CN103503424B - 用于实现多核系统中的连接镜像的系统和方法 - Google Patents

用于实现多核系统中的连接镜像的系统和方法 Download PDF

Info

Publication number
CN103503424B
CN103503424B CN201180068720.6A CN201180068720A CN103503424B CN 103503424 B CN103503424 B CN 103503424B CN 201180068720 A CN201180068720 A CN 201180068720A CN 103503424 B CN103503424 B CN 103503424B
Authority
CN
China
Prior art keywords
core
equipment
server
network
failover
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201180068720.6A
Other languages
English (en)
Other versions
CN103503424A (zh
Inventor
约瑟芬·萨冈斯
谢尔盖·沃祖诺夫
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Citrix Systems Inc
Original Assignee
Citrix Systems Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Citrix Systems Inc filed Critical Citrix Systems Inc
Publication of CN103503424A publication Critical patent/CN103503424A/zh
Application granted granted Critical
Publication of CN103503424B publication Critical patent/CN103503424B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • G06F11/203—Failover techniques using migration
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • G06F11/2028—Failover techniques eliminating a faulty processor or activating a spare
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2041—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant with more than one idle spare processing component
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2048—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant where the redundant components share neither address space nor persistent storage
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/815—Virtual
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/40—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass for recovering from a failure of a protocol instance or entity, e.g. service redundancy protocols, protocol state redundancy or protocol service redirection

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请涉及用于提供在客户机和服务器中间的两个或更多个多核装置之间的故障切换连接镜像的系统和方法。第一多核装置可接收第二多核装置的哈希密钥，用于将分组映射到第二多核装置的核。第一装置可通过使用(i)第二装置的哈希密钥和(ii)与经由第一装置的在客户机和服务器之间的连接对应的元组信息，来识别第二装置的核。第一装置可确定所识别的核不是用于提供故障切换连接的期望核。第一装置可修改元组信息，以便在其与第二装置的哈希密钥一起使用时识别期望核。第一装置可使用修改的元组信息来建立故障切换连接。

