ferm@serger: merge dsa-postgres-backup and dsa-postgres-backup6
[mirror/dsa-puppet.git] / modules / ferm / manifests / per_host.pp
1 class ferm::per_host {
2   if (getfromhash($deprecated::nodeinfo, 'hoster', 'name') == 'aql') {
3     include ferm::aql
4   }
5
6   case $::hostname {
7     czerny,clementi: {
8       ferm::rule { 'dsa-upsmon':
9         description => 'Allow upsmon access',
10         rule        => '&SERVICE_RANGE(tcp, 3493, ( 82.195.75.64/26 192.168.43.0/24 ))'
11       }
12     }
13     kaufmann: {
14       ferm::rule { 'dsa-hkp':
15         domain      => '(ip ip6)',
16         description => 'Allow hkp access',
17         rule        => '&SERVICE(tcp, 11371)'
18       }
19     }
20     gombert: {
21       ferm::rule { 'dsa-infinoted':
22         domain      => '(ip ip6)',
23         description => 'Allow infinoted access',
24         rule        => '&SERVICE(tcp, 6523)'
25       }
26     }
27     draghi: {
28       ferm::rule { 'dsa-finger':
29         domain      => '(ip ip6)',
30         description => 'Allow finger access',
31         rule        => '&SERVICE(tcp, 79)'
32       }
33       ferm::rule { 'dsa-ldap':
34         domain      => '(ip ip6)',
35         description => 'Allow ldap access',
36         rule        => '&SERVICE(tcp, 389)'
37       }
38       ferm::rule { 'dsa-ldaps':
39         domain      => '(ip ip6)',
40         description => 'Allow ldaps access',
41         rule        => '&SERVICE(tcp, 636)'
42       }
43     }
44     default: {}
45   }
46
47   case $::hostname {
48     bm-bl1,bm-bl2: {
49       ferm::rule { 'dsa-vrrp':
50         rule => 'proto vrrp daddr 224.0.0.18 jump ACCEPT',
51       }
52       ferm::rule { 'dsa-bind-notrack-in':
53         domain      => 'ip',
54         description => 'NOTRACK for nameserver traffic',
55         table       => 'raw',
56         chain       => 'PREROUTING',
57         rule        => 'proto (tcp udp) daddr 5.153.231.24 dport 53 jump NOTRACK'
58       }
59
60       ferm::rule { 'dsa-bind-notrack-out':
61         domain      => 'ip',
62         description => 'NOTRACK for nameserver traffic',
63         table       => 'raw',
64         chain       => 'OUTPUT',
65         rule        => 'proto (tcp udp) saddr 5.153.231.24 sport 53 jump NOTRACK'
66       }
67
68       ferm::rule { 'dsa-bind-notrack-in6':
69         domain      => 'ip6',
70         description => 'NOTRACK for nameserver traffic',
71         table       => 'raw',
72         chain       => 'PREROUTING',
73         rule        => 'proto (tcp udp) daddr 2001:41c8:1000:21::21:24 dport 53 jump NOTRACK'
74       }
75
76       ferm::rule { 'dsa-bind-notrack-out6':
77         domain      => 'ip6',
78         description => 'NOTRACK for nameserver traffic',
79         table       => 'raw',
80         chain       => 'OUTPUT',
81         rule        => 'proto (tcp udp) saddr 2001:41c8:1000:21::21:24 sport 53 jump NOTRACK'
82       }
83     }
84     default: {}
85   }
86
87   # postgres stuff
88   case $::hostname {
89     ullmann: {
90       ferm::rule { 'dsa-postgres-udd':
91         description => 'Allow postgress access',
92         domain      => '(ip ip6)',
93         # quantz, master, coccia
94         rule        => @("EOF")
95           &SERVICE_RANGE(tcp, 5452, (
96             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
97             ${ join(getfromhash($deprecated::allnodeinfo, 'master.debian.org', 'ipHostNumber'), " ") }
98             ${ join(getfromhash($deprecated::allnodeinfo, 'coccia.debian.org', 'ipHostNumber'), " ") }
99             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
100             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
101           ))
102           | EOF
103       }
104     }
105     fasolo: {
106       ferm::rule { 'dsa-postgres':
107         description => 'Allow postgress access',
108         domain      => '(ip ip6)',
109         rule        => @("EOF"/$)
110           &SERVICE_RANGE(tcp, 5433, (
111             ${ join(getfromhash($deprecated::allnodeinfo, 'bmdb1.debian.org', 'ipHostNumber'), " ") }
112             \$HOST_PGBACKUPHOST
113           ))
114           | EOF
115       }
116     }
117     bmdb1: {
118       ferm::rule { 'dsa-postgres-main':
