Configurando VPN para Robôs de nuvem

Você pode criar um gateway VPN para um tenant de forma que seus VM Cloud Robots ou Serverless Cloud Robots possam acessar seus recursos locais que estão atrás de um firewall.

Esta página descreve:

• Como o gateway VPN da UiPath funciona em um nível de rede.
• Como planejar intervalos de CIDR, roteamento, regras de firewall e DNS corretamente.
• Como configurar conexões VPN site a site, incluindo roteamento estático, BGP e políticas personalizadas de IPsec ou IKE.

Pré-requisitos

Importante:

A instalação de software personalizado em sua VM, como clientes VPN, pode interferir com os serviços básicos e tornar a VM inutilizável. Em vez disso, use a configuração neste capítulo.

Para configurar o gateway VPN, você deve atender aos seguintes requisitos:

• Ser um administrador da organização.
• Ter uma função no Orchestrator que inclua a permissão Máquinas - Editar.
• Informações exigidas do seu administrador de rede:
  • Uma lista de intervalos de endereços IP reservados localizados na configuração de sua rede local, em notação CIDR. Como parte da configuração você precisa especificar os prefixos do intervalo de endereços IP para os quais rotearemos sua localização local.
  • Os CIDRs privados que você deseja que a UiPath alcance pela VPN ( suas redes locais ).
  • Uma chave pré-compartilhada (PSK) para cada dispositivo VPN.
    Importante:

    As sub-redes de sua rede local não devem se sobrepor com as sub-redes da rede virtual à qual você quer se conectar.

  • Use dispositivos VPN compatíveis e tenha capacidade e conhecimento para configurá-los, conforme descrito em Sobre dispositivos VPN para conexões - Gateway do Azure VPN. Para obter detalhes sobre os parâmetros de conexão padrão, leia as Políticas padrão para o Azure.
  • Seu dispositivo VPN deve usar endereços IPv4 públicos voltados para o exterior.
  • Observação:

    A chave pré-compartilhada deve consistir em um máximo de 128 caracteres ASCII imprimíveis. Não use caracteres de espaço, hífen - ou til ~.

O esquema de fluxo de trabalho do gateway VPN

Esse esquema mostra como a conexão VPN é estabelecida entre sua rede local e as redes do UiPath Cloud Robots.

Conectar-se a um gateway VPN permite que robôs de nuvem baseados em VM (pools de VM ACR) e robôs sem servidor acessem recursos restritos em sua rede local.

Figura 1. Esquema de fluxo de trabalho do gateway VPN

O fluxo é o seguinte:

1. Identifique os CIDRs no local que você deseja que o UiPath alcance (seus intervalos de endereços privados internos). Esses são os CIDRs que devem ser acessíveis por meio da VPN.
2. Em sua rede local, forneça os intervalos de IP dos pools do ACR-VM (6, 7) para permitir seu tráfego na rede.
3. Crie a rede do gateway VPN da UiPath (CIDR da sub-rede do gateway). Essa rede hospeda apenas os recursos do gateway da VPN ( Dos pontos de extremidade do Túnel e emparelhamento de BGP).
   • Mínimo compatível: /27
   • Recomendado: /25 ou maior
   • Pontos de extremidade privados exigem /25 ou maior
   • Não pode ser alterado após a criação
4. A UiPath cria um IP público para o Gateway da VPN. Seu dispositivo VPN no local usa esse IP público como o par remoto. O endereço de par de BGP e o ASN também estarão disponíveis quando o provisionamento for concluído.
5. Crie um túnel site a site entre o IP público do seu dispositivo VPN no local e o IP público do gateway VPN da UiPath.
6. O roteamento é estabelecido (estático ou BGP):
   • Roteamento estático (BGP desabilitado na conexão): você insere os CIDRs locais na conexão; apenas esses intervalos são roteados para o on-premises.
   • Roteamento dinâmico (BGP habilitado na conexão): as rotas são trocadas dinamicamente.
7. O tráfego do robô é originado de CIDRs do robô, não do CIDR do gateway:
   • Cada CIDR do pool de VM do ACR ( cada pool tem seu próprio CIDR ).
   • O único CIDR de Serverless Robot (um por tenant).
8. Seu firewall local (e quaisquer firewalls intermediários) deve permitir a entrada dos CIDRs do robô para os recursos no local e garantir o roteamento de retorno de volta para esses CIDRs do robô (rotas estáticas ou BGP).
   Importante:

   O Gateway da VPN não executa NAT. Os CIDRs não devem ser sobrepostos e os IPs de origem devem ser roteáveis em ambos os sentido.

