CN102893559A

CN102893559A - 互连虚拟网络的成员

Info

Publication number: CN102893559A
Application number: CN2011800238705A
Authority: CN
Inventors: H·阿尔卡特比; C·金; G·奥特海德; D·班塞尔; A·格林伯格; D·马尔茨; P·帕特尔
Original assignee: Microsoft Corp
Current assignee: Microsoft Technology Licensing LLC
Priority date: 2010-05-14
Filing date: 2011-04-27
Publication date: 2013-01-23
Anticipated expiration: 2031-04-27
Also published as: EP2569902A4; EP2569902B1; US8407366B2; WO2011142972A3; EP2569902A2; US20110283017A1; CN102893559B; HK1179069A1; JP5859519B2; JP2013527532A; WO2011142972A2

Abstract

本发明提供了用于建立并管理实现V-net的成员之间的受保护的并且隔离的互连的虚拟网络（V-net）和虚拟机（VM）交换机的计算机化方法、系统，以及计算机可读介质。V-net成员包括生成寻址到目的地网络适配器的数据分组的始发网络适配器。在检测到数据分组生成之后，源一侧的VM交换机访问与V-net相关联的转发表，弄清对应于目的地网络适配器的标识符的目的地一侧的VM交换机定位符，并修改数据分组以包括标识符。转发表表示V-net的成员和位于数据中心内的相应的节点上的VM交换机之间的映射。在操作中，映射实施管辖数据分组通信的通信量策略。在接收到数据分组之后，目的地一侧的VM交换机还原数据分组，并将它们转发到目的地网络适配器。

Description

互连虚拟网络的成员

背景

大规模的联网的系统是用于运行服务应用并维护业务和操作功能的数据的多种设置中所采用的常见平台。例如，数据中心（例如，物理云计算基础结构）可以同时为多个顾客提供多种服务（例如，Web应用、电子邮件服务、搜索引擎服务等等）。这些大规模的联网的系统通常包括分布在整个数据中心中的大量资源，在数据中心中，每一资源都类似于物理机器或在物理主机上运行的虚拟机。当数据中心托管了多个承租人（例如，顾客程序）时，这些资源被从数据中心分配到不同的承租人，以满足他们的使用要求。

数据中心的顾客常常要求在企业私用网络中运行的服务应用（例如，由从地理上位于数据中心远程的顾客来管理的服务器）与在数据中心中的资源上运行的软件进行交互。为安全地将分配给一承租人的资源与分配给其他承租人的资源分开，托管服务提供商可以从数据中心划出专用的物理网络，使得为该承租人排他地建立、并且常常作为该承租人的企业私用网络的扩展来建立专用的物理网络。然而，由于数据中心被构建为动态地增大或缩小分配给特定顾客的资源的数量（例如，基于处理负载），因此，划出专用的物理网络并静态地将其中的资源分配到单独的顾客在经济上不是切实可行的。

进一步地，当从数据中心划出专用的物理网络并将其中的资源与位于企业私用网络中的资源组合时，存在不同的顾客所使用的因特网协议（IP）地址空间重叠的可能性。同样，当在专用的物理网络之上施加需要大量的资源的显著计算负载时，存在为数据中心预留的IP地址被耗尽的可能性。如此，使用新兴的技术来生成动态地调整大小以满足顾客需求并且通过基于软件的虚拟机（VM）交换机互连的隔离的资源组（例如，虚拟网络（V-net）），将避免IP地址名称空间的限制，增强数据中心内的分配给顾客的资源的可缩放性，并用来隔离顾客的网络通信，并防止顾客之间的不希望有的通信。

发明内容

提供本概述是为了以精简的形式介绍将在以下详细描述中进一步描述的一些概念。本发明内容并不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

本发明的各实施例提供可达性-隔离机制，该可达性-隔离机制解决了保护在云计算平台中运行的顾客的服务应用的完整性的问题，其中该云计算平台被配置成允许多个承租人（例如，每个云有数万）共享云-服务数据中心中的计算资源。一般而言，可达性-隔离机制支持分配给服务应用的网络适配器之间的安全通信，同时虚拟地将分配的资源与数据中心中的其他资源分开。在各实施例中，虚拟机或物理机器具有在其上运行的一个或多个网络适配器。为实现安全通信，在各实施例中，可达性-隔离机制使用虚拟网络（V-net），虚拟网络用于管理其中的数据分组的流动，并同时防止未经授权的通信。

在一示例性实施例中，在云计算平台的数据中心内建立V-net，该V-net作为成员包括一组通过结构控制器加入并绑定到V-net的网络适配器。包括V-net的网络适配器可包括物理和虚拟网络适配器的任何组合。通常，结构控制器是被实现为监视和控制数据中心内的机器（例如，虚拟和物理机器）的生命周期的管理组件。在建立V-net之后，结构控制器将V-net的成员资格传递到目录服务器，该目录服务器又将成员网络适配器的标识符写入到与V-net和由V-net所支持的服务应用相关联的转发表。

结构控制器还可负责实例化数据中心的节点内的VM交换机，其中节点可包括服务器、物理机器或网络交换机。作为示例，结构控制器可以实例化托管V-net的成员的一个或多个数据中心的每一服务器上的单个VM交换机。结构控制器还可以进一步将唯一定位符分配到VM交换机中的每一个，并向目录服务器提醒存在VM交换机，以便记录在转发表内。

在各实施例中，VM交换机充当将驻留在数据中心中的节点上的V-net的那些成员网络适配器与驻留在分布在整个数据中心中的、位于其他数据中心中的，或位于顾客的自己的场地中的企业私用网络中的其他成员网络适配器互连的桥。VM交换机可以通过代码或硬件还有其他机制来实现。VM交换机可以在服务器、物理机器、网络接口卡、网络交换机、网络路由器、网络元件上实现，或者VM交换机的功能可以这些项的任何组合之间分割。VM交换机通过与目录服务器进行交互来创建这些连接，该服务器指示VM交换机向哪里以及如何传输由V-net的成员网络适配器所生成的数据分组。在操作中，VM交换机修改和/或封装并传输数据分组，使得其报头被改变以包括接收数据分组的VM交换机的地址。此修改和/或封装的过程可以在传输VM交换机（例如，源一侧的VM交换机）和接收VM交换机（例如，目的地一侧的VM交换机）之间形成安全隧道。安全隧道当跨数据中心以及跨企业私用网络连接时，确保数据分组跨网络，以及潜在地通过防火墙及其他保护措施的安全的并且直接的传递。

一旦被在目的地一侧的VM交换机处接收到，数据分组就被恢复和/或解封装，并暴露原始报头。然后，数据分组被在同一个节点内分发到V-net的由报头所指示的成员网络适配器。各实施例可以通过诸如目标标识符、MAC地址、IP地址之类的手段或将报头中携带的信息映射到网络适配器列表的表来确定哪些网络适配器将接收到数据分组。在一个实施例中，当在一个节点内本地传递数据分组时，使用成员网络适配器的目标标识符，而当跨网络传递数据分组时，使用目的地一侧的VM交换机的定位符。有利地，消除了对可以分配给其中连接的网络适配器的IP地址的数量和类型的网络范围的限制。如此，可达性-隔离机制促进网络内的网络适配器的可缩放性，而无需通过为该网络预留的IP地址的有限的数量来进行限制。

