cookbooks/networking/recipes/default.rb

   1 #
   2 # Cookbook:: networking
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2010, OpenStreetMap Foundation.
   6 # Copyright:: 2009, Opscode, Inc.
   7 #
   8 # Licensed under the Apache License, Version 2.0 (the "License");
   9 # you may not use this file except in compliance with the License.
  10 # You may obtain a copy of the License at
  11 #
  12 #     https://www.apache.org/licenses/LICENSE-2.0
  13 #
  14 # Unless required by applicable law or agreed to in writing, software
  15 # distributed under the License is distributed on an "AS IS" BASIS,
  16 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17 # See the License for the specific language governing permissions and
  18 # limitations under the License.
  19 #
  20 # = Requires
  21 # * node[:networking][:nameservers]
  22
  23 require "ipaddr"
  24 require "yaml"
  25
  26 include_recipe "ruby"
  27
  28 keys = data_bag_item("networking", "keys")
  29
  30 file "/etc/netplan/00-installer-config.yaml" do
  31   action :delete
  32 end
  33
  34 file "/etc/netplan/01-netcfg.yaml" do
  35   action :delete
  36 end
  37
  38 file "/etc/netplan/50-cloud-init.yaml" do
  39   action :delete
  40 end
  41
  42 file "/etc/netplan/99-chef.yaml" do
  43   action :delete
  44 end
  45
  46 package "ifupdown" do
  47   action :purge
  48 end
  49
  50 package "netplan.io" do
  51   action :purge
  52 end
  53
  54 package "cloud-init" do
  55   action :purge
  56 end
  57
  58 interfaces = node[:networking][:interfaces].collect do |name, interface|
  59   [interface[:interface], name]
  60 end.to_h
  61
  62 node[:networking][:interfaces].each do |_, interface|
  63   next unless interface[:interface] =~ /^(.*)\.(\d+)$/
  64
  65   vlan_interface = Regexp.last_match(1)
  66   vlan_id = Regexp.last_match(2)
  67
  68   parent = interfaces[vlan_interface] || "vlans_#{vlan_interface}"
  69
  70   node.default_unless[:networking][:interfaces][parent][:interface] = vlan_interface
  71   node.default_unless[:networking][:interfaces][parent][:vlans] = []
  72
  73   node.default[:networking][:interfaces][parent][:vlans] << vlan_id
  74 end
  75
  76 node[:networking][:interfaces].each do |_, interface|
  77   if interface[:interface] =~ /^.*\.(\d+)$/
  78     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  79       source "vlan.netdev.erb"
  80       owner "root"
  81       group "root"
  82       mode "644"
  83       variables :interface => interface, :vlan => Regexp.last_match(1)
  84       notifies :run, "notify_group[networkctl-reload]"
  85     end
  86   elsif interface[:interface] =~ /^bond\d+$/
  87     next unless interface[:bond]
  88
  89     template "/etc/systemd/network/10-#{interface[:interface]}.netdev" do
  90       source "bond.netdev.erb"
  91       owner "root"
  92       group "root"
  93       mode "644"
  94       variables :interface => interface
  95       notifies :run, "notify_group[networkctl-reload]"
  96     end
  97
  98     interface[:bond][:slaves].each do |slave|
  99       template "/etc/systemd/network/10-#{slave}.network" do
 100         source "slave.network.erb"
 101         owner "root"
 102         group "root"
 103         mode "644"
 104         variables :master => interface, :slave => slave
 105         notifies :run, "notify_group[networkctl-reload]"
 106       end
 107     end
 108   end
 109
 110   template "/etc/systemd/network/10-#{interface[:interface]}.network" do
 111     source "network.erb"
 112     owner "root"
 113     group "root"
 114     mode "644"
 115     variables :interface => interface
 116     notifies :run, "notify_group[networkctl-reload]"
 117   end
 118 end
 119
 120 package "systemd-resolved" do
 121   action :install
 122   only_if { platform?("ubuntu") && node[:lsb][:release].to_f > 22.04 || platform?("debian") && node[:lsb][:release].to_f > 11.0 }
 123 end
 124
 125 service "systemd-networkd" do
 126   action [:enable, :start]
 127 end
 128
 129 if node[:networking][:wireguard][:enabled]
 130   wireguard_id = persistent_token("networking", "wireguard")
 131
 132   node.default[:networking][:wireguard][:address] = "fd43:e709:ea6d:1:#{wireguard_id[0, 4]}:#{wireguard_id[4, 4]}:#{wireguard_id[8, 4]}:#{wireguard_id[12, 4]}"
