cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 include_recipe "ruby"
  27
  28 keys = data_bag_item("networking", "keys")
  29
  30 file "/etc/netplan/00-installer-config.yaml" do
  31   action :delete
  32 end
  33
  34 file "/etc/netplan/01-netcfg.yaml" do
  35   action :delete
  36 end
  37
  38 file "/etc/netplan/50-cloud-init.yaml" do
  39   action :delete
  40 end
  41
  42 file "/etc/netplan/99-chef.yaml" do
  43   action :delete
  44 end
  45
  46 package "ifupdown" do
  47   action :purge
  48 end
  49
  50 package "netplan.io" do
  51   action :purge
  52 end
  53
  54 package "cloud-init" do
  55   action :purge
  56 end
  57
  58 interfaces = node[:networking][:interfaces].collect do |name, interface|
  59   [interface[:interface], name]
  60 end.to_h
  61
  62 node[:networking][:interfaces].each do |name, interface|
  63   if interface[:interface] =~ /^(.*)\.(\d+)$/
  64     vlan_interface = Regexp.last_match(1)
  65     vlan_id = Regexp.last_match(2)
  66
  67     parent = interfaces[vlan_interface] || "vlans_#{vlan_interface}"
  68
  69     node.default_unless[:networking][:interfaces][parent][:interface] = vlan_interface
  70     node.default_unless[:networking][:interfaces][parent][:vlans] = []
  71
  72     node.default[:networking][:interfaces][parent][:vlans] << vlan_id
  73   end
  74
  75   next unless interface[:role] && (role = node[:networking][:roles][interface[:role]])
  76
  77   if interface[:inet] && role[:inet]
  78     node.default_unless[:networking][:interfaces][name][:inet][:prefix] = role[:inet][:prefix]
  79     node.default_unless[:networking][:interfaces][name][:inet][:gateway] = role[:inet][:gateway]
  80     node.default_unless[:networking][:interfaces][name][:inet][:routes] = role[:inet][:routes]
  81     node.default_unless[:networking][:interfaces][name][:inet][:rules] = role[:inet][:rules]
  82   end
  83
  84   if interface[:inet6] && role[:inet6]
  85     node.default_unless[:networking][:interfaces][name][:inet6][:prefix] = role[:inet6][:prefix]
  86     node.default_unless[:networking][:interfaces][name][:inet6][:gateway] = role[:inet6][:gateway]
  87     node.default_unless[:networking][:interfaces][name][:inet6][:routes] = role[:inet6][:routes]
  88     node.default_unless[:networking][:interfaces][name][:inet6][:rules] = role[:inet6][:rules]
  89   end
  90
  91   node.default_unless[:networking][:interfaces][name][:metric] = role[:metric]
  92   node.default_unless[:networking][:interfaces][name][:zone] = role[:zone]
  93 end
  94
  95 node[:networking][:interfaces].each do |_, interface|
  96   if interface[:interface] =~ /^.*\.(\d+)$/
  97     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  98       source "vlan.netdev.erb"
  99       owner "root"
 100       group "root"
 101       mode "644"
 102       variables :interface => interface, :vlan => Regexp.last_match(1)
 103       notifies :run, "notify_group[networkctl-reload]"
 104     end
 105   elsif interface[:interface] =~ /^bond\d+$/
 106     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
 107       source "bond.netdev.erb"
 108       owner "root"
 109       group "root"
 110       mode "644"
 111       variables :interface => interface
 112       notifies :run, "notify_group[networkctl-reload]"
 113     end
 114
 115     interface[:bond][:slaves].each do |slave|
 116       template "/etc/systemd/network/10-#{slave}.network" do
 117         source "slave.network.erb"
 118         owner "root"
 119         group "root"
 120         mode "644"
 121         variables :master => interface, :slave => slave
 122         notifies :run, "notify_group[networkctl-reload]"
 123       end
 124     end
 125   end
 126
 127   template "/etc/systemd/network/10-#{interface[:interface]}.network" do
 128     source "network.erb"
 129     owner "root"
 130     group "root"
 131     mode "644"
 132     variables :interface => interface
 133     notifies :run, "notify_group[networkctl-reload]"
 134   end
 135 end
 136
 137 package "systemd-resolved" do
 138   action :install
 139   only_if { platform?("ubuntu") && node[:lsb][:release].to_f > 22.04 || platform?("debian") && node[:lsb][:release].to_f > 11.0 }
 140 end
 141
 142 service "systemd-networkd" do
 143   action [:enable, :start]
 144 end
 145