119         description => 'Allow postgress access to cluster: main',
120         domain      => '(ip ip6)',
121         rule        => @("EOF"/$)
122           &SERVICE_RANGE(tcp, 5435, (
123             ${ join(getfromhash($deprecated::allnodeinfo, 'petrova.debian.org', 'ipHostNumber'), " ") }
124             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
125             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
126             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
127             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
128             ${ join(getfromhash($deprecated::allnodeinfo, 'tate.debian.org', 'ipHostNumber'), " ") }
129             \$HOST_PGBACKUPHOST
130           ))
131           | EOF
132       }
133       ferm::rule { 'dsa-postgres-dak':
134         description => 'Allow postgress access to cluster: dak',
135         domain      => '(ip ip6)',
136         rule        => @("EOF"/$)
137           &SERVICE_RANGE(tcp, 5434, (
138             ${ join(getfromhash($deprecated::allnodeinfo, 'coccia.debian.org', 'ipHostNumber'), " ") }
139             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
140             ${ join(getfromhash($deprecated::allnodeinfo, 'nono.debian.org', 'ipHostNumber'), " ") }
141             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
142             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
143             ${ join(getfromhash($deprecated::allnodeinfo, 'usper.debian.org', 'ipHostNumber'), " ") }
144             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
145           ))
146           | EOF
147       }
148       ferm::rule { 'dsa-postgres-dedup':
149         description => 'Allow postgress access to cluster: dedup',
150         domain      => '(ip ip6)',
151         rule        => @("EOF"/$)
152           &SERVICE_RANGE(tcp, 5439, (
153             ${ join(getfromhash($deprecated::allnodeinfo, 'delfin.debian.org', 'ipHostNumber'), " ") }
154           ))
155           | EOF
156       }
157       ferm::rule { 'dsa-postgres-debsources':
158         description => 'Allow postgress access to cluster: debsources',
159         domain      => '(ip ip6)',
160         rule        => @("EOF"/$)
161           &SERVICE_RANGE(tcp, 5440, (
162             ${ join(getfromhash($deprecated::allnodeinfo, 'sor.debian.org', 'ipHostNumber'), " ") }
163             \$HOST_PGBACKUPHOST
164           ))
165           | EOF
166       }
167     }
168     danzi: {
169       ferm::rule { 'dsa-postgres-tracker':
170         description => 'Allow postgress access to cluster: tracker',
171         domain      => '(ip ip6)',
172         rule        => @("EOF"/$)
173           &SERVICE_RANGE(tcp, 5432, (
174             ${ join(getfromhash($deprecated::allnodeinfo, 'ticharich.debian.org', 'ipHostNumber'), " ") }
175           ))
176           | EOF
177       }
178       ferm::rule { 'dsa-postgres-main':
179         description => 'Allow postgress access to cluster: main',
180         domain      => '(ip ip6)',
181         rule        => @("EOF"/$)
182           &SERVICE_RANGE(tcp, 5433, (
183             ${ join(getfromhash($deprecated::allnodeinfo, 'diabelli.debian.org', 'ipHostNumber'), " ") }
184             ${ join(getfromhash($deprecated::allnodeinfo, 'nono.debian.org', 'ipHostNumber'), " ") }
185             ${ join(getfromhash($deprecated::allnodeinfo, 'reger.debian.org', 'ipHostNumber'), " ") }
186           ))
187           | EOF
188       }
189       ferm::rule { 'dsa-postgres-debconf':
190         description => 'Allow postgress access to cluster: debconf',
191         domain      => '(ip ip6)',
192         rule        => @("EOF"/$)
193           &SERVICE_RANGE(tcp, 5434, (
194             ${ join(getfromhash($deprecated::allnodeinfo, 'debussy.debian.org', 'ipHostNumber'), " ") }
195           ))
196           | EOF
197       }
198       ferm::rule { 'dsa-postgres-wannabuild':
199         description => 'Allow postgress access to cluster: wannabuild',
200         domain      => '(ip ip6)',
201         rule        => @("EOF"/$)
202           &SERVICE_RANGE(tcp, 5436, (
203             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