附图简述

下面将参考附图详细描述本发明的各实施例，附图中：

图1是适用于实现本发明的各实施方式的示例性计算环境的框图；

图2是示出了适用于实现本发明的各实施例的被配置成在数据中心内分配和监督虚拟网络（V-net）的示例性云计算平台的框图；

图3是根据本发明的一实施例的未封装的或解封装的数据帧的示例性结构的示意图；

图4是根据本发明的一实施例的通过源一侧的虚拟机（VM）交换机封装的数据帧的示例性结构的示意图；

图5是根据本发明的一实施例的与被托管在目录服务器上的V-net相关联的示例性转发表的示意图；

图6是根据本发明的一实施例的带有被建立来链接配备有网关功能的VM交换机的安全隧道的示例性分布式计算环境的框图；

图7是示出了根据本发明的一实施例的用于管理数据分组在与数据中心中的其他V-net隔离的V-net的成员之间的分发的方法的流程图；以及

图8是示出了根据本发明的一实施例的用于监督V-net在数据中心内的扩展的方法的流程图。

详细描述

此处用具体细节描述本发明的各实施例的主题以满足法定要求。然而，描述本身并不旨在限制本专利的范围。相反，发明人设想，所要求保护的主题还可结合其他当前或未来技术按照其他方式来具体化，以包括不同的步骤或类似于本文中所描述的步骤的步骤组合。此外，虽然此处可以使用术语“步骤”和/或“框”来指示所使用的方法的不同元素，但是除非而且仅当明确描述了各个步骤的顺序时，这些术语不应该被解释为隐含了此处所公开的各步骤之间的任何特定顺序。

本发明的各实施例涉及用于自动地建立并管理虚拟网络（V-net）和支持V-net的成员网络适配器之间的受保护的并且隔离的互连的虚拟机（VM）交换机的方法、计算机系统，以及计算机可读介质。一方面，本发明的各实施例涉及一个或多个在其上包含计算机可执行指令的计算机可读介质，当执行计算机可执行指令时，执行一种用于管理数据分组在V-net的成员之间的分发的方法，其中所述成员与不属于数据中心中的该V-net的其他资源隔离。在各实施例中，方法包括提供第一V-net的步骤，该第一V-net包括分配给部分地在数据中心内运行的第一服务应用的多个成员（例如，在虚拟机和/或物理机器上运行的网络适配器）。通常，所述多个成员包括始发网络适配器和目的地网络适配器。该方法进一步包括检测始发网络适配器尝试将一个或多个数据分组传输到目的地网络适配器的步骤。在各实施例中，如参考图3和4更加全面地讨论的，数据分组被结构化为具有报头，该报头包括指向目的地网络适配器的目标标识符（例如，因特网协议（IP）地址和/或媒体访问控制（MAC）地址）。

在检测到数据分组的传输之后，源一侧的VM交换机执行解析过程，该解析过程包括下列步骤：访问与第一V-net相关联的转发表，以及发现转发表中所列出的对应于目标标识符的目的地一侧的VM交换机的定位符。在一示例性实施例中，转发表表示分配给第一服务应用的多个成员和VM交换机之间的映射，所述VM交换机每个都位于数据中心内的相应的节点中，其中该映射是根据管辖所述多个成员之间的数据分组通信量的通信策略而设计的。然后，数据分组被封装，以在扩展的新报头中包括目的地一侧的VM交换机定位符。一般而言，目的地一侧的VM交换机负责将数据分组分发到数据中心的第一节点内的目的地网络适配器。

在另一方面，本发明的各实施例涉及用于支持和隔离分配给服务应用的网络适配器之间的通信的计算机系统。最初，计算机系统包括始发网络适配器、目的地网络适配器、目录服务器、目的地一侧的VM交换机，以及源一侧的VM交换机。在各实施例中，始发网络适配器生成带有包括目标标识符的报头的一个或多个数据分组。通常，目标标识符指向目的地网络适配器，其中目的地网络适配器和始发网络适配器是分配给部分地在至少一个数据中心内运行的一个或多个服务应用的V-net的成员。进一步地，目的地网络适配器驻留在数据中心的第一节点上，而始发网络适配器驻留在同一数据中心或另一数据中心的第二节点上。

计算机系统还包括维护与V-net相关联的转发表的目录服务器。在一个实例中，转发表被填充映射到相应的VM交换机的定位符的V-net的成员的标识符。计算机系统可以支持驻留在数据中心的第一节点上的目的地一侧的VM交换机的操作，并负责向目的地网络适配器分发数据分组。另外，计算机系统还可以支持与始发网络适配器一起驻留在数据中心的第二节点上的源一侧的VM交换机的操作，读取数据分组的报头，并将目标标识符传输到目录服务器。在接收到目标标识符之后，目录服务器将目标标识符与转发表进行比较，以确定目的地一侧的VM交换机是否被映射到目标标识符。如果是，则源一侧的VM交换机将包括目的地一侧的VM交换机的定位符的帧附加到数据分组的报头中。随着将帧附加到报头中，源一侧的VM交换机将分组转发到目的地一侧的VM交换机。在接收到之后，目的地一侧的VM交换机通过删除帧来还原数据分组的报头并利用目录服务器来验证目标标识符。

在又一方面，本发明的各实施例涉及用于监督由数据中心内的结构控制器所管理的V-net的扩展的计算机化方法。在一个实施例中，该方法包括将路由信息（例如，因特网层（层3）定位符）分配到网络组件。一般而言，网络组件表示驻留在数据中心的节点上的基于软件的组件（例如，VM交换机）或者物理网络组件（例如，架顶式交换机、网络接口卡、物理交换机等等）。方法还可以包括下列步骤：检测服务应用的资源使用率的增大；实例化节点上的网络适配器；以及，通过将网络适配器加入到绑定到V-net的一组成员网络适配器，来将网络适配器分配到服务应用。在一示例性实施例中，给网络适配器提供了IP地址。

在将网络适配器分配到服务应用之后，将加入的网络适配器的IP地址传递到目录服务器。目录服务器被配置成当网络组件和加入的网络适配器共同驻留在同一个节点上时，与加入的网络适配器的IP地址相关联地存储网络组件的已分配的路由信息。在另一实施例中，给加入的网络适配器提供了媒体访问控制（MAC）地址，该地址在数据中心的上下文内唯一地标识加入的网络适配器。如同IP地址，分配给加入的网络适配器MAC地址可以被传递到目录服务器，该目录服务器与网络组件的路由信息相关联地存储该MAC地址。如此，当为数据中心中的各种V-net使用重叠的IP地址范围时，MAC地址允许找到加入的网络适配器。

在简要描述了本发明的各本发明的各实施例的概览之后，下面将描述适于实现本发明的各实施例的示例性操作环境。

一般地参考附图，并首先具体参考图1，示出了用于实现本发明的各实施例的示例性操作环境，并将一般地指定为计算设备100。计算设备100只是合适的计算环境的一个示例，而非旨在对本发明的各实施例的使用范围或功能提出任何限制。计算环境100也不应被解释成对于所示出的任一组件或其组合有任何依赖或要求。

本发明的各实施例可以在计算机代码或机器可使用指令（包括由计算机或诸如个人数据助理或其他手持式设备之类的其他机器执行的诸如程序组件之类的计算机可执行指令）的一般上下文中来描述。一般而言，包括例程、程序、对象、组件、数据结构等等的程序组件是指执行特定任务或实现特定抽象数据类型的代码。本发明的各实施例可以在各种系统配置中实施，包括手持式设备、消费电子产品、通用计算机、专用计算设备等等。本发明的各实施方式也可以在其中任务由通过通信网络链接的远程处理设备执行的分布式计算环境中实施。

继续参考图1，计算设备100包括直接地或间接地耦合下面的设备的总线110：存储器112、一个或多个处理器114、一个或多个呈现组件116、输入/输出（I/O）端口118、I/O组件120、以及说明性电源122。总线110表示一个或多个总线（诸如地址总线、数据总线或其组合）。虽然为了清楚起见利用线条示出了图1的各框，但是实际上，各组件的轮廓并不是那样清楚，并且比喻性地来说，线条更精确地将是灰色的和模糊的。例如，可以将诸如显示设备之类的呈现组件视为I/O组件。同样，处理器具有存储器。本发明人关于此点认识到这是本领域的特性，并重申，图1的图示只是例示可以结合本发明的一个或多个实施例来使用的示例性计算设备。在诸如“工作站”、“服务器”、“膝上型计算机”、“手持式设备”等等之类的类别之间没有区别，所有这些都在图1的范围内并且都被称作“计算机”或“计算设备”。

