Konfigurieren einer VPN für Cloud-Roboter

Sie können ein VPN-Gateway für einen Mandanten erstellen, damit Ihre VM-Cloud Robots oder serverlosen Cloud Robots auf Ihre lokalen Ressourcen hinter einer Firewall zugreifen können.

Voraussetzungen

Wichtig:

Die Installation von benutzerdefinierter Software auf Ihrer VM, z. B. VPN-Clients, kann die Core Services beeinträchtigen und die VM unbrauchbar machen. Verwenden Sie stattdessen die Konfiguration in diesem Kapitel.

Um das VPN-Gateway einzurichten, müssen Sie die folgenden Anforderungen erfüllen:

• Holen Sie sich das Wissen oder die Unterstützung von Ihrem Netzwerkadministrator oder jemandem, der sich gut mit VPN- und Netzwerkkonzepten auskennt.
• Werden Sie Organisationsadministrator in Automation Cloud^TM Dedicated.
• Sie benötigen eine Orchestrator-Rolle, die die Berechtigung Maschinen – Bearbeiten enthält.
• Jedem Mandanten, für den Sie ein VPN-Gateway erstellen möchten, müssen mindestens 5000 Robotereinheiten zugewiesen sein.

• Informationen von Ihrem Netzwerkadministrator:

  • Eine Liste der reservierten IP-Adressbereiche in Ihrer lokalen Netzwerkkonfiguration in CIDR-Notation. Als Teil der Konfiguration müssen Sie die IP-Adressbereichspräfixe angeben, die wir an Ihren lokalen Standort weiterleiten.

    Wichtig:

    Die Subnetze Ihres lokalen Netzwerks dürfen sich nicht mit den Subnetzen des virtuellen Netzwerks überschneiden, mit denen Sie eine Verbindung herstellen möchten.

  • Verwenden Sie kompatible VPN-Geräte und stellen Sie sicher, dass Sie in der Lage sind, diese zu konfigurieren, wie unter Über VPN-Geräte für Verbindungen – Azure VPN Gateway beschrieben. Weitere Informationen zu den Standardverbindungsparametern finden Sie unter Standardrichtlinien für Azure.

  • Ihr VPN-Gerät muss nach außen gerichtete, öffentliche IPv4-Adressen verwenden.

  • Ein Pre-Shared Key (PSK) für jedes VPN-Gerät.
    Hinweis:

    Der vorab freigegebene Schlüssel muss aus maximal 128 druckbaren ASCII-Zeichen bestehen.

    Verwenden Sie keine Leerzeichen, Bindestriche - oder Tilde ~.
  • Sie müssen einen einzelnen IP-Bereich in CIDR-Notation mit der Maske /25 eingeben.

Das VPN-Gateway-Workflowschema

Dieses Schema zeigt, wie die VPN-Verbindung zwischen Ihrem lokalen Netzwerk und den Netzwerken Ihrer Cloud Robot – VM hergestellt wird.

Durch die Verbindung mit einem VPN-Gateway können Ihre ACR-VMs auf die eingeschränkten Ressourcen in Ihrem lokalen Netzwerk zugreifen.

Der Ablauf ist wie folgt:

1. Richten Sie in Ihrem lokalen Netzwerk den IP-Bereich (1) für das VPN-Gateway ein. Dies stellt den IP-Bereich Ihres lokalen Netzwerks dar.

2. Geben Sie in Ihrem lokalen Netzwerk die IP-Bereiche der ACR-VM-Pools (6, 7) an, um deren Datenverkehr in das Netzwerk zu ermöglichen.

3. Richten Sie den IP-Bereich des VPN-Gateways ein (4), der die zugrunde liegenden Ressourcen darstellt, die zum Hosten des VPN-Gateways in der Cloud verwendet werden. /25 ist das obligatorische Suffix für das Gateway. Dadurch wird Ihrem lokalen Netzwerk mitgeteilt, dass das VPN-Gateway für den Betrieb bis zu 128 IP-Adressen benötigen kann.

4. Für das Gateway (5) wird eine öffentliche IP erstellt, die Ihr lokales Netzwerk ansteuern muss, um eine Verbindung zu initiieren.

