cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 file "/etc/netplan/00-installer-config.yaml" do
  29   action :delete
  30 end
  31
  32 file "/etc/netplan/01-netcfg.yaml" do
  33   action :delete
  34 end
  35
  36 file "/etc/netplan/50-cloud-init.yaml" do
  37   action :delete
  38 end
  39
  40 file "/etc/netplan/99-chef.yaml" do
  41   action :delete
  42 end
  43
  44 package "ifupdown" do
  45   action :purge
  46 end
  47
  48 package "netplan.io" do
  49   action :purge
  50 end
  51
  52 package "cloud-init" do
  53   action :purge
  54 end
  55
  56 interfaces = node[:networking][:interfaces].collect do |name, interface|
  57   [interface[:interface], name]
  58 end.to_h
  59
  60 node[:networking][:interfaces].each do |name, interface|
  61   if interface[:interface] =~ /^(.*)\.(\d+)$/
  62     vlan_interface = Regexp.last_match(1)
  63     vlan_id = Regexp.last_match(2)
  64
  65     parent = interfaces[vlan_interface] || "vlans_#{vlan_interface}"
  66
  67     node.default_unless[:networking][:interfaces][parent][:interface] = vlan_interface
  68     node.default_unless[:networking][:interfaces][parent][:vlans] = []
  69
  70     node.default[:networking][:interfaces][parent][:vlans] << vlan_id
  71   end
  72
  73   next unless interface[:role] && (role = node[:networking][:roles][interface[:role]])
  74
  75   if interface[:inet] && role[:inet]
  76     node.default_unless[:networking][:interfaces][name][:inet][:prefix] = role[:inet][:prefix]
  77     node.default_unless[:networking][:interfaces][name][:inet][:gateway] = role[:inet][:gateway]
  78     node.default_unless[:networking][:interfaces][name][:inet][:routes] = role[:inet][:routes]
  79   end
  80
  81   if interface[:inet6] && role[:inet6]
  82     node.default_unless[:networking][:interfaces][name][:inet6][:prefix] = role[:inet6][:prefix]
  83     node.default_unless[:networking][:interfaces][name][:inet6][:gateway] = role[:inet6][:gateway]
  84     node.default_unless[:networking][:interfaces][name][:inet6][:routes] = role[:inet6][:routes]
  85   end
  86
  87   node.default_unless[:networking][:interfaces][name][:metric] = role[:metric]
  88   node.default_unless[:networking][:interfaces][name][:zone] = role[:zone]
  89 end
  90
  91 node[:networking][:interfaces].each do |_, interface|
  92   if interface[:interface] =~ /^.*\.(\d+)$/
  93     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  94       source "vlan.netdev.erb"
  95       owner "root"
  96       group "root"
  97       mode "644"
  98       variables :interface => interface, :vlan => Regexp.last_match(1)
  99       notifies :run, "notify_group[networkctl-reload]"
 100     end
 101   elsif interface[:interface] =~ /^bond\d+$/
 102     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
 103       source "bond.netdev.erb"
 104       owner "root"
 105       group "root"
 106       mode "644"
 107       variables :interface => interface
 108       notifies :run, "notify_group[networkctl-reload]"
 109     end
 110
 111     interface[:bond][:slaves].each do |slave|
 112       template "/etc/systemd/network/10-#{slave}.network" do
 113         source "slave.network.erb"
 114         owner "root"
 115         group "root"
 116         mode "644"
 117         variables :master => interface, :slave => slave
 118         notifies :run, "notify_group[networkctl-reload]"
 119       end
 120     end
 121   end
 122
 123   template "/etc/systemd/network/10-#{interface[:interface]}.network" do
 124     source "network.erb"
 125     owner "root"
 126     group "root"
 127     mode "644"
 128     variables :interface => interface
 129     notifies :run, "notify_group[networkctl-reload]"
 130   end
 131 end
 132
 133 package "systemd-resolved" do
 134   action :install
 135   only_if { platform?("ubuntu") && node[:lsb][:release].to_f > 22.04 || platform?("debian") && node[:lsb][:release].to_f > 11.0 }
 136 end
 137
 138 service "systemd-networkd" do
 139   action [:enable, :start]
 140 end
 141
 142 if node[:networking][:wireguard][:enabled]
 143   wireguard_id = persistent_token("networking", "wireguard")
 144