计算设备100通常包括各种计算机可读介质。作为示例而非限制，计算机可读介质可以包括随机存取存储器（RAM）；只读存储器（ROM）；电可擦可编程序只读存储器（EEPROM）；闪存或其他存储技术；CDROM、数字多功能盘（DVD）或其他光学或全息介质；磁带盒、磁带、磁盘存储或其他磁存储设备，或可以用来编码所需要的信息并可以被计算设备100访问的任何其他介质。

存储器112包括易失性和/或非易失性存储器形式的计算机存储介质。存储器可以是可移动的，不可移动的，或两者的组合。示例性硬件设备包括固态存储器、硬盘驱动器、光盘驱动器等等。计算设备100包括从诸如存储器112或I/O组件120之类的各种实体读取数据的一个或多个处理器。呈现组件116向用户或其他设备呈现数据指示。示例性呈现组件包括显示设备、扬声器、打印组件、振动组件等等。I/O端口118可允许计算设备100在逻辑上耦合到包括I/O组件120在内的其他设备，其中一些可以是内置的。说明性组件包括话筒、操纵杆、游戏垫、碟形卫星天线、扫描仪、打印机、无线设备等等。

参考图1和2，第一节点211、第二节点212和/或第三节点213可以通过图1的示例性计算设备100来实现。进一步地，始发网络适配器250、目的地网络适配器240、网络适配器261、262、263、264，以及265、目的地一侧的VM交换机221、VM交换机222，以及源一侧的VM交换机223可以访问图1的存储器112的某些部分，并在图1的处理器114的某些部分上运行。

现在转向图2，示出了根据本发明的一实施例的框图，其示出了示例性云计算平台200，该平台200被配置成分配和监督在数据中心201内建立的V net，所述V-net支持包括服务应用的组件的隔离的互连。应了解和明白，图2所示出的云计算平台200只是一个合适的计算系统环境的示例，而非旨在对本发明的各实施例的使用范围或功能提出任何限制。例如，云计算平台200可以是公共的云、私有的云，或专用的云。云计算平台200也不应被解释成对于此处所示出的任一单个组件或组件的组合有任何依赖或要求。进一步地，虽然为了清楚起见利用线条示出了图2的各个框，但是实际上，各组件的轮廓并不是那样清楚，并且比喻性地来说，线条更精确地将是灰色的和模糊的。另外，在本发明的各实施例的范围内，可以使用任意数量的物理机器、虚拟机、数据中心、端点，或其组合以实现所需功能。

云计算平台200可包括一个或多个数据中心（例如，数据中心201），这些数据中心包括用于托管服务应用及其他软件的节点（例如，节点211、212，以及213）。根据本发明的各实施例，节点211、212，以及213表示任何形式的计算设备，诸如，例如，图1的个人计算机、台式计算机、膝上型计算机、移动设备、消费者电子产品、服务器、计算设备100，等等。在一个实例中，节点211、212，以及213托管并支持网络适配器240、250，以及261-265的操作，并同时托管被划出以用于支持数据中心201的其他承租人的其他虚拟机。如此处所使用的，术语“承租人”一般是指由云计算平台200的顾客所拥有的服务应用。

一方面，网络适配器240、250，以及261-265在云计算平台200的上下文内操作，因此，通过在网络适配器240、250，以及261-265之间动态地建立的连接在内部进行通信，并通过到远程网络的资源（例如，企业私用网络695的资源696）的物理网络拓扑，在外部进行通信。内部连接可以包括通过网络205互连跨数据中心201的物理资源分布的网络适配器240、250，以及261-265。网络205互连这些资源，使得始发网络适配器250可以识别目的地网络适配器240及其他网络适配器的位置，以便在它们之间建立通信。在另一实施例中，网络205互连资源，使得寻址到目的地VM交换机221并发送到网络205的数据分组将通过网络205被提供到目的地VM交换机221。另外，网络205可以通过连接服务应用的网络适配器的信道（例如，安全隧道206）建立此通信。作为示例，信道可以包括，但不仅限于，一个或多个局域网（LAN）和/或广域网（WAN）。这样的联网环境在办公室、企业范围的计算机网络、内联网和因特网中是普遍现象。因此，此处不对网络进行进一步的描述。

云计算平台200包括被配置成托管并支持第一服务应用的（由粗线框所表示的）的网络适配器240、262、263，以及250以及第二服务应用（由细线框所表示的）的网络适配器261、264，以及265的操作的数据中心201。如此处所使用的，短语“服务应用”广泛地指在云计算平台200内的数据中心201、另一数据中心（例如，图6的第二数据中心670）内的存储位置、位于顾客的场所中的企业私用网络中的资源（例如，图6的企业私用网络695的资源696）和/或第三方网络（例如，图6的第三方数据中心685）中的资源上运行或对它们进行访问的任何软件或软件的某些部分。在一个实施例中，网络适配器240、250，以及261-265中的一个或多个可以表示参与服务应用的角色的软件的某些部分、组件程序，或实例。在另一实施例中，网络适配器240、250，以及261-265中的一个或多个可以表示可以被服务应用访问的所存储数据。应了解和明白，图2所示出的网络适配器240、250，以及261-265只是支持服务应用的合适的部分的示例，而非旨在对本发明的各实施例的使用范围或功能提出任何限制。

虽然描述了分布在单个数据中心201中的三个节点211、212、以及213的两个服务应用，但是应了解和明白，可以使用驻留在各种数据中心或其他合适的设备内的任意数量的节点上的任意数量的服务应用，并且本发明的各实施例不限于此处所描述的这些节点、服务应用，以及数据中心。进一步地，任意数量的网络适配器可以在节点内实例化和/或分配给服务应用，图2中所示出的网络适配器240、250，以及261-265是只为了说明性目的示出的。

一般而言，网络适配器240、250，以及261-265部分地基于施加于服务应用的需求（例如，处理负载的量）通过加入所述网络适配器作为V-net的成员而被分配给该服务应用。如此处所使用的，短语“网络适配器”不旨在是限制性的，并可以是指由处理单元执行以构成服务应用的功能的基础的虚拟机或程序的任何软件、应用、操作系统、组件。进一步地，网络适配器240、250，以及261-265可包括数据中心201内的处理能力、存储位置，及其他资产，以合适地支持至少第一和第二服务应用。

在一示例性实施例中，若干个网络适配器240、250，以及261-265一起加入到某个组或V-net中，以提供对由部分地在数据中心201内运行的服务应用执行的操作的底层支持。作为示例，目的地网络适配器240、始发网络适配器250、网络适配器2262，以及网络适配器3263可以作为支持第一服务应用的操作的第一V-net的成员一起加入。类似地，网络适配器1261、网络适配器4264，以及网络适配器5265可以作为支持第二服务应用的操作的第二V-net的成员一起加入。如此处所使用的，短语“虚拟网络”或“V-net”不旨在是限制性的，而是可包括允许服务应用在数据中心201内部或外部运行的任何资源组（例如，在虚拟机和/或物理机器上运行的网络适配器）。

在某些实例中，V-net表示与网络205内的其他资源隔离的一组层2资源，诸如网络适配器，这些资源用于基于与其相关联的通信策略来控制数据分组在V-net本地广播域内的流动。在其他实例中，V-net可以表示虚拟局域网（VLAN）、虚拟VLAN、真正的VLAN，或其任何组合。如下面更全面地讨论的，在目录服务器220的帮助下实施通信策略。如此，V-net允许其成员之间的可达性，同时将成员与同时使用云计算平台200内的资源的其他承租人和/或顾客的服务应用隔离。换言之，V-net的成员机器，不管它们在网络205内的物理位置如何，都可直接被其他成员机器到达，而无需网络设备配置或对可缩放性施加基于名称空间的限制。在一种情况下，在末端主机（例如，节点211、212，以及213）中可用的技术基本要素（例如，VM交换机221、222以及223）可以安装在常规或新网络中，以直接互连V-net的成员。在此角色中，VM交换机可以被配置成封装在始发网络适配器250中所生成的数据分组，以将目的地一侧的VM交换机221的定位符包括在附加的报头中。如此，封装可以允许通过隧道206直接将数据分组路由到目的地网络适配器240驻留在上面的第一节点211，隧道206可以进一步地通过标准的安全措施来加强安全。

