Compare commits
No commits in common. "b9896960ff09665e7f47b83926e9f8fa7925a28e" and "34e9366c61f36c8e84a787398702f77c26c3a14e" have entirely different histories.
b9896960ff
...
34e9366c61
21 changed files with 249 additions and 457 deletions
|
@ -1,62 +0,0 @@
|
||||||
from ipaddress import ip_interface
|
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
|
||||||
'dns',
|
|
||||||
)
|
|
||||||
def acme_records(metadata):
|
|
||||||
domains = set()
|
|
||||||
|
|
||||||
for other_node in repo.nodes:
|
|
||||||
for domain, conf in other_node.metadata.get('letsencrypt/domains', {}).items():
|
|
||||||
domains.add(domain)
|
|
||||||
domains.update(conf.get('aliases', []))
|
|
||||||
|
|
||||||
return {
|
|
||||||
'dns': {
|
|
||||||
f'_acme-challenge.{domain}': {
|
|
||||||
'CNAME': {f"{domain}.{metadata.get('bind/acme_zone')}."},
|
|
||||||
}
|
|
||||||
for domain in domains
|
|
||||||
}
|
|
||||||
}
|
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
|
||||||
'bind/acls/acme',
|
|
||||||
'bind/keys/acme',
|
|
||||||
'bind/views/external/zones',
|
|
||||||
)
|
|
||||||
def acme_zone(metadata):
|
|
||||||
allowed_ips = {
|
|
||||||
str(ip_interface(other_node.metadata.get('network/internal/ipv4')).ip)
|
|
||||||
for other_node in repo.nodes
|
|
||||||
if other_node.metadata.get('letsencrypt/domains', {})
|
|
||||||
}
|
|
||||||
|
|
||||||
return {
|
|
||||||
'bind': {
|
|
||||||
'acls': {
|
|
||||||
'acme': {
|
|
||||||
'key acme',
|
|
||||||
'!{ !{' + ' '.join(f'{ip};' for ip in sorted(allowed_ips)) + '}; any;}',
|
|
||||||
},
|
|
||||||
},
|
|
||||||
'views': {
|
|
||||||
'external': {
|
|
||||||
'keys': {
|
|
||||||
'acme': {},
|
|
||||||
},
|
|
||||||
'zones': {
|
|
||||||
metadata.get('bind/acme_zone'): {
|
|
||||||
'allow_update': {
|
|
||||||
'acme',
|
|
||||||
},
|
|
||||||
},
|
|
||||||
},
|
|
||||||
},
|
|
||||||
},
|
|
||||||
},
|
|
||||||
}
|
|
||||||
|
|
||||||
#https://lists.isc.org/pipermail/bind-users/2006-January/061051.html
|
|
|
@ -11,8 +11,8 @@ $TTL 600
|
||||||
900 ;Negative response caching TTL
|
900 ;Negative response caching TTL
|
||||||
)
|
)
|
||||||
|
|
||||||
% for record in sorted(records, key=lambda r: (tuple(reversed(r['name'].split('.'))), r['type'], r['value'])):
|
% for record in sorted(records, key=lambda r: (r['name'], r['type'], r['value'])):
|
||||||
(${(record['name'] or '@').rjust(column_width('name', records))}) \
|
${(record['name'] or '@').ljust(column_width('name', records))} \
|
||||||
IN \
|
IN \
|
||||||
${record['type'].ljust(column_width('type', records))} \
|
${record['type'].ljust(column_width('type', records))} \
|
||||||
% if record['type'] == 'TXT':
|
% if record['type'] == 'TXT':
|
||||||
|
|
|
@ -1,33 +1,14 @@
|
||||||
# KEYS
|
% for view in views:
|
||||||
|
acl "${view['name']}" {
|
||||||
% for view_name, view_conf in views.items():
|
${' '.join(f'{e};' for e in view['acl'])}
|
||||||
% for key_name, key_conf in sorted(view_conf['keys'].items()):
|
|
||||||
key "${key_name}" {
|
|
||||||
algorithm hmac-sha512;
|
|
||||||
secret "${key_conf['token']}";
|
|
||||||
};
|
|
||||||
% endfor
|
|
||||||
% endfor
|
|
||||||
|
|
||||||
# ACLS
|
|
||||||
|
|
||||||
% for acl_name, acl_content in acls.items():
|
|
||||||
acl "${acl_name}" {
|
|
||||||
% for ac in sorted(acl_content, key=lambda e: (not e.startswith('!'), not e.startswith('key'), e)):
|
|
||||||
${ac};
|
|
||||||
% endfor
|
|
||||||
};
|
};
|
||||||
% endfor
|
% endfor
|
||||||
|
|
||||||
# VIEWS
|
% for view in views:
|
||||||
|
view "${view['name']}" {
|
||||||
|
match-clients { ${view['name']}; };
|
||||||
|
|
||||||
% for view_name, view_conf in views.items():
|
% if view['is_internal']:
|
||||||
view "${view_name}" {
|
|
||||||
match-clients {
|
|
||||||
${view_name};
|
|
||||||
};
|
|
||||||
|
|
||||||
% if view_conf['is_internal']:
|
|
||||||
recursion yes;
|
recursion yes;
|
||||||
% else:
|
% else:
|
||||||
recursion no;
|
recursion no;
|
||||||
|
@ -44,20 +25,13 @@ view "${view_name}" {
|
||||||
8.8.8.8;
|
8.8.8.8;
|
||||||
};
|
};
|
||||||
|
|
||||||
% for zone_name, zone_conf in sorted(view_conf['zones'].items()):
|
% for zone in zones:
|
||||||
zone "${zone_name}" {
|
zone "${zone}" {
|
||||||
type ${type};
|
type ${type};
|
||||||
% if type == 'slave':
|
% if type == 'slave':
|
||||||
masters { ${master_ip}; };
|
masters { ${master_ip}; };
|
||||||
% endif
|
% endif
|
||||||
