Drop HOST_DEBIAN_V4 and HOST_DEBIAN_V6
[mirror/dsa-puppet.git] / modules / ferm / manifests / per_host.pp
1 class ferm::per_host {
2   if (getfromhash($deprecated::nodeinfo, 'hoster', 'name') == 'aql') {
3     include ferm::aql
4   }
5
6   case $::hostname {
7     czerny,clementi: {
8       ferm::rule { 'dsa-upsmon':
9         description => 'Allow upsmon access',
10         rule        => '&SERVICE_RANGE(tcp, 3493, ( 82.195.75.64/26 192.168.43.0/24 ))'
11       }
12     }
13     kaufmann: {
14       ferm::rule { 'dsa-hkp':
15         domain      => '(ip ip6)',
16         description => 'Allow hkp access',
17         rule        => '&SERVICE(tcp, 11371)'
18       }
19     }
20     gombert: {
21       ferm::rule { 'dsa-infinoted':
22         domain      => '(ip ip6)',
23         description => 'Allow infinoted access',
24         rule        => '&SERVICE(tcp, 6523)'
25       }
26     }
27     draghi: {
28       ferm::rule { 'dsa-finger':
29         domain      => '(ip ip6)',
30         description => 'Allow finger access',
31         rule        => '&SERVICE(tcp, 79)'
32       }
33       ferm::rule { 'dsa-ldap':
34         domain      => '(ip ip6)',
35         description => 'Allow ldap access',
36         rule        => '&SERVICE(tcp, 389)'
37       }
38       ferm::rule { 'dsa-ldaps':
39         domain      => '(ip ip6)',
40         description => 'Allow ldaps access',
41         rule        => '&SERVICE(tcp, 636)'
42       }
43     }
44     default: {}
45   }
46
47   case $::hostname {
48     bm-bl1,bm-bl2: {
49       ferm::rule { 'dsa-vrrp':
50         rule => 'proto vrrp daddr 224.0.0.18 jump ACCEPT',
51       }
52       ferm::rule { 'dsa-bind-notrack-in':
53         domain      => 'ip',
54         description => 'NOTRACK for nameserver traffic',
55         table       => 'raw',
56         chain       => 'PREROUTING',
57         rule        => 'proto (tcp udp) daddr 5.153.231.24 dport 53 jump NOTRACK'
58       }
59
60       ferm::rule { 'dsa-bind-notrack-out':
61         domain      => 'ip',
62         description => 'NOTRACK for nameserver traffic',
63         table       => 'raw',
64         chain       => 'OUTPUT',
65         rule        => 'proto (tcp udp) saddr 5.153.231.24 sport 53 jump NOTRACK'
66       }
67
68       ferm::rule { 'dsa-bind-notrack-in6':
69         domain      => 'ip6',
70         description => 'NOTRACK for nameserver traffic',
71         table       => 'raw',
72         chain       => 'PREROUTING',
73         rule        => 'proto (tcp udp) daddr 2001:41c8:1000:21::21:24 dport 53 jump NOTRACK'
74       }
75
76       ferm::rule { 'dsa-bind-notrack-out6':
77         domain      => 'ip6',
78         description => 'NOTRACK for nameserver traffic',
79         table       => 'raw',
80         chain       => 'OUTPUT',
81         rule        => 'proto (tcp udp) saddr 2001:41c8:1000:21::21:24 sport 53 jump NOTRACK'
82       }
83     }
84     default: {}
85   }
86
87   # postgres stuff
88   case $::hostname {
89     ullmann: {
90       ferm::rule { 'dsa-postgres-udd':
91         description => 'Allow postgress access',
92         domain      => '(ip ip6)',
93         # quantz, master, coccia
94         rule        => @("EOF")
95           &SERVICE_RANGE(tcp, 5452, (
96             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
97             ${ join(getfromhash($deprecated::allnodeinfo, 'master.debian.org', 'ipHostNumber'), " ") }
98             ${ join(getfromhash($deprecated::allnodeinfo, 'coccia.debian.org', 'ipHostNumber'), " ") }
99             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
100             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
101           ))
102           | EOF
103       }
104     }
105     fasolo: {
106       ferm::rule { 'dsa-postgres':
107         description => 'Allow postgress access',
108         domain      => '(ip ip6)',
109         rule        => @("EOF"/$)
110           &SERVICE_RANGE(tcp, 5433, (
111             ${ join(getfromhash($deprecated::allnodeinfo, 'bmdb1.debian.org', 'ipHostNumber'), " ") }
112             \$HOST_PGBACKUPHOST
113           ))
114           | EOF
115       }
116     }
117     bmdb1: {
118       ferm::rule { 'dsa-postgres-main':
119         description => 'Allow postgress access to cluster: main',
