cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 keys = data_bag_item("networking", "keys")
  27
  28 package "netplan.io"
  29
  30 netplan = {
  31   "network" => {
  32     "version" => 2,
  33     "renderer" => "networkd",
  34     "ethernets" => {},
  35     "bonds" => {},
  36     "vlans" => {}
  37   }
  38 }
  39
  40 node[:networking][:interfaces].each do |name, interface|
  41   if interface[:interface]
  42     if interface[:role] && (role = node[:networking][:roles][interface[:role]])
  43       if role[interface[:family]]
  44         node.default[:networking][:interfaces][name][:prefix] = role[interface[:family]][:prefix]
  45         node.default[:networking][:interfaces][name][:gateway] = role[interface[:family]][:gateway]
  46         node.default[:networking][:interfaces][name][:routes] = role[interface[:family]][:routes]
  47       end
  48
  49       node.default[:networking][:interfaces][name][:metric] = role[:metric]
  50       node.default[:networking][:interfaces][name][:zone] = role[:zone]
  51     end
  52
  53     if interface[:address]
  54       prefix = node[:networking][:interfaces][name][:prefix]
  55
  56       node.default[:networking][:interfaces][name][:netmask] = (~IPAddr.new(interface[:address]).mask(0)).mask(prefix)
  57       node.default[:networking][:interfaces][name][:network] = IPAddr.new(interface[:address]).mask(prefix)
  58     end
  59
  60     interface = node[:networking][:interfaces][name]
  61
  62     deviceplan = if interface[:interface] =~ /^(.*)\.(\d+)$/
  63                    netplan["network"]["vlans"][interface[:interface]] ||= {
  64                      "id" => Regexp.last_match(2).to_i,
  65                      "link" => Regexp.last_match(1),
  66                      "accept-ra" => false,
  67                      "addresses" => [],
  68                      "routes" => []
  69                    }
  70                  elsif interface[:interface] =~ /^bond\d+$/
  71                    netplan["network"]["bonds"][interface[:interface]] ||= {
  72                      "accept-ra" => false,
  73                      "addresses" => [],
  74                      "routes" => []
  75                    }
  76                  else
  77                    netplan["network"]["ethernets"][interface[:interface]] ||= {
  78                      "accept-ra" => false,
  79                      "addresses" => [],
  80                      "routes" => []
  81                    }
  82                  end
  83
  84     if interface[:address]
  85       deviceplan["addresses"].push("#{interface[:address]}/#{prefix}")
  86     end
  87
  88     if interface[:mtu]
  89       deviceplan["mtu"] = interface[:mtu]
  90     end
  91
  92     if interface[:bond]
  93       deviceplan["interfaces"] = interface[:bond][:slaves].to_a
  94
  95       deviceplan["parameters"] = {
  96         "mode" => interface[:bond][:mode] || "active-backup",
  97         "mii-monitor-interval" => interface[:bond][:miimon] || 100,
  98         "down-delay" => interface[:bond][:downdelay] || 200,
  99         "up-delay" => interface[:bond][:updelay] || 200
 100       }
 101
 102       deviceplan["parameters"]["primary"] = interface[:bond][:slaves].first if deviceplan["parameters"]["mode"] == "active-backup"
 103       deviceplan["parameters"]["transmit-hash-policy"] = interface[:bond][:xmithashpolicy] if interface[:bond][:xmithashpolicy]
 104       deviceplan["parameters"]["lacp-rate"] = interface[:bond][:lacprate] if interface[:bond][:lacprate]
 105     end
 106
 107     if interface[:gateway] && interface[:gateway] != interface[:address]
 108       if interface[:family] == "inet"
 109         default_route = "0.0.0.0/0"
 110       elsif interface[:family] == "inet6"
 111         default_route = "::/0"
 112       end
 113
 114       deviceplan["routes"].push(
 115         "to" => default_route,
 116         "via" => interface[:gateway],
 117         "metric" => interface[:metric],
 118         "on-link" => true
 119       )
 120
 121       # This ordering relies on systemd-networkd adding routes
 122       # in reverse order and will need moving before the previous
 123       # route once that is fixed:
 124       #
 125       # https://github.com/systemd/systemd/issues/5430
 126       # https://github.com/systemd/systemd/pull/10938
