CN104348694A - 具有虚拟交换机和业务流策略增强的网络接口卡 - Google Patents

Abstract

本发明的各实施方式总体上涉及具有虚拟交换机和业务流策略增强的网络接口卡。具体地，—种系统，包括主机计算机，用于在管理程序的控制下执行多个虚拟机。网络接口卡，耦合至主机。网络接口卡实施与多个虚拟端口的虚拟交换机。每个(一个或多个)虚拟端口与一个虚拟机相关联。网络接口卡可以通过管理所选的业务流策略，诸如基于每个虚拟机的QoS和带宽供应，来作为主机计算机的协处理器操作。

Description

具有虚拟交换机和业务流策略增强的网络接口卡

相关申请的交叉引用

本申请要求于2013年7月25日递交的、美国专利申请号为13/951,334的优先权，其内容被并入于此。

技术领域

本发明总体上涉及计算机网络中的通信。更具体地，本发明意指具有虚拟交换机和业务流策略增强的网络接口卡。

背景技术

图1图示了执行多个虚拟机102_1至102_N的物理主机计算机100。虚拟机是计算资源和其相关联的操作系统的软件实现。主机机器是其上发生虚拟化的实际物理机器。虚拟机有时指的是客户机。在主机硬件上为虚拟机创建环境的软件被称为管理程序。虚拟机的网络接口的虚拟视图被称为具有端口vNIC 103_1至103_N的虚拟网络接口。在管理程序的软件中实现的虚拟交换机104被用于从物理端口106向指定的虚拟机vNIC103或者在两个虚拟机之间指引业务。

网络接口卡(NIC)108通过物理端口110(通常是系统总线，例如外设部件快速接口(PCIe))耦合至主机计算机100。NIC108具有物理端口112以对接至网络。网络业务量由处理器114来处理，所述处理器114存取存储器116中的指令。具体地，处理器114实现不同的分组格式化、检测和传输操作。

图1中的现有技术系统在虚拟机被攻击的情况下(例如服务攻击的分布式拒绝)被怀疑处理没有效率。在此情况下，管理程序消耗着数量不成比例的处理周期来管理被攻击的虚拟机的业务量，降低了其他虚拟机的性能。处理没有效率也源于在主机计算机所支持的虚拟交换机中大量的任务，尤其是在虚拟机之间的服务质量(QoS)以及带宽供应。对于网络通信中增加的潜在因素，出现了这种开销的附加影响。

考虑前述内容，希望提供一种改进的主机计算机和网络接口卡。

发明内容

一种系统，包括主机计算机，其在管理程序的控制下执行虚拟机。网络接口卡耦合至主机计算机。网络接口卡通过虚拟端口实现虚拟交换机。各个(一个或者更多)虚拟端口与虚拟机相关联。网络接口卡可以通过管理所选的业务流策略，诸如基于每个虚拟机的QoS和带宽供应，来作为主机的协处理器操作。

附图说明

本发明能够结合附图和之后的详细描述来更充分地理解，其中：

图1图示了现有技术中的计算机主机与网络接口卡系统。

图2图示了依据本发明实施例配置的系统。

图3图示了依据本发明实施例配置的网络接口卡。

图4图示了依据本发明实施例使用的输入网络业务流处理。

图5图示了依据本发明实施例使用的输出网络业务流处理。

图6图示了依据本发明实施例执行的业务流策略增强操作。

相同的参照编号指的是多个附图的视图中的对应部分。

具体实施方式

图2图示了依据本发明实施例配置的系统，。系统包括主机计算机200，用于在管理程序204的控制下执行一组虚拟机器202_1至202_N。

网络接口卡206耦合至主机机器200。网络接口卡206实施虚拟交换机208。虚拟交换机208从物理端口210接收网络业务量，并且将其指引至指定的虚拟机，其能够通过对应的虚拟端口212存取。即，各个虚拟端口或者虚拟网络卡212具有对应的虚拟机。虚拟交换机208将业务量指引至一个虚拟端口(例如，212_2)，导致在对应的虚拟机(例如202_2)中接收业务量。

虚拟端口跨主机200和网络接口卡206之间的物理接口实现。物理接口可以是一个或多个外设部件快速端口(PCIe))端口。虚拟交换机208将虚拟端口或虚拟网络卡212映射至物理端口或物理网络，

