Configuration du VPN pour les robots du cloud

Vous pouvez créer une passerelle VPN pour un locataire afin que vos Cloud Robots VM puissent accéder à vos ressources locales qui se trouvent derrière un pare-feu.

Prérequis

Important :

L'installation de logiciels personnalisés sur votre machine virtuelle, tels que des clients VPN, peut interférer avec les services de base et rendre la machine virtuelle inutilisable. Utilisez plutôt la configuration présentée dans ce chapitre.

Pour configurer la passerelle VPN, vous devez répondre aux exigences suivantes :

• Bénéficiez des connaissances ou de l’assistance de votre administrateur réseau ou d’une personne ayant une bonne compréhension des concepts VPN et de mise en réseau.
• être administrateur d'organisation dans Automation Cloud^TM pour le secteur public.
• Avoir un rôle Orchestrator qui inclut l'autorisation Machines - Modifier (Edit).
• Chaque locataire pour lequel vous souhaitez créer une passerelle VPN doit disposer d'au moins 5 000 unités de robot.

• Informations fournies par votre administrateur réseau :

  • Une liste de plages d'adresses IP réservées situées dans la configuration de votre réseau local, en notation CIDR. Dans le cadre de la configuration, vous devez spécifier les préfixes de plage d'adresses IP que nous acheminerons vers votre emplacement sur site.

    Important :

    Les sous-réseaux de votre réseau local ne doivent pas chevaucher les sous-réseaux du réseau virtuel auxquels vous souhaitez vous connecter.

  • Utilisez des périphériques VPN compatibles et assurez-vous de disposer de la capacité et du savoir-faire pour les configurer, comme décrit dans À propos des périphériques VPN pour les connexions - Passerelle VPN Azure. Pour plus de détails sur les paramètres de connexion par défaut, lisez les Politiques par défaut pour Azure.

  • Votre appareil VPN doit utiliser des adresses IPv4 publiques externes.

  • Une clé pré-partagée (PSK) pour chaque périphérique VPN.
    Remarque :

    La clé pré-partagée doit être composée d'un maximum de 128 caractères ASCII imprimables.

    N'utilisez pas d'espace, de trait d'union - ou de tilde ~.
  • Vous devez saisir une seule plage d'adresses IP, en notation CIDR, avec un masque /25 .

Le schéma de workflow de la passerelle VPN

Ce schéma montre comment la connexion VPN est établie entre votre réseau local et les réseaux de votre Cloud Robot - VM.

La connexion à une passerelle VPN permet à vos machines virtuelles ACR d'accéder aux ressources restreintes de votre réseau local.

Le flux est le suivant :

1. Dans votre réseau local, configurez la plage de l'IP (1) pour la passerelle VPN. Cela représente la plage de l'IP de votre réseau sur site.

2. Dans votre réseau local, fournissez les plages de l'IP des pools de votre machine virtuelle ACR (6, 7) pour autoriser leur trafic sur le réseau.

3. Configurez la plage de l'IP de la passerelle VPN (4), qui représentent les ressources sous-jacentes utilisées pour héberger la passerelle VPN dans le cloud. /25 est le suffixe obligatoire de la passerelle. Cela indique à votre réseau local que la passerelle VPN peut nécessiter jusqu'à 128 adresses IP pour fonctionner.

4. Une IP publique est créée pour la passerelle (5), que votre réseau local doit cibler afin d'établir une connexion.

5. Votre réseau local se connecte à la passerelle VPN via un tunnel de site à site (3) et, à ce stade, la passerelle VPN cible l'IP publique de votre réseau local (2), et votre réseau local cible l'IP publique de la passerelle (5). Vos ressources locales sont disponibles dans la passerelle VPN et toute machine virtuelle ACR connectée peut y accéder.

6. Les pools de votre machine virtuelle ACR ont des réseaux distincts. Pour connecter un pool de votre machine virtuelle ACR à la passerelle VPN, configurez une plage de l'IP pour ce pool (6, 7).

   Important :

   Il est important que la plage d’adresses IP des pools que vous souhaitez configurer (6, 7) ne chevauche pas d’autres plages d’adresses IP dans l’ensemble de votre espace réseau (y compris votre réseau local (1) et toutes les ressources utilisées par la passerelle VPN UiPath® (4)).