 127       if interface[:family] == "inet6" &&
 128          !interface[:network].include?(interface[:gateway]) &&
 129          !IPAddr.new("fe80::/64").include?(interface[:gateway])
 130         deviceplan["routes"].push(
 131           "to" => interface[:gateway],
 132           "scope" => "link"
 133         )
 134       end
 135     end
 136
 137     if interface[:routes]
 138       interface[:routes].each do |to, parameters|
 139         next if parameters[:via] == interface[:address]
 140
 141         route = {
 142           "to" => to
 143         }
 144
 145         route["type"] = parameters[:type] if parameters[:type]
 146         route["via"] = parameters[:via] if parameters[:via]
 147         route["metric"] = parameters[:metric] if parameters[:metric]
 148
 149         deviceplan["routes"].push(route)
 150       end
 151     end
 152   else
 153     node.rm(:networking, :interfaces, name)
 154   end
 155 end
 156
 157 netplan["network"]["bonds"].each_value do |bond|
 158   bond["interfaces"].each do |interface|
 159     netplan["network"]["ethernets"][interface] ||= { "accept-ra" => false, "optional" => true }
 160   end
 161 end
 162
 163 netplan["network"]["vlans"].each_value do |vlan|
 164   unless vlan["link"] =~ /^bond\d+$/
 165     netplan["network"]["ethernets"][vlan["link"]] ||= { "accept-ra" => false }
 166   end
 167 end
 168
 169 file "/etc/netplan/00-installer-config.yaml" do
 170   action :delete
 171 end
 172
 173 file "/etc/netplan/01-netcfg.yaml" do
 174   action :delete
 175 end
 176
 177 file "/etc/netplan/50-cloud-init.yaml" do
 178   action :delete
 179 end
 180
 181 file "/etc/netplan/99-chef.yaml" do
 182   owner "root"
 183   group "root"
 184   mode "644"
 185   content YAML.dump(netplan)
 186 end
 187
 188 package "cloud-init" do
 189   action :purge
 190 end
 191
 192 if node[:networking][:wireguard][:enabled]
 193   wireguard_id = persistent_token("networking", "wireguard")
 194
 195   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 196
 197   package "wireguard-tools" do
 198     compile_time true
 199     options "--no-install-recommends"
 200   end
 201
 202   directory "/var/lib/systemd/wireguard" do
 203     owner "root"
 204     group "systemd-network"
 205     mode "750"
 206     compile_time true
 207   end
 208
 209   file "/var/lib/systemd/wireguard/private.key" do
 210     action :create_if_missing
 211     owner "root"
 212     group "systemd-network"
 213     mode "640"
 214     content %x(wg genkey)
 215     compile_time true
 216   end
 217
 218   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 219
 220   file "/var/lib/systemd/wireguard/preshared.key" do
 221     action :create_if_missing
 222     owner "root"
 223     group "systemd-network"
 224     mode "640"
 225     content keys["wireguard"]
 226   end
 227
 228   if node[:roles].include?("gateway")
 229     search(:node, "roles:gateway") do |gateway|
 230       next if gateway.name == node.name
 231       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 232
 233       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
 234         "#{interface[:network]}/#{interface[:prefix]}"
 235       end
 236
 237       node.default[:networking][:wireguard][:peers] << {
 238         :public_key => gateway[:networking][:wireguard][:public_key],
 239         :allowed_ips => allowed_ips,
 240         :endpoint => "#{gateway.name}:51820"
 241       }
 242     end
 243
 244     search(:node, "roles:prometheus") do |server|
 245       allowed_ips = server.interfaces(:role => :internal).map do |interface|
 246         "#{interface[:network]}/#{interface[:prefix]}"
 247       end
 248
 249       if server[:networking][:private_address]
 250         allowed_ips << "#{server[:networking][:private_address]}/32"
 251       end
 252
 253       node.default[:networking][:wireguard][:peers] << {
 254         :public_key => server[:networking][:wireguard][:public_key],
 255         :allowed_ips => allowed_ips,
 256         :endpoint => "#{server.name}:51820"
 257       }
 258     end
 259
 260     node.default[:networking][:wireguard][:peers] << {
 261       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 262       :allowed_ips => "10.0.16.1/32",
 263       :endpoint => "gate.compton.nu:51820"
 264     }
 265
 266     # Grant home
 267     node.default[:networking][:wireguard][:peers] << {