% if type == 'master' and zone_conf.get('allow_update', False):
|
file "/var/lib/bind/${view['name']}/db.${zone}";
|
||||||
allow-update {
|
|
||||||
% for allow_update in zone_conf['allow_update']:
|
|
||||||
${allow_update};
|
|
||||||
% endfor
|
|
||||||
};
|
|
||||||
% endif
|
|
||||||
file "/var/lib/bind/${view_name}/db.${zone_name}";
|
|
||||||
};
|
};
|
||||||
% endfor
|
% endfor
|
||||||
|
|
||||||
|
|
|
@ -3,7 +3,7 @@ options {
|
||||||
dnssec-validation auto;
|
dnssec-validation auto;
|
||||||
|
|
||||||
listen-on-v6 { any; };
|
listen-on-v6 { any; };
|
||||||
allow-query { any; };
|
allow-query { any; };
|
||||||
|
|
||||||
max-cache-size 30%;
|
max-cache-size 30%;
|
||||||
querylog yes;
|
querylog yes;
|
||||||
|
|
|
@ -2,13 +2,18 @@ from ipaddress import ip_address, ip_interface
|
||||||
from datetime import datetime
|
from datetime import datetime
|
||||||
|
|
||||||
if node.metadata.get('bind/type') == 'master':
|
if node.metadata.get('bind/type') == 'master':
|
||||||
master_node = node
|
zones = node.metadata.get('bind/zones')
|
||||||
|
master_ip = None
|
||||||
|
slave_ips = [
|
||||||
|
ip_interface(repo.get_node(slave).metadata.get('network/external/ipv4')).ip
|
||||||
|
for slave in node.metadata.get('bind/slaves')
|
||||||
|
]
|
||||||
else:
|
else:
|
||||||
master_node = repo.get_node(node.metadata.get('bind/master_node'))
|
zones = repo.get_node(node.metadata.get('bind/master_node')).metadata.get('bind/zones')
|
||||||
|
master_ip = ip_interface(repo.get_node(node.metadata.get('bind/master_node')).metadata.get('network/external/ipv4')).ip
|
||||||
|
slave_ips = []
|
||||||
|
|
||||||
directories[f'/var/lib/bind'] = {
|
directories[f'/var/lib/bind'] = {
|
||||||
'owner': 'bind',
|
|
||||||
'group': 'bind',
|
|
||||||
'purge': True,
|
'purge': True,
|
||||||
'needed_by': [
|
'needed_by': [
|
||||||
'svc_systemd:bind9',
|
'svc_systemd:bind9',
|
||||||
|
@ -41,13 +46,11 @@ files['/etc/bind/named.conf'] = {
|
||||||
'svc_systemd:bind9:restart',
|
'svc_systemd:bind9:restart',
|
||||||
],
|
],
|
||||||
}
|
}
|
||||||
|
|
||||||
files['/etc/bind/named.conf.options'] = {
|
files['/etc/bind/named.conf.options'] = {
|
||||||
'content_type': 'mako',
|
'content_type': 'mako',
|
||||||
'context': {
|
'context': {
|
||||||
'type': node.metadata.get('bind/type'),
|
'type': node.metadata.get('bind/type'),
|
||||||
'slave_ips': node.metadata.get('bind/slave_ips', []),
|
'slave_ips': sorted(slave_ips),
|
||||||
'master_ip': node.metadata.get('bind/master_ip', None),
|
|
||||||
},
|
},
|
||||||
'owner': 'root',
|
'owner': 'root',
|
||||||
'group': 'bind',
|
'group': 'bind',
|
||||||
|
@ -62,22 +65,34 @@ files['/etc/bind/named.conf.options'] = {
|
||||||
],
|
],
|
||||||
}
|
}
|
||||||
|
|
||||||
|
views = [
|
||||||
|
{
|
||||||
|
'name': 'internal',
|
||||||
|
'is_internal': True,
|
||||||
|
'acl': [
|
||||||
|
'127.0.0.1',
|
||||||
|
'10.0.0.0/8',
|
||||||
|
'169.254.0.0/16',
|
||||||
|
'172.16.0.0/12',
|
||||||
|
'192.168.0.0/16',
|
||||||
|
]
|
||||||
|
},
|
||||||
|
{
|
||||||
|
'name': 'external',
|
||||||
|
'is_internal': False,
|
||||||
|
'acl': [
|
||||||
|
'any',
|
||||||
|
]
|
||||||
|
},
|
||||||
|
]
|
||||||
|
|
||||||
files['/etc/bind/named.conf.local'] = {
|
files['/etc/bind/named.conf.local'] = {
|
||||||
'content_type': 'mako',
|
'content_type': 'mako',
|
||||||
'context': {
|
'context': {
|
||||||
'type': node.metadata.get('bind/type'),
|
'type': node.metadata.get('bind/type'),
|
||||||
'master_ip': node.metadata.get('bind/master_ip', None),
|
'master_ip': master_ip,
|
||||||
'acls': {
|
'views': views,
|
||||||
**master_node.metadata.get('bind/acls'),
|
'zones': sorted(zones),
|
||||||
**{
|
|
||||||
view_name: view_conf['match_clients']
|
|
||||||
for view_name, view_conf in master_node.metadata.get('bind/views').items()
|
|
||||||
},
|
|
||||||
},
|
|
||||||
'views': dict(sorted(
|
|
||||||
master_node.metadata.get('bind/views').items(),
|
|
||||||
key=lambda e: (e[1].get('default', False), e[0]),
|
|
||||||
)),
|
|
||||||
},
|
},
|
||||||
'owner': 'root',
|
'owner': 'root',
|
||||||
'group': 'bind',
|
'group': 'bind',
|
||||||
|
@ -92,10 +107,26 @@ files['/etc/bind/named.conf.local'] = {
|
||||||
],
|
],
|
||||||
}
|
}
|
||||||
|
|
||||||
for view_name, view_conf in master_node.metadata.get('bind/views').items():
|
def record_matches_view(record, records, view):
|
||||||
directories[f"/var/lib/bind/{view_name}"] = {
|