Etapa 1. Criar o gateway VPN

Para criar um gateway VPN para um tenant:

1. Acesse Admin.

Se ainda não estiver habilitada, habilite a nova experiência do Admin usando a alternância do cabeçalho.

2. No painel Tenants no lado esquerdo, selecione o tenant para o qual você deseja criar um gateway VPN.

A página Configurações para o tenant selecionado se abre.

3. Selecione o bloco Gateway VPN .
4. Selecione Criar gateway para tenant. O painel Criar gateway se abre
5. No campo Nome, digite um nome para o gateway, como você gostaria que fosse exibido na página Gateway VPN do tenant.
6. No campo Espaço do endereço para vnet gateway VPN, adicione os endereços IP que você obteve de seu administrador de rede.
   • Usar notação CIDR
   • Mínimo compatível: /27
   • Recomendado: /25 ou maior (os pontos de extremidade privados exigem /25 ou maior)
   • Não pode ser modificado após a criação

Importante:

• Intervalos de Vnet para o gateway ou para o pool de VM não podem ser modificados uma vez criados.
• Mesmo se você atribuir um bloco CIDR à rede de gateway VPN (por exemplo, /25), o tráfego de pools de máquinas ou modelos de máquina serverless com VPN habilitada não será originado desse CIDR. Os endereços IP de origem reais usados para o tráfego de saída são os dos CIDRs atribuídos ao pool de máquinas individual ou modelo serverless. Certifique-se de permitir o tráfego dos CIDRs de seus pools de máquinas ou modelos serverless, não do CIDR da rede de gateway VPN.

7. (Opcional) Se você quiser usar um DNS para essa conexão, selecione Adicionar endereço DNS e, então:
   1. No campo Endereço DNS, adicione um endereço DNS.
   2. Para adicionar mais endereços DNS, selecione Adicionar mais para adicionar outro campo e, então, adicione o endereço àquele campo.
      Observação:

      Você pode adicionar endereços DNS posteriormente, depois que o gateway VPN for criado, mas isso requer que você reinicie todas as VMs conectadas ao gateway.

8. Selecione Criar na parte inferior do painel para criar a conexão do gateway VPN.

O painel se fecha, e o status do gateway VPN é Provisionando.

Quando estiver concluído, o status Implantado será exibido no cartão do gateway.

Observação:

Se o status for Com falha, exclua o gateway e recrie-o seguindo as instruções anteriores.

Etapa 2. Criar modelos do Cloud Robot

Observação:

O gateway VPN deve mostrar o status Implantado antes que você possa executar essa etapa.

O Vnet para o modelo dos Cloud Robots é criado quando cada modelo é criado.

Cloud robots - VM

No Orchestrator, crie um ou mais pools de Cloud robot - VM, seguindo as instruções em Criação do pool de Cloud robots . Durante a configuração, certifique-se de Selecionar a opção Conectar o gateway VPN.

Para cada pool, você pode monitorar o Status da VPN na página Máquinas > Gerenciar Cloud Robot - VM.

Observação:

Os pools de Cloud Robot - VMs existentes não podem se conectar ao gateway VPN. Você deve criar novos. Além disso, para pools que foram configurados para se conectar ao gateway VPN do tenant, você tem a opção de editar o pool e desativar a alternância Habilitar integração da VPN para desconectar o pool. Após ter sido desconectado, você não poderá reconectar o pool ao gateway VPN.

Cloud Robots - Serverless

No Orchestrator, edite ou crie modelos de Cloud robot - Serverless seguindo as instruções em Automation Cloud™ Robots - Serverless . Durante a configuração, certifique-se de definir as opções na página Configuração de rede .

Etapa 3. Criando a conexão site a site

Com o gateway VPN implantado, agora você pode conectar suas redes locais a ele.

O cartão do gateway exibe o endereço IP público, que é uma informação essencial para a configuração do túnel.

