Cloud ロボットの VPN を構成する

テナントの VPN ゲートウェイを作成すると、仮想マシン Cloud ロボットまたはサーバーレス Cloud ロボットがファイアウォールの背後にあるオンプレミスのリソースにアクセスできます。

前提条件

重要:

VPN クライアントなどのカスタム ソフトウェアを仮想マシンにインストールすると、コア サービスに干渉し、仮想マシンが使用できなくなる可能性があります。代わりに、この章の設定を使用してください。

VPN ゲートウェイを設定するには、次の要件を満たす必要があります。

• ネットワーク管理者、または VPN とネットワークの概念を十分に理解している人物から知識またはサポートを提供してもらえる。
• Automation Cloud^TM の組織管理者である。
• マシン - 編集権限を含む Orchestrator のロールを持っている。
• VPN ゲートウェイを作成するテナントにはそれぞれ少なくとも 5,000 個のロボット ユニットが割り当てられている必要がある。

• ネットワーク管理者からの情報:

  • オンプレミス ネットワーク構成内にある予約済みの IP アドレス範囲 (CIDR 表記法) のリスト。構成の一環として、オンプレミスの場所にルーティングする IP アドレス範囲のプレフィックスを指定する必要があります。

    重要:

    オンプレミス ネットワークのサブネットが、接続先の仮想ネットワーク サブネットと重複してはならない。

  • 互換性のある VPN デバイスを使用していて、VPN デバイスを設定する能力と知識がある。詳しくは、Azure VPN Gateway の接続用 VPN デバイスに関するこちらのページをご覧ください。既定の接続パラメーターについて詳しくは、Azure の既定のポリシーに関するこちらのドキュメントをご覧ください。

  • VPN デバイスでは、外部に公開されるパブリック IPv4 アドレスを使用する必要がある。

  • 各 VPN デバイスの事前共有キー (PSK)。
    注:

    事前共有キーは、最大 128 文字の印刷可能な ASCII 文字で構成する必要があります。

    スペース、ハイフン -、チルダ ~ は使用しないでください。
  • CIDR 表記法で /25 のマスクを使用して 1 つの IP 範囲を入力する必要があります。

VPN ゲートウェイのワークフロー スキーマ

このスキーマでは、ローカル ネットワークと Cloud ロボット - 仮想マシンのネットワーク間で VPN 接続がどのように確立されているかが示されます。

VPN ゲートウェイに接続すると、ACR - 仮想マシンはローカル ネットワーク上の制限されたリソースにアクセスできるようになります。

図 1. VPN ゲートウェイのワークフロー スキーマ

このフローは以下のとおりです。

1. ローカル ネットワークで、VPN ゲートウェイの IP 範囲 (1) を設定します。これは、オンプレミス ネットワークの IP 範囲を表します。

2. ローカル ネットワークで、ACR - 仮想マシンプールの IP 範囲 (6、7) を指定して、ネットワークへのトラフィックを許可します。

3. VPN ゲートウェイの IP 範囲 (4) を設定します。これは、クラウドで VPN ゲートウェイをホストするために使用される、基になるリソースを表します。/25 は、ゲートウェイの必須のサフィックスです。これにより、VPN ゲートウェイの運用には最大 128 個の IP アドレスが求められる可能性があることをローカル ネットワークに通知します。

4. ゲートウェイに対してパブリック IP (5) が作成されます。ローカル ネットワークはこの IP をターゲットにして接続を開始する必要があります。

5. ローカル ネットワークはサイト間トンネル (3) を介して VPN ゲートウェイに接続します。この時点で VPN ゲートウェイはローカル ネットワークのパブリック IP (2) をターゲットにし、ローカル ネットワークはゲートウェイのパブリック IP (5) をターゲットにします。オンプレミスのリソースは VPN ゲートウェイで利用可能となり、接続されているすべての ACR - 仮想マシンがそれらにアクセスできます。

6. ACR - 仮想マシンプールには独立したネットワークがあります。ACR - 仮想マシンプールを VPN ゲートウェイに接続するには、そのプールの IP 範囲 (6、7) を設定します。

   重要:

   構成するプールの IP 範囲 (6、7) が、ネットワーク スペース全体の他の IP 範囲 (ローカル ネットワーク (1) や UiPath® VPN ゲートウェイ (4) で使用されるすべてのリソースを含む) と重複しないことが重要です。

