Cloud ロボットの VPN を構成する

注:

利用可能な機能は、使用するクラウド プラットフォームによって異なります。詳しくは、「 機能の提供状況」をご覧ください。

テナントの VPN ゲートウェイを作成すると、仮想マシン Cloud ロボットまたはサーバーレス Cloud ロボットがファイアウォールの背後にあるオンプレミスのリソースにアクセスできます。

このページでは以下の内容について説明します。

• ネットワーク レベルでの UiPath VPN ゲートウェイの動作
• CIDR 範囲、ルーティング、ファイアウォール ルール、DNS を正しく計画する方法
• サイト間 VPN 接続を設定する方法 (静的ルーティング、BGP、カスタムの IPsec または IKE ポリシーなど)

前提条件

重要:

VPN クライアントなどのカスタム ソフトウェアを仮想マシンにインストールすると、コア サービスに干渉し、仮想マシンが使用できなくなる可能性があります。代わりに、この章の設定を使用してください。

VPN ゲートウェイを設定するには、次の要件を満たす必要があります。

• Automation Cloud の Organization Administrator である。
• マシン - 編集権限を含む Orchestrator のロールを持っている。
• 以下の必要な情報をネットワーク管理者から入手している。
  • オンプレミス ネットワーク構成内にある予約済みの IP アドレス範囲 (CIDR 表記法) のリスト。構成の一環として、オンプレミスの場所にルーティングする IP アドレス範囲のプレフィックスを指定する必要があります。
  • UiPath が VPN 経由でアクセスするプライベート CIDR (オンプレミス ネットワーク)。
  • 各 VPN デバイスの事前共有キー (PSK)。
    重要:

    オンプレミス ネットワークのサブネットが、接続先の仮想ネットワーク サブネットと重複してはならない。

  • 互換性のある VPN デバイスを使用していて、VPN デバイスを設定する能力と知識がある。詳しくは、 Azure VPN Gateway の接続用 VPN デバイスに関するこちらのページをご覧ください。既定の接続パラメーターについて詳しくは、 Azure の既定のポリシーに関するこちらのドキュメントをご覧ください。
  • VPN デバイスでは、外部に公開されるパブリック IPv4 アドレスを使用する必要がある。
  注:

  事前共有キーは、最大 128 文字の印刷可能な ASCII 文字で構成する必要があります。 スペース、ハイフン -、チルダ ~ は使用しないでください。

UiPath VPN 接続のネットワークと CIDR について

このセクションでは、UiPath VPN ゲートウェイを使用する場合にネットワークがどのように動作するかと、将来の変化に対応できる適切な設定のためには、なぜ正しい CIDR 範囲を選択することが重要であるかについて説明します。

このセクションを理解するのにネットワークに関する深い知識は必要ありませんが、VPN ゲートウェイの作成前によく読んでおくことが重要です。

メンタル モデル

UiPath Automation Cloud 内に VPN ゲートウェイを作成すると、プライベートのオンプレミス ネットワークが UiPath クラウド内に拡張されます。

これは、以下を意味します。

• オンプレミス ネットワークと UiPath Cloud ロボットのネットワークは、1 つのプライベート ルーティング ドメインの一部になります。
• Cloud ロボットは、プライベート IP アドレスを使用してオンプレミスのリソースにアクセスします。
• VPN ゲートウェイは、プロキシまたは NAT デバイスとして機能しません。
• 送信元 IP アドレスが重要であり、両方向にルーティング可能である必要があります。

このため、CIDR 範囲は慎重に計画する必要があります。また、CIDR 範囲は重複してはなりません。

CIDR とは

CIDR により、プライベート IP アドレスの範囲を定義します。

例:

• 10.10.0.0/27 → 32 個の IP アドレス
• 10.10.0.0/25 → 128 個の IP アドレス
• 10.10.0.0/24 → 256 個の IP アドレス