Étape 1. Créer la passerelle VPN

Pour créer une passerelle VPN pour un locataire :

1. Dans Automation Cloud^TM pour le secteur public, accédez à Admin.

   Si cela n’est pas déjà fait, activez la nouvelle expérience d’administrateur à l’aide du bouton situé dans l’en-tête.

2. Dans le panneau Locataires (Tenants) sur le côté gauche, sélectionnez le locataire pour lequel vous souhaitez créer une passerelle VPN.

   La page des paramètres du locataire sélectionné s'ouvre.

3. Sélectionnez la vignette Passerelle VPN (VPN Gateway) .
4. Sélectionnez Créer une passerelle pour le locataire (Create gateway for Tenant). Le panneau Créer une passerelle (Create gateway) s'ouvre
5. Dans le champ Nom (Name), saisissez un nom pour la passerelle, tel que vous souhaitez qu'il s'affiche sur la page Passerelle VPN (VPN Gateway) du locataire.
6. Dans le champ Espace d'adressage pour la passerelle VPN vnet (Address space for VPN gateway vnet), ajoutez les adresses IP que vous avez obtenues auprès de votre administrateur réseau. Utilisez la notation CIDR, avec un masque de /25. Par exemple, 10.0.0.0/25.

   Il doit s'agir d'une plage d'adresses IP que votre administrateur réseau a réservée pour ce réseau virtuel. En outre, il ne doit pas chevaucher les plages d'adresses IP représentant le réseau local ou les plages d'adresses IP du pool de machines virtuelles (définies ultérieurement).

   Important :

   Une fois créées, les plages Vnet pour la passerelle ou pour le pool de machines virtuelles ne peuvent plus être modifiées.

7. (Facultatif) Si vous souhaitez utiliser un DNS pour cette connexion, sélectionnez Ajouter une adresse DNS (Add DNS Address) , puis :
   1. Dans le champ Adresse DNS (DNS Address), ajoutez une adresse DNS.
   2. Pour ajouter des adresses DNS supplémentaires, sélectionnez Ajouter davantage pour ajouter un autre champ, puis ajoutez l'adresse à ce champ.
      Remarque : vous pouvez ajouter des adresses DNS ultérieurement, après la création de la passerelle VPN, mais cela nécessite que vous redémarriez toutes les machines virtuelles connectées à la passerelle.
8. Sélectionnez Créer (Create) en bas du panneau pour créer la connexion de passerelle VPN.
   Remarque : si le locataire actuel ne dispose pas d'au moins 5 000 unités de robot, vous ne pouvez pas créer la passerelle.

Le panneau se ferme et le statut de la passerelle VPN est Enregistrement (Provisioning). Le déploiement de la passerelle peut prendre jusqu'à 45 minutes.

Une fois terminé, le statut Déployé (Deployed) s'affiche sur la carte de la passerelle.

Remarque : Si le statut est Échec (Failed), supprimez la passerelle et recréez-la en suivant les instructions précédentes.

Étape 2. Créer des modèles de robot cloud

Remarque : la passerelle VPN doit afficher le statut Déployé (Deployed) avant que vous puissiez effectuer cette étape.

Le réseau virtuel d'un modèle de robot cloud est créé lors de la création de chaque modèle.

Cloud robots - VM: dans Orchestrator, créez un ou plusieurs pools Cloud robot - VM , en suivant les instructions fournies dans Création du pool de Cloud Robots. Lors de la configuration, assurez-vous de sélectionner l’option Connecter la passerelle VPN ( Connect VPN Gateway ).

Pour chaque pool, vous pouvez surveiller le statut VPN depuis la page Machines > Gérer le Cloud Robot - VM (Manage Cloud Robot - VM).

Remarque :

Robot cloud existant : les pools de machines virtuelles ne peuvent pas se connecter à la passerelle VPN. Vous devez en créer de nouveaux.

En outre, pour les pools qui ont été configurés pour se connecter à la passerelle VPN du locataire, vous avez la possibilité de modifier le pool et de désactiver le bouton Activer l'intégration VPN (Enable VPN Integration) pour déconnecter le pool. Une fois déconnecté, vous ne pouvez pas reconnecter le pool à la passerelle VPN.

