ed818f12d051165db17ab206fe7aec8c180c7059
[mirror/dsa-puppet.git] / modules / ferm / manifests / per_host.pp
1 class ferm::per_host {
2   if (getfromhash($deprecated::nodeinfo, 'hoster', 'name') == 'aql') {
3     include ferm::aql
4   }
5
6   case $::hostname {
7     czerny,clementi: {
8       ferm::rule { 'dsa-upsmon':
9         description => 'Allow upsmon access',
10         rule        => '&SERVICE_RANGE(tcp, 3493, ( 82.195.75.64/26 192.168.43.0/24 ))'
11       }
12     }
13     kaufmann: {
14       ferm::rule { 'dsa-hkp':
15         domain      => '(ip ip6)',
16         description => 'Allow hkp access',
17         rule        => '&SERVICE(tcp, 11371)'
18       }
19     }
20     gombert: {
21       ferm::rule { 'dsa-infinoted':
22         domain      => '(ip ip6)',
23         description => 'Allow infinoted access',
24         rule        => '&SERVICE(tcp, 6523)'
25       }
26     }
27     draghi: {
28       ferm::rule { 'dsa-finger':
29         domain      => '(ip ip6)',
30         description => 'Allow finger access',
31         rule        => '&SERVICE(tcp, 79)'
32       }
33       ferm::rule { 'dsa-ldap':
34         domain      => '(ip ip6)',
35         description => 'Allow ldap access',
36         rule        => '&SERVICE(tcp, 389)'
37       }
38       ferm::rule { 'dsa-ldaps':
39         domain      => '(ip ip6)',
40         description => 'Allow ldaps access',
41         rule        => '&SERVICE(tcp, 636)'
42       }
43     }
44     default: {}
45   }
46
47   case $::hostname {
48     bm-bl1,bm-bl2: {
49       ferm::rule { 'dsa-vrrp':
50         rule => 'proto vrrp daddr 224.0.0.18 jump ACCEPT',
51       }
52       ferm::rule { 'dsa-bind-notrack-in':
53         domain      => 'ip',
54         description => 'NOTRACK for nameserver traffic',
55         table       => 'raw',
56         chain       => 'PREROUTING',
57         rule        => 'proto (tcp udp) daddr 5.153.231.24 dport 53 jump NOTRACK'
58       }
59
60       ferm::rule { 'dsa-bind-notrack-out':
61         domain      => 'ip',
62         description => 'NOTRACK for nameserver traffic',
63         table       => 'raw',
64         chain       => 'OUTPUT',
65         rule        => 'proto (tcp udp) saddr 5.153.231.24 sport 53 jump NOTRACK'
66       }
67
68       ferm::rule { 'dsa-bind-notrack-in6':
69         domain      => 'ip6',
70         description => 'NOTRACK for nameserver traffic',
71         table       => 'raw',
72         chain       => 'PREROUTING',
73         rule        => 'proto (tcp udp) daddr 2001:41c8:1000:21::21:24 dport 53 jump NOTRACK'
74       }
75
76       ferm::rule { 'dsa-bind-notrack-out6':
77         domain      => 'ip6',
78         description => 'NOTRACK for nameserver traffic',
79         table       => 'raw',
80         chain       => 'OUTPUT',
81         rule        => 'proto (tcp udp) saddr 2001:41c8:1000:21::21:24 sport 53 jump NOTRACK'
82       }
83     }
84     default: {}
85   }
86
87   # postgres stuff
88   case $::hostname {
89     ullmann: {
90       ferm::rule { 'dsa-postgres-udd':
91         description => 'Allow postgress access',
92         domain      => '(ip ip6)',
93         # quantz, master, coccia
94         rule        => @("EOF")
95           &SERVICE_RANGE(tcp, 5452, (
96             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
97             ${ join(getfromhash($deprecated::allnodeinfo, 'master.debian.org', 'ipHostNumber'), " ") }
98             ${ join(getfromhash($deprecated::allnodeinfo, 'coccia.debian.org', 'ipHostNumber'), " ") }
99             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
100             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
101           ))
102           | EOF
103       }
104     }
105     fasolo: {
106       ferm::rule { 'dsa-postgres':
107         description => 'Allow postgress access',
108         domain      => '(ip ip6)',
109         rule        => @("EOF"/$)
110           &SERVICE_RANGE(tcp, 5433, (
111             ${ join(getfromhash($deprecated::allnodeinfo, 'bmdb1.debian.org', 'ipHostNumber'), " ") }
112             \$HOST_PGBACKUPHOST
113           ))
114           | EOF
115       }
116     }
117     bmdb1: {
118       ferm::rule { 'dsa-postgres-main':
119         description => 'Allow postgress access to cluster: main',