在一示例性实施例中，V-net由独立于底层网络协议的基于软件的组件（例如，驻留在共同的或不同的网络适配器上的网络适配器）以及诸如物理路由器之类的网络设备构成。因此，V-net可以用于任何现有或新网络上。进一步地，V-net可以就其成员机器的总数而言扩展到几乎无限的大小，因为在它们之间发送的通信被重新寻址到VM交换机，如下面更全面地讨论的。如此，以前的名称空间限制被取消，并且由一个承租人所设置的IP地址空间将不会干扰分配给其他承租人的机器之间的通信。进一步地，可以使用由服务应用规定的任何命名约定，因为用于跨网络205路由数据分组的VM交换机221、222，以及223的定位符都由结构控制器202来控制。如此，不同的V-net中的网络适配器的诸如IP地址之类的所分配的标识符可能在数据中心201内重叠。

作为示例，给目的地网络适配器240分配了IP地址10.0.0.1，而也给网络适配器5265分配了IP地址10.0.0.1。常规上，由于这两个网络适配器240和265驻留在同一个数据中心201中，因此，这种重叠在数据分组被寻址到相互的IP地址10.0.0.1时将导致关于数据分组将被路由到哪里的混乱。然而，由于目的地网络适配器240（粗线框）加入到与第一服务应用相关联的V-net，并且由于网络适配器5265（细线框）加入到与第二服务应用相关联的V-net，因此，目录服务器220和VM交换机221、222，以及223中的一个或多个一起，能够将数据分组导航到适当的网络适配器。

资源可以以各种方式分配给V-net。在一个实例中，数据中心201的体系结构允许云计算平台的管理系统（例如，结构控制器202）或管理员构建隔离组（例如，计算/存储器机器的受保护的池）。作为示例，结构控制器202可以通过在检测到在数据中心201中运行的新服务应用的出现之后组装一组成员资源和/或机器来建立V-net。另外，在检测到服务应用的资源使用率的增大或缩小之后，结构控制器202可以连续地更新V-net的成员资格。当检测到增大时，结构控制器202可以在节点211、212或213中的一个上实例化网络适配器。

或者，结构控制器202可以重新分配当前存在的网络适配器240、250、261、262、263、264或265中的一个。作为示例，结构控制器202可以访问现有的数据中心，并重新编程其中的任何现有的网络设备，以托管网络适配器；如此，对V-net中的网络适配器进行编组是与网络拓扑无关的。在此实例中，可以给当前存在的网络适配器240、250，以及261-265提供由结构控制器202或承租人分配的IP地址。当由承租人分配时，IP地址（例如，层3，由承租人设置的IP地址）可以是扁平的、没有涉及共享底层物理网络的拓扑意义的顾客特定的名称。

一旦网络适配器被分配给服务应用，它们就加入到绑定到与服务应用相关联的V-net的成员网络适配器的组。在结构控制器202将加入的网络适配器的IP和/或MAC地址传递到目录服务器220之后，这种新成员资格被记录。如下面更全面地讨论的，目录服务器220被配置成与V-net和/或服务应用相关联地存储新加入的网络适配器的IP和/或MAC地址。以此方式，由目录服务器220对新加入的网络适配器实施服务应用的通信策略。在各实施例中，在新加入的网络适配器尝试在V-net内发送数据分组之后，或在另一网络适配器尝试将通信传输到新加入的网络适配器之后，目录服务器220可以实施通信策略。

如上文所讨论的，本发明的各实施例引入了可达性-隔离机制，该机制解决保护顾客的在云计算平台200中运行的服务应用的完整性的问题。保护问题通过在分配给服务应用的资源（例如，在物理机器和/或虚拟机上运行的网络适配器）之间实现隔离的通信，而虚拟地将所分配的资源与数据中心201中的其他资源分开，来解决。为实现隔离的通信，在各实施例中，可达性-隔离机制通过协调地操作的两种不同的技术来支持：VM交换机221、222，以及223；以及目录服务器220。

在各实施例中，提供了VM交换机221、222，以及223，以在数据中心201内或数据中心201以外的机器之间提供隔离的连通性，如参考图6更加全面地讨论的。如此处所使用的，短语“虚拟机交换机”或“VM交换机”不旨在是限制性的，而是可以涵盖驻留在数据中心、企业私用网络、第三方网络等等内的，并且负责跨V-net的成员之间的网络安全地路由数据分组的任何基于软件的组件。作为示例，VM交换机可以是为网络管理展示某种应用编程接口（API）的任何网络-边缘设备（例如，架顶式交换机、节点中的物理网络接口卡、VM中的虚拟接口卡，或非虚拟化主机中的网络栈）。在其他示例中，由VM交换机所执行的操作的全部或一部分（例如，与目录服务器220的通信、封装、解封装、对分组的修改，及对加入到V-net的网络适配器的可达性隔离作出贡献的其他动作）可以由V-net路由模块来执行。如此，短语“VM交换机”的使用旨在广泛地指V-net路由模块、网络边缘设备、物理交换机、路由设备等等中的一个或多个。

在各实施例中，路由的过程至少包括检测传输数据分组的尝试、执行发现转发表（例如，图5的转发表510和520）中所列出的对应于数据分组的目的地的VM交换机的解析过程，封装数据分组以在扩展的报头中包括VM交换机定位符，以及通过网络205传输封装的数据分组。如此，封装的数据分组以隔离的方式穿越网络205，表面上形成隧道206，该隧道206将数据分组直接传输到驻留在托管了数据分组的所计划目的地（例如，目的地网络适配器240）的同一个节点（例如，第一节点211）上的接收VM交换机（例如，目的地一侧的VM交换机221）。此外，还可以通过标准加密安全措施来独立地保护隧道。在各实施例中，接收VM交换机负责通过将报头还原到它们的原始格式（即，从扩展的报头中删除保存VM交换机定位符的帧），来解封装数据分组，并将数据分组分发到适当的目的地网络适配器。

在一示例性实施例中，VM交换机221、222，以及223各自都分别安装在单独的节点上，并负责在它们的单独节点内接收并封装数据分组。进一步地，VM交换机221、222，以及223负责解封装数据分组并将数据分组分发到驻留在它们的单独节点中的网络适配器。如图2所示，目的地一侧的VM交换机221安装在第一节点211上，VM交换机222安装在第三节点213上，而源一侧的VM交换机223安装在第二节点222上。在一个实例中，源一侧的VM交换机223负责接收并封装从始发网络适配器250、网络适配器5265，以及位于第二节点212上的任何其他网络适配器传输的数据分组。在另一种情况下，目的地一侧的VM交换机221负责解封装并分发被定向到目的地网络适配器240、网络适配器1261、网络适配器2262，以及位于第一节点211上的任何其他网络适配器的数据分组。

VM交换机可以根据一种或多种因素，诸如IP通信量的速率、由数据中心201的承租人消费的计算负载，以及一个节点是否正在被使得上线或离线，在数据中心201内的节点上实例化，或卸下。在一个实施例中，结构控制器202负责实例化或卸下VM交换机。另外，结构控制器202还可负责将定位符分配到新的或当前操作的VM交换机。这些定位符可包括符合数据中心范围内的命名方案的唯一的层2、媒体访问控制（MAC）地址、以太网地址，和/或因特网层（层3）IP地址，以防止重叠的VM交换机定位符。在其他实施例中，诸如网络管理员之类的云计算平台200内的另一授权机构可以将定位符或其他标识符分配到VM交换机。在将定位符分配到VM交换机之后，结构控制器202或管理员可以负责将定位符传递到目录服务器220，该目录服务器220被配置成存储转发表或利用VM交换机定位符来更新转发表。

