BGP-Konfiguration für UiPath VPN-Gateways

Das Border Gateway Protocol (BGP) wird verwendet, um Routen dynamisch zwischen Ihrem lokalen Netzwerk und dem UiPath VPN-Gateway auszutauschen.

BGP wird als Routing-Methode empfohlen, da es keine manuelle Pfadverwaltung mehr erfordert und Verbindungsprobleme reduziert werden. Dies ist jedoch nicht obligatorisch.

Funktionsweise von BGP in UiPath

BGP-Unterstützung ist auf der Ebene des VPN-Gateways vorhanden, aber das Routing-Verhalten wird pro Verbindung bestimmt. Ein einzelnes UiPath VPN-Gateway kann eine Mischung aus BGP-fähigen Verbindungen und statischen (Nicht-BGP)-Verbindungen hosten. Jede Verbindung verhält sich unabhängig.

Beispielsweise kann Site A BGP verwenden, während Site B statische Routen verwendet, wobei beide eine Verbindung mit demselben Gateway herstellen.

BGP-Eigenschaften auf Gateway-Ebene

Das Gateway macht eine feste Gateway-ASN 65515 verfügbar. Die BGP-Funktion ist immer auf dem Gateway vorhanden.

Ihr lokales VPN-Gerät muss BGP unterstützen und einen Peer mit ASN 65515 akzeptieren.

Routing-Verhalten auf Verbindungsebene

Beim Erstellen oder Bearbeiten einer VPN-Verbindung wählen Sie explizit aus, ob diese Verbindung BGP verwendet. Wenn BGP deaktiviert ist, verwendet die Verbindung statisches Routing und Sie müssen die lokalen CIDRs definieren, die erreichbar sein sollen. Nur diese Bereiche werden durch den Kanal weitergeleitet.

Wenn BGP aktiviert ist, werden Routen dynamisch ausgetauscht. UiPath gibt alle ACR VM-Pool-CIDRs und das serverlose Roboter-CIDR des Mandanten an, und Ihr lokales Gerät gibt seine lokalen CIDRs an.

Um BGP für eine Verbindung zu aktivieren, müssen Sie die lokale ASN und die BGP-Peer-Adresse angeben, die von Ihrem lokalen Gerät verwendet wird. Fehlt ein Wert oder ist er falsch, wird die BGP-Sitzung nicht hergestellt.

Optionen für BGP-Peer-IP-Adressen

UiPath unterstützt zwei Möglichkeiten, BGP-Peer-Adressen zu definieren.

Gateway-Subnetz-IP (Standard und empfohlen).

Standardmäßig wählt das VPN-Gateway eine private IP aus dem Gateway-Subnetz aus. Diese IP wird auf der Gateway-Kachel im Administratorportal angezeigt und als BGP-Peer-Adresse des Gateways verwendet. Konfigurieren Sie die Gateway-Peer-IP auf Ihrem lokalen Gerät und die lokale Peer-IP auf der VPN-Verbindung. Das ist die einfachste und bevorzugte Option.

APIPA-BGP-Adressen (erweitert).

Automatische private IP-Adressierung (APIPA) ermöglicht BGP-Peering, ohne IP-Adressen aus dem Gateway-Subnetz zu verbrauchen, und sollte nur verwendet werden, wenn dies von Ihrem lokalen VPN-Gerät benötigt wird. UiPath unterstützt nur die APIPA-Bereiche 169.254.21.0/24 und 169.254.22.0/24. Adressen außerhalb dieser Bereiche werden nicht unterstützt.

APIPA-Konfiguration

Wenn Sie APIPA verwenden, müssen Sie die APIPA-Adresse an zwei Stellen konfigurieren: auf dem VPN-Gateway (APIPA-Adresse des Gateways) und auf der VPN-Verbindung (APIPA-Adresse des lokalen Peerings). Diese beiden Adressen müssen ein binäres invertiertes Paar bilden. UiPath berechnet die Peer-Adresse des Partners, indem die letzten beiden Bits der IPv4-Adresse umgeschaltet werden:

PartnerPeer = Address XOR 0x3

Diese Anforderung bedeutet, dass sich die beiden IPs im selben /30 und Paar wie .1 ↔ .2 und befinden müssen

.0 ↔
        .3

. Gültige Beispiele:

• Gateway: 169.254.22.2 → Verbindungs-Peer: 169.254.22.1
• Gateway: 169.254.22.0 → Verbindungs-Peer: 169.254.22.3

Eine ungültige Kopplung wie das Gateway 169.254.22.2 mit dem Verbindungs-Peer 169.254.22.5 (nicht in demselben /30) verhindert den Aufbau von BGP. Beachten Sie, dass in dieser Situation der VPN-Tunnel möglicherweise verbunden erscheint, aber keine Routen ausgetauscht werden.

So konfigurieren Sie APIPA richtig:

1. Wählen Sie eine APIPA-Adresse für das VPN-Gateway aus (Beispiel: 169.254.22.2).
2. Bestimmt den binär-invertierten Zwilling (Beispiel: 169.254.22.1).
3. Konfigurieren Sie die APIPA-Adresse des Gateways auf dem VPN-Gateway und die invertierte Peer-Adresse auf der VPN-Verbindung.
4. Konfigurieren Sie dieselbe Peer-Adresse auf Ihrem lokalen VPN-Gerät.

Wenn ein Schritt übersprungen wird oder nicht übereinstimmen, schlägt BGP fehl.

Zusammenfassung des Routing-Verhaltens

Verbindungstyp	Routenquelle	Hinweise
BGP aktiviert	Dynamisch (BGP)	Adressbereiche der Verbindung ignoriert
BGP deaktiviert	Statisch	Adressbereiche definieren das Routing

Ein einzelnes VPN-Gateway kann beide Typen gleichzeitig hosten.

Häufige Fehlkonfigurationen von BGP

Symptome	Wahrscheinliche Ursache
VPN verbunden, keine Routen	BGP auf lokalem Gerät deaktiviert
BGP wird nie hergestellt	ASN stimmt nicht überein
BGP aktiviert, kein Datenverkehr	Firewall blockiert Roboter-CIDRs
Routen fehlen	APIPA-Kopplung falsch
Einseitige Datenverkehr	Rückgabepfade nicht installiert

Empfehlungen

• Verwenden Sie BGP pro Verbindung, sofern dies unterstützt wird.
• Ziehen Sie Gateway-Subnetz-IPs APIPA vor, wenn dies erforderlich ist.
• Überprüfen Sie die ASN- und BGP-Peer-Adressen.
• Stellen Sie sicher, dass Roboter-CIDRs durch Firewalls zugelassen werden.
• Bestätigen Sie die Routeninstallation auf Ihrem lokalen Gerät.

Schlüssel zum Mitnehmen

BGP wird pro Verbindung konfiguriert, nicht global. APIPA erfordert eine genaue paarweise Konfiguration auf beiden Seiten. Das Verständnis und die Anwendung dieser Regel verhindert die meisten Probleme „VPN ist aktiv, aber der Datenverkehr fließt nicht“