summaryrefslogtreecommitdiff
path: root/nodes/gateway.yml
blob: d38e7833ee4cf90db16e1833d55ce1e0f5434fd4 (plain)
  1. # SOHO LAN gateway w/ masquerading firewall on LIME2 box
  2. # Targets: Debian 9 (Stretch) or newer
  3. # Depends: boxer-data (>= 10.5.14)
  4. classes:
  5.   - Console.setup
  6.   - Console.filemanager
  7.   - Admin.etc.functions
  8.   - Admin
  9.   - Admin.apt.auto
  10.   - Admin.apt.auto.upgrade
  11.   - Admin.tools.network.wifi
  12.   - Service.ssh
  13.   - Service.dhcp.isc.server.authoritative
  14.   - Service.dhcp.client
  15.   - Service.mail.mta.dma
  16.   - Service.scheduler.systemd
  17.   - Hardware.motherboard.olimex.lime2
  18.   - Hardware.harden
  19.   - Framework.localization.limit
  20.   - Framework.pkg.apt.autoremove-suggests
  21.   - Framework.pkg.apt.avoid-removals
  22.   - Framework.pkg.apt.aptitude.advance-on-action
  23.   - Framework.pkg.apt.aptitude.list-suite
  24.   - Framework.pkg.apt.proxy.reset
  25.   - Framework.pkg.apt.source.reset
  26. parameters:
  27.   bug:
  28.     - 483754
  29.   doc:
  30.     gateway:
  31.       pkg:
  32.         - include bandwidth-saving remote shell service MoSH
  33.         - Include traffic shaping service wondershaper
  34.       tweak:
  35.         - reset root account rcfiles from skeleton
  36.         - limit video buffers (freeing memory for general use)
  37.         - use HDMI (not serial portas initial boot console
  38.         - avoid bufferbloat
  39.         - adapt default settings for console file manager Midnight Commander
  40.         - set wireless regulatory domain to Denmark
  41.         - (re)set ethernet devices to use dhcpand routing
  42.         - (re)set first ethernet device to use dhcproutingmDNSand masquerading
  43.         - enable Domain name (DNSservice systemd-resolved
  44.         - use Cloudflare (not Googlefallback DNS resolvers
  45.         - enable multicast DNS
  46.         - enable Network Time (NTPservice systemd-timesyncd
  47.         - use static IPs as fallback with NTP to avoid DNSSEC deadlock
  48.         - create local systemd service to create SSH host keys if missing
  49.         - clear content of /etc/machine-id
  50.         - remove SSH host keys
  51.   pkg:
  52.     - iproute2
  53.     - wpasupplicant
  54.     - modemmanager
  55.     - mosh
  56.     - iftop
  57.     - locales
  58.     - sudo
  59.     - whiptail
  60.     - debian-security-support
  61.     - procps
  62.     - wondershaper
  63.   pkg-avoid:
  64.     - xauth
  65.   tweak:
  66.     - >
  67.       files=".bash_logout .bashrc .profile";\
  68.        for file in $files; do \
  69.         cp -f "/target/etc/skel/$file" "/target/root/$file";\
  70.        done;\
  71.        echo '' >> /target/root/.profile;\
  72.        echo 'mesg n || true' >> /target/root/.profile
  73.     - >
  74.       _setappendvar /target/etc/default/flash-kernel \
  75.        LINUX_KERNEL_CMDLINE_DEFAULTS \
  76.        '"sunxi_ve_mem_reserve=0 sunxi_g2d_mem_reserve=0 sunxi_fb_mem_reserve=16"'
  77.     - >
  78.       file=/target/etc/flash-kernel/bootscript/bootscr.sunxi;\
  79.        _backup "$file";\
  80.        sed -i -r -e '2asetenv console tty0\''n' "$file"
  81.     - >
  82.       _setappendvar /target/etc/sysctl.d/local-bufferbloat.conf \
  83.        net.core.default_qdisc fq_codel
  84.     - >
  85.       file=/target/etc/mc/mc.ini;\
  86.        _backup "$file";\
  87.        echo '[Midnight-Commander]' > "$file";\
  88.        echo 'auto_save_setup=false' >> "$file";\