5. Ihr lokales Netzwerk verbindet sich mit dem VPN-Gateway über einen Site-to-Site-Tunnel (3). Zu diesem Zeitpunkt zielt das VPN-Gateway auf die öffentliche IP Ihres lokalen Netzwerks (2) und Ihr lokales Netzwerk auf die öffentliche IP des Gateways ab (5). Ihre lokalen Ressourcen sind im VPN-Gateway verfügbar und jede verbundene ACR-VM kann darauf zugreifen.

6. Die ACR-VM-Pools verfügen über separate Netzwerke. Um einen ACR-VM-Pool mit dem VPN-Gateway zu verbinden, richten Sie einen IP-Bereich für diesen Pool ein (6, 7).

   Wichtig:

   Es ist wichtig, dass sich der IP-Bereich der Pools, die Sie konfigurieren möchten (6, 7), nicht mit anderen IP-Bereichen in Ihrem gesamten Netzwerkbereich überschneidet (einschließlich Ihres lokalen Netzwerks (1) und aller Ressourcen, die vom UiPath® VPN-Gateway verwendet werden (4)).

Schritt 1. Erstellen Sie das VPN-Gateway

So erstellen Sie ein VPN-Gateway für einen Mandanten:

1. Gehen Sie in Automation Cloud^TM Dedicated zu Admin.

   Wenn nicht bereits aktiviert, aktivieren Sie die neue Administratorumgebung mithilfe des Umschalters im Header.

2. Wählen Sie im Mandantenbereich auf der linken Seite den Mandanten aus, für den Sie ein VPN-Gateway erstellen möchten.

   Die Einstellungsseite für den ausgewählten Mandanten wird geöffnet.

3. Wählen Sie die Kachel VPN-Gateway aus.
4. Wählen Sie Gateway für Mandant erstellen aus. Der Bereich Verbindung erstellen wird geöffnet
5. Geben Sie im Feld Name einen Namen für das Gateway ein, wie er auf der Seite VPN-Gateway des Mandanten angezeigt werden soll.
6. Fügen Sie im Feld Adressraum für VPN Gateway vnet die IP-Adressen hinzu, die Sie von Ihrem Netzwerkadministrator erhalten haben. Verwenden Sie die CIDR-Notation mit der Maske /25. Beispiel: 10.0.0.0/25.

   Dies sollte ein IP-Adressbereich sein, den Ihr Netzwerkadministrator für dieses virtuelle Netzwerk reserviert hat. Außerdem darf er sich nicht mit den IP-Bereichen überschneiden, die das lokale Netzwerk darstellen, oder mit den IP-Bereichen für den VM-Pool (später definiert).

   Wichtig:

   • Vnet-Bereiche für das Gateway oder für den VM-Pool können nach der Erstellung nicht geändert werden.
   • Selbst wenn Sie dem VPN-Gateway-Netzwerk einen CIDR-Block zuweisen (z. B. /25), stammt der Verkehr von Maschinenpools oder serverlosen Maschinenvorlagen mit aktiviertem VPN nicht von diesem CIDR.

     Die tatsächlichen Quell-IP-Adressen, die für ausgehenden Datenverkehr verwendet werden, sind die der CIDRs, die dem einzelnen Maschinenpool oder der serverlosen Vorlage zugewiesen sind.

     Stellen Sie sicher, dass der Verkehr von den CIDRs Ihrer Maschinenpools oder serverlosen Vorlagen zugelassen ist, nicht vom CIDR des VPN-Gateway-Netzwerks.

7. (Optional) Wenn Sie ein DNS für diese Verbindung verwenden möchten, wählen Sie DNS-Adresse hinzufügen aus und dann:
   1. Fügen Sie im Feld DNS-Adresse eine DNS-Adresse hinzu.
   2. Um zusätzliche DNS-Adressen hinzuzufügen, wählen Sie Mehr hinzufügen aus, um ein weiteres Feld hinzuzufügen, und fügen Sie dann die Adresse zu diesem Feld hinzu.
      Hinweis: Sie können DNS-Adressen später hinzufügen, nachdem das VPN-Gateway erstellt wurde. Dazu müssen Sie jedoch alle VMs neu starten, die mit dem Gateway verbunden sind.
8. Wählen Sie Erstellen unten im Bereich aus, um die VPN Gateway-Verbindung zu erstellen.
   Hinweis: Wenn dem aktuellen Mandanten nicht mindestens 5000 Robot Units zugewiesen sind, können Sie das Gateway nicht erstellen.