 268       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 269       :allowed_ips => "10.89.122.1/32",
 270       :endpoint => "gate.firefishy.com:51820"
 271     }
 272
 273     # Grant roaming
 274     node.default[:networking][:wireguard][:peers] << {
 275       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 276       :allowed_ips => "10.89.123.1/32",
 277       :endpoint => "roaming.firefishy.com:51820"
 278     }
 279   elsif node[:roles].include?("shenron")
 280     search(:node, "roles:gateway") do |gateway|
 281       allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
 282         "#{interface[:network]}/#{interface[:prefix]}"
 283       end
 284
 285       node.default[:networking][:wireguard][:peers] << {
 286         :public_key => gateway[:networking][:wireguard][:public_key],
 287         :allowed_ips => allowed_ips,
 288         :endpoint => "#{gateway.name}:51820"
 289       }
 290     end
 291   end
 292
 293   template "/etc/systemd/network/wireguard.netdev" do
 294     source "wireguard.netdev.erb"
 295     owner "root"
 296     group "systemd-network"
 297     mode "640"
 298   end
 299
 300   template "/etc/systemd/network/wireguard.network" do
 301     source "wireguard.network.erb"
 302     owner "root"
 303     group "root"
 304     mode "644"
 305   end
 306
 307   if node[:lsb][:release].to_f < 20.04
 308     execute "ip-link-delete-wg0" do
 309       action :nothing
 310       command "ip link delete wg0"
 311       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 312       only_if { ::File.exist?("/sys/class/net/wg0") }
 313     end
 314
 315     service "systemd-networkd" do
 316       action :nothing
 317       subscribes :restart, "template[/etc/systemd/network/wireguard.netdev]"
 318       subscribes :restart, "template[/etc/systemd/network/wireguard.network]"
 319       not_if { kitchen? }
 320     end
 321   else
 322     execute "networkctl-delete-wg0" do
 323       action :nothing
 324       command "networkctl delete wg0"
 325       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 326       only_if { ::File.exist?("/sys/class/net/wg0") }
 327     end
 328
 329     execute "networkctl-reload" do
 330       action :nothing
 331       command "networkctl reload"
 332       subscribes :run, "template[/etc/systemd/network/wireguard.netdev]"
 333       subscribes :run, "template[/etc/systemd/network/wireguard.network]"
 334       not_if { kitchen? }
 335     end
 336   end
 337 end
 338
 339 ohai "reload-hostname" do
 340   action :nothing
 341   plugin "hostname"
 342 end
 343
 344 execute "hostnamectl-set-hostname" do
 345   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 346   notifies :reload, "ohai[reload-hostname]"
 347   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 348 end
 349
 350 template "/etc/hosts" do
 351   source "hosts.erb"
 352   owner "root"
 353   group "root"
 354   mode "644"
 355   not_if { kitchen? }
 356 end
 357
 358 service "systemd-resolved" do
 359   action [:enable, :start]
 360 end
 361
 362 directory "/etc/systemd/resolved.conf.d" do
 363   owner "root"
 364   group "root"
 365   mode "755"
 366 end
 367
 368 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 369   source "resolved.conf.erb"
 370   owner "root"
 371   group "root"
 372   mode "644"
 373   notifies :restart, "service[systemd-resolved]", :immediately
 374 end
 375
 376 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 377   execute "umount-resolve-conf" do
 378     command "umount -c /etc/resolv.conf"
 379   end
 380 end
 381
 382 link "/etc/resolv.conf" do
 383   to "../run/systemd/resolve/stub-resolv.conf"
 384 end
 385
 386 hosts = { "inet" => [], "inet6" => [] }
 387 zones = {}
 388
 389 search(:node, "networking:interfaces").collect do |n|
 390   next if n[:fqdn] == node[:fqdn]
 391
 392   n.interfaces.each do |interface|
 393     next unless interface[:role] == "external" && interface[:zone]
 394
 395     hosts[interface[:family]] << interface[:address]
 396
 397     zones[interface[:zone]] ||= {}
 398     zones[interface[:zone]][interface[:family]] ||= []
 399     zones[interface[:zone]][interface[:family]] << interface[:address]
 400   end
 401 end
 402
 403 hosts["inet"] << "127.0.0.1" if hosts["inet"].empty?
 404 hosts["inet6"] << "::1" if hosts["inet6"].empty?