 146 if node[:networking][:wireguard][:enabled]
 147   wireguard_id = persistent_token("networking", "wireguard")
 148
 149   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 150
 151   package "wireguard-tools" do
 152     compile_time true
 153     options "--no-install-recommends"
 154   end
 155
 156   directory "/var/lib/systemd/wireguard" do
 157     owner "root"
 158     group "systemd-network"
 159     mode "750"
 160     compile_time true
 161   end
 162
 163   file "/var/lib/systemd/wireguard/private.key" do
 164     action :create_if_missing
 165     owner "root"
 166     group "systemd-network"
 167     mode "640"
 168     content %x(wg genkey)
 169     compile_time true
 170   end
 171
 172   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 173
 174   file "/var/lib/systemd/wireguard/preshared.key" do
 175     action :create_if_missing
 176     owner "root"
 177     group "systemd-network"
 178     mode "640"
 179     content keys["wireguard"]
 180   end
 181
 182   if node[:roles].include?("gateway")
 183     search(:node, "roles:gateway") do |gateway|
 184       next if gateway.name == node.name
 185       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 186
 187       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 188
 189       node.default[:networking][:wireguard][:peers] << {
 190         :public_key => gateway[:networking][:wireguard][:public_key],
 191         :allowed_ips => allowed_ips,
 192         :endpoint => "#{gateway.name}:51820"
 193       }
 194     end
 195
 196     search(:node, "roles:prometheus") do |server|
 197       allowed_ips = server.ipaddresses(:role => :internal).map(&:subnet)
 198
 199       if server[:networking][:private_address]
 200         allowed_ips << "#{server[:networking][:private_address]}/32"
 201       end
 202
 203       node.default[:networking][:wireguard][:peers] << {
 204         :public_key => server[:networking][:wireguard][:public_key],
 205         :allowed_ips => allowed_ips,
 206         :endpoint => "#{server.name}:51820"
 207       }
 208     end
 209
 210     node.default[:networking][:wireguard][:peers] << {
 211       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 212       :allowed_ips => "10.0.16.1/32",
 213       :endpoint => "gate.compton.nu:51820"
 214     }
 215
 216     # Grant home
 217     node.default[:networking][:wireguard][:peers] << {
 218       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 219       :allowed_ips => "10.89.122.1/32",
 220       :endpoint => "gate.firefishy.com:51820"
 221     }
 222
 223     # Grant roaming
 224     node.default[:networking][:wireguard][:peers] << {
 225       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 226       :allowed_ips => "10.89.123.1/32",
 227       :endpoint => "roaming.firefishy.com:51820"
 228     }
 229   elsif node[:roles].include?("shenron")
 230     search(:node, "roles:gateway") do |gateway|
 231       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 232
 233       node.default[:networking][:wireguard][:peers] << {
 234         :public_key => gateway[:networking][:wireguard][:public_key],
 235         :allowed_ips => allowed_ips,
 236         :endpoint => "#{gateway.name}:51820"
 237       }
 238     end
 239   end
 240
 241   file "/etc/systemd/network/wireguard.netdev" do
 242     action :delete
 243   end
 244
 245   template "/etc/systemd/network/10-wg0.netdev" do
 246     source "wireguard.netdev.erb"
 247     owner "root"
 248     group "systemd-network"
 249     mode "640"
 250     notifies :run, "execute[networkctl-delete-wg0]"
 251     notifies :run, "notify_group[networkctl-reload]"
 252   end
 253
 254   file "/etc/systemd/network/wireguard.network" do
 255     action :delete
 256   end
 257
 258   template "/etc/systemd/network/10-wg0.network" do
 259     source "wireguard.network.erb"
 260     owner "root"
 261     group "root"
 262     mode "644"
 263     notifies :run, "execute[networkctl-reload]"
 264   end
 265
 266   execute "networkctl-delete-wg0" do
 267     action :nothing
 268     command "networkctl delete wg0"
 269     only_if { ::File.exist?("/sys/class/net/wg0") }
 270   end
 271 end
 272
 273 # Setup dokken network in systemd-networkd to avoid systemd-networkd-wait-online delay
 274 template "/etc/systemd/network/dokken.network" do