 145   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 146
 147   package "wireguard-tools" do
 148     compile_time true
 149     options "--no-install-recommends"
 150   end
 151
 152   directory "/var/lib/systemd/wireguard" do
 153     owner "root"
 154     group "systemd-network"
 155     mode "750"
 156     compile_time true
 157   end
 158
 159   file "/var/lib/systemd/wireguard/private.key" do
 160     action :create_if_missing
 161     owner "root"
 162     group "systemd-network"
 163     mode "640"
 164     content %x(wg genkey)
 165     compile_time true
 166   end
 167
 168   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 169
 170   file "/var/lib/systemd/wireguard/preshared.key" do
 171     action :create_if_missing
 172     owner "root"
 173     group "systemd-network"
 174     mode "640"
 175     content keys["wireguard"]
 176   end
 177
 178   if node[:roles].include?("gateway")
 179     search(:node, "roles:gateway") do |gateway|
 180       next if gateway.name == node.name
 181       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 182
 183       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 184
 185       node.default[:networking][:wireguard][:peers] << {
 186         :public_key => gateway[:networking][:wireguard][:public_key],
 187         :allowed_ips => allowed_ips,
 188         :endpoint => "#{gateway.name}:51820"
 189       }
 190     end
 191
 192     search(:node, "roles:prometheus") do |server|
 193       allowed_ips = server.ipaddresses(:role => :internal).map(&:subnet)
 194
 195       if server[:networking][:private_address]
 196         allowed_ips << "#{server[:networking][:private_address]}/32"
 197       end
 198
 199       node.default[:networking][:wireguard][:peers] << {
 200         :public_key => server[:networking][:wireguard][:public_key],
 201         :allowed_ips => allowed_ips,
 202         :endpoint => "#{server.name}:51820"
 203       }
 204     end
 205
 206     node.default[:networking][:wireguard][:peers] << {
 207       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 208       :allowed_ips => "10.0.16.1/32",
 209       :endpoint => "gate.compton.nu:51820"
 210     }
 211
 212     # Grant home
 213     node.default[:networking][:wireguard][:peers] << {
 214       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 215       :allowed_ips => "10.89.122.1/32",
 216       :endpoint => "gate.firefishy.com:51820"
 217     }
 218
 219     # Grant roaming
 220     node.default[:networking][:wireguard][:peers] << {
 221       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 222       :allowed_ips => "10.89.123.1/32",
 223       :endpoint => "roaming.firefishy.com:51820"
 224     }
 225   elsif node[:roles].include?("shenron")
 226     search(:node, "roles:gateway") do |gateway|
 227       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 228
 229       node.default[:networking][:wireguard][:peers] << {
 230         :public_key => gateway[:networking][:wireguard][:public_key],
 231         :allowed_ips => allowed_ips,
 232         :endpoint => "#{gateway.name}:51820"
 233       }
 234     end
 235   end
 236
 237   file "/etc/systemd/network/wireguard.netdev" do
 238     action :delete
 239   end
 240
 241   template "/etc/systemd/network/10-wg0.netdev" do
 242     source "wireguard.netdev.erb"
 243     owner "root"
 244     group "systemd-network"
 245     mode "640"
 246     notifies :run, "execute[networkctl-delete-wg0]"
 247     notifies :run, "notify_group[networkctl-reload]"
 248   end
 249
 250   file "/etc/systemd/network/wireguard.network" do
 251     action :delete
 252   end
 253
 254   template "/etc/systemd/network/10-wg0.network" do
 255     source "wireguard.network.erb"
 256     owner "root"
 257     group "root"
 258     mode "644"
 259     notifies :run, "execute[networkctl-reload]"
 260   end
 261
 262   execute "networkctl-delete-wg0" do
 263     action :nothing
 264     command "networkctl delete wg0"
 265     only_if { ::File.exist?("/sys/class/net/wg0") }
 266   end
 267 end
 268
 269 # Setup dokken network in systemd-networkd to avoid systemd-networkd-wait-online delay