Para configurar o gateway VPN para se conectar a um dispositivo VPN:

1. Em sua organização, acesse Admin > Tenant > Gateway VPN.
2. No bloco para o gateway, selecione Adicionar conexão.

O painel Criar conexão abre-se.

3. Forneça valores para os seguintes campos:

   Opção	Description
   Nome da Conexão	Forneça um nome para sua conexão.
   Chave compartilhada (PSK)	Escreva uma frase ou string secreta. Você precisa lembrar dessa chave exata e fornecê-la quando configurar a conexão no seu dispositivo no local.
   IP público para o dispositivo de VPN	Forneça o endereço IP público do seu dispositivo VPN no local. Importante: não forneça o endereço IP público do gateway VPN mostrado no cartão. Esse IP público do gateway deve ser configurado no seu dispositivo no local como o par remoto.

4. Escolha o tipo de roteamento para essa conexão entre Roteamento estático (BGP desabilitado) ou Roteamento dinâmico (BGP habilitado). Um único gateway VPN UiPath pode hospedar uma mistura de conexões BGP e não BGP.

   1. Roteamento estático (BGP desabilitado)

Se o BGP estiver desabilitado na conexão, você deve configurar para quais CIDRs locais a UiPath deve rotear.

Espaço de endereço para o dispositivo no local: especifique todos os CIDRs privados em sua rede no local que devem ser acessíveis por meio dessa conexão. Apenas esses intervalos são roteados para seu On-Prem por meio desse túnel.

Observação:

Se você configurou endereços IP de servidores DNS no gateway, certifique-se de que esses IPs de DNS estejam em um dos CIDRs locais definidos aqui (para que o gateway possa alcançá-los por meio do túnel).

2. Roteamento dinâmico (BGP habilitado)

Se o BGP estiver habilitado na conexão:

• As rotas são trocadas dinamicamente.
• UiPath anuncia:
  • Todos os CIDRs do pool de VMs ACR
  • O CIDR do robô sem servidor
• Seu dispositivo local anuncia seus CIDRs locais.

Forneça valores para os seguintes campos:

• ASN no local: o ASN usado pelo seu dispositivo VPN no local.
• Endereço de par de BGP: o endereço IP usado por seu dispositivo no local para o emparelhamento de BGP.

Se um valor estiver ausente ou incorreto, o BGP não será estabelecido.

5. Opcionalmente, você pode definir configurações personalizadas para a política IPSec/IKE. Use esta seção para garantir a compatibilidade com as configurações de segurança específicas exigidas pelo seu dispositivo VPN no local ou para implementar políticas de segurança avançadas personalizadas para as necessidades de sua organização. Para fazer isso, ative a alternância Política IPSec personalizada/IKE .

Observação:

Apenas o IKEv2 é compatível.

1. Para o IKE Fase 1, forneça valores para os seguintes campos:

Criptografia * : forneça o método de criptografia correspondente para a troca inicial de chave segura (IKE Fase 1). Isso deve ser idêntico à configuração do UiPath Gateway (por exemplo, AES-256, GCMAES).

Valores possíveis: GCMAES256, GCMAES128, AES256, AES192, AES128

Integridade * : forneça a verificação de integridade de dados correspondente para a comunicação inicial do IKE Fase 1 (por exemplo, SHA-256, SHA-512). Isso deve corresponder ao gateway da UiPath.

Possíveis valores: SHA384, SHA256, SHA1, MD5

Grupo edit Isso deve corresponder ao gateway da UiPath.

Possíveis valores: DHGroup24, ECP384, ECP256, DHGroup14, DHGroup2048, DHGroup2, DHGroup1, Nenhum

2. Para o IKE Fase 2 (IPSec), forneça valores para os seguintes campos:

Criptografia IPsec * : forneça o método de criptografia correspondente para o tráfego de dados dentro do túnel VPN (IPsec Fase 2) (por exemplo, AES-256, 3DES). Isso deve corresponder ao gateway da UiPath.

Valores possíveis: GCMAES256, GCMAES192, GCMAES128, AES256, AES192, AES128, DES3, DES, Nenhum

Integridade do IPsec * : forneça a verificação de integridade de dados correspondente para o tráfego dentro do túnel VPN (IPSec Fase 2) (por exemplo, SHA-256, SHA-512). Isso deve corresponder ao gateway da UiPath.