手順 1. VPN ゲートウェイを作成する

テナントの VPN ゲートウェイを作成するには、以下の手順を実行します。

1. Automation Cloud^TM で [管理] に移動します。

   新しい管理エクスペリエンスがまだ有効化されていない場合は、ヘッダーのトグルを使用して有効化します。

2. 左側の [ テナント ] パネルから、VPN ゲートウェイを作成するテナントを選択します。

   選択したテナントの設定ページが開きます。

3. [VPN ゲートウェイ] タイルを選択します。
4. [ テナントのゲートウェイを作成] を選択します。[ゲートウェイを作成] パネルが開きます
5. [名前] フィールドに、テナントの [VPN ゲートウェイ] ページに表示するゲートウェイの名前を入力します。
6. [VPN Gateway vnet のアドレス空間] フィールドに、ネットワーク管理者から入手した IP アドレスを追加します。/25 のマスクで、CIDR 表記法を使用してください。たとえば、10.0.0.0/25 です。

   これは、ネットワーク管理者がこの仮想ネットワーク用に予約した IP アドレス範囲である必要があります。また、オンプレミス ネットワークを表す IP 範囲や、仮想マシン プールの IP 範囲 (後で定義) を表す IP 範囲と重複してはなりません。

   重要:

   • ゲートウェイまたは仮想マシン プールの Vnet 範囲は、一度作成すると変更できません。
   • VPN ゲートウェイ ネットワーク (/25 など) に CIDR ブロックを割り当てても、VPN が有効化されたマシン プールまたはサーバーレス マシン テンプレートからのトラフィックは、この CIDR からは発生しません。

     送信トラフィックに使用される実際の送信元 IP アドレスは、個々のマシン プールまたはサーバーレス テンプレートに割り当てられた CIDR の IP アドレスです。

     VPN ゲートウェイ ネットワークの CIDR からのトラフィックではなく、マシン プールまたはサーバーレス テンプレートの CIDR からのトラフィックを許可するようにしてください。

7. (任意) この接続に DNS を使用する場合は、[DNS アドレスを追加] を選択してから、以下を行います。
   1. [DNS アドレス] フィールドに DNS アドレスを追加します。
   2. DNS アドレスを追加するには、[さらに追加] を選択してフィールドをもう 1 つ追加し、そのフィールドにアドレスを追加します。
      注: VPN ゲートウェイを作成した後に DNS アドレスを追加することはできますが、ゲートウェイに接続されているすべての仮想マシンを再起動する必要があります。
8. パネル下部の [作成] を選択して VPN ゲートウェイ接続を作成します。
   注: 現在のテナントに 5,000 台以上のロボット ユニットが割り当てられていない場合、ゲートウェイを作成できません。

パネルが閉じ、VPN ゲートウェイのステータスが [プロビジョニング中] になります。ゲートウェイのデプロイには、完了まで最大 45 分かかる場合があります。

完了すると、[デプロイ済み] のステータスがゲートウェイのカードに表示されます。

注: ステータスが [失敗] の場合は、ゲートウェイを削除し、前述の手順に従って再作成します。

手順 2. Cloud ロボット テンプレートを作成する

注: この手順を実行する前に、VPN ゲートウェイに [デプロイ済み] のステータスが表示されている必要があります。

Cloud ロボット テンプレートの Vnet は、各テンプレートの作成時に作成されます。

Cloud ロボット - 仮想マシン: Orchestrator で、「Cloud ロボット プールを作成する」の手順に従って Cloud ロボット - 仮想マシン プールを 1 つ以上作成します。設定時に、必ず [VPN ゲートウェイを接続] オプションを選択してください。

各プールについて、[マシン] > [Cloud ロボット - 仮想マシンを管理] ページから VPN ステータスを監視できます。

注:

既存の Cloud ロボット - 仮想マシン プールは、この VPN ゲートウェイに接続できません。新しいプールを作成する必要があります。

さらに、テナントの VPN ゲートウェイに接続するよう設定されたプールでは、プールを編集して、[VPN ゲートウェイを有効化] トグルをオフにしてプールを切断することができます。切断したプールを VPN ゲートウェイに再接続することはできません。

