cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 file "/etc/netplan/00-installer-config.yaml" do
  29   action :delete
  30 end
  31
  32 file "/etc/netplan/01-netcfg.yaml" do
  33   action :delete
  34 end
  35
  36 file "/etc/netplan/50-cloud-init.yaml" do
  37   action :delete
  38 end
  39
  40 file "/etc/netplan/99-chef.yaml" do
  41   action :delete
  42 end
  43
  44 package "netplan.io" do
  45   action :purge
  46 end
  47
  48 package "cloud-init" do
  49   action :purge
  50 end
  51
  52 interfaces = node[:networking][:interfaces].collect do |name, interface|
  53   [interface[:interface], name]
  54 end.to_h
  55
  56 node[:networking][:interfaces].each do |name, interface|
  57   if interface[:interface] =~ /^(.*)\.(\d+)$/
  58     vlan_interface = Regexp.last_match(1)
  59     vlan_id = Regexp.last_match(2)
  60
  61     parent = interfaces[vlan_interface] || "vlans_#{vlan_interface}"
  62
  63     node.default_unless[:networking][:interfaces][parent][:interface] = vlan_interface
  64     node.default_unless[:networking][:interfaces][parent][:vlans] = []
  65
  66     node.default[:networking][:interfaces][parent][:vlans] << vlan_id
  67   end
  68
  69   next unless interface[:role] && (role = node[:networking][:roles][interface[:role]])
  70
  71   if interface[:inet] && role[:inet]
  72     node.default[:networking][:interfaces][name][:inet][:prefix] = role[:inet][:prefix]
  73     node.default[:networking][:interfaces][name][:inet][:gateway] = role[:inet][:gateway]
  74     node.default[:networking][:interfaces][name][:inet][:routes] = role[:inet][:routes]
  75   end
  76
  77   if interface[:inet6] && role[:inet6]
  78     node.default[:networking][:interfaces][name][:inet6][:prefix] = role[:inet6][:prefix]
  79     node.default[:networking][:interfaces][name][:inet6][:gateway] = role[:inet6][:gateway]
  80     node.default[:networking][:interfaces][name][:inet6][:routes] = role[:inet6][:routes]
  81   end
  82
  83   node.default[:networking][:interfaces][name][:metric] = role[:metric]
  84   node.default[:networking][:interfaces][name][:zone] = role[:zone]
  85 end
  86
  87 node[:networking][:interfaces].each do |_, interface|
  88   if interface[:interface] =~ /^.*\.(\d+)$/
  89     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  90       source "vlan.netdev.erb"
  91       owner "root"
  92       group "root"
  93       mode "644"
  94       variables :interface => interface, :vlan => Regexp.last_match(1)
  95       notifies :run, "notify_group[networkctl-reload]"
  96     end
  97   elsif interface[:interface] =~ /^bond\d+$/
  98     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  99       source "bond.netdev.erb"
 100       owner "root"
 101       group "root"
 102       mode "644"
 103       variables :interface => interface
 104       notifies :run, "notify_group[networkctl-reload]"
 105     end
 106
 107     interface[:bond][:slaves].each do |slave|
 108       template "/etc/systemd/network/10-#{slave}.network" do
 109         source "slave.network.erb"
 110         owner "root"
 111         group "root"
 112         mode "644"
 113         variables :master => interface, :slave => slave
 114         notifies :run, "notify_group[networkctl-reload]"
 115       end
 116     end
 117   end
 118
 119   template "/etc/systemd/network/10-#{interface[:interface]}.network" do
 120     source "network.erb"
 121     owner "root"
 122     group "root"
 123     mode "644"
 124     variables :interface => interface
 125     notifies :run, "notify_group[networkctl-reload]"
 126   end
 127 end
 128
 129 service "systemd-networkd" do
 130   action [:enable, :start]
 131 end
 132
 133 if node[:networking][:wireguard][:enabled]
 134   wireguard_id = persistent_token("networking", "wireguard")
 135
 136   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 137
