cookbooks/networking/templates/default/nftables.conf.erb

   1 #!/usr/sbin/nft -f
   2
   3 <%- unless @interfaces.empty? %>
   4 define external-interfaces = { <%= @interfaces.sort.uniq.join(", ") %> }
   5 <%- end %>
   6
   7 define ip-private-addresses = { 0.0.0.0, 10.0.0.0/8, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16, 224.0.0.0/4 }
   8 define ip6-private-addresses = { 2001:db8::/32, fc00::/7, ff00::/8 }
   9
  10 table inet filter {
  11   set ip-osm-addresses {
  12     type ipv4_addr
  13 <%- unless Array(@hosts["inet"]).empty? %>
  14     elements = { <%= Array(@hosts["inet"]).sort.join(", ") %> }
  15 <%- end %>
  16   }
  17
  18   set ip6-osm-addresses {
  19     type ipv6_addr
  20 <%- unless Array(@hosts["inet"]).empty? %>
  21     elements = { <%= Array(@hosts["inet6"]).sort.join(", ") %> }
  22 <%- end %>
  23   }
  24
  25   set ip-blacklist {
  26     type ipv4_addr
  27     flags dynamic
  28   }
  29
  30   set ip6-blacklist {
  31     type ipv6_addr
  32     flags dynamic
  33   }
  34
  35   set limit-icmp-echo-ip {
  36     type ipv4_addr
  37     flags dynamic
  38   }
  39
  40   set limit-icmp-echo-ip6 {
  41     type ipv6_addr
  42     flags dynamic
  43   }
  44
  45 <%- node[:networking][:firewall][:sets].each do |set| %>
  46   set <%= set %> {
  47 <%- if set.end_with?("-ip") %>
  48     type ipv4_addr
  49 <%- elsif set.end_with?("-ip6") %>
  50     type ipv6_addr
  51 <%- end %>
  52     flags dynamic
  53   }
  54
  55 <%- end %>
  56   chain log-and-drop {
  57     limit rate 1/second log
  58     drop
  59   }
  60
  61   chain log-and-reject {
  62     limit rate 1/second log
  63     reject
  64   }
  65
  66   chain incoming {
  67     ip saddr { $ip-private-addresses } jump log-and-drop
  68     ip6 saddr { $ip6-private-addresses } jump log-and-drop
  69
  70     ip saddr @ip-blacklist jump log-and-drop
  71     ip6 saddr @ip6-blacklist jump log-and-drop
  72
  73     ct state { established, related } accept
  74
  75     icmp type { destination-unreachable } accept
  76     icmp type { echo-request } add @limit-icmp-echo-ip { ip saddr limit rate 1/second } accept
  77     icmp type { echo-request } drop
  78
  79     icmpv6 type { nd-neighbor-solicit, nd-neighbor-advert, nd-router-solicit, nd-router-advert } accept
  80     icmpv6 type { echo-request } add @limit-icmp-echo-ip6 { ip6 saddr limit rate 1/second } accept
  81     icmpv6 type { echo-request } drop
  82
  83     meta l4proto { icmp, icmpv6 } jump log-and-drop
  84
  85     tcp flags & (fin|syn|rst|psh|ack|urg) == fin|psh|urg jump log-and-drop
  86     tcp flags & (fin|syn|rst|psh|ack|urg) == 0x0 jump log-and-drop
  87     tcp flags & (syn|rst) == syn|rst jump log-and-drop
  88     tcp flags & (fin|rst) == fin|rst jump log-and-drop
  89     tcp flags & (fin|syn) == fin|syn jump log-and-drop
  90     tcp flags & (fin|psh|ack) == fin|psh jump log-and-drop
  91     tcp sport 0 tcp flags & (fin|syn|rst|ack) == syn jump log-and-drop
  92
  93 <%- node[:networking][:firewall][:incoming].uniq.each do |rule| %>
  94     <%= rule %>
  95 <%- end %>
  96
  97     jump log-and-drop
  98   }
  99
 100   chain outgoing {
 101     ip daddr { $ip-private-addresses } jump log-and-drop
 102     ip6 daddr { $ip6-private-addresses } jump log-and-drop
 103
 104 <%- node[:networking][:firewall][:outgoing].each do |rule| %>
 105     <%= rule %>
 106 <%- end %>
 107
 108     accept
 109   }
 110
 111   chain input {
 112     type filter hook input priority filter;
 113
 114 <%- unless @interfaces.empty? %>
 115     iif { $external-interfaces } jump incoming
 116 <%- end %>
 117
 118     accept
 119   }
 120
 121   chain forward {
 122     type filter hook forward priority filter;
 123
 124 <%- unless @interfaces.empty? %>
 125     iif { $external-interfaces } jump incoming
 126     oif { $external-interfaces } jump outgoing
 127 <%- end %>
 128
 129     accept
 130   }
 131
 132   chain output {
 133     type filter hook output priority filter;
 134
 135 <%- unless @interfaces.empty? %>
 136     oif { $external-interfaces } jump outgoing
 137 <%- end %>
 138
 139     accept
 140   }
 141 }
 142 <%- if node[:roles].include?("gateway") %>
 143
 144 table ip nat {
 145   chain postrouting {
 146     type nat hook postrouting priority srcnat;
 147
 148 <%- node.interfaces(:role => :external, :family => :inet).each do |external| %>
 149 <%- node.interfaces(:role => :internal, :family => :inet).each do |internal| %>
 150     oif { <%= external[:interface] %> } ip saddr { <%= internal[:network] %>/<%= internal[:prefix] %> } snat <%= external[:address] %>
 151 <%- end %>
 152 <%- end %>
 153   }
 154 }
 155 <%- end %>