 133
 134   package "wireguard-tools" do
 135     compile_time true
 136     options "--no-install-recommends"
 137   end
 138
 139   directory "/var/lib/systemd/wireguard" do
 140     owner "root"
 141     group "systemd-network"
 142     mode "750"
 143     compile_time true
 144   end
 145
 146   file "/var/lib/systemd/wireguard/private.key" do
 147     action :create_if_missing
 148     owner "root"
 149     group "systemd-network"
 150     mode "640"
 151     content %x(wg genkey)
 152     compile_time true
 153   end
 154
 155   node.default[:networking][:wireguard][:public_key] = %x(wg pubkey < /var/lib/systemd/wireguard/private.key).chomp
 156
 157   file "/var/lib/systemd/wireguard/preshared.key" do
 158     action :create_if_missing
 159     owner "root"
 160     group "systemd-network"
 161     mode "640"
 162     content keys["wireguard"]
 163   end
 164
 165   if node[:roles].include?("gateway")
 166     search(:node, "roles:gateway") do |gateway|
 167       next if gateway.name == node.name
 168       next unless gateway[:networking][:wireguard] && gateway[:networking][:wireguard][:enabled]
 169
 170       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 171
 172       node.default[:networking][:wireguard][:peers] << {
 173         :public_key => gateway[:networking][:wireguard][:public_key],
 174         :allowed_ips => allowed_ips,
 175         :endpoint => "#{gateway.name}:51820"
 176       }
 177     end
 178
 179     search(:node, "roles:prometheus") do |server|
 180       allowed_ips = server.ipaddresses(:role => :internal).map(&:subnet)
 181
 182       if server[:networking][:private_address]
 183         allowed_ips << "#{server[:networking][:private_address]}/32"
 184       end
 185
 186       node.default[:networking][:wireguard][:peers] << {
 187         :public_key => server[:networking][:wireguard][:public_key],
 188         :allowed_ips => allowed_ips,
 189         :endpoint => "#{server.name}:51820"
 190       }
 191     end
 192
 193     node.default[:networking][:wireguard][:peers] << {
 194       :public_key => "7Oj9ufNlgidyH/xDc+aHQKMjJPqTmD/ab13agMh6AxA=",
 195       :allowed_ips => "10.0.16.1/32",
 196       :endpoint => "gate.compton.nu:51820"
 197     }
 198
 199     # Grant home
 200     node.default[:networking][:wireguard][:peers] << {
 201       :public_key => "RofATnvlWxP3mt87+QKRXFE5MVxtoCcTsJ+yftZYEE4=",
 202       :allowed_ips => "10.89.122.1/32",
 203       :endpoint => "gate.firefishy.com:51820"
 204     }
 205
 206     # Grant roaming
 207     node.default[:networking][:wireguard][:peers] << {
 208       :public_key => "YbUkREE9TAmomqgL/4Fh2e5u2Hh7drN/2o5qg3ndRxg=",
 209       :allowed_ips => "10.89.123.1/32",
 210       :endpoint => "roaming.firefishy.com:51820"
 211     }
 212   elsif node[:roles].include?("shenron")
 213     search(:node, "roles:gateway") do |gateway|
 214       allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 215
 216       node.default[:networking][:wireguard][:peers] << {
 217         :public_key => gateway[:networking][:wireguard][:public_key],
 218         :allowed_ips => allowed_ips,
 219         :endpoint => "#{gateway.name}:51820"
 220       }
 221     end
 222   end
 223
 224   file "/etc/systemd/network/wireguard.netdev" do
 225     action :delete
 226   end
 227
 228   template "/etc/systemd/network/10-wg0.netdev" do
 229     source "wireguard.netdev.erb"
 230     owner "root"
 231     group "systemd-network"
 232     mode "640"
 233     notifies :run, "execute[networkctl-delete-wg0]"
 234     notifies :run, "notify_group[networkctl-reload]"
 235   end
 236
 237   file "/etc/systemd/network/wireguard.network" do
 238     action :delete
 239   end
 240
 241   template "/etc/systemd/network/10-wg0.network" do
 242     source "wireguard.network.erb"
 243     owner "root"
 244     group "root"
 245     mode "644"
 246     notifies :run, "execute[networkctl-reload]"
 247   end
 248
 249   execute "networkctl-delete-wg0" do
 250     action :nothing
 251     command "networkctl delete wg0"
 252     only_if { ::File.exist?("/sys/class/net/wg0") }
 253   end
 254 end
 255
 256 # Setup dokken network in systemd-networkd to avoid systemd-networkd-wait-online delay
 257 template "/etc/systemd/network/dokken.network" do