if record['type'] in ['A', 'AAAA']:
|
||||||
'owner': 'bind',
|
if view == 'external':
|
||||||
'group': 'bind',
|
# no internal addresses in external view
|
||||||
|
if ip_address(record['value']).is_private:
|
||||||
|
return False
|
||||||
|
elif view == 'internal':
|
||||||
|
# external addresses in internal view only, if no internal exists
|
||||||
|
if ip_address(record['value']).is_global:
|
||||||
|
for other_record in records:
|
||||||
|
if (
|
||||||
|
record['name'] == other_record['name'] and
|
||||||
|
record['type'] == other_record['type'] and
|
||||||
|
ip_address(other_record['value']).is_private
|
||||||
|
):
|
||||||
|
return False
|
||||||
|
return True
|
||||||
|
|
||||||
|
for view in views:
|
||||||
|
directories[f"/var/lib/bind/{view['name']}"] = {
|
||||||
'purge': True,
|
'purge': True,
|
||||||
'needed_by': [
|
'needed_by': [
|
||||||
'svc_systemd:bind9',
|
'svc_systemd:bind9',
|
||||||
|
@ -105,12 +136,29 @@ for view_name, view_conf in master_node.metadata.get('bind/views').items():
|
||||||
],
|
],
|
||||||
}
|
}
|
||||||
|
|
||||||
for zone_name, zone_conf in view_conf['zones'].items():
|
for zone, records in zones.items():
|
||||||
files[f"/var/lib/bind/{view_name}/db.{zone_name}"] = {
|
unique_records = [
|
||||||
'owner': 'bind',
|
dict(record_tuple)
|
||||||
|
for record_tuple in set(
|
||||||
|
tuple(record.items()) for record in records
|
||||||
|
)
|
||||||
|
]
|
||||||
|
|
||||||
|
files[f"/var/lib/bind/{view['name']}/db.{zone}"] = {
|
||||||
'group': 'bind',
|
'group': 'bind',
|
||||||
|
'source': 'db',
|
||||||
|
'content_type': 'mako',
|
||||||
|
'context': {
|
||||||
|
'view': view['name'],
|
||||||
|
'serial': datetime.now().strftime('%Y%m%d%H'),
|
||||||
|
'records': list(filter(
|
||||||
|
lambda record: record_matches_view(record, records, view['name']),
|
||||||
|
unique_records
|
||||||
|
)),
|
||||||
|
'hostname': node.metadata.get('bind/hostname'),
|
||||||
|
},
|
||||||
'needs': [
|
'needs': [
|
||||||
f"directory:/var/lib/bind/{view_name}",
|
f"directory:/var/lib/bind/{view['name']}",
|
||||||
],
|
],
|
||||||
'needed_by': [
|
'needed_by': [
|
||||||
'svc_systemd:bind9',
|
'svc_systemd:bind9',
|
||||||
|
@ -119,18 +167,6 @@ for view_name, view_conf in master_node.metadata.get('bind/views').items():
|
||||||
'svc_systemd:bind9:restart',
|
'svc_systemd:bind9:restart',
|
||||||
],
|
],
|
||||||
}
|
}
|
||||||
#FIXME: slave doesnt get updated if db doesnt get rewritten on each apply
|
|
||||||
files[f"/var/lib/bind/{view_name}/db.{zone_name}"].update({
|
|
||||||
'source': 'db',
|
|
||||||
'content_type': 'mako',
|
|
||||||
'unless': f"test -f /var/lib/bind/{view_name}/db.{zone_name}" if zone_conf.get('allow_update', False) else 'false',
|
|
||||||
'context': {
|
|
||||||
'serial': datetime.now().strftime('%Y%m%d%H'),
|
|
||||||
'records': zone_conf['records'],
|
|
||||||
'hostname': node.metadata.get('bind/hostname'),
|
|
||||||
'type': node.metadata.get('bind/type'),
|
|
||||||
},
|
|
||||||
})
|
|
||||||
|
|
||||||
svc_systemd['bind9'] = {}
|
svc_systemd['bind9'] = {}
|
||||||
|
|
||||||
|
@ -139,6 +175,5 @@ actions['named-checkconf'] = {
|
||||||
'unless': 'named-checkconf -z',
|
'unless': 'named-checkconf -z',
|
||||||
'needs': [
|
'needs': [
|
||||||
'svc_systemd:bind9',
|
'svc_systemd:bind9',
|
||||||
'svc_systemd:bind9:restart',
|
|
||||||
]
|
]
|
||||||
}
|
}
|
||||||
|
|
|
@ -1,7 +1,6 @@
|
||||||
from ipaddress import ip_interface
|
from ipaddress import ip_interface
|
||||||
from json import dumps
|
from json import dumps
|
||||||
h = repo.libs.hashable.hashable
|
h = repo.libs.hashable.hashable
|
||||||
repo.libs.bind.repo = repo
|
|
||||||
|
|
||||||
defaults = {
|
defaults = {
|
||||||
'apt': {
|
'apt': {
|
||||||
|
@ -10,36 +9,8 @@ defaults = {
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
'bind': {
|
'bind': {
|
||||||
|
'zones': {},
|
||||||
'slaves': {},
|
'slaves': {},
|
||||||
'acls': {
|
|
||||||
'our-nets': {
|
|
||||||
'127.0.0.1',
|
|
||||||
'10.0.0.0/8',
|
|
||||||
'169.254.0.0/16',
|
|
||||||
'172.16.0.0/12',
|
|
||||||
'192.168.0.0/16',
|
|
||||||
}
|
|
||||||
},
|
|
||||||
'views': {
|
|
||||||
'internal': {
|
|
||||||
'is_internal': True,
|
|
||||||
'keys': {},
|
|
||||||
'match_clients': {
|
|
||||||
'our-nets',
|
|
||||||
},
|
|
||||||
'zones': {},
|
|
||||||
},
|
|
||||||
'external': {
|
|
||||||
'default': True,
|
|
||||||
'is_internal': False,