Étape 3. Création de la connexion de site à site

Une fois la passerelle VPN déployée, vous pouvez désormais y connecter vos réseaux locaux.

La carte de passerelle affiche l'adresse IP publique, qui est une information essentielle pour la connexion du tunnel.

Pour configurer la passerelle VPN afin qu'elle se connecte à un périphérique VPN :

1. Dans Automation Cloud^TM pour le secteur public, accédez à Admin > Locataire (Tenant) > Passerelle VPN (VPN Gateway).
2. Sur la vignette de la passerelle, sélectionnez Ajouter une connexion (Add connection).

   Le panneau Créer une connexion (Create connection) s'ouvre à droite de la page.

3. Fournissez des valeurs pour les champs suivants :

   Option	Description
   Nom de la connexion *	Donnez un nom à votre connexion.
   Clé partagée (PSK) *	Écrire une phrase ou une chaîne secrète. Vous devez vous souvenir de cette clé exacte et la fournir lorsque vous configurez la connexion sur votre appareil local.
   IP publique pour le périphérique VPN *	Indiquez l'adresse IP publique de votre périphérique VPN local. Attention : ne fournissez pas l'adresse IP publique de la passerelle VPN indiquée sur la carte. Cette adresse doit être configurée sur votre appareil local.
   Espace d'adressage pour l'appareil local *	Indiquez toutes les plages d'adresses IP privées sur votre réseau local qui doivent communiquer via cette connexion. Étant donné que la passerelle ne prend pas en charge le protocole BGP (Border Gateway Protocol), une configuration manuelle est requise. Si vous avez spécifié une adresse IP de serveur DNS pour la passerelle, assurez-vous que l'adresse se situe dans l'une des plages d'adresses IP privées que vous définissez ici.

4. Vous pouvez éventuellement définir des configurations personnalisées pour la politique IPSec/IKE. Utilisez cette section pour garantir la compatibilité avec les paramètres de sécurité spécifiques requis par votre périphérique VPN local ou pour implémenter des politiques de sécurité avancées adaptées aux besoins de votre organisation. Pour ce faire, activez la bascule Politique personnalisée IPSec/IKE (Custom IPSec/IKE policy) .
   1. Pour la phase 1 IKE, indiquez les valeurs des champs suivants :

      Chiffrement *

      Fournissez la méthode de chiffrement correspondante pour l'échange de clés sécurisé initial (Phase 1 IKE). Il doit être identique au paramètre de la passerelle UiPath (par exemple, AES-256, GCMAES).

      Valeurs possibles : GCMAES256, GCMAES128, AES256, AES192, AES128

      Intégrité *

      Fournissez le contrôle d'intégrité des données correspondant pour la communication IKE Phase 1 initiale (par exemple SHA-256, SHA-512). Cela doit correspondre à la passerelle UiPath.

      Valeurs possibles : SHA384, SHA256, SHA1, MD5

      Groupe DH *

      Fournissez le groupe Diffie-Hellman (DH) correspondant pour l'échange de clés sécurisée dans la phase 1 IKE (par exemple, Groupe 14, Groupe 19). Cela doit correspondre à la passerelle UiPath.

      Valeurs possibles : DHGroup24, ECP384, ECP256, DHGroup14, DHGroup2048, DHGroup2, DHGroup1, None

   2. Pour la phase 2 IKE (IPSec), fournissez des valeurs pour les champs suivants :

      Chiffrement IPsec *

      Fournissez la méthode de chiffrement correspondante pour le trafic de données dans le tunnel VPN (IPSec Phase 2) (par exemple, AES-256, 3DES). Cela doit correspondre à la passerelle UiPath.

      Valeurs possibles : GCMAES256, GCMAES192, GCMAES128, AES256, AES192, AES128, DES3, DES, Aucune

      Intégrité IPsec *

      Fournissez la vérification d'intégrité des données correspondante pour le trafic dans le tunnel VPN (Phase 2 IPSec 2) (par exemple, SHA-256, SHA-512). Cela doit correspondre à la passerelle UiPath.