Cloud ロボット - サーバーレス: Orchestrator で、「Automation Cloud™ ロボット - サーバーレス」の手順に従って Cloud ロボット - サーバーレス テンプレートを編集または作成します。設定時に、必ず [VPN の設定] ページのオプションを設定してください。

手順 3. サイト間接続を作成する

VPN ゲートウェイをデプロイしたら、オンプレミス ネットワークをゲートウェイに接続できます。

ゲートウェイ カードには、トンネル接続に不可欠な情報であるパブリック IP アドレスが表示されます。

VPN ゲートウェイを設定して VPN デバイスに接続するには、以下の手順を実行します。

1. Automation Cloud^TM で、[管理] > テナント > [VPN ゲートウェイ] に移動します。
2. ゲートウェイのタイルで、[接続を追加] を選択します。

   ページの右側に [接続を作成] パネルが開きます。

3. 次のフィールドに値を指定します。

   オプション	説明
   コネクション名 *	コネクションの名前を入力します。
   共有キー (PSK) *	秘密のフレーズまたは文字列を書き込みます。この正確なキーを覚えておき、オンプレミス デバイスで接続を設定するときに指定する必要があります。
   VPN デバイスのパブリック IP *	オンプレミスの VPN デバイスのパブリック IP アドレスを指定します。大事な： カードに表示されている VPN ゲートウェイのパブリック IP アドレスは指定しないでください。このアドレスは、オンプレミスのデバイスで構成する必要があります。
   オンプレミス デバイスのアドレス空間 *	この接続を介して通信する必要があるオンプレミス・ネットワーク上のすべてのプライベートIPアドレス範囲を指定します。ゲートウェイはボーダー ゲートウェイ プロトコル (BGP) をサポートしていないため、手動で設定する必要があります。ゲートウェイの DNS サーバの IP アドレスを指定した場合は、そのアドレスがここで定義するプライベート IP アドレス範囲の 1 つに収まるようにします。

4. オプションで、IPSec/IKE ポリシーのカスタム設定を定義できます。このセクションは、オンプレミスの VPN デバイスに必要な特定のセキュリティ設定との互換性を確保したり、組織のニーズに合わせた高度なセキュリティ ポリシーを実装したりする場合に使用します。これを行うには、[ カスタム IPSec/IKE ポリシー ] トグルをオンにします。
   注: IKEv2 のみがサポートされています。
   1. IKE フェーズ 1 では、次のフィールドに値を指定します。

      暗号化*

      最初のセキュア キー交換 (IKE フェーズ 1) に一致する暗号化方式を指定します。これは、UiPath ゲートウェイの設定 (AES-256、GCMAES など) と同じである必要があります。

      設定可能な値: GCMAES256、GCMAES128、AES256、AES192、AES128

      整合性*

      最初の IKE フェーズ 1 通信 (SHA-256、SHA-512 など) の照合データ整合性チェックを提供します。これは、UiPath ゲートウェイと一致する必要があります。

      設定可能な値: SHA384、SHA256、SHA1、MD5

      DHグループ *

      IKE フェーズ 1 のセキュア キー交換に一致する Diffie-Hellman(DH)グループ(グループ 14、グループ 19 など)を指定します。これは、UiPath ゲートウェイと一致する必要があります。

      可能な値: DHGroup24、ECP384、ECP256、DHGroup14、DHGroup2048、DHGroup2、DHGroup1、None

   2. IKE フェーズ 2 (IPSec) の場合は、次のフィールドに値を指定します。

      IPsec 暗号化 *

      VPN トンネル(IPSec フェーズ 2)内のデータ トラフィックに一致する暗号化方式を指定します(AES-256、3DES など)。これは、UiPath ゲートウェイと一致する必要があります。

      設定可能な値: GCMAES256、GCMAES192、GCMAES128、AES256、AES192、AES128、DES3、DES、None

      IPsec の整合性 *

      VPN トンネル(IPSec フェーズ 2)内のトラフィック(SHA-256、SHA-512 など)に一致するデータ整合性チェックを提供します。これは、UiPath ゲートウェイと一致する必要があります。

      設定可能な値: GCMAES256、GCMAES192、GCMAES128、SHA256、SHA1、MD5

      PFSグループ *

      UiPath ゲートウェイで IPSec フェーズ 2 が有効化されている場合は、対応する Perfect Forward Secrecy (PFS) グループを指定します (例: グループ 14、グループ 19)。一方の側で PFS が使用されている場合は、もう一方の側で PFS を一致させるか、無効にする必要があります。

