cookbooks/web/recipes/frontend.rb

   1 #
   2 # Cookbook:: web
   3 # Recipe:: frontend
   4 #
   5 # Copyright:: 2011, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 node.default[:memcached][:ip_address] = node.internal_ipaddress || "127.0.0.1"
  21
  22 include_recipe "memcached"
  23 include_recipe "apache"
  24 include_recipe "fail2ban"
  25 include_recipe "web::rails"
  26 include_recipe "web::cgimap"
  27
  28 web_passwords = data_bag_item("web", "passwords")
  29
  30 apache_module "alias"
  31 apache_module "expires"
  32 apache_module "headers"
  33 apache_module "proxy"
  34 apache_module "proxy_fcgi"
  35 apache_module "lbmethod_byrequests"
  36 apache_module "lbmethod_bybusyness"
  37 apache_module "remoteip"
  38 apache_module "reqtimeout"
  39 apache_module "rewrite"
  40 apache_module "unique_id"
  41
  42 apache_site "default" do
  43   action [:disable]
  44 end
  45
  46 remote_directory "#{node[:web][:base_directory]}/static" do
  47   source "static"
  48   owner "root"
  49   group "root"
  50   mode "755"
  51   files_owner "root"
  52   files_group "root"
  53   files_mode "644"
  54 end
  55
  56 remote_file "#{Chef::Config[:file_cache_path]}/cloudflare-ipv4-list" do
  57   source "https://www.cloudflare.com/ips-v4"
  58   compile_time true
  59   ignore_failure true
  60 end
  61
  62 cloudflare_ipv4 = IO.read("#{Chef::Config[:file_cache_path]}/cloudflare-ipv4-list").lines.map(&:chomp)
  63
  64 remote_file "#{Chef::Config[:file_cache_path]}/cloudflare-ipv6-list" do
  65   source "https://www.cloudflare.com/ips-v6"
  66   compile_time true
  67   ignore_failure true
  68 end
  69
  70 cloudflare_ipv6 = IO.read("#{Chef::Config[:file_cache_path]}/cloudflare-ipv6-list").lines.map(&:chomp)
  71
  72 apache_site "www.openstreetmap.org" do
  73   template "apache.frontend.erb"
  74   variables :cloudflare => cloudflare_ipv4 + cloudflare_ipv6,
  75             :status => node[:web][:status],
  76             :secret_key_base => web_passwords["secret_key_base"]
  77 end
  78
  79 template "/etc/logrotate.d/apache2" do
  80   source "logrotate.apache.erb"
  81   owner "root"
  82   group "root"
  83   mode "644"
  84 end
  85
  86 fail2ban_filter "apache-request-timeout" do
  87   failregex '^<ADDR> .* "-" 408 .*$'
  88 end
  89
  90 fail2ban_jail "apache-request-timeout" do
  91   filter "apache-request-timeout"
  92   logpath "/var/log/apache2/access.log"
  93   ports [80, 443]
  94 end
  95
  96 fail2ban_filter "apache-trackpoints-timeout" do
  97   failregex '^<ADDR> .* "GET /api/0\.6/trackpoints\?.*" 408 .*$'
  98 end
  99
 100 fail2ban_jail "apache-trackpoints-timeout" do
 101   filter "apache-trackpoints-timeout"
 102   logpath "/var/log/apache2/access.log"
 103   ports [80, 443]
 104   bantime "12h"
 105   findtime "30m"
 106 end
 107
 108 fail2ban_filter "apache-notes-search" do
 109   failregex '^<ADDR> .* "GET /api/0\.6/notes/search\?q=abcde&.*$'
 110 end
 111
 112 fail2ban_jail "apache-notes-search" do
 113   filter "apache-notes-search"
 114   logpath "/var/log/apache2/access.log"
 115   ports [80, 443]
 116 end
 117
 118 if %w[database_offline database_readonly].include?(node[:web][:status])
 119   service "rails-jobs@mailers" do
 120     action :stop
 121   end
 122
 123   service "rails-jobs@storage" do
 124     action :stop
 125   end
 126
 127   service "rails-jobs@traces" do
 128     action :stop
 129   end
 130 else
 131   service "rails-jobs@mailers" do
 132     action [:enable, :start]
 133     supports :restart => true
 134     subscribes :restart, "rails_port[www.openstreetmap.org]"
 135     subscribes :restart, "systemd_service[rails-jobs@]"
 136   end
 137
 138   service "rails-jobs@storage" do
 139     action [:enable, :start]
 140     supports :restart => true
 141     subscribes :restart, "rails_port[www.openstreetmap.org]"
 142     subscribes :restart, "systemd_service[rails-jobs@]"
 143   end
 144
 145   service "rails-jobs@traces" do
 146     action [:enable, :start]
 147     supports :restart => true
 148     subscribes :restart, "rails_port[www.openstreetmap.org]"
 149     subscribes :restart, "systemd_service[rails-jobs@]"
 150   end
 151 end
 152
 153 template "/usr/local/bin/deliver-message" do
 154   source "deliver-message.erb"
 155   owner "rails"
 156   group "rails"
 157   mode "0700"
 158   variables :secret_key_base => web_passwords["secret_key_base"]
 159 end