本架构的优势在于其可以支持与网络接口卡206相关联的处理功率，因此缓和了具有不同处理任务的主机200。本架构的另外一个优势在于虚拟机和其虚拟网络端口之间一对一的对应产生计算资源的预先设置的分配。因此，如果虚拟机被攻击，则在其他虚拟机上就不会有溢出处理的影响。

图3图示了网络接口卡206的实施例。虚拟交换机208可以通过硬件、软件及其组合实现。图3图示了具有硬件虚拟交换机处理能力的处理器300。处理器300存取具有软件虚拟交换机模块304的存储器302。因此，在本实施例中，虚拟交换机被实现为硬件和软件的组合。存储器302还储存策略模块306。如下讨论的，虚拟交换机208可增强不同的网络业务流策略，诸如带宽供应、服务质量、传输控制协议(TCP)卸载卸载、用户数据报文协议(UDP)卸载卸载、安全套接层卸载以及其他策略。基于各虚拟机的从主机机器向网络接口卡的这种任务的卸载卸载降低了主机机器上的计算负担。

图4图示了输入网络业务流处理。最初，输入流被字节化400。字节化可以基于任意数目的因素，例如输入端口、虚拟局域网标识(VLANID)，以太网源媒体接入控制(MAC)地址，网络协议(IP)源MAC地址、IP目的地MAC地址、传输控制协议(TCP)源或目的地端口、用户数据报文协议(UDP)源或目的地端口等。除了这些标准元素，本发明还利用了虚拟机标识符。具体地，可以使用虚拟可扩展LAN((VXLAN))标识符。VXLAN是网络虚拟化技术，使用封装技术来在层3的UDP分组中封装基于MAC的层2以太网帧。该已封装的虚拟机标识符被评估402。该标识符也对于由软件定义联网定义的经验/自定义协议而言某种程度上可以是唯一的和特定的。该标识符用于经由其对应的虚拟网络或者虚拟端口来将流量路由至合适的虚拟机。每个虚拟网络可以具有相同的网络地址。VXLAN标识符指定分组所属的虚拟网络。

如下文将讨论的，在路由之前，网络接口卡可以应用一个或多个业务流策略404。虚拟机标识符被用作流量表数列中的索引，该流量表数列具有一个或多个策略条目来指定如何处理分组。在一个实施例中，内核用于快速路径处理。如果在流量表中没有找到条目，则抛出异常，并且用户空间将用于慢速路径处理。

然后，虚拟机标识符被删除406，以及该分组被转发至合适的虚拟端口或者虚拟网络卡，用于传递至与该虚拟端口或者虚拟网络卡对应的虚拟机408。

图5图示了输出网络业务量处理。最初，输出网络业务流被字符化500。此前为输入流指定的标准可以被用于输出流。策略继而被应用502。虚拟机标识符继而被封装在分组中504。最后，分组被转发502。分组可以被转发至物理端口，例如图2的端口210。备选地，分组可以由虚拟交换机208转发至另一虚拟端口或虚拟网络卡。因此，虚拟机至虚拟机的业务量可以被网络接口卡206有效地交换，而无需到达物理网络。

策略模块306包括可执行指令，用于增强各种业务量管理策略。例如，如图6所示，策略模块可以检测带宽供应600。如果对于给定用户、流应用或者设备已存在供应(600-是)，则增强供应策略602。例如，特定用户、流、应用或设备可能在不同的时间限定了指定的带宽量。供应策略602可以为这样的用户、流应用或设备来实现带宽供应。

策略模块306还可以检测服务质量(QoS)策略604。QoS策略可以向不同的用户、流、应用或设备提供不同的优先级。QoS策略可以向数据流保证特定级别的性能。例如，可以保证所需的比特率、延时、抖动、分组丢包概率和/或比特错误率。如果这种策略存在(604-是)，则应用该策略606。美国专利公开2013/0097350共同拥有的QoS动态执行引擎在此作为参考被引入，并且被用于执行QoS操作。在美国专利公开2013/0100812共同拥有的分组优先处理器在此作为参考被引入，并且还被用于执行分组处理操作。在美国专利公开2013/0107711共同拥有的分组业务量控制处理器在此作为参考被引入，并且还可以用于执行分组处理操作。