在网络内定向数据分组的常规物理机制（例如，路由器和基于硬件的交换机）存在易于出错的重新配置问题，这些问题是在新虚拟机被添加到数据中心之后由分别地重新编程每一个网络设备所产生的。进一步地，这些物理机制固有地限制可以在数据中心建立的并发本地网络的数量，并限制可以通过数据中心形成的桥的数量，从而导致差的可缩放性。此外，这些物理机制不能延伸到层2域以外，从而未能提供到数据中心以外的无缝连通性。所有这些问题都通过在数据中心201内使用基于软件的VM交换机221、222，以及223来解决，因为VM交换机221、222，以及223可以被动态地实例化和卸下，以满足在数据中心201中运行的承租人的需求，而无需重新配置网络设备或添加新的硬件。在各实施例中，目录服务器220被配置成维护转发表，这些转发表提供哪些网络适配器属于哪一个承租人并因此属于哪个V-net的记录。如上文所讨论的，可以使用结构控制器202来向目录服务器220一并发送更新以及V-net的成员之间的当前IP地址关联以及V-net成员的节点位置和VM交换机之间的关联（例如，每一网络适配器都由结构控制器202在物理上定位在数据中心201中何处、以及应该在特定V-net中的网络适配器之间实施网络通信量的通信策略）。基于此记录，目录服务器220可以实施限制哪些网络适配器被允许与其他网络适配器进行通信的通信策略。有利地，目录服务器220允许V-net的新成员在没有网络装置配置、延迟的聚合或传播等待时间的情况下随着实例化而被展示为可用。即，常规物理设备在路由控制计划中被列出，该计划在更新到服务应用之后被转换、配置，并被编程到每一中间交换机-集线器中，以便物理设备理解如何路由数据分组。目录服务器220通过在可被VM交换机访问的特定位置提供动态地更新的转发表来改善这些问题。

在一示例性实施例中，转发表在互连的网络适配器之间维护一个或多个逻辑关联，并实施与网络适配器相关联的访问控制，以便实现网络可达性。在一个实例中，逻辑关联涉及V-net的成员之间的关联。作为示例，参考图5，转发表510包括第一服务应用的成员网络适配器之间的逻辑关联，而转发表520包括第二服务应用的成员网络适配器之间的逻辑关联。具体而言，转发表510列出目的地网络适配器240的标识符（IP地址10.0.0.1和MAC地址MAC-O），网络适配器2262的标识符（IP地址10.0.0.4和MAC地址MAC-P）、网络适配器3263的标识符（IP地址10.0.0.6和MAC地址MAC-Q），以及始发网络适配器250的标识符（IP地址10.0.0.7和MAC地址MAC-R）。进一步地，转发表510列出与目的地网络适配器240（具有IP地址20.1.1.2的目的地一侧的VM交换机221）、网络适配器2262（具有IP地址20.1.1.2的目的地一侧的VM交换机221）以及网络适配器3263（具有IP地址20.1.3.2的VM交换机222），以及始发网络适配器250（具有IP地址20.1.5.2的源一侧的VM交换机223）位于相同节点上的VM交换机的定位符（例如，IP地址）。

以基本上类似的方式，转发表520列出网络适配器5265的标识符（IP地址10.0.0.1和MAC地址MAC-C），网络适配器1261的标识符（IP地址10.0.0.7和MAC地址MAC-A），以及网络适配器4264的标识符（IP地址10.0.0.9和MAC地址MAC-B）。进一步地，转发表520列出与网络适配器5265（具有IP地址20.1.5.2的源一侧的VM交换机223）、网络适配器1261（具有IP地址20.1.1.2的目的地一侧的VM交换机221）以及网络适配器4264（具有IP地址20.1.3.2的VM交换机222）位于相同节点上的VM交换机的定位符（例如，IP地址）。如此，通过查询目录服务器220，VM交换机能够确定数据分组流的目标是否与该数据分组流的源位于同一个V-net中（例如，为了实施通信策略），以及什么VM交换机与该数据分组流的目标位于同一个节点中（例如，为了重新寻址，或封装，数据分组流，以直接达到VM交换机）。

如上文所提及的，目录服务器220使用转发表510和520来实施通常由承租人通过服务级别协议在适当位置设置的通信策略。在一个实例中，通信策略是为服务应用和/或V-net专门设计的，并可包括管辖哪些系统进程被允许访问V-net的成员的许可列表。在另一实施例中，通信策略可以明确表达对那些成员可以执行什么操作。在另一实例中，通信策略充当安全模型，该安全模型在接收到对V-net成员进行操作的请求之后扫描转发表中的适用的条目，并基于适用的条目内的信息来确定被请求的操作是否被授权。在又一实例中，通信策略可以表示应用于在节点或数据中心内可用的端口号或网络适配器的规则，以便弄清该端口号或网络适配器是否被允许执行某种操作（例如，允许入站和出站网络通信量）。

在示例性操作中，网络适配器240、250、262以及263被分配给第一服务应用（例如，满足由第一服务应用施加的当前处理负载）。如上文所讨论的，结构控制器202可以负责动态地分配数据中心225内的网络适配器240、250、262以及263。作为示例，结构控制器210可以依赖于服务模型（例如，由拥有服务应用的顾客设计），以提供有关如何以及何时分配网络适配器240、250、262以及263的指南。

作为第一服务应用的操作的一部分，始发网络适配器250可以尝试将数据分组260发送到另一网络适配器（例如，目的地网络适配器240），该另一网络适配器是与第一服务应用相关联的V-net的成员。在此实例中，给始发网络适配器250提供了目的地网络适配器240的目标标识符或目标IP地址242（10.0.0.1）。通过使用目标IP地址242，始发网络适配器250可以发送检索目的地网络适配器240的目标MAC地址241（MAC-O）的请求。在获取目标MAC地址241之后，始发网络适配器250可以用目标MAC地址241和目标IP地址242来填充数据分组260的报头，以形成目标标识符。进一步地，诸如源MAC地址251（MAC-R）和/或源IP地址252（10.0.0.7）之类的源标识符可以分配给始发网络适配器250，并被始发网络适配器250知道，并也可以被填充到报头中。

参考图3，示出了根据本发明的一实施例的在从始发网络适配器250发送时处于未封装状态的数据分组260的示例性结构的示意图。如图所示，数据分组260被结构化为具有正文330和报头300。正文330被配置成传输有效负载（例如，数据），而报头300被配置为具有帧310和320以指示有效负载的目的地。在各实施例中，帧310包括源MAC地址和目的地MAC地址，而帧320包括源IP地址和目的地IP地址。

返回到图2，在发送数据分组260之后，源一侧的VM交换机223在退出源一侧的VM交换机223和始发网络适配器250驻留在上面的节点（例如，第二节点212）之前检测并截取数据分组260。一旦拥有数据分组260，源一侧的VM交换机223就可以执行解析过程以确定与目的地网络适配器240驻留在同一个节点（例如，第一节点211）的VM交换机（例如，目的地一侧的VM交换机221）的定位符。在一个实施例中，解析过程包括评估与被主存在第二节点212中的第一服务应用相关联的转发表510的索引或一部分。在一个实例中，此索引可以由源一侧的VM交换机223通过向高速缓存中写入如下的其他交换机的定位符而生成：所述其他的交换机对应于源一侧的VM交换机223以前已经从目录服务器220检索到的目的地网络适配器。或者，在另一实例中，索引可以由结构控制器202在传递一个或多个VM交换机以及它们的对应的目的地网络适配器的定位符之后而生成。

随着访问源一侧的VM交换机223本地的索引，源一侧的VM交换机223可以检查索引，以确定对应于在数据分组260的报头内填充的信息的VM交换机（例如，目的地一侧的VM交换机）的定位符。此确定可以通过将目标标识符（例如，IP地址242和/或目标MAC地址241）与索引中的条目进行比较，以发现适当的VM交换机定位符。当确定了适当的VM交换机定位符时，定位符被插入到附加到数据分组260的报头的帧中，以创建扩展的报头。

