Konfigurieren einer VPN für Cloud-Roboter

Hinweis:

Die Verfügbarkeit von Funktionen hängt von der Cloud-Plattform ab, die Sie verwenden. Weitere Informationen finden Sie auf der Seite Funktionsverfügbarkeit.

Sie können ein VPN-Gateway für einen Mandanten erstellen, damit Ihre VM Cloud-Roboter oder serverlosen Cloud-Roboter auf Ihre lokalen Ressourcen zugreifen können, die sich hinter einer Firewall befinden.

Beschreibung auf dieser Seite:

• Funktionsweise des UiPath VPN-Gateways auf Netzwerkebene.
• Wie Sie CIDR-Bereiche, Routing, Firewall-Regeln und DNS richtig planen.
• So konfigurieren Sie Site-to-Site-VPN-Verbindungen, einschließlich statisches Routing, BGP und benutzerdefinierter IPsec- oder IKE-Richtlinien.

Voraussetzungen

Wichtig:

Die Installation von benutzerdefinierter Software auf Ihrer VM, z. B. VPN-Clients, kann die Core Services beeinträchtigen und die VM unbrauchbar machen. Verwenden Sie stattdessen die Konfiguration in diesem Kapitel.

Um das VPN-Gateway einzurichten, müssen Sie die folgenden Anforderungen erfüllen:

• Sie müssen ein Organisationsadministrator in Test Cloud sein.
• Über eine Orchestrator-Rolle verfügen, die die Berechtigung „ Maschinen – Bearbeiten “ enthält.
• Von Ihrem Netzwerkadministrator benötigte Informationen:
  • Eine Liste der reservierten IP-Adressbereiche in Ihrer lokalen Netzwerkkonfiguration in CIDR-Notation. Als Teil der Konfiguration müssen Sie die IP-Adressbereichspräfixe angeben, die wir an Ihren lokalen Standort weiterleiten.
  • Die privaten CIDRs, die UiPath über das VPN erreichen soll (Ihre lokalen Netzwerke).
  • Ein Pre-Shared Key (PSK) für jedes VPN-Gerät.
    Wichtig:

    Die Subnetze Ihres lokalen Netzwerks dürfen sich nicht mit den Subnetzen des virtuellen Netzwerks überschneiden, mit denen Sie eine Verbindung herstellen möchten.

  • Verwenden Sie kompatible VPN-Geräte und stellen Sie sicher, dass Sie in der Lage sind, diese zu konfigurieren, wie unter Über VPN-Geräte für Verbindungen – Azure VPN Gateway beschrieben. Weitere Informationen zu den Standardverbindungsparametern finden Sie unter Standardrichtlinien für Azure.
  • Ihr VPN-Gerät muss nach außen gerichtete, öffentliche IPv4-Adressen verwenden.
  Hinweis:

  Der vorab freigegebene Schlüssel muss aus maximal 128 druckbaren ASCII-Zeichen bestehen. Verwenden Sie keine Leerzeichen, Bindestriche - oder Tilde ~.

Grundlegendes zu Netzwerken und CIDRs für UiPath VPN-Konnektivität

In diesem Abschnitt wird beschrieben, wie Netzwerke bei der Verwendung eines UiPath VPN-Gateways funktionieren und warum die Auswahl der richtigen CIDR-Bereiche für ein erfolgreiches und zukunftssicheres Setup entscheidend ist.

Sie benötigen keine umfassenden Netzwerkkenntnisse, um diesem Abschnitt zu folgen, aber es ist wichtig, dass Sie ihn sorgfältig lesen, bevor Sie ein VPN-Gateway erstellen.

Menschenmodell

Wenn Sie ein VPN-Gateway in der UiPath Test Cloud erstellen, erweitern Sie Ihr privates lokales Netzwerk in die UiPath Cloud.

Das bedeutet:

• Ihr lokales Netzwerk und Ihre UiPath Cloud Robot-Netzwerke werden Teil einer privaten Routingdomäne
• Cloud Robots greifen mithilfe privater IP-Adressen auf Ihre lokalen Ressourcen zu
• Das VPN-Gateway fungiert nicht als Proxy oder NAT-Gerät
• Quell-IP-Adressen sind wichtig und müssen in beide Richtungen weiterleitbar sein

Aus diesem Grund müssen CIDR-Bereiche sorgfältig geplant werden und dürfen sich nicht überschneiden.

Was ist ein CIDR?

Ein CIDR definiert einen Bereich privater IP-Adressen.

