cookbooks/networking/templates/default/nftables.conf.erb

   1 #!/usr/sbin/nft -f
   2
   3 <%- unless @interfaces.empty? %>
   4 define external-interfaces = { <%= @interfaces.sort.uniq.join(", ") %> }
   5 <%- end %>
   6
   7 define ip-private-addresses = { 0.0.0.0, 10.0.0.0/8, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16, 224.0.0.0/4 }
   8 define ip6-private-addresses = { 2001:db8::/32, fc00::/7, ff00::/8 }
   9
  10 table inet chef-filter {
  11   set ip-osm-addresses {
  12     type ipv4_addr
  13 <%- unless Array(@hosts["inet"]).empty? %>
  14     elements = { <%= Array(@hosts["inet"]).sort.join(", ") %> }
  15 <%- end %>
  16   }
  17
  18   set ip6-osm-addresses {
  19     type ipv6_addr
  20 <%- unless Array(@hosts["inet"]).empty? %>
  21     elements = { <%= Array(@hosts["inet6"]).sort.join(", ") %> }
  22 <%- end %>
  23   }
  24
  25   set ip-blocklist {
  26     type ipv4_addr
  27     flags interval
  28   }
  29
  30   set ip6-blocklist {
  31     type ipv6_addr
  32     flags interval
  33   }
  34
  35   set ratelimit-icmp-echo-ip {
  36     type ipv4_addr
  37     flags dynamic
  38     timeout 120s
  39   }
  40
  41   set ratelimit-icmp-echo-ip6 {
  42     type ipv6_addr
  43     flags dynamic
  44     timeout 120s
  45   }
  46
  47 <%- node[:networking][:firewall][:sets].each do |set| %>
  48   set <%= set %> {
  49 <%- if set.end_with?("-ip") %>
  50     type ipv4_addr
  51 <%- elsif set.end_with?("-ip6") %>
  52     type ipv6_addr
  53 <%- end %>
  54     flags dynamic
  55 <%- unless set.start_with?("connlimit-") %>
  56     timeout 120s
  57 <%- end %>
  58   }
  59
  60 <%- end %>
  61
  62 <%- node[:networking][:firewall][:helpers].each do |helper| %>
  63   ct helper <%= helper[:name] %> {
  64     type "<%= helper[:helper] %>" protocol <%= helper[:protocol] %>
  65   }
  66
  67 <%- end %>
  68   chain log-and-drop {
  69     limit rate 1/second log
  70     drop
  71   }
  72
  73   chain log-and-reject {
  74     limit rate 1/second log
  75     reject
  76   }
  77
  78   chain incoming {
  79 <%- if node[:networking][:firewall][:allowlist].empty? %>
  80     ip saddr { $ip-private-addresses } jump log-and-drop
  81 <%- else %>
  82     ip saddr { $ip-private-addresses } ip saddr != { <%= node[:networking][:firewall][:allowlist].sort.join(", ") %> } jump log-and-drop
  83 <%- end %>
  84     ip6 saddr { $ip6-private-addresses } jump log-and-drop
  85
  86     ip saddr @ip-blocklist jump log-and-drop
  87     ip6 saddr @ip6-blocklist jump log-and-drop
  88
  89     ct state { established, related } accept
  90
  91     icmp type { destination-unreachable } accept
  92     icmp type { echo-request } update @ratelimit-icmp-echo-ip { ip saddr limit rate 1/second } accept
  93     icmp type { echo-request } drop
  94
  95     icmpv6 type { nd-neighbor-solicit, nd-neighbor-advert, nd-router-solicit, nd-router-advert } accept
  96     icmpv6 type { echo-request } update @ratelimit-icmp-echo-ip6 { ip6 saddr limit rate 1/second } accept
  97     icmpv6 type { echo-request } drop
  98
  99     meta l4proto { icmp, icmpv6 } jump log-and-drop
 100
 101     tcp flags & (fin|syn|rst|psh|ack|urg) == fin|psh|urg jump log-and-drop
 102     tcp flags & (fin|syn|rst|psh|ack|urg) == 0x0 jump log-and-drop
 103     tcp flags & (syn|rst) == syn|rst jump log-and-drop
 104     tcp flags & (fin|rst) == fin|rst jump log-and-drop
 105     tcp flags & (fin|syn) == fin|syn jump log-and-drop
 106     tcp flags & (fin|psh|ack) == fin|psh jump log-and-drop
 107     tcp sport 0 tcp flags & (fin|syn|rst|ack) == syn jump log-and-drop
 108
 109 <%- node[:networking][:firewall][:incoming].uniq.each do |rule| %>
 110     <%= rule %>
 111 <%- end %>
 112
 113     jump log-and-drop
 114   }
 115
 116   chain outgoing {
 117 <%- if node[:networking][:firewall][:allowlist].empty? %>
 118     ip daddr { $ip-private-addresses } jump log-and-drop
 119 <%- else %>
 120     ip daddr { $ip-private-addresses } ip daddr != { <%= node[:networking][:firewall][:allowlist].sort.join(", ") %> } jump log-and-drop
 121 <%- end %>
 122     ip6 daddr { $ip6-private-addresses } jump log-and-drop
 123
 124 <%- node[:networking][:firewall][:outgoing].each do |rule| %>
 125     <%= rule %>
 126 <%- end %>
 127
 128     accept
 129   }
 130
 131   chain input {
 132     type filter hook input priority filter;
 133
 134 <%- unless @interfaces.empty? %>
 135     iifname { $external-interfaces } jump incoming
 136 <%- end %>
 137
 138     accept
 139   }
 140
 141   chain forward {
 142     type filter hook forward priority filter;
 143
 144 <%- unless @interfaces.empty? %>
 145     iifname { $external-interfaces } jump incoming
 146     oifname { $external-interfaces } jump outgoing
 147 <%- end %>
 148
 149     accept
 150   }
 151
 152   chain output {
 153     type filter hook output priority filter;
 154
 155 <%- unless @interfaces.empty? %>
 156     oifname { $external-interfaces } jump outgoing
 157 <%- end %>
 158
 159     accept
 160   }
 161 }
 162 <%- if node[:roles].include?("gateway") %>
 163
 164 table ip chef-nat {
 165   chain postrouting {
 166     type nat hook postrouting priority srcnat;
 167
 168 <%- node.interfaces(:role => :external, :family => :inet).each do |external| %>
 169 <%- node.interfaces(:role => :internal, :family => :inet).each do |internal| %>
 170     oifname { <%= external[:interface] %> } ip saddr { <%= internal[:network] %>/<%= internal[:prefix] %> } snat <%= external[:address] %>
 171 <%- end %>
 172 <%- end %>
 173   }
 174 }
 175 <%- end %>