120         domain      => '(ip ip6)',
121         rule        => @("EOF"/$)
122           &SERVICE_RANGE(tcp, 5435, (
123             ${ join(getfromhash($deprecated::allnodeinfo, 'petrova.debian.org', 'ipHostNumber'), " ") }
124             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
125             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
126             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
127             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
128             ${ join(getfromhash($deprecated::allnodeinfo, 'tate.debian.org', 'ipHostNumber'), " ") }
129             \$HOST_PGBACKUPHOST
130           ))
131           | EOF
132       }
133       ferm::rule { 'dsa-postgres-dak':
134         description => 'Allow postgress access to cluster: dak',
135         domain      => '(ip ip6)',
136         rule        => @("EOF"/$)
137           &SERVICE_RANGE(tcp, 5434, (
138             ${ join(getfromhash($deprecated::allnodeinfo, 'coccia.debian.org', 'ipHostNumber'), " ") }
139             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
140             ${ join(getfromhash($deprecated::allnodeinfo, 'nono.debian.org', 'ipHostNumber'), " ") }
141             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
142             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
143             ${ join(getfromhash($deprecated::allnodeinfo, 'usper.debian.org', 'ipHostNumber'), " ") }
144             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
145           ))
146           | EOF
147       }
148       ferm::rule { 'dsa-postgres-dedup':
149         description => 'Allow postgress access to cluster: dedup',
150         domain      => '(ip ip6)',
151         rule        => @("EOF"/$)
152           &SERVICE_RANGE(tcp, 5439, (
153             ${ join(getfromhash($deprecated::allnodeinfo, 'delfin.debian.org', 'ipHostNumber'), " ") }
154           ))
155           | EOF
156       }
157       ferm::rule { 'dsa-postgres-debsources':
158         description => 'Allow postgress access to cluster: debsources',
159         domain      => '(ip ip6)',
160         rule        => @("EOF"/$)
161           &SERVICE_RANGE(tcp, 5440, (
162             ${ join(getfromhash($deprecated::allnodeinfo, 'sor.debian.org', 'ipHostNumber'), " ") }
163             \$HOST_PGBACKUPHOST
164           ))
165           | EOF
166       }
167     }
168     danzi: {
169       ferm::rule { 'dsa-postgres-tracker':
170         description => 'Allow postgress access to cluster: tracker',
171         domain      => '(ip ip6)',
172         rule        => @("EOF"/$)
173           &SERVICE_RANGE(tcp, 5432, (
174             ${ join(getfromhash($deprecated::allnodeinfo, 'ticharich.debian.org', 'ipHostNumber'), " ") }
175           ))
176           | EOF
177       }
178       ferm::rule { 'dsa-postgres-main':
179         description => 'Allow postgress access to cluster: main',
180         domain      => '(ip ip6)',
181         rule        => @("EOF"/$)
182           &SERVICE_RANGE(tcp, 5433, (
183             ${ join(getfromhash($deprecated::allnodeinfo, 'diabelli.debian.org', 'ipHostNumber'), " ") }
184             ${ join(getfromhash($deprecated::allnodeinfo, 'nono.debian.org', 'ipHostNumber'), " ") }
185             ${ join(getfromhash($deprecated::allnodeinfo, 'reger.debian.org', 'ipHostNumber'), " ") }
186           ))
187           | EOF
188       }
189       ferm::rule { 'dsa-postgres-debconf':
190         description => 'Allow postgress access to cluster: debconf',
191         domain      => '(ip ip6)',
192         rule        => @("EOF"/$)
193           &SERVICE_RANGE(tcp, 5434, (
194             ${ join(getfromhash($deprecated::allnodeinfo, 'debussy.debian.org', 'ipHostNumber'), " ") }
195           ))
196           | EOF
197       }
198       ferm::rule { 'dsa-postgres-wannabuild':
199         description => 'Allow postgress access to cluster: wannabuild',
200         domain      => '(ip ip6)',
201         rule        => @("EOF"/$)
202           &SERVICE_RANGE(tcp, 5436, (
203             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
204             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
205             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