Beispiele:

• 10.10.0.0/27 → 32 IP-Adressen
• 10.10.0.0/25 → 128 IP-Adressen
• 10.10.0.0/24 → 256 IP-Adressen

Eine kleinere Zahl nach dem Schrägstrich bedeutet ein größeres Netzwerk.

Netzwerke, die an einer UiPath VPN-Einrichtung beteiligt sind

An einer UiPath VPN-Konfiguration sind mehrere verschiedene Netzwerkbereiche beteiligt, von denen jeder einen bestimmten Zweck hat:

• VPN-Gateway-Netzwerk
• ACR-VM-Pool-Netzwerke (VM-basierte Cloud-Roboter)
• Serverloses Roboternetzwerk

Diese Netzwerke müssen alle unterschiedlich sein und sich nicht überschneiden.

VPN-Gateway-Netzwerk (obligatorisch)

Dieses CIDR definiert das Subnetz, in dem das VPN-Gateway selbst bereitgestellt wird. Es wird verwendet für:

• VPN-Tunnel-Endpunkte
• BGP-Peering (wenn aktiviert)

Das VPN-Gateway-Netzwerk hostet keine Roboter oder Workloads

Größenanforderungen:

• Unterstützte Mindestgröße: /27
• Empfohlene Größe: /25 oder größer

Beispiel:

• Minimum: 10.10.0.0/27
• Empfohlen: 10.10.0.0/25
  Wichtig:

  Dieses Netzwerk kann nach dem Erstellen des VPN-Gateways nicht geändert werden.

  • VPN-Gateways erfordern ein /27 oder ein größeres Netzwerk (z. B. /27, /26, /25).
  • Private Endpunkte werden nur für /25 oder größere Netzwerke unterstützt.
  • Wenn Sie ein VPN-Gateway mit einem /27 -CIDR erstellen:
    • Das gesamte CIDR wird dem Gateway-Subnetz dediziert.
    • Die Erstellung privater Endpunkte wird deaktiviert.
    • Die Unterstützung zukünftiger Netzwerkfunktionen kann unmöglich werden.

Es wird empfohlen, immer mindestens ein /25 -CIDR für das VPN-Gateway-Netzwerk zu verwenden.

Die Verwendung /27 wird unterstützt, sollte aber als reine Legacy-Instanz oder als letztes Mittel betrachtet werden, da es die künftige Erweiterung erheblich einschränkt.

Automation Cloud Robot VM-Pool-CIDRs (VM-basierte Cloud-Roboter)

Jeder Automation Cloud Robot-VM-Pool (VM-basierte Cloud-Roboter) wird in einem eigenen privaten Netzwerkbereich ausgeführt.

• Diese CIDRs definieren die Quell-IP-Adressen von VM-basierten Robotern.
• Der Datenverkehr zu Ihrem lokalen Netzwerk stammt aus diesen Bereichen.
  Hinweis:

  • Jeder VM-Pool muss über ein eigenes eindeutiges CIDR verfügen
  • Darf sich nicht überschneiden mit:

  • VPN-Gateway-CIDR
  • Serverloses Roboter-CIDR
  • Lokale Netzwerk-CIDRs

Beispiel:

• VPN-Gateway: 10.10.0.0/25
• ACR-VM-Pool 1: 10.20.0.0/24
• ACR-VM-Pool 2: 10.21.0.0/24

Lokale Firewalls müssen Datenverkehr von Automation Cloud Robot-VM-Pool-CIDRs explizit zulassen. Rückgabewege müssen vorhanden sein, damit die Antworten zurück zu den Robotern fließen können. sich überschneidende CIDRs führen zu Routing-Fehlern, die später nicht behoben werden können.

Serverloses Roboter-CIDR (elementiertes, freigegebenes Netzwerk)

Serverlose Roboter verwenden ein einziges freigegebenes Netzwerk pro Mandant, und es gibt nur ein serverloses Roboter-CIDR. Dies liegt daran, dass es nur eine serverlose Robotervorlage gibt bzw. alle serverlosen Robotervorlagen in einem Mandanten auf dieselbe VPN-Konfiguration verweisen. Alle serverlosen Roboterausführungen eines Mandanten verwenden dieses Netzwerk gemeinsam.

Beispiel:

• Serverlose Roboter: 10.30.0.0/16
  Wichtig:

  Sie können nicht mehrere serverlose Roboter-CIDRs erstellen.

Da es nicht mehrere serverlose Roboter-CIDRs geben kann:

• Das gewählte CIDR muss groß genug sein.
• Es darf sich nicht überschneiden mit:
  • VPN-Gateway-CIDR
  • Beliebige Automation Cloud Robots-VM-Pool-CIDR
  • Lokale Netzwerke

Wenn sich das serverlose CIDR mit Ihrem lokalen Netzwerk überschneidet, funktioniert die VPN-Verbindung nicht.