Description

用于实现多核系统中的连接镜像的系统和方法
本专利文件的公开的部分内容包括受版权保护的资料。版权所有人不反对任何人以专利商标局所公开的文件或记录的形式对专利文件或专利公开进行传真复制，除此之外，保留所有版权。
相关申请
本申请要求在2010年12月20日提交的，名称为“SYSTEMS ANDMETHODS FOR IMPLEMENTING CONNECTION MIRRORING IN AMULTI-CORE SYSTEM”的美国临时专利申请No.61/425116的优先权，该申请通过引用被全部包含于此。
技术领域
本申请总的涉及数据通信网络。本申请尤其涉及用于在故障切换(failover)时由提供客户机和服务器之间的服务的多核中间装置来维护连接操作的系统和方法。
背景技术
企业可以通过该企业在客户机和服务器之间部署的中间装置向从客户机器访问服务器的用户提供服务。该中间装置可以管理和控制网络流量以增强用户体验。有时候，一个或多个中间装置可能不可用。当中间装置变得不可用时，可能中断对用户的服务(如会话服务)或者到用户的连接。
发明内容
在一些方面，本公开涉及用于设置故障切换功能、使得主装置上的一个核支持的连接由从装置上的另一个核或多个核进行成功维护以及保持该连接活动的系统和方法。例如，主多核中间装置可在主装置的第一核上建立连接。该主装置可能想要在从多核中间装置的另一个核上建立相同连接的备份。建立连接的备份可能需要执行任何必要的步骤，使得在出现关于连接的任何传入请求时，从装置上的核可以接收和处理该请求。这可以包括建立连接、获取维护连接所需的信息，如服务器侧和客户机侧IP地址、服务器侧和客户机侧MAC地址、服务器侧和客户机侧端口号，以及与处理相关的任何其他设置和/或配置，例如压缩/解压缩信息、加密/解密设置和任何连接特定的处理功能。
为了在从装置上建立连接的备份，负责该连接的主装置的核上的分组引擎可使用算法来识别在从设备中、将建立该连接的目标核。该算法可使分组引擎能够通过使用输入(例如，从多核装置的RSS密钥和连接的元组信息)处理信息来计算从多核装置上的目标核。连接的元组信息可包括任何连接特定的信息，例如源IP地址、目标IP地址、客户机侧端口号、服务器侧端口号、源MAC地址、目标MAC地址或任何其他连接特定的信息。在一些实施例中，该元组信息是连接的4元组信息，如源IP地址、目标IP地址、源端口号和目标端口号。一旦算法处理该RSS密钥和元组信息，该算法可识别在从装置上、将支持该连接的备份的核。由于从装置的RSS密钥可能不同于主装置的RSS，所以从装置的目标核不一定对应于主装置的核。
一旦由主装置识别出从装置的目标核，主装置可向从装置发送用于建立备份连接的所有相关信息。由于从装置可基于算法向从装置的核转发传入传输和连接备份信息，主核可修改该信息以保证选到正确的目标核。在一个实施例中，主装置上的主核修改元组信息的端口号以标识该装置的不同可用端口。该修改可保证算法独立地计算为将该传输与备份信息转发到从装置的核，该核被主核标识为从装置的目标核。因而，基于连接的4元组信息中修改的端口号，主核可向从装置的预定目标核直接传输任何预期信息并且从装置可直接接收该任何预期信息，并且当非目标核接收到目标为从装置上的目标核的信息时，不需要使用核到核消息传递。
在一个方面，本公开涉及用于提供在客户机和服务器中间的两个或更多多核装置之间的故障切换连接镜像的方法。该方法包括由客户机和服务器中间的第一多核装置接收第二多核装置的哈希密钥，该哈希密钥用于向所述第二多核装置的核分发分组。第一多核装置可通过使用(i)所述第二多核装置的哈希密钥和(ii)对应于在客户机和服务器之间经由所述第一多核装置的连接的元组信息，来识别所述第二多核系统的核。第一多核装置可确定所识别的第二多核装置的核不是用于提供客户机和服务器之间的故障切换连接的期望或目标核。第一多核装置可修改所述元组信息，使其在与所述第二多核系统的哈希密钥一起使用时识别期望或目标核。第一多核装置可使用修改的元组信息来建立所述第二多核装置中的故障切换连接。
在一些实施例中，第一多核装置将所述元组信息应用于所述哈希密钥，以评估出对应于所述第二多核系统的核的结果。第一多核装置可将至少为可用的和运行的其中之一的核识别为用于提供故障切换连接的期望或目标核。第一多核装置可修改所述元组信息中的端口号和地址中的至少一个。第一多核装置可使用修改的元组信息来建立经由所述第二多核装置的期望或目标核的故障切换连接。第一多核装置可将修改的元组信息传递到所述第二多核装置，以建立故障切换连接。
在一些实施例中，第一多核装置在所述第二多核装置中建立镜像所述第一多核装置中的连接的有状态故障切换连接。第一多核装置可将客户机侧和服务器侧进程信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。第一多核装置可将网络地址转换信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。第一多核装置可建立经由所述第二多核装置的第二核的故障切换连接，该故障切换连接镜像经由所述第一多核装置的第二核的连接。
在一个方面，本公开涉及用于提供在客户机和服务器中间的两个或更多多核装置之间的故障切换连接镜像的系统。该系统可包括在客户机和服务器中间的第一多核装置。第一多核装置可接收用于将网络流量映射到第二多核装置的核的哈希密钥。第一多核装置可使用该哈希密钥和与在客户机和服务器之间经由所述第一多核装置的第一连接对应的元组信息来识别第二多核装置的核。第一多核装置可确定所识别的核不是用于提供客户机和服务器之间的故障切换连接的期望或目标核。第一多核装置可修改所述元组信息，使其在与所述第二多核装置的哈希密钥一起使用时识别期望或目标核。第一多核装置可使用修改的元组信息来建立所述第二多核装置中的故障切换连接。
在一些实施例中，第一多核装置将所述元组信息应用于所述哈希密钥，以评估出对应于所述第二多核系统的核的结果。第一多核装置可将至少为可用的和运行的其中之一的核识别为用于提供故障切换连接的期望或目标核。修改的元组信息可包括修改与第一连接对应的元组信息的端口号和地址中的至少一个所得到的端口号和地址中的至少一个。修改的元组信息可用于建立经由所述第二多核装置的期望或目标核的故障切换连接。第一多核装置可将修改的元组信息传递到所述第二多核装置，以建立故障切换连接。第一多核装置可使用修改的元组信息在所述第二多核装置中建立镜像所述第一多核装置中的连接的有状态故障切换连接。
在一些实施例中，第一多核装置将客户机侧和服务器侧进程信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。第一多核装置可将网络地址转换信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。第一多核装置可促成建立经由所述第二多核装置的第二核的故障切换连接，该故障切换连接镜像经由所述第一多核装置的第二核的连接。
用于在主节点或装置和从节点或装置之间传送数据的媒介可以是SSF。SSF可用于任何连接镜像功能。主节点上的每个核可建立到从节点的连接。在从节点上，SSF连接可到达任何核，因此甚至有多个连接可到达一个核而没有连接到达另一个核。然而，可使用基于上述元组信息的技术来控制该情形。
当在主节点上建立客户机连接，可向从节点发送PCB创建消息，如SSF_CM_CREATE_PCB。该PCB创建消息可包括用于创建连接或建立用于处理和维护连接的核的任何和所有信息。当从装置接收到PCB创建消息，可使用上述算法来识别目标核。如果目标核是接收消息的核，可创建客户机PCB。如果目标核不是接收消息的核，则可向目标核发送核到核消息以在那里创建PCB。然而，如上文所述，还可以通过由主装置修改连接的元组信息来发送PCB。
在向从装置发送链接消息(诸如具有与服务器侧连接有关的信息的SSF_CM_LINK_PCB)的情况下，可查找客户机侧PCB以确定在哪个核上创建了该PCB。如果创建客户机侧PCB的核与接收消息的核相同，则也在该核上创建服务器侧PCB。然而，如果是不同的核，则将核到核消息发送到目标核用于处理。然后，确定服务器侧PCB本该所属的核，并且如果该核不是创建服务器侧PCB的核，则在本该创建服务器侧PCB的核上安装软件RSS过滤器。
在一些实施例中，可阻塞和保留服务器连接将到达的核中的端口。当接收到“新”的ACK(这意味着接受者已经接收了数据并且确认了它)，可将基于流量的更新(如SSF_CM_PCB_UPDATE)从主装置发送到从装置。如果接收更新的核与具有PCB对的核相同，则可以直接更新该数据，如果核不同，则可以向具有PCB对的核发送核到核消息。一旦在主装置上创建了NAT PCB流，则可向从装置发送消息SSF_CM_LINK_NATPCB。在从装置上，可根据算法或RSS在NAT PCB所属的核上创建NAT PCB，并且可在客户机NAT PCB本该所属的核上安装软件RSS过滤器。
在附图和下面的描述中将详细阐述本发明的各种实施例的细节。
附图说明
通过参考下述结合附图的描述，本发明的前述和其它目的、方面、特征和优点将会更加明显并更易于理解，其中：
图1A是客户机经由设备访问服务器的网络环境的实施例的框图；
图1B是经由设备从服务器传送计算环境到客户机的环境的实施例的框图；
图1C是经由设备从服务器传送计算环境到客户机的环境的另一个实施例的框图；
图1D是经由设备从服务器传送计算环境到客户机的环境的另一个实施例的框图；
图1E-1H是计算装置的实施例的框图；
图2A是用于处理客户机和服务器之间的通信的设备的实施例的框图；
图2B是用于优化、加速、负载平衡和路由客户端和服务器之间的通信的设备的另一个实施例的框图；
图3是用于经由设备与服务器通信的客户机的实施例的框图；
图4A是虚拟化环境的实施例的框图；
图4B是虚拟化环境的另一个实施例的框图；
图4C是虚拟化设备的实施例的框图；
图5A是在多核网络设备中实现并行的方法的实施例的框图；
图5B是使用多核网络应用的系统的实施例的框图；
图5C是多核网络设备的一个方面的实施例的框图；
图6A是用于在故障切换时维护多核网络设备的运行的系统的实施例的框图；
图6B是用于在故障切换时维护多核网络设备的运行的方法步骤的实施例的流程图；
图7A是用于在故障切换时维护有状态会话的系统的实施例的框图；
图7B是用于在故障切换时维护有状态会话的操作的方法步骤的实施例的流程图；
图8A是用于实现多核系统中的连接镜像的系统的实施例的框图；以及
图8B是用于实现多核系统中的连接镜像的方法步骤的实施例的流程图。
在附图中，同样的附图标记通常表示相同的、功能上相似的和/或结构上相似的元素。
具体实施方式
为了阅读下文各种实施例的描述，下述对于说明书的部分以及它们各自内容的描述是有用的：
-A部分描述有益于实施本文描述的实施例的网络环境和计算环境；
-B部分描述用于将计算环境传送到远程用户的系统和方法的实施例；
-C部分描述用于加速客户机和服务器间通信的系统和方法的实施例；
-D部分描述用于对应用传送控制器进行虚拟化的系统和方法的实施例。
-E部分描述用于提供多核架构和环境的系统和方法的实施例；
-F部分描述用于在故障切换时维护多核网络设备的操作的系统和方法的实施例；
-G部分描述用于在故障切换时维护有状态会话的操作或处理的系统和方法的实施例；以及
-H部分描述用于实现多核系统中的连接镜像的系统和方法的实施例。
A.网络和计算环境
在讨论设备和/或客户机的系统和方法的实施例的细节之前，讨论可在其中部署这些实施例的网络和计算环境是有帮助的。现在参见图1A，描述了网络环境的实施例。概括来讲，网络环境包括经由一个或多个网络104、104’(总的称为网络104)与一个或多个服务器106a-106n(同样总的称为服务器106，或远程机器106)通信的一个或多个客户机102a-102n(同样总的称为本地机器102，或客户机102)。在一些实施例中，客户机102通过设备200与服务器106通信。
虽然图1A示出了在客户机102和服务器106之间的网络104和网络104’，客户机102和服务器106可以位于同一个的网络104上。网络104和104’可以是相同类型的网络或不同类型的网络。网络104和/或104’可为局域网(LAN)例如公司内网，城域网(MAN)，或者广域网(WAN)例如因特网或万维网。在一个实施例中，网络104可为专用网络并且网络104’可为公网。在一些实施例中，网络104可为专用网并且网络104’可为公网。在又一个实施例中，网络104和104’可都为专用网。在一些实施例中，客户机102可位于公司企业的分支机构中，通过网络104上的WAN连接与位于公司数据中心的服务器106通信。
网络104和/或104’可以是任何类型和/或形式的网络，并且可包括任何下述网络：点对点网络，广播网络，广域网，局域网，电信网络，数据通信网络，计算机网络，ATM(异步传输模式)网络，SONET(同步光纤网络)网络，SDH(同步数字体系)网络，无线网络和有线网络。在一些实施例中，网络104可以包括无线链路，诸如红外信道或者卫星频带。网络104和/或104’的拓扑可为总线型、星型或环型网络拓扑。网络104和/或104’以及网络拓扑可以是对于本领域普通技术人员所熟知的、可以支持此处描述的操作的任何这样的网络或网络拓扑。
如图1A所示，设备200被显示在网络104和104’之间，设备200也可被称为接口单元200或者网关200。在一些实施例中，设备200可位于网络104上。例如，公司的分支机构可在分支机构中部署设备200。在其他实施例中，设备200可以位于网络104’上。例如，设备200可位于公司的数据中心。在又一个实施例中，多个设备200可在网络104上部署。在一些实施例中，多个设备200可部署在网络104’上。在一个实施例中，第一设备200与第二设备200’通信。在其他实施例中，设备200可为位于与客户机102同一或不同网络104、104’的任一客户机102或服务器106的一部分。一个或多个设备200可位于客户机102和服务器106之间的网络或网络通信路径中的任一点。
在一些实施例中，设备200包括由位于佛罗里达州Ft.Lauderdale的CitrixSystems公司制造的被称为Citrix NetScaler设备的任何网络设备。在其他实施例中，设备200包括由位于华盛顿州西雅图的F5Networks公司制造的被称为WebAccelerator和BigIP的任何一个产品实施例。在又一个实施例中，设备205包括由位于加利福尼亚州Sunnyvale的Juniper Networks公司制造的DX加速设备平台和/或诸如SA700、SA2000、SA4000和SA6000的SSLVPN系列设备中的任何一个。在又一个实施例中，设备200包括由位于加利福尼亚州San Jose的Cisco Systems公司制造的任何应用加速和/或安全相关的设备和/或软件，例如Cisco ACE应用控制引擎模块服务(ApplicationControl Engine Module service)软件和网络模块以及Cisco AVS系列应用速度系统(Application Velocity System)。
在一个实施例中，系统可包括多个逻辑分组的服务器106。在这些实施例中，服务器的逻辑分组可以被称为服务器群38。在其中一些实施例中，服务器106可为地理上分散的。在一些情况中，群38可以作为单个实体被管理。在其他实施例中，服务器群38包括多个服务器群38。在一个实施例中，服务器群代表一个或多个客户机102执行一个或多个应用程序。
在每个群38中的服务器106可为不同种类。一个或多个服务器106可根据一种类型的操作系统平台(例如，由华盛顿州Redmond的Microsoft公司制造的WINDOWS NT)操作，而一个或多个其它服务器106可根据另一类型的操作系统平台(例如，Unix或Linux)操作。每个群38的服务器106不需要与同一群38内的另一个服务器106物理上接近。因此，被逻辑分组为群38的服务器106组可使用广域网(WAN)连接或城域网(MAN)连接互联。例如，群38可包括物理上位于不同大陆或大陆的不同区域、国家、州、城市、校园或房间的服务器106。如果使用局域网(LAN)连接或一些直连形式来连接服务器106，则可增加群38中的服务器106间的数据传送速度。
服务器106可指文件服务器、应用服务器、web服务器、代理服务器或者网关服务器。在一些实施例中，服务器106可以有作为应用服务器或者作为主应用服务器工作的能力。在一个实施例中，服务器106可包括活动目录。客户机102也可称为客户端节点或端点。在一些实施例中，客户机102可以有作为客户机节点寻求访问服务器上的应用的能力，也可以有作为应用服务器为其它客户机102a-102n提供对寄载的应用的访问的能力。
在一些实施例中，客户机102与服务器106通信。在一个实施例中，客户机102与群38中的服务器106的其中一个直接通信。在又一个实施例中，客户机102执行程序邻近应用(program neighborhood application)以与群38内的服务器106通信。在又一个实施例中，服务器106提供主节点的功能。在一些实施例中，客户机102通过网络104与群38中的服务器106通信。通过网络104，客户机102例如可以请求执行群38中的服务器106a-106n寄载的各种应用，并接收应用执行结果的输出进行显示。在一些实施例中，只有主节点提供识别和提供与寄载所请求的应用的服务器106’相关的地址信息所需的功能。
在一个实施例中，服务器106提供web服务器的功能。在又一个实施例中，服务器106a接收来自客户机102的请求，将该请求转发到第二服务器106b，并使用来自服务器106b对该请求的响应来对客户机102的请求进行响应。在又一个实施例中，服务器106获得客户机102可用的应用的列举以及与由该应用的列举所识别的应用的服务器106相关的地址信息。在又一个实施例中，服务器106使用web接口将对请求的响应提供给客户机102。在一个实施例中，客户机102直接与服务器106通信以访问所识别的应用。在又一个实施例中，客户机102接收由执行服务器106上所识别的应用而产生的诸如显示数据的应用输出数据。
现参考图1B，描述了部署多个设备200的网络环境的实施例。第一设备200可以部署在第一网络104上，而第二设备200’部署在第二网络104’上。例如，公司可以在分支机构部署第一设备200，而在数据中心部署第二设备200’。在又一个实施例中，第一设备200和第二设备200’被部署在同一个网络104或网络104上。例如，第一设备200可以被部署用于第一服务器群38，而第二设备200可以被部署用于第二服务器群38’。在另一个实例中，第一设备200可以被部署在第一分支机构，而第二设备200’被部署在第二分支机构’。在一些实施例中，第一设备200和第二设备200’彼此协同或联合工作，以加速客户机和服务器之间的网络流量或应用和数据的传送。
现参考图1C，描述了网络环境的又一个实施例，在该网络环境中，将设备200和一个或多个其它类型的设备部署在一起，例如，部署在一个或多个WAN优化设备205,205’之间。例如，第一WAN优化设备205显示在网络104和104’之间，而第二WAN优化设备205’可以部署在设备200和一个或多个服务器106之间。例如，公司可以在分支机构部署第一WAN优化设备205，而在数据中心部署第二WAN优化设备205’。在一些实施例中，设备205可以位于网络104'上。在其他实施例中，设备205’可以位于网络104上。在一些实施例中，设备205’可以位于网络104’或网络104″上。在一个实施例中，设备205和205’在同一个网络上。在又一个实施例中，设备205和205’在不同的网络上。在另一个实例中，第一WAN优化设备205可以被部署用于第一服务器群38，而第二WAN优化设备205’可以被部署用于第二服务器群38’。
在一个实施例中，设备205是用于加速、优化或者以其他方式改善任何类型和形式的网络流量(例如去往和/或来自WAN连接的流量)的性能、操作或服务质量的装置。在一些实施例中，设备205是一个性能增强代理。在其他实施例中，设备205是任何类型和形式的WAN优化或加速装置，有时也被称为WAN优化控制器。在一个实施例中，设备205是由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的被称为WANScaler的产品实施例中的任何一种。在其他实施例中，设备205包括由位于华盛顿州Seattle的F5Networks公司出品的被称为BIG-IP链路控制器和WANjet的产品实施例中的任何一种。在又一个实施例中，设备205包括由位于加利福尼亚州Sunnyvale的Juniper NetWorks公司出品的WX和WXC WAN加速装置平台中的任何一种。在一些实施例中，设备205包括由加利福尼亚州San Francisco的Riverbed Technology公司出品的虹鳟(steelhead)系列WAN优化设备中的任何一种。在其他实施例中，设备205包括由位于新泽西州Roseland的Expand Networks公司出品的WAN相关装置中的任何一种。在一个实施例中，设备205包括由位于加利福尼亚州Cupertino的Packeteer公司出品的任何一种WAN相关设备，例如由Packeteer提供的PacketShaper、iShared和SkyX产品实施例。在又一个实施例中，设备205包括由位于加利福尼亚州San Jose的Cisco Systems公司出品的任何WAN相关设备和/或软件，例如Cisco广域网应用服务软件和网络模块以及广域网引擎设备。
在一个实施例中，设备205为分支机构或远程办公室提供应用和数据加速服务。在一个实施例中，设备205包括广域文件服务(WAFS)的优化。在又一个实施例中，设备205加速文件的传送，例如经由通用互联网文件系统(CIFS)协议。在其他实施例中，设备205在存储器和/或存储装置中提供高速缓存来加速应用和数据的传送。在一个实施例中，设备205在任何级别的网络堆栈或在任何的协议或网络层中提供网络流量的压缩。在又一个实施例中，设备205提供传输层协议优化、流量控制、性能增强或修改和/或管理，以加速WAN连接上的应用和数据的传送。例如，在一个实施例中，设备205提供传输控制协议(TCP)优化。在其他实施例中，设备205提供对于任何会话或应用层协议的优化、流量控制、性能增强或修改和/或管理。
在又一个实施例中，设备205将任何类型和形式的数据或信息编码成网络分组的定制的或标准的TCP和/或IP的报头字段或可选字段，以将其存在、功能或能力通告给另一个设备205’。在又一个实施例中，设备205’可以使用在TCP和/或IP报头字段或选项中编码的数据来与另一个设备205’进行通信。例如，设备可以使用TCP选项或IP报头字段或选项来传达在执行诸如WAN加速的功能时或者为了彼此联合工作而由设备205，205’所使用的一个或多个参数。
在一些实施例中，设备200保存在设备205和205’之间传达的TCP和/或IP报头和/或可选字段中编码的任何信息。例如，设备200可以终止经过设备200的传输层连接，例如经过设备205和205’的在客户机和服务器之间的一个传输层连接。在一个实施例中，设备200识别并保存由第一设备205通过第一传输层连接发送的传输层分组中的任何编码信息，并经由第二传输层连接来将具有编码信息的传输层分组传达到第二设备205’。
现参考图1D，描述了用于传送和/或操作客户机102上的计算环境的网络环境。在一些实施例中，服务器106包括用于向一个或多个客户机102传送计算环境或应用和/或数据文件的应用传送系统190。总的来说，客户机10通过网络104、104’和设备200与服务器106通信。例如，客户机102可驻留在公司的远程办公室里，例如分支机构，并且服务器106可驻留在公司数据中心。客户机102包括客户机代理120以及计算环境15。计算环境15可执行或操作用于访问、处理或使用数据文件的应用。可经由设备200和/或服务器106传送计算环境15、应用和/或数据文件。
在一些实施例中，设备200加速计算环境15或者其任何部分到客户机102的传送。在一个实施例中，设备200通过应用传送系统190加速计算环境15的传送。例如，可使用此处描述的实施例来加速从公司中央数据中心到远程用户位置(例如公司的分支机构)的流应用(streaming application)及该应用可处理的数据文件的传送。在又一个实施例中，设备200加速客户机102和服务器106之间的传输层流量。设备200可以提供用于加速从服务器106到客户机102的任何传输层有效载荷的加速技术，例如：1)传输层连接池，2)传输层连接多路复用，3)传输控制协议缓冲，4)压缩和5)高速缓存。在一些实施例中，设备200响应于来自客户机102的请求提供服务器106的负载平衡。在其他实施例中，设备200充当代理或者访问服务器来提供对一个或者多个服务器106的访问。在又一个实施例中，设备200提供从客户机102的第一网络104到服务器106的第二网络104’的安全虚拟专用网络连接，诸如SSL VPN连接。在又一些实施例中，设备200提供客户机102和服务器106之间的连接和通信的应用防火墙安全、控制和管理。
在一些实施例中，基于多个执行方法并且基于通过策略引擎195所应用的任一验证和授权策略，应用传送管理系统190提供将计算环境传送到远程的或者另外的用户的桌面的应用传送技术。使用这些技术，远程用户可以从任何网络连接装置100获取计算环境并且访问服务器所存储的应用和数据文件。在一个实施例中，应用传送系统190可驻留在服务器106上或在其上执行。在又一个实施例中，应用传送系统190可驻留在多个服务器106a-106n上或在其上执行。在一些实施例中，应用传送系统190可在服务器群38内执行。在一个实施例中，执行应用传送系统190的服务器106也可存储或提供应用和数据文件。在又一个实施例中，一个或多个服务器106的第一组可执行应用传送系统190，而不同的服务器106n可存储或提供应用和数据文件。在一些实施例中，应用传送系统190、应用和数据文件中的每一个可驻留或位于不同的服务器。在又一个实施例中，应用传送系统190的任何部分可驻留、执行、或被存储于或分发到设备200或多个设备。
客户机102可包括用于执行使用或处理数据文件的应用的计算环境15。客户机102可通过网络104、104’和设备200请求来自服务器106的应用和数据文件。在一个实施例中，设备200可以将来自客户机102的请求转发到服务器106。例如，客户机102可能不具有本地存储或者本地可访问的应用和数据文件。响应于请求，应用传送系统190和/或服务器106可以传送应用和数据文件到客户机102。例如，在一个实施例中，服务器106可以把应用作为应用流来传输，以在客户机102上的计算环境15中操作。
在一些实施例中，应用传送系统190包括Citrix Systems有限公司的Citrix Access SuiteTM的任一部分(例如MetaFrame或Citrix PresentationServerTM)，和/或微软公司开发的Windows终端服务中的任何一个。在一个实施例中，应用传送系统190可以通过远程显示协议或者以其它方式通过基于远程计算或者基于服务器计算来传送一个或者多个应用到客户机102或者用户。在又一个实施例中，应用传送系统190可以通过应用流来传送一个或者多个应用到客户机或者用户。
在一个实施例中，应用传送系统190包括策略引擎195，其用于控制和管理对应用的访问、应用执行方法的选择以及应用的传送。在一些实施例中，策略引擎195确定用户或者客户机102可以访问的一个或者多个应用。在又一个实施例中，策略引擎195确定应用应该如何被传送到用户或者客户机102，例如执行方法。在一些实施例中，应用传送系统190提供多个传送技术，从中选择应用执行的方法，例如基于服务器的计算、本地流式传输或传送应用给客户机120以用于本地执行。
在一个实施例中，客户机102请求应用程序的执行并且包括服务器106的应用传送系统190选择执行应用程序的方法。在一些实施例中，服务器106从客户机102接收证书。在又一个实施例中，服务器106从客户机102接收对于可用应用的列举的请求。在一个实施例中，响应该请求或者证书的接收，应用传送系统190列举对于客户机102可用的多个应用程序。应用传送系统190接收执行所列举的应用的请求。应用传送系统190选择预定数量的方法之一来执行所列举的应用，例如响应策略引擎的策略。应用传送系统190可以选择执行应用的方法，使得客户机102接收通过执行服务器106上的应用程序所产生的应用输出数据。应用传送系统190可以选择执行应用的方法，使得本地机器10在检索包括应用的多个应用文件之后本地执行应用程序。在又一个实施例中，应用传送系统190可以选择执行应用的方法，以通过网络104流式传输应用到客户机102。
客户机102可以执行、操作或者以其它方式提供应用，所述应用可为任何类型和/或形式的软件、程序或者可执行指令，例如任何类型和/或形式的web浏览器、基于web的客户机、客户机-服务器应用、瘦客户端计算客户机、ActiveX控件、或者Java程序、或者可以在客户机102上执行的任何其它类型和/或形式的可执行指令。在一些实施例中，应用可以是代表客户机102在服务器106上执行的基于服务器或者基于远程的应用。在一个实施例中，服务器106可以使用任何瘦-客户端或远程显示协议来显示输出到客户机102，所述瘦-客户端或远程显示协议例如由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的独立计算架构(ICA)协议或由位于华盛顿州Redmond的微软公司出品的远程桌面协议(RDP)。应用可使用任何类型的协议，并且它可为，例如，HTTP客户机、FTP客户机、Oscar客户机或Telnet客户机。在其他实施例中，应用包括和VoIP通信相关的任何类型的软件，例如软IP电话。在进一步的实施例中，应用包括涉及到实时数据通信的任一应用，例如用于流式传输视频和/或音频的应用。
在一些实施例中，服务器106或服务器群38可运行一个或多个应用，例如提供瘦客户端计算或远程显示表示应用的应用。在一个实施例中，服务器106或服务器群38作为一个应用来执行Citrix Systems有限公司的CitrixAccess SuiteTM的任一部分(例如MetaFrame或Citrix Presentation ServerTM)，和/或微软公司开发的Windows终端服务中的任何一个。在一个实施例中，该应用是位于佛罗里达州Fort Lauderdale的Citrix Systems有限公司开发的ICA客户机。在其他实施例中，该应用包括由位于华盛顿州Redmond的Microsoft公司开发的远程桌面(RDP)客户机。另外，服务器106可以运行一个应用，例如，其可以是提供电子邮件服务的应用服务器，例如由位于华盛顿州Redmond的Microsoft公司制造的Microsoft Exchange，web或Internet服务器，或者桌面共享服务器，或者协作服务器。在一些实施例中，任一应用可以包括任一类型的所寄载的服务或产品，例如位于加利福尼亚州SantaBarbara的Citrix Online Division公司提供的GoToMeetingTM，位于加利福尼亚州Santa Clara的WebEx有限公司提供的WebExTM，或者位于华盛顿州Redmond的Microsoft公司提供的Microsoft Office Live Meeting。
仍参考图1D，网络环境的一个实施例可以包括监控服务器106A。监控服务器106A可以包括任何类型和形式的性能监控服务198。性能监控服务198可以包括监控、测量和/或管理软件和/或硬件，包括数据收集、集合、分析、管理和报告。在一个实施例中，性能监控服务198包括一个或多个监控代理197。监控代理197包括用于在诸如客户机102、服务器106或设备200和205的装置上执行监控、测量和数据收集活动的任何软件、硬件或其组合。在一些实施例中，监控代理197包括诸如Visual Basic脚本或Javascript任何类型和形式的脚本。在一个实施例中，监控代理197相对于装置的任何应用和/或用户透明地执行。在一些实施例中，监控代理197相对于应用或客户机不显眼地被安装和操作。在又一个实施例中，监控代理197的安装和操作不需要用于该应用或装置的任何设备。
在一些实施例中，监控代理197以预定频率监控、测量和收集数据。在其他实施例中，监控代理197基于检测到任何类型和形式的事件来监控、测量和收集数据。例如，监控代理197可以在检测到对web页面的请求或收到HTTP响应时收集数据。在另一个实例中，监控代理197可以在检测到诸如鼠标点击的任一用户输入事件时收集数据。监控代理197可以报告或提供任何所监控、测量或收集的数据给监控服务198。在一个实施例中，监控代理197根据时间安排或预定频率来发送信息给监控服务198。在又一个实施例中，监控代理197在检测到事件时发送信息给监控服务198。
在一些实施例中，监控服务198和/或监控代理197对诸如客户机、服务器、服务器群、设备200、设备205或网络连接的任何网络资源或网络基础结构元件的进行监控和性能测量。在一个实施例中，监控服务198和/或监控代理197执行诸如TCP或UDP连接的任何传输层连接的监控和性能测量。在又一个实施例中，监控服务198和/或监控代理197监控和测量网络等待时间。在又一个实施例中，监控服务198和/或监控代理197监控和测量带宽利用。
在其他实施例中，监控服务198和/或监控代理197监控和测量终端用户响应时间。在一些实施例中，监控服务198执行应用的监控和性能测量。在又一个实施例中，监控服务198和/或监控代理197执行到应用的任何会话或连接的监控和性能测量。在一个实施例中，监控服务198和/或监控代理197监控和测量浏览器的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量基于HTTP的事务的性能。在一些实施例中，监控服务198和/或监控代理197监控和测量IP电话(VoIP)应用或会话的性能。在其他实施例中，监控服务198和/或监控代理197监控和测量诸如ICA客户机或RDP客户机的远程显示协议应用的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量任何类型和形式的流媒体的性能。在进一步的实施例中，监控服务198和/或监控代理197监控和测量所寄载的应用或软件即服务(Software-As-A-Service，SaaS)传送模型的性能。
在一些实施例中，监控服务198和/或监控代理197执行与应用相关的一个或多个事务、请求或响应的监控和性能测量。在其他实施例中，监控服务198和/或监控代理197监控和测量应用层堆栈的任何部分，例如任何.NET或J2EE调用。在一个实施例中，监控服务198和/或监控代理197监控和测量数据库或SQL事务。在又一个实施例中，监控服务198和/或监控代理197监控和测量任何方法、函数或应用编程接口(API)调用。
在一个实施例中，监控服务198和/或监控代理197对经由诸如设备200和/或设备205的一个或多个设备从服务器到客户机的应用和/或数据的传送进行监控和性能测量。在一些实施例中，监控服务198和/或监控代理197监控和测量虚拟化应用的传送的性能。在其他实施例中，监控服务198和/或监控代理197监控和测量流式应用的传送的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量传送桌面应用到客户机和/或在客户机上执行桌面应用的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量客户机/服务器应用的性能。
在一个实施例中，监控服务198和/或监控代理197被设计和构建成为应用传送系统190提供应用性能管理。例如，监控服务198和/或监控代理197可以监控、测量和管理经由Citrix表示服务器(Citrix Presentation Server)传送应用的性能。在该实例中，监控服务198和/或监控代理197监控单独的ICA会话。监控服务198和/或监控代理197可以测量总的以及每次的会话系统资源使用，以及应用和连网性能。监控服务198和/或监控代理197可以对于给定用户和/或用户会话来标识有效服务器(active server)。在一些实施例中，监控服务198和/或监控代理197监控在应用传送系统190和应用和/或数据库服务器之间的后端连接。监控服务198和/或监控代理197可以测量每个用户会话或ICA会话的网络等待时间、延迟和容量。
在一些实施例中，监控服务198和/或监控代理197测量和监控对于应用传送系统190的诸如总的存储器使用、每个用户会话和/或每个进程的存储器使用。在其他实施例中，监控服务198和/或监控代理197测量和监控诸如总的CPU使用、每个用户会话和/或每个进程的应用传送系统190的CPU使用。在又一个实施例中，监控服务198和/或监控代理197测量和监控登录到诸如Citrix表示服务器的应用、服务器或应用传送系统所需的时间。在一个实施例中，监控服务198和/或监控代理197测量和监控用户登录应用、服务器或应用传送系统190的持续时间。在一些实施例中，监控服务198和/或监控代理197测量和监控应用、服务器或应用传送系统会话的有效和无效的会话计数。在又一个实施例中，监控服务198和/或监控代理197测量和监控用户会话等待时间。
在另外的实施例中，监控服务198和/或监控代理197测量和监控任何类型和形式的服务器指标。在一个实施例中，监控服务198和/或监控代理197测量和监控与系统内存、CPU使用和盘存储器有关的指标。在又一个实施例中，监控服务198和/或监控代理197测量和监控和页错误有关的指标，诸如每秒页错误。在其他实施例中，监控服务198和/或监控代理197测量和监控往返时间的指标。在又一个实施例中，监控服务198和/或监控代理197测量和监控与应用崩溃、错误和/或中止相关的指标。
在一些实施例中，监控服务198和监控代理198包括由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的被称为EdgeSight的任何一种产品实施例。在又一个实施例中，性能监控服务198和/或监控代理198包括由位于加利福尼亚州Palo Alto的Symphoniq公司出品的被称为TrueView产品套件的产品实施例的任一部分。在一个实施例中，性能监控服务198和/或监控代理198包括由位于加利福尼亚州San Francisco的TeaLeaf技术公司出品的被称为TeaLeafCX产品套件的产品实施例的任何部分。在其他实施例中，性能监控服务198和/或监控代理198包括由位于德克萨斯州Houston的BMC软件公司出品的诸如BMC性能管理器和巡逻产品(BMC PerformanceManager and Patrol products)的商业服务管理产品的任何部分。
客户机102、服务器106和设备200可以被部署为和/或执行在任何类型和形式的计算装置上，诸如能够在任何类型和形式的网络上通信并执行此处描述的操作的计算机、网络装置或者设备。图1E和1F描述了可用于实施客户机102、服务器106或设备200的实施例的计算装置100的框图。如图1E和1F所示，每个计算装置100包括中央处理单元101和主存储器单元122。如图1E所示，计算装置100可以包括可视显示装置124、键盘126和/或诸如鼠标的指示装置127。每个计算装置100也可包括其它可选元件，例如一个或多个输入/输出装置130a-130b(总的使用附图标记130表示)，以及与中央处理单元101通信的高速缓存存储器140。
中央处理单元101是响应并处理从主存储器单元122取出的指令的任何逻辑电路。在许多实施例中，中央处理单元由微处理器单元提供，例如：由加利福尼亚州Mountain View的Intel公司制造的微处理器单元；由伊利诺伊州Schaumburg的Motorola公司制造的微处理器单元；由加利福尼亚州SantaClara的Transmeta公司制造的微处理器单元；由纽约州White Plains的International Business Machines公司制造的RS/6000处理器；或者由加利福尼亚州Sunnyvale的Advanced Micro Devices公司制造的微处理器单元。计算装置100可以基于这些处理器中的任何一种，或者能够如此处所述方式运行的任何其它处理器。
主存储器单元122可以是能够存储数据并允许微处理器101直接访问任何存储位置的一个或多个存储器芯片，例如静态随机存取存储器(SRAM)、突发SRAM或同步突发SRAM(BSRAM)、动态随机存取存储器DRAM、快速页模式DRAM(FPM DRAM)、增强型DRAM(EDRAM)、扩展数据输出RAM(EDO RAM)、扩展数据输出DRAM(EDO DRAM)、突发式扩展数据输出DRAM(BEDO DRAM)、增强型DRAM(EDRAM)、同步DRAM(SDRAM)、JEDEC SRAM、PC100SDRAM、双数据速率SDRAM(DDRSDRAM)、增强型SRAM(ESDRAM)、同步链路DRAM(SLDRAM)、直接内存总线DRAM(DRDRAM)或铁电RAM(FRAM)。主存储器122可以基于上述存储芯片的任何一种，或者能够如此处所述方式运行的任何其它可用存储芯片。在图1E中所示的实施例中，处理器101通过系统总线150(在下面进行更详细的描述)与主存储器122进行通信。图1E描述了在其中处理器通过存储器端口103直接与主存储器122通信的计算装置100的实施例。例如，在图1F中，主存储器122可以是DRDRAM。
图1F描述了在其中主处理器101通过第二总线与高速缓存存储器140直接通信的实施例，第二总线有时也称为后端总线。其他实施例中，主处理器101使用系统总线150和高速缓存存储器140通信。高速缓存存储器140通常有比主存储器122更快的响应时间，并且通常由SRAM、BSRAM或EDRAM提供。在图1F中所示的实施例中，处理器101通过本地系统总线150与多个I／O装置130进行通信。可以使用各种不同的总线将中央处理单元101连接到任何I／O装置130，所述总线包括VESAVL总线、ISA总线、EISA总线、微通道体系结构(MCA)总线、PCI总线、PCI-X总线、PCI-Express总线或NuBus。对于I／O装置是视频显示器124的实施例，处理器101可以使用高级图形端口(AGP)与显示器124通信。图1F说明了主处理器101通过超传输(HyperTransport)、快速I／O或者InfiniBand直接与I／O装置130通信的计算机100的一个实施例。图1F还描述了在其中混合本地总线和直接通信的实施例：处理器101使用本地互连总线与I／O装置130b进行通信，同时直接与I／O装置130a进行通信。
计算装置100可以支持任何适当的安装装置116，例如用于接纳诸如3.5英寸、5.25英寸磁盘或ZIP磁盘这样的软盘的软盘驱动器、CD-ROM驱动器、CD-R/RW驱动器、DVD-ROM驱动器、各种格式的磁带驱动器、USB装置、硬盘驱动器或适于安装像任何客户机代理120或其部分的软件和程序的任何其它装置。计算装置100还可以包括存储装置128，诸如一个或者多个硬盘驱动器或者独立磁盘冗余阵列，用于存储操作系统和其它相关软件，以及用于存储诸如涉及客户机代理120的任何程序的应用软件程序。或者，可以使用安装装置116的任何一种作为存储装置128。此外，操作系统和软件可从例如可引导CD的可引导介质运行，诸如一种用于GNU／Linux的可引导CD，该可引导CD可自knoppix.net作为GNU／Linux一个分发版获得。
此外，计算装置100可以包括通过多种连接接口到局域网(LAN)、广域网(WAN)或因特网的网络接口118，所述多种连接包括但不限于标准电话线路、LAN或WAN链路(例如802.11，T1，T3、56kb、X.25)、宽带连接(如ISDN、帧中继、ATM)、无线连接、或上述任何或所有连接的一些组合。网络接口118可以包括内置网络适配器、网络接口卡、PCMCIA网络卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器或适用于将计算装置100接口到能够通信并执行这里所说明的操作的任何类型的网络的任何其它设备。计算装置100中可以包括各种I／O装置130a-130n。输入装置包括键盘、鼠标、触控板、轨迹球、麦克风和绘图板。输出装置包括视频显示器、扬声器、喷墨打印机、激光打印机和热升华打印机。如图1E所示，I／O装置130可以由I／O控制器123控制。I／O控制器可以控制一个或多个I／O装置，例如键盘126和指示装置127(如鼠标或光笔)。此外，I／O装置还可以为计算装置100提供存储装置128和／或安装介质116。在其他实施例中，计算装置100可以提供USB连接以接纳手持USB存储装置，例如由位于美国加利福尼亚州Los Alamitos的Twintech Industry有限公司生产的USB闪存驱动驱动系列装置。
在一些实施例中，计算装置100可以包括多个显示装置124a-124n或与其相连，这些显示装置各自可以是相同或不同的类型和／或形式。因而，任何一种I／O装置130a-130n和／或I／O控制器123可以包括任一类型和／或形式的适当的硬件、软件或硬件和软件的组合，以支持、允许或提供通过计算装置100连接和使用多个显示装置124a-124n。例如，计算装置100可以包括任何类型和／或形式的视频适配器、视频卡、驱动器和／或库，以与显示装置124a-124n接口、通信、连接或以其他方式使用显示装置。在一个实施例中，视频适配器可以包括多个连接器以与多个显示装置124a-124n接口。在其他实施例中，计算装置100可以包括多个视频适配器，每个视频适配器与显示装置124a-124n中的一个或多个连接。在一些实施例中，计算装置100的操作系统的任一部分都可以被配置用于使用多个显示器124a-124n。在其他实施例中，显示装置124a-124n中的一个或多个可以由一个或多个其它计算装置提供，诸如例如通过网络与计算装置100连接的计算装置100a和100b。这些实施例可以包括被设计和构造为将另一个计算机的显示装置用作计算装置100的第二显示装置124a的任一类型的软件。本领域的普通技术人员应认识和理解可以将计算装置100配置成具有多个显示装置124a-124n的各种方法和实施例。