206           ))
207           | EOF
208       }
209     }
210     postgresql-manda-01: {
211       ferm::rule { 'dsa-postgres-bacula':
212         description => 'Allow postgress access to cluster: bacula',
213         domain      => '(ip ip6)',
214         rule        => @("EOF"/$)
215           &SERVICE_RANGE(tcp, 5432, (
216             ${ join(getfromhash($deprecated::allnodeinfo, 'dinis.debian.org', 'ipHostNumber'), " ") }
217             ${ join(getfromhash($deprecated::allnodeinfo, 'storace.debian.org', 'ipHostNumber'), " ") }
218           ))
219           | EOF
220       }
221     }
222     seger: {
223       ferm::rule { 'dsa-postgres-backup':
224         description => 'Allow postgress access',
225         rule        => '&SERVICE_RANGE(tcp, 5432, ( $HOST_PGBACKUPHOST_V4 ))'
226       }
227       ferm::rule { 'dsa-postgres-backup6':
228         domain      => 'ip6',
229         description => 'Allow postgress access',
230         rule        => '&SERVICE_RANGE(tcp, 5432, ( $HOST_PGBACKUPHOST_V6 ))'
231       }
232     }
233     sallinen: {
234       ferm::rule { 'dsa-postgres':
235         description => 'Allow postgress access',
236         domain      => '(ip ip6)',
237         rule        => @("EOF"/$)
238           &SERVICE_RANGE(tcp, 5473, (
239             ${ join(getfromhash($deprecated::allnodeinfo, 'lw07.debian.org', 'ipHostNumber'), " ") }
240             ${ join(getfromhash($deprecated::allnodeinfo, 'snapshotdb-manda-01.debian.org', 'ipHostNumber'), " ") }
241             \$HOST_PGBACKUPHOST
242           ))
243           | EOF
244       }
245     }
246     lw07: {
247       ferm::rule { 'dsa-postgres-snapshot':
248         description => 'Allow postgress access',
249         rule        => '&SERVICE_RANGE(tcp, 5439, ( 185.17.185.176/28 ))'
250       }
251       ferm::rule { 'dsa-postgres-snapshot6':
252         domain      => 'ip6',
253         description => 'Allow postgress access',
254         rule        => '&SERVICE_RANGE(tcp, 5439, ( 2001:1af8:4020:b030::/64 ))'
255       }
256     }
257     snapshotdb-manda-01: {
258       ferm::rule { 'dsa-postgres-snapshot':
259         domain      => '(ip ip6)',
260         description => 'Allow postgress access from leaseweb (lw07 and friends)',
261         rule        => '&SERVICE_RANGE(tcp, 5442, ( 185.17.185.176/28 2001:1af8:4020:b030::/64 ))'
262       }
263     }
264     default: {}
265   }
266   # vpn fu
267   case $::hostname {
268     draghi: {
269       ferm::rule { 'dsa-vpn':
270         description => 'Allow openvpn access',
271         rule        => '&SERVICE(udp, 17257)'
272       }
273       ferm::rule { 'dsa-routing':
274         description => 'forward chain',
275         chain       => 'FORWARD',
276         rule        => 'policy ACCEPT;
277 mod state state (ESTABLISHED RELATED) ACCEPT;
278 interface tun+ ACCEPT;
279 REJECT reject-with icmp-admin-prohibited
280 '
281       }
282       ferm::rule { 'dsa-vpn-mark':
283         table => 'mangle',
284         chain => 'PREROUTING',
285         rule  => 'interface tun+ MARK set-mark 1',
286       }
287       ferm::rule { 'dsa-vpn-nat':
288         table => 'nat',
289         chain => 'POSTROUTING',
290         rule  => 'outerface !tun+ mod mark mark 1 MASQUERADE',
291       }
292     }
293     ubc-enc2bl01,ubc-enc2bl02,ubc-enc2bl09,ubc-enc2bl10: {
294       ferm::rule { 'dsa-ssh-priv':
295         description => 'Allow ssh access',
296         rule        => '&SERVICE_RANGE(tcp, 22, ( 172.29.40.0/22 172.29.203.0/24 ))',
297       }
298     }
299     ubc-node-arm01,ubc-node-arm02,ubc-node-arm03: {
300       ferm::rule { 'dsa-ssh-priv':
301         description => 'Allow ssh access',
302         rule        => '&SERVICE_RANGE(tcp, 22, ( 172.29.43.240 ))',
303       }
304     }
305     default: {}
306   }
307   # tftp
308   case $::hostname {
309     abel: {
310       ferm::rule { 'dsa-tftp':
311         description => 'Allow tftp access',
312         rule        => '&SERVICE_RANGE(udp, 69, ( 172.28.17.0/24 ))'
313       }
314     }
315     master: {
316       ferm::rule { 'dsa-tftp':
317         description => 'Allow tftp access',
318         rule        => '&SERVICE_RANGE(udp, 69, ( 82.195.75.64/26 192.168.43.0/24 ))'
319       }
320     }
321   }
322 }