参考图4，示出了根据本发明的一实施例的被源一侧的VM交换机223封装的数据分组280的示例性结构的示意图。此封装的数据分组280被结构化为具有正文420和扩展的报头400。类似于数据分组260，已封装的数据分组280可以将有效负载存储在正文420中。扩展的报头400配置为具有帧310、320，以及410，以指示有效负载的目的地本地的VM交换机。在各实施例中，类似于图3的数据分组260的报头300，帧310包括源MAC地址和目的地MAC地址，而帧320包括源IP地址和目的地IP地址。帧410填充从索引中确定的源一侧的VM交换机223和目的地一侧的VM交换机221的定位符（例如，IP地址）。如此，已封装的数据分组280被寻址，以通过安全隧道206，穿越网络205直接到达目的地网络适配器240驻留在上面的适当节点（例如，第一节点211）。

如果主存在第二节点212中的索引是不完整的或缺乏适当的路由报告信息以在在源一侧的VM交换机223中接收到数据分组260时管理所述数据分组260的广播，则源一侧VM交换机223可以与目录服务器200进行通信，以检索目的地网络适配器240本地的VM交换机（例如，目的地一侧的VM交换机221）的定位符。作为示例，与目录服务器220进行通信以导出目的地一侧的VM交换机定位符可包括通过向目录服务器220发送包括目标标识符（例如，IP地址242、目标MAC地址241，或两者）的请求消息275，来访问在目录服务器220内维护的转发表（例如，图5的与第一服务应用相关联的转发表510）。可以从数据分组260的报头中提取目标标识符和地址，并将其作为内容合并到请求消息275的正文中。

目录服务器220可以将请求消息275的这些内容应用到转发表510，以确定适当的标识符和/或定位符。如上文所讨论的，转发表510表示分配给第一服务应用的多个V-net成员和每个都位于数据中心201内的相应的节点上的VM交换机之间的映射。在各实例中，映射是根据管辖多个成员之间的数据分组通信量的通信策略而设计的。作为示例，参考图5的转发表510，被封装在请求消息275内的内容可包括始发网络适配器250的网络层（层3）、源IP地址252（10.0.0.7）和/或数据链路层（层2）、源MAC地址251（MAC-R）。进一步地，请求消息275的内容可包括目的地网络适配器240的目标标识符网络层、目标IP地址242（10.0.0.1）和/或数据链路层、目标MAC地址241（MAC-O）。

通过使用目标标识符（例如，目标IP地址242和/或目标MAC地址241），目录服务器220被配置成执行至少下列过程：查找与V-net相关联的适当的转发表510，该V-net包括数据分组260的源或目标作为成员；利用目标标识符（目标IP地址242和/或目标MAC地址241）来扫描转发表510，以查找匹配条目或列表；以及，读取匹配条目或列表内的VM交换机的定位符231。如图所示，匹配列表包括由定位符231所表示的VM交换机定位符（IP地址20.1.1.2）。此匹配定位符231可以通过回复消息270或本领域内已知的任何其他形式的通信被返回到源一侧的VM交换机223。

在另一实施例中，目录服务可以不等到接收到对匹配条目的请求。相反，目录服务可以在请求条目之前将一个或多个条目从其表中推送到VM交换机或其他组件。目录服务可以选择将条目推到那些被确定为最有可能请求所推送的条目的VM交换机或其他组件。例如，目录服务可以将V-net的条目推到托管了V-net的成员的VM交换机。在其他实施例中，诸如结构控制器之类的另一组件可以推条目。在另一实施例中，可以基于通信策略，可能在创建条目中引用的一个或多个VM之前生成条目本身。

如果目录服务器220确定匹配定位符231的IP地址或数据分组260的传递中所涉及的其他IP地址与源IP地址252或目标IP地址242发生冲突（即，在数据中心201的地址空间内重叠），则可以由目录服务器220或源一侧的VM交换机223采取措施以纠正此问题。这些动作可包括将临时标识符或其他IP地址分配到始发网络适配器250和目的地网络适配器240，将解密临时标识符的密钥写入到存储位置（例如，目录服务器220中的表），以及分别用临时标识符来替换放在数据分组260的报头中的当前标识符或IP地址。以此方式，消除了关于数据分组260一旦在第一节点211内将被输送到哪里的任何混乱。

返回到图2，在通过回复消息270在源一侧的VM交换机223检索到定位符231处之后，源一侧的VM交换机223可以将数据分组260封装在其他数据分组内或已封装的数据分组280内。这些已封装的数据分组280通常利用报头中的图3的VM交换机定位符231来寻址。如上文所讨论的，VM交换机定位符231指向目的地一侧的VM交换机221。

在各实施例中，封装可以是指重新格式化并修改数据分组报头以包括另一包括VM交换机定位符231的帧（例如，参见图4的参考编号410）的动作。或，封装可包括用由外帧（图4的参考编号410）组成的扩展的报头来替换原始报头。在各实施例中，外帧可以引用源一侧的VM交换机223和目的地一侧的VM交换机221的标识符（例如，IP和/或MAC地址）。或者，封装可以表示将另一协议报头（例如，IP或以太网）置于数据分组前面的动作，其中协议报头指向目的地一侧的VM交换机221和/或目的地网络适配器240。或者，封装可以统指在目的地一侧的VM交换机处重写数据分组内的目的地标识符，而解封装可以包括在源一侧的VM交换机接收到数据分组以后还原重写的目的地标识符。虽然描述了构成封装的各种不同的过程以及解封装的互补的过程，但是应了解和明白，在“封装”中可以包括提供重新寻址或修改数据分组的其他类型的合适的过程，并且本发明的各实施例不仅限于此处所描述的那些特定类型的封装。

进一步地，可以建立隧道206（例如，数据中心内的隧道），并对其施加安全措施，以保护性地跨网络205传递已封装的数据分组280。隧道206的类型和属性可以部分地基于云计算平台200的顾客和管理员之间的服务请求合同或服务级别协议（SLA）。如此，当顾客正在创建或传送高敏感性的任务关键的数据时，安全隧道206可包括增强的保护措施，以确保已封装的数据分组280的安全传输。

一旦形成了已封装的数据分组280，它们可以被缓存在第二节点212中，和/或通过安全隧道206经由网络205发送到驻留在第一节点211上的目的地一侧的VM交换机221。在一个实例中，源一侧的VM交换机223可以负责跟踪和调度已封装的数据分组280沿着集线器通过中间交换机的路由。在另一种情况下，源一侧的VM交换机223使用考虑到丢失的/延迟的数据分组和网络拥塞的可靠性机制。

源一侧的VM交换机221负责解封装已封装的数据分组280，并将原始数据分组260及其他通信分发到数据中心201的第一节点211内的目的地网络适配器240。在各实施例中，目的地一侧的VM交换机221也可以与目录服务器220进行交谈，以实施存储在其中的通信策略。在一示例性实施例中，目的地一侧的VM交换机221将读取已封装的数据分组280的扩展的报头，以识别是否在适当的VM交换机中接收到它，读取目标和源标识符，并将目标和/或源标识符中的一个或多个发送到目录服务器220，以验证该递送是经通信策略批准的并对应于转发表。作为示例，验证可包括将验证消息290发送到目录服务器220，从目录服务器220接收表示传递是否进行了适当的已认证的递送的回复消息295。在各实例中，验证消息290可包括反映上文所讨论的请求消息275内携带的信息的信息。

在解封装过程中，目的地一侧的VM交换机221丢弃已封装的数据分组280中的扩展的报头的外帧（图4的参考编号410），并将报头还原到原始格式。在解封装之后，目的地一侧的VM交换机221可以使用还原的报头的内容来检查本地转发表，并将数据分组260分发到与报头内的目标标识符（地址241和242）相关联的适当的网络适配器（例如，目的地网络适配器240）。如此，数据分组221以隔离的方式安全地从始发网络适配器250传输到目的地网络适配器240，而无需可能会减慢数据分组流的流动的额外的安全检查。