スラッシュの後の数字が小さいほど、ネットワークが大きくなります。

UiPath VPN の設定に関係するネットワーク

UiPath の VPN 設定では、複数の別個のネットワーク範囲が関係しており、そのそれぞれに以下のような特定の目的があります。

• VPN ゲートウェイ ネットワーク
• ACR 仮想マシンプール ネットワーク (仮想マシンベースの Cloud ロボット)
• サーバーレス ロボット ネットワーク

これらのネットワークはすべて個別で重複していない必要があります。

VPN ゲートウェイ ネットワーク (必須)

この CIDR は、VPN ゲートウェイ自体がデプロイされるサブネットを定義します。これは以下に使用されます。

• VPN トンネル エンドポイント
• BGP ピアリング (有効化されている場合)

VPN ゲートウェイ ネットワークは、ロボットやワークロードをホストしません。

サイズの要件:

• サポートされる最小サイズ: /27
• 推奨サイズ: /25 以上

例：

• 最小値: 10.10.0.0/27
• 推奨: 10.10.0.0/25
  重要:

  このネットワークは、VPN ゲートウェイの作成後に変更することはできません。

  • VPN ゲートウェイには、/27 以上のネットワーク (例: /27、/26、/25) が必要です。
  • プライベート エンドポイントは、/25 以上のネットワークでのみサポートされています。
  • /27 の CIDR を使用して VPN ゲートウェイを作成した場合、次のような動作になります。
    • CIDR 全体がゲートウェイ サブネット専用になります。
    • プライベート エンドポイントの作成は無効化されます。
    • 将来のネットワーク機能をサポートできなくなる可能性があります。

VPN ゲートウェイ ネットワークには、常に /25 以上の CIDR を使用することをお勧めします。

/27 の使用はサポートされていますが、将来の拡張が大幅に制限されるため、レガシ専用または最後の手段と考えてください。

Automation Cloud ロボット - 仮想マシン プールの CIDR (仮想マシン ベースの Cloud ロボット)

各 Automation Cloud ロボット - 仮想マシン プール (仮想マシンベースの Cloud ロボット) は、専用のプライベート ネットワーク範囲で実行されます。

• これらの CIDR は、仮想マシンベースのロボットの送信元 IP アドレスを定義します。
• オンプレミス ネットワーク宛のトラフィックは、これらの範囲から発信されます。
  注:

  • 仮想マシン プールごとに専用の一意の CIDR が必要です。
  • 以下と重複してはなりません。

  • VPN ゲートウェイの CIDR
  • サーバーレス ロボットの CIDR
  • オンプレミス ネットワークの CIDR

例：

• VPN ゲートウェイ: 10.10.0.0/25
• ACR 仮想マシン プール 1: 10.20.0.0/24
• ACR 仮想マシン プール 2: 10.21.0.0/24

オンプレミスのファイアウォールで、Automation Cloud ロボット - 仮想マシン プールの CIDR からのトラフィックを明示的に許可する必要があります。戻りルートが存在していて、応答がロボットに戻ることができる必要があります。CIDR が重複していると、ルーティング障害が発生します。これは後で修正することはできません。

サーバーレス ロボットの CIDR (単一の共有ネットワーク)

サーバーレス ロボットはテナントあたり 1 つの共有ネットワークを使用し、サーバーレス ロボットの CIDR は 1 つだけです。これは、サーバーレス ロボット テンプレートはそれぞれ 1 つしかなく、テナント内のサーバーレス ロボット テンプレートはすべて同じ VPN 設定を指しているためです。テナントのサーバーレス ロボットの実行はすべてこのネットワークを共有します。

例：

• サーバーレス ロボット: 10.30.0.0/16
  重要:

  サーバーレス ロボットの CIDR を複数作成することはできません。

サーバーレス ロボットの CIDR は複数存在できないため、以下の手順を実行します。

• 選択した CIDR は十分な大きさである必要があります。
• 以下と重複してはなりません。
  • VPN ゲートウェイの CIDR
  • Automation Cloud ロボット - 仮想マシン プールの任意の CIDR
  • オンプレミス ネットワーク

