Cloud ロボットの VPN を構成する

注:

利用可能な機能は、使用するクラウド プラットフォームによって異なります。詳しくは、「 機能の提供状況」をご覧ください。

テナントの VPN ゲートウェイを作成すると、仮想マシン Cloud ロボットまたはサーバーレス Cloud ロボットがファイアウォールの背後にあるオンプレミスのリソースにアクセスできます。

このページでは以下の内容について説明します。

• ネットワーク レベルでの UiPath VPN ゲートウェイの動作
• CIDR 範囲、ルーティング、ファイアウォール ルール、DNS を正しく計画する方法
• サイト間 VPN 接続を設定する方法 (静的ルーティング、BGP、カスタムの IPsec または IKE ポリシーなど)

前提条件

重要:

VPN クライアントなどのカスタム ソフトウェアを仮想マシンにインストールすると、コア サービスに干渉し、仮想マシンが使用できなくなる可能性があります。代わりに、この章の設定を使用してください。

VPN ゲートウェイを設定するには、次の要件を満たす必要があります。

• Test Cloud の組織管理者である。
• マシン - 編集権限を含む Orchestrator のロールを持っている。
• 以下の必要な情報をネットワーク管理者から入手している。
  • オンプレミス ネットワーク構成内にある予約済みの IP アドレス範囲 (CIDR 表記法) のリスト。構成の一環として、オンプレミスの場所にルーティングする IP アドレス範囲のプレフィックスを指定する必要があります。
  • UiPath が VPN 経由でアクセスするプライベート CIDR (オンプレミス ネットワーク)。
  • 各 VPN デバイスの事前共有キー (PSK)。
    重要:

    オンプレミス ネットワークのサブネットが、接続先の仮想ネットワーク サブネットと重複してはならない。

  • 互換性のある VPN デバイスを使用していて、VPN デバイスを設定する能力と知識がある。詳しくは、 Azure VPN Gateway の接続用 VPN デバイスに関するこちらのページをご覧ください。既定の接続パラメーターについて詳しくは、 Azure の既定のポリシーに関するこちらのドキュメントをご覧ください。
  • VPN デバイスでは、外部に公開されるパブリック IPv4 アドレスを使用する必要がある。
  注:

  事前共有キーは、最大 128 文字の印刷可能な ASCII 文字で構成する必要があります。 スペース、ハイフン -、チルダ ~ は使用しないでください。

UiPath VPN 接続のネットワークと CIDR について

このセクションでは、UiPath VPN ゲートウェイを使用する場合にネットワークがどのように動作するかと、将来の変化に対応できる適切な設定のためには、なぜ正しい CIDR 範囲を選択することが重要であるかについて説明します。

このセクションを理解するのにネットワークに関する深い知識は必要ありませんが、VPN ゲートウェイの作成前によく読んでおくことが重要です。

メンタル モデル

UiPath Test Cloud で VPN ゲートウェイを作成すると、プライベート オンプレミス ネットワークが UiPath クラウド内に拡張されます。

これは、以下を意味します。

• オンプレミス ネットワークと UiPath Cloud ロボットのネットワークは、1 つのプライベート ルーティング ドメインの一部になります。
• Cloud ロボットは、プライベート IP アドレスを使用してオンプレミスのリソースにアクセスします。
• VPN ゲートウェイは、プロキシまたは NAT デバイスとして機能しません。
• 送信元 IP アドレスが重要であり、両方向にルーティング可能である必要があります。

このため、CIDR 範囲は慎重に計画する必要があります。また、CIDR 範囲は重複してはなりません。

CIDR とは

CIDR により、プライベート IP アドレスの範囲を定義します。

例:

• 10.10.0.0/27 → 32 個の IP アドレス
• 10.10.0.0/25 → 128 個の IP アドレス
• 10.10.0.0/24 → 256 個の IP アドレス