|
|
||||||
'keys': {},
|
|
||||||
'match_clients': {
|
|
||||||
'any',
|
|
||||||
},
|
|
||||||
'zones': {},
|
|
||||||
},
|
|
||||||
},
|
|
||||||
'zones': set(),
|
|
||||||
},
|
},
|
||||||
'telegraf': {
|
'telegraf': {
|
||||||
'config': {
|
'config': {
|
||||||
|
@ -57,27 +28,13 @@ defaults = {
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
@metadata_reactor.provides(
|
||||||
'bind/type',
|
'bind/type',
|
||||||
'bind/master_ip',
|
|
||||||
'bind/slave_ips',
|
|
||||||
)
|
)
|
||||||
def master_slave(metadata):
|
def type(metadata):
|
||||||
if metadata.get('bind/master_node', None):
|
return {
|
||||||
return {
|
'bind': {
|
||||||
'bind': {
|
'type': 'slave' if metadata.get('bind/master_node', None) else 'master',
|
||||||
'type': 'slave',
|
|
||||||
'master_ip': str(ip_interface(repo.get_node(metadata.get('bind/master_node')).metadata.get('network/external/ipv4')).ip),
|
|
||||||
}
|
|
||||||
}
|
|
||||||
else:
|
|
||||||
return {
|
|
||||||
'bind': {
|
|
||||||
'type': 'master',
|
|
||||||
'slave_ips': {
|
|
||||||
str(ip_interface(repo.get_node(slave).metadata.get('network/external/ipv4')).ip)
|
|
||||||
for slave in metadata.get('bind/slaves')
|
|
||||||
}
|
|
||||||
}
|
|
||||||
}
|
}
|
||||||
|
}
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
@metadata_reactor.provides(
|
||||||
|
@ -92,52 +49,47 @@ def dns(metadata):
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
@metadata_reactor.provides(
|
||||||
'bind/views',
|
'bind/zones',
|
||||||
)
|
)
|
||||||
def collect_records(metadata):
|
def collect_records(metadata):
|
||||||
if metadata.get('bind/type') == 'slave':
|
if metadata.get('bind/type') == 'slave':
|
||||||
return {}
|
return {}
|
||||||
|
|
||||||
views = {}
|
zones = {}
|
||||||
|
|
||||||
|
for other_node in repo.nodes:
|
||||||
|
for fqdn, records in other_node.metadata.get('dns', {}).items():
|
||||||
|
matching_zones = sorted(
|
||||||
|
filter(
|
||||||
|
lambda potential_zone: fqdn.endswith(potential_zone),
|
||||||
|
metadata.get('bind/zones').keys()
|
||||||
|
),
|
||||||
|
key=len,
|
||||||
|
)
|
||||||
|
if matching_zones:
|
||||||
|
zone = matching_zones[-1]
|
||||||
|
else:
|
||||||
|
continue
|
||||||
|
|
||||||
for view_name, view_conf in metadata.get('bind/views').items():
|
name = fqdn[0:-len(zone) - 1]
|
||||||
for other_node in repo.nodes:
|
|
||||||
for fqdn, records in other_node.metadata.get('dns', {}).items():
|
|
||||||
matching_zones = sorted(
|
|
||||||
filter(
|
|
||||||
lambda potential_zone: fqdn.endswith(potential_zone),
|
|
||||||
metadata.get('bind/zones')
|
|
||||||
),
|
|
||||||
key=len,
|
|
||||||
)
|
|
||||||
if matching_zones:
|
|
||||||
zone = matching_zones[-1]
|
|
||||||
else:
|
|
||||||
continue
|
|
||||||
|
|
||||||
name = fqdn[0:-len(zone) - 1]
|
for type, values in records.items():
|
||||||
|
for value in values:
|
||||||
for type, values in records.items():
|
zones\
|
||||||
for value in values:
|
.setdefault(zone, set())\
|
||||||
if repo.libs.bind.record_matches_view(value, type, name, zone, view_name, metadata):
|
.add(
|
||||||
views\
|
h({'name': name, 'type': type, 'value': value})
|
||||||
.setdefault(view_name, {})\
|
)
|
||||||
.setdefault('zones', {})\
|
|
||||||
.setdefault(zone, {})\
|
|
||||||
.setdefault('records', set())\
|
|
||||||
.add(
|
|
||||||
h({'name': name, 'type': type, 'value': value})
|
|
||||||
)
|
|
||||||
|
|
||||||
return {
|
return {
|
||||||
'bind': {
|
'bind': {
|
||||||
'views': views,
|
'zones': zones,
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
@metadata_reactor.provides(
|
||||||
'bind/views',
|
'bind/zones',
|
||||||
)
|
)
|
||||||
def ns_records(metadata):
|
def ns_records(metadata):
|
||||||
if metadata.get('bind/type') == 'slave':
|
if metadata.get('bind/type') == 'slave':
|
||||||
|
@ -152,20 +104,12 @@ def ns_records(metadata):
|
||||||
]
|
]
|
||||||
return {
|
return {
|
||||||
'bind': {
|
'bind': {
|
||||||
'views': {
|
'zones': {
|
||||||
view_name: {
|
zone: {
|
||||||
'zones': {
|
# FIXME: bw currently cant handle lists of dicts :(
|
||||||
zone_name: {
|
h({'name': '@', 'type': 'NS', 'value': f"{nameserver}."})
|
||||||
'records': {
|
for nameserver in nameservers
|
||||||
# FIXME: bw currently cant handle lists of dicts :(
|
} for zone in metadata.get('bind/zones').keys()
|
||||||
h({'name': '@', 'type': 'NS', 'value': f"{nameserver}."})
|
|
||||||
for nameserver in nameservers
