故障排除

已知问题以及有关 Test Cloud 中 Relay 连接、DNS 路由和 DDoS 保护的常见问题的答案。

常见问题

Relay 是否可以免受 DDoS 攻击？

Relay 域是uipath.com下的附加 DNS 记录，通过 Cloudflare 提供服务。DDoS 保护由 Cloudflare 处理，与cloud.uipath.com保护方式一致。

是否需要将所有中继客户端部署在同一区域？

否。Relay 客户端通过标准路由层连接到 Relay API，无论它们的物理部署位置如何。但是，为获得最佳性能，尤其是对于 BYO LLM 等大型有效负载方案，请在与 Test Cloud 租户相同的地理区域中部署 Relay 客户端。跨区域隧道会增加与区域之间往返时间成正比的延迟。

预期延迟是多少？

延迟和吞吐量取决于有效负载的大小、Relay 节点和 Relay 服务器之间的地理距离以及 Relay 节点的容量。同区域部署增加的开销极小。跨区域隧道的延迟时间与区域之间的网络往返时间成正比。

如果中继客户端断开连接，会发生什么情况？

中继客户端使用指数退避功能自动重新连接，间隔时间间隔可扩展至 20 秒。后台服务会在崩溃和系统重新启动时自动重新启动。针对暂时性网络问题，无需手动干预。对于由网络设备上的空闲连接超时导致的持续断开连接，请启用主动重新连接。请参阅部署中继客户端。

我们是否需要为不同的租户使用不同的中继节点？

否。同一个中继节点可以同时为多个租户运行中继客户端流程。

我们什么时候需要创建多个Relay组？

建议仅将多个Relay组用于网络隔离。例如，如果您在网络 1 中安装 Jira，在网络 2 中安装 SAP，您可以创建两个中继组，其中一个为 Jira，另一个为 SAP 端点。您可以在两个可以访问各自网络的虚拟机中运行这些组的中继客户端流程。

每个中继组的本地部署端点数量是否有限制？

无硬性限制。中等流量（每个端点每秒处理 1-10 个请求）时，每组最多使用 50 个端点。流量较低时，每组最多支持 100 个端点。

是否可以在同一台计算机上运行多个 Relay 客户端？

是的。每个Relay组都有自己的后台服务、数据目录和日志目录。使用 relay list 查看所有已安装的中继客户端及其状态。使用 relay describe <id> 检查特定中继客户端的服务设置和本地路径。

是否可以将中继客户端移至其他计算机？

凭据会使用特定于计算机的密钥进行加密：在 Linux 上使用 AES-256-GCM，在 Windows 上使用 DPAPI。如要移动，请删除旧计算机上的中继客户端，并使用“UiPath 管理”中的新配置在新计算机上重新配置。

如果克隆安装了中继客户端的虚拟机，会发生什么情况？

由于计算机身份不同，凭据解密在克隆上失败。在克隆上运行relay delete <id> --force ，并使用新配置重新配置。

我可以轮换中继客户端使用的凭据吗？

是的。在“设置说明”页面生成新配置。每次生成配置时，都会创建一个新密码。中继会限制可以生成的密码的数量。如果达到限制，请在“中继组” 页面上或通过在客户端上运行 来确定客户端使用的密码 ID，然后通过搜索组relay describe <id> ID 从“外部应用程序” 页面中 删除未使用的密码 。

如何更新中继客户端二进制文件？

提取新的存档文件，然后从提取的目录中运行 relay restart <id>。重新启动命令会检测更新的二进制文件并应用更改，而无需完全重新安装。如果启用了内部部署执行程序，则从提取的目录运行也会更新 onprem-executor.jar。

中继客户端会在磁盘上存储哪些数据？

加密的客户端配置、从云获取的代理配置以及日志文件。启用内部部署执行程序时，中继客户端还会存储 onprem-executor.jar 和 onprem-executor.log。不会将任何应用程序数据写入磁盘。中继客户端和执行程序在内存中处理流式传输流量。

我可以在安装中继客户端后更改代理配置吗？

是的。更新代理环境变量，然后运行relay restart <id>以应用更改。

为什么我的代理需要凭据，但中继客户端无需凭据即可连接？

环境变量可能不会传递给后台服务。在 Linux 上：使用sudo -E重新运行或运行relay restart <id> 。在 Windows 上：在系统级别 (HKLM) 设置代理，而不是在用户环境中设置。

在“UiPath 管理”中添加端点后，是否需要重新启动中继客户端？

否。配置更改会自动推送到正在运行的 Relay 客户端，而不会中断正在进行的连接。如果新添加的端点返回 404，则尚未应用推送。运行 relay reload <id>，将其作为回退。