スラッシュの後の数字が小さいほど、ネットワークが大きくなります。

UiPath VPN の設定に関係するネットワーク

UiPath の VPN 設定では、複数の別個のネットワーク範囲が関係しており、そのそれぞれに以下のような特定の目的があります。

• VPN ゲートウェイ ネットワーク
• ACR 仮想マシンプール ネットワーク (仮想マシンベースの Cloud ロボット)
• サーバーレス ロボット ネットワーク

これらのネットワークはすべて個別で重複していない必要があります。

VPN ゲートウェイ ネットワーク (必須)

この CIDR は、VPN ゲートウェイ自体がデプロイされるサブネットを定義します。これは以下に使用されます。

• VPN トンネル エンドポイント
• BGP ピアリング (有効化されている場合)

VPN ゲートウェイ ネットワークは、ロボットやワークロードをホストしません。

サイズの要件:

• サポートされる最小サイズ: /27
• 推奨サイズ: /25 以上

例：

• 最小値: 10.10.0.0/27
• 推奨: 10.10.0.0/25
  重要:

  このネットワークは、VPN ゲートウェイの作成後に変更することはできません。

  • VPN ゲートウェイには、/27 以上のネットワーク (例: /27、/26、/25) が必要です。
  • プライベート エンドポイントは、/25 以上のネットワークでのみサポートされています。
  • /27 の CIDR を使用して VPN ゲートウェイを作成した場合、次のような動作になります。
    • CIDR 全体がゲートウェイ サブネット専用になります。
    • プライベート エンドポイントの作成は無効化されます。
    • 将来のネットワーク機能をサポートできなくなる可能性があります。

VPN ゲートウェイ ネットワークには、常に /25 以上の CIDR を使用することをお勧めします。

/27 の使用はサポートされていますが、将来の拡張が大幅に制限されるため、レガシ専用または最後の手段と考えてください。

Automation Cloud ロボット - 仮想マシン プールの CIDR (仮想マシン ベースの Cloud ロボット)

各 Automation Cloud ロボット - 仮想マシン プール (仮想マシンベースの Cloud ロボット) は、専用のプライベート ネットワーク範囲で実行されます。

• これらの CIDR は、仮想マシンベースのロボットの送信元 IP アドレスを定義します。
• オンプレミス ネットワーク宛のトラフィックは、これらの範囲から発信されます。
  注:

  • 仮想マシン プールごとに専用の一意の CIDR が必要です。
  • 以下と重複してはなりません。

  • VPN ゲートウェイの CIDR
  • サーバーレス ロボットの CIDR
  • オンプレミス ネットワークの CIDR

例：

• VPN ゲートウェイ: 10.10.0.0/25
• ACR 仮想マシン プール 1: 10.20.0.0/24
• ACR 仮想マシン プール 2: 10.21.0.0/24

オンプレミスのファイアウォールで、Automation Cloud ロボット - 仮想マシン プールの CIDR からのトラフィックを明示的に許可する必要があります。戻りルートが存在していて、応答がロボットに戻ることができる必要があります。CIDR が重複していると、ルーティング障害が発生します。これは後で修正することはできません。

サーバーレス ロボットの CIDR (単一の共有ネットワーク)

サーバーレス ロボットはテナントあたり 1 つの共有ネットワークを使用し、サーバーレス ロボットの CIDR は 1 つだけです。これは、サーバーレス ロボット テンプレートはそれぞれ 1 つしかなく、テナント内のサーバーレス ロボット テンプレートはすべて同じ VPN 設定を指しているためです。テナントのサーバーレス ロボットの実行はすべてこのネットワークを共有します。

例：

• サーバーレス ロボット: 10.30.0.0/16
  重要:

  サーバーレス ロボットの CIDR を複数作成することはできません。

サーバーレス ロボットの CIDR は複数存在できないため、以下の手順を実行します。

• 選択した CIDR は十分な大きさである必要があります。
• 以下と重複してはなりません。
  • VPN ゲートウェイの CIDR
  • Automation Cloud ロボット - 仮想マシン プールの任意の CIDR
  • オンプレミス ネットワーク