|
|
||||||
}
|
|
||||||
}
|
|
||||||
for zone_name, zone_conf in view_conf['zones'].items()
|
|
||||||
}
|
|
||||||
}
|
|
||||||
for view_name, view_conf in metadata.get('bind/views').items()
|
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
@ -187,65 +131,3 @@ def slaves(metadata):
|
||||||
],
|
],
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
|
||||||
'bind/views',
|
|
||||||
)
|
|
||||||
def generate_keys(metadata):
|
|
||||||
if metadata.get('bind/type') == 'slave':
|
|
||||||
return {}
|
|
||||||
|
|
||||||
return {
|
|
||||||
'bind': {
|
|
||||||
'views': {
|
|
||||||
view_name: {
|
|
||||||
'keys': {
|
|
||||||
key: {
|
|
||||||
'token':repo.libs.hmac.hmac_sha512(
|
|
||||||
key,
|
|
||||||
str(repo.vault.random_bytes_as_base64_for(
|
|
||||||
f"{metadata.get('id')} bind key {key}",
|
|
||||||
length=32,
|
|
||||||
)),
|
|
||||||
)
|
|
||||||
}
|
|
||||||
for key in view_conf['keys']
|
|
||||||
}
|
|
||||||
}
|
|
||||||
for view_name, view_conf in metadata.get('bind/views').items()
|
|
||||||
}
|
|
||||||
}
|
|
||||||
}
|
|
||||||
|
|
||||||
|
|
||||||
@metadata_reactor.provides(
|
|
||||||
'bind/views',
|
|
||||||
)
|
|
||||||
def generate_acl_entries_for_keys(metadata):
|
|
||||||
if metadata.get('bind/type') == 'slave':
|
|
||||||
return {}
|
|
||||||
|
|
||||||
return {
|
|
||||||
'bind': {
|
|
||||||
'views': {
|
|
||||||
view_name: {
|
|
||||||
'match_clients': {
|
|
||||||
# allow keys from this view
|
|
||||||
*{
|
|
||||||
f'key {key}'
|
|
||||||
for key in view_conf['keys']
|
|
||||||
},
|
|
||||||
# reject keys from other views
|
|
||||||
*{
|
|
||||||
f'! key {key}'
|
|
||||||
for other_view_name, other_view_conf in metadata.get('bind/views').items()
|
|
||||||
if other_view_name != view_name
|
|
||||||
for key in other_view_conf.get('keys', [])
|
|
||||||
}
|
|
||||||
}
|
|
||||||
}
|
|
||||||
for view_name, view_conf in metadata.get('bind/views').items()
|
|
||||||
},
|
|
||||||
},
|
|
||||||
}
|
|
||||||
|
|
|
@ -1,9 +0,0 @@
|
||||||
https://github.com/dehydrated-io/dehydrated/wiki/example-dns-01-nsupdate-script
|
|
||||||
|
|
||||||
```
|
|
||||||
printf "server 127.0.0.1
|
|
||||||
zone acme.resolver.name.
|
|
||||||
update add _acme-challenge.ckn.li.acme.resolver.name. 600 IN TXT "hello"
|
|
||||||
send
|
|
||||||
" | nsupdate -y hmac-sha512:acme:Y9BHl85l352BGZDXa/vg90hh2+5PYe4oJxpkq/oQvIODDkW8bAyQSFr0gKQQxjyIOyYlTjf0MGcdWFv46G/3Rg==
|
|
||||||
```
|
|
|
@ -3,4 +3,3 @@ BASEDIR=/var/lib/dehydrated
|
||||||
WELLKNOWN="${BASEDIR}/acme-challenges"
|
WELLKNOWN="${BASEDIR}/acme-challenges"
|
||||||
DOMAINS_TXT="/etc/dehydrated/domains.txt"
|
DOMAINS_TXT="/etc/dehydrated/domains.txt"
|
||||||
HOOK="/etc/dehydrated/hook.sh"
|
HOOK="/etc/dehydrated/hook.sh"
|
||||||
CA="https://acme-v02.api.letsencrypt.org/directory"
|
|
||||||
|
|
|
@ -1,3 +1,3 @@
|
||||||
% for domain, conf in sorted(domains.items()):
|
% for domain, aliases in sorted(node.metadata.get('letsencrypt/domains', {}).items()):
|
||||||
${domain} ${' '.join(sorted(conf.get('aliases', [])))}
|
${domain} ${' '.join(sorted(aliases))}
|
||||||
% endfor
|
% endfor
|
||||||
|
|
|
@ -1,57 +1,37 @@
|
||||||
set -e
|
deploy_cert() {<%text>
|
||||||
set -u
|
local DOMAIN="${1}" KEYFILE="${2}" CERTFILE="${3}" FULLCHAINFILE="${4}" CHAINFILE="${5}" TIMESTAMP="${6}"</%text>
|
||||||
set -o pipefail
|
% for service, config in node.metadata.get('letsencrypt/concat_and_deploy', {}).items():
|
||||||
|
|
||||||
deploy_challenge() {
|
# concat_and_deploy ${service}
|
||||||
echo "
|
if [ "$DOMAIN" = "${config['match_domain']}" ]; then
|
||||||
server 10.0.10.2
|
cat $KEYFILE > ${config['target']}
|
||||||
zone ${zone}.
|
cat $FULLCHAINFILE >> ${config['target']}
|
||||||
update add $1.${zone}. 60 IN TXT \"$3\"
|
% if 'chown' in config:
|
||||||
send
|
chown ${config['chown']} ${config['target']}
|
||||||
" | tee | nsupdate -y hmac-sha512:${acme_key_name}:${acme_key}
|
% endif
|
||||||
|
% if 'chmod' in config:
|
||||||
sleep 10
|
chmod ${config['chmod']} ${config['target']}
|
||||||
|
% endif
|
||||||
|
% if 'commands' in config:
|
||||||
|
% for command in config['commands']:
|
||||||
|
${command}
|
||||||
|
% endfor
|
||||||
|
% endif
|
||||||
|
fi
|
||||||
|
% endfor
|
||||||
}
|
}
|
||||||
|
|
||||||
clean_challenge() {
|
|
||||||
echo "
|
exit_hook() {<%text>
|
||||||
server 10.0.10.2
|
local ERROR="${1:-}"</%text>
|
||||||
zone ${zone}.