Der Bereich wird geschlossen und der Status des VPN-Gateways lautet Bereitstellen. Die Bereitstellung des Gateways kann bis zu 45 Minuten dauern.

Nach Abschluss wird der Status Bereitgestellt auf der Karte des Gateways angezeigt.

Hinweis: Wenn der Status Fehlgeschlagen ist, löschen Sie das Gateway und erstellen Sie es neu, indem Sie die vorherigen Anweisungen befolgen.

Schritt 2. Cloud-Roboter-Vorlagen erstellen

Hinweis: Das VPN-Gateway muss den Status Bereitgestellt anzeigen, bevor Sie diesen Schritt ausführen können.

Das Vnet für eine Cloud-Roboter-Vorlage wird erstellt, wenn jede Vorlage erstellt wird.

Cloud Robot – VM: Erstellen Sie im Orchestrator einen oder mehrere Cloud Robot – VM -Pools gemäß den Anweisungen unter Erstellen des Cloud Roboter-Pools . Stellen Sie während der Einrichtung sicher, dass Sie die Option VPN-Gateway verbinden auswählen.

Für jeden Pool können Sie den VPN-Status auf der Seite Maschinen > Verwalten von Cloud Robot – VM überwachen.

Hinweis:

Vorhandener Cloud-Roboter – VM-Pools können keine Verbindung mit dem VPN-Gateway herstellen. Sie müssen neue erstellen.

Darüber hinaus haben Sie bei Pools, die für die Verbindung mit dem VPN-Gateway des Mandanten eingerichtet wurden, die Möglichkeit, den Pool zu bearbeiten und den Umschalter VPN-Integration aktivieren zu deaktivieren, um die Verbindung zum Pool zu trennen. Sobald die Verbindung getrennt ist, können Sie den Pool nicht wieder mit dem VPN-Gateway verbinden.

Cloud Robots – Serverless: Bearbeiten oder erstellen Sie im Orchestrator Cloud Robots – Serverless Vorlagen gemäß den Anweisungen in Automation Cloud™ Robots – Serverless . Stellen Sie während der Einrichtung sicher, dass Sie die Optionen auf der Seite VPN-Setup konfigurieren.

Schritt 3. Erstellen der Site-to-Site-Verbindung

Nachdem Sie das VPN-Gateway bereitgestellt haben, können Sie jetzt Ihre lokalen Netzwerke damit verbinden.

Die Gateway-Karte zeigt die öffentliche IP-Adresse an, die eine wichtige Information für die Tunnelverbindung ist.

So konfigurieren Sie das VPN-Gateway für die Verbindung mit einem VPN-Gerät:

1. Gehen Sie in Automation Cloud^TM Dedicated zu Administrator > Mandant > VPN-Gateway.
2. Wählen Sie auf der Kachel für das Gateway die Option Verbindung hinzufügen aus.

   Das Panel Verbindung erstellen wird rechts auf der Seite geöffnet.

3. Geben Sie Werte für die folgenden Felder an:

   Option	Beschreibung
   Verbindungsname *	Geben Sie einen Namen für Ihre Verbindung an.
   Freigegebener Schlüssel (PSK)*	Schreiben Sie einen geheimen Ausdruck oder eine Zeichenfolge. Sie müssen sich diesen genauen Schlüssel merken und ihn angeben, wenn Sie die Verbindung auf Ihrem lokalen Gerät konfigurieren.
   Öffentliche IP für das VPN-Gerät *	Geben Sie die öffentliche IP-Adresse Ihres lokalen VPN-Geräts an. Wichtig: Geben Sie nicht die öffentliche IP-Adresse des VPN-Gateways an, die auf der Karte angezeigt wird. Diese Adresse muss auf Ihrem lokalen Gerät konfiguriert werden.
   Adressraum für das lokale Gerät *	Geben Sie alle privaten IP-Adressbereiche in Ihrem lokalen Netzwerk an, die über diese Verbindung kommunizieren müssen. Da das Gateway das Edge Gateway Protocol (BGP) nicht unterstützt, ist eine manuelle Konfiguration erforderlich. Wenn Sie eine DNS-Server-IP-Adresse für das Gateway angegeben haben, stellen Sie sicher, dass die Adresse in einem der privaten IP-Adressbereiche liegt, die Sie hier definieren.