常见问题

如果以下问题不能解决您的问题，请获取支持捆绑包并联系 UiPath 支持团队。

症状	原因	分辨率
cloud portal unreachable	防火墙会阻止端口 443	允许出站 HTTPS cloud.uipath.com:443
authentication failed	凭据无效或过期	从 UiPath 管理中的Relay组重新生成客户端配置
relay server unreachable	防火墙或代理会阻止持久隧道	对于通过 26.4.2 连接的中继客户端 cloud.uipath.com 配置，允许 HTTPS 流量和 WebSocket 升级到 cloud.uipath.com:443。对于 26.4.2 之前的中继客户端版本，允许从中继节点到 <region>-relay.uipath.com:443 的出站 TLS
TLS 握手错误、连接重置或初始连接成功后重复出现 unexpected EOF	TLS 检查使用不受信任的签名 CA，代理会阻止 WebSocket 升级，或 DLP/IDS 设备中断隧道	对于通过 26.4.2 连接的 Relay 客户端 cloud.uipath.com 配置，允许 WebSocket 升级到 cloud.uipath.com:443，并在 Relay 客户端使用的操作系统信任存储中安装任何 TLS 检查签名 CA。对于 26.4.2 之前的中继客户端版本，请配置代理或防火墙，以绕过 <region>-relay.uipath.com:443 的 TLS 检查。预检通过，因为目标位置可访问；仅当中继尝试建立隧道时，才会出现中断
provisioning timed out after 60s	网络延迟或代理延迟	检查连接和代理设置；重试
maximum number of allowed agents	组已达到其中继客户端限制	从组中删除未使用的中继客户端，或创建新的中继组
config input is empty	--config值或配置文件为空	请验证配置字符串或文件是否为空
relay is already running	为服务已处于活动状态的组复制relay start	运行relay stop <id> ，然后运行relay restart <id>
relay for group "<id>" is already installed as a system service	计算机上已安装适用于该组的中继客户端	运行relay delete <id> ，然后重新安装
ID mismatch 重新启动时	配置文件属于其他组	验证您的配置文件是否为Relay ID使用了正确的路径
credentials: decryption failed	AES 密钥文件丢失或损坏 (Linux)，或 DPAPI 身份已更改 (Windows)	Linux：如果删除了密钥文件，请重新配置 Relay。Windows：重新配置中继，这在虚拟机克隆或重新映像后很常见。要重新配置，请运行 relay delete <id>，然后使用新配置运行 relay start
删除时取消注册失败	凭据丢失或云端对象已删除	使用relay delete <id> --force跳过云取消注册
host unreachable via proxy	代理无法访问目标	验证代理 URL 是否正确；检查代理日志；确认代理允许连接到端口 443
cannot reach proxy	无法访问代理地址	请验证代理主机和端口是否正确，以及是否可从 Relay 节点访问
proxy CONNECT rejected (407)	代理需要身份验证	将凭据添加到代理 URL： http://user:password@proxy:port
已设置代理环境变量，但中继会直接进行连接	环境变量未传递至服务	Linux：使用sudo -E重新运行或运行relay restart <id> 。Windows：在系统级别设置代理 (HKLM)
中继反复重新连接	网络不稳定或静默空闲连接超时	检查连接；考虑启用主动重新连接
中继客户端无法访问本地部署端点	中继客户端计算机无法访问目标	确认 Relay 节点具有对本地部署端点的直接网络访问权限
连接到本地部署端点时出现 TLS 错误	CA 证书不受中继节点的操作系统信任存储区信任	将颁发 CA 证书添加到中继节点的操作系统信任存储区
local error: tls: no renegotiation 调用 HTTPS 本地部署端点时	后端服务器或负载均衡器在初始握手后请求 TLS 重新协商	在后端禁用 TLS 重新协商或使用 TLS 1.3。如果无法更改后端，请联系 UiPath 支持团队以获取批准，然后再使用临时 TLS 重新协商解决方法。

内部部署执行程序问题

这些问题适用于使用内部部署执行程序的受支持的基于 TCP 的连接。

症状	原因	分辨率
java executable not found、不支持的 Java 版本或 Java 版本检查失败	受支持的基于 TCP 的连接使用内部部署执行程序，但 Java 缺失、Java 版本太旧或不适用于 Relay 服务帐户	安装 Java 21 或更高版本的 JRE 或 JDK，并确保服务帐户 java 上有 PATH，或传递 --onprem-executor-java-home <java-home>
bundled on-prem executor runtime was not found next to the relay binary	onprem-executor.jar JAR 文件缺失、不可读或者不是有效的	从同一存档中提取 Relay 二进制文件和 onprem-executor.jar，并在启动或升级服务时将它们放在一起。运行 relay describe <id>，以查看报告的执行程序版本
UiPath Relay On-Prem Executor cannot listen on localhost:<port> 或者 --onprem-executor-listen-port must be between 1 and 65535	配置的环回端口已在使用中或超出有效的 TCP 端口范围	通过 --onprem-executor-listen-port <port> 选择一个空闲的本地端口。默认值为 18080
内部部署执行程序已启动，但基于 TCP 的连接失败	Relay 主机无法解析或访问目标系统，或者缺少连接器库	选中 onprem-executor.log，验证来自 Relay 主机的目标主机名和端口访问权限，并确认连接器库位于依赖项目录中
--onprem-executor-dep-dir path is not accessible、 must point to a directory或must not be group- or world-writable	路径在 Linux 上不存在、不是目录或者组或全局可写	将 --onprem-executor-dep-dir 指向管理员拥有的现有目录，中继服务帐户可以读取该目录，而非特权用户无法修改该目录
UnsatisfiedLinkError 和 libsapjco3.so: cannot open shared object file，即使文件存在	SAP JCo 原生库与加载该库的流程的操作系统和 CPU 架构不匹配	下载正确平台的 SAP Java Connector 3.1 包：对于服务部署，为 Relay 主机；对于容器映像，为 Linux on x86_64。确认方式 file libsapjco3.so