|
|
||||||
update delete $1.${zone}. TXT
|
% for service in sorted(node.metadata.get('letsencrypt/reload_after', set())):
|
||||||
send
|
systemctl reload-or-restart ${service}
|
||||||
" | tee | nsupdate -y hmac-sha512:${acme_key_name}:${acme_key}
|
% endfor
|
||||||
}
|
|
||||||
|
|
||||||
deploy_cert() {
|
|
||||||
DOMAIN="$1"
|
|
||||||
KEYFILE="$2"
|
|
||||||
CERTFILE="$3"
|
|
||||||
FULLCHAINFILE="$4"
|
|
||||||
CHAINFILE="$5"
|
|
||||||
|
|
||||||
case $DOMAIN in
|
|
||||||
% for domain, conf in sorted(domains.items()):
|
|
||||||
<% if not conf: continue %>\
|
|
||||||
${domain})
|
|
||||||
% if conf.get('location', None):
|
|
||||||
cat "$KEYFILE" > "${conf['location']}/privkey.pem"
|
|
||||||
cat "$CERTFILE" > "${conf['location']}/cert.pem"
|
|
||||||
cat "$FULLCHAINFILE" > "${conf['location']}/fullchain.pem"
|
|
||||||
cat "$CHAINFILE" > "${conf['location']}/chain.pem"
|
|
||||||
% endif
|
|
||||||
% if conf.get('owner', None):
|
|
||||||
chown ${conf['owner']} "${conf['location']}/privkey.pem" "${conf['location']}/cert.pem" "${conf['location']}/fullchain.pem" "${conf['location']}/chain.pem"
|
|
||||||
% endif
|
|
||||||
% for service in sorted(conf.get('reload', [])):
|
|
||||||
systemctl reload-or-restart ${service}
|
|
||||||
% endfor
|
|
||||||
;;
|
|
||||||
% endfor
|
|
||||||
esac
|
|
||||||
}
|
}
|
||||||
|
|
||||||
|
<%text>
|
||||||
HANDLER="$1"; shift
|
HANDLER="$1"; shift
|
||||||
if [[ $HANDLER =~ ^(deploy_cert|deploy_challenge|clean_challenge)$ ]]
|
if [[ "${HANDLER}" =~ ^(deploy_cert|exit_hook)$ ]]; then
|
||||||
then
|
|
||||||
"$HANDLER" "$@"
|
"$HANDLER" "$@"
|
||||||
fi
|
fi</%text>
|
||||||
|
|
|
@ -1,9 +1,6 @@
|
||||||
assert node.has_bundle('nginx')
|
assert node.has_bundle('nginx')
|
||||||
|
|
||||||
from ipaddress import ip_interface
|
|
||||||
|
|
||||||
delegated = 'delegate_to_node' in node.metadata.get('letsencrypt')
|
delegated = 'delegate_to_node' in node.metadata.get('letsencrypt')
|
||||||
acme_node = repo.get_node(node.metadata.get('letsencrypt/acme_node'))
|
|
||||||
|
|
||||||
directories = {
|
directories = {
|
||||||
'/etc/dehydrated/conf.d': {},
|
'/etc/dehydrated/conf.d': {},
|
||||||
|
@ -13,9 +10,6 @@ directories = {
|
||||||
files = {
|
files = {
|
||||||
'/etc/dehydrated/domains.txt': {
|
'/etc/dehydrated/domains.txt': {
|
||||||
'content_type': 'mako',
|
'content_type': 'mako',
|
||||||
'context': {
|
|
||||||
'domains': node.metadata.get('letsencrypt/domains'),
|
|
||||||
},
|
|
||||||
'triggers': {
|
'triggers': {
|
||||||
'action:letsencrypt_update_certificates',
|
'action:letsencrypt_update_certificates',
|
||||||
},
|
},
|
||||||
|
@ -27,16 +21,6 @@ files = {
|
||||||
},
|
},
|
||||||
'/etc/dehydrated/hook.sh': {
|
'/etc/dehydrated/hook.sh': {
|
||||||
'content_type': 'mako',
|
'content_type': 'mako',
|
||||||
'context': {
|
|
||||||
'server': ip_interface(acme_node.metadata.get('network/internal/ipv4')).ip,
|
|
||||||
'zone': acme_node.metadata.get('bind/acme_zone'),
|
|
||||||
'acme_key_name': 'acme',
|
|
||||||
'acme_key': acme_node.metadata.get('bind/views/external/keys/acme/token'),
|
|
||||||
'domains': node.metadata.get('letsencrypt/domains'),
|
|
||||||
},
|
|
||||||
'mode': '0755',
|
|
||||||
},
|
|
||||||
'/etc/dehydrated/letsencrypt-ensure-some-certificate': {
|
|
||||||
'mode': '0755',
|
'mode': '0755',
|
||||||
},
|
},
|
||||||
'/etc/dehydrated/letsencrypt-ensure-some-certificate': {
|
'/etc/dehydrated/letsencrypt-ensure-some-certificate': {
|
||||||
|
@ -45,7 +29,7 @@ files = {
|
||||||
}
|
}
|
||||||
|
|
||||||
actions['letsencrypt_update_certificates'] = {
|
actions['letsencrypt_update_certificates'] = {
|
||||||
'command': 'dehydrated --cron --accept-terms --challenge dns-01',
|
'command': 'dehydrated --cron --accept-terms --challenge http-01',
|
||||||
'triggered': True,
|
'triggered': True,
|
||||||
'skip': delegated,
|
'skip': delegated,
|
||||||
'needs': {
|
'needs': {
|
||||||
|
@ -64,6 +48,6 @@ for domain in node.metadata.get('letsencrypt/domains').keys():
|
||||||
'svc_systemd:nginx',
|
'svc_systemd:nginx',
|
||||||
},
|
},
|
||||||
'triggers': {
|
'triggers': {
|
||||||
'action:letsencrypt_update_certificates',
|
'action:letsencrypt_update_certificates',
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