Auswirkungen auf Firewall und Routing

Da das VPN-Gateway keine NAT durchführt, kommt der Datenverkehr zu lokalen Systemen von Roboter-CIDRs:

• Automation Cloud Robots VM-Pool-CIDRs
• Serverloses Roboter-CIDR

Die CIDRs müssen sowohl in lokalen Firewalls als auch in zwischengeschalteten Netzwerksicherheitsgeräten zulässig sein.

Darüber hinaus müssen umgekehrte Routen vorhanden sein, damit der Datenverkehr zu UiPath zurückkehren kann. Dies kann entweder mit statischen Routen oder mit BGP erreicht werden.

Best Practices

Empfohlenes Mindestdesign:

• VPN-Gateway-CIDR: /25 oder größer
• Separate, sich nicht überschneidende CIDRs für:
  • VPN-Gateway
  • Jeder ACR-VM-Pool
  • Serverlose Roboter
• Stellen Sie sicher, dass alle Roboter-CIDRs:
  • Durch lokale Firewalls zulässig
  • In beide Richtungen weiterleitbar

Wichtig:

Behandeln Sie das UiPath VPN-Gateway als Netzwerkerweiterung und nicht als Kanalgerät. Eine ordnungsgemäße CIDR-Planung im Vorfeld verhindert Ausfälle, Supportfälle und eine spätere erneute Bereitstellung.

Das VPN-Gateway-Workflowschema

Dieses Schema zeigt, wie die VPN-Verbindung zwischen Ihrem On-Premises-Netzwerk und den UiPath Cloud Robot-Netzwerken hergestellt wird.

Durch die Verbindung mit einem VPN-Gateway können VM-basierte Cloud-Roboter (ACR-VM-Pools) und serverlose Roboter auf eingeschränkte Ressourcen in Ihrem lokalen Netzwerk zugreifen.

Abbildung 1. Workflow-Schema des VPN-Gateways

Der Ablauf ist wie folgt:

1. Identifizieren Sie die lokalen CIDRs, die UiPath erreichen soll (Ihre internen privaten Adressbereiche). Dies sind die CIDRs, die über das VPN erreichbar sein müssen.
2. Geben Sie in Ihrem lokalen Netzwerk die IP-Bereiche der ACR-VM-Pools (6, 7) an, um deren Datenverkehr in das Netzwerk zu ermöglichen.
3. Erstellen Sie das UiPath VPN-Gateway-Netzwerk (Gateway-Subnetz-CIDR). Dieses Netzwerk hostet nur die VPN-Gateway-Ressourcen (Tunnel-Endpunkte und BGP-Peering).
   • Unterstützte Mindestanzahl: /27
   • Empfohlen: /25 oder größer
   • Private Endpunkte erfordern /25 oder größer
   • Kann nach der Erstellung nicht geändert werden
4. UiPath erstellt eine öffentliche IP für das VPN-Gateway. Ihr lokales VPN-Gerät verwendet diese öffentliche IP als Remote-Peer. BGP-Peer-Adresse und ASN sind ebenfalls verfügbar, sobald die Bereitstellung abgeschlossen ist.
5. Erstellen Sie einen Site-to-Site-Tunnel zwischen der öffentlichen IP Ihres On-Premises VPN-Geräts und der öffentlichen IP des UiPath VPN-Gateways.
6. Das Routing ist festgelegt (statisch oder BGP):
   • Statisches Routing (BGP in der Verbindung deaktiviert): Sie geben die lokalen CIDRs für die Verbindung ein; Nur diese Bereiche werden an die lokale Umgebung weitergeleitet.
   • Dynamisches Routing (BGP auf der Verbindung aktiviert): Routen werden dynamisch ausgetauscht.
7. Der Roboterdatenverkehr stammt von Roboter-CIDRs und nicht vom Gateway-CIDR:
   • Jedes ACR VM-Pool-CIDR (jeder Pool hat ein eigenes CIDR).
   • Das einzelne serverlose Roboter-CIDR (eines pro Mandant).
8. Ihre lokale Firewall (und alle zwischengeschalteten Firewalls) müssen eingehende Verbindungen von den Roboter-CIDRs zu den lokalen Ressourcen zulassen und das Return Routing zurück zu diesen Roboter-CIDRs (statische Route oder BGP) sicherstellen.
   Wichtig:

   Das VPN-Gateway führt kein NAT durch. CIDRs dürfen sich nicht überschneiden und Quell-IPs müssen in beide Richtungen weiterleitbar sein.