120         domain      => '(ip ip6)',
121         rule        => @("EOF"/$)
122           &SERVICE_RANGE(tcp, 5435, (
123             ${ join(getfromhash($deprecated::allnodeinfo, 'ticharich.debian.org', 'ipHostNumber'), " ") }
124             ${ join(getfromhash($deprecated::allnodeinfo, 'petrova.debian.org', 'ipHostNumber'), " ") }
125             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
126             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
127             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
128             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
129             ${ join(getfromhash($deprecated::allnodeinfo, 'tate.debian.org', 'ipHostNumber'), " ") }
130             \$HOST_PGBACKUPHOST
131           ))
132           | EOF
133       }
134       ferm::rule { 'dsa-postgres-dak':
135         description => 'Allow postgress access to cluster: dak',
136         domain      => '(ip ip6)',
137         rule        => @("EOF"/$)
138           &SERVICE_RANGE(tcp, 5434, (
139             ${ join(getfromhash($deprecated::allnodeinfo, 'coccia.debian.org', 'ipHostNumber'), " ") }
140             ${ join(getfromhash($deprecated::allnodeinfo, 'quantz.debian.org', 'ipHostNumber'), " ") }
141             ${ join(getfromhash($deprecated::allnodeinfo, 'nono.debian.org', 'ipHostNumber'), " ") }
142             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
143             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
144             ${ join(getfromhash($deprecated::allnodeinfo, 'usper.debian.org', 'ipHostNumber'), " ") }
145             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
146           ))
147           | EOF
148       }
149       ferm::rule { 'dsa-postgres-dedup':
150         description => 'Allow postgress access to cluster: dedup',
151         domain      => '(ip ip6)',
152         rule        => @("EOF"/$)
153           &SERVICE_RANGE(tcp, 5439, (
154             ${ join(getfromhash($deprecated::allnodeinfo, 'delfin.debian.org', 'ipHostNumber'), " ") }
155           ))
156           | EOF
157       }
158       ferm::rule { 'dsa-postgres-debsources':
159         description => 'Allow postgress access to cluster: debsources',
160         domain      => '(ip ip6)',
161         rule        => @("EOF"/$)
162           &SERVICE_RANGE(tcp, 5440, (
163             ${ join(getfromhash($deprecated::allnodeinfo, 'sor.debian.org', 'ipHostNumber'), " ") }
164             \$HOST_PGBACKUPHOST
165           ))
166           | EOF
167       }
168     }
169     danzi: {
170       ferm::rule { 'dsa-postgres-tracker':
171         description => 'Allow postgress access to cluster: tracker',
172         domain      => '(ip ip6)',
173         rule        => @("EOF"/$)
174           &SERVICE_RANGE(tcp, 5432, (
175             ${ join(getfromhash($deprecated::allnodeinfo, 'ticharich.debian.org', 'ipHostNumber'), " ") }
176             \$HOST_PGBACKUPHOST
177           ))
178           | EOF
179       }
180       ferm::rule { 'dsa-postgres-main':
181         # ubc, wuiet
182         description => 'Allow postgress access to cluster: main',
183         domain      => '(ip ip6)',
184         rule        => '&SERVICE_RANGE(tcp, 5433, ( 209.87.16.0/24 2607:f8f0:614:1::/64 ))'
185       }
186       ferm::rule { 'dsa-postgres-debconf':
187         description => 'Allow postgress access to cluster: debconf',
188         domain      => '(ip ip6)',
189         rule        => @("EOF"/$)
190           &SERVICE_RANGE(tcp, 5434, (
191             ${ join(getfromhash($deprecated::allnodeinfo, 'debussy.debian.org', 'ipHostNumber'), " ") }
192             \$HOST_PGBACKUPHOST
193           ))
194           | EOF
195       }
196       ferm::rule { 'dsa-postgres-wannabuild':
197         description => 'Allow postgress access to cluster: wannabuild',
198         domain      => '(ip ip6)',
199         rule        => @("EOF"/$)
200           &SERVICE_RANGE(tcp, 5436, (
201             ${ join(getfromhash($deprecated::allnodeinfo, 'respighi.debian.org', 'ipHostNumber'), " ") }
202             ${ join(getfromhash($deprecated::allnodeinfo, 'wuiet.debian.org', 'ipHostNumber'), " ") }
203             ${ join(getfromhash($deprecated::allnodeinfo, 'ullmann.debian.org', 'ipHostNumber'), " ") }
204             \$HOST_PGBACKUPHOST