|
@ -4,17 +4,71 @@ defaults = {
|
||||||
'apt': {
|
'apt': {
|
||||||
'packages': {
|
'packages': {
|
||||||
'dehydrated': {},
|
'dehydrated': {},
|
||||||
'dnsutils': {},
|
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
'letsencrypt': {
|
'letsencrypt': {
|
||||||
'domains': {
|
'domains': {
|
||||||
# 'example.com': {
|
# 'example.com': {'alias1.example.com', 'alias2.example.com'},
|
||||||
# 'aliases': {'www.example.com'},
|
},
|
||||||
# 'reload': {'nginx'},
|
},
|
||||||
# 'owner': 'www-data',
|
'pacman': {
|
||||||
# 'location': '/opt/app/certs',
|
'packages': {
|
||||||
# },
|
'dehydrated': {},
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
||||||
|
|
||||||
|
@metadata_reactor.provides(
|
||||||
|
'systemd-timers/letsencrypt',
|
||||||
|
'mirror/certs',
|
||||||
|
)
|
||||||
|
def renew(metadata):
|
||||||
|
delegated_node = metadata.get('letsencrypt/delegate_to_node', False)
|
||||||
|
|
||||||
|
if delegated_node:
|
||||||
|
delegated_ip = ip_interface(repo.get_node(delegated_node).metadata.get('network/internal/ipv4')).ip
|
||||||
|
return {
|
||||||
|
'mirror': {
|
||||||
|
'certs': {
|
||||||
|
'from': f"{delegated_ip}:/var/lib/dehydrated/certs",
|
||||||
|
'to': '/var/lib/dehydrated',
|
||||||
|
},
|
||||||
|
},
|
||||||
|
}
|
||||||
|
else:
|
||||||
|
return {
|
||||||
|
'systemd-timers': {
|
||||||
|
'letsencrypt': {
|
||||||
|
'command': '/bin/bash -c "/usr/bin/dehydrated --cron --accept-terms --challenge http-01 && /usr/bin/dehydrated --cleanup"',
|
||||||
|
'when': 'daily',
|
||||||
|
},
|
||||||
|
},
|
||||||
|
}
|
||||||
|
|
||||||
|
|
||||||
|
@metadata_reactor.provides(
|
||||||
|
'letsencrypt/domains',
|
||||||
|
'dns',
|
||||||
|
)
|
||||||
|
def delegated_domains(metadata):
|
||||||
|
delegated_domains = {
|
||||||
|
domain
|
||||||
|
for other_node in repo.nodes
|
||||||
|
if other_node.has_bundle('letsencrypt')
|
||||||
|
and other_node.metadata.get('letsencrypt/delegate_to_node', None) == node.name
|
||||||
|
for domain in other_node.metadata.get('letsencrypt/domains').keys()
|
||||||
|
}
|
||||||
|
|
||||||
|
return {
|
||||||
|
'letsencrypt': {
|
||||||
|
'domains': {
|
||||||
|
domain: set()
|
||||||
|
for domain in delegated_domains
|
||||||
|
},
|
||||||
|
},
|
||||||
|
'dns': {
|
||||||
|
domain: repo.libs.dns.get_a_records(metadata, internal=False)
|
||||||
|
for domain in delegated_domains
|
||||||
|
},
|
||||||
|
}
|
||||||
|
|
|
@ -60,9 +60,7 @@ def letsencrypt(metadata):
|
||||||
return {
|
return {
|
||||||
'letsencrypt': {
|
'letsencrypt': {
|
||||||
'domains': {
|
'domains': {
|
||||||
metadata.get('mailserver/hostname'): {
|
metadata.get('mailserver/hostname'): set(),
|
||||||
'reload': {'dovecot', 'postfix'},
|
|
||||||
},
|
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
|
@ -84,7 +84,7 @@ def letsencrypt(metadata):
|
||||||
return {
|
return {
|
||||||
'letsencrypt': {
|
'letsencrypt': {
|
||||||
'domains': {
|
'domains': {
|
||||||
metadata.get('mosquitto/hostname'): {},
|
metadata.get('mosquitto/hostname'): set(),
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
|
@ -104,10 +104,10 @@ def letsencrypt(metadata):
|
||||||
return {
|
return {
|
||||||
'letsencrypt': {
|
'letsencrypt': {
|
||||||
'domains': {
|
'domains': {
|
||||||
domain: {
|
domain: set() for domain in metadata.get('nginx/vhosts').keys()
|
||||||
'reload': {'nginx'},
|
},
|
||||||
}
|
'reload_after': {
|
||||||
for domain in metadata.get('nginx/vhosts').keys()
|
'nginx',
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
}
|
}
|
||||||
|
|
|
@ -17,8 +17,5 @@
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
'letsencrypt': {
|
|
||||||
'acme_node': 'htz.mails',
|
|
||||||
},
|
|
||||||
}
|
}
|
||||||
}
|
}
|
||||||
|
|
29
libs/bind.py
29
libs/bind.py
|
@ -1,29 +0,0 @@
|
||||||
from ipaddress import ip_address
|
|
||||||
|
|
||||||
def _values_from_all_nodes(type, name, zone):
|
|
||||||
return {
|
|
||||||
value
|
|
||||||
for node in repo.nodes
|
|
||||||
for value in node.metadata.get(f'dns/{name}{"." if name else ""}{zone}/{type}', [])
|
|
||||||
}
|
|
||||||
|
|
||||||
def record_matches_view(value, type, name, zone, view, metadata):
|
|
||||||
if type not in ['A', 'AAAA']:
|
|
||||||
return True
|
|
||||||
|
|
||||||
if metadata.get(f'bind/views/{view}/is_internal'):