 405
 406 if node[:networking][:firewall][:engine] == "shorewall"
 407   package "shorewall"
 408
 409   systemd_service "shorewall-docker" do
 410     service "shorewall"
 411     dropin "docker"
 412     exec_stop "/sbin/shorewall $OPTIONS stop"
 413     notifies :restart, "service[shorewall]"
 414   end
 415
 416   template "/etc/default/shorewall" do
 417     source "shorewall-default.erb"
 418     owner "root"
 419     group "root"
 420     mode "644"
 421     notifies :restart, "service[shorewall]"
 422   end
 423
 424   template "/etc/shorewall/shorewall.conf" do
 425     source "shorewall.conf.erb"
 426     owner "root"
 427     group "root"
 428     mode "644"
 429     notifies :restart, "service[shorewall]"
 430   end
 431
 432   template "/etc/shorewall/zones" do
 433     source "shorewall-zones.erb"
 434     owner "root"
 435     group "root"
 436     mode "644"
 437     variables :type => "ipv4"
 438     notifies :restart, "service[shorewall]"
 439   end
 440
 441   template "/etc/shorewall/interfaces" do
 442     source "shorewall-interfaces.erb"
 443     owner "root"
 444     group "root"
 445     mode "644"
 446     notifies :restart, "service[shorewall]"
 447   end
 448
 449   template "/etc/shorewall/hosts" do
 450     source "shorewall-hosts.erb"
 451     owner "root"
 452     group "root"
 453     mode "644"
 454     variables :zones => zones
 455     notifies :restart, "service[shorewall]"
 456   end
 457
 458   template "/etc/shorewall/conntrack" do
 459     source "shorewall-conntrack.erb"
 460     owner "root"
 461     group "root"
 462     mode "644"
 463     notifies :restart, "service[shorewall]"
 464     only_if { node[:networking][:firewall][:raw] }
 465   end
 466
 467   template "/etc/shorewall/policy" do
 468     source "shorewall-policy.erb"
 469     owner "root"
 470     group "root"
 471     mode "644"
 472     notifies :restart, "service[shorewall]"
 473   end
 474
 475   template "/etc/shorewall/rules" do
 476     source "shorewall-rules.erb"
 477     owner "root"
 478     group "root"
 479     mode "644"
 480     variables :family => "inet"
 481     notifies :restart, "service[shorewall]"
 482   end
 483
 484   template "/etc/shorewall/stoppedrules" do
 485     source "shorewall-stoppedrules.erb"
 486     owner "root"
 487     group "root"
 488     mode "644"
 489     notifies :restart, "service[shorewall]"
 490   end
 491
 492   if node[:networking][:firewall][:enabled]
 493     service "shorewall" do
 494       action [:enable, :start]
 495       supports :restart => true
 496       status_command "shorewall status"
 497       ignore_failure true
 498     end
 499   else
 500     service "shorewall" do
 501       action [:disable, :stop]
 502       supports :restart => true
 503       status_command "shorewall status"
 504       ignore_failure true
 505     end
 506   end
 507
 508   template "/etc/logrotate.d/shorewall" do
 509     source "logrotate.shorewall.erb"
 510     owner "root"
 511     group "root"
 512     mode "644"
 513     variables :name => "shorewall"
 514   end
 515
 516   firewall_rule "limit-icmp-echo" do
 517     action :accept
 518     family :inet
 519     source "net"
 520     dest "fw"
 521     proto "icmp"
 522     dest_ports "echo-request"
 523     rate_limit "s:1/sec:5"
 524   end
 525
 526   file "/etc/shorewall/masq" do
 527     action :delete
 528   end
 529
 530   file "/etc/shorewall/masq.bak" do
 531     action :delete
 532   end
 533
 534   if node[:roles].include?("gateway")
 535     template "/etc/shorewall/snat" do
 536       source "shorewall-snat.erb"
 537       owner "root"
 538       group "root"
 539       mode "644"
 540       notifies :restart, "service[shorewall]"
 541     end
 542   else
 543     file "/etc/shorewall/snat" do
 544       action :delete
 545       notifies :restart, "service[shorewall]"
 546     end
 547   end
 548
 549   unless node.interfaces(:family => :inet6).empty?