现在参考图6，示出了根据本发明的一实施例的示例性分布式计算环境600的框图，其具有被建立的在逻辑上链接配备有网关功能的VM交换机623和651的安全隧道605。一开始，分布式计算环境600包括企业私用网络695、第三方数据中心685，以及如参考图2所讨论的包括第一数据中心610和第二数据中心670的云计算平台。

在各实施例中，企业私用网络695、第三方数据中心685、第一数据中心610以及第二数据中心670可以通过物理网络可通信地连接。如此处所使用的，短语“物理网络”不旨在是限制性的，而是可以涵盖有形的机制和设备（例如，光纤线路、电路箱、交换机、天线、IP路由器等等），以及促进从地理上位于远程位置的网络适配器之间的通信无形的通信以及载波。作为示例，物理网络可包括在因特网内使用的，或可用于促进完全不同的网络之间的通信的任何有线或无线技术。

一般而言，企业私用网络695包括由图2的云计算平台200的顾客管理的资源696。常常，这些资源696托管并支持由顾客所拥有的服务应用的组件的操作。虚拟专用网络（VPN）网关697表示在企业私用网络695中托管的促进与驻留在云计算平台200中的服务应用的一部分的通信的VM交换机，其中，服务应用部分可以是被容纳在第一数据网络610或第二数据网络670内。在各实施例中，VM交换机621、622、623、651、652，以及653可以在数据中心610和620内实例化，以支持在网络适配器630和675上运行的服务应用的远程分布的组件的操作。在操作中，VM交换机IV651和VPN网关697彼此协调地工作，以确保服务应用跨物理网络正常地并且安全地运行。在一个实例中，协调地工作包括通过安全隧道699在VM交换机IV 651和VPN网关697之间传输数据分组。

在各实施例中，第三方数据中心685包括由第三方管理的诸如外部网络适配器680之类的资源，并支持服务应用的操作或图2的云计算平台200的操作。常常，这些资源托管并支持由顾客所拥有的服务应用的组件的操作。外部网络适配器680可以充当被托管在第三方数据中心685中的促进与驻留在云计算平台200中的服务应用的一部分的通信的VM交换机。作为示例，外部网络适配器680可以与VM交换机III 623协调地工作，以通过安全隧道689在它们之间传输数据分组。

通常，VM交换机621-623和651-653、VPN网关697，以及外部网络适配器680，包括或链接到某种形式的计算单元（例如，中央处理单元、微处理器等等），以支持在其上运行的服务应用组件的操作。如此处所使用的，短语“计算单元”一般是指支持一种或多种操作系统或其他底层软件的带有处理能力和存储器的专用计算设备。在一种情况下，计算单元配置有有形的硬件元件或机器，这些硬件元件或机器是VM交换机621-623和651-653，VPN网关697以及外部网络适配器680构成整体或与它们可操作地耦合，以允许每一设备执行各种过程和操作。在另一种情况下，计算单元可以涵盖耦合到被VM交换机621-623和651-653、VPN网关697以及外部网络适配器680中的每一个容纳的计算机可读介质的处理器（未示出）。一般而言，计算机可读介质至少临时地存储可由处理器执行的多个计算机软件组件（例如，网络适配器630和675）。如此处所使用的，术语“处理器”不旨在是限制性的，，并可以涵盖在计算能力中起作用的计算单元的任何元素。在这样的能力中，处理器可被配置成处理指令的有形的制品。在一示例性实施例中，处理可以涉及获取、解码/解释、执行，以及回写指令。

因此，可以存在多个远程数据中心（例如，参考编号610、670，以及685），它们通过附接到现场的企业私用网络695的安全的隧道605、689，以及699互连在一起。这些安全隧道605、689，以及699可以使用加密的安全机制（例如，隧道协议IP-sec、IP over HTTPS、Teredo、SSL等等）或授权技术来提供被保护的数据分组通道。作为示例，网关功能在VM交换机III 623、VM交换机IV 651、外部网络适配器680，以及VPN网关697内提供。网关功能通过利用隧道协议的组合来启动、调停以及保护外部连通性。如此，甚至在驻留在从地理上为分布式的主机中的情况下，此网关功能仍然提供V-net的位置和边界独立性。进一步地，网关功能可以使用层3协议来建立和寻址数据分组，以便跨物理网络可访问。对于在层2协议中进行通信的常规网络适配器，这是不可能的，层2协议禁止通过不同的广播域的直接通信。

在操作中，VM交换机III 623、VM交换机IV 651、外部网络适配器680，以及VPN网关697各自都被分配了层3定位符，其中VM交换机623和651以及外部网络适配器680和VPN网关697表示基于软件的组件。网关功能被用来将封装的数据分组路由到目的地网络适配器，诸如第三方数据中心685中的网络适配器或驻留资源696中的一个上的网络适配器。在示例性实施例中，使用网关功能包括对封装的数据分组应用传输保护，从而提供分别在数据中心601和607、第三方数据中心680以及企业私用网络695之间穿越的安全隧道（例如，参考编号605、689，以及699）。如此，上文所讨论的安全措施被扩展以在单一数据中心以外操作，并甚至在在数据中心601和607、第三方数据中心680以及企业私用网络695之间没有直接的层2可达性或可见性的情况下仍然在网络适配器之间提供安全并且无缝的连通性，。

在一个实例中，数据中心610和670的各个承租人所使用的单独的VM交换机被实例化，以便提供网关功能。在另一实例中，网关功能被分别嵌入到数据中心610和670内的VM交换机623和651中的一个或多个中。在此实例中，给VM交换机623和651提供了基于转发表来确定数据分组正在被在本地数据中心内内部发送还是在外部发送的机制。当确定数据分组被寻址为在外部发送时，调用嵌入的网关功能，以实施某些传输保护，诸如保护或加密传输和/或，当数据分组包括再循环的目标标识符（即，目标MAC和/或IP地址）时翻译数据分组的报头。在其他实施例中，网关功能可以支持负载平衡，缓存，及增强数据分组在本地广播域之间的分发的其他服务。

现在转向图7，示出了流程图，示出了根据本发明的一实施例的用于管理数据分组在与数据中心中的其他机器隔离的V-net的成员之间的分发的方法700。最初，方法700包括提供第一V-net的步骤，该第一V-net包括分配给部分地在数据中心内运行的服务应用的多个成员（例如，在虚拟机和/或物理机器上运行的网络适配器），如在框702所示出的。通常，多个成员包括始发网络适配器和目的地网络适配器。方法700还可以进一步包括检测始发网络适配器尝试将一个或多个数据分组传输到目的地网络适配器的步骤，如在框704所示出的。在各实施例中，如上文参考图3和4更加全面地讨论的，数据分组被结构化为具有包括指向目的地网络适配器的目标标识符的报头。

在检测到数据分组的传输之后，源一侧的VM交换机（例如，图2的源一侧的VM交换机223）执行解析过程，如在框706所示出的。在各实施例中，解析过程可包括以任何顺序来执行的下列步骤：访问与第一V-net相关联的转发表（参见框708）；以及，发现转发表中所列出的对应于目标标识符的目的地一侧的VM交换机的定位符（参见框710）。在一示例性实施例中，转发表（例如，图5的转发表510和520）表示分配给第一服务应用的多个成员和每个都位于数据中心内的相应的节点上的VM交换机之间的映射，其中，映射是根据管辖多个成员之间的数据分组通信量的通信策略而设计的。一般而言，目的地一侧的VM交换机（例如，图2的目的地一侧的VM交换机221）负责将数据分组分发到数据中心的节点内的目的地网络适配器。然后，数据分组被封装以在扩展的报头中包括目的地一侧的VM交换机定位符（参见框712），并从源一侧的VM交换机传输到目的地一侧的VM交换机（参见框714），该目的地一侧的VM交换机解封装数据分组并在节点内将数据分组在内部地分发到目的地网络适配器。