4. Optional können Sie benutzerdefinierte Konfigurationen für die IPsec/IKE-Richtlinie definieren. Verwenden Sie diesen Abschnitt, um die Kompatibilität mit den spezifischen Sicherheitseinstellungen sicherzustellen, die von Ihrem lokalen VPN-Gerät benötigt werden, oder um erweiterte Sicherheitsrichtlinien zu implementieren, die auf die Anforderungen Ihrer Organisation zugeschnitten sind. Aktivieren Sie dazu den Umschalter Benutzerdefinierte IPsec/IKE-Richtlinie .
   Hinweis: Es wird nur IKEv2 unterstützt.
   1. Geben Sie für IKE-Phase 1 Werte für die folgenden Felder an:

      Verschlüsselung *

      Geben Sie die übereinstimmende Verschlüsselungsmethode für den ersten sicheren Schlüsselaustausch an (IKE-Phase 1). Dieser muss mit der UiPath-Gateway-Einstellung identisch sein (z. B. AES-256, GCMAES).

      Mögliche Werte: GCMAES256, GCMAES128, AES256, AES192, AES128

      Integrität *

      Geben Sie die Datenintegritätsprüfung für die übereinstimmende Datenintegrität für die anfängliche IKE-Phase-1-Kommunikation an (z. B. SHA-256, SHA-512). Diese muss mit dem UiPath-Gateway übereinstimmen.

      Mögliche Werte: SHA384, SHA256, SHA1, MD5

      dh, Gruppe *

      Geben Sie die übereinstimmende Differenz-Hellman-Gruppe (DHA) für den sicheren Schlüsselaustausch in IKE-Phase 1 an (z. B. Gruppe 14, Gruppe 19). Diese muss mit dem UiPath-Gateway übereinstimmen.

      Mögliche Werte: dhGruppe24, ECP384, ECP256, Domänennamen14, Domänenname2048, Domänenname, Domänenname, Keine

   2. Geben Sie für IKE-Phase 2 (IPSec) Werte für die folgenden Felder an:

      IPsec-Verschlüsselung *

      Geben Sie die passende Verschlüsselungsmethode für den Datenverkehr innerhalb des VPN-Tunnels (IPSec Phase 2) an (z. B. AES-256, 3DES). Diese muss mit dem UiPath-Gateway übereinstimmen.

      Mögliche Werte: GCMAES256, GCMAES192, GCMAES128, AES256, AES192, AES128, DES3, DES, Keine

      IPsec-Integrität *

      Geben Sie die Datenintegritätsprüfung für den Datenverkehr innerhalb des VPN-Tunnels an (IPSec Phase 2) (z. B. SHA-256, SHA-512). Diese muss mit dem UiPath-Gateway übereinstimmen.

      Mögliche Werte: GCMAES256, GCMAES192, GCMAES128, SHA256, SHA1, MD5

      PFS-Gruppe *

      Geben Sie die übereinstimmende PFS-Gruppe (Perfect Forward Secrecy) für IPsec Phase 2 an, wenn dies auf dem UiPath-Gateway aktiviert ist (z. B. Gruppe 14, Gruppe 19). Wenn eine Seite PFS verwendet, sollte die andere es abgleichen oder deaktivieren.

      Mögliche Werte: PFS24, ECP384, ECP256, PFS2048, PFS2, PFS1, Keine

      IPsec-SA-Lebensdauer in Kilobyte *

      Geben Sie die Dauer für aktive sichere Verbindungen (IKE und IPsec) an. Dies sind lokale Einstellungen. Abgleich ist nicht unbedingt erforderlich, aber ähnliche Werte werden für die Konsistenz empfohlen.

      Mögliche Werte: Minimum 1.024, Standard 10.2400.000

      IPsec-SA-Lebensdauer in Sekunden *

      Geben Sie die Dauer für aktive sichere Verbindungen (IKE und IPsec) an. Dies sind lokale Einstellungen. Abgleich ist nicht unbedingt erforderlich, aber ähnliche Werte werden für die Konsistenz empfohlen.

      Mögliche Werte: Minimum 300, Standard 27.000

5. Wählen Sie Verbindung hinzufügen aus. Sobald die Konfiguration abgeschlossen ist, kann es einige Zeit dauern, bis der Verbindungsstatus auf Verbunden aktualisiert wird.