暂时使用 TLS 重新协商解决方法

默认情况下，Relay 会禁用服务器请求的 TLS 重新协商。如果 UiPath 支持团队批准了解决方法：

1. 在中继客户端服务环境中设置 UIPATH_RELAY_ALLOW_TLS_RENEGOTIATION=once：

   Linux 系统服务：运行sudo systemctl edit relay-<id>.service ，然后添加并保存：

   [Service]
   Environment="UIPATH_RELAY_ALLOW_TLS_RENEGOTIATION=once"
   

   在没有交互式编辑器的主机上，将相同的块写入 /etc/systemd/system/relay-<id>.service.d/override.conf 并运行 sudo systemctl daemon-reload。

   Linux 用户模式服务：运行systemctl --user edit relay-<id>.service并添加相同的块。

   Windows：在 Administrator PowerShell 中，运行以下内容：

   [Environment]::SetEnvironmentVariable("UIPATH_RELAY_ALLOW_TLS_RENEGOTIATION", "once", "Machine")
   

2. 重新启动中继客户端服务：

   Linux 系统服务：

   sudo relay restart <id>
   

   Linux 用户模式服务：

   relay restart <id>
   

   保存覆盖后，systemctl edit 命令将重新加载单位配置。

   Windows：

   .\relay.exe restart <id>
   

   备注：

   值 once 允许每个连接重新协商一次。使用 freely，仅当 UiPath 支持团队确定后端需要时，才允许重复进行重新协商。

3. 更新后端后，请删除环境设置并重新启动中继客户端服务：

   Linux 系统服务：运行sudo systemctl edit relay-<id>.service ，删除环境设置，然后运行步骤 2 中的 Linux 系统服务重新启动命令。

   Linux 用户模式服务：运行systemctl --user edit relay-<id>.service ，删除环境设置，然后运行步骤 2 中的 Linux 用户模式重新启动命令。

   Windows：

   [Environment]::SetEnvironmentVariable("UIPATH_RELAY_ALLOW_TLS_RENEGOTIATION", $null, "Machine")
   .\relay.exe restart <id>
   

收集支持包

如果此页面中描述的问题或解决方案均不适用于您的场景，请收集支持捆绑包（包含诊断所需的配置、日志和系统详细信息的压缩档案），向 UiPath 支持团队报告问题。凭据和加密密钥永远不会包括在内。

# Collect for all relay clients on this machine
relay support-bundle

# Collect for a specific relay client
relay support-bundle <id>

# Write to a specific directory
relay support-bundle --output-dir /path/to/dir

默认情况下，存档将写入当前目录（Linux 上为.tar.gz ，Windows 上为.zip ）。与 UiPath 支持团队共享存档及其 SHA-256 哈希值。

示例输出：

Collecting support bundle...
  [1/3] Relay metadata and configuration... (2 groups)
  [2/3] Relay logs...
  [3/3] System diagnostics...

✓ Support bundle created: support-bundle-relay01-20260413-150405.tar.gz (3.1 MiB)
  SHA256: a1b2c3d4e5f6789abcdef0123456789abcdef0123456789abcdef0123456789

包含的内容

文件	内容
bundle-info.json	捆绑包元数据：Relay 版本、主机名、操作系统、架构、收集时间
relay-version.txt	Relay 版本、构建日期和 git 提交
relay-list.json	此计算机上所有Relay组的状态
groups/<id>/data/	按组划分的元数据 ( metadata.json )
groups/<id>/logs/	每组的 Relay 客户端日志，包括 onprem-executor.log（当启用了内部部署执行程序时）
groups/<id>/onprem-executor.txt	内部部署执行程序状态和诊断元数据，包括 Java 和 runtime 信息，以及配置的依赖项文件名和大小（仅在启用内部部署执行程序时显示）
errors.log	非严重集合警告（仅在发生警告时显示）

已排除的内容

已排除	原因
client_config	包含加密的客户端凭据
*.key 文件	AES 加密密钥（仅限 Linux）
*.jar 文件	将 runtime 和依赖项二进制文件排除在存档之外；相关元数据会包含在 onprem-executor.txt 中
符号链接	防止在捆绑包外部进行路径遍历

备注：

Linux：作为系统服务安装的组需要sudo relay support-bundle 。用户模式组则不需要。如果该命令跳过某个组并发出权限警告，请使用sudo重新运行。