サーバーレスの CIDR がオンプレミス ネットワークと重複している場合、VPN 接続は機能しません。

ファイアウォールとルーティングへの影響

VPN ゲートウェイは NAT を実行しないため、オンプレミス システム宛のトラフィックはロボットの CIDR から発信されます。

• Automation Cloud ロボット - 仮想マシン プールの CIDR
• サーバーレス ロボットの CIDR

オンプレミスのファイアウォールと中間ネットワーク セキュリティ デバイスの両方で、これらの CIDR を許可する必要があります。

さらに、トラフィックが UiPath に戻れるように、逆ルートが存在する必要があります。これは、静的ルートまたは BGP を使用して実現できます。

ベスト プラクティス

推奨される最小設計

• VPN ゲートウェイの CIDR: /25 以上。
• 以下のための、重複しない独立した CIDR。
  • VPN ゲートウェイ
  • 各 ACR 仮想マシン プール
  • サーバーレス ロボット
• ロボットのすべての CIDR が以下の状態であることを確認します。
  • オンプレミス ファイアウォールの通過が許可されている
  • 両方向にルーティング可能である

重要:

UiPath VPN ゲートウェイは、トンネル アプライアンスではなくネットワークの延長だと考えてください。事前に CIDR を適切に計画しておくことで、後になって停止、サポート ケース、再デプロイが発生するのを防止できます。

VPN ゲートウェイのワークフロー スキーマ

このスキーマでは、オンプレミス ネットワークと UiPath Cloud ロボットのネットワーク間で VPN 接続がどのように確立されているかが示されます。

VPN ゲートウェイに接続すると、仮想マシンベースの Cloud ロボット (ACR 仮想マシン プール) とサーバーレス ロボットはオンプレミス ネットワーク内の制限されたリソースにアクセスできるようになります。

このフローは以下のとおりです。

1. UiPath がアクセスするオンプレミスの CIDR (内部のプライベート アドレス範囲) を特定します。これらの CIDR は VPN 経由でアクセス可能である必要があります。
2. ローカル ネットワークで、ACR - 仮想マシンプールの IP 範囲 (6、7) を指定して、ネットワークへのトラフィックを許可します。
3. UiPath VPN ゲートウェイ ネットワーク (ゲートウェイのサブネット CIDR) を作成します。このネットワークは VPN ゲートウェイのリソース (トンネル エンドポイントと BGP ピアリング) のみをホストします。
   • サポートされる最小値: /27。
   • 推奨: /25 以上。
   • プライベート エンドポイントには /25 以上が必要です。
   • 作成後に変更することはできません。
4. UiPath が VPN ゲートウェイ用のパブリック IP を作成します。オンプレミス VPN デバイスは、このパブリック IP をリモート ピアとして使用します。プロビジョニングが完了すると、BGP ピア アドレスと ASN も利用できるようになります。
5. オンプレミス VPN デバイスのパブリック IP と UiPath VPN ゲートウェイのパブリック IP との間にサイト間トンネルを作成します。
6. ルーティングが確立されます (静的または BGP)。
   • 静的ルーティング (接続で BGP が無効化) の場合: 接続にオンプレミスの CIDR を入力します。これらの範囲のみがオンプレミスにルーティングされます。
   • 動的ルーティング (BGP が有効): ルートは動的に交換されます。
7. ロボットのトラフィックは、ゲートウェイの CIDR ではなく、ロボットの CIDR から発信されます。
   • ACR 仮想マシン プールの各 CIDR (プールごとに専用の CIDR があります)。
   • サーバーレス ロボットの単一の CIDR (テナントごとに 1 つ)。
8. オンプレミスのファイアウォール (およびすべての中間ファイアウォール) では、ロボットの CIDR からオンプレミス リソースへの受信を許可し、それらのロボットの CIDR への戻りルーティング (静的ルートまたは BGP) が各自に行われるようにする必要があります。
   重要:

   VPN ゲートウェイは NAT を実行しません。CIDR は重複していない必要があります。また、送信元 IP は両方向にルーティング可能である必要があります。