, "service[shorewall6]"
 422   end
 423
 424   template "/etc/shorewall6/hosts" do
 425     source "shorewall6-hosts.erb"
 426     owner "root"
 427     group "root"
 428     mode 0o644
 429     variables :zones => zones
 430     notifies :restart, "service[shorewall6]"
 431   end
 432
 433   template "/etc/shorewall6/conntrack" do
 434     source "shorewall-conntrack.erb"
 435     owner "root"
 436     group "root"
 437     mode 0o644
 438     notifies :restart, "service[shorewall6]"
 439     only_if { node[:networking][:firewall][:raw] }
 440   end
 441
 442   template "/etc/shorewall6/policy" do
 443     source "shorewall-policy.erb"
 444     owner "root"
 445     group "root"
 446     mode 0o644
 447     notifies :restart, "service[shorewall6]"
 448   end
 449
 450   template "/etc/shorewall6/rules" do
 451     source "shorewall-rules.erb"
 452     owner "root"
 453     group "root"
 454     mode 0o644
 455     variables :family => "inet6"
 456     notifies :restart, "service[shorewall6]"
 457   end
 458
 459   service "shorewall6" do
 460     action [:enable, :start]
 461     supports :restart => true
 462     status_command "shorewall6 status"
 463   end
 464
 465   template "/etc/logrotate.d/shorewall6" do
 466     source "logrotate.shorewall.erb"
 467     owner "root"
 468     group "root"
 469     mode 0o644
 470     variables :name => "shorewall6"
 471   end
 472
 473   firewall_rule "limit-icmp6-echo" do
 474     action :accept
 475     family :inet6
 476     source "net"
 477     dest "fw"
 478     proto "ipv6-icmp"
 479     dest_ports "echo-request"
 480     rate_limit "s:1/sec:5"
 481   end
 482 end
 483
 484 firewall_rule "accept-http" do
 485   action :accept
 486   source "net"
 487   dest "fw"
 488   proto "tcp:syn"
 489   dest_ports "http"
 490   rate_limit node[:networking][:firewall][:http_rate_limit]
 491   connection_limit node[:networking][:firewall][:http_connection_limit]
 492 end
 493
 494 firewall_rule "accept-https" do
 495   action :accept
 496   source "net"
 497   dest "fw"
 498   proto "tcp:syn"
 499   dest_ports "https"
 500   rate_limit node[:networking][:firewall][:http_rate_limit]
 501   connection_limit node[:networking][:firewall][:http_connection_limit]
 502 end