204             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
205             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
206           ))
207           | EOF
208       }
209     }
210     postgresql-manda-01: {
211       ferm::rule { 'dsa-postgres-bacula':
212         description => 'Allow postgress access to cluster: bacula',
213         domain      => '(ip ip6)',
214         rule        => @("EOF"/$)
215           &SERVICE_RANGE(tcp, 5432, (
216             ${ join(getfromhash($deprecated::allnodeinfo, 'dinis.debian.org', 'ipHostNumber'), " ") }
217             ${ join(getfromhash($deprecated::allnodeinfo, 'storace.debian.org', 'ipHostNumber'), " ") }
218           ))
219           | EOF
220       }
221     }
222     seger: {
223       ferm::rule { 'dsa-postgres-backup':
224         description => 'Allow postgress access',
225         domain      => '(ip ip6)',
226         rule        => '&SERVICE_RANGE(tcp, 5432, ( $HOST_PGBACKUPHOST ))'
227       }
228     }
229     sallinen: {
230       ferm::rule { 'dsa-postgres':
231         description => 'Allow postgress access',
232         domain      => '(ip ip6)',
233         rule        => @("EOF"/$)
234           &SERVICE_RANGE(tcp, 5473, (
235             ${ join(getfromhash($deprecated::allnodeinfo, 'lw07.debian.org', 'ipHostNumber'), " ") }
236             ${ join(getfromhash($deprecated::allnodeinfo, 'snapshotdb-manda-01.debian.org', 'ipHostNumber'), " ") }
237             \$HOST_PGBACKUPHOST
238           ))
239           | EOF
240       }
241     }
242     lw07: {
243       ferm::rule { 'dsa-postgres-snapshot':
244         description => 'Allow postgress access',
245         rule        => '&SERVICE_RANGE(tcp, 5439, ( 185.17.185.176/28 ))'
246       }
247       ferm::rule { 'dsa-postgres-snapshot6':
248         domain      => 'ip6',
249         description => 'Allow postgress access',
250         rule        => '&SERVICE_RANGE(tcp, 5439, ( 2001:1af8:4020:b030::/64 ))'
251       }
252     }
253     snapshotdb-manda-01: {
254       ferm::rule { 'dsa-postgres-snapshot':
255         domain      => '(ip ip6)',
256         description => 'Allow postgress access from leaseweb (lw07 and friends)',
257         rule        => '&SERVICE_RANGE(tcp, 5442, ( 185.17.185.176/28 2001:1af8:4020:b030::/64 ))'
258       }
259     }
260     default: {}
261   }
262   # vpn fu
263   case $::hostname {
264     draghi: {
265       ferm::rule { 'dsa-vpn':
266         description => 'Allow openvpn access',
267         rule        => '&SERVICE(udp, 17257)'
268       }
269       ferm::rule { 'dsa-routing':
270         description => 'forward chain',
271         chain       => 'FORWARD',
272         rule        => 'policy ACCEPT;
273 mod state state (ESTABLISHED RELATED) ACCEPT;
274 interface tun+ ACCEPT;
275 REJECT reject-with icmp-admin-prohibited
276 '
277       }
278       ferm::rule { 'dsa-vpn-mark':
279         table => 'mangle',
280         chain => 'PREROUTING',
281         rule  => 'interface tun+ MARK set-mark 1',
282       }
283       ferm::rule { 'dsa-vpn-nat':
284         table => 'nat',
285         chain => 'POSTROUTING',
286         rule  => 'outerface !tun+ mod mark mark 1 MASQUERADE',
287       }
288     }
289     ubc-enc2bl01,ubc-enc2bl02,ubc-enc2bl09,ubc-enc2bl10: {
290       ferm::rule { 'dsa-ssh-priv':
291         description => 'Allow ssh access',
292         rule        => '&SERVICE_RANGE(tcp, 22, ( 172.29.40.0/22 172.29.203.0/24 ))',
293       }
294     }
295     ubc-node-arm01,ubc-node-arm02,ubc-node-arm03: {
296       ferm::rule { 'dsa-ssh-priv':
297         description => 'Allow ssh access',
298         rule        => '&SERVICE_RANGE(tcp, 22, ( 172.29.43.240 ))',
299       }
300     }
301     default: {}
302   }
303   # tftp
304   case $::hostname {
305     abel: {
306       ferm::rule { 'dsa-tftp':
307         description => 'Allow tftp access',
308         rule        => '&SERVICE_RANGE(udp, 69, ( 172.28.17.0/24 ))'
309       }
310     }
311     master: {
312       ferm::rule { 'dsa-tftp':
313         description => 'Allow tftp access',
314         rule        => '&SERVICE_RANGE(udp, 69, ( 82.195.75.64/26 192.168.43.0/24 ))'
315       }
316     }
317   }
318 }