  89.        echo 'use_internal_view=true' >> "$file";\
  90.        echo 'use_internal_edit=true' >> "$file";\
  91.        echo 'num_history_items_recorded=200' >> "$file";\
  92.        echo 'editor_option_save_mode=false' >> "$file";\
  93.        echo 'editor_show_right_margin=false' >> "$file";\
  94.        echo 'skin=dark' >> "$file";\
  95.        echo '' >> "$file";\
  96.        echo '[Panels]' >> "$file";\
  97.        echo 'navigate_with_arrows=true' >> "$file";\
  98.        echo '' >> "$file";\
  99.        echo '[Layout]' >> "$file";\
  100.        echo 'message_visible=false' >> "$file";\
  101.        echo 'menubar_visible=false' >> "$file"
  102.     - >
  103.       _setappendvar /target/etc/default/crda \
  104.        REGDOMAIN DK
  105.     - >
  106.       _uuid(){ set -e;\
  107.         tmpfile=$(mktemp);\
  108.         (umask 077; fallocate --length 40kib "$tmpfile");\
  109.         PATH="/usr/sbin:/sbin:$PATH" mkswap "$tmpfile" | grep -Po '\bUUID=\K\S+';\
  110.         rm -f "$tmpfile"; }
  111.     - >
  112.       file=/target/etc/systemd/network/90-dhcp.network;\
  113.        _backup "$file";\
  114.        echo '[Match]' > "$file";\
  115.        echo 'Name=ethenwl*' >> "$file";\
  116.        echo '' >> "$file";\
  117.        echo '[Network]' >> "$file";\
  118.        echo 'DHCP=yes' >> "$file";\
  119.        echo 'IPForward=yes' >> "$file"
  120.     - >
  121.       file=/target/etc/systemd/network/10-eth0.network;\
  122.        _backup "$file";\
  123.        echo '[Match]' > "$file";\
  124.        echo 'Name=eth0' >> "$file";\
  125.        echo '' >> "$file";\
  126.        echo '[Network]' >> "$file";\
  127.        echo 'DHCP=yes' >> "$file";\
  128.        echo 'MulticastDNS=yes' >> "$file";\
  129.        echo 'LinkLocalAddressing=yes' >> "$file";\
  130.        echo 'IPForward=yes' >> "$file";\
  131.        echo 'IPMasquerade=yes' >> "$file"
  132.     - systemctl enable systemd-networkd
  133.     - >
  134.       dir=/target/etc/systemd/resolved.conf.d;\
  135.        mkdir -p "$dir";\
  136.         file="$dir/local.conf";\
  137.         echo '[Resolve]' > "$file";\
  138.         echo 'FallbackDNS=1.1.1.1 1.0.0.1 2606:4700:4700::1111,2606:4700:4700::1001' >> "$file";\
  139.         echo 'MulticastDNS=yes' >> "$file"
  140.     - systemctl enable systemd-resolved
  141.     - >
  142.       ln -sfT ../run/systemd/resolve/stub-resolv.conf \
  143.        /target/etc/resolv.conf
  144.     - >
  145.       dir=/target/etc/systemd/timesyncd.conf.d;\
  146.        mkdir -p "$dir";\
  147.         file="$dir/local.conf";\
  148.         echo '[Time]' > "$file";\
  149.         echo '# include static IPs (once expanded from former) to avoid DNSSEC deadlock' >> "$file";\
  150.         echo 'FallbackNTP=2.debian.pool.ntp.org 195.137.195.251 158.248.189.11 193.104.228.123 195.137.195.252 2001:ac8:37::40 2001:67c:28c8:12::123 2a00:1b70:1200:1::123 2001:67c:564::12' >> "$file"
  151.     - systemctl enable systemd-timesyncd
  152.     - >
  153.       file=/target/usr/local/sbin/gen-sshd-host-keys;\
  154.        echo '#!/bin/sh' "$file";\
  155.        echo '#' >> "$file";\
  156.        echo '# Generate missing ssh host keys' >> "$file";\
  157.        echo '# code copied from openssh-server postinst to address' >> "$file";\
  158.        echo '# https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=594175' >> "$file";\
  159.        echo '' >> "$file";\
  160.        echo '# Copyright: 2018 Purism SPC' >> "$file";\
  161.        echo '# License: BSD-2-clause' >> "$file";\