      Valeurs possibles : GCMAES256, GCMAES192, GCMAES128, SHA256, SHA1, MD5

      Groupe PFS *

      Fournissez le groupe PFS (Perfect Forward Secrecy, PFS) correspondant pour la phase IPSec 2, si activé sur la passerelle UiPath (par exemple, Groupe 14, Groupe 19). Si un côté utilise PFS, l'autre doit le correspondre ou le désactiver.

      Valeurs possibles : PFS24, ECP384, ECP256, PFS2048, PFS2, PFS1, Aucune

      Durée de vie de l'IPSec SA en kilooctets *

      Indiquez la durée pour les connexions sécurisées actives (IKE et IPSec). Il s'agit de paramètres locaux ; une correspondance n'est pas strictement nécessaire, mais des valeurs similaires sont recommandées pour assurer la cohérence.

      Valeurs possibles : 1 024 minimum, 10 2400 000 par défaut

      Durée de vie de l'IPsec SA en secondes *

      Indiquez la durée pour les connexions sécurisées actives (IKE et IPSec). Il s'agit de paramètres locaux ; une correspondance n'est pas strictement nécessaire, mais des valeurs similaires sont recommandées pour assurer la cohérence.

      Valeurs possibles : 300 minimum, 27 000 par défaut

5. Sélectionnez Ajouter une connexion. Une fois la configuration terminée, le statut de la connexion peut prendre un certain temps pour passer à Connecté (Connected).

Le panneau se ferme et la nouvelle connexion s'affiche sur la page Connexions (Connexions). La connexion est prête à être utilisée lorsque la colonne Statut de la connexion (Connection status) affiche Connecté (Connected).

Un statut Connecté signifie que la clé pré-partagée (PSK), l'adresse IP (IP) de pair et les paramètres de politique IPSec/IKE sont configurés correctement et qu'un tunnel chiffré existe.

Les robots sans serveur et Cloud robots n'acceptent pas les connexions réseau entrantes. Une exception existe pour les Cloud Robots, qui autorisent les connexions Remote Desktop Protocol (RDP) uniquement lorsqu’elles sont explicitement activées.

Remarque : si le statut de la connexion est Échec de la connexion (Connection failed), vous devez supprimer la connexion et la recréer.

Pour ajouter d'autres connexions, sur la page Connexions (Connexions ), sélectionnez Créer une connexion (Create connection).

Remarque : vous pouvez ajouter jusqu'à 25 connexions.

Étape 4. Configuration des périphériques VPN

Votre administrateur réseau peut désormais :

1. Configurez votre appareil VPN à partir de votre réseau sur site.

   La PSK doit correspondre à celle spécifiée pour la connexion créée à l'étape 3.

2. Ajoutez les espaces d'adressage utilisés pour configurer la passerelle VPN et les réseaux virtuels pour les modèles de robot cloud à la liste verte de votre réseau.

Pour obtenir la liste des périphériques VPN pris en charge et les instructions de configuration RouteBased, consultez À propos des périphériques VPN pour les connexions - Passerelle VPN Azure dans la documentation Microsoft.

Questions fréquemment posées

Résidence des données

La passerelle VPN d'un locataire est automatiquement créée dans la même région que la région du locataire et vous ne pouvez pas modifier la région.

Basculer vers une autre région

Si une passerelle VPN existe déjà et que vous avez choisi de déplacer votre locataire vers une région différente, vous pouvez soit :

• continuer à utiliser la passerelle dans l’ancienne région ou
• supprimez la passerelle VPN existante et créez-en une nouvelle, qui est créée dans la région actuelle du locataire.

Conservation des données

Si vous désactivez un locataire qui dispose d'une passerelle VPN, vous disposez d'un délai de grâce de 60 jours avant de perdre l'accès à votre appareil VPN. Après 60 jours, votre passerelle VPN est définitivement supprimée de vos locataires.

Si vous réactivez le locataire dans les 60 jours, votre passerelle VPN n'est pas supprimée et disponible pour utilisation.

Expiration de la licence

Si vous ne disposez plus des unités de robot requises, vous disposez d'un délai de grâce de 60 jours avant de perdre l'accès à votre appareil VPN. Après 60 jours, votre passerelle VPN est définitivement supprimée de vos locataires.