 270 template "/etc/systemd/network/dokken.network" do
 271   source "dokken.network.erb"
 272   owner "root"
 273   group "root"
 274   mode "644"
 275   notifies :run, "execute[networkctl-reload]", :immediately
 276   only_if { kitchen? }
 277 end
 278
 279 notify_group "networkctl-reload"
 280
 281 execute "networkctl-reload" do
 282   action :nothing
 283   command "networkctl reload"
 284   subscribes :run, "notify_group[networkctl-reload]"
 285 end
 286
 287 ohai "reload-hostname" do
 288   action :nothing
 289   plugin "hostname"
 290 end
 291
 292 execute "hostnamectl-set-hostname" do
 293   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 294   notifies :reload, "ohai[reload-hostname]"
 295   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 296 end
 297
 298 template "/etc/hosts" do
 299   source "hosts.erb"
 300   owner "root"
 301   group "root"
 302   mode "644"
 303   not_if { kitchen? }
 304 end
 305
 306 service "systemd-resolved" do
 307   action [:enable, :start]
 308 end
 309
 310 directory "/etc/systemd/resolved.conf.d" do
 311   owner "root"
 312   group "root"
 313   mode "755"
 314 end
 315
 316 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 317   source "resolved.conf.erb"
 318   owner "root"
 319   group "root"
 320   mode "644"
 321   notifies :restart, "service[systemd-resolved]", :immediately
 322 end
 323
 324 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 325   execute "umount-resolve-conf" do
 326     command "umount -c /etc/resolv.conf"
 327   end
 328 end
 329
 330 link "/etc/resolv.conf" do
 331   to "../run/systemd/resolve/stub-resolv.conf"
 332 end
 333
 334 hosts = { :inet => [], :inet6 => [] }
 335
 336 search(:node, "networking:interfaces").collect do |n|
 337   next if n[:fqdn] == node[:fqdn]
 338
 339   n.interfaces.each do |interface|
 340     next unless interface[:role] == "external"
 341
 342     hosts[:inet] << interface[:inet][:address] if interface[:inet]
 343     hosts[:inet6] << interface[:inet6][:address] if interface[:inet6]
 344   end
 345 end
 346
 347 package "nftables"
 348
 349 interfaces = []
 350
 351 node.interfaces(:role => :external).each do |interface|
 352   interfaces << interface[:interface]
 353 end
 354
 355 template "/etc/nftables.conf" do
 356   source "nftables.conf.erb"
 357   owner "root"
 358   group "root"
 359   mode "755"
 360   variables :interfaces => interfaces, :hosts => hosts
 361   notifies :reload, "service[nftables]"
 362 end
 363
 364 directory "/var/lib/nftables" do
 365   owner "root"
 366   group "root"
 367   mode "755"
 368 end
 369
 370 template "/usr/local/bin/nftables" do
 371   source "nftables.erb"
 372   owner "root"
 373   group "root"
 374   mode "755"
 375 end
 376
 377 systemd_service "nftables-stop" do
 378   action :delete
 379   service "nftables"
 380   dropin "stop"
 381 end
 382
 383 systemd_service "nftables-chef" do
 384   service "nftables"
 385   dropin "chef"
 386   exec_start "/usr/local/bin/nftables start"
 387   exec_reload "/usr/local/bin/nftables reload"
 388   exec_stop "/usr/local/bin/nftables stop"
 389 end
 390
 391 if node[:networking][:firewall][:enabled]
 392   service "nftables" do
 393     action [:enable, :start]
 394   end
 395 else
 396   service "nftables" do
 397     action [:disable, :stop]
 398   end
 399 end
 400
 401 if node[:networking][:wireguard][:enabled]
 402   firewall_rule "accept-wireguard" do
 403     action :accept
 404     context :incoming
 405     protocol :udp
 406     source :osm unless node[:roles].include?("gateway")
 407     dest_ports "51820"
 408     source_ports "51820"
 409   end
 410 end
 411
 412 firewall_rule "accept-http-osm" do
 413   action :accept
 414   context :incoming
 415   protocol :tcp
 416   source :osm
 417   dest_ports %w[http https]
 418 end
 419
 420 firewall_rule "accept-http" do
 421   action :accept
 422   context :incoming
 423   protocol :tcp
 424   dest_ports %w[http https]
 425   rate_limit node[:networking][:firewall][:http_rate_limit]
 426   connection_limit node[:networking][:firewall][:http_connection_limit]
 427 end