Valores possíveis: GCMAES256, GCMAES192, GCMAES128, SHA256, SHA1, MD5

Grupo do PFS * : forneça o grupo de Segredo de Forward perfeito (PFS) correspondente para o IPSec Fase 2, se estiver habilitado no UiPath Gateway (por exemplo, Grupo 14, Grupo 19). Se um lado usa PFS, o outro deve corresponder ou desabilitá-lo.

Valores possíveis: PFS24, ECP384, ECP256, PFS2048, PFS2, PFS1, Nenhum

Tempo de vida do IPSec SA em kilobytes * : forneça a duração para conexões seguras ativas (IKE e IPSec). Essas são configurações locais; a correspondência não é estritamente necessária, mas valores semelhantes são recomendados para consistência.

Valores possíveis: mínimo 1.024, padrão 10,2400,000

Tempo de vida do IPsec SA em segundos * : forneça a duração para conexões seguras ativas (IKE e IPSec). Essas são configurações locais; a correspondência não é estritamente necessária, mas valores semelhantes são recomendados para consistência.

Valores possíveis: mínimo 300, padrão 27.000

6. Selecione Adicionar conexão. Após a configuração ser concluída, pode levar algum tempo para que o status da conexão seja atualizado para Conectado.

O painel se fecha, e a nova conexão é exibida na página Conexões. A conexão estará pronta para ser usada quando a coluna Status da conexão exibir Conectado.

Um status Conectado significa que a Chave pré-compartilhada (PSK), o endereço de Protocolo de Internet Pública (IP) par e os parâmetros de Política IPSec/IKE estão configurados corretamente, e há um túnel criptografado.

Observação:

Se o status da conexão for Falha na conexão, você deverá excluir a conexão e criá-la novamente.

Para adicionar mais conexões, na página Conexões , selecione Criar conexão.

Observação:

Você pode adicionar até 25 conexões.

Etapa 4. Configurando dispositivos VPN

Seu administrador de rede agora pode:

1. Configure seu dispositivo VPN a partir de sua rede local.

O PSK deve corresponder àquele especificado para a conexão criada na etapa 3.

2. Adicione os espaços dos endereços usados para configurar o gateway VPN e Vnets para modelos de Cloud Robots à lista de permissão de sua rede.

Para uma lista de dispositivos VPN compatíveis e para instruções de configuração do RouteBased, consulte Sobre dispositivos VPN para conexões - Gateway do Azure VPN na documentação da Microsoft.

Perguntas frequentes

Residência de dados

O gateway VPN para um tenant é criado automaticamente na mesma região do tenant, e você não pode alterar a região.

Mudando para uma região diferente

Se um gateway VPN já existir e você escolher mover seu tenant para uma região diferente, você poderá:

• continuar a usar o gateway na região antiga ou
• excluir o gateway VPN existente e criar um novo, que é criado na região atual do tenant.

Retenção de dados

Se você desabilitar um tenant que tenha um gateway VPN, você terá um período de cortesia de 60 dias antes de perder o acesso a seu dispositivo VPN. Após 60 dias, seu gateway VPN será excluído permanentemente de seus tenants.

Se você reabilitar o tenant dentro de 60 dias, seu gateway VPN não será excluído e estará disponível para uso.

Vencimento da licença

Se suas Robot Units tiverem expirado, você terá um período de cortesia de 60 dias antes de perder o acesso a seu dispositivo VPN. Após 60 dias, seu gateway VPN será excluído permanentemente de seus tenants.

Solução de problemas de conexões VPN

Se uma conexão for Conectada, mas você não puder acessar os recursos, verifique:

• Configuração do espaço de endereço — Certifique-se de que os espaços de endereço definidos em ambas as extremidades estejam corretos e não sobrepostos para roteamento adequado.
• Resolução de DNS — Confirme que o gateway e os dispositivos conectados resolvem os nomes de domínio necessários. Verifique as configurações e a acessibilidade do servidor DNS.
• Regras do firewall - Revise as regras do firewall no gateway e na rede local; garantir que o tráfego flua nas portas e protocolos necessários dentro de espaços de endereço definidos.