205           ))
206           | EOF
207       }
208     }
209     postgresql-manda-01: {
210       ferm::rule { 'dsa-postgres-bacula':
211         description => 'Allow postgress access to cluster: bacula',
212         domain      => '(ip ip6)',
213         rule        => @("EOF"/$)
214           &SERVICE_RANGE(tcp, 5432, (
215             ${ join(getfromhash($deprecated::allnodeinfo, 'dinis.debian.org', 'ipHostNumber'), " ") }
216             ${ join(getfromhash($deprecated::allnodeinfo, 'storace.debian.org', 'ipHostNumber'), " ") }
217             \$HOST_PGBACKUPHOST
218           ))
219           | EOF
220       }
221     }
222     seger: {
223       ferm::rule { 'dsa-postgres-backup':
224         description => 'Allow postgress access',
225         rule        => '&SERVICE_RANGE(tcp, 5432, ( $HOST_PGBACKUPHOST_V4 ))'
226       }
227       ferm::rule { 'dsa-postgres-backup6':
228         domain      => 'ip6',
229         description => 'Allow postgress access',
230         rule        => '&SERVICE_RANGE(tcp, 5432, ( $HOST_PGBACKUPHOST_V6 ))'
231       }
232     }
233     sallinen: {
234       ferm::rule { 'dsa-postgres':
235         description => 'Allow postgress access',
236         domain      => '(ip ip6)',
237         rule        => @("EOF"/$)
238           &SERVICE_RANGE(tcp, 5473, (
239             ${ join(getfromhash($deprecated::allnodeinfo, 'lw07.debian.org', 'ipHostNumber'), " ") }
240             ${ join(getfromhash($deprecated::allnodeinfo, 'snapshotdb-manda-01.debian.org', 'ipHostNumber'), " ") }
241             \$HOST_PGBACKUPHOST
242           ))
243           | EOF
244       }
245     }
246     lw07: {
247       ferm::rule { 'dsa-postgres-snapshot':
248         description => 'Allow postgress access',
249         rule        => '&SERVICE_RANGE(tcp, 5439, ( 185.17.185.176/28 ))'
250       }
251       ferm::rule { 'dsa-postgres-snapshot6':
252         domain      => 'ip6',
253         description => 'Allow postgress access',
254         rule        => '&SERVICE_RANGE(tcp, 5439, ( 2001:1af8:4020:b030::/64 ))'
255       }
256     }
257     snapshotdb-manda-01: {
258       ferm::rule { 'dsa-postgres-snapshot':
259         domain      => '(ip ip6)',
260         description => 'Allow postgress access from leaseweb (lw07 and friends)',
261         rule        => '&SERVICE_RANGE(tcp, 5442, ( 185.17.185.176/28 2001:1af8:4020:b030::/64 ))'
262       }
263     }
264     default: {}
265   }
266   # vpn fu
267   case $::hostname {
268     draghi: {
269       ferm::rule { 'dsa-vpn':
270         description => 'Allow openvpn access',
271         rule        => '&SERVICE(udp, 17257)'
272       }
273       ferm::rule { 'dsa-routing':
274         description => 'forward chain',
275         chain       => 'FORWARD',
276         rule        => 'policy ACCEPT;
277 mod state state (ESTABLISHED RELATED) ACCEPT;
278 interface tun+ ACCEPT;
279 REJECT reject-with icmp-admin-prohibited
280 '
281       }
282       ferm::rule { 'dsa-vpn-mark':
283         table => 'mangle',
284         chain => 'PREROUTING',
285         rule  => 'interface tun+ MARK set-mark 1',
286       }
287       ferm::rule { 'dsa-vpn-nat':
288         table => 'nat',
289         chain => 'POSTROUTING',
290         rule  => 'outerface !tun+ mod mark mark 1 MASQUERADE',
291       }
292     }
293     ubc-enc2bl01,ubc-enc2bl02,ubc-enc2bl09,ubc-enc2bl10: {
294       ferm::rule { 'dsa-ssh-priv':
295         description => 'Allow ssh access',
296         rule        => '&SERVICE_RANGE(tcp, 22, ( 172.29.40.0/22 172.29.203.0/24 ))',
297       }
298     }
299     ubc-node-arm01,ubc-node-arm02,ubc-node-arm03: {
300       ferm::rule { 'dsa-ssh-priv':
301         description => 'Allow ssh access',
302         rule        => '&SERVICE_RANGE(tcp, 22, ( 172.29.43.240 ))',
303       }
304     }
305     default: {}
306   }
307   # tftp
308   case $::hostname {
309     abel: {
310       ferm::rule { 'dsa-tftp':
311         description => 'Allow tftp access',
312         rule        => '&SERVICE_RANGE(udp, 69, ( 172.28.17.0/24 ))'
313       }
314     }
315     master: {
316       ferm::rule { 'dsa-tftp':
317         description => 'Allow tftp access',
318         rule        => '&SERVICE_RANGE(udp, 69, ( 82.195.75.64/26 192.168.43.0/24 ))'
319       }
320     }
321   }
322 }