现在参考图8，示出了流程图，其示出了根据本发明的一实施例的用于监督V-net在数据中心内的扩展的方法800。在一示例性实施例中，方法800包括将因特网层定位符分配到VM交换机，如在框802所示出的。一般而言，VM交换机表示驻留在数据中心的节点上的基于软件的组件。方法800还可以包括下列步骤：检测服务应用的资源使用率的增大（参见框804）；实例化节点上的网络适配器（参见框806）；以及，通过将网络适配器加入到绑定到V-net的一组成员网络适配器，来将网络适配器分配到服务应用（参见框808）。在一示例性实施例中，给网络适配器提供了IP地址。在将网络适配器分配到服务应用之后，将加入的网络适配器的IP地址传递到目录服务器，如在框810所示出的。通常，目录服务器（例如，图2的目录服务器220）被配置成当VM交换机和加入的网络适配器共同驻留在同一个节点上时与IP地址相关联地存储已分配的定位符。

参考各特定实施例描述了本发明的各实施例，各实施例在所有方面都旨在是说明性的而非限制性的。在不偏离本发明范围的情况下，各替换实施方式对于本发明的各实施例所属领域的技术人员将变得显而易见。

从前面的描述可以看出，本发明很好地适用于实现上文所阐述的所有目的和目标，并且具有对于该系统和方法是显而易见且固有的其他优点。可以理解，某些特征和子组合是有用的，并且可以在不参考其他特征和子组合的情况下使用。这由权利要求所构想的，并在权利要求的范围内。

Claims

1.一个或多个在其上包含计算机可执行指令的计算机可读介质，所述计算机可执行指令当被执行时，执行一种用于管理数据分组在虚拟网络（V-net）的与网络上其他机器隔离的多个成员之间的分发的方法，所述方法包括：

提供包括所述多个成员的部分地在至少一个数据中心内运行的第一V-net，其中所述多个成员包括始发网络适配器和目的地网络适配器；

检测所述始发网络适配器尝试将一个或多个数据分组传输到所述目的地网络适配器，其中所述一个或多个数据分组被结构化为具有有包括所述目的地网络适配器的目标标识符的报头；

执行包括下列各项的解析过程：

(a)访问与所述第一V-net相关联的转发表；以及

(b)发现所述转发表中所列出的对应于所述目标标识符的与目的地一侧的VM交换机相关联的路由信息；

修改所述一个或多个数据分组以包括所述路由信息；以及

从源一侧的VM交换机传输所述一个或多个经过修改的数据分组。

2.如权利要求1所述的一个或多个计算机可读介质，其特征在于，所述转发表表示所述第一V-net的所述多个成员和每个都位于所述至少一个数据中心内的相应的节点上的VM交换机之间的映射，以及其中所述映射是根据管辖所述多个成员之间的数据分组通信量的通信策略而设计的。

3.如权利要求1所述的一个或多个计算机可读介质，其特征在于，所述多个成员中的一个包括在虚拟机上或物理机器上运行的网络适配器。

4.如权利要求1所述的一个或多个计算机可读介质，其特征在于，所述目的地一侧的VM交换机和所述目的地网络适配器驻留在所述至少一个数据中心的第一节点内，其中所述源一侧的VM交换机和所述始发网络适配器驻留在所述至少一个数据中心的第二节点上。

5.如权利要求1所述的一个或多个计算机可读介质，其特征在于，所述路由信息包括所述目的地一侧的VM交换机的定位符，其中传输还包括：

封装所述一个或多个数据分组以在扩展的报头内包括所述目的地一侧的VM交换机定位符；以及

通过在所述至少一个数据中心内建立的隧道，将所述一个或多个封装的数据分组转发到所述目的地一侧的VM交换机。

6.如权利要求4所述的一个或多个计算机可读介质，其特征在于，在目录服务器内维护了所述转发表，所述转发表能够被所述源一侧的VM交换机通过至少一个请求消息来访问，其中所述解析过程还包括将包括所述目的地网络适配器的IP地址和媒体访问控制（MAC）地址的所述目标标识符发送到打包在所述至少一个请求消息内的所述目录服务器。

7.如权利要求4所述的一个或多个计算机可读介质，其特征在于，所述转发表的一部分存储在所述源一侧的VM交换机中，其中所述解析过程还包括在所述源一侧的VM交换机处本地地检查所述转发表。

8.如权利要求1所述的一个或多个计算机可读介质，其特征在于，构成所述第一V-net的所述多个成员被分配给第一服务应用。

9.如权利要求1所述的一个或多个计算机可读介质，其特征在于，所述方法还包括提供包括多个成员的部分地在所述至少一个数据中心内运行的第二V-net，其中所述第一V-net的所述多个成员中的一个或多个被分配了与分配给所述第二V-net的所述多个成员中的一个或多个的IP地址重叠的IP地址。

10.如权利要求9所述的一个或多个计算机可读介质，其特征在于，构成所述第二V-net的所述多个成员被分配给第二服务应用。

11.如权利要求1所述的一个或多个计算机可读介质，其特征在于，所述目的地网络适配器驻留在位于所述至少一个数据中心远程的企业私用网络中的节点上，并且其中给所述源一侧的VM交换机配备有用于利用所述企业私用网络进行路由的网关功能。

12.如权利要求11所述的一个或多个计算机可读介质，其特征在于，所述方法还包括：

使用所述网关功能来将所述一个或多个封装的数据分组路由到所述目的地网络适配器；以及

使用所述网关功能来对所述一个或多个封装的数据分组应用传输保护，其中所述传输保护提供了穿越所述至少一个数据中心和所述企业私用网络的安全隧道。

13.一种用于支持和隔离分配给服务应用的网络适配器之间的通信的计算机系统，所述计算机系统包括：

始发网络适配器,所述始发网络适配器生成被结构化为具有包括目标标识符的报头的一个或多个数据分组（260），其中所述目标标识符指向目的地网络适配器；

驻留在至少一个数据中心的第一节点上的所述目的地网络适配器，其中所述目的地网络适配器和所述始发网络适配器是分配给部分地在所述至少一个数据中心中运行的服务应用的虚拟网络（V-net）的成员；

维护与所述V-net相关联的转发表的目录服务器，其中所述转发表被填充所述V-net的被映射到相应的VM交换机的成员的标识符；

驻留在所述至少一个数据中心的所述第一节点上的目的地一侧的VM交换机；以及

与所述始发网络适配器一起驻留在所述至少一个数据中心的第二节点上的源一侧的VM交换机，其中所述源一侧的VM交换机读取所述一个或多个数据分组的所述报头，并将所述目标标识符传送到所述目录服务器，

其中所述目录服务器将所述目标标识符与所述转发表进行比较，并确定所述目的地一侧的VM交换机是否被映射到所述目标标识符，以及

其中当所述目的地一侧的VM交换机被映射到所述目标标识符时，所述源一侧的VM交换机将包括所述目的地一侧的VM交换机的定位符的帧附加到所述一个或多个数据分组的所述报头中。

14.如权利要求13所述的计算机系统，其特征在于，随着将帧附加到所述报头中，所述源一侧的VM交换机将所述一个或多个数据分组转发到所述目的地一侧的VM交换机，其中所述目的地一侧的VM交换机接收所述一个或多个数据分组，并通过移除所述帧来还原所述报头。

15.一种用于监督虚拟网络（V-net）在网络内的扩展的计算机化方法，所述方法包括：

将路由信息分配到交换机；

实例化至少一个数据中心的所述节点上的网络适配器，其中给所述网络适配器提供标识符；

将所述网络适配器加入到绑定到所述V-net的成员中；以及

将所述加入的网络适配器的所述标识符传递到目录服务器，其中所述目录服务器被配置成与所述标识符相关联地存储所述VM交换机的所述分配的路由信息。