在另外的实施例中，I／O装置130可以是系统总线150和外部通信总线之间的桥170，所述外部通信总线例如USB总线、Apple桌面总线、RS-232串行连接、SCSI总线、FireWire总线、FireWire800总线、以太网总线、AppleTalk总线、千兆位以太网总线、异步传输模式总线、HIPPI总线、超级HIPPI总线、SerialPlus总线、SCI／LAMP总线、光纤信道总线或串行SCSI总线。
图1E和1F中描述的那类计算装置100通常在控制任务的调度和对系统资源的访问的操作系统的控制下操作。计算装置100可以运行任何操作系统，如Windows操作系统，不同发行版本的Unix和Linux操作系统，用于Macintosh计算机的任何版本的MAC任何嵌入式操作系统，任何实时操作系统，任何开源操作系统，任何专有操作系统，任何用于移动计算装置的操作系统，或者任何其它能够在计算装置上运行并完成这里所述操作的操作系统。典型的操作系统包括：WINDOWS3.x、WINDOWS95、WINDOWS98、WINDOWS2000、WINDOWS NT3.51、WINDOWS NT4.0、WINDOWS CE和WINDOWS XP，所有这些均由位于华盛顿州Redmond的微软公司出品；由位于加利福尼亚州Cupertino的苹果计算机出品的MacOS；由位于纽约州Armonk的国际商业机器公司出品的OS／2；以及由位于犹他州Salt Lake City的Caldera公司发布的可免费使用的Linux操作系统或者任何类型和／或形式的Unix操作系统，以及其它。
在其他的实施例中，计算装置100可以有符合该装置的不同的处理器、操作系统和输入设备。例如，在一个实施例中，计算机100是由Palm公司出品的Treo180、270、1060、600或650智能电话。在该实施例中，Treo智能电话在PalmOS操作系统的控制下操作，并包括指示笔输入装置以及五向导航装置。此外，计算装置100可以是任何工作站、桌面计算机、膝上型或笔记本计算机、服务器、手持计算机、移动电话、任何其它计算机、或能够通信并有足够的处理器能力和存储容量以执行此处所述的操作的其它形式的计算或者电信装置。
如图1G所示，计算装置100可以包括多个处理器，可以提供用于对不只一个数据片同时执行多个指令或者同时执行一个指令的功能。在一些实施例中，计算装置100可包括具有一个或多个核的并行处理器。在这些实施例的一个中，计算装置100是共享内存并行设备，具有多个处理器和／或多个处理器核，将所有可用内存作为一个全局地址空间进行访问。在这些实施例的又一个中，计算装置100是分布式存储器并行设备，具有多个处理器，每个处理器访问本地存储器。在这些实施例的又一个中，计算装置100既有共享的存储器又有仅由特定处理器或处理器子集访问的存储器。在这些实施例的又一个中，如多核微处理器的计算装置100将两个或多个独立处理器组合在一个封装中，通常在一个集成电路(IC)中。在这些实施例的又一个中，计算装置100包括具有单元宽带引擎(CELL BROADBAND ENGINE)架构的芯片，并包括高能处理器单元以及多个协同处理单元，高能处理器单元和多个协同处理单元通过内部高速总线连接在一起，可以将内部高速总线称为单元互连总线。
在一些实施例中，处理器提供用于对多个数据片同时执行单个指令(SIMD)的功能。其他实施例中，处理器提供用于对多个数据片同时执行多个指令(MIMD)的功能。又一个实施例中，处理器可以在单个装置中使用SIMD和MIMD核的任意组合。
在一些实施例中，计算装置100可包括图像处理单元。图1H所示的在这些实施例的一个中，计算装置100包括至少一个中央处理单元101和至少一个图像处理单元。在这些实施例的又一个中，计算装置100包括至少一个并行处理单元和至少一个图像处理单元。在这些实施例的又一个中，计算装置100包括任意类型的多个处理单元，多个处理单元中的一个包括图像处理单元。
一些实施例中，第一计算装置100a代表客户计算装置100b的用户执行应用。又一个实施例中，计算装置100执行虚拟机，其提供执行会话，在该会话中，代表客户计算装置100b的用户执行应用。在这些实施例的一个中，执行会话是寄载的桌面会话。在这些实施例的又一个中，计算装置100执行终端服务会话。终端服务会话可以提供寄载的桌面环境。在这些实施例的又一个中，执行会话提供对计算环境的访问，该计算环境可包括以下的一个或多个：应用、多个应用、桌面应用以及可执行一个或多个应用的桌面会话。
B.设备架构
图2A示出设备200的一个示例实施例。提供图2A的设备200架构仅用于示例，并不意于作为限制性的架构。如图2所示，设备200包括硬件层206和被分为用户空间202和内核空间204的软件层。
硬件层206提供硬件元件，在内核空间204和用户空间202中的程序和服务在该硬件元件上被执行。硬件层206也提供结构和元件，就设备200而言，这些结构和元件允许在内核空间204和用户空间202内的程序和服务既在内部进行数据通信又与外部进行数据通信。如图2所示，硬件层206包括用于执行软件程序和服务的处理单元262，用于存储软件和数据的存储器264，用于通过网络传输和接收数据的网络端口266，以及用于执行与安全套接字协议层相关的功能处理通过网络传输和接收的数据的加密处理器260。在一些实施例中，中央处理单元262可在单独的处理器中执行加密处理器260的功能。另外，硬件层206可包括用于每个处理单元262和加密处理器260的多处理器。处理器262可以包括以上结合图1E和1F所述的任一处理器101。例如，在一个实施例中，设备200包括第一处理器262和第二处理器262’。在其他实施例中，处理器262或者262’包括多核处理器。
虽然示出的设备200的硬件层206通常带有加密处理器260，但是处理器260可为执行涉及任何加密协议的功能的处理器，例如安全套接字协议层(SSL)或者传输层安全(TLS)协议。在一些实施例中，处理器260可为通用处理器(GPP)，并且在进一步的实施例中，可为用于执行任何安全相关协议处理的可执行指令。
虽然图2中设备200的硬件层206包括了某些元件，但是设备200的硬件部分或组件可包括计算装置的任何类型和形式的元件、硬件或软件，例如此处结合图1E和1F示出和讨论的计算装置100。在一些实施例中，设备200可包括服务器、网关、路由器、开关、桥接器或其它类型的计算或网络设备，并且拥有与此相关的任何硬件和／或软件元件。
设备200的操作系统分配、管理或另外分离可用的系统存储器到内核空间204和用户空间204。在示例的软件架构200中，操作系统可以是任何类型和／或形式的Unix操作系统，尽管本发明并未这样限制。这样，设备200可以运行任何操作系统，如任何版本的Windows操作系统、不同版本的Unix和Linux操作系统、用于Macintosh计算机的任何版本的Mac任何的嵌入式操作系统、任何的网络操作系统、任何的实时操作系统、任何的开放源操作系统、任何的专用操作系统、用于移动计算装置或网络装置的任何操作系统、或者能够运行在设备200上并执行此处所描述的操作的任何其它操作系统。
保留内核空间204用于运行内核230，内核230包括任何设备驱动器，内核扩展或其他内核相关软件。就像本领域技术人员所知的，内核230是操作系统的核心，并提供对资源以及设备104的相关硬件元件的访问、控制和管理。根据设备200的实施例，内核空间204也包括与高速缓存管理器232协同工作的多个网络服务或进程，高速缓存管理器232有时也称为集成的高速缓存，其益处此处将进一步详细描述。另外，内核230的实施例将依赖于通过设备200安装、配置或其他使用的操作系统的实施例。
在一个实施例中，设备200包括一个网络堆栈267，例如基于TCP／IP的堆栈，用于与客户机102和／或服务器106通信。在一个实施例中，使用网络堆栈267与第一网络(例如网络108)以及第二网络11O通信。在一些实施例中，设备200终止第一传输层连接，例如客户机102的TCP连接，并建立客户机102使用的到服务器106的第二传输层连接，例如，终止在设备200和服务器106的第二传输层连接。可通过单独的网络堆栈267建立第一和第二传输层连接。在其他实施例中，设备200可包括多个网络堆栈，例如267或267’，并且在一个网络堆栈267可建立或终止第一传输层连接，在第二网络堆栈267’上可建立或者终止第二传输层连接。例如，一个网络堆栈可用于在第一网络上接收和传输网络分组，并且另一个网络堆栈用于在第二网络上接收和传输网络分组。在一个实施例中，网络堆栈267包括用于为一个或多个网络分组进行排队的缓冲器243，其中网络分组由设备200传输。
如图2A所示，内核空间204包括高速缓存管理器232、高速层2-7集成分组引擎240、加密引擎234、策略引擎236以及多协议压缩逻辑238。在内核空间204或内核模式而不是用户空间202中运行这些组件或进程232、240、234、236和238提高这些组件中的每个单独的和结合的性能。内核操作意味着这些组件或进程232、240、234、236和238在设备200的操作系统的核地址空间中运行。例如，在内核模式中运行加密引擎234通过移动加密和解密操作到内核可改进加密性能，从而可减少在内核模式中的存储空间或内核线程与在用户模式中的存储空间或线程之间的传输的数量。例如，在内核模式获得的数据可能不需要传输或拷贝到运行在用户模式的进程或线程，例如从内核级数据结构到用户级数据结构。在另一个方面，也可减少内核模式和用户模式之间的上下文切换的数量。另外，在任何组件或进程232、240、235、236和238间的同步和通信在内核空间204中可被执行的更有效率。
在一些实施例中，组件232、240、234、236和238的任何部分可在内核空间204中运行或操作，而这些组件232、240、234、236和238的其它部分可在用户空间202中运行或操作。在一个实施例中，设备200使用内核级数据结构来提供对一个或多个网络分组的任何部分的访问，例如，包括来自客户机102的请求或者来自服务器106的响应的网络分组。在一些实施例中，可以由分组引擎240通过到网络堆栈267的传输层驱动器接口或过滤器获得内核级数据结构。内核级数据结构可包括通过与网络堆栈267相关的内核空间204可访问的任何接口和／或数据、由网络堆栈267接收或发送的网络流量或分组。在其他实施例中，任何组件或进程232、240、234、236和238可使用内核级数据结构来执行组件或进程的需要的操作。在一个实例中，当使用内核级数据结构时，组件232、240、234、236和238在内核模式204中运行，而在又一个实施例中，当使用内核级数据结构时，组件232、240、234、236和238在用户模式中运行。在一些实施例中，内核级数据结构可被拷贝或传递到第二内核级数据结构，或任何期望的用户级数据结构。
高速缓存管理器232可包括软件、硬件或软件和硬件的任何组合，以提供对任何类型和形式的内容的高速缓存访问、控制和管理，例如对象或由源服务器106提供服务的动态产生的对象。由高速缓存管理器232处理和存储的数据、对象或内容可包括任何格式(例如标记语言)的数据，或者通过任何协议的通信的任何类型的数据。在一些实施例中，高速缓存管理器232复制存储在其他地方的原始数据或先前计算、产生或传输的数据，其中相对于读高速缓存存储器元件，需要更长的访问时间以取得、计算或以其他方式得到原始数据。一旦数据被存储在高速缓存存储元件中，通过访问高速缓存的副本而不是重新获得或重新计算原始数据即可进行后续操作，因此而减少了访问时间。在一些实施例中，高速缓存元件可以包括设备200的存储器264中的数据对象。在其他实施例中，高速缓存存储元件可包括有比存储器264更快的存取时间的存储器。在又一个实施例中，高速缓存元件可以包括设备200的任一类型和形式的存储元件，诸如硬盘的一部分。在一些实施例中，处理单元262可提供被高速缓存管理器232使用的高速缓存存储器。在又一个实施例中，高速缓存管理器232可使用存储器、存储区或处理单元的任何部分和组合来高速缓存数据、对象或其它内容。
另外，高速缓存管理器232包括用于执行此处描述的设备200的技术的任一实施例的任何逻辑、功能、规则或操作。例如，高速缓存管理器232包括基于无效时间周期的终止，或者从客户机102或服务器106接收无效命令使对象无效的逻辑或功能。在一些实施例中，高速缓存管理器232可作为在内核空间204中执行的程序、服务、进程或任务而操作，并且在其他实施例中，在用户空间202中执行。在一个实施例中，高速缓存管理器232的第一部分在用户空间202中执行，而第二部分在内核空间204中执行。在一些实施例中，高速缓存管理器232可包括任何类型的通用处理器(GPP)，或任何其他类型的集成电路，例如现场可编程门阵列(FPGA)，可编程逻辑设备(PLD)，或者专用集成电路(ASIC)。
策略引擎236可包括例如智能统计引擎或其它可编程应用。在一个实施例中，策略引擎236提供配置机制以允许用户识别、指定、定义或配置高速缓存策略。策略引擎236，在一些实施例中，也访问存储器以支持数据结构，例如备份表或hash表，以启用用户选择的高速缓存策略决定。在其他实施例中，除了对安全、网络流量、网络访问、压缩或其它任何由设备200执行的功能或操作的访问、控制和管理之外，策略引擎236可包括任何逻辑、规则、功能或操作以确定和提供对设备200所高速缓存的对象、数据、或内容的访问、控制和管理。特定高速缓存策略的其他实施例此处进一步描述。
加密引擎234包括用于操控诸如SSL或TLS的任何安全相关协议或其中涉及的任何功能的处理的任何逻辑、商业规则、功能或操作。例如，加密引擎234加密并解密通过设备200传输的网络分组，或其任何部分。加密引擎234也可代表客户机102a-102n、服务器106a-106n或设备200来设置或建立SSL或TLS连接。因此，加密引擎234提供SSL处理的卸载和加速。在一个实施例中，加密引擎234使用隧道协议来提供在客户机102a-102n和服务器106a-106n间的虚拟专用网络。在一些实施例中，加密引擎234与加密处理器260通信。在其他实施例中，加密引擎234包括运行在加密处理器260上的可执行指令。
多协议压缩引擎238包括用于压缩一个或多个网络分组协议(例如被设备200的网络堆栈267使用的任何协议)的任何逻辑、商业规则、功能或操作。在一个实施例中，多协议压缩引擎238双向压缩在客户机102a-102n和服务器106a-106n间任一基于TCP／IP的协议，包括消息应用编程接口(MAPI)(电子邮件)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用互联网文件系统(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议以及互联网协议电话(VoIP)协议。在其他实施例中，多协议压缩引擎238提供基于超文本标记语言(HTML)的协议的压缩，并且在一些实施例中，提供任何标记语言的压缩，例如可扩展标记语言(XML)。在一个实施例中，多协议压缩引擎238提供任何高性能协议的压缩，例如设计用于设备200到设备200通信的任何协议。在又一个实施例中，多协议压缩引擎238使用修改的传输控制协议来压缩任何通信的任何载荷或任何通信，例如事务TCP(T／TCP)、带有选择确认的TCP(TCP-SACK)、带有大窗口的TCP(TCP-LW)、例如TCP-Vegas协议的拥塞预报协议以及TCP欺骗协议(TCP spoofing protocol)。
同样的，多协议压缩引擎238为用户加速经由桌面客户机乃至移动客户机访问应用的性能，所述桌面客户机例如Micosoft Outlook和非web瘦客户机，诸如由像Oracle、SAP和Siebel的通用企业应用所启动的任何客户机，所述移动客户机例如掌上电脑。在一些实施例中，通过在内核模式204内部执行并与访问网络堆栈267的分组处理引擎240集成，多协议压缩引擎238可以压缩TCP／IP协议携带的任何协议，例如任何应用层协议。
高速层2-7集成分组引擎240，通常也称为分组处理引擎，或分组引擎，负责设备200通过网络端口266接收和发送的分组的内核级处理的管理。高速层2-7集成分组引擎240可包括用于在例如接收网络分组和传输网络分组的处理期间排队一个或多个网络分组的缓冲器。另外，高速层2-7集成分组引擎240与一个或多个网络堆栈267通信以通过网络端口266发送和接收网络分组。高速层2-7集成分组引擎240与加密引擎234、高速缓存管理器232、策略引擎236和多协议压缩逻辑238协同工作。更具体地，配置加密引擎234以执行分组的SSL处理，配置策略引擎236以执行涉及流量管理的功能，例如请求级内容切换以及请求级高速缓存重定向，并配置多协议压缩逻辑238以执行涉及数据压缩和解压缩的功能。
高速层2-7集成分组引擎240包括分组处理定时器242。在一个实施例中，分组处理定时器242提供一个或多个时间间隔以触发输入处理，例如，接收或者输出(即传输)网络分组。在一些实施例中，高速层2-7集成分组引擎240响应于定时器242处理网络分组。分组处理定时器242向分组引擎240提供任何类型和形式的信号以通知、触发或传输时间相关的事件、间隔或发生。在许多实施例中，分组处理定时器242以毫秒级操作，例如100ms、50ms、或25ms。例如，在一些实例中，分组处理定时器242提供时间间隔或者以其它方式使得由高速层2-7集成分组引擎240以10ms时间间隔处理网络分组，而在其他实施例中，使高速层2-7集成分组引擎240以5ms时间间隔处理网络分组，并且在进一步的实施例中，短到3、2或1ms时间间隔。高速层2-7集成分组引擎240在操作期间可与加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238连接、集成或通信。因此，响应于分组处理定时器242和/或分组引擎240，可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238的任何逻辑、功能或操作。因此，在由分组处理定时器242提供的时间间隔粒度，可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238的任何逻辑、功能或操作，例如，时间间隔少于或等于10ms。例如，在一个实施例中，高速缓存管理器232可响应于高速层2-7集成分组引擎240和/或分组处理定时器242来执行任何高速缓存的对象的终止。在又一个实施例中，高速缓存的对象的终止或无效时间被设定为与分组处理定时器242的时间间隔相同的粒度级，例如每10ms。
与内核空间204不同，用户空间202是被用户模式应用或在用户模式运行的程序所使用的操作系统的存储区域或部分。用户模式应用不能直接访问内核空间204而使用服务调用以访问内核服务。如图2所示，设备200的用户空间202包括图形用户接口(GUI)210、命令行接口(CLI)212、壳服务(shell service)214、健康监控程序216以及守护(daemon)服务218。GUI210和CLI212提供系统管理员或其他用户可与之交互并控制设备200操作的装置，例如通过设备200的操作系统。GUI210和CLI212可包括运行在用户空间202或内核框架204中的代码。GUI210可以是任何类型或形式的图形用户接口，可以通过文本、图形或其他形式由任何类型的程序或应用(如浏览器)来呈现。CLI212可为任何类型和形式的命令行或基于文本的接口，例如通过操作系统提供的命令行。例如，CLI212可包括壳，该壳是使用户与操作系统相互作用的工具。在一些实施例中，可通过bash、csh、tcsh或者ksh类型的壳提供CLI212。壳服务214包括程序、服务、任务、进程或可执行指令以支持由用户通过GUI210和/或CLI212的与设备200或者操作系统的交互
健康监控程序216用于监控、检查、报告并确保网络系统正常运行，以及用户正通过网络接收请求的内容。健康监控程序216包括一个或多个程序、服务、任务、进程或可执行指令，为监控设备200的任何行为提供逻辑、规则、功能或操作。在一些实施例中，健康监控程序216拦截并检查通过设备200传递的任何网络流量。在其他实施例中，健康监控程序216通过任何合适的方法和/或机制与一个或多个下述设备连接：加密引擎234，高速缓存管理器232，策略引擎236，多协议压缩逻辑238，分组引擎240，守护服务218以及壳服务214。因此，健康监控程序216可调用任何应用编程接口(API)以确定设备200的任何部分的状态、情况或健康。例如，健康监控程序216可周期性地查验(ping)或发送状态查询以检查程序、进程、服务或任务是否活动并当前正在运行。在又一个实施例中，健康监控程序216可检查由任何程序、进程、服务或任务提供的任何状态、错误或历史日志以确定设备200任何部分的任何状况、状态或错误。
守护服务218是连续运行或在背景中运行的程序，并且处理设备200接收的周期性服务请求。在一些实施例中，守护服务可向其他程序或进程(例如合适的另一个守护服务218)转发请求。如本领域技术人员所公知的，守护服务218可无人监护的运行，以执行连续的或周期性的系统范围功能，例如网络控制，或者执行任何需要的任务。在一些实施例中，一个或多个守护服务218运行在用户空间202中，而在其他实施例中，一个或多个守护服务218运行在内核空间。
现参考图2B，描述了设备200的又一个实施例。总的来说，设备200提供下列服务、功能或操作中的一个或多个：用于一个或多个客户机102以及一个或多个服务器106之间的通信的SSL VPN连通280、交换/负载平衡284、域名服务解析286、加速288和应用防火墙290。服务器106的每一个可以提供一个或者多个网络相关服务270a-270n(称为服务270)。例如，服务器106可以提供http服务270。设备200包括一个或者多个虚拟服务器或者虚拟互联网协议服务器，称为vServer275、vS275、VIP服务器或者仅是VIP275a-275n(此处也称为vServer275)。vServer275根据设备200的配置和操作来接收、拦截或者以其它方式处理客户机102和服务器106之间的通信。
vServer275可以包括软件、硬件或者软件和硬件的任何组合。vServer275可包括在设备200中的用户模式202、内核模式204或者其任何组合中运行的任何类型和形式的程序、服务、任务、进程或者可执行指令。vServer275包括任何逻辑、功能、规则或者操作，以执行此处所述技术的任何实施例，诸如SSL VPN280、转换/负载平衡284、域名服务解析286、加速288和应用防火墙290。在一些实施例中，vServer275建立到服务器106的服务270的连接。服务275可以包括能够连接到设备200、客户机102或者vServer275并与之通信的任何程序、应用、进程、任务或者可执行指令集。例如，服务275可以包括web服务器、http服务器、ftp、电子邮件或者数据库服务器。在一些实施例中，服务270是守护进程或者网络驱动器，用于监听、接收和/或发送应用的通信，诸如电子邮件、数据库或者企业应用。在一些实施例中，服务270可以在特定的IP地址、或者IP地址和端口上通信。
在一些实施例中，vServer275应用策略引擎236的一个或者多个策略到客户机102和服务器106之间的网络通信。在一个实施例中，该策略与vServer275相关。在又一个实施例中，该策略基于用户或者用户组。在又一个实施例中，策略为通用的并且应用到一个或者多个vServer275a-275n，和通过设备200通信的任何用户或者用户组。在一些实施例中，策略引擎的策略具有基于通信的任何内容应用该策略的条件，通信的内容诸如互联网协议地址、端口、协议类型、分组中的头部或者字段、或者通信的上下文，诸如用户、用户组、vServer275、传输层连接、和/或客户机102或者服务器106的标识或者属性。
在其他实施例中，设备200与策略引擎236通信或接口，以便确定远程用户或远程客户机102的验证和/或授权，以访问来自服务器106的计算环境15、应用和/或数据文件。在又一个实施例中，设备200与策略引擎236通信或交互，以便确定远程用户或远程客户机102的验证和/或授权，使得应用传送系统190传送一个或多个计算环境15、应用和/或数据文件。在又一个实施例中，设备200基于策略引擎236对远程用户或远程客户机102的验证和/或授权建立VPN或SSL VPN连接。一个实施例中，设备200基于策略引擎236的策略控制网络流量以及通信会话。例如，基于策略引擎236，设备200可控制对计算环境15、应用或数据文件的访问。
在一些实施例中，vServer275与客户机102经客户机代理120建立传输层连接，诸如TCP或者UDP连接。在一个实施例中，vServer275监听和接收来自客户机102的通信。在其他实施例中，vServer275与客户机服务器106建立传输层连接，诸如TCP或者UDP连接。在一个实施例中，vServer275建立到运行在服务器106上的服务器270的互联网协议地址和端口的传输层连接。在又一个实施例中，vServer275将到客户机102的第一传输层连接与到服务器106的第二传输层连接相关联。在一些实施例中，vServer275建立到服务器106的传输层连接池并经由所述池化(pooled)的传输层连接多路复用客户机的请求。
在一些实施例中，设备200提供客户机102和服务器106之间的SSL VPN连接280。例如，第一网络102上的客户机102请求建立到第二网络104’上的服务器106的连接。在一些实施例中，第二网络104’是不能从第一网络104路由的。在其他实施例中，客户机102位于公用网络104上，并且服务器106位于专用网络104’上，例如企业网。在一个实施例中，客户机代理120拦截第一网络104上的客户机102的通信，加密该通信，并且经第一传输层连接发送该通信到设备200。设备200将第一网络104上的第一传输层连接与到第二网络104上的服务器106的第二传输层连接相关联。设备200接收来自客户机代理102的所拦截的通信，解密该通信，并且经第二传输层连接发送该通信到第二网络104上的服务器106。第二传输层连接可以是池化的传输层连接。同样的，设备200为两个网络104、104’之间的客户机102提供端到端安全传输层连接。
在一个实施例中，设备200寄载虚拟专用网络104上的客户机102的内部网互联网协议或者IntranetIP282地址。客户机102具有本地网络标识符，诸如第一网络104上的互联网协议(IP)地址和/或主机名称。当经设备200连接到第二网络104’时，设备200在第二网络104’上为客户机102建立、分配或者以其它方式提供IntranetIP，其是诸如IP地址和/或主机名称的网络标识符。使用为客户机的所建立的IntranetIP282，设备200在第二或专用网104’上监听并接收指向该客户机102的任何通信。在一个实施例中，设备200在第二专用网络104上用作或者代表客户机102。例如，在又一个实施例中，vServer275监听和响应到客户机102的IntranetIP282的通信。在一些实施例中，如果第二网络104’上的计算装置100发送请求，设备200如同客户机102一样来处理该请求。例如，设备200可以响应对客户机IntranetIP282的查验。在又一个实施例中，设备可以与请求和客户机IntranetIP282连接的第二网络104上的计算装置100建立连接，诸如TCP或者UDP连接。
在一些实施例中，设备200为客户机102和服务器106之间的通信提供下列一个或多个加速技术288：1)压缩；2)解压缩；3)传输控制协议池；4)传输控制协议多路复用；5)传输控制协议缓冲；以及6)高速缓存。在一个实施例中，设备200通过开启与每一服务器106的一个或者多个传输层连接并且维持这些连接以允许由客户机经因特网的重复数据访问，来为服务器106缓解由重复开启和关闭到客户机102的传输层连接所造成的大量处理负载。该技术此处称为“连接池”。
在一些实施例中，为了经池化的传输层连接无缝拼接从客户机102到服务器106的通信，设备200通过在传输层协议级修改序列号和确认号来转换或多路复用通信。这被称为“连接多路复用”。在一些实施例中，不需要应用层协议相互作用。例如，在到来分组(即，自客户机102接收的分组)的情况中，所述分组的源网络地址被改变为设备200的输出端口的网络地址，而目的网络地址被改为目的服务器的网络地址。在发出分组(即，自服务器106接收的一个分组)的情况中，源网络地址被从服务器106的网络地址改变为设备200的输出端口的网络地址，而目的地址被从设备200的网络地址改变为请求的客户机102的网络地址。分组的序列号和确认号也被转换为到客户机102的设备200的传输层连接上的客户机102所期待的序列号和确认。在一些实施例中，传输层协议的分组校验和被重新计算以计及这些转换。
在又一个实施例中，设备200为客户机102和服务器106之间的通信提供交换或负载平衡功能284。在一些实施例中，设备200根据层4或应用层请求数据来分布流量并将客户机请求定向到服务器106。在一个实施例中，尽管网络分组的网络层或者层2识别目的服务器106，但设备200通过承载为传输层分组的有效载荷的数据和应用信息来确定服务器106以便分发网络分组。在一个实施例中，设备200的健康监控程序216监控服务器的健康来确定分发客户机请求到哪个服务器106。在一些实施例中，如果设备200探测到某个服务器106不可用或者具有超过预定阈值的负载，设备200可以将客户机请求指向或者分发到另一个服务器106。
在一些实施例中，设备200用作域名服务(DNS)解析器或者以其它方式为来自客户机102的DNS请求提供解析。在一些实施例中，设备拦截由客户机102发送的DNS请求。在一个实施例中，设备200以设备200的IP地址或其所寄载的IP地址来响应客户机的DNS请求。在此实施例中，客户机102把用于域名的网络通信发送到设备200。在又一个实施例中，设备200以第二设备200’的或其所寄载的IP地址来响应客户机的DNS请求。在一些实施例中，设备200使用由设备200确定的服务器106的IP地址来响应客户机的DNS请求。
在又一个实施例中，设备200为客户机102和服务器106之间的通信提供应用防火墙功能290。在一个实施例中，策略引擎236提供用于探测和阻断非法请求的规则。在一些实施例中，应用防火墙290防御拒绝服务(DoS)攻击。在其他实施例中，设备检查所拦截的请求的内容，以识别和阻断基于应用的攻击。在一些实施例中，规则/策略引擎236包括用于提供对多个种类和类型的基于web或因特网的脆弱点的保护的一个或多个应用防火墙或安全控制策略，例如下列的一个或多个脆弱点：1)缓冲区泄出，2)CGI-BIN参数操纵，3)表单/隐藏字段操纵，4)强制浏览，5)cookie或会话中毒，6)被破坏的访问控制列表(ACLs)或弱密码，7)跨站脚本处理(XSS)，8)命令注入，9)SQL注入，10)错误触发敏感信息泄露，11)对加密的不安全使用，12)服务器错误配置，13)后门和调试选项，14)网站涂改，15)平台或操作系统弱点，和16)零天攻击。在一个实施例中，对下列情况的一种或多种，应用防火墙290以检查或分析网络通信的形式来提供HTML格式字段的保护：1)返回所需的字段，2)不允许附加字段，3)只读和隐藏字段强制(enforcement)，4)下拉列表和单选按钮字段的一致，以及5)格式字段最大长度强制。在一些实施例中，应用防火墙290确保cookie不被修改。在其他实施例中，应用防火墙290通过执行合法的URL来防御强制浏览。
在其他实施例中，应用防火墙290保护在网络通信中包含的任何机密信息。应用防火墙290可以根据引擎236的规则或策略来检查或分析任一网络通信以识别在网络分组的任一字段中的任一机密信息。在一些实施例中，应用防火墙290在网络通信中识别信用卡号、口令、社会保险号、姓名、病人代码、联系信息和年龄的一次或多次出现。网络通信的编码部分可以包括这些出现或机密信息。基于这些出现，在一个实施例中，应用防火墙290可以对网络通信采取策略行动，诸如阻止发送网络通信。在又一个实施例中，应用防火墙290可以重写、移动或者以其它方式掩盖该所识别的出现或者机密信息。
仍参考图2B，设备200可以包括如上面结合图1D所讨论的性能监控代理197。在一个实施例中，设备200从如图1D中所描述的监控服务198或监控服务器106中接收监控代理197。在一些实施例中，设备200在诸如磁盘的存储装置中保存监控代理197，以用于传送给与设备200通信的任何客户机或服务器。例如，在一个实施例中，设备200在接收到建立传输层连接的请求时发送监控代理197给客户机。在其他实施例中，设备200在建立与客户机102的传输层连接时发送监控代理197。在又一个实施例中，设备200在拦截或检测对web页面的请求时发送监控代理197给客户机。在又一个实施例中，设备200响应于监控服务器198的请求来发送监控代理197到客户机或服务器。在一个实施例中，设备200发送监控代理197到第二设备200’或设备205。
在其他实施例中，设备200执行监控代理197。在一个实施例中，监控代理197测量和监控在设备200上执行的任何应用、程序、进程、服务、任务或线程的性能。例如，监控代理197可以监控和测量vServers275A-275N的性能与操作。在又一个实施例中，监控代理197测量和监控设备200的任何传输层连接的性能。在一些实施例中，监控代理197测量和监控通过设备200的任何用户会话的性能。在一个实施例中，监控代理197测量和监控通过设备200的诸如SSL VPN会话的任何虚拟专用网连接和/或会话的性能。在进一步的实施例中，监控代理197测量和监控设备200的内存、CPU和磁盘使用以及性能。在又一个实施例中，监控代理197测量和监控诸如SSL卸载、连接池和多路复用、高速缓存以及压缩的由设备200执行的任何加速技术288的性能。在一些实施例中，监控代理197测量和监控由设备200执行的任一负载平衡和/或内容交换284的性能。在其他实施例中，监控代理197测量和监控由设备200执行的应用防火墙290保护和处理的性能。
C.客户机代理
现参考图3，描述客户机代理120的实施例。客户机102包括客户机代理120，用于经由网络104与设备200和/或服务器106来建立和交换通信。总的来说，客户机102在计算装置100上操作，该计算装置100拥有带有内核模式302以及用户模式303的操作系统，以及带有一个或多个层310a-310b的网络堆栈310。客户机102可以已经安装和/或执行一个或多个应用。在一些实施例中，一个或多个应用可通过网络堆栈310与网络104通信。所述应用之一，诸如web浏览器，也可包括第一程序322。例如，可在一些实施例中使用第一程序322来安装和/或执行客户机代理120，或其中任何部分。客户机代理120包括拦截机制或者拦截器350，用于从网络堆栈310拦截来自一个或者多个应用的网络通信。
客户机102的网络堆栈310可包括任何类型和形式的软件、或硬件或其组合，用于提供与网络的连接和通信。在一个实施例中，网络堆栈310包括用于网络协议组的软件实现。网络堆栈310可包括一个或多个网络层，例如为本领域技术人员所公认和了解的开放式系统互联(OSI)通信模型的任何网络层。这样，网络堆栈310可包括用于任何以下OSI模型层的任何类型和形式的协议：1)物理链路层；2)数据链路层；3)网络层；4)传输层；5)会话层)；6)表示层，以及7)应用层。在一个实施例中，网络堆栈310可包括在因特网协议(IP)的网络层协议上的传输控制协议(TCP)，通常称为TCP/IP。在一些实施例中，可在以太网协议上承载TCP/IP协议，以太网协议可包括IEEE广域网(WAN)或局域网(LAN)协议的任何族，例如被IEEE802.3覆盖的这些协议。在一些实施例中，网络堆栈310包括任何类型和形式的无线协议，例如IEEE802.11和/或移动因特网协议。
考虑基于TCP/IP的网络，可使用任何基于TCP/IP的协议，包括消息应用编程接口(MAPI)(email)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用因特网文件系统(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议，以及互联网协议电话(VoIP)协议。在又一个实施例中，网络堆栈310包括任何类型和形式的传输控制协议，诸如修改的传输控制协议，例如事务TCP(T/TCP)，带有选择确认的TCP(TCP-SACK)，带有大窗口的TCP(TCP-LW)，例如TCP-Vegas协议的拥塞预测协议，以及TCP欺骗协议。在其他实施例中，网络堆栈310可使用诸如基于IP的UDP的任何类型和形式的用户数据报协议(UDP)，例如用于语音通信或实时数据通信。
另外，网络堆栈310可包括支持一个或多个层的一个或多个网络驱动器，例如TCP驱动器或网络层驱动器。网络层驱动器可作为计算装置100的操作系统的一部分或者作为计算装置100的任何网络接口卡或其它网络访问组件的一部分被包括。在一些实施例中，网络堆栈310的任何网络驱动器可被定制、修改或调整以提供网络堆栈310的定制或修改部分，用来支持此处描述的任何技术。在其他实施例中，设计并构建加速程序302以与网络堆栈310协同操作或工作，上述网络堆栈310由客户机102的操作系统安装或以其它方式提供。
网络堆栈310包括任何类型和形式的接口，用于接收、获得、提供或以其它方式访问涉及客户机102的网络通信的任何信息和数据。在一个实施例中，与网络堆栈310的接口包括应用编程接口(API)。接口也可包括任何函数调用、钩子或过滤机制，事件或回调机制、或任何类型的接口技术。网络堆栈310通过接口可接收或提供与网络堆栈310的功能或操作相关的任何类型和形式的数据结构，例如对象。例如，数据结构可以包括与网络分组相关的信息和数据或者一个或多个网络分组。在一些实施例中，数据结构包括在网络堆栈310的协议层处理的网络分组的一部分，例如传输层的网络分组。在一些实施例中，数据结构325包括内核级别数据结构，而在其他实施例中，数据结构325包括用户模式数据结构。内核级数据结构可以包括获得的或与在内核模式302中操作的网络堆栈310的一部分相关的数据结构、或者运行在内核模式302中的网络驱动程序或其它软件、或者由运行或操作在操作系统的内核模式的服务、进程、任务、线程或其它可执行指令获得或收到的任何数据结构。
此外，网络堆栈310的一些部分可在内核模式302执行或操作，例如，数据链路或网络层，而其他部分在用户模式303执行或操作，例如网络堆栈310的应用层。例如，网络堆栈的第一部分310a可以给应用提供对网络堆栈310的用户模式访问，而网络堆栈310的第二部分310a提供对网络的访问。在一些实施例中，网络堆栈的第一部分310a可包括网络堆栈310的一个或多个更上层，例如层5-7的任何层。在其他实施例中，网络堆栈310的第二部分310b包括一个或多个较低的层，例如层1-4的任何层。网络堆栈310的每个第一部分310a和第二部分310b可包括网络堆栈310的任何部分，位于任何一个或多个网络层，处于用户模式203、内核模式202，或其组合，或在网络层的任何部分或者到网络层的接口点，或用户模式203和内核模式202的任何部分或到用户模式203和内核模式202的接口点。
拦截器350可以包括软件、硬件、或者软件和硬件的任何组合。在一个实施例中，拦截器350在网络堆栈310的任一点拦截网络通信，并且重定向或者发送网络通信到由拦截器350或者客户机代理120所期望的、管理的或者控制的目的地。例如，拦截器350可以拦截第一网络的网络堆栈310的网络通信并且发送该网络通信到设备200，用于在第二网络104上发送。在一些实施例中，拦截器350包括含有诸如被构建和设计来与网络堆栈310对接并一同工作的网络驱动器的驱动器的任一类型的拦截器350。在一些实施例中，客户机代理120和／或拦截器350操作在网络堆栈310的一个或者多个层，诸如在传输层。在一个实施例中，拦截器350包括过滤器驱动器、钩子机制、或者连接到网络堆栈的传输层的任一形式和类型的合适网络驱动器接口，诸如通过传输驱动器接口(TDI)。在一些实施例中，拦截器350连接到诸如传输层的第一协议层和诸如传输协议层之上的任何层的另一个协议层，例如，应用协议层。在一个实施例中，拦截器350可以包括遵守网络驱动器接口规范(NDIS)的驱动器，或者NDIS驱动器。在又一个实施例中，拦截器350可以包括微型过滤器或者微端口驱动器。在一个实施例中，拦截器350或其部分在内核模式202中操作。在又一个实施例中，拦截器350或其部分在用户模式203中操作。在一些实施例中，拦截器350的一部分在内核模式202中操作，而拦截器350的另一部分在用户模式203中操作。在其他实施例中，客户机代理120在用户模式203操作，但通过拦截器350连接到内核模式驱动器、进程、服务、任务或者操作系统的部分，诸如以获取内核级数据结构225。在其他实施例中，拦截器350为用户模式应用或者程序，诸如应用。
在一个实施例中，拦截器350拦截任何的传输层连接请求。在这些实施例中，拦截器350执行传输层应用编程接口(API)调用以设置目的地信息，诸如到期望位置的目的地IP地址和／或端口用于定位。以此方式，拦截器350拦截并重定向传输层连接到由拦截器350或客户机代理120控制或管理的IP地址和端口。在一个实施例中，拦截器350把连接的目的地信息设置为客户机代理120监听的客户机102的本地IP地址和端口。例如，客户机代理120可以包括为重定向的传输层通信监听本地IP地址和端口的代理服务。在一些实施例中，客户机代理120随后将重定向的传输层通信传送到设备200。
在一些实施例中，拦截器350拦截域名服务(DNS)请求。在一个实施例中，客户机代理120和／或拦截器350解析DNS请求。在又一个实施例中，拦截器发送所拦截的DNS请求到设备200以进行DNS解析。在一个实施例中，设备200解析DNS请求并且将DNS响应传送到客户机代理120。在一些实施例中，设备200经另一个设备200’或者DNS服务器106来解析DNS请求。
在又一个实施例中，客户机代理120可以包括两个代理120和120’。在一个实施例中，第一代理120可以包括在网络堆栈310的网络层操作的拦截器350。在一些实施例中，第一代理120拦截网络层请求，诸如因特网控制消息协议(ICMP)请求(例如，查验和跟踪路由)。在其他实施例中，第二代理120'可以在传输层操作并且拦截传输层通信。在一些实施例中，第一代理120在网络堆栈210的一层拦截通信并且与第二代理120’连接或者将所拦截的通信传送到第二代理120’。
客户机代理120和／或拦截器350可以以对网络堆栈310的任何其它协议层透明的方式在协议层操作或与之对接。例如，在一个实施例中，拦截器350可以以对诸如网络层的传输层之下的任何协议层和诸如会话、表示或应用层协议的传输层之上的任何协议层透明的方式在网络堆栈310的传输层操作或与之对接。这允许网络堆栈310的其它协议层如所期望的进行操作并无需修改以使用拦截器350。这样，客户机代理120和／或拦截器350可以与传输层连接以安全、优化、加速、路由或者负载平衡经由传输层承载的任一协议提供的任一通信，诸如TCP／IP上的任一应用层协议。
此外，客户机代理120和／或拦截器可以以对任何应用、客户机102的用户和与客户机102通信的诸如服务器的任何其它计算装置透明的方式在网络堆栈310上操作或与之对接。客户机代理120和／或拦截器350可以以无需修改应用的方式被安装和／或执行在客户机102上。在一些实施例中，客户机102的用户或者与客户机102通信的计算装置未意识到客户机代理120和／或拦截器350的存在、执行或者操作。同样，在一些实施例中，相对于应用、客户机102的用户、诸如服务器的另一个计算装置、或者在由拦截器350连接的协议层之上和／或之下的任何协议层透明地来安装、执行和／或操作客户机代理120和／或拦截器350。
客户机代理120包括加速程序302、流客户机306、收集代理304和／或监控代理197。在一个实施例中，客户机代理120包括由佛罗里达州FortLauderdale的Citrix Systems Inc.开发的独立计算架构(ICA)客户机或其任一部分，并且也指ICA客户机。在一些实施例中，客户机代理120包括应用流客户机306，用于从服务器106流式传输应用到客户机102。在一些实施例中，客户机代理120包括加速程序302，用于加速客户机102和服务器106之间的通信。在又一个实施例中，客户机代理120包括收集代理304，用于执行端点检测／扫描并且用于为设备200和／或服务器106收集端点信息。
在一些实施例中，加速程序302包括用于执行一个或多个加速技术的客户机侧加速程序，以加速、增强或者以其他方式改善客户机与服务器106的通信和／或对服务器106的访问，诸如访问由服务器106提供的应用。加速程序302的可执行指令的逻辑、函数和／或操作可以执行一个或多个下列加速技术：1)多协议压缩，2)传输控制协议池，3)传输控制协议多路复用，4)传输控制协议缓冲，以及5)通过高速缓存管理器的高速缓存。另外，加速程序302可执行由客户机102接收和／或发送的任何通信的加密和／或解密。在一些实施例中，加速程序302以集成的方式或者格式执行一个或者多个加速技术。另外，加速程序302可以对作为传输层协议的网络分组的有效载荷所承载的任一协议或者多协议执行压缩。