サーバーレスの CIDR がオンプレミス ネットワークと重複している場合、VPN 接続は機能しません。

ファイアウォールとルーティングへの影響

VPN ゲートウェイは NAT を実行しないため、オンプレミス システム宛のトラフィックはロボットの CIDR から発信されます。

• Automation Cloud ロボット - 仮想マシン プールの CIDR
• サーバーレス ロボットの CIDR

オンプレミスのファイアウォールと中間ネットワーク セキュリティ デバイスの両方で、これらの CIDR を許可する必要があります。

さらに、トラフィックが UiPath に戻れるように、逆ルートが存在する必要があります。これは、静的ルートまたは BGP を使用して実現できます。

ベスト プラクティス

推奨される最小設計

• VPN ゲートウェイの CIDR: /25 以上。
• 以下のための、重複しない独立した CIDR。
  • VPN ゲートウェイ
  • 各 ACR 仮想マシン プール
  • サーバーレス ロボット
• ロボットのすべての CIDR が以下の状態であることを確認します。
  • オンプレミス ファイアウォールの通過が許可されている
  • 両方向にルーティング可能である

重要:

UiPath VPN ゲートウェイは、トンネル アプライアンスではなくネットワークの延長だと考えてください。事前に CIDR を適切に計画しておくことで、後になって停止、サポート ケース、再デプロイが発生するのを防止できます。

VPN ゲートウェイのワークフロー スキーマ

このスキーマでは、オンプレミス ネットワークと UiPath Cloud ロボットのネットワーク間で VPN 接続がどのように確立されているかが示されます。

VPN ゲートウェイに接続すると、仮想マシンベースの Cloud ロボット (ACR 仮想マシン プール) とサーバーレス ロボットはオンプレミス ネットワーク内の制限されたリソースにアクセスできるようになります。

図 1.VPN ゲートウェイのワークフロー スキーマ

このフローは以下のとおりです。

1. UiPath がアクセスするオンプレミスの CIDR (内部のプライベート アドレス範囲) を特定します。これらの CIDR は VPN 経由でアクセス可能である必要があります。
2. ローカル ネットワークで、ACR - 仮想マシンプールの IP 範囲 (6、7) を指定して、ネットワークへのトラフィックを許可します。
3. UiPath VPN ゲートウェイ ネットワーク (ゲートウェイのサブネット CIDR) を作成します。このネットワークは VPN ゲートウェイのリソース (トンネル エンドポイントと BGP ピアリング) のみをホストします。
   • サポートされる最小値: /27。
   • 推奨: /25 以上。
   • プライベート エンドポイントには /25 以上が必要です。
   • 作成後に変更することはできません。
4. UiPath が VPN ゲートウェイ用のパブリック IP を作成します。オンプレミス VPN デバイスは、このパブリック IP をリモート ピアとして使用します。プロビジョニングが完了すると、BGP ピア アドレスと ASN も利用できるようになります。
5. オンプレミス VPN デバイスのパブリック IP と UiPath VPN ゲートウェイのパブリック IP との間にサイト間トンネルを作成します。
6. ルーティングが確立されます (静的または BGP)。
   • 静的ルーティング (接続で BGP が無効化) の場合: 接続にオンプレミスの CIDR を入力します。これらの範囲のみがオンプレミスにルーティングされます。
   • 動的ルーティング (BGP が有効): ルートは動的に交換されます。
7. ロボットのトラフィックは、ゲートウェイの CIDR ではなく、ロボットの CIDR から発信されます。
   • ACR 仮想マシン プールの各 CIDR (プールごとに専用の CIDR があります)。
   • サーバーレス ロボットの単一の CIDR (テナントごとに 1 つ)。
8. オンプレミスのファイアウォール (およびすべての中間ファイアウォール) では、ロボットの CIDR からオンプレミス リソースへの受信を許可し、それらのロボットの CIDR への戻りルーティング (静的ルートまたは BGP) が各自に行われるようにする必要があります。
   重要:

   VPN ゲートウェイは NAT を実行しません。CIDR は重複していない必要があります。また、送信元 IP は両方向にルーティング可能である必要があります。