Der Bereich wird geschlossen und die neue Verbindung wird auf der Seite Verbindungen angezeigt. Die Verbindung kann verwendet werden, wenn in der Spalte Verbindungsstatus Verbunden angezeigt wird.

Der Status Verbunden bedeutet, dass der Pre-Shared Key (PSK), die IP-Adresse (Public Internet Protocol) des Peers und die IPsec/IKE-Richtlinienparameter korrekt konfiguriert sind und ein verschlüsselter Tunnel vorhanden ist.

Serverlose und Cloud-Roboter akzeptieren von vornherein keine eingehenden Netzwerkverbindungen. Eine Ausnahme gibt es für Cloud Robots, die RDP-Verbindungen (Remote Desktop Protocol) nur zulassen, wenn dies explizit aktiviert ist.

Hinweis: Wenn der Verbindungsstatus Verbindung fehlgeschlagen ist, müssen Sie die Verbindung löschen und erneut erstellen.

Um weitere Verbindungen hinzuzufügen, wählen Sie auf der Seite Verbindungen die Option Verbindung erstellen aus.

Hinweis: Sie können bis zu 25 Verbindungen hinzufügen.

Schritt 4. Einrichten von VPN-Geräten

Ihr Netzwerkadministrator kann jetzt:

1. Richten Sie Ihr VPN-Gerät über Ihr lokales Netzwerk ein.

   Der PSK muss mit dem PSK übereinstimmen, der für die in Schritt 3 erstellte Verbindung angegeben wurde.

2. Fügen Sie die Adressräume, die zum Konfigurieren des VPN-Gateways und der Vnets für Cloud-Robotervorlagen verwendet werden, zur Zulassungsliste Ihres Netzwerks hinzu.

Eine Liste der unterstützten VPN-Geräte und Anweisungen zur routenbasierten Konfiguration finden Sie unter Über VPN-Geräte für Verbindungen – Azure VPN Gateway in der Microsoft-Dokumentation.

Häufig gestellte Fragen

Datenaufbewahrung

Das VPN-Gateway für einen Mandanten wird automatisch in derselben Region wie die Region des Mandanten erstellt und Sie können die Region nicht ändern.

Zu einer anderen Region wechseln

Wenn bereits ein VPN-Gateway vorhanden ist und Sie Ihren Mandanten in eine andere Region verschieben möchten, haben Sie folgende Möglichkeiten:

• weiterhin das Gateway in der alten Region verwenden oder
• Löschen Sie das vorhandene VPN-Gateway, und erstellen Sie ein neues, das in der aktuellen Region des Mandanten erstellt wird.

Datenaufbewahrung

Wenn Sie einen Mandanten deaktivieren, der über ein VPN-Gateway verfügt, haben Sie einen Kulanzzeitraum von 60 Tagen, bevor Sie den Zugriff auf Ihr VPN-Gerät verlieren. Nach 60 Tagen wird Ihr VPN-Gateway endgültig von Ihren Mandanten gelöscht.

Wenn Sie den Mandanten innerhalb von 60 Tagen erneut aktivieren, wird Ihr VPN-Gateway nicht gelöscht und kann nicht verwendet werden.

Lizenzablauf

Wenn Sie nicht mehr über die erforderlichen Robotereinheiten verfügen, haben Sie einen 60-tägigen Kulanzzeitraum, bevor Sie den Zugriff auf Ihr VPN-Gerät verlieren. Nach 60 Tagen wird Ihr VPN-Gateway endgültig von Ihren Mandanten gelöscht.

Fehlerbehebung von VPN-Verbindungen

Wenn eine Verbindung hergestellt wurde, Sie aber nicht auf die Ressourcen zugreifen können, überprüfen Sie:

• Konfiguration des Adressraums – Stellen Sie sicher, dass an beiden Enden die Adressräume korrekt definiert sind und sich nicht überschneiden, um ein ordnungsgemäßes Routing zu gewährleisten.

• DNS-Auflösung – Bestätigen Sie, dass Gateway und angeschlossene Geräte die erforderlichen Domainnamen auflösen können. Überprüfen Sie die DNS-Serverkonfigurationen und die Erreichbarkeit.

• Firewall-Einstellungen – Überprüfen Sie die Firewall-Einstellungen sowohl für das Gateway als auch für das lokale Netzwerk. Stellen Sie sicher, dass der Datenverkehr über die erforderlichen Ports und Protokolle innerhalb definierter Adressräume fließt.