流客户机306包括应用、程序、进程、服务、任务或者可执行指令，所述应用、程序、进程、服务、任务或者可执行指令用于接收和执行从服务器106所流式传输的应用。服务器106可以流式传输一个或者多个应用数据文件到流客户机306，用于播放、执行或者以其它方式引起客户机102上的应用被执行。在一些实施例中，服务器106发送一组压缩或者打包的应用数据文件到流客户机306。在一些实施例中，多个应用文件被压缩并存储在文件服务器上档案文件中，例如CAB、ZIP、SIT、TAR、JAR或其它档案文件。在一个实施例中，服务器106解压缩、解包或者解档应用文件并且将该文件发送到客户机102。在又一个实施例中，客户机102解压缩、解包或者解档应用文件。流客户机306动态安装应用或其部分，并且执行该应用。在一个实施例中，流客户机306可以为可执行程序。在一些实施例中，流客户机306可以能够启动另一个可执行程序。
收集代理304包括应用、程序、进程、服务、任务或者可执行指令，用于识别、获取和／或收集关于客户机102的信息。在一些实施例中，设备200发送收集代理304到客户机102或者客户机代理120。可以根据设备的策略引擎236的一个或多个策略来配置收集代理304。在其他实施例中，收集代理304发送在客户机102上收集的信息到设备200。在一个实施例中，设备200的策略引擎236使用所收集的信息来确定和提供到网络104的客户机连接的访问、验证和授权控制。
在一个实施例中，收集代理304包括端点检测和扫描机制，其识别并且确定客户机的一个或者多个属性或者特征。例如，收集代理304可以识别和确定任何一个或多个以下的客户机侧属性：1)操作系统和／或操作系统的版本，2)操作系统的服务包，3)运行的服务，4)运行的进程，和5)文件。收集代理304还可以识别并确定客户机上任何一个或多个以下软件的存在或版本：1)防病毒软件；2)个人防火墙软件；3)防垃圾邮件软件，和4)互联网安全软件。策略引擎236可以具有基于客户机或客户机侧属性的任何一个或多个属性或特性的一个或多个策略。
在一些实施例中，客户机代理120包括如结合图1D和2B所讨论的监控代理197。监控代理197可以是诸如Visual Basic或Java脚本的任何类型和形式的脚本。在一个实施例中，监控代理197监控和测量客户机代理120的任何部分的性能。例如，在一些实施例中，监控代理197监控和测量加速程序302的性能。在又一个实施例中，监控代理197监控和测量流客户机306的性能。在其他实施例中，监控代理197监控和测量收集代理304的性能。在又一个实施例中，监控代理197监控和测量拦截器350的性能。在一些实施例中，监控代理197监控和测量客户机102的诸如存储器、CPU和磁盘的任何资源。
监控代理197可以监控和测量客户机的任何应用的性能。在一个实施例中，监控代理197监控和测量客户机102上的浏览器的性能。在一些实施例中，监控代理197监控和测量经由客户机代理120传送的任何应用的性能。在其他实施例中，监控代理197测量和监控应用的最终用户响应时间，例如基于web的响应时间或HTTP响应时间。监控代理197可以监控和测量ICA或RDP客户机的性能。在又一个实施例中，监控代理197测量和监控用户会话或应用会话的指标。在一些实施例中，监控代理197测量和监控ICA或RDP会话。在一个实施例中，监控代理197测量和监控设备200在加速传送应用和／或数据到客户机102的过程中的性能。
在一些实施例中，仍参考图3，第一程序322可以用于自动地、静默地、透明地或者以其它方式安装和／或执行客户机代理120或其部分，诸如拦截器350。在一个实施例中，第一程序322包括插件组件，例如ActiveX控件或Java控件或脚本，其加载到应用并由应用执行。例如，第一程序包括由web浏览器应用载入和运行的ActiveX控件，例如在存储器空间或应用的上下文中。在又一个实施例中，第一程序322包括可执行指令组，该可执行指令组被例如浏览器的应用载入并执行。在一个实施例中，第一程序322包括被设计和构造的程序以安装客户机代理120。在一些实施例中，第一程序322通过网络从另一个计算装置获得、下载、或接收客户机代理120。在又一个实施例中，第一程序322是用于在客户机102的操作系统上安装如网络驱动的程序的安装程序或即插即用管理器。
D.用于提供虚拟化应用传送控制器的系统和方法
现参考图4A，该框图描述虚拟化环境400的一个实施例。总体而言，计算装置100包括管理程序层、虚拟化层和硬件层。管理程序层包括管理程序401(也称为虚拟化管理器)，其通过在虚拟化层中执行的至少一个虚拟机来分配和管理对硬件层中的多个物理资源(例如处理器421和盘428)的访问。虚拟化层包括至少一个操作系统410和分配给至少一个操作系统410的多个虚拟资源。虚拟资源可包括而不限于多个虚拟处理器432a、432b、432c(总称为432)和虚拟盘442a、442b、442c(总称为442)，以及如虚拟存储器和虚拟网络接口的虚拟资源。可将多个虚拟资源和操作系统称为虚拟机406。虚拟机406可包括控制操作系统405，该控制操作系统405与管理程序401通信，并用于执行应用以管理并配置计算装置100上的其他虚拟机。
具体而言，管理程序401可以以模拟可访问物理设备的操作系统的任何方式向操作系统提供虚拟资源。管理程序401可以向任何数量的客户操作系统410a、410b(总称为410)提供虚拟资源。一些实施例中，计算装置100执行一种或多种管理程序。这些实施例中，管理程序可用于模拟虚拟硬件、划分物理硬件、虚拟化物理硬件并执行提供对计算环境的访问的虚拟机。管理程序可包括由位于美国加州的Palo Alto的VMWare制造的这些程序；XEN管理程序(一种开源产品，其开发由开源Xen.org协会监管)；由微软公司提供的HyperV、VirtualServer或虚拟PC管理程序，或其他。一些实施例中，计算装置100执行创建客户操作系统可在其上执行虚拟机平台的管理程序，该计算装置100被称为宿主服务器。在这些实施例的一个中，例如，计算装置100是由位于美国佛罗里达州Fort Lauderdale的Citrix Systems有限公司提供的XEN SERVER。
一些实施例中，管理程序401在计算装置上执行的操作系统之内执行。在这些实施例的一个中，执行操作系统和管理程序401的计算装置可被视为具有宿主操作系统(执行在计算装置上的操作系统)，和客户操作系统(在由管理程序401提供的计算资源分区内执行的操作系统)。其他实施例中，管理程序401和计算装置上的硬件直接交互而不是在宿主操作系统上执行。在这些实施例的一个中，管理程序401可被视为在“裸金属(bare metal)”上执行，所述“裸金属”指包括计算装置的硬件。
一些实施例中，管理程序401可以产生操作系统410在其中执行的虚拟机406a-c(总称为406)。在这些实施例的一个中，管理程序401加载虚拟机映像以创建虚拟机406。在这些实施例的又一个中，管理程序401在虚拟机406内执行操作系统410。仍在这些实施例的又一个中，虚拟机406执行操作系统410。
一些实施例中，管理程序401控制在计算装置100上执行的虚拟机406的处理器调度和内存划分。在这些实施例的一个中，管理程序401控制至少一个虚拟机406的执行。在这些实施例的又一个中，管理程序401向至少一个虚拟机406呈现由计算装置100提供的至少一个硬件资源的抽象。其他实施例中，管理程序401控制是否以及如何将物理处理器能力呈现给虚拟机406。
控制操作系统405可以执行用于管理和配置客户操作系统的至少一个应用。一个实施例中，控制操作系统405可以执行管理应用，如包括如下用户接口的应用，该用户接口为管理员提供对用于管理虚拟机执行的功能的访问，这些功能包括用于执行虚拟机、中止虚拟机执行或者识别要分配给虚拟机的物理资源类型的功能。又一个实施例中，管理程序401在由管理程序401创建的虚拟机406内执行控制操作系统405。又一个实施例中，控制操作系统405在被授权直接访问计算装置100上的物理资源的虚拟机406上执行。一些实施例中，计算装置100a上的控制操作系统405a可以通过管理程序401a和管理程序401b之间的通信与计算装置100b上的控制操作系统405b交换数据。这样，一个或多个计算装置100可以和一个或多个其他计算装置100交换有关处理器或资源池中可用的其他物理资源的数据。在这些实施例的一个中，这种功能允许管理程序管理分布在多个物理计算装置上的资源池。在这些实施例的又一个中，多个管理程序管理在一个计算装置100上执行的一个或多个客户操作系统。
一个实施例中，控制操作系统405在被授权与至少一个客户操作系统410交互的虚拟机406上执行。又一个实施例中，客户操作系统410通过管理程序401和控制操作系统405通信，以请求访问盘或网络。仍在又一个实施例中，客户操作系统410和控制操作系统405可通过由管理程序401建立的通信信道通信，例如，通过由管理程序401提供的多个共享存储器页面。
一些实施例中，控制操作系统405包括用于直接与由计算装置100提供的网络硬件通信的网络后端驱动器。在这些实施例的一个中，网络后端驱动器处理来自至少一个客户操作系统110的至少一个虚拟机请求。其他实施例中，控制操作系统405包括用于与计算装置100上的存储元件通信的块后端驱动器。在这些实施例的一个中，块后端驱动器基于从客户操作系统410接收的至少一个请求从存储元件读写数据。
一个实施例，控制操作系统405包括工具堆栈404。其他实施例中，工具堆栈404提供如下功能：和管理程序401交互、和其他控制操作系统405(例如位于第二计算装置100b上)通信，或者管理计算装置100上的虚拟机406b、406c。又一个实施例中，工具堆栈404包括自定义应用，其用于向虚拟机群的管理员提供改进的管理功能。一些实施例中，工具堆栈404和控制操作系统405中的至少一个包括管理API，其提供用于远程配置并控制计算装置100上运行的虚拟机406的接口。其他实施例中，控制操作系统405通过工具堆栈404和管理程序401通信。
一个实施例中，管理程序401在由管理程序401创建的虚拟机406内执行客户操作系统410。又一个实施例中，客户操作系统410为计算装置100的用户提供对计算环境中的资源的访问。又一个实施例中，资源包括程序、应用、文档、文件、多个应用、多个文件、可执行程序文件、桌面环境、计算环境或对计算装置100的用户可用的其他资源。又一个实施例中，可通过多个访问方法将资源传送给计算装置100，这些方法包括但不限于：常规的直接在计算装置100上安装、通过应用流的方法传送给计算装置100、将由在第二计算装置100’上执行资源产生的并通过表示层协议传送给计算装置100的输出数据传送给计算装置100、将通过在第二计算装置100’上执行的虚拟机执行资源所产生的输出数据传送给计算装置100、或者从连接到计算装置100的移动存储装置(例如USB设备)执行或者通过在计算装置100上执行的虚拟机执行并且产生输出数据。一些实施例中，计算装置100将执行资源所产生的输出数据传输给另一个计算装置100’。
一个实施例中，客户操作系统410和该客户操作系统410在其上执行的虚拟机结合形成完全虚拟化虚拟机，该完全虚拟化虚拟机并不知道自己是虚拟机，这样的机器可称为“Domain U HVM(硬件虚拟机)虚拟机”。又一个实施例中，完全虚拟化机包括模拟基本输入／输出系统(BIOS)的软件以便在完全虚拟化机中执行操作系统。在又一个实施例中，完全虚拟化机可包括驱动器，其通过和管理程序401通信提供功能。这样的实施例中，驱动器可意识到自己在虚拟化环境中执行。又一个实施例中，客户操作系统410和该客户操作系统410在其上执行的虚拟机结合形成超虚拟化(paravirtualized)虚拟机，该超虚拟化虚拟机意识到自己是虚拟机，这样的机器可称为“DomainUPV虚拟机”。又一个实施例中，超虚拟化机包括完全虚拟化机不包括的额外驱动器。又一个实施例中，超虚拟化机包括如上所述的被包含在控制操作系统405中的网络后端驱动器和块后端驱动器。
现参考图4B，框图描述了系统中的多个联网计算装置的一个实施例，其中，至少一个物理主机执行虚拟机。总体而言，系统包括管理组件404和管理程序401。系统包括多个计算装置100、多个虚拟机406、多个管理程序401、多个管理组件(又称为工具堆栈404或者管理组件404)以及物理资源421、428。多个物理机器100的每一个可被提供为如上结合图1E-1H和图4A描述的计算装置100。
具体而言，物理盘428由计算装置100提供，存储至少一部分虚拟盘442。一些实施例中，虚拟盘442和多个物理盘428相关联。在这些实施例的一个中，一个或多个计算装置100可以与一个或多个其他计算装置100交换有关处理器或资源池中可用的其他物理资源的数据，允许管理程序管理分布在多个物理计算装置上的资源池。一些实施例中，将虚拟机406在其上执行的计算装置100称为物理主机100或主机100。
管理程序在计算装置100上的处理器上执行。管理程序将对物理盘的访问量分配给虚拟盘。一个实施例中，管理程序401分配物理盘上的空间量。又一个实施例中，管理程序401分配物理盘上的多个页面。一些实施例中，管理程序提供虚拟盘442作为初始化和执行虚拟机450进程的一部分。
一个实施例中，将管理组件404a称为池管理组件404a。又一个实施例中，可以称为控制管理系统405a的管理操作系统405a包括管理组件。一些实施例中，将管理组件称为工具堆栈。在这些实施例的一个中，管理组件是上文结合图4A描述的工具堆栈404。其他实施例中，管理组件404提供用户接口，用于从如管理员的用户接收要供应和／或执行的虚拟机406的标识。仍在其他实施例中，管理组件404提供用户接口，用于从如管理员的用户接收将虚拟机406b从一个物理机器100迁移到另一物理机器的请求。在进一步的实施例中，管理组件404a识别在其上执行所请求的虚拟机406d的计算装置100b并指示所识别的计算装置100b上的管理程序401b执行所识别的虚拟机，这样，可将管理组件称为池管理组件。
现参考图4C，描述了虚拟应用传送控制器或虚拟设备450的实施例。总体而言，上文结合图2A和2B描述的设备200的任何功能和／或实施例(例如应用传送控制器)可以部署在上文结合图4A和4B描述的虚拟化环境的任何实施例中。应用传送控制器的功能不是以设备200的形式部署，而是将该功能部署在诸如客户机102、服务器106或设备200的任何计算装置100上的虚拟化环境400中。
现在参考图4C，描述了在服务器106的管理程序401上操作的虚拟设备450的实施例的框图。如图2A和2B的设备200一样，虚拟机450可以提供可用性、性能、卸载和安全的功能。对于可用性，虚拟设备可以执行网络第4层和第7层之间的负载平衡并执行智能服务健康监控。对于通过网络流量加速实现的性能增加，虚拟设备可以执行缓存和压缩。对于任何服务器的卸载处理，虚拟设备可以执行连接复用和连接池和／或SSL处理。对于安全，虚拟设备可以执行设备200的任何应用防火墙功能和SSL VPN功能。
结合附图2A描述的设备200的任何模块可以虚拟化设备传送控制器450的形式被打包、组合、设计或构造，虚拟化设备传送控制器450可部署成在诸如流行的服务器这样的任何服务器上的虚拟化环境300或非虚拟化环境中执行的软件模块或组件。例如，可以安装在计算装置上的安装包的形式提供虚拟设备。参考图2A，可以将高速缓存管理器232、策略引擎236、压缩238、加密引擎234、分组引擎240、GUI210、CLI212、壳服务214中的任一个设计和构成在计算装置和/或虚拟化环境300的任何操作系统上运行的组件或模块。虚拟化设备400不使用设备200的加密处理器260、处理器262、存储器264和网络堆栈267，而是可使用虚拟化环境400提供的任何这些资源或者服务器106上以其他方式可用的这些资源。
仍参考图4C，简言之，任何一个或多个vServer275A-275N可以操作或执行在任意类型的计算装置100(如服务器106)的虚拟化环境400中。结合附图2B描述的设备200的任何模块和功能可以设计和构造成在服务器的虚拟化或非虚拟化环境中操作。可以将vServer275、SSL VPN280、内网UP282、交换装置284、DNS286、加速装置288、APP FW280和监控代理中的任一个打包、组合、设计或构造成应用传送控制器450的形式，应用传送控制器450可部署成在装置和/或虚拟化环境400中执行的一个或多个软件模块或组件。
一些实施例中，服务器可以在虚拟化环境中执行多个虚拟机406a-406b，每个虚拟机运行虚拟应用传送控制器450的相同或不同实施例。一些实施例中，服务器可以在多核处理系统的一个核上执行一个或多个虚拟机上的一个或多个虚拟设备450。一些实施例中，服务器可以在多处理器装置的每个处理器上执行一个或多个虚拟机上的一个或多个虚拟设备450。
E.提供多核架构的系统和方法
根据摩尔定律，每两年集成电路上可安装的晶体管的数量会基本翻倍。然而，CPU速度增加会达到一个稳定的水平(plateaus)，例如，2005年以来，CPU速度在约3.5-4GHz的范围内。一些情况下，CPU制造商可能不依靠CPU速度增加来获得额外的性能。一些CPU制造商会给处理器增加附加核以提供额外的性能。依靠CPU获得性能改善的如软件和网络供应商的产品可以通过利用这些多核CPU来改进他们的性能。可以重新设计和/或编写为单CPU设计和构造的软件以利用多线程、并行架构或多核架构。
一些实施例中，称为nCore或多核技术的设备200的多核架构允许设备打破单核性能障碍并利用多核CPU的能力。前文结合图2A描述的架构中，运行单个网络或分组引擎。nCore技术和架构的多核允许同时和/或并行地运行多个分组引擎。通过在每个核上运行分组引擎，设备架构利用附加核的处理能力。一些实施例中，这提供了高达七倍的性能改善和扩展性。
图5A示出根据一类并行机制或并行计算方案(如功能并行机制、数据并行机制或基于流的数据并行机制)在一个或多个处理器核上分布的工作、任务、负载或网络流量的一些实施例。总体而言，图5A示出如具有n个核的设备200'的多核系统的实施例，n个核编号为1到N。一个实施例中，工作、负载或网络流量可以分布在第一核505A、第二核505B、第三核505C、第四核505D、第五核505E、第六核505F、第七核505G等上，这样，分布位于所有n个核505N(此后统称为核505)或n个核中的两个或多个上。可以有多个VIP275，每个运行在多个核中的相应的核上。可以有多个分组引擎240，每个运行在多个核的相应的核。所使用任何方法可产生多个核中任一核上的不同的、变化的或类似的工作负载或性能级别515。对于功能并行方法，每个核运行由分组引擎、VIP275或设备200提供的多个功能的不同功能。在数据并行方法中，数据可基于接收数据的网络接口卡(NIC)或VIP275并行或分布在核上。又一个数据并行方法中，可通过将数据流分布在每个核上而将处理分布在核上。
图5A的进一步的细节中，一些实施例中，可以根据功能并行机制500将负载、工作或网络流量在多个核505间分布。功能并行机制可基于执行一个或多个相应功能的每个核。一些实施例中，第一核可执行第一功能，同时第二核执行第二功能。功能并行方法中，根据功能性将多核系统要执行的功能划分并分布到每个核。一些实施例中，可将功能并行机制称为任务并行机制，并且可在每个处理器或核对同一数据或不同数据执行不同进程或功能时实现。核或处理器可执行相同或不同的代码。一些情况下，不同的执行线程或代码可在工作时相互通信。可以进行通信以将数据作为工作流的一部分从一个线程传递给下一线程。
一些实施例中，根据功能并行机制500将工作分布在核505上，可以包括根据特定功能分布网络流量，所述特定功能例如为网络输入/输出管理(NW I/O)510A、安全套接层(SSL)加密和解密510B和传输控制协议(TCP)功能510C。这会产生基于所使用的功能量或功能级别的工作、性能或者计算负载515。一些实施例中，根据数据并行机制540将工作分布在核505上可包括基于与特定的硬件或软件组件相关联的分布数据来分布工作量515。一些实施例中，根据基于流的数据并行机制520将工作分布在核505上可包括基于上下文或流来分布数据，从而使得每个核上的工作量515A-N可以类似、基本相等或者相对平均分布。
在功能并行方法的情况下，可以配置每个核来运行由设备的分组引擎或VIP提供的多个功能中的一个或多个功能。例如，核1可执行设备200’的网络I/O处理，同时核2执行设备的TCP连接管理。类似地，核3可执行SSL卸载，同时核4可执行第7层或应用层处理和流量管理。每个核可执行相同或不同的功能。每个核可执行不只一个功能。任一核可运行结合附图2A和2B识别和/或描述的功能或其一部分。该方法中，核上的工作可以粗粒度或细粒度方式按功能划分。一些情况下，如图5A所示，按功能划分会使得不同核运行在不同的性能或负载级别515。
在功能并行方法的情况下，可以配置每个核来运行由设备的分组引擎提供的多个功能中的一个或多个功能。例如，核1可执行设备200’的网络I/O处理，同时核2执行设备的TCP连接管理。类似地，核3可执行SSL卸载，同时核4可执行第7层或应用层处理和流量管理。每个核可执行相同或不同的功能。每个核可执行不只一个功能。任何核可运行结合附图2A和2B识别和/或描述的功能或其一部分。该方法中，核上的工作可以粗粒度或细粒度方式按功能划分。一些情况下，如图5A所示，按功能划分会使得不同核运行在不同的性能或负载级别。
可以用任何结构或方案来分布功能或任务。例如，图5B示出用于处理与网络I/O功能510A相关联的应用和进程的第一核Core1505A。一些实施例中，与网络I/O相关联的网络流量可以和特定的端口号相关联。因而，将具有与NW I/O510A相关联的端口目的地的发出和到来的分组导引给Core1505A，该Core1505A专用于处理与NW I/O端口相关联的所有网络流量。类似的，Core2505B专用于处理与SSL处理相关联的功能，Core4505D可专用于处理所有TCP级处理和功能。
虽然图5A示出如网络I/O、SSL和TCP的功能，也可将其他功能分配给核。这些其他功能可包括此处描述的任一或多个功能或操作。例如，结合图2A和2B描述的任何功能可基于功能基础分布在核上。一些情况下，第一VIP275A可运行在第一核上，同时，具有不同配置的第二VIP275B可运行在第二核上。一些实施例中，每个核505可处理特定功能，这样每个核505可处理与该特定功能相关联的处理。例如，Core2505B可处理SSL卸载，同时Core4505D可处理应用层处理和流量管理。
其他实施例中，可根据任何类型或形式的数据并行机制540将工作、负载或网络流量分布在核505上。一些实施例中，可由每个核对分布式数据的不同片执行相同任务或功能来实现多核系统中的数据并行机制。一些实施例中，单个执行线程或代码控制对所有数据片的操作。其他实施例中，不同线程或指令控制操作，但是可执行相同代码。一些实施例中，从分组引擎、vServer(VIP)275A-C、网络接口卡(NIC)542D-E和/或设备200上包括的或者与设备200相关联的任何其他网络硬件或软件的角度实现数据并行机制。例如，每个核可运行同样的分组引擎或VIP代码或配置但是在不同的分布式数据集上进行操作。每个网络硬件或软件结构可接收不同的、变化的或者基本相同量的数据，因而可以具有变化的、不同的或相对相同量的负载515。
在数据并行方法的情况下，可以基于VIP、NIC和/或VIP或NIC的数据流来划分和分布工作。在这些的方法的一个中，可通过使每个VIP在分布的数据集上工作来将多核系统的工作划分或者分布在VIP中。例如，可配置每个核运行一个或多个VIP。网络流量可分布在处理流量的每个VIP的核上。在这些方法的又一个中，可基于哪个NIC接收网络流量来将设备的工作划分或分布在核上。例如，第一NIC的网络流量可被分布到第一核，同时第二NIC的网络流量可被分布给第二核。一些情况下，核可处理来自多个NIC的数据。
虽然图5A示出了与单个核505相关联的单个vServer，正如VIP1275A、VIP2275B和VIP3275C的情况。但是，一些实施例中，单个vServer可以与一个或者多个核505相关联。相反，一个或多个vServer可以与单个核505相关联。将vServer与核505关联可包括该核505处理与该特定vServer关联的所有功能。一些实施例中，每个核执行具有相同代码和配置的VIP。其他实施例中，每个核执行具有相同代码但配置不同的VIP。一些实施例中，每个核执行具有不同代码和相同或不同配置的VIP。
和vServer类似，NIC也可以和特定的核505关联。许多实施例中，NIC可以连接到一个或多个核505，这样，当NIC接收或传输数据分组时，特定的核505处理涉及接收和传输数据分组的处理。一个实施例中，单个NIC可以与单个核505相关联，正如NIC1542D和NIC2542E的情况。其他实施例中，一个或多个NIC可以与单个核505相关联。但其他实施例中，单个NIC可以与一个或者多个核505相关联。这些实施例中，负载可以分布在一个或多个核505上，使得每个核505基本上处理类似的负载量。与NIC关联的核505可以处理与该特定NIC关联的所有功能和/或数据。
虽然根据VIP或NIC的数据将工作分布在核上具有某种程度的独立性，但是，一些实施例中，这会造成如图5A的变化负载515所示的核的不平衡的使用。
一些实施例中，可根据任何类型或形式的数据流将负载、工作或网络流量分布在核505上。在这些方法的又一个中，可基于数据流将工作划分或分布在多个核上。例如，客户机或服务器之间的经过设备的网络流量可以被分布到多个核中的一个核并且由其处理。一些情况下，最初建立会话或连接的核可以是该会话或连接的网络流量所分布的核。一些实施例中，数据流基于网络流量的任何单元或部分，如事务、请求/响应通信或来自客户机上的应用的流量。这样，一些实施例中，客户机和服务器之间的经过设备200’的数据流可以比其他方式分布的更均衡。
在基于流的数据并行机制520中，数据分布和任何类型的数据流相关，例如请求/响应对、事务、会话、连接或应用通信。例如，客户机或服务器之间的经过设备的网络流量可以被分布到多个核中的一个核并且由其处理。一些情况下，最初建立会话或连接的核可以是该会话或连接的网络流量所分布的核。数据流的分布可以使得每个核505运行基本相等或相对均匀分布的负载量、数据量或网络流量。
一些实施例中，数据流基于网络流量的任何单元或部分，如事务、请求/响应通信或源自客户机上的应用的流量。这样，一些实施例中，客户机和服务器之间的经过设备200’的数据流可以比其他方式分布的更均衡。一个实施例中，可以基于事务或一系列事务分布数据量。一些实施例中，该事务可以是客户机和服务器之间的，其特征可以是IP地址或其他分组标识符。例如，核1 505A可专用于特定客户机和特定服务器之间的事务，因此，核1 505A上的负载515A可包括与特定客户机和服务器之间的事务相关联的网络流量。可通过将源自特定客户机或服务器的所有数据分组路由到核1 505A来将网络流量分配给核1 505A。
虽然可部分地基于事务将工作或负载分布到核，但是，其他实施例中，可基于每个分组的基础分配负载或工作。这些实施例中，设备200可拦截数据分组并将数据分组分配给负载量最小的核505。例如，由于核1上的负载515A小于其他核505B-N上的负载515B-N，所以设备200可将第一到来的数据分组分配给核1 505A。将第一数据分组分配给核1 505A后，核1 505A上的负载量515A与处理第一数据分组所需的处理资源量成比例增加。设备200拦截到第二数据分组时，设备200会将负载分配给核4 505D，这是由于核4 505D具有第二少的负载量。一些实施例中，将数据分组分配给负载量最小的核可确保分布到每个核505的负载515A-N保持基本相等。
其他实施例中，将一部分网络流量分配给特定核505的情况下，可以每单元为基础分配负载。上述示例说明以每分组为基础进行负载平衡。其他实施例中，可以基于分组数目分配负载，例如，将每10个、100个或1000个分组分配给流量最少的核505。分配给核505的分组数量可以是由应用、用户或管理员确定的数目，而且可以为大于零的任何数。仍在其他实施例中，基于时间指标分配负载，使得在预定时间段将分组分布到特定核505。这些实施例中，可以在5毫秒内或者由用户、程序、系统、管理器或其他方式确定的任何时间段将分组分布到特定核505。预定时间段过去后，在预定时间段内将时间分组传输给不同的核505。
用于将工作、负载或网络流量分布在一个或多个核505上的基于流的数据并行方法可包括上述实施例的任意组合。这些方法可以由设备200的任何部分执行，由在核505上执行的应用或者一组可执行指令执行，例如分组引擎，或者由在与设备200通信的计算装置上执行的任何应用、程序或代理执行。
图5A所示的功能和数据并行机制计算方案可以任何方式组合，以产生混合并行机制或分布式处理方案，其包括功能并行机制500、数据并行机制540、基于流的数据并行机制520或者其任何部分。一些情况下，多核系统可使用任何类型或形式的负载平衡方案来将负载分布在一个或多个核505上。负载平衡方案可以和任何功能和数据平行方案或其组合结合使用。
图5B示出多核系统545的实施例，该系统可以是任何类型或形式的一个或多个系统、设备、装置或组件。一些实施例中，该系统545可被包括在具有一个或多个处理核505A-N的设备200内。系统545还可包括与存储器总线556通信的一个或多个分组引擎(PE)或分组处理引擎(PPE)548A-N。存储器总线可用于与一个或多个处理核505A-N通信。系统545还可包括一个或多个网络接口卡(NIC)552和流分布器550，流分布器还可与一个或多个处理核505A-N通信。流分布器550可包括接收侧调整器(Receiver SideScaler-RSS)或接收侧调整(Receiver Side Scaling-RSS)模块560。
进一步参考图5B，具体而言，一个实施例中，分组引擎548A-N可包括此处所述的设备200的任何部分，例如图2A和2B所述设备的任何部分。一些实施例中，分组引擎548A-N可包括任何下列的元件：分组引擎240、网络堆栈267、高速缓存管理器232、策略引擎236、压缩引擎238、加密引擎234、GUI210、CLI212、壳服务214、监控程序216以及能够从数据总线556或一个或多个核505A-N中的任一个接收数据分组的其他任何软件和硬件元件。一些实施例中，分组引擎548A-N可包括一个或多个vServer275A-N或其任何部分。其他实施例中，分组引擎548A-N可提供以下功能的任意组合：SSL VPN280、内部网IP282、交换284、DNS286、分组加速288、APPFW280、如由监控代理197提供的监控、和作为TCP堆栈关联的功能、负载平衡、SSL卸载和处理、内容交换、策略评估、高速缓存、压缩、编码、解压缩、解码、应用防火墙功能、XML处理和加速以及SSL VPN连接。
一些实施例中，分组引擎548A-N可以与特定服务器、用户、客户或网络关联。分组引擎548与特定实体关联时，分组引擎548可处理与该实体关联的数据分组。例如，如果分组引擎548与第一用户关联，那么该分组引擎548将对由第一用户产生的分组或者目的地址与第一用户关联的分组进行处理和操作。类似地，分组引擎548可选择不与特定实体关联，使得分组引擎548可对不是由该实体产生的或目的是该实体的任何数据分组进行处理和以其他方式进行操作。
一些实例中，可将分组引擎548A-N配置为执行图5A所示的任何功能和/或数据并行方案。这些实例中，分组引擎548A-N可将功能或数据分布在多个核505A-N上，从而使得分布是根据并行机制或分布方案的。一些实施例中，单个分组引擎548A-N执行负载平衡方案，其他实施例中，一个或多个分组引擎548A-N执行负载平衡方案。一个实施例中，每个核505A-N可以与特定分组引擎548关联，使得可以由分组引擎执行负载平衡。在该实施例中，负载平衡可要求与核505关联的每个分组引擎548A-N和与核关联的其他分组引擎通信，使得分组引擎548A-N可共同决定将负载分布在何处。该过程的一个实施例可包括从每个分组引擎接收对于负载的投票的仲裁器。仲裁器可部分地基于引擎投票的持续时间将负载分配给每个分组引擎548A-N，一些情况下，还可基于与在引擎关联的核505上的当前负载量相关联的优先级值来将负载分配给每个分组引擎548A-N。
核上运行的任何分组引擎可以运行于用户模式、内核模式或其任意组合。一些实施例中，分组引擎作为在用户空间或应用空间中运行的应用或程序来操作。这些实施例中，分组引擎可使用任何类型或形式的接口来访问内核提供的任何功能。一些实施例中，分组引擎操作于内核模式中或作为内核的一部分来操作。一些实施例中，分组引擎的第一部分操作于用户模式中，分组引擎的第二部分操作于内核模式中。一些实施例中，第一核上的第一分组引擎执行于内核模式中，同时，第二核上的第二分组引擎执行于用户模式中。一些实施例中，分组引擎或其任何部分对NIC或其任何驱动器进行操作或者与其联合操作。
一些实施例中，存储器总线556可以是任何类型或形式的存储器或计算机总线。虽然在图5B中描述了单个存储器总线556，但是系统545可包括任意数量的存储器总线556。一个实施例中，每个分组引擎548可以和一个或者多个单独的存储器总线556相关联。
一些实施例中，NIC552可以是此处所述的任何网络接口卡或机制。NIC552可具有任意数量的端口。NIC可设计并构造成连接到任何类型和形式的网络104。虽然示出单个NIC552，但是，系统545可包括任意数量的NIC552。一些实施例中，每个核505A-N可以与一个或多个单个NIC552关联。因而，每个核505可以与专用于特定核505的单个NIC552关联。核505A-N可包括此处所述的任何处理器。此外，可根据此处所述的任何核505配置来配置核505A-N。另外，核505A-N可具有此处所述的任何核505功能。虽然图5B示出七个核505A-G，但是系统545可包括任意数量的核505。具体而言，系统545可包括N个核，其中N是大于零的整数。
核可具有或使用被分配或指派用于该核的存储器。可将存储器视为该核的专有或本地存储器并且仅有该核可访问该存储器。核可具有或使用共享的或指派给多个核的存储器。该存储器可被视为由不只一个核可访问的公共或共享存储器。核可使用专有或公共存储器的任何组合。通过每个核的单独的地址空间，消除了使用同一地址空间的情况下的一些协调级别。利用单独的地址空间，核可以对核自己的地址空间中的信息和数据进行工作，而不用担心与其他核冲突。每个分组引擎可以具有用于TCP和/或SSL连接的单独存储器池。
仍参考图5B，上文结合图5A描述的核505的任何功能和/或实施例可以部署在上文结合图4A和4B描述的虚拟化环境的任何实施例中。不是以物理处理器505的形式部署核505的功能，而是将这些功能部署在诸如客户机102、服务器106或设备200的任何计算装置100的虚拟化环境400内。其他实施例中，不是以设备或一个装置的形式部署核505的功能，而是将该功能部署在任何布置的多个装置上。例如，一个装置可包括两个或多个核，另一个装置可包括两个或多个核。例如，多核系统可包括计算装置的集群、服务器群或计算装置的网络。一些实施例中，不是以核的形式部署核505的功能，而是将该功能部署在多个处理器上，例如部署多个单核处理器上。
一个实施例中，核505可以为任何形式或类型的处理器。一些实施例中，核的功能可以基本类似此处所述的任何处理器或中央处理单元。一些实施例中，核505可包括此处所述的任何处理器的任何部分。虽然图5A示出7个核，但是，设备200内可以有任意N个核，其中N是大于1的整数。一些实施例中，核505可以安装在公用设备200内，其他实施例中，核505可以安装在彼此通信连接的一个或多个设备200内。一些实施例中，核505包括图形处理软件，而其他实施例中，核505提供通用处理能力。核505可彼此物理靠近地安装和/或可彼此通信连接。可以用以物理方式和/或通信方式耦合到核的任何类型和形式的总线或子系统连接核，用于向核、从核和/或在核之间传输数据。
尽管每个核505可包括用于与其他核通信的软件，一些实施例中，核管理器(未示出)可有助于每个核505之间的通信。一些实施例中，内核可提供核管理。核可以使用各种接口机制彼此接口或通信。一些实施例中，可以使用核到核的消息传送来在核之间通信，比如，第一核通过连接到核的总线或子系统向第二核发送消息或数据。一些实施例中，核可通过任何种类或形式的共享存储器接口通信。一个实施例中，可以存在在所有核中共享的一个或多个存储器单元。一些实施例中，每个核可以具有和每个其他核共享的单独存储器单元。例如，第一核可具有与第二核的第一共享存储器，以及与第三核的第二共享存储器。一些实施例中，核可通过任何类型的编程或API(如通过内核的函数调用)来通信。一些实施例中，操作系统可识别并支持多核装置，并提供用于核间通信的接口和API。
流分布器550可以是任何应用、程序、库、脚本、任务、服务、进程或在任何类型或形式的硬件上执行的任何类型和形式的可执行指令。一些实施例中，流分布器550可以是用于执行此处所述任何操作和功能的任何电路设计或结构。一些实施例中，流分布器分布、转发、路由、控制和/或管理多个核505上的数据和/或在核上运行的分组引擎或VIP的分布。一些实施例中，可将流分布器550称为接口主装置(interface master)。一个实施例中，流分布器550包括在设备200的核或处理器上执行的一组可执行指令。又一个实施例中，流分布器550包括在与设备200通信的计算机器上执行的一组可执行指令。一些实施例中，流分布器550包括在如固件的NIC上执行的一组可执行指令。其他实施例，流分布器550包括用于将数据分组分布在核或处理器上的软件和硬件的任何组合。一个实施例中，流分布器550在至少一个核505A-N上执行，而在其他实施例中，分配给每个核505A-N的单独的流分布器550在相关联的核505A-N上执行。流分布器可使用任何类型和形式的统计或概率算法或决策来平衡多个核上的流。可以将如NIC的设备硬件或内核设计或构造成支持NIC和/或核上的顺序操作。
系统545包括一个或多个流分布器550的实施例中，每个流分布器550可以与处理器505或分组引擎548关联。流分布器550可包括允许每个流分布器550和在系统545内执行的其他流分布器550通信的接口机制。一个实例中，一个或多个流分布器550可通过彼此通信确定如何平衡负载。该过程的操作可以基本与上述过程类似，即将投票提交给仲裁器，然后仲裁器确定哪个流分布器550应该接收负载。其他实施例中，第一流分布器550’可识别所关联的核上的负载并基于任何下列标准确定是否将第一数据分组转发到所关联的核：所关联的核上的负载大于预定阈值；所关联的核上的负载小于预定阈值；所关联的核上的负载小于其他核上的负载；或者可以用于部分基于处理器上的负载量来确定将数据分组转发到何处的任何其他指标。
流分布器550可以根据如此处所述的分布、计算或负载平衡方法而将网络流量分布在核505上。一个实施例中，流分布器可基于功能并行机制分布方案550、数据并行机制负载分布方案540、基于流的数据并行机制分布方案520或这些分布方案的任意组合或用于将负载分布在多个处理器上的任何负载平衡方案来分布网络流量。因而，流分布器550可通过接收数据分组并根据操作的负载平衡或分布方案将数据分组分布在处理器上而充当负载分布器。一个实施例中，流分布器550可包括用于确定如何相应地分布分组、工作或负载的一个或多个操作、函数或逻辑。又一个实施例中，流分布器550可包括可识别与数据分组关联的源地址和目的地址并相应地分布分组的一个或多个子操作、函数或逻辑。
一些实施例中，流分布器550可包括接收侧调整(RSS)网络驱动器模块560或将数据分组分布在一个或多个核505上的任何类型和形式的可执行指令。RSS模块560可以包括硬件和软件的任意组合。一些实施例中，RSS模块560和流分布器550协同工作以将数据分组分布在核505A-N或多处理器网络中的多个处理器上。一些实施例中，RSS模块560可在NIC552中执行，其他实施例中，可在核505的任何一个上执行。
一些实施例中，RSS模块560使用微软接收侧调整(RSS)方法。一个实施例中，RSS是微软可扩展网络主动技术(Microsoft Scalable Networkinginitiative technology)，其使得系统中的多个处理器上的接收处理是平衡的，同时保持数据的顺序传送。RSS可使用任何类型或形式的哈希方案来确定用于处理网络分组的核或处理器。
RSS模块560可应用任何类型或形式的哈希函数，如Toeplitz哈希函数。哈希函数可应用到哈希类型值或者任何值序列。哈希函数可以是任意安全级别的安全哈希或者是以其他方式加密。哈希函数可使用哈希关键字(hashkey)。关键字的大小取决于哈希函数。对于Toeplitz哈希，用于IPv6的哈希关键字大小为40字节，用于IPv4的哈希关键字大小为16字节。
可以基于任何一个或多个标准或设计目标设计或构造哈希函数。一些实施例中，可使用为不同的哈希输入和不同哈希类型提供均匀分布的哈希结果的哈希函数，所述不同哈希输入和不同哈希类型包括TCP/IPv4、TCP/IPv6、IPv4和IPv6头部。一些实施例中，可使用存在少量桶时(例如2个或4个)提供均匀分布的哈希结果的哈希函数。一些实施例中，可使用存在大量桶时(例如64个桶)提供随机分布的哈希结果的哈希函数。在一些实施例中，基于计算或资源使用水平来确定哈希函数。在一些实施例中，基于在硬件中实现哈希的难易度来确定哈希函数。在一些实施例中，基于用恶意的远程主机发送将全部哈希到同一桶中的分组的难易度来确定哈希函数。
RSS可从任意类型和形式的输入来产生哈希，例如值序列。该值序列可包括网络分组的任何部分，如网络分组的任何头部、域或载荷或其一部分。一些实施例中，可将哈希输入称为哈希类型，哈希输入可包括与网络分组或数据流关联的任何信息元组，例如下面的类型：包括至少两个IP地址和两个端口的四元组、包括任意四组值的四元组、六元组、二元组和/或任何其他数字或值序列。以下是可由RSS使用的哈希类型示例：
-源TCP端口、源IP版本4(IPv4)地址、目的TCP端口和目的IPv4地址的四元组。
-源TCP端口、源IP版本6(IPv6)地址、目的TCP端口和目的IPv6地址的四元组。
-源IPv4地址和目的IPv4地址的二元组。源IPv6地址和目的IPv6地址的二元组。
-源IPv6地址和目的IPv6地址的二元组，包括对解析IPv6扩展头部的支持。
哈希结果或其任何部分可用于识别用于分布网络分组的核或实体，如分组引擎或VIP。一些实施例中，可向哈希结果应用一个或者多个哈希位或掩码。哈希位或掩码可以是任何位数或字节数。NIC可支持任意位，例如7位。网络堆栈可在初始化时设定要使用的实际位数。位数介于1和7之间，包括端值。
可通过任意类型和形式的表用哈希结果来识别核或实体，例如通过桶表(bucket table)或间接表(indirection table)。一些实施例中，用哈希结果的位数来索引表。哈希掩码的范围可有效地限定间接表的大小。哈希结果的任何部分或哈希结果自身可用于索引间接表。表中的值可标识任何核或处理器，例如通过核或处理器标识符来标识。一些实施例中，表中标识多核系统的所有核。其他实施例中，表中标识多核系统的一部分核。间接表可包括任意多个桶，例如2到128个桶，可以用哈希掩码索引这些桶。每个桶可包括标识核或处理器的索引值范围。一些实施例中，流控制器和/或RSS模块可通过改变间接表来重新平衡网络负载。
一些实施例中，多核系统575不包括RSS驱动器或RSS模块560。在这些实施例的一些中，软件操控模块(未示出)或系统内RSS模块的软件实施例可以和流分布器550共同操作或者作为流分布器550的一部分操作，以将分组引导到多核系统575中的核505。
一些实施例中，流分布器550在设备200上的任何模块或程序中执行，或者在多核系统575中包括的任何一个核505和任一装置或组件上执行。一些实施例中，流分布器550’可在第一核505A上执行，而在其他实施例中，流分布器550”可在NIC552上执行。其他实施例中，流分布器550’的实例可在多核系统575中包括的每个核505上执行。该实施例中，流分布器550’的每个实例可和流分布器550’的其他实例通信以在核505之间来回转发分组。存在这样的状况，其中，对请求分组的响应不是由同一核处理的，即第一核处理请求，而第二核处理响应。这些情况下，流分布器550’的实例可以拦截分组并将分组转发到期望的或正确的核505，即流分布器550’可将响应转发到第一核。流分布器550’的多个实例可以在任意数量的核505或核505的任何组合上执行。
流分布器可以响应于任一个或多个规则或策略而操作。规则可识别接收网络分组、数据或数据流的核或分组处理引擎。规则可识别和网络分组有关的任何类型和形式的元组信息，例如源和目的IP地址以及源和目的端口的四元组。基于所接收的匹配规则所指定的元组的分组，流分布器可将分组转发到核或分组引擎。一些实施例中，通过共享存储器和/或核到核的消息传输将分组转发到核。
虽然图5B示出了在多核系统575中执行的流分布器550，但是，一些实施例中，流分布器550可执行在位于远离多核系统575的计算装置或设备上。这样的实施例中，流分布器550可以和多核系统575通信以接收数据分组并将分组分布在一个或多个核505上。一个实施例中，流分布器550接收以设备200为目的地的数据分组，向所接收的数据分组应用分布方案并将数据分组分布到多核系统575的一个或多个核505。一个实施例中，流分布器550可以被包括在路由器或其他设备中，这样路由器可以通过改变与每个分组关联的元数据而以特定核505为目的地，从而每个分组以多核系统575的子节点为目的地。这样的实施例中，可用CISCO的vn-tag机制来改变或标记具有适当元数据的每个分组。
图5C示出包括一个或多个处理核505A-N的多核系统575的实施例。简言之，核505中的一个可被指定为控制核505A并可用作其他核505的控制平面570。其他核可以是次级核，其工作于数据平面，而控制核提供控制平面。核505A-N共享全局高速缓存580。控制核提供控制平面，多核系统中的其他核形成或提供数据平面。这些核对网络流量执行数据处理功能，而控制核提供对多核系统的初始化、配置和控制。
仍参考图5C，具体而言，核505A-N以及控制核505A可以是此处所述的任何处理器。此外，核505A-N和控制核505A可以是能在图5C所述系统中工作的任何处理器。另外，核505A-N可以是此处所述的任何核或核组。控制核可以是与其他核不同类型的核或处理器。一些实施例中，控制核可操作不同的分组引擎或者具有与其他核的分组引擎配置不同的分组引擎。