      可能な値: PFS24、ECP384、ECP256、PFS2048、PFS2、PFS1、なし

      IPSec SA の有効期間 (キロバイト単位) *

      アクティブなセキュリティで保護された接続 (IKE および IPSec) の期間を指定します。これらはローカル設定です。一致は厳密には必須ではありませんが、一貫性を保つために類似した値を推奨します。

      設定可能な値: 最小値 1,024、既定値 10,2400,000

      IPsec SA ライフタイム (秒単位)*

      アクティブなセキュリティで保護された接続 (IKE および IPSec) の期間を指定します。これらはローカル設定です。一致は厳密には必須ではありませんが、一貫性を保つために類似した値を推奨します。

      設定可能な値: 最小 300、既定値 27,000

5. [ コネクションを追加] を選択します。設定が完了した後、接続ステータスが [接続済み] に更新されるまで時間がかかる場合があります。

パネルが閉じ、新しい接続が [接続] ページに表示されます。 [接続ステータス] 列に [接続済み] と表示されている場合、接続を使用できます。

[接続済み(Connected)] ステータスは、事前共有キー(PSK)、ピアのパブリック インターネット プロトコル(IP)アドレス、および IPSec/IKE ポリシー パラメータが正しく設定され、暗号化されたトンネルが存在することを意味します。

サーバーレス ロボットと Cloud ロボットは、本質的に着信ネットワーク接続を受け入れません。Cloud ロボットには例外があり、明示的に有効化された場合にのみリモート デスクトップ プロトコル (RDP) 接続が許可されます。

手記： 接続ステータスが [接続失敗] の場合は、接続を削除して再度作成する必要があります。

さらにコネクションを追加するには、[ コネクション] ページで [ コネクションを作成] を選択します。

注: 最大で 25 個の接続を追加できます。

手順 4. VPN デバイスを設定する

これでネットワーク管理者が以下の操作を行えるようになります。

1. オンプレミス ネットワークから VPN デバイスを設定します。

   PSK は、手順 3 で作成した接続に指定した値と一致する必要があります。

2. Cloud ロボット テンプレートの VPN ゲートウェイと Vnet を設定するために使用したアドレス空間をネットワークの許可リストに追加します。

サポートされている VPN デバイスのリストとルートベースの設定手順については、Azure VPN Gateway の接続用 VPN デバイスに関する Microsoft ドキュメントのページをご覧ください。

よくある質問

データ所在地

テナントの VPN ゲートウェイは自動的にテナントのリージョンと同じリージョンに作成され、リージョンを変更することはできません。

別のリージョンに切り替える

VPN ゲートウェイが既に存在している場合に、テナントを別のリージョンに移動するときは、次のいずれかを実行できます。

• ゲートウェイを古いリージョンで使用し続ける。
• 既存の VPN ゲートウェイを削除し、新しい VPN ゲートウェイを作成する。これはテナントの現在のリージョンに作成されます。

データ保持

VPN ゲートウェイが設定されているテナントを無効化した場合、VPN デバイスへのアクセスが失われるまでに 60 日間の猶予期間が与えられます。60 日を過ぎると、VPN ゲートウェイはテナントから完全に削除されます。

60 日以内にテナントを再度有効化すれば、VPN ゲートウェイは削除されずに利用できます。

ライセンスの有効期限

必要なロボット ユニットがなくなった場合、VPN デバイスへのアクセスが失われるまでに 60 日間の猶予期間が与えられます。60 日を過ぎると、VPN ゲートウェイはテナントから完全に削除されます。

VPN 接続をトラブルシューティングする

接続が「接続済み」であるのにリソースにアクセスできない場合は、以下を確認してください。

• アドレス空間の設定: 両端で定義されたアドレス空間が正しく、重複しておらず、適切にルーティングできることを確認します。

• DNS 解決: ゲートウェイおよび接続されているデバイスで、必要なドメイン名が解決されることを確認します。DNS サーバーの構成と、DNS サーバーがアクセス可能であることを確認します。

• ファイアウォール ルール: ゲートウェイとオンプレミス ネットワークの両方のファイアウォール ルールを確認します。また、定義されたアドレス空間内で、必要なポートおよびプロトコル上でのトラフィック フローを確認します。