  162.        echo '#  Redistribution and use in source and binary forms, with or without' >> "$file";\
  163.        echo '#  modification, are permitted provided that the following conditions' >> "$file";\
  164.        echo '#  are met:' >> "$file";\
  165.        echo '#  1. Redistributions of source code must retain the above copyright' >> "$file";\
  166.        echo '#     notice, this list of conditions and the following disclaimer.' >> "$file";\
  167.        echo '#  2. Redistributions in binary form must reproduce the above copyright' >> "$file";\
  168.        echo '#     notice, this list of conditions and the following disclaimer in the' >> "$file";\
  169.        echo '#     documentation and/or other materials provided with the distribution.' >> "$file";\
  170.        echo '#  .' >> "$file";\
  171.        echo '#  THIS SOFTWARE IS PROVIDED BY THE AUTHOR "AS IS" AND ANY EXPRESS OR' >> "$file";\
  172.        echo '#  IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES' >> "$file";\
  173.        echo '#  OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED.' >> "$file";\
  174.        echo '#  IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT,' >> "$file";\
  175.        echo '#  INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT' >> "$file";\
  176.        echo '#  NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE,' >> "$file";\
  177.        echo '#  DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY' >> "$file";\
  178.        echo '#  THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT' >> "$file";\
  179.        echo '#  (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF' >> "$file";\
  180.        echo '#  THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.' >> "$file";\
  181.        echo '' >> "$file";\
  182.        echo 'set -e' >> "$file";\
  183.        echo '' >> "$file";\
  184.        echo 'export LC_ALL=C.UTF-8' >> "$file";\
  185.        echo '' >> "$file";\
  186.        echo 'get_config_option() {' >> "$file";\
  187.        echo '        option="$1"' >> "$file";\
  188.        echo '' >> "$file";\
  189.        echo '        [ -f /etc/ssh/sshd_config ] || return' >> "$file";\
  190.        echo '' >> "$file";\
  191.        echo '        # TODO: actually only one '"'='"' allowed after option' >> "$file";\
  192.        echo '        perl -lne '"'" >> "$file";\
  193.        echo '                s/[[:space:]]+/ /g; s/[[:space:]]+$//;' >> "$file";\
  194.        echo '                print if s/^[[:space:]]*'"'"'"$option"'"'"'[[:space:]=]+//i'"'"\' >> "$file";\
  195.        echo '           /etc/ssh/sshd_config' >> "$file";\
  196.        echo '}' >> "$file";\
  197.        echo '' >> "$file";\
  198.        echo '' >> "$file";\
  199.        echo 'host_keys_required() {' >> "$file";\
  200.        echo '        hostkeys="$(get_config_option HostKey)"' >> "$file";\
  201.        echo '        if "$hostkeys" ]; then' >> "$file";\
  202.        echo '                echo "$hostkeys"' >> "$file";\
  203.        echo '        else' >> "$file";\
  204.        echo '                # No HostKey directives at all, so the server picks some' >> "$file";\
  205.        echo '                # defaults.' >> "$file";\
  206.        echo '                echo /etc/ssh/ssh_host_rsa_key' >> "$file";\
  207.        echo '                echo /etc/ssh/ssh_host_ecdsa_key' >> "$file";\
  208.        echo '                echo /etc/ssh/ssh_host_ed25519_key' >> "$file";\
  209.        echo '        fi' >> "$file";\
  210.        echo '}' >> "$file";\