策略模块306还可以检测TCP卸载策略608。如果这样的策略存在(608-是)，则应用卸载策略610。TCP卸载策略可以使用TCP卸载引擎(TOE)来应用。TOE将整个TCP/IP栈的处理卸载到与网络接口卡206相关联的网络控制器。TCP卸载是基于每个虚拟机。当前，TCP卸载是非虚拟化的。因为只有一个操作系统在运行，所以网络接口卡上的TOE假设一个TCP栈正在运行。相反地，使用已被公开的技术，网络接口卡具有很多的虚拟网络或者虚拟端口212，这意味着有等同数量的TCP栈正在运行。

策略模块306也可以检测安全套接层(SSL)卸载策略612。如果这样的策略存在(608-是)，则应用卸载策略614。例如，网络接口卡206可以包括硬件和/或软件资源来加密和解密SSL业务量。在这种情况下，网络接口卡206终止SSL连接，并且将已处理的业务量传送到主机200上。因此，主机就无需再处理SSL。

任何数量的主机任务都可以被卸载到网络接口卡206。例如，网络协议安全性(IPSec)处理也可以在网络接口卡206上实现。类似地，在其他网络协议中封装一个网络协议的隧道协议可以在网络接口卡206上实现。使用通用路由封装(NVGRE)的网络虚拟化以及其他的协议也可以在网络接口卡206上执行。

本发明的一个实施例涉及具有非瞬态计算机可读存储介质的计算机存储产品，在该介质上具有执行多种由计算机执行的操作的计算机代码。介质和计算机代码可以是那些为本发明的目的而专门设计和构建的，或者它们对于计算机软件技术的技术人员可以是熟知和可用的。计算机可读介质的例子包括但不限于：磁介质、光介质、磁光介质和硬件设备，其可以特定被配置为存储和执行程序代码，例如专用集成电路(ASIC)，可编程逻辑设备(PLD)，以及ROM和RAM设备。计算机代码的例子包括机器代码，例如由编译器生成的，以及包含了可以由计算机使用解释器来执行的高级代码的文件。例如，发明实施例可以使用C++、或者其他面向对象的程序语言和开发工具来实施。本发明的另一实施例可以由代替了或者结合了机器可执行软件指令的硬件电路来实施。

为了说明的目的，前面的描述使用了专门术语以提供对本发明的全面理解。但是，本领域技术人员应当理解，为实践本发明可不需要特定细节。因此，前面对本发明具体实施例的描述是为了图示和描述的目的而给出。这些描述不是排它性或者仅将本发明限定为所公开的确切形式；显然，从上面教导的角度考虑，可以进行许多修改和变形。选择并描述这些实施例是为了最好地解释本发明的原理及其实际应用，从而使得本领域其它技术人员最好地利用本发明以及根据适合于所设想的特定使用进行的各种修改后的各种实施例。意在以所附权利要求及其等效内容来定义本发明的范围。

Claims (12)

1.一种系统，包括

主机计算机，在管理程序的控制下执行多个虚拟机；

网络接口卡，耦合至所述主机计算机，所述网络接口卡被配置成利用多个虚拟端口实现虚拟交换机，其中所述多个虚拟端口的各个虚拟端口与所述多个虚拟机的虚拟机相关联。

2.根据权利要求1所述的系统，其中所述虚拟交换机被配置成实现业务流策略。

3.根据权利要求2所述的系统，其中所述业务流策略对每个虚拟机实现带宽供应。

4.根据权利要求2所述的系统，其中所述业务流策略是每个虚拟机的服务质量。

5.根据权利要求2所述的系统，其中所述业务流策略实现隧道协议，其中第一联网协议被封装至第二联网协议内。

6.根据权利要求2所述的系统，其中所述业务流策略是每个虚拟机的传输控制协议卸载处理。

7.根据权利要求2所述的系统，其中所述业务流策略是每个虚拟机的安全套接层卸载处理。

8.根据权利要求1所述的系统，其中所述虚拟交换机被配置成评估在接收流中的已封装的虚拟机标识符，以选择对应于指定虚拟机的虚拟端口。

9.根据权利要求2所述的系统，其中所述虚拟交换机被配置成评估传输流中的虚拟机标识符。

10.根据权利要求1所述的系统，其中所述虚拟交换机通过硬件被实现。

11.根据权利要求1所述的系统，其中所述虚拟交换机被实现为软件定义的联网能力软件。

12.根据权利要求1所述的系统，其中所述虚拟交换机通过硬件和软件的组合被实现。