 138   package "wireguard-tools" do
 139     compile_time true
 140     options "--no-install-recommends"
 141   end
 142
 143   directory "/var/lib/systemd/wireguard" do
 144     owner "root"
 145     group "systemd-network"
 146     mode "750"
 147     compile_time true
 148   end
 149
 150   file "/var/lib/systemd/wireguard/private.key" do
 151     action :create_if_missing
 152     owner "root"
 153     group "systemd-network"
 154     mode "640"
 155     content %x(wg genkey)
 156     compile_time true
 157   end
 158
 159   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 160
 161   file "/var/lib/systemd/wireguard/preshared.key" do
 162     action :create_if_missing
 163     owner "root"
 164     group "systemd-network"
 165     mode "640"
 166     content keys["wireguard"]
 167   end
 168
 169   if node[:roles].include?("gateway")
 170     search(:node, "roles:gateway") do |gateway|
 171       next if gateway.name == node.name
 172       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 173
 174       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 175
 176       node.default[:networking][:wireguard][:peers] << {
 177         :public_key => gateway[:networking][:wireguard][:public_key],
 178         :allowed_ips => allowed_ips,
 179         :endpoint => "#{gateway.name}:51820"
 180       }
 181     end
 182
 183     search(:node, "roles:prometheus") do |server|
 184       allowed_ips = server.ipaddresses(:role => :internal).map(&:subnet)
 185
 186       if server[:networking][:private_address]
 187         allowed_ips << "#{server[:networking][:private_address]}/32"
 188       end
 189
 190       node.default[:networking][:wireguard][:peers] << {
 191         :public_key => server[:networking][:wireguard][:public_key],
 192         :allowed_ips => allowed_ips,
 193         :endpoint => "#{server.name}:51820"
 194       }
 195     end
 196
 197     node.default[:networking][:wireguard][:peers] << {
 198       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 199       :allowed_ips => "10.0.16.1/32",
 200       :endpoint => "gate.compton.nu:51820"
 201     }
 202
 203     # Grant home
 204     node.default[:networking][:wireguard][:peers] << {
 205       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 206       :allowed_ips => "10.89.122.1/32",
 207       :endpoint => "gate.firefishy.com:51820"
 208     }
 209
 210     # Grant roaming
 211     node.default[:networking][:wireguard][:peers] << {
 212       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 213       :allowed_ips => "10.89.123.1/32",
 214       :endpoint => "roaming.firefishy.com:51820"
 215     }
 216   elsif node[:roles].include?("shenron")
 217     search(:node, "roles:gateway") do |gateway|
 218       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 219
 220       node.default[:networking][:wireguard][:peers] << {
 221         :public_key => gateway[:networking][:wireguard][:public_key],
 222         :allowed_ips => allowed_ips,
 223         :endpoint => "#{gateway.name}:51820"
 224       }
 225     end
 226   end
 227
 228   file "/etc/systemd/network/wireguard.netdev" do
 229     action :delete
 230   end
 231
 232   template "/etc/systemd/network/10-wg0.netdev" do
 233     source "wireguard.netdev.erb"
 234     owner "root"
 235     group "systemd-network"
 236     mode "640"
 237     notifies :run, "execute[networkctl-delete-wg0]"
 238     notifies :run, "notify_group[networkctl-reload]"
 239   end
 240
 241   file "/etc/systemd/network/wireguard.network" do
 242     action :delete
 243   end
 244
 245   template "/etc/systemd/network/10-wg0.network" do
 246     source "wireguard.network.erb"
 247     owner "root"
 248     group "root"
 249     mode "644"
 250     notifies :run, "execute[networkctl-reload]"
 251   end
 252
 253   execute "networkctl-delete-wg0" do
 254     action :nothing
 255     command "networkctl delete wg0"
 256     only_if { ::File.exist?("/sys/class/net/wg0") }
 257   end
 258 end
 259
 260 notify_group "networkctl-reload"
 261
 262 execute "networkctl-reload" do
 263   action :nothing
 264   command "networkctl reload"
 265   subscribes :run, "notify_group[networkctl-reload]"
 266 end
 267
 268 ohai "reload-hostname" do
 269   action :nothing
 270   plugin "hostname"
 271 end
 272
 273 execute "hostnamectl-set-hostname" do
 274   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 275   notifies :reload, "ohai[reload-hostname]"
 276   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 277 end
 278
 279 template "/etc/hosts" do
 280   source "hosts.erb"
 281   owner "root"
 282   group "root"
 283   mode "644"
 284   not_if { kitchen? }
 285 end
 286
 287 service "systemd-resolved" do
 288   action [:enable, :start]
 289 end
 290
 291 directory "/etc/systemd/resolved.conf.d" do
 292   owner "root"
 293   group "root"
 294   mode "755"
 295 end
 296
 297 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 298   source "resolved.conf.erb"
 299   owner "root"
 300   group "root"
 301   mode "644"
 302   notifies :restart, "service[systemd-resolved]", :immediately
 303 end
 304
 305 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 306   execute "umount-resolve-conf" do
 307     command "umount -c /etc/resolv.conf"
 308   end
 309 end
 310
 311 link "/etc/resolv.conf" do
 312   to "../run/systemd/resolve/stub-resolv.conf"
 313 end
 314
 315 hosts = { :inet => [], :inet6 => [] }
 316
 317 search(:node, "networking:interfaces").collect do |n|
 318   next if n[:fqdn] == node[:fqdn]
 319
 320   n.interfaces.each do |interface|
 321     next unless interface[:role] == "external"
 322
 323     hosts[:inet] << interface[:inet][:address] if interface[:inet]
 324     hosts[:inet6] << interface[:inet6][:address] if interface[:inet6]
 325   end
 326 end
 327
 328 package "nftables"
 329
 330 interfaces = []
 331
 332 node.interfaces(:role => :external).each do |interface|
 333   interfaces << interface[:interface]
 334 end
 335
 336 template "/etc/nftables.conf" do
 337   source "nftables.conf.erb"
 338   owner "root"
 339   group "root"
 340   mode "755"
 341   variables :interfaces => interfaces, :hosts => hosts
 342   notifies :reload, "service[nftables]"
 343 end
 344
 345 directory "/var/lib/nftables" do
 346   owner "root"
 347   group "root"
 348   mode "755"
 349 end
 350
 351 template "/usr/local/bin/nftables" do
 352   source "nftables.erb"
 353   owner "root"
 354   group "root"
 355   mode "755"
 356 end
 357
 358 systemd_service "nftables-stop" do
 359   action :delete
 360   service "nftables"
 361   dropin "stop"
 362 end
 363
 364 systemd_service "nftables-chef" do
 365   service "nftables"
 366   dropin "chef"
 367   exec_start "/usr/local/bin/nftables start"
 368   exec_reload "/usr/local/bin/nftables reload"
 369   exec_stop "/usr/local/bin/nftables stop"
 370 end
 371
 372 if node[:networking][:firewall][:enabled]
 373   service "nftables" do
 374     action [:enable, :start]
 375   end
 376 else
 377   service "nftables" do
 378     action [:disable, :stop]
 379   end
 380 end
 381
 382 if node[:networking][:wireguard][:enabled]
 383   firewall_rule "accept-wireguard" do
 384     action :accept
 385     context :incoming
 386     protocol :udp
 387     source :osm unless node[:roles].include?("gateway")
 388     dest_ports "51820"
 389     source_ports "51820"
 390   end
 391 end
 392
 393 firewall_rule "accept-http" do
 394   action :accept
 395   context :incoming
 396   protocol :tcp
 397   dest_ports %w[http https]
 398   rate_limit node[:networking][:firewall][:http_rate_limit]
 399   connection_limit node[:networking][:firewall][:http_connection_limit]
 400 end