每个核的存储器的任何部分可以被分配给或者用作核共享的全局高速缓存。简而言之，每个核的每个存储器的预定百分比或预定量可用作全局高速缓存。例如，每个核的每个存储器的50％可用作或分配给共享全局高速缓存。也就是说，所示实施例中，除了控制平面核或核1以外的每个核的2GB可用于形成28GB的共享全局高速缓存。例如通过配置服务而配置控制平面可确定用于共享全局高速缓存的存储量(the amount of memory)。一些实施例中，每个核可提供不同的存储量供全局高速缓存使用。其他实施例中，任一核可以不提供任何存储器或不使用全局高速缓存。一些实施例中，任何核也可具有未分配给全局共享存储器的存储器中的本地高速缓存。每个核可将网络流量的任意部分存储在全局共享高速缓存中。每个核可检查高速缓存来查找要在请求或响应中使用的任何内容。任何核可从全局共享高速缓存获得内容以在数据流、请求或响应中使用。
全局高速缓存580可以是任意类型或形式的存储器或存储元件，例如此处所述的任何存储器或存储元件。一些实施例中，核505可访问预定的存储量(即32GB或者与系统575相当的任何其他存储量)。全局高速缓存580可以从预定的存储量分配而来，同时，其余的可用存储器可在核505之间分配。其他实施例中，每个核505可具有预定的存储量。全局高速缓存580可包括分配给每个核505的存储量。该存储量可以字节为单位来测量，或者可用分配给每个核505的存储器百分比来测量。因而，全局高速缓存580可包括来自与每个核505关联的存储器的1GB存储器，或者可包括和每个核505关联的存储器的20％或一半。一些实施例，只有一部分核505提供存储器给全局高速缓存580，而在其他实施例，全局高速缓存580可包括未分配给核505的存储器。
每个核505可使用全局高速缓存580来存储网络流量或缓存数据。一些实施例中，核的分组引擎使用全局高速缓存来缓存并使用由多个分组引擎所存储的数据。例如，图2A的高速缓存管理器和图2B的高速缓存功能可使用全局高速缓存来共享数据以用于加速。例如，每个分组引擎可在全局高速缓存中存储例如HTML数据的响应。操作于核上的任何高速缓存管理器可访问全局高速缓存来将高速缓存响应提供给客户请求。
一些实施例中，核505可使用全局高速缓存580来存储端口分配表，其可用于部分基于端口确定数据流。其他实施例中，核505可使用全局高速缓存580来存储地址查询表或任何其他表或列表，流分布器可使用这些表来确定将到来的数据分组和发出的数据分组导向何处。一些实施例中，核505可以读写高速缓存580，而其他实施例中，核505仅从高速缓存读或者仅向高速缓存写。核可使用全局高速缓存来执行核到核通信。
可以将全局高速缓存580划分成各个存储器部分，其中每个部分可专用于特定核505。一个实施例中，控制核505A可接收大量的可用高速缓存，而其他核505可接收对全局高速缓存580的变化的访问量。
一些实施例中，系统575可包括控制核505A。虽然图5C将核1505A示为控制核，但是，控制核可以是设备200或多核系统中的任何一个核。此外，虽然仅描述了单个控制核，但是，系统575可包括一个或多个控制核，每个控制核对系统有某种程度的控制。一些实施例中，一个或多个控制核可以各自控制系统575的特定方面。例如，一个核可控制决定使用哪种分布方案，而另一个核可确定全局高速缓存580的大小。
多核系统的控制平面可以是将一个核指定并配置成专用的管理核或者作为主核。控制平面核可对多核系统中的多个核的操作和功能提供控制、管理和协调。控制平面核可对多核系统中的多个核上存储器系统的分配和使用提供控制、管理和协调，这包括初始化和配置存储器系统。一些实施例中，控制平面包括流分布器，用于基于数据流控制数据流到核的分配以及网络分组到核的分配。一些实施例中，控制平面核运行分组引擎，其他实施例中，控制平面核专用于系统的其他核的控制和管理。
控制核505A可对其他核505进行某种级别的控制，例如，确定将多少存储器分配给每个核505，或者确定应该指派哪个核来处理特定功能或硬件/软件实体。一些实施例中，控制核505A可以对控制平面570中的这些核505进行控制。因而，控制平面570之外可存在不受控制核505A控制的处理器。确定控制平面570的边界可包括由控制核505A或系统575中执行的代理维护由控制核505A控制的核的列表。控制核505A可控制以下的任一个：核初始化、确定核何时不可用、一个核出故障时将负载重新分配给其他核505、决定实现哪个分布方案、决定哪个核应该接收网络流量、决定应该给每个核分配多少高速缓存、确定是否将特定功能或元件分布到特定核、确定是否允许核彼此通信、确定全局高速缓存580的大小以及对系统575内的核的功能、配置或操作的任何其他确定。
F.用于在故障切换时维护多核网络设备的操作的系统和方法
现参考图6A，其示出了用于在故障切换时维护多核设备200的操作的系统的实施例。简要而言，图6A描述了包括客户机信息120的客户机102，该客户机102是由与主网络设备200通信的用户操作的。主设备200包括多个核505A-N以及流分布器550。主设备200的核505A进一步包括策略引擎236、故障切换管理器610、传播器620和故障切换检测器630。故障切换管理器610包括配置/操作信息615、用户信息605和客户机信息120。图6A还示出了与主设备200经由故障切换通信(failover communication)640进行通信的从设备200’。类似于主设备200，从设备200’也包括多个核505A-N’以及流分布器550’。从设备200’的核505A’包括策略引擎236’、传播器620’、故障切换检测器650’和故障切换管理器610’，该故障切换管理器610’还包括配置/操作信息615’、用户信息605’和客户机信息120’。
客户机上的用户可以是经由客户机102通信的任何用户或个人。在一些实施例中，用户是一个人。用户可以是客户机102、服务器106或设备200的用户。用户可包括使用服务器106、客户机102或设备200的资源的任何数量的用户。在进一步的实施例中，用户是认证用户。客户机可通过用户名称和密码来识别用户。在一些实施例中，由客户机102、服务器106或者主或从设备200或200’来识别和认证用户。在进一步的实施例中，用户具有该用户使用的应用的设置。在进一步的实施例中，用户被准许访问由客户机102、服务器106或者设备200或200’提供的特定应用、文件或服务。在一些实施例中，客户机信息120认证和识别用户以启用关于该用户的通信的特定设置。在进一步的实施例中，用户经由使用任何数量的连接或会话的设备200或200’进行通信。用户可使用用于经由设备200或200’进行通信的任何类型和形式的设置、配置、定制。
故障切换管理器610可以是控制、管理、配置和执行主设备200和从设备200′之间的故障切换的任何硬件、软件或者硬件或软件的任何组合。故障切换管理器610可包括任何程序、可执行文件、脚本、守护进程或者控制、管理、配置或执行主设备200和从设备200’之间的故障切换的其他可执行指令集合。在一些实施例中，主设备200的故障切换管理器610与另一故障切换管理器610通信，例如从设备200’的故障切换管理器610’。故障切换管理器610之间的通信可包括交换信息，如交换设置、配置、在穿过设备200的流量上执行的操作的状态、由设备200执行的操作的状况，性能状态，或者设备200的运行特征。
故障切换管理器610可以随机地或者以预定频率(例如每1微秒、1毫秒或每1秒)与其他设备200通信。在一些实施例中，故障切换管理器610在以下事件发生时与其他设备200进行通信：诸如检测到核505的故障、设备200的组件的故障、停电或断电、软件或硬件出错、流量过载、检测到网络流量激增，或者可能引发设备200的故障或引发故障切换的任何其他事件。在一些实施例中，故障切换管理器610与服务器或者与另一设备200一起使用请求/应答消息传递机制或者协议。在其他实施例中，故障切换管理器610使用定制的通信设置与其他设备200或者与其他故障切换管理器610进行通信，该定制的通信设置例如是专用端口或定制的通信协议。在一些实施例中，单个故障切换管理器610可与其他多个故障切换管理器610进行通信。主设备200的故障切换管理器610可以向任何数量的设备200或200′的任何数量的故障切换管理器610发送信息，诸如操作或配置信息。故障切换管理器610可监控设备200、vServer、网络服务270、客户机、服务器或者任何其他网络资源。可将故障切换管理器610配置为专门监控任何设备200或200′、任何服务器或者任何客户机；与其进行通信；接收来自任何设备200或200′、任何服务器或者任何客户机的更新；或者向其发送更新。
故障切换管理器610可包括任何类型和形式的功能、工具、组件或信息用以管理、控制、配置和实现设备200之间的故障切换。在一些实施例中，故障切换管理器包括与经由设备200发送消息的用户有关的信息。该用户信息可包括用于在与该用户关联的传输或网路流量上执行功能的任何用户特定的信息。在一些实施例中，故障切换管理器610包括用于配置其他设备200以在故障切换时维护网络流量上的操作的配置信息。在一些实施例中，该配置包括对于设备(如主设备200或从设备200’)的核505的配置或指令。在进一步的实施例中，配置可包括对于在核505上运行的分组处理引擎(PPE)的设置，该分组处理引擎诸如是分组引擎548。故障切换管理器610可以进一步包括客户机信息120。客户机信息120可以是代理、应用、链接或关于在客户机上运行的客户机信息120的任何信息。故障切换管理器610可进一步包括流分布器550、传播器620和故障切换检测器630。
配置/操作信息615可包括包含了用于操作或管理设备200的操作的配置或操作设置、参数、输入、值或者指令的任何硬件、软件或者硬件和软件的任何组合。配置/操作信息615可包括对象、数据结构、数组结构，其包括用于配置核505或处理在核505上操作的功能的指令或设置。在一些实施例中，配置/操作信息615包括配置设置、数据点、指令、变量或者将设备200’或设备200’的部分配置或设置为执行特定任务集合或以特定方式进行操作的数据。在进一步的实施例中，配置/操作信息615包括配置设置、数据点、指令或数据以将从设备200’的操作预先设置为与主设备200维护的操作相同或类似的操作。配置/操作信息615可包括指示在从设备200’的核505上运行的PPE如主设备200维护操作那样来维护操作的设置或配置。在一些实施例中，配置／操作信息615包括主设备200的一个或多个核505的运行状态。在进一步的实施例中，配置／操作信息615包括由主设备200维护的连接或会话的状况或状态。在进一步的实施例中，配置／操作信息615包括关于主设备200的一个或多个安全套接字层(SSL)卡的状况的信息。
在一些实施例中，配置／操作信息615包括关于主设备的每个PPE或PE548的管理状态的信息。该管理状态可以是任何状态，例如：启用、禁用、打开hamon或关闭hamon。在一些实施例中，配置／操作信息615包括关于主设备200的每个PPE的运行状态的信息，例如状态：开或者状态：关。在进一步的实施例中，配置／操作信息615包括关于特定核的PPE的配置或设置，该特定核如核505A或505N。
配置／操作信息615可包括指令，以向在核505上运行的多个PPE中的每一个传播配置。在一些实施例中，配置／操作信息615包括用于对与特定用户(例如该用户)相关的传输进行处理或操作的用户特定的信息。该用户特定的信息可包括特定协议设置，压缩设置、规则或规则引擎、数据处理设置或者任何其他类型的用户特定的设置或配置。类似地，配置／操作信息615可包括用于客户机102特定的传输处理或操作的设置或配置，以及任何其他服务器106特定的配置。配置／操作信息615可包括任何类型和形式的信息、指令、设置、运行状况或状态、或者配置，以执行由主设备200执行的任何功能。
用户信息605可以是设备用来执行用户特定的操作的任何用户特定的信息。用户信息605可包括用于在任何用户特定的会话或连接上执行操作的任何设置、配置或者指令。在一些实施例中，用户信息605包括配置或指令，以执行由主设备200在与该用户关联的网络流量上执行的操作。在一些实施例中，用户信息605包括处理穿过设备200或200’、来自用户的请求或者去往用户的响应的指令。在进一步的实施例中，用户信息605包括加密或解密密钥，用于对来自或去往该用户的网络流量进行加密或解密。在进一步的实施例中，用户信息605包括用户历史。在进一步的实施例中，用户信息605包括关于授予该用户或未授予该用户的访问的信息。该访问信息可确定用户可以访问或者不可访问哪些应用、服务或资源。用户信息605可包括用于管理或控制用户特定的网络流量的用户特定的规则。用户信息605可包括与任何(经由客户机102与任何主设备200或从设备200’进行通信的)用户相关的任何类型和形式的信息、数据或者指令。
客户机信息120可包括关于客户机特定的连接、会话的配置或设置或者为特定客户机102定制的任何设置的信息。在一些实施例中，客户机信息120包括在客户机102或服务器106上运行并穿过设备200或200’的应用的脚本、程序、功能或者代理。在一些实施例中，客户机信息120包括与在客户机102上运行的客户机信息120关联的脚本、库、功能或程序的一部分。客户机信息120可包括关于客户机102的任何信息。在一些实施例中，客户机信息120包括关于由客户机102使用、访问或请求的程序、函数、应用、服务或功能的信息。在进一步的实施例中，客户机信息120包括关于由客户机102访问或使用的任何服务或应用的任何信息。客户机信息120可包括客户机102特定的配置或运行信息，如由设备200用来对客户机102网络流量进行操作的客户机102设置、客户机102规则或客户机102操作指令。在一些实施例中，在设备200上运行的特定客户机102的客户机信息120包括用于由设备200执行客户机102特定的操作的配置、设置或指令。客户机102特定的操作可包括但不限于：客户机102特定的访问授权、客户机102特定的安全协议实现、客户机102特定的加密／解密、客户机102特定的压缩或者客户机102特定的会话或连接设置。
传播器620可包括用于在故障切换时向设备200或200’的组件传播函数和指令的任何硬件、软件或者硬件或软件的任何组合。传播器620可以传播、转发或传输任何信息，如配置／操作信息615、用户信息605或与客户机信息120相关的任何信息。在一些实施例中，传播器620包括硬件组件、在硬件装置上运行的软件、功能、程序、脚本、可执行、规则、逻辑或者应用。传播器620可包括用于转发或传播用于在故障切换时由从设备200’维护操作的指令、操作或配置设置，或者数据值的功能。在进一步的实施例中，传播器620包括用于协助执行(协助由设备200或200’执行的维护操作的)功能的功能。
传播器620可在故障切换时或者在检测到主设备200不可用时在设备200和200’之间传输信息。在一些实施例中，传播器620在主设备200可用时在主设备200和从设备200’之间传输信息。传播器620可以在从设备200’的核505’和主设备200的核505之间更新信息。可由传播器620在从设备200’的核505’上运行的PPE中间，并且在主设备200的核505上运行的PPE中间转发以及定期更新信息，例如配置／操作信息615。传播器620可在设备200和200’之间，以及在主或从设备的不同核505之间传播信息，例如用户信息605。由传播器620传播到核505或核505’的信息可以包括由核505或由在核505上运行的任何组件使用的任何信息、设置、状态、数据或指令，以便处理穿过主或从设备200和200’的网络流量或者向其提供服务。在一些实施例中，信息可包括将由主设备200或从设备200’应用的用户特定的、客户机特定的、服务器特定的、应用特定的、会话特定的或者连接特定的设置或操作指令。传播器620可在设备200和200’之间定期地以及周期地转发或传播信息。在一些实施例中，传播器620响应于操作设置或配置中的变化或者响应于引发需要更新的新设置、信息或变化的一些事件，在设备200或200’之间或者在核505或505’之间更新、转发或传播信息。
故障切换检测器630可以是用于检测(诸如主设备200的)设备的不可用性的故障切换的任何硬件、软件或者硬件和软件的任何组合。故障切换检测器630可包括程序、脚本、守护进程，或者检测或监控设备200的性能或运行特征的其他可执行指令的集合。在一些实施例中，主设备200的故障切换检测器630与从设备200’通信。在进一步的实施例中，从设备200’的故障切换检测器630与主设备200通信。该通信可包括任何传输，如用于检测主设备200的一个或多个核505的故障的ping或者请求／响应传输。该通信还可以包括与主或从设备200或200’的运行或配置相关的任何信息，例如配置／操作信息615。在一些实施例中，从设备200’的故障切换检测器630以预定频率向主设备200发送通信，例如每1毫秒或每一秒。在一些实施例中，故障切换检测器630使用请求／响应消息传递机制或协议来与诸如200或200’的另一设备200进行通信。故障切换检测器630可监控其所在的设备200或200′的运行或功能性能。在进一步的实施例中，故障切换检测器630监控另一设备200或200′的运行或功能性能。在一些实施例中，故障切换检测器630监控任何数量的设备200以检测设备的可用性或不可用性。故障切换检测器630可包括用以检测主设备200的核505的故障的任何功能。在一些实施例中，故障切换检测器630识别主设备200的核505不可用。
故障切换检测器630可检测主设备200或从设备200’的任何组件的故障、失灵或不可用性。在一些实施例中，故障切换检测器630检测网络流量拥塞或者主设备200上多个核505中的核505A的过载。在进一步的实施例中，从设备200’的故障切换检测器630检测到接收对(从故障切换检测器630到主设备200的)请求的响应具有超过阈值的延迟。响应于该检测，故障切换检测器630可确定主设备200不可用。在进一步的实施例中，从设备200’的故障切换检测器630与主设备200的故障切换检测器630通信。从设备200’的故障切换检测器630可以接收来自主设备200的故障切换检测器630的、指示主设备200的一个或多个核505或者一个或多个PPE不可用的信息传输。故障切换检测器630可向从设备200’警告检测到了主设备200的故障切换。在进一步的实施例中，主设备200的故障切换检测器630与主设备的核505或者与主设备的核505的PPE进行通信。故障切换检测器630可响应于监控核505或PPE对故障切换检测器630的请求的响应，来确定核505或者在核505上运行的PPE不可用。在一些实施例中，故障切换检测器630响应于来自核505或PPE的响应的响应时间，或者响应于响应的响应时间中的变化来确定核505的PPE或者核505不可用。
故障切换通信640可以是主设备200和从设备200’之间的任何通信。故障切换通信640可以在从设备200’的主核505’和主设备200的主核505之间。类似地，故障切换通信640可以在从设备200’的任何核与主设备200的任何核之间发生。在一些实施例中，故障切换通信640包括与主设备200的操作或配置相关的通信，用于维护对穿过主设备200的网络流量执行的操作。一旦将故障切换通信640传输到从设备200’，从设备200’可使用接收的信息为每个操作复制主设备200的操作和功能。在一些实施例中，故障切换通信640包括既不与故障切换相关也不与配置和操作相关的通信。故障切换通信640可包括关于多个连接和多个连接会话的信息。在一些实施例中，故障切换通信640包括在设备200和200’之间的连接或通信会话，用于监控或检测主设备200的故障切换或可用性。可将设备200和200’之间的会话用来发送心跳信息，用于ping主设备200的每个核505以获得健康和可用性。在进一步的实施例中，故障切换通信640包括在设备200和200’之间的、用于将目标为主设备200的网络流量转发或传播到从设备200’的连接或通信会话。在进一步的实施例中，故障切换通信640包括在设备200和200′之间的、用于交换操作或配置信息或者参数的连接或通信会话，例如交换配置／操作信息615、用户信息605或客户机信息120。在进一步的实施例中，故障切换通信640包括用于通信的连接或通信会话，该通信用于检测故障切换，如故障切换检测器630的通信。在进一步的实施例中，故障切换通信640包括在任何网络堆栈层实现的或者使用任何通信协议实现的一个或多个连接或会话。故障切换通信640可用作更新配置或操作信息615、用户信息605和客户机信息120的介质。故障切换通信640可包括经由所分配端口的一个或多个连接，以从主设备200向从设备200’传输更新的配置／操作信息。在一些实施例中，故障切换通信640包括经由主和从设备上的专用端口建立的连接，该端口例如是端口3003。故障切换通信640还可以与哈希引擎相接，该哈希引擎用于哈希在主和从设备的端口3003之间传输的通信。哈希引擎可哈希经由故障切换通信640进行通信的通信，并且将其转发到主或从设备200或200’的接收核505A。故障切换通信640还可以包括经由任何通信协议实现的一个或多个专用连接或会话，用于将穿过主设备200的网络流量传递或传输到从设备200’。
故障切换通信650还可以包括用户数据报协议(UDP)通信。在一些实施中，可以在主设备200和从设备200之间建立UDP通信以传输心跳消息。该心跳消息可以是设备200和200’之间的响应和请求的任何集合，以确定主设备200的健康或可用性。在一些实施例中，由从设备使用UDP通信向主设备200发送请求，且主设备200响应或不响应从设备200’以指示主设备200的健康。在一些实施例中，该响应识别主设备200的状态、健康或可用性。
在多核系统中，故障切换管理器610，以及传播器620和故障切换检测器630可在指定核上运行，例如主核。在一些实施例中，主核505包括主故障切换管理器610、主传播器620和故障切换检测器630。从设备200’的主核505’可与主设备200的主核505通信。从设备200的主故障切换管理器610’可作出关于故障切换的确定并且可以更新从设备200’的每个从核505’。在一些实施例中，从设备200’的主核505’的故障切换检测器630检测故障切换。主核505’的故障切换管理器610可接收来自主设备200的主核505的配置／操作信息615。从设备的主核505的传播器620可将配置／操作信息615传播到从设备200的所有从核505’。在该实施例中，从设备200’的主核505’可经由故障切换通信640与主设备200通信。从设备200的主核505’可使用在从设备的主核505′上运行的故障切换管理器610、传播器620以及故障切换检测器来管理从设备200’的所有核的故障切换。
在一个示例中，具有主核505’的从设备200’包括与主设备200的一个或多个核505通信的故障切换检测器630。故障切换检测器630可定期向主设备200发送ping、消息或信息传输。在一些实施例中，故障切换检测器630ping主设备的主核505的故障切换管理器610。主设备200的故障切换管理器610可监控每个核505以及每个核505的每个PPE548以确定每个核505的健康和可用性。一旦主设备的故障切换管理器610检测到主设备的任何一个核505的不可用性，则主设备200的故障切换管理器610可向从设备200’的故障切换检测器630反映在主设备200的一个或多个核505上运行的一个或多个PPE不可用。在其他实施例中，从设备200的故障切换检测器630ping主设备200的每个核505或者与其通信，以确定在核505上运行的PPE的健康和可用性。一旦从设备200’的故障切换检测器630检测到主设备200的一个或多个核不可用，则故障切换检测器630向故障切换管理器610发送检测到故障切换的信息。故障切换管理器610可定期接收来自主设备200的、关于对应于每个核505的操作和配置设置或信息的更新。从设备200的主核505’的故障切换管理器610可请求来自主设备200的主核505的、关于每个PPE的配置和操作信息。故障切换管理器610可使用最近和最新的配置和操作信息和设置来确定如何配置和设置从设备200’的每个核505。在一些实施例中，主核505的故障切换管理器610确定从设备200’的每个核505’的配置和操作设置。从设备的主核505’的传播器620可向每个核505转发配置和操作设置。在每个核505上运行的每个PPE548可配置和设置为复制主设备200的每个核505的行为、操作和功能。当接收到目标为主设备200的每个核505的网络流量时，从设备200’的核505的PPE548可如在故障切换之前由主设备200在该网络流量上执行的那样继续行为。
现参考图6B，其描述了用于在故障切换时维护多核设备200的操作的方法步骤的实施例。简要而言，在步骤605，从设备接收与主设备的多个PPE的配置和操作有关的信息。在步骤610，从设备和主设备交换通信。在步骤615，监控主设备的多个PPE的运行状况。在步骤620，主设备的多个PPE中的一个或多个被检测为不可用。在步骤625，响应于该检测，建立从设备的多个PPE中的每一个的配置。在步骤630，从主设备传播信息到从设备的多个PPE。
进一步概述图6B，在步骤605，从设备200’接收与在主设备200的多个核505上运行的多个分组处理引擎(PPE)的配置和操作有关的信息。可经由任何故障切换通信640接收或发送该信息。从设备200’可接收来自主设备200的、关于在多个核505上运行的多个PPE的配置／操作信息615。可从主设备200的多个核505接收该配置／操作信息615。在一些实施例中，从主设备的指定主核505接收配置／操作信息615。同样地，可以由从设备200’的多个核505’或由从设备200’的指定主核505’接收配置／操作信息。在一些实施例中，从设备200’接收由主设备200的核505使用的用户信息605，该核505被定制或配置为对用户的网络流量进行操作。在进一步的实施例中，从设备200’接收由主设备200’的PPE548使用的客户机信息120信息，用于根据与该客户机信息120对应的客户机102的需求对网络流量进行的定制或特定操作。在一些实施例中，从设备200’接收更新的配置／操作信息615。在进一步的实施例中，从设备200’接收配置设置和指令的集合，用于配置在从设备200’的每个核505上运行的每个PPE。该配置设置和指令的集合可复制在主设备200的每个核505上运行的PPE的配置。在一些实施例中，从设备200’接收操作设置和指令的集合，以处理、控制、设置或管理在从设备200’的核505上运行的每个PPE的操作。操作设置和指令的集合可包括SSL卡的状况、运行状态，例如505核的管理或运行状态。在进一步的实施例中，从设备200’接收标识主设备200的每个安全套接字层(SSL)卡的状态的信息。在进一步的实施例中，从设备200’接收与主设备200上的一个或多个PPE548的管理状态或运行状态相关的信息。由于主设备和从设备都可以包括多个核505，因此可针对从设备的特定核505映射或复制主设备200的特定对应核的配置。配置和操作信息可以针对主设备200或从设备200’的任何单个PPE或任何单个核505，或者针对PPE或核505的任何组。在一些实施例中，从设备200’向主设备200发送传输，以请求与主设备200的任何一个PPE或任何一个核505的配置和操作有关的信息。主设备200’可通过再次发送与关于所请求的核或PPE的配置或操作有关的信息，或者通过发送对先前发送的与PPE或核505的配置或操作有关的信息的更新来进行响应。
在步骤610，从设备200’和主设备200交换任何通信。可经由故障切换通信640来交换信息。在一些实施例中，交换的信息可以是用于由设备200在客户机102和服务器106之间的网络流量上执行操作的任何信息。在一些实施例中，交换的信息包括与主设备200的配置和操作有关的更新的信息。在一些实施例中，从设备200’的故障切换检测器620向主设备200发送请求或ping主设备200，以检查主设备200的健康、状况或可用性。在进一步的实施例中，从设备200’的主核505’ping主设备200的每个核505。响应于该ping，从设备200’的主核505’可确定主设备200的每个核505的健康和可用性。主设备200可通过对请求进行应答来响应从设备200’的故障切换检测器620。故障切换检测器620可使用响应、响应时间或者来自于请求或响应的任何可用信息来确定主设备200的健康或可用性。在进一步的实施例中，故障切换检测器620可ping主设备200的任何核505或者在任何核505上运行的任何PPE，以确定PPE或核505的健康或可用性。交换的信息还可以包括目标为主设备200且转发到从设备200’的任何网络流量。可将从设备200’配置为维持先前由主设备执行的操作。可将传入的网络流量经由故障切换通信640转发到从设备200’。类似地，可经由故障切换连接640传输由从设备200’在其上进行操作的传出的网络流量。
在步骤615，从设备200’监控主设备200的多个PPE或核505的运行状况。在一些实施例中，故障切换检测器监控运行的状况。在其他实施例中，从设备200’的故障切换管理器610监控主设备200的PPE或核505的运行状况。运行状况可包括主设备200的任何状况或描述，例如：开或可用、关或不可用、备用、出错、拥塞或者慢。在一些实施例中，运行状况可包括主设备的任何PPE或任何核505的任何状况或操作，例如：关或不可用、开或可用、备用、出错、拥塞或者慢。在一些实施例中，从设备200’的故障切换检测器640向主设备200传输请求或ping。主设备200的组件，如故障切换管理器610或故障切换检测器630，响应该请求或ping。故障切换检测器630可使用该响应，或者响应的时间来做出关于在主设备200上运行的任何PPE或核505的确定。在一些实施例中，不由故障切换检测器630来接收该响应。故障切换检测器630可响应于没有接收到该响应而做出关于一个或多个PPE或核505的健康或可用性的确定。
在步骤620，从设备200’检测到主设备200的一个或多个PPE不可用。在一些实施例中，从设备200’的故障切换检测器630检测到主设备200的一个或多个PPE不可用。在进一步的实施例中，从设备200’的故障切换检测器630检测到主设备200的一个或多个核505不可用。在一些实施例中，故障切换管理器610检测到主设备的PPE或者核505不可用。可响应于监控主设备200的PPE的运行状况而检测到主设备的一个或多个PPE不可用。在一些实施例中，响应于由从设备200’接收到的来自主设备200的传输而检测到一个或多个PPE不可用。在进一步的实施例中，响应于缺少对发送的请求的响应而检测到一个或多个PPE不可用。在进一步的实施例中，响应于来自主设备200的PPE或核505的响应时间的延迟超过阈值而检测到一个或多个PPE不可用。来自主设备200的响应时间的延迟还可能引发检测一个或多个PPE不可用。在进一步的实施例中，响应于来自主设备200的、关于配置或操作的更新信息而检测到一个或多个PPE不可用，该更新信息例如是更新的配置／操作信息615。在一些实施例中，响应于接收到目标为主设备200的网络流量而检测到一个或多个PPE不可用。在一些实施例中，响应于目标为主设备200而由从设备200’接收的网络流量的量超过阈值而检测到一个或多个PPE不可用。可响应于来自主设备200的、包括配置／操作信息615、用户信息605或客户机信息120的传输而检测到一个或多个PPE不可用。在一些实施例中，主设备200的任何数量的PPE可能被检测为不可用。
在步骤625，从设备200’响应于该检测，建立从设备200’的多个PPE中每一个的配置。在一些实施例中，从设备200’建立从设备200’的一个或多个PPE的配置。在进一步的实施例中，从设备200’的多个核505的主核505的故障切换管理器610为从设备200’的每个PPE建立配置。可将从设备200’的主核505’的故障切换管理器610指定为用于配置每个核505上的多个PPE或PE548中的每一个。可由所接收的配置／操作信息615或更新的配置／操作信息来选择、标识或指示为其建立配置的PPE。在一些实施例中，可由所接收的用户信息605或客户机信息120来选择、标识或指示为其建立配置的PPE。在一些实施例中，传播器620向所选或标识的PPE传播配置和操作信息。在进一步的实施例中，传播器620为PPE设置和初始化配置和操作设置。在进一步的实施例中，故障切换管理器610为在主设备200上建立配置的PPE设置和初始化配置和操作设置。在进一步的实施例中，故障切换管理器610为在主设备200上建立配置的vserver270设置和初始化配置和操作设置。在一些实施例中，为对应于主设备200的不可用PPE的从设备200’的PPE建立配置。例如，从设备的PPE可被映射、关联到主设备的一些特定PPE，或者包括与主设备的一些特定PPE相同或相似的配置和操作指令和设置。一旦检测到主设备200’的这些特定PPE中的一个或多个不可用，则从设备200’可为对应的从设备200’的PPE建立配置。
在步骤630，从设备200’向从设备200’的多个PPE传播来自主设备200的信息。在一些实施例中，传播器620向被配置为处理或操作所接收的信息的PPE转发或传播从主设备200接收的信息。该接收的信息可包括目标为主设备200的网络流量。在一些实施例中，接收的信息包括配置／操作信息615、用户信息605和客户机信息120其中任何一个或者它们的任何组合。该信息可包括会话特定的或连接特定的信息，用于在该会话或连接的网络流量上进行操作。可将传播器620置于主核505上，该主核例如是核505A。传播器620可以跨从设备200’的核505或PPE分发信息。可由接收传播信息的PPE来操作、处理或服务该传播信息。
G.用于在故障切换时维护有状态会话的系统和方法
现参考图7A，描述了用于在故障切换时维护有状态会话的系统的实施例。简要而言，图7A描述了与主网络设备200通信的客户机102。主设备200包括多个核505A-N以及流分布器550。主设备200的核505A还包括计时器700、故障切换管理器610、传播器620和故障切换检测器630。故障切换管理器610包括有状态会话故障切换(SSF)模块710，其进一步包括会话状态715A-715N。图7A还描述了经由故障切换通信640与主设备200通信的从设备200’。类似于主设备200，从设备200′也包括多个核505A-N’和流分布器550’。从设备200’的核505A’包括计时器700’、传播器620’、故障切换检测器650’和故障切换管理器610’，故障切换管理器610’还包括SSF模块710’，其进一步包括会话状态715A-715N。
更详细地参考图7A，计时器700可以是用于计算、监控或测量持续时间或持续时间间隔的任何硬件、软件或者硬件或软件的任何组合。计时器700可包括任何类型和形式的逻辑电路。计时器700可包括用于测量时间间隔或持续时间的函数、脚本、硬件单元、组件或装置。计时器700可包含由设备200设置或重置的功能。计时器700可包括逻辑电路，以执行用于计算时间的周期性动作。在一些实施例中，计时器700包括振荡器。该振荡器可包括与数字或逻辑电路结合的晶体以执行周期性测量或动作。计时器700可计算、监控或测量流逝的时间量，或者剩余的时间量。计时器700可计算任何持续时间、例如0.01、0.05、0.1、0.25、0.5、0.75、1、1.25、1.5、1.75、2、2.25、2.5、2.75、3、3.25、3.5、3.75、4、4.5、5、6、7、8、9、10、20、30、50、70、90、100、200、300、500和1000毫秒。在一些实施例中，计时器700计算剩余的时间量直到动作发生、采取行动或执行步骤。可将计时器700用作另一动作或处理的触发器，例如发送信息或指令。计时器700可以是在设备200上的任何地方的独立组件，并且可与核505中的任何一个通信。在一些实施例中，每个核505包括一个或多个计时器700。计时器700可在分组引擎548内或者在设备200的任何其他组件内运行或运转。计时器700在期满时可重置且继续计时或从头计算时间。计时器700可在设备200的任何组件上监控、计算或测量时间，并且可与任何其他任务一起用于任何配置中以及可用于各种目的和功能。
有状态会话故障切换模块710，也称作SSF模块710，可包括用于维护、监控、更新、存储和管理对应于由核505管理的会话的任何数据或状态的任何模块、装置、功能或组件。SSF模块710可包括用于存储、编辑、维护、更新或以其他方式管理与任何类型和形式的会话相关的任何数据或状态的任何硬件、软件，或者硬件和软件的任何结合。SSF模块710可包括任何算法、功能、程序、脚本、命令或指令集合，用于管理、编辑、存储和更新客户机102和服务器106之间的会话的状态的数据。SSF模块710可包括用于与多个核505交换通信的功能、脚本、程序和装置，该通信例如是状态会话数据。SSF模块710可在多核设备200(例如主和从设备200和200’)的每个核505上运行。在一些实施例中，SSF模块710包括用于与相同或不同设备200的任何其他SSF模块710交换通信的功能、脚本、程序和装置，该通信例如是状态会话数据。在一些实施例中，SSF模块710在多核设备200的多个核505的一个核505上操作或运行。
SSF模块710可在多核设备200的任何核505上操作或运行。在一些实施例中，SSF模块710在多个核505的主核505上运行。在其他实施例中，SSF模块710在多个核505的从核505上运行。可将从核505的SSF模块710配置为向主核505的SSF模块710转发从核505的会话状态的数据。在进一步的实施例中，从核505的SSF模块710与从设备200’的对应核505’直接通信。在一些实施例中，主核的SSF模块710提示每个核505向主核505的SSF模块710转发会话状态715。主核505的SSF模块710可向从多核设备200’的主核505’的另一SSF模块710’转发接收的会话状态715。SSF模块710可与另一SSF模块710交换通信。所交换的通信可包括对应于由任何核505管理的会话的任何数据。在一些实施例中，SSF模块710监控由设备200的每个核505管理的每个会话的会话状态。在进一步的实施例中，设备200的核505的SSF模块710接收来自同一设备的另一核505的SSF模块的更新。该更新可包括更新的会话状态715。在一些实施例中，更新包括在会话状态715的当前数据和会话状态715的先前发送数据之间的、会话状态715的数据中的变化。
SSF模块可实现或支持用于跨多核系统管理会话状态的消息。例如，在主设备上，可由拥有会话的核使用消息FORWARD_SESSION_TOSECONDARY来向主核发送更新的会话状态。该消息可包括数据缓冲区以经由故障切换连接发送到从设备或者发送到该缓冲区可被访问的地址。经由故障切换连接发送的消息可称作SSF消息。在从设备上，随后的SSF消息可由接收故障切换连接的核用来向可能拥有会话的从设备上的核发送对应的消息：
如果SSF消息是
i.SESSION_ADD：则从设备的核向所有者核发送create_session消息以创建会话。
ii.SESSION_DELETE：则从设备的核向所有者核发送消息delete_session以删除会话。
iii.SESSION_CLEAR：clear_session将被发送给所有核，指示它们清除根据发送者ip地址创建的全部会话。
会话状态715可包括对应于由核505管理的会话的任何类型和形式的信息或数据，该会话例如是SSL VPN会话或负载平衡持续性会话。会话状态715可包括被格式化为分组、对象或文件的会话数据、参数或值。在一些实施例中，会话状态715包括用于存储对应于会话的数据的数组或结构数组。会话状态715可包括特定于会话的任何类型和形式的信息配置，该会话例如是客户机102和服务器106之间的会话。在一些实施例中，会话状态715包括会话的状态。在进一步的实施例中，会话状态715包括与会话的状态有关的数据。在进一步的实施例中，会话状态715包括关于会话的历史信息。在进一步的实施例中，会话状态715包括在两个或更多网络装置之间的在先通信或传输。会话状态715可包括会话令牌或标识符。会话状态715可进一步包括经由会话交换传输的装置的标识符(例如主机名称或互联网协议地址)。会话状态715还可以包括对象，例如会话cookie。在一些实施例中，会话状态715包括会话变量的集合。该会话变量可在会话期间存留。
会话状态715可将对应的会话标识为活动、不活动、断开、暂停／挂起、故障、出错、备份等。在一个实施例中，会话状态715可将会话标识为处于活动状态。在另一个实施例中，会话状态715可将会话从活动标识或改变为不活动。在一些实施例中，会话状态715可将会话标识为挂起。SSF模块710可将会话的状态从活动更新或改变为挂起。在一些实施例中，可由SSF模块710将会话状态715从挂起改变或更新为活动。
会话状态可包括标识会话的各种实例或特征的数据。会话状态715可包括关于会话中涉及的任何网络装置的任何数据特征或能力，该网络装置如客户机102、服务器106或设备200。在一些实施例中，会话状态715标识添加对应于会话的数据或条目的能力。在其他实施例中，会话状态715标识查看对应于会话的数据或条目的能力。在进一步的实施例中，会话状态715标识编辑对应于会话的数据或条目的能力。在进一步的实施例中，会话状态715标识取消或重做修改的能力。在进一步的实施例中，会话状态715标识剪切、复制、粘贴或删除已有条目的能力。在进一步的实施例中，会话状态715标识搜索条目的能力。在进一步的实施例中，会话状态715标识过滤条目的能力。
设备200可寄载一个或多个内联网互联网协议或者intranetIP或IIP地址。设备200可将这些IIP地址282与用户和／或客户机相关联并且将其分配给用户和／或客户机。例如，当经由设备200从第一网络104连接到第二网络104’时，该设备200为在第二网络104’上的用户和／或客户机102建立、分配或以其他方式提供IntranetIP20地址。设备200使用客户机的建立的IntranetIP在第二或私有网络104’上侦听和接收指向客户机102的任何通信。在一个实施例中，设备200充当或代表第二私有网络104上的客户机102。设备200可向客户机102转发来自第二网络104’的、指向IIP地址的通信。
更详细地，设备200向用户或用户的客户机提供IIP地址。在一个实施例中，该IIP地址是用户或用户使用的客户机的互联网协议地址，用于在经由设备200访问的网络104’上进行通信。例如，用户可经由提供第一网络104的互联网协议(IP)地址的客户机102的网络堆栈310，在第一网络104上进行通信，该互联网协议地址例如是200.100.10.1。用户可从第一网络104上的客户机102，经由设备200建立与第二网络104’的连接，如SSL VPN连接。设备200向客户机和／或用户提供关于第二网络104’的IIP地址，例如192.10.1.1。尽管客户机102具有第一网络104上的IP地址(例如，200.100.10.1)，用户和／或客户机具有IIP地址282或第二网络IP地址(如192.10.1.1)用于在第二网络104’上进行通信。在一个实施例中，IIP地址是分配给连接到网络104’的VPN、或SSL VPN上的客户机102的互联网协议地址。在另一个实施例中，设备200提供或充当DNS286用于客户机102经由该设备200进行通信。在一些实施例中，设备200向请求互联网协议地址的客户机，例如经由动态主机配置协议(DHCP)动态分配或出租(lease)互联网协议地址，称作IIP地址。
设备200可提供来自一个或多个IIP地址的IIP池的IIP地址。在一些实施例中，设备200从服务器106获取网络104’上的互联网协议地址的池，以用于IIP池410。在一个实施例中，设备200从(如由服务器106提供的一个)DNS服务器406获得IIP地址池或其部分。在另一个实施例中，设备200从(如由服务器106提供的)远程认证拨号用户服务(RADIUS)服务器获得IIP地址池或其部分。在另一个实施例中，设备200充当DNS服务器286或者为网络104’功能地提供DNS286。例如，可将vServer275配置为DNS286。在这些实施例中，设备200获得或提供来自提供DNS286的设备的IIP池。
设备200可包括任何类型和形式的数据库或表，用于关联、跟踪、管理或维护从IIP池410到1)用户、2)组、3)vServer和／或d)全局实体的IIP地址的指定、分派和／或分配。在一个实施例中，设备200实现互联网协议轻量数据库表(IPLWDB)。在一些实施例中，IPLWDB维护提供IP地址与实体或者IP地址到实体的一对一映射的实体。在另一个实施例中，一旦实体使用或被分配IIP地址，IPLWDB维护该实体与IIP地址之间的关联，其可称作“IIP30粘性”或具有“粘”到实体的IIP地址。在一个实施例中，IIP粘性指的是设备200维持或保持实体和IIP地址之间的关联的能力或有效性。在一些实施例中，IIP粘性指的是设备200通过系统中的任何变化(如用户登入或登出设备，或者改变接入点)维护实体／IIP地址关系或分配的能力或有效性。
在一些实施例中，IPLWDB包括哈希表，其基于1)用户、2)组、3)vServer，和／或d)全局实体中的任何一个或多个进行哈希。IPLWDB可包括用户和与该用户关联的任何其他信息的哈希，该信息例如是客户机102或客户机104的网络104。IPLWDB可跟踪、管理或维护与IIP地址／实体关系相关的任何状况和时间信息。在一个实施例中，IPLWDB维护关于实体的IIP地址当前是否是活动的或者是不活动的。例如，在一些实施例中，如果IIP地址当前用于经由设备200的SSL VPN会话中，则IPLWDB将该IIP地址标识为活动的。在另一个实施例中，IPLWDB450维护由实体使用的IIP地址的时间数据：例如什么时候第一次使用、什么时候最后一次使用、使用了多久，以及什么时候最近一次使用。在其他实施例中，IPLWDB维护关于使用的类型或源的信息，例如，对于用户来说，从什么客户机102或网络104使用，或者为什么使用分配的IIP地址来执行事务或行为。