 258   source "dokken.network.erb"
 259   owner "root"
 260   group "root"
 261   mode "644"
 262   notifies :run, "execute[networkctl-reload]", :immediately
 263   only_if { kitchen? }
 264 end
 265
 266 notify_group "networkctl-reload"
 267
 268 execute "networkctl-reload" do
 269   action :nothing
 270   command "networkctl reload"
 271   subscribes :run, "notify_group[networkctl-reload]"
 272 end
 273
 274 ohai "reload-hostname" do
 275   action :nothing
 276   plugin "hostname"
 277 end
 278
 279 execute "hostnamectl-set-hostname" do
 280   command "hostnamectl set-hostname #{node[:networking][:hostname]}"
 281   notifies :reload, "ohai[reload-hostname]"
 282   not_if { kitchen? || node[:hostnamectl][:static_hostname] == node[:networking][:hostname] }
 283 end
 284
 285 template "/etc/hosts" do
 286   source "hosts.erb"
 287   owner "root"
 288   group "root"
 289   mode "644"
 290   not_if { kitchen? }
 291 end
 292
 293 service "systemd-resolved" do
 294   action [:enable, :start]
 295 end
 296
 297 directory "/etc/systemd/resolved.conf.d" do
 298   owner "root"
 299   group "root"
 300   mode "755"
 301 end
 302
 303 template "/etc/systemd/resolved.conf.d/99-chef.conf" do
 304   source "resolved.conf.erb"
 305   owner "root"
 306   group "root"
 307   mode "644"
 308   notifies :restart, "service[systemd-resolved]", :immediately
 309 end
 310
 311 if node[:filesystem][:by_mountpoint][:"/etc/resolv.conf"]
 312   execute "umount-resolve-conf" do
 313     command "umount -c /etc/resolv.conf"
 314   end
 315 end
 316
 317 link "/etc/resolv.conf" do
 318   to "../run/systemd/resolve/stub-resolv.conf"
 319 end
 320
 321 gem_package "dbus-systemd"
 322
 323 prometheus_exporter "resolved" do
 324   port 10028
 325   user "systemd-resolve"
 326   restrict_address_families "AF_UNIX"
 327 end
 328
 329 hosts = { :inet => [], :inet6 => [] }
 330
 331 search(:node, "networking:interfaces").collect do |n|
 332   next if n[:fqdn] == node[:fqdn]
 333
 334   n.interfaces.each do |interface|
 335     next unless interface[:role] == "external"
 336
 337     hosts[:inet] << interface[:inet][:address] if interface[:inet]
 338     hosts[:inet6] << interface[:inet6][:address] if interface[:inet6]
 339   end
 340 end
 341
 342 package "nftables"
 343
 344 interfaces = []
 345
 346 node.interfaces(:role => :external).each do |interface|
 347   interfaces << interface[:interface]
 348 end
 349
 350 template "/etc/nftables.conf" do
 351   source "nftables.conf.erb"
 352   owner "root"
 353   group "root"
 354   mode "755"
 355   variables :interfaces => interfaces, :hosts => hosts
 356   notifies :reload, "service[nftables]"
 357 end
 358
 359 directory "/var/lib/nftables" do
 360   owner "root"
 361   group "root"
 362   mode "755"
 363 end
 364
 365 template "/usr/local/bin/nftables" do
 366   source "nftables.erb"
 367   owner "root"
 368   group "root"
 369   mode "755"
 370 end
 371
 372 systemd_service "nftables-stop" do
 373   action :delete
 374   service "nftables"
 375   dropin "stop"
 376 end
 377
 378 systemd_service "nftables-chef" do
 379   service "nftables"
 380   dropin "chef"
 381   exec_start "/usr/local/bin/nftables start"
 382   exec_reload "/usr/local/bin/nftables reload"
 383   exec_stop "/usr/local/bin/nftables stop"
 384 end
 385
 386 if node[:networking][:firewall][:enabled]
 387   service "nftables" do
 388     action [:enable, :start]
 389   end
 390 else
 391   service "nftables" do
 392     action [:disable, :stop]
 393   end
 394 end
 395
 396 if node[:networking][:wireguard][:enabled]
 397   firewall_rule "accept-wireguard" do
 398     action :accept
 399     context :incoming
 400     protocol :udp
 401     source :osm unless node[:roles].include?("gateway")
 402     dest_ports "51820"
 403     source_ports "51820"
 404   end
 405 end
 406
 407 firewall_rule "accept-http-osm" do
 408   action :accept
 409   context :incoming
 410   protocol :tcp
 411   source :osm
 412   dest_ports %w[http https]
 413 end
 414
 415 firewall_rule "accept-http" do
 416   action :accept
 417   context :incoming
 418   protocol :tcp
 419   dest_ports %w[http https]
 420   rate_limit node[:networking][:firewall][:http_rate_limit]
 421   connection_limit node[:networking][:firewall][:http_connection_limit]
 422 end