  211.        echo '' >> "$file";\
  212.        echo 'create_key() {' >> "$file";\
  213.        echo '   msg="$1"' >> "$file";\
  214.        echo '   shift' >> "$file";\
  215.        echo '   hostkeys="$1"' >> "$file";\
  216.        echo '   shift' >> "$file";\
  217.        echo '   file="$1"' >> "$file";\
  218.        echo '   shift' >> "$file";\
  219.        echo '' >> "$file";\
  220.        echo '   if echo "$hostkeys" | grep -x "$file" >/dev/null && \' >> "$file";\
  221.        echo '      [ ! -f "$file" ; then' >> "$file";\
  222.        echo '       printf "%s" "$msg"' >> "$file";\
  223.        echo '       ssh-keygen -q -f "$file" -N "" "$@"' >> "$file";\
  224.        echo '       echo' >> "$file";\
  225.        echo '       if which restorecon >/dev/null 2>&1; then' >> "$file";\
  226.        echo '           restorecon "$file" "$file.pub"' >> "$file";\
  227.        echo '       fi' >> "$file";\
  228.        echo '       ssh-keygen -l -f "$file.pub"' >> "$file";\
  229.        echo '   fi' >> "$file";\
  230.        echo '}' >> "$file";\
  231.        echo '' >> "$file";\
  232.        echo '' >> "$file";\
  233.        echo 'create_keys() {' >> "$file";\
  234.        echo '   hostkeys="$(host_keys_required)"' >> "$file";\
  235.        echo '' >> "$file";\
  236.        echo '   create_key "Creating SSH2 RSA key; this may take some time ..." \' >> "$file";\
  237.        echo '       "$hostkeys" /etc/ssh/ssh_host_rsa_key -t rsa' >> "$file";\
  238.        echo '   create_key "Creating SSH2 DSA key; this may take some time ..." \' >> "$file";\
  239.        echo '       "$hostkeys" /etc/ssh/ssh_host_dsa_key -t dsa' >> "$file";\
  240.        echo '   create_key "Creating SSH2 ECDSA key; this may take some time ..." \' >> "$file";\
  241.        echo '       "$hostkeys" /etc/ssh/ssh_host_ecdsa_key -t ecdsa' >> "$file";\
  242.        echo '   create_key "Creating SSH2 ED25519 key; this may take some time ..." \' >> "$file";\
  243.        echo '       "$hostkeys" /etc/ssh/ssh_host_ed25519_key -t ed25519' >> "$file";\
  244.        echo '}' >> "$file";\
  245.        echo '' >> "$file";\
  246.        echo 'create_keys' >> "$file";\
  247.        echo 'service ssh force-reload' >> "$file";\
  248.        chmod a+x "$file"
  249.     - >
  250.       file=/target/etc/systemd/system/gen-sshd-host-keys.service;\
  251.        echo '[Unit]' > "$file";\
  252.        echo 'Description=Generate OpenSSH daemon host keys service' >> "$file";\
  253.        echo 'ConditionPathExists=/usr/sbin/sshd' >> "$file";\
  254.        echo 'ConditionPathExists=!/etc/ssh/sshd_not_to_be_run' >> "$file";\
  255.        echo 'Before=ssh.service' >> "$file";\
  256.        echo 'Before=ssh.socket' >> "$file";\
  257.        echo 'Documentation=https://source.puri.sm/Librem5/gen-ssd-host-keys/README.md' >> "$file";\
  258.        echo '' >> "$file";\
  259.        echo '[Service]' >> "$file";\
  260.        echo 'Type=oneshot' >> "$file";\
  261.        echo 'ExecStart=/usr/local/sbin/gen-sshd-host-keys' >> "$file";\
  262.        echo 'ExecStop=/bin/true' >> "$file";\
  263.        echo '' >> "$file";\
  264.        echo '[Install]' >> "$file";\
  265.        echo 'WantedBy=ssh.service' >> "$file";\
  266.        echo 'WantedBy=ssh.socket' >> "$file"
  267.     - systemctl enable gen-sshd-host-keys
  268.     - echo > /target/etc/machine-id
  269.     - ln -sfT ../../../etc/machine-id /target/var/lib/dbus/machine-id
  270.     - find /target/etc/ssh -maxdepth 1 -type f -name "ssh_host_*_key*" -delete