Configuração de BGP para gateways VPN da UiPath

O Edge Gateway Protocol (BGP) é usado para trocar rotas dinamicamente entre sua rede local e o gateway VPN da UiPath.

BGP é o método de roteamento recomendado porque remove a necessidade de gerenciamento manual de rotas e reduz problemas de conectividade, mas não é obrigatório.

Como o BGP funciona na UiPath

O suporte a BGP existe no nível do gateway VPN, mas o comportamento de roteamento é determinado por conexão. Um único gateway VPN da UiPath pode hospedar uma mistura de conexões habilitadas para BGP e conexões estáticas (não BGP). Cada conexão se comporta de forma independente.

Por exemplo, o Site A pode usar o BGP, enquanto o Site B usa rotas estáticas, com ambos se conectando ao mesmo gateway.

Propriedades do BGP no nível do gateway

O gateway expõe um ASN de gateway fixo, 65515. A capacidade de BGP está sempre presente no gateway.

Seu dispositivo VPN no local deve oferecer suporte ao BGP e aceitar um par com ASN 65515.

Comportamento de roteamento no nível da conexão

Ao criar ou editar uma conexão VPN, você escolhe explicitamente se essa conexão usa BGP. Se o BGP estiver desabilitado, a conexão usará o roteamento estático, e você deverá definir os CIDRs locais que devem ser acessíveis. Apenas esses intervalos serão roteados pelo túnel.

Se o BGP estiver habilitado, as rotas serão trocadas dinamicamente. A UiPath anuncia todos os CIDRs do pool de VMs ACR e o CIDR do Serverless Robot do tenant, e seu dispositivo no local anuncia seus CIDRs no local.

Para habilitar o BGP em uma conexão, você deve fornecer o ASN local e o endereço de par de BGP usado por seu dispositivo local. Se algum dos valores estiver ausente ou incorreto, a sessão BGP não será estabelecida.

Opções de endereço IP de pares do BGP

A UiPath aceita duas maneiras de definir endereços de pares de BGP.

IP de sub-rede do gateway (padrão e recomendado).

Por padrão, o gateway VPN seleciona um IP privado da sub-rede do gateway. Esse IP é mostrado no bloco do gateway no portal do administrador e é usado como o endereço do par do BGP do gateway. Configure o IP do par do gateway em seu dispositivo no local e o IP do par no local na conexão VPN. Esta é a opção mais simples e preferida.

Endereços APIPA para BGP (avançado).

O endereçamento IP Privado Automático (APIPA) permite o emparelhamento de BGP sem consumir endereços IP da sub-rede do gateway e deve ser usado apenas quando exigido pelo seu dispositivo VPN no local. A UiPath é compatível apenas com os intervalos APIPA 169.254.21.0/24 e 169.254.22.0/24. Endereços fora desses intervalos não são aceitos.

Configuração do APIPA

Ao usar APIPA, você deve configurar o endereço APIPA em dois locais: no gateway VPN (endereço APIPA de gateway) e na conexão VPN (o endereço APIPA de pares no local). Esses dois endereços devem formar um par binário invertido. A UiPath calcula o endereço do par do parceiro alternando os dois últimos bits do endereço IPv4:

PartnerPeer = Address XOR 0x3

Esse requisito significa que os dois IPs devem estar dentro do mesmo /30 e emparelhar como .1 ↔ .2 e

.0 ↔
        .3

. Exemplos válidos:

• Gateway: 169.254.22.2 → Ponto de conexão: 169.254.22.1
• Gateway: 169.254.22.0 → Ponto de conexão: 169.254.22.3

Um emparelhamento inválido, como Gateway 169.254.22.2 com par de conexão 169.254.22.5 (não é o mesmo /30) impedirá o estabelecimento do BGP. Observe que, nessa situação, o túnel VPN pode parecer conectado, mas nenhuma rota será trocada.

Como configurar a APIPA corretamente:

1. Escolha um endereço APIPA para o gateway VPN (por exemplo: 169.254.22.2).
2. Determine seu duplo binário invertido (exemplo: 169.254.22.1).
3. Configure o endereço APIPA do gateway no Gateway VPN e o endereço de pares invertidos na conexão VPN.
4. Configure o mesmo endereço de par no seu dispositivo VPN no local.

Se alguma etapa for ignorada ou incompatível, o BGP falhará.

Resumo do comportamento de roteamento

Tipo de conexão	Origem da rota	Observações
BGP habilitado	Dinâmico (BGP)	Intervalos de endereço de conexão ignorados
BGP desabilitado	Estático	Os intervalos de endereço definem o roteamento

Um único gateway VPN pode hospedar ambos os tipos simultaneamente.

Configurações incorretas comuns de BGP

Problema	Causa provável
VPN conectada, sem rotas	BGP desabilitado no dispositivo on-premises
O BGP nunca estabelece	Incompatibilidade de ASN
BGP habilitado, sem tráfego	Firewall bloqueia CIDRs de robôs
Rotas ausentes	Emparelhamento do APIPA incorreto
Tráfego unidirecional	Retornar rotas não instaladas

Recomendações

• Use BGP por conexão sempre que compatível.
• Prefira IPs de sub-rede de gateway em vez de APIPA, a menos que seja necessário.
• Verifique novamente os endereços de pares ASN e BGP.
• Verifique se os CIDRs dos robôs são permitidos nos firewalls.
• Confirme a instalação da rota no seu dispositivo no local.

Principais pontos

O BGP é configurado por conexão, não globalmente. A APIPA requer uma configuração emparelhada exata de ambos os lado. Compreender e aplicar essa regra evita a maioria dos problemas do tipo "VPN está ativa, mas o tráfego não flui".