|
|
||||||
if ip_address(value).is_private:
|
|
||||||
return True
|
|
||||||
elif not list(filter(
|
|
||||||
lambda other_value: ip_address(other_value).is_private,
|
|
||||||
_values_from_all_nodes(type, name, zone),
|
|
||||||
)):
|
|
||||||
return True
|
|
||||||
else:
|
|
||||||
if ip_address(value).is_global:
|
|
||||||
return True
|
|
||||||
elif not list(filter(
|
|
||||||
lambda other_value: ip_address(other_value).is_global,
|
|
||||||
_values_from_all_nodes(type, name, zone),
|
|
||||||
)):
|
|
||||||
return True
|
|
10
libs/hmac.py
10
libs/hmac.py
|
@ -1,10 +0,0 @@
|
||||||
import hmac, hashlib, base64
|
|
||||||
|
|
||||||
def hmac_sha512(secret, iv):
|
|
||||||
return base64.b64encode(
|
|
||||||
hmac.new(
|
|
||||||
bytes(iv , 'latin-1'),
|
|
||||||
msg=bytes(secret , 'latin-1'),
|
|
||||||
digestmod=hashlib.sha512
|
|
||||||
).digest()
|
|
||||||
).decode()
|
|
|
@ -30,6 +30,9 @@
|
||||||
'gateway4': '10.0.0.1',
|
'gateway4': '10.0.0.1',
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
|
'letsencrypt': {
|
||||||
|
'delegate_to_node': 'htz.mails',
|
||||||
|
},
|
||||||
'nginx': {
|
'nginx': {
|
||||||
'vhosts': {
|
'vhosts': {
|
||||||
'openhab.ckn.li': {
|
'openhab.ckn.li': {
|
||||||
|
@ -40,11 +43,6 @@
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
'letsencrypt': {
|
|
||||||
'domains': {
|
|
||||||
'test12.ckn.li': {},
|
|
||||||
}
|
|
||||||
},
|
|
||||||
'java': {
|
'java': {
|
||||||
'version': 11,
|
'version': 11,
|
||||||
},
|
},
|
||||||
|
|
|
@ -50,6 +50,9 @@
|
||||||
'readonly_token': '!decrypt:encrypt$gAAAAABg3z1-0hnUdzsfivocxhJm58YnPLn96OUvnHiPaehdRhKd6TZBgEPc5YyR07t2-GEUfOvEwoie-O6QsVhWYxrwxNTBXux_iUSx7W6e-fLQA_3MgWf5G97q_3kx_wCgQ6V0iKRyxH988TpNSMACfS4WhCXdSes1CaMpic4VV3S3ox_gCrSHxO7yVXQkJDnOW0MixY5T',
|
'readonly_token': '!decrypt:encrypt$gAAAAABg3z1-0hnUdzsfivocxhJm58YnPLn96OUvnHiPaehdRhKd6TZBgEPc5YyR07t2-GEUfOvEwoie-O6QsVhWYxrwxNTBXux_iUSx7W6e-fLQA_3MgWf5G97q_3kx_wCgQ6V0iKRyxH988TpNSMACfS4WhCXdSes1CaMpic4VV3S3ox_gCrSHxO7yVXQkJDnOW0MixY5T',
|
||||||
'writeonly_token': '!decrypt:encrypt$gAAAAABg3z6fGrOy2tNdo03RoYAXmpJoJYkfhBfpblPh_wxYfqmdjtABaD7XyV9mSh9xl8oWQlTAtCk9KndVCDQy7BJ-ju7S3HCKJ0k244Y5YKxUnQtqt9fc9nnm8XD-NOJqLKyfy0QhL_I8dFT02pygoJeCUR5NkZcTKf6julb-iGXI6vWcQgolJTYrW643pHObd-Z-vIEl',
|
'writeonly_token': '!decrypt:encrypt$gAAAAABg3z6fGrOy2tNdo03RoYAXmpJoJYkfhBfpblPh_wxYfqmdjtABaD7XyV9mSh9xl8oWQlTAtCk9KndVCDQy7BJ-ju7S3HCKJ0k244Y5YKxUnQtqt9fc9nnm8XD-NOJqLKyfy0QhL_I8dFT02pygoJeCUR5NkZcTKf6julb-iGXI6vWcQgolJTYrW643pHObd-Z-vIEl',
|
||||||
},
|
},
|
||||||
|
'letsencrypt': {
|
||||||
|
'delegate_to_node': 'htz.mails',
|
||||||
|
},
|
||||||
'mosquitto': {
|
'mosquitto': {
|
||||||
'hostname': 'mqtt.sublimity.de',
|
'hostname': 'mqtt.sublimity.de',
|
||||||
'users': {
|
'users': {
|
||||||
|
|
|
@ -10,7 +10,6 @@
|
||||||
'dnsserver',
|
'dnsserver',
|
||||||
],
|
],
|
||||||
'bundles': [
|
'bundles': [
|
||||||
'bind-acme',
|
|
||||||
'islamicstate.eu',
|
'islamicstate.eu',
|
||||||
'wireguard',
|
'wireguard',
|
||||||
'zfs',
|
'zfs',
|
||||||
|
@ -32,19 +31,18 @@
|
||||||
},
|
},
|
||||||
'bind': {
|
'bind': {
|
||||||
'hostname': 'resolver.name',
|
'hostname': 'resolver.name',
|
||||||
'acme_zone': 'acme.sublimity.de',
|
|
||||||
'zones': {
|
'zones': {
|
||||||
'sublimity.de',
|
'sublimity.de': {},
|
||||||
'freibrief.net',
|
'freibrief.net': {},
|
||||||
'nadenau.net',
|
'nadenau.net': {},
|
||||||
'naeder.net',
|
'naeder.net': {},
|
||||||
'rolfwerner.eu',
|
'rolfwerner.eu': {},
|
||||||
'wettengl.net',
|
'wettengl.net': {},
|
||||||
'wingl.de',
|
'wingl.de': {},
|
||||||
'woodpipe.de',
|
'woodpipe.de': {},
|
||||||
'ckn.li',
|
'ckn.li': {},
|
||||||
'islamicstate.eu',
|
'islamicstate.eu': {},
|
||||||
'hausamsilberberg.de',
|
'hausamsilberberg.de': {},
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
'dns': {
|
'dns': {
|
||||||
|
@ -63,9 +61,9 @@
|
||||||
},
|
},
|
||||||
'letsencrypt': {
|
'letsencrypt': {
|
||||||
'domains': {
|
'domains': {
|
||||||
'ckn.li': {},
|
'ckn.li': set(),
|
||||||
'sublimity.de': {},
|
'sublimity.de': set(),
|
||||||
'freibrief.net': {},
|
'freibrief.net': set(),
|
||||||
},
|
},
|
||||||
},
|
},
|
||||||
'mailserver': {
|
'mailserver': {
|
||||||
|
|
Loading…
Reference in a new issue