Configurando VPN para Robôs de nuvem

Você pode criar um gateway VPN para um tenant de forma que seus VM Cloud Robots ou Serverless Cloud Robots possam acessar seus recursos locais que estão atrás de um firewall.

Pré-requisitos

Importante:

A instalação de software personalizado em sua VM, como clientes VPN, pode interferir com os serviços básicos e tornar a VM inutilizável. Em vez disso, use a configuração neste capítulo.

Para configurar o gateway VPN, você deve atender aos seguintes requisitos:

• Ter o conhecimento ou assistência de seu administrador de rede ou de alguém que tenha uma boa compreensão de conceitos de VPN e rede.
• Seja um administrador da organização no Automation Cloud^TM.
• Ter uma função no Orchestrator que inclua a permissão Máquinas - Editar.
• Cada tenant para o qual você quer criar um gateway VPN deve ter pelo menos 5000 Robot Units alocadas para ele.

• Informações de seu administrador de rede:

  • Uma lista de intervalos de endereços IP reservados localizados na configuração de sua rede local, em notação CIDR. Como parte da configuração você precisa especificar os prefixos do intervalo de endereços IP para os quais rotearemos sua localização local.

    Importante:

    As sub-redes de sua rede local não devem se sobrepor com as sub-redes da rede virtual à qual você quer se conectar.

  • Use dispositivos VPN compatíveis e tenha capacidade e conhecimento para configurá-los, conforme descrito em Sobre dispositivos VPN para conexões - Gateway do Azure VPN. Para obter detalhes sobre os parâmetros de conexão padrão, leia as políticas padrão para o Azure.

  • Seu dispositivo VPN deve usar endereços IPv4 públicos voltados para o exterior.

  • Uma chave pré-compartilhada (PSK) para cada dispositivo VPN.
    Observação:

    A chave pré-compartilhada deve consistir em um máximo de 128 caracteres ASCII imprimíveis.

    Não use caracteres de espaço, hífen - ou til ~.
  • Você deve inserir um único intervalo de IPs, em notação CIDR, com uma máscara de /25.

O esquema de fluxo de trabalho do gateway VPN

Esse esquema mostra como a conexão VPN é estabelecida entre sua rede local e as redes do seu Cloud Robot - VM.

Conectar-se a um gateway VPN permite que seus ACR-VMs acessem os recursos restritos em sua rede local.

O fluxo é o seguinte:

1. Em sua rede local, configure o intervalo de IP (1) para o Gateway da VPN. Isso representa o intervalo de IP de sua rede no local.

2. Em sua rede local, forneça os intervalos de IP dos pools do ACR-VM (6, 7) para permitir seu tráfego na rede.

3. Configure o intervalo de IP do gateway da VPN (4), que representa os recursos subjacentes usados para hospedar o gateway da VPN na nuvem. /25 é o sufixo obrigatório para o gateway. Isso informa à sua rede local que o gateway da VPN pode exigir até 128 endereços IP para operar.

4. Um IP público é criado para o gateway (5), o qual sua rede local deve segmentar para iniciar uma conexão.

5. Sua rede local se conecta ao gateway VPN por meio de um canal site a site (3) e, nesse momento, o gateway VPN tem como alvo o IP público de sua rede local (2), e sua rede local tem como objetivo o IP público de o gateway (5). Seus recursos no local estão disponíveis no Gateway de VPN e qualquer ACR-VM conectado pode acessá-los.

6. Os pools de ACR-VM têm redes separadas. Para conectar um pool ACR-VM ao gateway VPN, configure um intervalo de IP para esse pool (6, 7).

   Importante:

   É importante que o intervalo de IPs dos pools que você deseja configurar (6, 7) não se sobreponha a nenhum outro intervalo de IPs em todo o seu espaço de rede [incluindo sua rede local (1) e quaisquer recursos usados pelo UiPath® VPN Gateway (4)].

Etapa 1. Criar o gateway VPN

Para criar um gateway VPN para um tenant:

1. No Automation Cloud^TM, acesse Admin.

   Se ainda não estiver habilitada, habilite a nova experiência do Admin usando a alternância do cabeçalho.

2. No painel Tenants no lado esquerdo, selecione o tenant para o qual você quer criar um gateway VPN.

   A página Configurações para o tenant selecionado se abre.

3. Selecione o bloco Gateway VPN .
4. Selecione Criar gateway para tenant. O painel Criar gateway é aberto
5. No campo Nome, digite um nome para o gateway, como você gostaria que fosse exibido na página Gateway VPN do tenant.
6. No campo Address space for VPN gateway vnet, adicione os endereços IP que você obteve do seu administrador de rede. Use a notação CIDR, com uma máscara de /25. Por exemplo, 10.0.0.0/25.

   Deve ser um intervalo de endereços IP que seu administrador de rede reservou para essa rede virtual. Além disso, não deve se sobrepor com os intervalos de IPs que representam a rede local ou os intervalos de IPs para o pool de VMs (definidos posteriormente).

   Importante:

   Intervalos de Vnet para o gateway ou para o pool de VM não podem ser modificados uma vez criados.

