Configuración de BGP para puertas de enlace VPN de UiPath

El protocolo de puerta de enlace de borde (BGP) se utiliza para intercambiar rutas de forma dinámica entre tu red local y la puerta de enlace VPN de UiPath.

BGP es el método de enrutamiento recomendado porque elimina la necesidad de una gestión manual de rutas y reduce los problemas de conectividad, pero no es obligatorio.

Cómo funciona BGP en UiPath

La compatibilidad con BGP existe en el nivel de puerta de enlace de VPN, pero el comportamiento del enrutamiento se determina por conexión. Una única puerta de enlace VPN de UiPath puede alojar una combinación de conexiones habilitadas para BGP y conexiones estáticas (no BGP). Cada conexión se comporta de forma independiente.

Por ejemplo, el sitio A puede utilizar BGP mientras que el sitio B utiliza rutas estáticas, y ambos se conectan a la misma puerta de enlace.

Propiedades BGP a nivel de puerta de enlace

La puerta de enlace expone un ASN de puerta de enlace fijo, 65515. La capacidad BGP siempre está presente en la puerta de enlace.

Tu dispositivo VPN local debe ser compatible con BGP y aceptar un par con ASN 65515.

Comportamiento del enrutamiento a nivel de conexión

Al crear o editar una conexión VPN, eliges explícitamente si esa conexión utiliza BGP. Si BGP está deshabilitado, la conexión utiliza enrutamiento estático y debes definir los CIDR locales que deben ser accesibles. Solo esos rangos se enrutarán a través del túnel.

Si BGP está habilitado, las rutas se intercambian de forma dinámica. UiPath anuncia todos los CIDR del grupo de máquinas virtuales de ACR y el CIDR del robot sin servidor del tenant, y tu dispositivo local anuncia sus CIDR locales.

Para habilitar BGP en una conexión, debes proporcionar el ASN local y la dirección del par BGP utilizada por tu dispositivo local. Si falta alguno de los valores o es incorrecto, la sesión BGP no se establecerá.

Opciones de dirección IP del par BGP

UiPath admite dos formas de definir direcciones de pares BGP.

IP de subred de puerta de enlace (predeterminada y recomendada).

De forma predeterminada, la puerta de enlace VPN selecciona una IP privada de la subred de la puerta de enlace. Esta IP se muestra en el mosaico de la puerta de enlace en el portal de administración y se utiliza como dirección del par BGP de la puerta de enlace. Configura la IP del par de la puerta de enlace en tu dispositivo local y la IP del par local en la conexión VPN. Esta es la opción más sencilla y preferida.

Direcciones APIPA BGP (avanzadas).

El direccionamiento automático de IP privada (APIPA) permite el emparejamiento BGP sin consumir direcciones IP de la subred de la puerta de enlace y debe utilizarse solo cuando lo requiera tu dispositivo VPN local. UiPath solo admite los rangos APIPA 169.254.21.0/24 y 169.254.22.0/24. Las direcciones fuera de estos intervalos no son compatibles.

Configuración de APIPA

Al utilizar APIPA, debes configurar la dirección APIPA en dos lugares: en la puerta de enlace VPN (dirección APIPA de puerta de enlace) y en la conexión VPN (la dirección APIPA del par local). Estas dos direcciones deben formar un par binario invertido. UiPath calcula la dirección del par del socio alternando los dos últimos bits de la dirección IPv4:

PartnerPeer = Address XOR 0x3

Este requisito significa que las dos IP deben estar dentro del mismo /30 y emparejarse como .1 ↔ .2 y

.0 ↔
        .3

. Ejemplos válidos:

• Puerta de enlace: 169.254.22.2 → Par de conexión: 169.254.22.1
• Puerta de enlace: 169.254.22.0 → Par de conexión: 169.254.22.3

Un emparejamiento no válido como la puerta de enlace 169.254.22.2 con el par de conexión 169.254.22.5 (no en el mismo /30) evitará que se establezca BGP. Ten en cuenta que, en esta situación, el túnel VPN puede aparecer conectado, pero no se intercambiarán rutas.

Cómo configurar APIPA correctamente:

1. Elige una dirección APIPA para la puerta de enlace VPN (ejemplo: 169.254.22.2).
2. Determinar su gemelo binario invertido (ejemplo: 169.254.22.1).
3. Configura la dirección APIPA de la puerta de enlace en la puerta de enlace VPN y la dirección del par invertida en la conexión VPN.
4. Configure la misma dirección del mismo nivel en su dispositivo VPN local.

Si se omite algún paso o no coincide, BGP fallará.

Resumen del comportamiento de enrutamiento

Tipo de conexión	Origen de la ruta	Notas
BGP habilitado	Dinámico (BGP)	Intervalos de direcciones de conexión ignorados
BGP deshabilitado	Estático	Los intervalos de direcciones definen el enrutamiento

Una única puerta de enlace VPN puede alojar ambos tipos simultáneamente.

Configuraciones erróneas comunes de BGP

Síntoma	Causa probable
VPN conectada, sin rutas	BGP deshabilitado en el dispositivo local
BGP nunca se establece	Falta de coincidencia de ASN
BGP habilitado, sin tráfico	El cortafuegos bloquea los CIDR del robot
Faltan rutas	Emparejamiento APIPA incorrecto
Tráfico unidireccional	Rutas de retorno no instaladas

Recomendaciones

• Utiliza BGP por conexión siempre que sea compatible.
• Prefiere las IP de subred de puerta de enlace sobre APIPA a menos que sea necesario.
• Vuelve a comprobar las direcciones de los pares ASN y BGP.
• Comprueba que los CIDR del robot están permitidos a través de los cortafuegos.
• Confirme la instalación de la ruta en su dispositivo local.

Conclusión clave

BGP se configura por conexión, no globalmente. APIPA requiere una configuración emparejada exacta en ambos lados. Comprender y aplicar esta regla evita la mayoría de los problemas de "VPN está activa pero el tráfico no fluye".