在一些实施例中，IPLWDB跟踪、管理和维护实体使用的多个IIP地址。IPLWDB可使用一个或多个IIP策略用于确定将多个IIP地址中的哪个IIP地址分配或提供给诸如用户的实体。在一个实施例中，IIP策略可指定为提供分配用户最近或最后使用的IIP地址。在一些实施例中，IIP策略20420可指定为提供分配用户最经常使用的IIP地址。在其他实施例中，IIP策略可指定为提供用户最少使用的IIP地址。在另一个实施例中，IIP策略可指定提供用户IP地址的顺序或优先级，例如从最近的到最久远的。在另一个实施例中，IIP策略可指定使用哪个IIP池，和／或以哪种顺序使用。在一些实施例中，IIP策略可指定是否使用映射的IP地址，以及在何种条件下使用，例如当用户的不活动IIP地址不可用时。在其他实施例中，IIP策略可指定是否转移会话或用户的登录，以及在何种条件下转移。
会话数据和／或状态可标识或指定下面的任何一个或多个：1)会话标识符、2)会话类型、3)会话的配置、4)会话的应用的类型或名称、5)会话中参与的计算装置，例如该装置的网络标识符、6)会话或用户的任何IIP地址，例如IIP池410、7)IIP策略420、8)IPLWDB450、9)与会话关联的任何用户、10)用于会话的任何策略，例如SSL VPN策略的名称、11)任何端点授权策略，例如用于会话的客户机安全字符串、12)会话状态和／或13)任何会话度量，如会话的长度。在一个实施例中，主设备200向从设备200’传播策略或与从设备200’同步该策略。
在一些实施例中，主设备200的策略配置是分布式的且用于从设备200’中。在其他实施例中，主和从设备配置相同的策略，或配置适用于将由从设备200’经由故障切换处理的会话的相同策略。在另一个实施例中，从设备200’在故障切换会话上维护和使用一个或多个不同的策略。在一个实施例中，会话的某些部分或信息可在使用会话期间或在会话生命期动态地变化。例如，设备200和／或SSF模块可维护计数器，用于核查和／或维护会话统计。这些计数器在操作期间或会话的生命期动态变化。在一些实施例中，会话传播器在会话发生变化时传播这些动态变化的会话信息。在其他实施例中，会话传播器以预定频率或时间周期传播会话信息，包括改变的会话信息。在另一个实施例中，会话传播器传播由预定事件引起的会话信息，包括改变的会话信息。在一些实施例中，从设备200’上的传播器以预定的基础(如基于频率、时间或事件)查询主设备200上的传播器。
作为会话数据和／或状态的部分，设备200例如经由SSF模块管理器，可存储、维护或跟踪用于执行端点检测和授权的客户机安全字符串的值。在一些实施例中，不会将这些客户机安全字符串的值或端点授权值从主设备传播到从设备。在其他实施例中，传播到从设备的任何客户机安全字符串的值可能变得不同步或过时。在其他情况下，如果从客户机重新获得或者检测到客户机安全字符串的值，该值将改变。例如，在客户机建立与设备的会话和故障切换之间，客户机的一个或多个属性或者特征可能已经改变。在SSL VPN会话登录和故障切换出现之间，客户机可经历一次或多次软件更新或反安装(de-install)。客户机102的属性可能使得客户机安全字符串的值可能不允许根据策略来授权客户机。
现参考图7B，其描述了用于在故障切换时维护多核设备200的操作的方法700的步骤的实施例。简要而言，在步骤705，多核主设备200的每个核维护由主设备200的每个核管理的会话的会话状态。在步骤710，主设备的SSF模块响应于计时器的期满接收来自主设备的每个核的会话状态。在步骤715，多核从设备的SSF模块接收来自主设备的SSF模块的关于主设备的会话的会话状态。在步骤720，从设备的SSF模块向从设备的每个核分配主设备的多个会话和对应的会话状态。在步骤725，主设备的SSF模块响应于计时器的期满接收来自主设备的每个核的更新的会话状态。在步骤730，从设备的SSF模块接收来自主设备的SSF模块的更新的会话状态。在步骤735，从设备的SSF模块基于对应会话的分配向从设备的核转发更新的会话状态。
进一步概述图7B，在方法700的步骤705，多核主设备200的每个核维护在主设备200的每个核上运行的或者由主设备200的每个核管理的会话的会话状态。每个核505可运行、服务或管理任何数量的会话。在一些实施例中，核505不管理会话。在其他实施例中，核505管理单个会话。在进一步的实施例中，核505管理多个会话，如2、5、10、20、50、100、1000或1000000个会话。每个核505可以存储、维护或更新会话状态715中的对应于会话状态的数据。在一些实施例中，每个核505存储、维护或更新状态会话715中的会话的值、参数或设置。如果发生对应于会话的修改或变化，则可在会话状态715中更新该修改或变化。在一些实施例中，对会话的修改或变化包括会话的状态、性质或功能的任何变化。核505可将会话状态715从活动改变或修改为不活动，从建立改变或修改为终止，从有功能改变或修改为无功能。在一些实施例中，核505可维护会话状态715中关于会话的任何信息，例如会话被限制为只读会话的信息、会话具有受限访问或受限服务的信息，或者由设备200为特定服务标记会话的信息。核505可修改会话状态715以反映对应于该会话的任何修改或变化。在一些实施例中，响应于会话的任何进展、变化或修改，核505编辑或修改会话状态的任何数据。核505可以维护、存储或更新会话状态715中的会话历史。核505可维护、存储或更新会话状态715中的持续性相关特征，例如负载平衡的持续性。
在步骤710，响应于计时器的期满，主设备200的SSF模块710接收来自主设备200的每个核505的会话状态715。在一些实施例中，核505上的计时器700期满。响应于该核上的计时器700的期满，核505可发送包括核505的所有会话的会话状态715的消息。在一些实施例中，核505发送包括核505的一些会话的会话状态715的消息。在一些实施例中，该消息包括活动会话的会话状态715。在其他实施例中，该消息包括自到SSF模块710的、包括会话状态715的在先消息以来更新的会话状态715。在一些实施例中，SSF模块710接收来自每个核的消息。每个消息可包括由所有核505共享的存储器中的存储位置，或者SSF模块710可访问的任何存储器中的存储位置。消息可进一步包括将由SSF模块710检索的会话状态715的标识。在一些实施例中，SSF模块响应于计时器700的期满，向每个核505发送请求。每个核505可通过向SSF模块710发送消息来响应该SSF模块710的请求。
在步骤715，从多核设备200’的SSF模块710’接收来自主多核设备的SSF模块710的、关于主多核设备200的会话的会话状态。由从设备200’接收的会话状态可包括由主设备200的每个核505发送到主设备200的SSF模块710的所有会话状态715。在一些实施例中，接收的会话状态715包括由主设备200的SSF模块710接收的、来自每个核505的会话状态715中的一些。从设备200’的SSF模块710’还可以接收用于维护和操作一个或多个会话的设置、配置和参数。在一些实施例中，SSF模块710’接收会话相关的配置和操作信息615。在进一步的实施例中，SSF模块710’接收会话相关的指令、命令和设置，用于运行或管理从设备200’的核505’上的会话。由SSF模块710接收的会话状态715还可以标识主设备200的核505，其中对应该会话状态715的会话正在在该核505上运行或操作。
在步骤720，从设备200’的SSF模块710’向从设备的一个或多个核505分配主设备200的多个会话以及对应的会话状态715。在一些实施例中，从设备200’的SSF模块710’向从设备的一个或多个核505分配会话。可基于用于处理、运行或管理会话的主设备的对应核505来分配会话。在一些实施例中，将由主设备200的核505A管理的会话分配给从设备200’的核505A'。在进一步的实施例中，将由主设备200的核505N管理的多个会话分配给从设备200’的核505N’管理。在进一步的实施例中，将由主设备200的核505A和505N管理的多个会话分配给从设备200’的核505A'管理。可由传播器620’或由SSF模块720将会话状态715分配、转发或传播给从设备200’的核505'。在一些实施例中，基于核505的会话分配将会话状态715传播或转发到核505。如果将会话分配给特定核505，可将对应于该会话的会话状态715转发或传播到该特定核505。在一些实施例中，由主设备200的核505的SSF模块710将会话状态715传播或转发到从设备200’的核505'。在一些实施例中，主设备200的每个核505向从设备的核505’发送包括核505的会话状态715的消息。
在步骤725，响应于计时器期满，主设备200的SSF模块710接收来自主设备200的每个核505的更新的会话状态715。在一些实施例中，SSF模块710接收来自每个核505的更新的会话状态715。可响应于在每个核505上运行的计时器700的期满来接收更新的会话状态715。在进一步的实施例中，核505响应于主核505的计时器700的期满发送更新的会话状态715。主核505可响应于计时器700的期满向每个核505发送请求会话状态715的消息。每个核505可更新会话状态715或会话状态715内的任何数据。在一些实施例中，会话的状态、条件、可用性或特征已经发生变化且处理该会话的核505根据该变化修改对应于该会话的会话状态715。在进一步的实施例中，核505响应于会话状态715的对应会话的任何更新、修改或变化，定期更新或修改该会话状态715的数据、值、设置或参数。在一些实施例中，核505响应于经由会话的任何通信交换、会话的任何设置以及关于会话的任何进展，更新会话状态715中的会话历史。核505可更新会话状态715，以指示已建立该会话。在进一步的实施例中，核505更新会话状态该715以指示已终止该会话。在进一步的实施例中，核505更新会话状态715以指示该会话是只读会话。在进一步的实施例中，核505更新会话状态715以指示授予该会话对客户机102或服务器106的有限访问或有限权限。在进一步的实施例中，核505更新会话状态715，使得可由客户机或服务器写或修改该会话。核505可向SSF模块710发送包括核505的每个会话的会话状态715以及该会话状态的更新数据的消息。在一些实施例中，核505在SSF模块710可访问的存储位置中存储更新的会话状态715。SSF模块710可接收消息且识别更新的会话状态715。在一些实施例中，SSF模块710接收包括存储器中的位置的消息，发送消息的核505已经在该位置存储了更新的会话状态715。SSF模块710可访问该存储位置且检索会话状态715。在进一步的实施例中，SSF模块接收仅包括自在先更新以来被更新的会话状态715的消息。SSF模块710可检查和处理来自每个核505的更新的会话状态715。SSF模块710可根据核505传输的先前更新来识别每个会话状态715的变化。
在步骤730，从设备200’的SSF模块710’接收来自主设备200的SSF模块710的更新的会话状态。在一些实施例中，从设备200’的SSF模块710’接收来自主设备200的SSF模块710的、由该SSF模块710从主设备的核505接收的所有会话状态715。在一些实施例中，从设备200’的SSF模块710’接收来自主设备200的每个核505的、包括更新数据的会话状态715。在进一步的实施例中，从设备200’的每个核505’的SSF模块710’接收来自主设备200的核505的更新的会话状态715。在进一步的实施例中，从设备200’的SSF模块710’接收来自SSF模块710的、自从SSF模块710到SSF模块710’的在先更新传输以来被更新的会话状态715的合并数据。
在步骤735，将由从设备200’的SSF模块710’接收的更新的会话状态转发到从设备200’的核505'。在一些实施例中，基于对应会话的分配，将由SSF模块710’接收的更新的会话状态转发或传播到从设备200’的每个核505'。在一些实施例中，从设备200’的传播器620’向核505传播或转发更新的会话状态715。在进一步的实施例中，SSF模块710’向从设备的每个核505’发送消息。该消息可包括每个核505’可访问的存储位置以及检索更新的会话状态715的指令。在一些实施例中，该消息包括每个核505’可访问的存储位置和检索已经存在于核505’上的会话状态715的更新数据的指令。在进一步的实施例中，该消息包括更新的会话状态715、关于会话状态715的更新或变化，或者将要更新或变化的、关于在从设备200的核505’上存储的会话状态715的数据。可向核505’传播或转发更新的会话状态，该核505’与对应于更新的会话状态715的会话所分配的核相同。从设备200’的核505A'可响应于被分配了对应于更新的会话状态715A的会话，来接收该更新的会话状态715A。在进一步的实施例中，可将对会话状态715的数据的改变传播到从设备200’的核505'。接收更新的会话状态715或者接收对会话状态715的数据的改变的从设备200’的每个核505’的SSF模块710，可处理和更新存储在核505’上的对应的会话状态715。
在故障切换的情况下，从设备200’可使用最新的会话状态715来维护由主设备200处理的每个会话的运行、性能、功能和持续性。响应于检测到主设备200不可用，从设备200’的核505’可使用会话状态715来设置核505’的配置和操作，以维护会话的运行和功能。在一些实施例中，从设备200’的核505’使用配置／操作信息615来配置每个核505’的操作。可在故障切换前，根据主设备200的核505的操作来配置每个核505’的操作。类似地，核505’的SSF模块710可使用会话状态715A'-N'、根据会话状态715A’-N’描述的设置来配置分配给每个核505’的每个会话。在故障切换的情况下，可根据主设备200建立的状态，由从设备200’维护会话。从设备200’的每个核505’可根据从主设备200接收的每个会话状态715的最新数据，接管会话的操作和处理。
H.用于在多核系统中实现连接镜像的系统和方法
为了在故障切换事件发生时保持连接活动，设备可包括各种连接故障切换功能以维护和保持现有连接为活动状态。在这种配置下，通过虚拟服务器的客户机和服务器之间的连接可能不受故障切换事件的影响。在多核中间设备中，可使用连接镜像实现这样的功能，连接镜像也可以称作CM。
连接镜像功能可在两种模式下运行：无状态和有状态。在无状态连接镜像的一些实施例中，主或从节点都不具有任何存储器或运行时系统开销。例如，无状态连接可能不包括先前传输或事务的记录。可基于传入的网络分组在新的主节点上重新建立或复制在故障切换事件后在主节点上建立的数据流。
可在诸如vsever275的特定类型的虚拟服务器上操作无状态故障切换功能，其可以包括用于实现无状态CM的功能。在一些实施例中，无状态故障切换功能可依赖于将在兼容连接镜像的虚拟服务器下的所有服务上设置的USIP。在一些实施例中，无状态故障切换功能可使用源IP持续性以确保在故障切换后在客户机侧看到的分组指向适当的服务器。
有状态CM可适用于TCP服务类型，如TCP服务、FTP服务、诸如SSL_BRIDGE的SSL服务。有状态CM可与任何负载平衡方法和持续性方案兼容，并且可适用于允许的服务类型。有状态CM还可以与UDP协议和任何虚拟服务器(包括类型为ANY的虚拟服务器)一起工作。有状态CM可能比无状态CM功能利用更多存储器并且可能具有更大的运行时开销。在一些实施例中，有状态CM包括维护结构的功能，以保持对进程控制块(PCB)的认知。PCB可包括驻留在内存中的任何动态结构，其存储关于进程的信息。PCB可包括进程标识符、父进程标识符、进程状态、存储器信息、程序控制数据，和普通说明信息。有状态CM功能可包括连接的NAT PCB。对于TCP协议，有状态CM功能可实时地使用在高可用性(HA)节点或HA节点之间同步的序列和ACK号。有状态CM还可以使用PCB上一些事件的同步，例如为服务器侧连接的建立所保持的数据、在令牌负载平衡方法以至SSL_BRIDGE的情况下的有效载荷重组、在FTP情况下的应用事件的同步，如BA事件。
在多核系统中，可将CM用来解决与连接管理相关的一些问题。例如，CM可帮助解决当在主系统的核上驻留的连接对被分离到从系统的一些核之间时发生的问题。当主系统上的每个核建立到从系统的SSF连接时可能出现另一问题。在这种情况下，可能不能保证那些连接是核到核的。例如，来自主系统的所有SSF连接在从系统的一个核上结束。在一些实例中，可将CM连接的元数据由cm_devno进行标记，其可用于主系统和从系统上的哈希(例如，RSS哈希)并且可被当做单核系统中的全局唯一。然而，在多核系统中，这样的特征仅在多核系统的核的分组引擎内是唯一的。作为结果，从系统上的单个分组引擎可能接收具有相同cm_devno的两个或更多CM连接。在这样的问题中，CM可以为这样的特征提供全局唯一密钥，以允许它们在核和分组引擎之间可以唯一地区别开。
在无状态CM中，可使用能够支持无状态连接的虚拟服务器。在一些实施例中，将类型为ANY的虚拟服务器用于无状态CM。可将数据流表示为PCB对，如NAT PCB。PCB是协议控制块，或者是表示或保持关于连接的信息的数据结构。可基于传入的分组建立故障切换后网络流量的流。例如，如果从客户机接收到故障切换后的第一个分组，系统可使用与其接收传入请求(如对类型ANY的虚拟服务器的侦听服务的新请求)相同的方法来建立流。虚拟服务器可包括非SYN分组需要的修改以创建NAT PCB。在一些实施例中，使用持续性功能，例如源IP持续性。在进一步的实施例中，使用负载平衡功能，例如，源IP源端口哈希负载平衡方法，其一个例子是SOURCEIPSOURCEPORTHASH。
在故障切换时，当在服务器侧接收到第一个传入的分组时，系统可确定该传入的分组是否属于绑定到启用CM的vserver的服务。如果确定该分组确实属于该服务，CM系统可调用函数(例如“ns_connfailover_handler”)来建立NAT PCB流。可在获得该分组的核上安装服务器侧NAT PCB。然而，如果客户机NAT PCB属于不同核，可在获得分组的核上安装软件RSS过滤器取代安装客户机NAT PCB。可使用指令来安装RSS过滤器，例如：(NS_RSSF_SENDMSG_NATPCB(NS_RSSF_MSG_ADD，c_natpcb，ns_rssf_callback))。取代客户机NAT PCB而安装RSS过滤器使得到达该核的针对NAT PCB的流量被转发到NAT PCB流驻留的核。如果服务器侧NAT PCB和客户机侧NAT PCB属于同一核，则创建客户机侧NAT PCB以及建立链接。
当在主节点上建立客户机连接，可将PCB创建消息(如SSF_CM_CREATE_PCB)发送到从节点。一旦接收到PCB创建消息，则可以识别目标核。如果目标核是接收该消息的核，则可以创建客户机PCB。如果目标核不是接收该消息的核，那么可将核到核消息发送到目标核以在该目标核上创建PCB。
在链接事件被发送到从节点的实例中，可查找客户机侧PCB以确定其创建在哪个核上。链接消息可以是可与关于服务器侧连接的信息一起发送的消息，如SSF_CM_LINK_PCB。如果确定创建了客户机侧PCB的核与接收消息的核相同，则也可在同一个核上创建服务器侧PCB。然而，如果确定是不同的核，可将核到核消息发送到目标核用于处理。接着，可确定服务器侧PCB本该所属的核，并且如果这不是创建服务器侧PCB的核，可将软件RSS过滤器安装在服务器侧PCB本该创建的核上。
可以阻塞可侦听服务器连接的端口。在接收到“新”的ACK时，可将基于流量的更新(如SSF_CM_PCB_UPDATE)，从主节点发送到从节点。新的ACK消息可指示接受者已经接收该数据。如果接收更新的核与PCB对所在的核相同，那么可以直接更新该数据。然而，如果接收更新的核不同，那么可将核到核消息发送给PCB对所在的核。
一旦在主节点上创建NAT PCB流，则向从节点发送消息SSF_CM_LINK_NATPCB。在从节点上，可根据RSS在服务器NAT PCB所属核上创建NAT PCB。类似地，可在客户机NAT PCB本该所属的核上，替代地安装软件RSS过滤器。可建立从主系统的每个核到从系统的SSF连接。在从系统上，SSF连接可到达任何核。不对称配置(当主节点和从节点不在相同的硬件配置上运行时)中可能发生相同的情况。
在一个实施例中，在连接没有附接到从节点上“合适”的核的情况下，应用一种设计。然而，如果主节点上的每个核建立到从节点上每个核的SSF连接，则从单元内核到核消息的数量可能大幅度减少到仅为RSS过滤消息。这可能以具有很多连接和要求来管理它们为代价。主单元可以知道从单元的RSS密钥。通过使用该密钥，主设备可计算连接应当驻留的、从设备上的核，并且使用到该核的连接用于与该连接相关的消息。
现参考图8A，其描述了其中来自主分组引擎的SSF连接到达从节点的分组引擎的CM系统的实施例。来自主分组引擎2(又称作PPE2)和分组引擎3(又称作PPE3)的SSF连接，可到达从节点的分组引擎3，或PPE3。在一个实施例中，主节点的PPE2发送创建PCB的请求。该PCB可属于从节点上的PPE2。可通过从节点上的PP3和PPE2之间的核到核消息传递来发生(occur)PCB创建过程。在一个实施例中，从节点的PPE2上可能发生错误并且可能不能创建PCB。在这种情况下，由于从节点未能创建PCB，从节点可向主节点发送SSF_CM_DISABLE_PCB消息，请求禁用该PCB上的CM。在从系统上，该过程要经过核到核消息的回调函数，且当PPE2指示PPE3发送该禁用消息时，PPE3可在原始请求传入的相同连接上发送该消息。这样做是为了当请求的PCB所属的核与在该事务中使用的连接所属的核相同时，避免主节点上的核到核消息传递。
在建立好SSF CM连接后，主节点可发送命令以清除从节点上的所有会话。该命令可以是SSF_CM_CLEAR命令并且可以附有发送该命令的主节点上的核的ID。命令结构中，SSF_CM_CLEAR可能不包括任何数据，且为此使用SSF头部。
可将核标识符添加到命令结构。在一些实施例中，SSF_CM_CLEAR可包括指令或者可基于以下伪代码设计SSF_CM_CLEAR：
可将源核标识符存储到CM会话中。当需要从从节点发送消息并且核具有不止一个连接时，可选择具有相同源核标识符的连接。该配置可避免主节点上的核到核消息。
出于CM的目的，可在设备上创建额外的实体。该额外的实体可称为CM会话并且可包括基于以下伪代码的实施例的指令：
该实体可用于表示两个节点(主和从节点)上的CM PCB和NAT PCB。在从节点上，PCB和/或NAT PCB可能并不驻留在普通哈希表和全局列表中。访问这些PCB的唯一方法就是通过CM会话。在一些实施例中，cm_devno可用作包含CM会话的哈希表的密钥，可以(通过递增nscm_devno)在主节点上创建该字段的值，并且由于可以经由CM消息将其传递到从节点时，因此可以随后在从节点上使用该字段的值。
在一些实施例中，对于每个核而言nscm_devno可能唯一，但不是全局唯一。因此，可使用另一方法来唯一识别CM会话。在一些实施例中，可通过使用TCP和/或UDP流量的源IP、目标IP、源端口和目标端口来解决这个问题。例如，在CM函数中，可由SRCP_IP、SRC_PORT、DST_IP、DST_PORT来唯一标识TCP和UDP且该组合可以在n核系统中保持唯一。为使用该方法，在一些实施例中可基于下列伪代码改变函数cm_session_t：
然而，在一些实施例中，为了显示的目的，可在结构中保留Cm_devno。结构可表示SSF消息并且可以包括基于IP和端口的查找信息。例如以下伪代码的实施例：
在一些实施例中，在从节点上，SSF连接到达的核上的CM_HASH可以不仅维护在该核上创建的CM会话，还维护为在其他核上创建而发送的关于CM会话的信息。这可以包括信息条目。在一些实施例中，RSS计算可能得不出NAT PCB或PCB驻留的正确的核。在这些实施例中，可将从PCB创建后发送的信息用于识别位置。
在一些实施例中，在CM会话创建时，应将四topple/元组代替nscm_devno分配给该CM会话。PCB可以包括基于以下伪代码的指令：
在一些实施例中，NAT PCB可包括基于以下伪代码的指令：
在一些实施例中，函数nsssf_input可调度SSF命令。可在定义中用“_CM_”称号来标识属于CM特征的那些函数。在一些函数中，可对是否应该由接收命令的核或其他一些核处理消息做出确定。可通过调用查找cm_session以及根据local_target_id校验owner_core id来完成。
在一些实施例中，作用于当前cm_session的命令的代码可基于下列任何伪代码：
在一些实施例中，创建CM会话的函数可包括可基于以下伪代码的指令：
在一些实施例中，从主核发送到从核的第一命令可以是SSF_CM_CLEAR，其可以指示从核清除其知道的所有CM连接。当完成清除，从核可向主核发送SSF_CM_CLEAR_COMPLETE指示清除已完成，并且主核可以开始将其知道的CM连接推送到从核。
在一些实施例中，当系统使用主节点且建立从每个核到从节点的SSF连接时，可使用任何连接发送SSF_CM_CLEAR命令。按照第一个接收的命令，从节点可以在所有核上发起清除。
在一些实施例中，主多核装置可着手于建立故障切换机制，用于在主装置故障时由从多核装置维护连接并且保持该连接活动。在一个示例中，可在两个装置的核之间使用SSF连接，并且每个装置还可以使用RSS密钥，用于流分布器或接收器侧缩放(scaling)。主多核装置的第一核可以是在客户机和服务器之间维护连接的核。主装置的第一核可包括关于连接的信息，诸如元组信息，例如源IP地址、目标IP地址、客户机侧端口号、服务器侧端口号、客户机和服务器的MAC地址，以及与连接相关的任何其他信息，例如基于连接的加密/解密信息、压缩解压缩或者与连接相关的任何其他处理指令或设置。主设备的第一核可将PCB建立为数据结构，与连接相关的信息将存储在该数据结构中并且该数据结构可用于支持和/或服务该连接。
主装置可能期望在从多核中间装置的核上建立相同连接的备份，在主装置经历故障时，该从多核中间装置可以作为保持主装置的任何连接活动的备份装置。建立连接的备份可能需要执行任何必要步骤，使得在关于连接的任何传入请求出现时，从装置上的核能够接收并处理该请求。这可以包括在从装置上建立连接相关的PCB，或者向从装置发送建立备份连接的所需要的、任何与连接相关的信息。该信息可包括客户机侧IP地址、服务器侧和客户机侧MAC地址、服务器侧和客户机侧端口号，以及与处理相关的任何其他设置和/或配置，如压缩/解压缩信息、加密/解密设置以及任何连接特定的处理功能。
为了在从装置上建立连接备份，在主装置的核上负责该连接的分组引擎可使用算法来识别从装置上将建立连接的目标核。该算法可以是RSS算法并且可以使用哈希或RSS密钥、函数和/或表。该算法可使得分组引擎能够基于(诸如从装置的RSS密钥的)信息以及要备份的连接的元组信息来计算从多核装置上的目标核。连接的元组信息可包括任何连接特定的信息，例如源IP地址、目标IP地址、客户机侧端口号、服务器侧端口号、源MAC地址、目标MAC地址或者帮助唯一标识该连接的任何其他信息。在一些实施例中，元组信息是连接的4元组信息，例如源IP地址、目标IP地址、源端口号和目标端口号。一旦算法处理RSS密钥和元组信息，算法可输出结果，该结果识别在从装置上将支持连接的备份的核。
由于从装置的RSS密钥可能与主装置的RSS不同，从装置的目标核不一定对应于主装置的核。如此，由于从装置的RSS密钥和连接4元组信息是唯一的，RSS算法可以使用这些相同的输入重复且可靠地产生相同的结果。如此，当从装置上运行的RSS算法使用相同的输入(即从装置的RSS密钥和连接的4元组信息)进行处理时，从装置上的RSS算法仍会识别从装置的相同目标核。
一旦主装置识别了从装置的目标核，主装置上的核可进一步在主装置上的主核与第二装置上的目标核之间建立新的直接的连接。由于从装置也可以使用RSS算法来向核分配新的连接，因此主装置可修改到目标核的传输以保证在评估其自身到算法的输入时，从核上的RSS算法选择该目标核。由于从装置上的RSS算法使用从装置的RSS密钥和来自主装置的传入连接请求的4元组信息作为RSS算法的输入，因此主装置可比较结果识别的核并且比较该核与目标核。当RSS算法识别的核与期望核不同时，主装置可修改新连接请求的4元组信息以保证RSS算法计算的结果识别从装置的目标核。
在一个示例中，为了保证从装置上的RSS算法将新连接请求发送到期望的目标核，主装置可在将从装置RSS密钥和新请求的4元组信息用作输入时，在主装置上运行RSS算法。如果RSS计算的结果识别与期望目标核不同的核，则装置可将4元组信息中的端口改变为不同的可用端口，并且再次运行RSS算法。在一些实施例中，在执行该迭代的同时可以修改两个端口。主装置的RSS算法可经历多次迭代并且可修改任何端口、任何IP地址、元组的任何其他信息直到RSS算法得到目标核的期望结果。一旦主设备的RSS算法使用从设备的RSS密钥和该最新4元组配置识别了目标核，则主设备可使用该最新4元组配置向从设备发送连接请求。由于从设备RSS算法也会使用从装置RSS密钥和请求的4元组配置来识别向哪个核转发连接请求，因此从设备的RSS算法将根据主装置的要求选择将连接请求转发到从设备的目标核，
响应于该请求，从设备的目标核可建立与主设备的请求核的连接。该连接可用于在主核和目标核之间传输关于客户机到设备和/或服务器的连接的任何信息，如PCB、NATPCB和关于该连接的其他信息。根据该信息，目标核可以在从设备上建立连接的镜像。
用于在主节点或装置和从节点或装置之间传送数据的媒介可以是SSF。SSF可用于任何连接镜像功能。主节点上的每个核可建立到从节点的连接。在从节点上，SSF连接可到达任何核，因此甚至有多个连接可到达一个核而没有连接到达另一个核。然而，可使用基于上述元组信息的技术来控制该情形。
当在主节点上建立客户机连接时，可向从节点发送PCB创建消息，如SSF_CM_CREATE_PCB。该PCB创建消息可包括用于创建连接或建立用于处理和维护连接的核的任何和所有信息。当从装置接收到PCB创建消息，可使用上述算法来识别目标核。如果目标核是接收消息的核，可创建客户机PCB。如果目标核不是接收消息的核，则可向目标核发送核到核消息以在那里创建PCB。然而，如上文所述，还可以通过由主装置修改连接的元组信息来发送PCB。
在向从装置发送链接消息(诸如具有与服务器侧连接有关的信息的SSF_CM_LINK_PCB)的情况下，可查找客户机侧PCB以确定在哪个核上创建了该PCB。如果创建客户机侧PCB的核与接收消息的核相同，则也可以在该核上创建服务器侧PCB。然而，如果是不同的核，则将核到核消息发送到目标核用于处理。然后，确定服务器侧PCB本该所属的核，并且如果该核不是创建服务器侧PCB的核，则在本该创建服务器侧PCB的核上安装软件RSS过滤器。
在一些实施例中，可阻塞和保留服务器连接将到达的核中的端口。当接收到“新”的ACK(这意味着接受者已经接收了数据并且确认了它)，可将基于流量的更新(如SSF_CM_PCB_UPDATE)从主装置发送到从装置。如果接收更新的核与具有PCB对的核相同，则可以直接更新该数据，如果核不同，则可以向具有PCB对的核发送核到核消息。一旦在主装置上创建了NAT PCB流，则可向从装置发送消息SSF_CM_LINK_NATPCB。在从装置上，可根据算法或RSS在NAT PCB所属的核上创建NAT PCB，并且可在客户机NAT PCB本该所属的核上安装软件RSS过滤器。
现参考图8B，其描述了用于提供在客户机和服务器中间的两个或更多个多核装置之间的故障切换连接镜像的方法。该方法可包括由在客户机和服务器之间的多核装置接收第二多核装置的哈希密钥，例如由第二多核装置的流分布器用于跨第二多核装置的核分发分组的哈希密钥(805)。多核装置可使用(i)其他或第二多核装置的哈希密钥，以及(ii)对应于经由多核装置的、在客户机和服务器之间的连接的元组信息来识别其他或第二多核系统的核(810)。多核装置可确定其他多核装置的识别的核不是用于提供客户机和服务器之间的故障切换连接的期望核或者目标核(815)。该多核装置可修改元组信息以便在与其他多核系统的哈希密钥一起使用时识别期望核或目标核(820)。多核装置可使用修改的元组信息以建立其他多核装置中的故障切换连接(825)。例如通过将修改的元组信息发送到第二或其他多核装置来建立其他多核装置中的故障切换连接。
现参考(805)，客户机和服务器中间的多核装置可接收由另一多核装置的流分布器或RSS使用的该另一多核装置的哈希密钥。例如，多核装置有时可称作如上文结合图8A所描述的主装置、第一多核装置或第一装置。另一多核装置有时可称作从或第二或其他多核装置。在一些实施例中，装置接收在客户机和服务器之间建立连接的请求。响应于该请求，第一多核装置可向另一装置发送请求以建立客户机和服务器之间的故障切换连接，例如经由另一装置的故障切换连接。装置可基于该请求确定该故障切换连接是适当的或必须的。在一些实施例中，装置接收建立故障切换连接或促成建立故障切换连接的另一请求。装置可确定从装置是用于提供故障切换连接的合适的和/或可用的装置。在一些实施例中，装置将从装置标识为其故障切换装置。在一些情况下，从装置可提供对应于主和/或另一装置中的连接的一个或多个现有故障切换连接。
在一些实施例中，装置可请求从装置的哈希密钥。该哈希密钥可对应于由从装置的RSS或流分布器使用的哈希密钥，用于将部分网络流量映射或分发到从装置中的一个或多个核。在某些实施例中，从装置的哈希密钥可以是唯一的或者不同于主和/或其他装置。例如，由于不同的哈希函数、表、主装置中的核的数量，从装置的哈希密钥可能不同于主装置。在一些情况下(例如，开箱即用工厂设置)，从装置的哈希密钥可能与主装置相同，但随着时间可以被修改、更新或重新配置。在一些实施例中，哈希密钥可包括哈希表和/或哈希函数。哈希密钥可包括用于基于适当的输入或耦合信息(例如，元组信息)来识别核的程序、转换装置、代码、脚本、证书或其他机制。哈希密钥可包括RSS密钥。在某些实施例中，装置可请求从装置的哈希表和/或哈希函数。装置可发出请求，该请求响应于接收到建立客户机和服务器之间的连接和/或故障切换连接的请求。在一些实施例中，装置可向从装置请求与从装置的哈希密钥、表和/或函数有关的信息，和/或接收与从装置的哈希密钥、表和/或函数有关的信息。装置能够基于该信息复制或仿真从装置哈希密钥、表和/或函数的功能。
在(810)进一步的细节中，装置可使用(i)从装置的哈希密钥和(ii)对应于经由该装置在客户机和服务器之间的连接的元组信息，来识别从装置的核。装置可利用使用从装置的哈希密钥和元组信息作为输入的流分布器或RSS的算法。如此，如果连接穿过从装置的流分布器或RSS，第一装置可确定将连接分配或分发到哪个核。装置可识别或确定对应于客户机和服务器之间建立的或正在建立的连接的元组信息。在一些实施例中，装置可例如使用关于连接的信息来生成或组装元组信息，该元组信息例如可包括客户机和/或服务器的端口和/或地址(如IP地址)信息。装置可根据用于建立连接的请求来确定元组信息。装置可根据与连接一起建立的连接进程来确定元组信息，例如，根据与客户机和/或服务器的连接关联的一个或多个PCB来确定元组信息。装置可根据从连接拦截的分组或流量来确定元组信息。装置可经由该装置的核、虚拟服务器、RSS引擎、RSS算法、PCB、分组引擎和/或RSS模块来确定元组信息。在一些实施例中，处理客户机和服务器之间的连接的装置的核提供该元组信息。
在某些实施例中，装置用从装置的哈希密钥合并或重新配置其RRS模块。装置可基于从从装置的哈希密钥、函数和/或表提取的信息，临时重新配置其RSS模块。在一些实施中，装置基于从装置的哈希密钥生成或配置另一RSS模块。装置可使用虚拟服务器、进程或其他实体来仿真使用从装置的哈希密钥的RSS模块的功能。装置可将元组信息应用到哈希密钥以评估对应于第二多核装置的核的结果。例如且在一些实施例中，装置可将RSS算法配置为使用从装置的哈希密钥和元组信息。RSS算法可评估、执行计算，或以其他方式处理元组信息和/或哈希密钥信息，得到结果。该结果可对应于核的标识符。该标识符可用于唯一标识或映射到多核装置(如从装置)中的多个核中的一个。例如，装置可基于现有元组信息，使用结果或标识符来识别从装置中的核。
现参考(815)，装置可确定从装置的识别的核不是用于提供客户机和服务器之间的故障切换连接的期望核或目标核。装置可请求来自从装置的信息，包括核和/或故障切换设置、能力和/或配置。装置可与从装置通信以确定从装置中一个或多个核的状况。在一些实施例中，从装置可报告从装置中一个或多个核的状况和/或标识，该一个或多个核例如是运行的和/或具有处理流量或连接的能力。装置可将具有下列至少一项的核识别为用于提供故障切换连接的期望或目标核：可用、运行的以及没在处理其他故障切换连接。装置可基于与该装置已促成的在从装置中的其他故障切换连接有关的信息来识别期望或目标核。
装置可将使用从装置的哈希表评估的结果或标识符与期望或目标核的标识符进行比较。在一些实施例中，从装置的目标核可与主装置上将被分发该连接的核相同(例如，主装置上的核1，因而从装置上的目标核是核1)。在一些实施例中，从装置的目标核可以是映射到主装置的核(例如，将主装置上的核1映射到从装置上的核2)。在一些实施例中，装置可确定结果或标识符对应于期望或目标核。在其他实施例中，装置可确定结果或标识符没有对应到期望或目标核。从装置的哈希密钥、表和/或函数可映射、转换或操作元组信息(或至少部分基于元组信息而生成的信息)来产生与主装置的哈希密钥、表和/或函数不同的结果。例如，某个元组可固定地映射到主装置中的核1，而映射到从装置中的核3。另一元组可映射到主装置的核5，而映射到从装置的核2。在一些实施例中，主装置可使用或分析从装置的哈希密钥，来预测在从装置中元组将如何映射。在某些实施例中，主装置可从从装置的哈希密钥中提取信息以确定哪个元组将映射到从装置中的某个期望核。例如，主装置可基于哈希密钥确定逆向映射函数或表，以识别期望或目标核可能映射到哪个元组信息。
在(820)进一步的细节中，装置可修改元组信息以便在与从装置的哈希密钥一起使用时识别期望或目标核(820)。在一些实施例中，装置可确定从装置的哈希密钥将元组信息转换或映射到期望或目标核。装置可响应于成功地将元组信息转换或映射到期望核而确定不修改该元组信息。在一些实施例中，装置可确定需要修改元组信息，以便该元组在与从装置的哈希密钥一起使用时识别期望或目标核。装置可尝试对元组信息和从装置的哈希密钥进行一种或多种组合或者修改，以试着匹配到期望核。在一些实施例中，装置可确定映射到期望或目标核所需要的修改(例如，对端口号的最小改变)。装置可确定对元组信息中的地址和/或端口中的一个或多个的修改。例如，装置可基于来源于从装置的哈希密钥的逆向映射函数或表来确定该修改。
在一些实施例中，装置可使用来自一系列可用端口号(源或目标)的端口号直到使用从装置的哈希密钥和修改的元组信息计算出匹配的目标核。在一些实施例中，可将端口号映射到由主和/或从装置寄载的端口号。在一些实施例中，装置可使用来自一系列可用IP地址(源或目标)的IP地址直到使用从装置的哈希密钥和修改的元组信息计算出匹配的目标核。在一些实施例中，可将IP地址号映射到由主和/或从装置寄载的IP地址。在一些实施例中，装置可使用结合了来自一系列IP地址的IP地址的来自一系列可用端口号(源或目标)的端口号，直到使用从装置的哈希密钥和修改的元组信息计算出匹配的目标核。
在一些实施例中，装置可确定对元组信息的一次或多次修改允许从装置将修改的元组信息映射到期望核。哈希密钥可将元组信息的一个或多个集合映射到特定核。可配置哈希密钥设置，使得可由每个多核装置中有限数量的核来处理客户机-服务器连接的多个不同配置。装置可确定所确定的一个或多个修改中的适当的修改。装置可从一个或多个修改中确定应用于元组信息的最小或适当的修改。该最小或适当的修改可以是对元组信息中的端口号和或地址的修改。
现参考(825)，该装置可使用修改的元组信息来建立从装置中的故障切换连接。主装置可向从装置发送或提供修改的元组信息。装置可向从装置发送消息以基于修改的元组信息建立镜像的故障切换连接。装置可使用修改的元组信息来经由从装置的期望或目标核建立故障切换连接。在一些实施例中，装置例如经由SSF连接向从装置发送从客户机或服务器接收的流量的副本。装置可指示客户机侧和/或服务器侧的网关、路由器或其他网络装置向从装置发送从客户机或服务器接收的流量的副本。装置可指示或请求客户机和/或服务器向从装置发送从客户机和/或服务器传输的分组的副本。在一些实施例中，装置可请求或指示从装置建立与客户机和服务器的连接。装置可将修改的元组信息传递给从装置以重新配置该连接。装置可将修改的元组信息传递给从装置以建立故障切换连接。装置可在从装置中建立有状态故障切换连接，其镜像第一多核装置中的连接。连接装置(如从装置)可保留或跟踪有状态连接中的会话状态。在一些实施例中，与客户机和服务器对应的元组信息中的修改不影响连接的源和目标点，或者它们在从装置中的合适的标识。
在一些实施例中，装置建立到从装置的会话或连接。该连接或会话可称作连接镜像(CM)或者SSF连接或会话。例如，如上文中结合图8A所述，装置可使用建立的连接或会话与从装置传递任何适当的消息。例如，该装置可使用结合图7A和7B描述的特征和方法的任何实施例，向从装置传递任何装置相关或连接相关的信息，例如装置设置、进程配置、连接或会话状态、装置能力或功能、客户机和/或服务器信息。
在一些实施例中，装置向第二多核装置传递客户机侧和/或服务器侧进程信息，以建立与客户机和服务器的故障切换连接。例如，如上文中至少结合图8A所描述的，该进程信息可以是PCB的形式。该进程信息可包括修改的元组信息中的一些或全部。装置可创建该装置的客户机侧和/或服务器侧PCB的副本以传送到从装置。PCB可以使从装置能够建立到客户机和/或服务器的客户机侧和/或服务器侧连接。在一些实施例中，装置可根据应用到元组信息的修改来修改PCB。装置可在PCB中包括用于由从装置使用的修改的元组信息中的一些或全部。装置可将修改的元组信息经由传输到从装置的PCB传递到从装置。在一些实施例中，装置将网络地址转换信息传递到第二多核装置，以建立与客户机和服务器的故障切换连接。该信息可包括一个或多个NAT PCB、或采用一个或多个NAT PCB的形式。在一些实施例中，可将上述PCB的任何部分结合或重新安排到一个或多个PCB中。可经由CM会话将这些信息的部分批量或分别传递到从装置。
在一些实施例中，装置可向从装置传输消息以建立用于故障切换连接的一个或多个PCB。从装置可建立PCB以开始支持初步的或临时的故障切换连接。可由从装置的RSS引擎或其他模块接收通过CM会话传递的信息(例如，元组或PCB信息)和/或消息(例如，PCB创建请求)。在一些实施例中，RSS引擎可确定用于建立故障切换连接的期望核。RSS引擎或算法可将修改的元组信息应用到从装置的哈希密钥、函数和/或表来确定该期望核。RSS引擎可向期望核转发接收的信息和/或消息用于进行处理。
在一些实施例中，例如，不管或不论该核是否是期望核，从装置向该核发送信息和/或请求用于进行处理。可基于负载平衡或者RSS处理或其他处理随机选择核。接收核的分组引擎、虚拟服务器或RSS引擎可确定信息和/或消息是否本该属于另一核(例如，期望核)。接收核可将修改的元组信息应用到从装置的哈希密钥、函数和/或表以确定期望核。接收核可将接收的信息(例如PCB和/或修改的元组信息)和/或消息转发到期望核。例如，如上文中至少结合图8A所描述的，接收核可经由核到核消息或RSS处理向期望核发送或者传送信息。
在一些实施例中，由第一个接收消息的核(例如，不是期望核)处理该消息。装置可在传送元组信息和／或PCB信息之前，发送该消息以建立从装置中的连接处理。核可以建立一个或多个PCB，例如用于临时处理故障切换连接。从装置可随后确定该核不是期望核。从装置可例如经由核到核消息或RSS过滤器，向期望核转移或迁移建立的PCB用于故障切换处理。
在一些实施例中，装置促成经由从装置的第二核的(例如第二)故障切换连接的建立，该故障切换连接镜像经由第一装置的第二核的连接。装置可促成或请求在从装置中的多个故障切换连接的建立，该故障切换连接镜像经由装置的连接。在某些实施例中，装置可向从装置传送对应的元组信息集合，以建立每个故障切换连接。装置可向从装置传递多个CM信息(例如，客户机侧、服务器侧和／或NAT PCB)集合用于建立故障切换连接。在某些实施例中，经由单个CM会话或连接传递每个CM信息集合。在其他实施例中，可通过共享一个或多个CM会话来向从装置传递CM信息。
应该理解，上文描述的系统可提供多个组件或每个组件并且这些组件可以在单独机器上提供，或者在一些实施例中，可在分布式系统的多个机器上提供。可以使用编程和／工程技术将上文所描述的系统和方法实现为方法、装置或产品以提供软件、固件、硬件或上述的任何组合。此外，上述系统和方法可作为一件或多件产品上所体现的或在其中的一个或多个计算机可读程序而被提供。此处使用的术语“产品”旨在包括从一个或多个计算机可读的装置、固件、可编程逻辑、存储器装置(例如，EEPROM、ROM、PROM、RAM、SRAM等)、硬件(例如，集成电路芯片、现场可编程门阵列(FPGA)、专用集成电路(ASIC)等)、电子装置、计算机可读的非易失存储单元(例如，CD-ROM、软盘、硬盘等)可访问的或嵌入其中的代码或逻辑。所述产品可以从经由网络传输线、无线传输介质、通过空间传播的信号、无线电波、红外信号等提供对计算机可读程序的访问的文件服务器进行访问。所述产品可以是闪存存储卡或磁带。所述产品包括硬件逻辑以及嵌入在计算机可读介质中由处理器执行的软件或可编程代码。通常，计算机可读程序可以任何编程语言来实现，如LISP、PERL、C、C++、C#、PROLOG，或者诸如JAVA的任何字节码语言。软件程序可以作为目标代码被存储在一件或多件产品上或其中。
上述所描述的本发明的特定实施例，对于本领域的技术人员来说很明显可以使用包括本发明思想的其它实施例。

