Configuration BGP pour les passerelles VPN UiPath

Le protocole BGP est utilisé afin d’échanger des routages dynamiquement entre votre réseau local et la passerelle VPN UiPath.

BGP est la méthode de routage recommandée car elle élimine le besoin de gestion manuelle de la route et réduit les problèmes de connectivité, mais ce n'est pas obligatoire.

Fonctionnement de BGP dans UiPath

La prise en charge de BGP existe au niveau de la passerelle VPN, mais le comportement de routage est déterminé par connexion. Une seule passerelle VPN UiPath peut héberger un mélange de connexions compatibles BGP et de connexions statiques (non-BGP). Chaque connexion fonctionne de manière indépendante.

Par exemple, le site A peut utiliser BGP, tandis que le site B utilise des routages statiques, les deux se connectant à la même passerelle.

Propriétés BGP au niveau de la passerelle

La passerelle expose une passerelle fixe ASN, 65515. La fonctionnalité BGP est toujours présente sur la passerelle.

Votre périphérique VPN local doit prendre en charge BGP et accepter un pair avec ASN 65515.

Comportement de routage au niveau de la connexion

Lors de la création ou de la modification d'une connexion VPN, vous choisissez explicitement si cette connexion utilise BGP. Si BGP est désactivé, la connexion utilise un routage statique et vous devez définir les CIDR locaux qui doivent être accessibles. Seules ces plages seront acheminées par le tunnel.

Si le protocole BGP est activé, les routages sont échangés dynamiquement. UiPath annonce tous les CIDR du pool de machines virtuelles ACR et le CIDR du robot sans serveur du locataire, et votre appareil sur site annonce ses CIDR sur site.

Pour activer BGP sur une connexion, vous devez fournir l’ASN local et l’adresse pair BGP utilisée par votre appareil local. Si l’une des valeurs est manquante ou incorrecte, la session BGP ne s’établira pas.

Options d’adresse IP de pair BGP

UiPath prend en charge deux façons de définir les adresses de pair BGP.

IP de sous-réseau de passerelle (par défaut et recommandée).

Par défaut, la passerelle VPN sélectionne une adresse IP privée dans le sous-réseau de la passerelle. Cette adresse IP est affichée sur la vignette de la passerelle dans le portail d'administration et est utilisée comme adresse de pair BGP pour la passerelle. Configurez l’adresse IP de pair sur votre appareil et l’adresse IP de pair sur la connexion VPN. Il s’agit de l’option la plus simple et la plus préférée.

Adresses BGP APIPA (avancé).

L'adresse IP privée automatique (APIPA) permet l'appairage BGP sans consommer d'adresses IP du sous-réseau de la passerelle et ne doit être utilisée que lorsque votre périphérique VPN local l'exige. UiPath ne prend en charge que les plages APIPA 169.254.21.0/24 et 169.254.22.0/24. Les adresses en dehors de ces plages ne sont pas prises en charge.

Configuration APIPA

Lorsque vous utilisez APIPA, vous devez configurer l'adresse APIPA à deux endroits : sur la passerelle VPN (adresse APIPA de la passerelle) et sur la connexion VPN (l'adresse APIPA pair locale). Ces deux adresses doivent former une paire binaire inversée. UiPath calcule l'adresse de pair du partenaire en activant les deux derniers bits de l'adresse IPv4 :

PartnerPeer = Address XOR 0x3

Cette exigence signifie que les deux adresses IP doivent se trouver dans le même /30 et s’associer en tant que .1 ↔ .2 , et

.0 ↔
        .3

. Exemples valides :

• Passerelle : 169.254.22.2 → Paire de connexion : 169.254.22.1
• Passerelle : 169.254.22.0 → Paire de connexion : 169.254.22.3

Un couplage non valide tel que la passerelle 169.254.22.2 avec le pair de connexion 169.254.22.5 empêchera l'établissement /30 BGP. Notez que dans cette situation, le tunnel VPN peut apparaître connecté, mais qu’aucun routage ne sera échangé.

Comment configurer correctement APIPA :

1. Choisissez une adresse APIPA pour la passerelle VPN (exemple : 169.254.22.2).
2. Déterminez son homologue binaire inversé (exemple : 169.254.22.1).
3. Configurez l’adresse API de la passerelle sur la passerelle VPN et l’adresse pair inversée sur la connexion VPN.
4. Configurez la même adresse pair sur votre périphérique VPN local.

Si une étape est ignorée ou ne correspond pas, le protocole BGP échouera.

Résumé du comportement de routage

Type de connexion	Source de la route	Remarques
Protocole BGP activé	Dynamique (BGP)	Plages d'adresses de connexion ignorées
Protocole BGP désactivé	Statique	Plages d'adresses - Définir le routage

Une seule passerelle VPN peut héberger les deux types simultanément.

Erreurs de configuration BGP courantes

Symptôme	Cause probable
VPN connecté, aucun routage	Protocole BGP désactivé sur l’appareil local
Le protocole BGP n’établira jamais	Incompatibilité ASN
Protocole BGP activé, aucun trafic	Pare-feu bloque les CIDR du robot
Routes manquantes	Couplage API incorrect
Trafic à sens unique	Routages de retour non installés

Recommandations

• Utilisez BGP par connexion chaque fois que cette option est prise en charge.
• Préservez les adresses IP de sous-réseau de la passerelle sur APIPA, sauf si nécessaire.
• Vérifiez les adresses des pairs ASN et BGP.
• Vérifiez que les CIDR du robot sont autorisés via les pare-feu.
• Confirmez l'installation de la route sur votre appareil sur site.

Points à retenir

Le protocole BGP est configuré par connexion, et non globalement. APIPA nécessite une configuration couplée exacte des deux côtés. Comprendre et appliquer cette règle assure la plupart des problèmes « VPN est actif mais le trafic ne circule pas ».