 275   source "dokken.network.erb"
 276   owner "root"
 277   group "root"
 278   mode "644"
 279   notifies :run, "execute[networkctl-reload]", :immediately
 280   only_if { kitchen? }
 281 end
 282
 283 notify_group "networkctl-reload"
 284
 285 execute "networkctl-reload" do
 286   action :nothing
 287   command "networkctl reload"
 288   subscribes :run, "notify_group[networkctl-reload]"
 289 end
 290
 291 ohai "reload-hostname" do
 292   action :nothing
 293   plugin "hostname"
 294 end
 295
 296 execute "hostnamectl-set-hostname" do
 297   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 298   notifies :reload, "ohai[reload-hostname]"
 299   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 300 end
 301
 302 template "/etc/hosts" do
 303   source "hosts.erb"
 304   owner "root"
 305   group "root"
 306   mode "644"
 307   not_if { kitchen? }
 308 end
 309
 310 service "systemd-resolved" do
 311   action [:enable, :start]
 312 end
 313
 314 directory "/etc/systemd/resolved.conf.d" do
 315   owner "root"
 316   group "root"
 317   mode "755"
 318 end
 319
 320 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 321   source "resolved.conf.erb"
 322   owner "root"
 323   group "root"
 324   mode "644"
 325   notifies :restart, "service[systemd-resolved]", :immediately
 326 end
 327
 328 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 329   execute "umount-resolve-conf" do
 330     command "umount -c /etc/resolv.conf"
 331   end
 332 end
 333
 334 link "/etc/resolv.conf" do
 335   to "../run/systemd/resolve/stub-resolv.conf"
 336 end
 337
 338 gem_package "dbus-systemd" do
 339   gem_binary node[:ruby][:gem]
 340 end
 341
 342 prometheus_exporter "resolved" do
 343   port 10028
 344   user "systemd-resolve"
 345   restrict_address_families "AF_UNIX"
 346 end
 347
 348 hosts = { :inet => [], :inet6 => [] }
 349
 350 search(:node, "networking:interfaces").collect do |n|
 351   next if n[:fqdn] == node[:fqdn]
 352
 353   n.interfaces.each do |interface|
 354     next unless interface[:role] == "external"
 355
 356     hosts[:inet] << interface[:inet][:address] if interface[:inet]
 357     hosts[:inet6] << interface[:inet6][:address] if interface[:inet6]
 358   end
 359 end
 360
 361 package "nftables"
 362
 363 interfaces = []
 364
 365 node.interfaces(:role => :external).each do |interface|
 366   interfaces << interface[:interface]
 367 end
 368
 369 template "/etc/nftables.conf" do
 370   source "nftables.conf.erb"
 371   owner "root"
 372   group "root"
 373   mode "755"
 374   variables :interfaces => interfaces, :hosts => hosts
 375   notifies :reload, "service[nftables]"
 376 end
 377
 378 directory "/var/lib/nftables" do
 379   owner "root"
 380   group "root"
 381   mode "755"
 382 end
 383
 384 template "/usr/local/bin/nftables" do
 385   source "nftables.erb"
 386   owner "root"
 387   group "root"
 388   mode "755"
 389 end
 390
 391 systemd_service "nftables-stop" do
 392   action :delete
 393   service "nftables"
 394   dropin "stop"
 395 end
 396
 397 systemd_service "nftables-chef" do
 398   service "nftables"
 399   dropin "chef"
 400   exec_start "/usr/local/bin/nftables start"
 401   exec_reload "/usr/local/bin/nftables reload"
 402   exec_stop "/usr/local/bin/nftables stop"
 403 end
 404
 405 if node[:networking][:firewall][:enabled]
 406   service "nftables" do
 407     action [:enable, :start]
 408   end
 409 else
 410   service "nftables" do
 411     action [:disable, :stop]
 412   end
 413 end
 414
 415 if node[:networking][:wireguard][:enabled]
 416   firewall_rule "accept-wireguard" do
 417     action :accept
 418     context :incoming
 419     protocol :udp
 420     source :osm unless node[:roles].include?("gateway")
 421     dest_ports "51820"
 422     source_ports "51820"
 423   end
 424 end
 425
 426 firewall_rule "accept-http-osm" do
 427   action :accept
 428   context :incoming
 429   protocol :tcp
 430   source :osm
 431   dest_ports %w[http https]
 432 end
 433
 434 firewall_rule "accept-http" do
 435   action :accept
 436   context :incoming
 437   protocol :tcp
 438   dest_ports %w[http https]
 439   rate_limit node[:networking][:firewall][:http_rate_limit]
 440   connection_limit node[:networking][:firewall][:http_connection_limit]
 441 end