Claims (20)

1.一种用于提供在客户机和服务器中间的多核装置之间的故障切换连接镜像的方法，所述方法包括：
(a)由客户机和服务器中间的第一多核装置接收第二多核装置的哈希密钥，所述哈希密钥由所述第二多核装置用来确定向第二多核装置的哪些核分发由所述第二多核装置接收的分组；
(b)由所述第一多核装置通过使用(i)所述第二多核装置的哈希密钥和(ii)与在客户机和服务器之间经由所述第一多核装置的连接对应的元组信息，来识别所述第二多核装置的核；
(c)由所述第一多核装置确定所识别的第二多核装置的核不是第二多核装置上用于提供客户机和服务器之间的故障切换连接的目标核；
(d)由所述第一多核装置修改所述元组信息，使其在与所述第二多核装置的哈希密钥一起使用时识别所述目标核；以及
(e)由所述第一多核装置在建立所述第二多核装置中的故障切换连接时使用修改的元组信息。
2.根据权利要求1所述的方法，其中(b)还包括将所述元组信息应用于所述哈希密钥，以评估出对应于所述第二多核装置的核的结果。
3.根据权利要求1所述的方法，其中(c)还包括将第二多核装置上至少为可用的和运行的其中之一的核识别为用于提供故障切换连接的目标核。
4.根据权利要求1所述的方法，其中(d)还包括修改所述元组信息中的端口号和地址中的至少一个。
5.根据权利要求1所述的方法，其中(e)还包括使用修改的元组信息来建立经由所述第二多核装置的目标核的故障切换连接。
6.根据权利要求1所述的方法，其中(e)还包括将修改的元组信息传递到所述第二多核装置，以建立故障切换连接。
7.根据权利要求1所述的方法，其中(e)还包括在所述第二多核装置中建立镜像所述第一多核装置中的连接的有状态故障切换连接。
8.根据权利要求1所述的方法，还包括将客户机侧和服务器侧进程信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。
9.根据权利要求1所述的方法，还包括将网络地址转换信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。
10.根据权利要求1所述的方法，还包括建立经由所述第二多核装置的第二核的故障切换连接，该故障切换连接镜像经由所述第一多核装置的第二核的连接。
11.一种用于提供在客户机和服务器中间的多核装置之间的故障切换连接镜像的系统，所述系统包括：
在客户机和服务器中间的第一多核装置；
哈希密钥，由第二多核装置用来确定向第二多核装置的哪些核分发由所述第二多核装置接收的分组；
其中所述第一多核装置通过使用(i)所述第二多核装置的所述哈希密钥和(ii)与在客户机和服务器之间经由所述第一多核装置的连接对应的元组信息来识别所述第二多核装置的核，确定所识别的第二多核装置的核不是第二多核装置上用于提供客户机和服务器之间的故障切换连接的目标核；以及
其中所述第一多核装置修改所述元组信息，使其在与所述第二多核装置的哈希密钥一起使用时识别所述目标核，并且在建立所述第二多核装置中的故障切换连接时使用修改的元组信息。
12.根据权利要求11所述的系统，其中所述第一多核装置将所述元组信息应用于所述哈希密钥，以评估出对应于所述第二多核装置的核的结果。
13.根据权利要求11所述的系统，其中所述第一多核装置将第二多核装置上至少为可用的和运行的其中之一的核识别为用于提供故障切换连接的目标核。
14.根据权利要求11所述的系统，其中修改的元组信息包括修改与第一连接对应的元组信息的端口号和地址中的至少一个所得到的端口号和地址中的至少一个。
15.根据权利要求11所述的系统，其中修改的元组信息用于建立经由所述第二多核装置的目标核的故障切换连接。
16.根据权利要求11所述的系统，其中所述第一多核装置将修改的元组信息传递到所述第二多核装置，以建立故障切换连接。
17.根据权利要求11所述的系统，其中修改的元组信息用于在所述第二多核装置中建立镜像所述第一多核装置中的连接的有状态故障切换连接。
18.根据权利要求11所述的系统，其中所述第一多核装置将客户机侧和服务器侧进程信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。
19.根据权利要求11所述的系统，其中所述第一多核装置将网络地址转换信息传递到所述第二多核装置，以建立与客户机和服务器的故障切换连接。
20.根据权利要求11所述的系统，其中所述第一多核装置还促成建立经由所述第二多核装置的第二核的故障切换连接，该故障切换连接镜像经由所述第一多核装置的第二核的连接。
CN201180068720.6A 2010-12-20 2011-12-19 用于实现多核系统中的连接镜像的系统和方法 Active CN103503424B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201061425116P 2010-12-20 2010-12-20
US61/425116 2010-12-20
PCT/US2011/065849 WO2012087934A1 (en) 2010-12-20 2011-12-19 Systems and methods for implementing connection mirroring in a multi-core system