 550     package "shorewall6"
 551
 552     template "/etc/default/shorewall6" do
 553       source "shorewall-default.erb"
 554       owner "root"
 555       group "root"
 556       mode "644"
 557       notifies :restart, "service[shorewall6]"
 558     end
 559
 560     template "/etc/shorewall6/shorewall6.conf" do
 561       source "shorewall6.conf.erb"
 562       owner "root"
 563       group "root"
 564       mode "644"
 565       notifies :restart, "service[shorewall6]"
 566     end
 567
 568     template "/etc/shorewall6/zones" do
 569       source "shorewall-zones.erb"
 570       owner "root"
 571       group "root"
 572       mode "644"
 573       variables :type => "ipv6"
 574       notifies :restart, "service[shorewall6]"
 575     end
 576
 577     template "/etc/shorewall6/interfaces" do
 578       source "shorewall6-interfaces.erb"
 579       owner "root"
 580       group "root"
 581       mode "644"
 582       notifies :restart, "service[shorewall6]"
 583     end
 584
 585     template "/etc/shorewall6/hosts" do
 586       source "shorewall6-hosts.erb"
 587       owner "root"
 588       group "root"
 589       mode "644"
 590       variables :zones => zones
 591       notifies :restart, "service[shorewall6]"
 592     end
 593
 594     template "/etc/shorewall6/conntrack" do
 595       source "shorewall-conntrack.erb"
 596       owner "root"
 597       group "root"
 598       mode "644"
 599       notifies :restart, "service[shorewall6]"
 600       only_if { node[:networking][:firewall][:raw] }
 601     end
 602
 603     template "/etc/shorewall6/policy" do
 604       source "shorewall-policy.erb"
 605       owner "root"
 606       group "root"
 607       mode "644"
 608       notifies :restart, "service[shorewall6]"
 609     end
 610
 611     template "/etc/shorewall6/rules" do
 612       source "shorewall-rules.erb"
 613       owner "root"
 614       group "root"
 615       mode "644"
 616       variables :family => "inet6"
 617       notifies :restart, "service[shorewall6]"
 618     end
 619
 620     if node[:networking][:firewall][:enabled]
 621       service "shorewall6" do
 622         action [:enable, :start]
 623         supports :restart => true
 624         status_command "shorewall6 status"
 625         ignore_failure true
 626       end
 627     else
 628       service "shorewall6" do
 629         action [:disable, :stop]
 630         supports :restart => true
 631         status_command "shorewall6 status"
 632         ignore_failure true
 633       end
 634     end
 635
 636     template "/etc/logrotate.d/shorewall6" do
 637       source "logrotate.shorewall.erb"
 638       owner "root"
 639       group "root"
 640       mode "644"
 641       variables :name => "shorewall6"
 642     end
 643
 644     firewall_rule "limit-icmp6-echo" do
 645       action :accept
 646       family :inet6
 647       source "net"
 648       dest "fw"
 649       proto "ipv6-icmp"
 650       dest_ports "echo-request"
 651       rate_limit "s:1/sec:5"
 652     end
 653   end
 654 elsif node[:networking][:firewall][:engine] == "nftables"
 655   service "shorewall6" do
 656     action [:disable, :stop]
 657   end
 658
 659   package "shorewall6" do
 660     action :purge
 661   end
 662
 663   service "shorewall" do
 664     action [:disable, :stop]
 665   end
 666
 667   systemd_service "shorewall-docker" do
 668     action :delete
 669     service "shorewall"
 670     dropin "docker"
 671   end
 672
 673   package "shorewall" do
 674     action :purge
 675   end
 676
 677   package "nftables"
 678
 679   interfaces = []
 680
 681   node.interfaces(:role => :external).each do |interface|
 682     interfaces << interface[:interface]
 683   end
 684
 685   interfaces << "eth0" if kitchen? && interfaces.empty?
 686
 687   template "/etc/nftables.conf" do
 688     source "nftables.conf.erb"
 689     owner "root"
 690     group "root"
 691     mode "755"
 692     variables :interfaces => interfaces, :hosts => hosts
 693     notifies :restart, "service[nftables]"
 694   end
 695
 696   if node[:networking][:firewall][:enabled]
 697     service "nftables" do
 698       action [:enable, :start]
 699     end
 700   else
 701     service "nftables" do
 702       action [:disable, :stop]
 703     end
 704   end
 705 end
 706
 707 if node[:networking][:wireguard][:enabled]
 708   wireguard_source = if node[:roles].include?("gateway")
 709                        "net"
 710                      else
 711                        "osm"
 712                      end
 713
 714   firewall_rule "accept-wireguard" do
 715     action :accept
 716     source wireguard_source
 717     dest "fw"
 718     proto "udp"
 719     dest_ports "51820"
 720     source_ports "51820"
 721   end
 722 end
 723
 724 firewall_rule "accept-http" do
 725   action :accept
 726   source "net"
 727   dest "fw"
 728   proto "tcp:syn"
 729   dest_ports "http"
 730   rate_limit node[:networking][:firewall][:http_rate_limit]
 731   connection_limit node[:networking][:firewall][:http_connection_limit]
 732 end
 733
 734 firewall_rule "accept-https" do
 735   action :accept
 736   source "net"
 737   dest "fw"
 738   proto "tcp:syn"
 739   dest_ports "https"
 740   rate_limit node[:networking][:firewall][:http_rate_limit]
 741   connection_limit node[:networking][:firewall][:http_connection_limit]
 742 end