7. (Opcional) Se você quiser usar um DNS para essa conexão, selecione Adicionar endereço DNS e, então:
   1. No campo Endereço DNS, adicione um endereço DNS.
   2. Para adicionar mais endereços DNS, selecione Adicionar mais para adicionar outro campo e, então, adicione o endereço àquele campo.
      Nota: Você pode adicionar endereços DNS posteriormente, depois que o gateway VPN for criado, mas isso requer que você reinicie todas as VMs conectadas ao gateway.
8. Selecione Criar na parte inferior do painel para criar a conexão do gateway VPN.
   Nota: Se o tenant atual não tiver pelo menos 5000 Robot Units alocadas para ele, você não poderá criar o gateway.

O painel se fecha, e o status do gateway VPN é Provisionando. A implantação do gateway pode levar até 45 minutos para ser concluída.

Quando estiver concluído, o status Implantado será exibido no cartão do gateway.

Nota: Se o status for Failed, exclua o gateway e recrie-o seguindo as instruções anteriores.

Etapa 2. Criar modelos do Cloud Robot

Nota: O gateway VPN deve mostrar o status Implantado antes que você possa executar essa etapa.

O Vnet para o modelo dos Cloud Robots é criado quando cada modelo é criado.

Cloud Robots — VM: no Orchestrator, crie um ou mais pools de Cloud Robots — VM , seguindo as instruções em Criação do pool de Cloud Robots. Durante a configuração, certifique-se de selecionar a opção Conectar o gateway de VPN .

Para cada pool, você pode monitorar o Status da VPN na página Máquinas > Gerenciar Cloud Robot - VM.

Observação:

Os pools de Cloud Robot - VMs existentes não podem se conectar ao gateway VPN. Você deve criar novos.

Além disso, para pools que foram configurados para se conectar ao gateway VPN do tenant, você tem a opção de editar o pool e desativar a alternância Habilitar integração da VPN para desconectar o pool. Após ter sido desconectado, você não poderá reconectar o pool ao gateway VPN.

Cloud Robots — Serverless: no Orchestrator, edite ou crie modelos do Cloud Robot — Serverless seguindo as instruções em Automation Cloud™ Robots — Serverless . Durante a configuração, certifique-se de definir as opções na página Configuração da VPN .

Etapa 3. Criando a conexão site a site

Com o gateway VPN implantado, agora você pode conectar suas redes locais a ele.

O cartão do gateway exibe o endereço IP público, que é uma informação essencial para a conexão do túnel.

Para configurar o gateway VPN para se conectar a um dispositivo VPN:

1. No Automation Cloud^TM, acesse Admin > Tenant > Gateway VPN.
2. No bloco para o gateway, selecione Adicionar conexão.

   O painel Criar conexão se abre à direita da página.

3. Forneça valores para os seguintes campos:

   Opção	Description
   Nome da conexão *	Forneça um nome para sua conexão.
   Chave compartilhada (PSK) *	Escreva uma frase ou string secreta. Você precisa lembrar dessa chave exata e fornecê-la quando configurar a conexão no seu dispositivo no local.
   IP público para o dispositivo de VPN *	Forneça o endereço IP público do seu dispositivo VPN no local. Importante: Não forneça o endereço IP público do gateway VPN mostrado no cartão. Esse endereço precisa ser configurado no seu dispositivo local.
   Espaço de endereço para o dispositivo no local *	Especifique todos os intervalos de endereços IP privados em sua rede local que precisam se comunicar por meio dessa conexão. Como o gateway não é compatível com o Order Gateway Protocol (BGP), a configuração manual é necessária. Se você especificou um endereço IP do servidor DNS para o gateway, certifique-se de que o endereço esteja dentro de um dos intervalos de endereços IP privados definidos aqui.

4. Opcionalmente, você pode definir configurações personalizadas para a política IPSec/IKE. Use esta seção para garantir a compatibilidade com as configurações de segurança específicas exigidas pelo seu dispositivo VPN no local ou para implementar políticas de segurança avançadas personalizadas para as necessidades da sua organização. Para fazê-lo, ative a alternância Política IPSec/IKE personalizada .
   1. Para o IKE Fase 1, forneça valores para os seguintes campos:

      Criptografia *

      Forneça o método de criptografia correspondente para a troca inicial de chaves seguras (IKE Fase 1). Deve ser idêntica à configuração do Gateway da UiPath (por exemplo, AES-256, GCMAES).

      Valores possíveis: GCMAES256, GCMAES128, AES256, AES192, AES128

      Integridade *

      Forneça a verificação de integridade de dados correspondente para a comunicação inicial de Fase 1 do IKE (por exemplo, SHA-256, SHA-512). Deve corresponder ao UiPath Gateway.

      Possíveis valores: SHA384, SHA256, SHA1, MD5

      Grupo DH *

      Forneça o grupo Diffie-Hellman (DH) correspondente para a troca de chaves segura no IKE Fase 1 (por exemplo, Grupo 14, Grupo 19). Deve corresponder ao UiPath Gateway.

      Possíveis valores: DHGroup24, ECP384, ECP256, DHGroup14, DHGroup2048, DHGroup2, DHGroup1, Nenhum

   2. Para IKE Fase 2 (IPSec), forneça valores para os seguintes campos:

      Criptografia IPsec *

      Forneça o método de criptografia correspondente para o tráfego de dados dentro do túnel VPN (IPSec Fase 2) (por exemplo, AES-256, 3DES). Deve corresponder ao UiPath Gateway.

      Valores possíveis: GCMAES256, GCMAES192, GCMAES128, AES256, AES192, AES128, DES3, DES, Nenhum

      Integridade do IPsec *

      Forneça a verificação de integridade de dados correspondente para o tráfego dentro do túnel VPN (IPSec Fase 2) (por exemplo, SHA-256, SHA-512). Deve corresponder ao UiPath Gateway.

      Valores possíveis: GCMAES256, GCMAES192, GCMAES128, SHA256, SHA1, MD5

      Grupo PFS *

      Forneça o grupo Perfect Forward Secrecy (PFS) correspondente para o IPSec Fase 2, se estiver habilitado no UiPath Gateway (por exemplo, Grupo 14, Grupo 19). Se um lado usa PFS, o outro deve corresponder ou desabilitá-lo.

      Valores possíveis: PFS24, ECP384, ECP256, PFS2048, PFS2, PFS1, Nenhum

      Tempo de vida do IPSec SA em kilobytes *

      Forneça a duração das conexões seguras ativas (IKE e IPSec). Essas são configurações locais; a correspondência não é estritamente necessária, mas valores semelhantes são recomendados para consistência.

      Valores possíveis: mínimo 1.024, padrão 10,2400,000

      Tempo de vida do IPsec SA em segundos *

      Forneça a duração das conexões seguras ativas (IKE e IPSec). Essas são configurações locais; a correspondência não é estritamente necessária, mas valores semelhantes são recomendados para consistência.

      Valores possíveis: mínimo 300, padrão 27.000

5. Selecione Adicionar conexão. Depois que a configuração for concluída, pode levar algum tempo para que o status da conexão seja atualizado para Conectado.

O painel se fecha, e a nova conexão é exibida na página Conexões. A conexão estará pronta para ser usada quando a coluna Status da conexão exibir Conectado.

Um status Conectado significa que a Chave pré-compartilhada (PSK), o endereço Public Internet Protocol (IP) e os parâmetros de Política IPSec/IKE estão configurados corretamente, e existe um túnel criptografado.

Serverless e Cloud Robots, inerentemente, não aceitam conexões de rede de entrada. Existe uma exceção para os Cloud Robots, que permitem conexões de protocolo RDP somente quando explicitamente habilitados.

Nota: Se o status da conexão for Conexão com falha, você deverá excluir a conexão e criá-la novamente.

Para adicionar mais conexões, na página Conexões , selecione Criar conexão.

Nota:Você pode adicionar até 25 conexões.

Etapa 4. Configurando dispositivos VPN

Seu administrador de rede agora pode:

1. Configure seu dispositivo VPN a partir de sua rede local.

   O PSK deve corresponder àquele especificado para a conexão criada na etapa 3.

2. Adicione os espaços dos endereços usados para configurar o gateway VPN e Vnets para modelos de Cloud Robots à lista de permissão de sua rede.

Para uma lista de dispositivos VPN compatíveis e para instruções de configuração do RouteBased, consulte Sobre dispositivos VPN para conexões - Gateway do Azure VPN na documentação da Microsoft.

Perguntas frequentes

Residência de dados

O gateway VPN para um tenant é criado automaticamente na mesma região do tenant, e você não pode alterar a região.

Mudando para uma região diferente

Se um gateway VPN já existir e você escolher mover seu tenant para uma região diferente, você poderá:

• continuar a usar o gateway na região antiga ou
• excluir o gateway VPN existente e criar um novo, que é criado na região atual do tenant.

Retenção de dados

Se você desabilitar um tenant que tenha um gateway VPN, você terá um período de cortesia de 60 dias antes de perder o acesso a seu dispositivo VPN. Após 60 dias, seu gateway VPN será excluído permanentemente de seus tenants.

Se você reabilitar o tenant dentro de 60 dias, seu gateway VPN não será excluído e estará disponível para uso.

Vencimento da licença

Se você não tiver mais as Robot Units necessárias, você terá um período de cortesia de 60 dias antes de perder o acesso a seu dispositivo VPN. Após 60 dias, seu gateway VPN será excluído permanentemente de seus tenants.

Solução de problemas de conexões VPN

Se uma conexão estiver Conectada, mas você não puder acessar os recursos, verifique:

• Configuração do espaço de endereço — Certifique-se de que os espaços de endereço definidos em ambas as extremidades estejam corretos e não sobrepostos para roteamento adequado.

• Resolução de DNS — Confirme que o gateway e os dispositivos conectados resolvem os nomes de domínio necessários. Verifique as configurações e a acessibilidade do servidor DNS.

• Regras do firewall—Revise as regras do firewall no gateway e na rede on-premises; garanta que o tráfego flua nas portas e protocolos necessários dentro de espaços de endereço definidos.