Publications (2)

Publication Number Publication Date
CN103503424A CN103503424A (zh) 2014-01-08
CN103503424B true CN103503424B (zh) 2016-08-10

Family

ID=45470712

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201180068720.6A Active CN103503424B (zh) 2010-12-20 2011-12-19 用于实现多核系统中的连接镜像的系统和方法

Country Status (5)

Country Link
US (1) US9047251B2 (zh)
EP (1) EP2656594B1 (zh)
CN (1) CN103503424B (zh)
HK (1) HK1190842A1 (zh)
WO (1) WO2012087934A1 (zh)

Families Citing this family (60)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7197661B1 (en) * 2003-12-05 2007-03-27 F5 Networks, Inc. System and method for dynamic mirroring of a network connection
US7890636B2 (en) * 2006-06-28 2011-02-15 Cisco Technology, Inc. Application integrated gateway
US9069727B2 (en) * 2011-08-12 2015-06-30 Talari Networks Incorporated Adaptive private network with geographically redundant network control nodes
US8589575B2 (en) * 2010-08-05 2013-11-19 Citrix Systems, Inc. Systems and methods for IIP address sharing across cores in a multi-core system
US8762339B2 (en) 2010-11-29 2014-06-24 International Business Machines Corporation Disaster recovery utilizing collapsible virtualized capacity
FR2972548B1 (fr) * 2011-03-08 2013-07-12 Thales Sa Dispositif pour l'amelioration de la tolerance aux fautes d'un processeur
JP5910745B2 (ja) * 2012-07-05 2016-04-27 富士通株式会社 データバックアップ方法、及びインタフェースカード
WO2014018017A1 (en) * 2012-07-24 2014-01-30 Hewlett-Packard Development Company, L.P. Receiving an update module by accessing a network site
US9251194B2 (en) * 2012-07-26 2016-02-02 Microsoft Technology Licensing, Llc Automatic data request recovery after session failure
US20140068103A1 (en) * 2012-08-17 2014-03-06 F5 Networks, Inc. Stateful failover management in a network traffic manager
US9104607B2 (en) 2012-10-31 2015-08-11 International Business Machines Corporation Simulation engine for use in disaster recovery virtualization
US9237066B2 (en) 2012-11-16 2016-01-12 Dell Products, L.P. Packet switch modules for computer networks with efficient management of databases used in forwarding of network traffic
US9104625B2 (en) 2012-12-11 2015-08-11 International Business Machines Corporation Disaster recovery internet protocol address failover
US8949655B2 (en) * 2013-01-31 2015-02-03 Alcatel Lucent Preventing extreme coresidency hazards in cloud computing
JP6029737B2 (ja) * 2013-02-15 2016-11-24 三菱電機株式会社 制御装置
US20140304545A1 (en) * 2013-04-05 2014-10-09 Hewlett-Packard Development Company, L.P. Recovering a failure in a data processing system
US9519518B2 (en) * 2013-05-15 2016-12-13 Citrix Systems, Inc. Systems and methods for deploying a spotted virtual server in a cluster system
JP6194693B2 (ja) * 2013-08-22 2017-09-13 富士通株式会社 通信装置、制御システム、通信プログラムおよび通信方法
US9727357B2 (en) * 2013-10-01 2017-08-08 International Business Machines Corporation Failover detection and treatment in checkpoint systems
US9626262B1 (en) * 2013-12-09 2017-04-18 Amazon Technologies, Inc. Primary role reporting service for resource groups
US9465704B2 (en) * 2014-03-26 2016-10-11 Vmware, Inc. VM availability during management and VM network failures in host computing systems
US9558082B2 (en) * 2014-03-28 2017-01-31 Vmware, Inc. VM availability during migration and VM network failures in host computing systems
US9703652B2 (en) 2014-06-07 2017-07-11 Vmware, Inc. VM and host management function availability during management network failure in host computing systems in a failover cluster
US10476764B2 (en) * 2014-08-19 2019-11-12 Citrix Systems, Inc. Systems and methods for high volume logging and synchronization for large scale network address translation
US9710273B2 (en) 2014-11-21 2017-07-18 Oracle International Corporation Method for migrating CPU state from an inoperable core to a spare core
US11574621B1 (en) * 2014-12-23 2023-02-07 Amazon Technologies, Inc. Stateless third party interactions
US10015048B2 (en) 2014-12-27 2018-07-03 Intel Corporation Programmable protocol parser for NIC classification and queue assignments
CN105871725B (zh) * 2015-01-23 2019-02-05 阿里巴巴集团控股有限公司 一种报文分流方法及装置
US9961043B2 (en) * 2015-02-20 2018-05-01 Dell Products L.P. Automatic discovery and configuration of stack ports
CN106302595B (zh) * 2015-06-02 2020-03-17 阿里巴巴集团控股有限公司 一种对服务器进行健康检查的方法及设备
JP6540334B2 (ja) * 2015-07-29 2019-07-10 富士通株式会社 システム、情報処理装置、および情報処理方法
US10110560B2 (en) * 2015-08-07 2018-10-23 Avaya Inc. Management for communication ports
US9825862B2 (en) 2015-08-26 2017-11-21 Barefoot Networks, Inc. Packet header field extraction
IL242353B (en) * 2015-10-29 2021-01-31 Verint Systems Ltd System and method for soft failovers for proxy servers
US9912774B2 (en) 2015-12-22 2018-03-06 Intel Corporation Accelerated network packet processing
CN105530655A (zh) * 2015-12-29 2016-04-27 北京金山安全软件有限公司 一种流量监控方法和装置
CN107846433A (zh) * 2016-09-19 2018-03-27 阿里巴巴集团控股有限公司 一种会话信息同步的方法、装置和系统
US10223220B2 (en) 2016-10-13 2019-03-05 International Business Machines Corporation Processing a health condition message on a health condition to determine whether to perform a swap operation
US10229013B2 (en) * 2016-10-13 2019-03-12 International Business Machines Corporation Generating a health condition message on a health condition detected at a server to send to a host system accessing the server
US10250473B2 (en) 2016-11-29 2019-04-02 Red Hat Israel, Ltd. Recovery from a networking backend disconnect
US10162680B2 (en) * 2016-12-13 2018-12-25 GM Global Technology Operations LLC Control of data exchange between a primary core and a secondary core using a freeze process flag and a data frozen flag in real-time
US11223520B1 (en) 2017-01-31 2022-01-11 Intel Corporation Remote control plane directing data plane configurator
US10523746B2 (en) * 2017-03-16 2019-12-31 Oracle International Corporation Coexistence of a synchronous architecture and an asynchronous architecture in a server
US10419532B2 (en) 2017-03-16 2019-09-17 Oracle International Corporation Asynchronous connection handling in a multi-threaded server
US10694006B1 (en) 2017-04-23 2020-06-23 Barefoot Networks, Inc. Generation of descriptive data for packet fields
US10826840B1 (en) 2017-07-23 2020-11-03 Barefoot Networks, Inc. Multiple copies of stateful tables
US10594630B1 (en) 2017-09-28 2020-03-17 Barefoot Networks, Inc. Expansion of packet data within processing pipeline
US10802929B2 (en) * 2018-01-03 2020-10-13 Tesla, Inc. Parallel processing system runtime state reload
US10749971B2 (en) * 2018-04-24 2020-08-18 Microsoft Technology Licensing, Llc Virtual private network gateway management
US11108730B2 (en) 2018-09-27 2021-08-31 Hewlett Packard Enterprise Development Lp Group heartbeat information in a domain name system server text record
TWI682296B (zh) * 2018-12-06 2020-01-11 啓碁科技股份有限公司 映像檔打包方法及映像檔打包系統
US11375032B2 (en) 2018-12-20 2022-06-28 Ebay Inc. Traffic mirroring
CN110688263B (zh) * 2019-09-30 2023-04-11 中国工程物理研究院计算机应用研究所 基于fpga的硬盘自动切换装置的应用方法
CN112929277B (zh) * 2019-12-06 2024-03-05 华为云计算技术有限公司 一种报文处理方法及装置
CN113132249A (zh) * 2019-12-31 2021-07-16 华为技术有限公司 一种负载均衡方法和设备
US11432171B2 (en) * 2020-01-06 2022-08-30 Citrix Systems, Inc. Providing uninterrupted access to resources via a mobile hotspot connection
US11354217B2 (en) 2020-01-28 2022-06-07 Ebay Inc. Modified database traffic mirroring through a distributed data service
CN113794710A (zh) * 2021-09-10 2021-12-14 联想(北京)有限公司 一种运行模式的切换方法及系统
US11968093B1 (en) * 2022-09-20 2024-04-23 Gen Digital Inc. Efficient scaling of a domain name system service architecture
CN118694699A (zh) * 2024-08-26 2024-09-24 成都无糖信息技术有限公司 一种用于越权测试的身份记录、保持与切换的方法与系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101512363A (zh) * 2006-08-31 2009-08-19 Nxp股份有限公司 具有用于实速转换故障测试多内核的通用时钟控制模块的多时钟片基系统
CN101799776A (zh) * 2010-02-25 2010-08-11 上海华为技术有限公司 多核处理器故障处理方法、多核处理器及通信设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6971044B2 (en) 2001-04-20 2005-11-29 Egenera, Inc. Service clusters and method in a processing system with failover capability
US7197661B1 (en) * 2003-12-05 2007-03-27 F5 Networks, Inc. System and method for dynamic mirroring of a network connection
US8706877B2 (en) * 2004-12-30 2014-04-22 Citrix Systems, Inc. Systems and methods for providing client-side dynamic redirection to bypass an intermediary
US9009327B2 (en) * 2007-08-03 2015-04-14 Citrix Systems, Inc. Systems and methods for providing IIP address stickiness in an SSL VPN session failover environment
US8065559B2 (en) * 2008-05-29 2011-11-22 Citrix Systems, Inc. Systems and methods for load balancing via a plurality of virtual servers upon failover using metrics from a backup virtual server
US8289975B2 (en) * 2009-06-22 2012-10-16 Citrix Systems, Inc. Systems and methods for handling a multi-connection protocol between a client and server traversing a multi-core system
US8327181B2 (en) * 2009-06-22 2012-12-04 Citrix Systems, Inc. Systems and methods for failover between multi-core appliances

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101512363A (zh) * 2006-08-31 2009-08-19 Nxp股份有限公司 具有用于实速转换故障测试多内核的通用时钟控制模块的多时钟片基系统
CN101799776A (zh) * 2010-02-25 2010-08-11 上海华为技术有限公司 多核处理器故障处理方法、多核处理器及通信设备

Also Published As

Publication number Publication date
EP2656594B1 (en) 2015-08-26
HK1190842A1 (zh) 2014-07-11
WO2012087934A1 (en) 2012-06-28
EP2656594A1 (en) 2013-10-30
US9047251B2 (en) 2015-06-02
CN103503424A (zh) 2014-01-08
US20120159235A1 (en) 2012-06-21

Similar Documents

Publication Publication Date Title
CN103503424B (zh) 用于实现多核系统中的连接镜像的系统和方法
CN103650426B (zh) 用于在公共云与私有云之间进行云桥接的系统和方法
CN103416025B (zh) 用于经由云桥添加vlan标签的系统和方法
CN103392321B (zh) 用于基于策略集成横向部署的wan优化设备的系统和方法
CN103477611B (zh) 用于n层高速缓存重定向的系统和方法
CN102763393B (zh) 用于在多核系统中管理跨越核的rtsp的端口的系统和方法
CN103392320B (zh) 对加密项目进行多层标记以提供额外的安全和有效的加密项目确定的系统和方法
CN102771086B (zh) 用于设备的虚拟服务器的侦听策略的系统和方法
CN105190557B (zh) 用于通过多级api集成在公共与私有云之间进行桥接的系统和方法
CN103155496B (zh) 用于在多核系统中管理服务器发起的连接的系统和方法
CN102217273B (zh) 用于应用流畅性策略的系统和方法
CN102771090B (zh) 用于基于策略的透明的客户机ip插入的系统和方法
CN103765851B (zh) 用于到任何服务的透明的层2重定向的系统和方法
CN103299594B (zh) 用于可扩展的认证框架的系统和方法
CN105393220B (zh) 用于在集群系统中部署点状虚拟服务器的系统和方法
CN103314566B (zh) 用于管理域名系统安全（dnssec）的系统和方法
CN102714657B (zh) 用于经由tcp选项插入客户机ip地址的系统和方法
CN104322010B (zh) 用于比较配置文件和生成校正命令的系统和方法
CN102771089B (zh) 用于通过虚拟服务器混合模式处理IPv6和IPv4流量的系统和方法
CN103155524B (zh) 用于在多核系统中的多个核之间共享iip地址的系统和方法
CN110366720A (zh) 在绕过容器Linux网络堆栈的同时运行Docker容器内的用户空间网络堆栈的系统和方法
CN103154895A (zh) 用于在多核系统中的核上管理cookie代理的系统和方法
CN107005547A (zh) 用于由中间装置执行对于客户机的远程桌面会话的单点登录的系统和方法
CN107771320A (zh) 用于改善安全套接字层（ssl）通信安全性的系统和方法
CN107079060A (zh) 用于运营商级nat优化的系统和方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant