CN105379185A - 用于创建和管理网络群组的方法和系统 - Google Patents

Abstract

实施例针对用于创建一个或多个网络群组的方法和设备。方法和设备可以以一个或多个性质限定网络群组。方法和设备可以标识多个隔离网络，并且可以将多个隔离网络分配给所限定的网络群组。方法和设备可以将机器分配给多个隔离网络中的至少一个，其中网络群组使得能够在应用虚拟化环境中实现非约束路由。

Description

用于创建和管理网络群组的方法和系统

相关申请的交叉引用

本申请要求2013年5月20日提交的美国临时申请号61/825,338的优先权，该美国临时申请以其整体通过引用并入本文。

背景技术

个人计算机最初是针对单个用户所创建的，并且涵盖以下中的一个或多个：一个或多个操作系统、本机和第三方应用、用户设置等。然而现在，虚拟化的概念已经使得更易于组织以提供类似的计算功能，而没有购买和维护单独的个人计算机的成本。虚拟化允许用户以与存储在其中的操作系统和应用将在独立个人计算机上基本相同的方式与它们交互。桌面虚拟化技术允许操作系统的多个实例安装在单个服务器上，由此允许多个用户登入服务器并且完成他们将完成的相同任务，正如他们具有其自身的个人计算机那样。

桌面虚拟化环境的架构包括不同网络的集合。这些网络可以横跨建筑物中的楼层或者跨若干大陆的办公室。创建和维护这些网络的复杂性随着网络的大小而增加。网络管理员可能花费数周（否则数月）恰当地配置支持桌面虚拟化环境的网络。

附图说明

图1是与本公开内容的实施例一致的示例系统的框图。

图2是图示了与本公开内容的实施例一致的不同物理网络上的设备之间的连接的示例网络图。

图3是与本公开内容的实施例一致的示例操作环境。

图4是与本公开内容的实施例一致的示例计算设备。

图5是与本公开内容的实施例一致的示例计算设备。

图6是描绘了与本公开内容的实施例一致的示例虚拟化服务器的框图。

图7是表示与本公开内容的实施例一致的用于创建网络群组的示例方法的流程图。

图8是表示与本公开内容的实施例一致的用于管理网络群组的示例方法的流程图。

具体实施方式

网络管理员可能花费大量时间以恰当地配置支持桌面虚拟化环境的网络。

为了配置多租户（tenant）网络环境，一个要求是，可以是不同组织的租户以使得第一租户不能向不同的第二租户发送网络分组的这种方式彼此隔离。例如，在这种类型的环境中，恰当的设置将防止分组从组织A传送到组织B。该隔离可以通过将每一个租户分配给不同网络而发生。

在一些多租户管理环境中，已经从相同镜像（image）建立虚拟机的联合（pool）。这些虚拟机所连接到的网络事先被指定成使得虚拟机可以在它们被需要时创建。虽然已经从相同镜像建立虚拟机，但是这些虚拟机中的一些（尽管处于相同联合中）可以被分配到不同网络。如果已经配置成与一个网络通信的虚拟机被分配到不同的网络，则会出现问题。如果发生该情况，则虚拟机将不接收意图用于它的分组。

在多租户环境中可能发生的另一问题是太多机器连接到网络。这可能导致太多网络业务量，由此使网络拥堵。

本公开内容中的实施例通过经由启用群组内的不受约束路由和群组之间的受约束路由而创建和管理表示物理和虚拟网络二者的网络群组来解决前述问题中的一个或多个。

现在将详细地参照根据本公开内容实现的示例实施例，其示例在随附各图中图示。在可能的任何情况下，相同附图标记将贯穿各图用于指代相同或相似的部件。

图1是与本公开内容的实施例一致的示例系统的网络图。示例系统100表示能够在网络之上创建和/或管理网络群组的任何类型的系统。除其它事物之外，示例系统100可以包括网络管理设备101、网络交换机103和一个或多个网络群组105。

网络管理设备101是可以访问和控制一个或多个网络群组105中的不同设备和应用的计算机程序和/或终端。网络管理设备101可以从一个或多个网络群组105接收请求，处理请求并且将响应发送给进行请求的网络群组105。例如，网络管理设备101可以从网络群组105b接收请求访问另一网络群组105c的消息。网络管理设备101可以确定网络群组105b中的进行请求的实体是否具有访问网络群组105c的许可，然后向网络群组105b中的进行请求的实体发送准许或拒绝对网络群组105c的访问的响应。此外，网络管理设备101可以限定网络群组，其将在本文中进一步描述。

网络交换机103是连接不同网络上的设备的计算机程序或计算机联网设备。网络交换机103例如可以是服务器、网络集线器、转发器、网络桥、路由器、层-4交换机或层-7交换机。网络交换机103是从连接到它的任何设备接收消息并且将消息传送到消息所意图用于的设备或设备组的设备。网络交换机103可以在开放系统互连（OSI）模型的层1、2、3、4和7处发送和接收消息给连接到它的设备。网络交换机103还可以使用不同层的任何组合来发送和接收消息。

每一个网络群组105是网络中的网络。网络群组105是可以具有该群组的隔离网络成员之间的完全路由的隔离网络的集合。在一些实施例中，网络群组105还指示与其它网络群组的受约束路由。网络群组105可以包括一个或多个隔离网络，诸如虚拟局域网（VLAN）、子网或安全群组。网络群组105中的网络可以包括有线和无线网络的组合。

图2是图示了与本公开内容的实施例一致的不同物理网络上的设备之间的连接的示例网络图。一个或多个客户端240和/或一个或多个服务器206可以通过安装在计算环境200内的机器与器具之间的网络230而传送数据。网络230可以包括一个或多个子网，并且可以安装在计算环境200内所包括的客户端240、服务器206、计算机器和器具的任何组合之间。在一些实施例中，网络230可以是：局域网（LAN）；城域网（MAN）；广域网（WAN）；主要公共网络（例如互联网）；或者主要私人网络。每一个虚拟局域网（VLAN）包括一个或多个客户端240和一个或多个服务器206（例如计算设备306），其可以是运行单个独立操作系统的物理机，或者托管其每一个具有运行在其上的操作系统的多个虚拟机的虚拟化服务器（诸如在图6中描述的虚拟化服务器601）。多个VLAN可以被分组到单个网络群组250中。并且尽管图2聚焦于如在网络群组250中的VLAN，但是要领会到的是，任何隔离网络（诸如子网和安全群组）可以包括在网络群组250中。

为了执行该分组，首先在网络管理设备101处限定一个或多个网络群组（例如网络群组250）。管理员将分组信息输入到网络管理设备101中以限定网络群组。

在限定一个或多个网络群组之后，网络管理设备101限定那些一个或多个网络群组的性质。网络群组的性质可以包括针对网络群组中的每一个VLAN分配最大机器数目。在一些实施例中，性质可以包括该群组的附加路由性质，诸如该网络群组是隔离的、私人的还是共享的。例如，“共享”网络群组允许来自多个租户的传入网络业务量；“私人”网络群组允许传出网络业务量以访问一些有限的共享应用组件；并且“隔离”网络群组可以防止除来自特定用户组之外的任何传入或传出业务量。

网络管理设备101可以提供用于标识要用于分组的VLAN的信息。在一些实施例中，管理员限定VLAN，而在其它实施例中，用于标识VLAN的信息从一个或多个管理程序（hypervisor）输入。每一个VLAN可以被分配“最大机器数目”。

网络管理设备101可以将所标识的VLAN分配到网络群组中（例如网络群组1250a的VLAN1、2和3）。这指示VLAN具有它们之间就位（inplace）的完全路由，并且具有该群组和其它网络群组中的VLAN之间的适当路由。在一些实施例中，路由的配置通过编排系统自动地执行。编排系统可以自动地在网络群组中的所有VLAN之间配置路由，以及在多个网络群组中的所有VLAN之间配置适当路由。

网络管理设备101可以接收用于使每一个网络群组与适当“范围”相关联的信息。范围限定可以向彼此发送任何分组的机器和/或应用的组。在该示例中，网络群组的机器将未必受路由器约束，除非机器尝试向范围之外的其它机器发送分组。

在现有机器（例如物理机240和/或虚拟机206）的情况下，网络管理设备101限定每一个机器所位于的特定VLAN。该限定可以通过将每一个机器附连到每一个VLAN而发生。当在“范围”内需要机器时，网络管理设备101要么选择位于与范围相关联的网络群组中的一个VLAN上的物理机；要么其在与范围相关联的网络群组中的一个VLAN上创建新的虚拟机。在后一情况下，网络管理设备101确保不超出用于单个网络的最大机器数目。如果不存在可用于满足“范围”的需要的足够机器，则网络管理设备101发起警报以向管理员告知在该网络群组中需要一个或多个附加VLAN。当网络被添加到网络群组时，网络管理设备101可以继续使用新添加的VLAN来在与需要附加机器的该群组相关联的任何范围中创建虚拟机。

图3是与本公开内容的实施例一致的示例计算环境中的计算设备306的示例框图。根据一个或多个方面，计算设备306可以是配置成提供用于客户端访问设备的物理机或虚拟机的单服务器或多服务器远程桌面系统中的服务器。计算设备306可以具有用于控制服务器的总体操作的处理器303及其相关联的组件，包括随机存取存储器（RAM）305、只读存储器（ROM）307、输入/输出（I/O）模块309和存储器315。

I/O模块309可以包括计算设备306的用户可以通过其提供输入的鼠标、键盘、触摸屏、扫描仪、光学读取器和/或触笔（或者一个或多个其它输入设备），并且还可以包括用于提供音频输出的一个或多个扬声器和用于提供文本、视听和/或图形输出的视频显示设备。软件可以存储在存储器315和/或其它存储装置中以向处理器303提供用于使得计算设备306能够执行各种功能的指令。例如，存储器315可以存储由计算设备306使用的软件，诸如操作系统317、应用程序319和相关联的数据库321。可替换地，用于计算设备306的一些或全部计算机可执行指令可以嵌入在硬件或固件（未示出）中。

计算设备306可以在支持到诸如客户端设备340之类的一个或多个远程计算机的连接的联网环境中操作。客户端设备340可以是个人计算机或服务器，其包括以上关于计算设备306所描述的许多或全部元件。在图3中描绘的网络连接可以包括例如连接到局域网（LAN）的LAN接口323（诸如适配器）和连接到广域网（WAN）的WAN接口327（诸如调制解调器）。将领会到，所示出的网络连接是说明性的并且可以使用建立计算机之间的通信链路的其它措施。

本文公开的实施例可与众多其它的通用或专用计算系统环境或配置一同操作。可以适于供本公开内容使用的公知的计算系统、环境和/或配置的示例包括但不限于个人计算机、服务器计算机、手持式或膝上型设备、微处理器系统、基于微处理器的系统、机顶盒、可编程消费者电子器件、网络PC、小型计算机、大型计算机、包括任何上述系统或设备的分布式计算环境等等。

在一些实施例中，客户端设备340可以被称为单个客户端设备或客户端设备的单个群组，而计算设备306可以被称为单个服务器或服务器的单个群组。在一些实施例中，单个客户端设备340与多于一个计算设备306通信，而在其它实施例中，单个服务器与多于一个客户端设备通信。又在其它实施例中，单个客户端设备与单个计算设备通信。客户端设备340可以执行、操作或以其它方式提供应用，诸如例如以下中的任何一个：软件；程序；可执行指令；虚拟机；管理程序；或者任何其它可执行指令集。客户端设备340可以显示由在计算设备306或其它远程定位的机器上远程执行的应用所生成的应用输出。在一个示例中，应用是桌面，而在其它示例中，应用是生成桌面的应用。桌面可以包括图形壳，其提供用于可以在其中集成本地和/或远程应用的操作系统的实例的用户接口。如本文使用的应用是在操作系统（以及可选地还有桌面）的实例已经加载之后执行的程序。

在一些实施例中，计算设备306执行远程呈现客户端或其它客户端或程序，其使用瘦客户端或远程显示协议来捕获由在计算设备上执行的应用所生成的显示输出并且将应用显示输出传送给客户端设备340。瘦客户端或远程显示协议可以是以下协议中的任何一个：独立计算架构（ICA）协议；或者远程桌面协议（RDP）。

计算环境可以包括多于一个服务器以使得服务器在逻辑上一起被分组到虚拟局域网（VLAN）中，如图2中所展示的。VLAN可以包括在地理上分散且在逻辑上一起分组在VLAN中的服务器，或者位于彼此附近且在逻辑上一起分组在VLAN中的服务器。在一些实施例中，VLAN内的地理上分散的服务器可以使用WAN、MAN或LAN通信，其中不同地理区可以表征为：不同大陆；不同大陆区；不同国家；不同州；不同城市；不同场地；不同房间；或者前述地理位置的任何组合。当多个VLAN在逻辑上分组在一起时，连接到VLAN的服务器属于相同网络群组。

在一些实施例中，VLAN可以包括执行基本上类似类型的操作系统平台（例如由Redmond,Washington的微软公司制造的WINDOWSNT、UNIX、LINUX或SNOWLEOPARD）的服务器。在其它实施例中，VLAN可以包括执行不同类型操作系统平台的服务器。

计算设备306可以是包括用于管理网络100的网络管理设备101的任何服务器类型。这样的服务器类型可以包括文件服务器；应用服务器；web（网络）服务器；代理服务器；器具；网络器具；网关；应用网关；网关服务器；虚拟化服务器；部署服务器；SSLVPN服务器；防火墙；web服务器；应用服务器。

在一些实施例中，计算设备306可以执行以下应用中的任何一个：使用瘦客户端协议以将应用显示数据传送给客户端的瘦客户端应用；远程显示呈现应用；CitrixSystems公司的CITRIXACCESSSUITE的任何部分，比如METAFRAME或CITRIXPRESENTATIONSERVER；由微软公司制造的MICROSOFTWINDOWS终端服务；或者由CitrixSystems公司开发的ICA客户端。

在一些实施例中，客户端设备340可以是设法访问由计算设备306所提供的资源的客户端节点。在其它实施例中，计算设备306可以为一个或多个客户端设备（诸如客户端设备340）提供对所托管的资源的访问。在一些实施例中，计算设备306用作主节点以使得其与一个或多个客户端设备或服务器通信。在一些实施例中，主节点可以向一个或多个客户端设备或服务器标识和提供与托管所请求的应用的服务器相关联的地址信息。在又其它实施例中，主节点可以是VLAN、客户端设备340、客户端设备340的集群或者器具。

图4是与本公开内容的实施例一致的示例计算设备400。计算设备400可以部署客户端设备340和/或计算设备306。计算设备400可以包括与以下组件通信的系统总线450：处理单元421；主存储器422；存储存储器428；输入/输出（I/O）控制器423；显示设备424；安装设备416；以及网络接口418。在一些实施例中，存储存储器428包括：操作系统、软件例程和客户端代理420。在一些实施例中，I/O控制器423可以连接到键盘和/或定点设备。其它实施例可以包括连接到多于一个输入/输出设备430的I/O控制器423。

图5图示了与本公开内容的实施例一致的示例计算设备500。计算设备500可以部署图3中所图示的客户端设备340和/或计算设备306。除其它事物之外，计算设备500可以包括与以下组件通信的系统总线550：桥570以及第一I/O设备530a。桥570还可以与主处理器521通信，其可以通过I/O端口、客户端代理522和高速缓存存储器540进一步与第二I/O设备530b通信。客户端代理522可以是主存储器。

除其它事物之外，主处理器521可以包括一个或多个I/O端口和存储器端口503。主处理器521可以通过以下组件配置中的任何一个表征：对从客户端代理522取得的指令做出响应并且处理的逻辑电路；微处理器单元；或者逻辑电路的任何其它组合。

尽管图5将计算设备500图示为包括单个处理单元（例如处理器521），但是在一些实施例中，计算设备500可以是多于一个处理单元。计算设备500可以存储和执行固件或其它可执行指令，所述指令在执行时引导一个或多个处理单元同时执行指令或者同时在单个数据片段上执行指令。在其它实施例中，计算设备500可以存储和执行固件或其它可执行指令，所述指令在执行时引导一个或多个处理单元各自执行指令群组的区段。例如，可以指令每一个处理单元执行程序的部分或者程序内的特定模块。

在其中计算设备500包括一个或多个处理单元或者处理单元包括一个或多个处理核的实施例中，处理器可以同时在多个数据片段上执行单个指令（SIMD），或者在其它实施例中，可以同时在多个数据片段上执行多个指令（MIMD）。在一些实施例中，计算设备500可以包括任何数目的SIMD和MIMD处理器。

在一些实施例中，计算设备500包括存储器单元522和高速缓存存储器540。高速缓存存储器540可以是任何存储器类型，并且在一些实施例中，可以是以下类型的存储器中的任何一个：SRAM；BSRAM；或者EDRAM。另外的实施例包括可以经由以下部分访问存储器522的主处理器521：系统总线550；存储器端口503；或者允许处理器521访问存储器522的任何其它连接、总线或端口。

计算设备400/500可以提供针对安装驱动416的支持，所述安装驱动416可以包括例如CD-ROM驱动、CD-R/RW驱动、DVD-ROM驱动、各种格式的带驱动、USB驱动、可启动介质、可启动CD。计算设备400/500还可以包括可以是一个或多个硬盘驱动或者独立盘的一个或多个冗余阵列的存储设备428；其中存储设备配置成存储操作系统、软件、程序应用、或者客户端代理420的至少部分。

计算设备400、500还可以包括网络接口418以通过各种连接对接到局域网（LAN）、广域网（WAN）或互联网，各种连接包括但不限于标准电话线、LAN或WAN链路（例如802.11、T1、T3、56kb、X.25、SNA、DECNET）、广播连接（例如ISDN、帧中继、ATM、千兆位以太网、通过SONET的以太网）、无线连接、或者以上中的任何或全部的某种组合。

在一些实施例中，计算设备400可以执行任何操作系统，而在其它实施例中，计算设备400可以执行以下操作系统中的任何一个：MICROSOFTWINDOWS；Unix和Linux操作系统的不同发行；以及任何版本的MACOS。

计算设备400可以体现在以下计算设备中的任何一个中：计算工作站；桌上型计算机；膝上型或笔记本计算机；服务器；手持式计算机；移动电话；便携式电信设备；媒体播放设备；游戏设备；移动计算设备；上网本；平板电脑；或者能够通信并且具有充足的处理器能力和存储器容量以执行本文描述的方法和系统的任何其它类型和/或形式的计算、电信或媒体设备。

图3-5示出了说明性远程桌面系统的高级架构。如所示出的，远程桌面系统可以是单服务器或多服务器系统，或者云系统，包括配置成向一个或多个客户端设备340提供虚拟桌面和/或虚拟应用的至少一个计算设备。如本文使用的，桌面是指其中可以托管和/或执行一个或多个应用的图形环境。桌面可以包括提供用于可以在其中集成本地和/或远程应用的操作系统的实例的用户接口的图形壳。如本文使用的，应用是在操作系统（以及可选地还有桌面）的实例已经加载之后执行的程序。操作系统的每一个实例可以是物理的（例如每设备一个操作系统）或虚拟的（例如在单个设备上运行的OS的许多实例）。每一个应用可以在本地设备上执行，或者在远程定位的设备上执行。

图6是描绘了与本公开内容的实施例一致的示例虚拟化服务器的框图。在一些实施例中，虚拟化服务器601可以配置为虚拟化环境中的虚拟化服务器，例如单服务器、多服务器或者云计算环境。图6中所图示的虚拟化服务器601可以部署为图3中所图示的计算设备306和/或图4和图5中所图示的计算设备400和500和/或通过它们实现。除其它事物之外，虚拟化服务器601可以包括硬件层610，其可以包括一个或多个物理盘604、一个或多个物理设备606、一个或多个物理处理器608和物理存储器616。

物理组件604、606、608和616可以包括例如以上在图3-5中描述的任何组件。例如，物理盘604可以包括永久存储器存储装置、临时存储器存储装置、盘驱动（例如光盘、软盘、带）、硬盘、外部硬驱动、闪速存储器、网络附接的存储装置、存储域网络、或者虚拟化服务器601可以访问的任何其它存储库。物理设备606可以包括虚拟化服务器601中所包括的任何设备和/或虚拟化服务器601中所包括的设备的任何组合以及与虚拟化服务器601通信的外部设备。

硬件层610中的物理存储器616可以包括任何类型的存储器。物理存储器616可以存储数据，并且在一些实施例中可以存储一个或多个程序或者可执行指令集。图6图示了其中固件612存储在虚拟化服务器601的物理存储器616内的实施例。存储在物理存储器616中的程序或可执行指令可以通过虚拟化服务器601的一个或多个处理器608执行。

虚拟化服务器601还可以包括操作系统614，其可以存储在物理存储器616中的存储器元件中并且由一个或多个物理处理器608执行。又进一步地，管理程序602可以存储在物理存储器616中的存储器元件中并且可以由一个或多个物理处理器608执行。在一个或多个物理处理器608上执行的可以是一个或多个虚拟机632A-C（一般地632）。虚拟机632A可以具有虚拟盘626A和虚拟处理器628A。在一些实施例中，第一虚拟机632A可以在虚拟处理器628A上执行包括工具堆叠624的控制程序620。如图6中所示，虚拟机632B和632C中的每一个也可以具有虚拟盘和虚拟处理器。虚拟机632B-C可以在虚拟处理器628B-C上执行访客操作系统630A-B。

虚拟化服务器601也可以包括创建和/或管理任何数目的虚拟机632的管理程序602。在一些实施例中，管理程序602是由处理器608在虚拟化服务器601上执行的程序。管理程序602可以称为虚拟机监控器或者平台虚拟化软件。在一些实施例中，管理程序602可以是监控在计算机器上执行的虚拟机的硬件和可执行指令的任何组合。

在一些实施例中，管理程序602可以向以模拟具有对系统资源的直接访问的操作系统630或控制程序620的任何方式在虚拟机632上执行的访客操作系统630或控制程序620提供虚拟资源。除其它事物之外，系统资源可以包括物理设备606；物理盘604；物理处理器608；物理存储器616，以及虚拟化服务器601的硬件层610中所包括的任何其它组件。管理程序602可以用于仿效虚拟硬件、划分物理硬件、虚拟化物理硬件、或者执行提供对计算环境的访问的虚拟机。管理程序602也可以控制针对在虚拟化服务器601上执行的虚拟机632的处理器调度和存储器划分。

管理程序602可以创建其中执行访客操作系统630的一个或多个虚拟机632B-C（一般地632）。在一些实施例中，管理程序602可以加载虚拟机镜像以创建虚拟机632。在其它实施例中，管理程序602可以在虚拟机632内执行访客操作系统630。在又其它实施例中，虚拟机632可以执行访客操作系统630。除创建虚拟机632之外，管理程序602可以控制至少一个虚拟机632的执行。在其它实施例中，管理程序602可以为至少一个虚拟机632呈现由虚拟化服务器601提供的至少一个硬件资源（例如在硬件层610内可用的任何硬件资源）的概要。

如图6的示例中所示，虚拟化服务器601可以托管或执行一个或多个虚拟机632。虚拟机632可以包括可执行指令集，其在由物理处理器608执行时模仿物理计算机的操作以使得虚拟机632可以很像物理计算设备那样执行程序和过程。尽管图6图示了其中虚拟化服务器601托管三个虚拟机632的实施例，但是在其它实施例中，虚拟化服务器601可以托管任何数目的虚拟机632。在一些实施例中，管理程序602为每一个虚拟机632提供物理硬件、存储器、处理器和可用于该虚拟机632的其它系统资源的唯一虚拟视图。在一些实施例中，唯一虚拟视图可以基于以下中的任一个：虚拟机许可；策略引擎向一个或多个虚拟机标识符的应用；访问虚拟机的用户；在虚拟机上执行的应用；由虚拟机访问的网络；或者任何其它类似的准则。例如，管理程序602可以创建一个或多个不安全的虚拟机632和一个或多个安全的虚拟机632。可以防止不安全的虚拟机632访问可以准许安全的虚拟机632访问的资源、硬件、存储器位置和程序。在其它实施例中，管理程序602可以为每一个虚拟机632提供可用于虚拟机632的物理硬件、存储器、处理器和其它系统资源的基本上类似的虚拟视图。

如之前陈述的，每一个虚拟机632可以包括虚拟盘626A-C（一般地626）和虚拟处理器628A-C（一般地628）。在一些实施例中，虚拟盘626是虚拟化服务器601的一个或多个物理盘604的虚拟化视图或者虚拟化服务器601的一个或多个物理盘604的部分。物理盘604的虚拟化视图可以由管理程序602生成、提供和管理。在一些实施例中，管理程序602为每一个虚拟机632提供物理盘604的唯一视图。因而在这些实施例中，每一个虚拟机632中所包括的虚拟盘626在与其它虚拟盘626相比较时可以是唯一的。

虚拟处理器628可以是虚拟化服务器601的一个或多个物理处理器608的虚拟化视图。在一些实施例中，物理处理器608的虚拟化视图可以由管理程序602生成、提供和管理。在一些实施例中，虚拟处理器628具有至少一个物理处理器608的基本上全部的相同特性。在其它实施例中，管理程序602提供虚拟处理器628的修改视图以使得虚拟处理器628的至少一些特性不同于对应的物理处理器608的特性。

已经描述了图3-5中的远程桌面系统和图6中的虚拟化服务器的各种示例，以下段落提供涉及如下内容的各种方法和系统的附加示例：在虚拟化服务器601上创建虚拟机；将物理机（例如计算设备400/500）和虚拟机632连接到正确VLAN；创建VLAN；维护VLAN；创建网络群组；以及维护网络群组。如本文使用的，VLAN是指在逻辑上分组在一起以支持远程桌面系统中的一个或多个租户的虚拟机632和/或物理机400/500的组。租户是指远程桌面系统的顾客。租户可以是具有带有多个客户端设备340的多个用户的组织，所述客户端设备340将用于访问远程桌面系统中的虚拟机632和物理机400/500。

如下文更详细描述的，网络管理设备101可以配置成通过从未分配机器的联合选择物理机和/或虚拟机的组、将机器连接到适当VLAN以及创建用于租户的网络群组来创建VLAN。在一些实施例中，网络管理设备101是计算设备400和/或计算设备500。

每一个网络群组包括一个或多个VLAN。每一个VLAN中的物理机和/或虚拟机具有允许客户端设备340直接与VLAN中的物理机和虚拟机交互的软件。网络管理设备101用于限定VLAN和网络群组的某些性质和特性。网络管理设备101可能包含的关于VLAN和网络群组的信息包括标识VLAN中的机器的信息（例如IP地址或介质访问协议地址）、用于VLAN的配置设定（例如限制VLAN中的某些客户端设备和机器之间的业务量）、网络群组的隔离水平、网络群组的范围、以及负载平衡要求。网络管理设备101还可以限定用户、用户的权限、安全策略、以及可用于网络群组的租户的一个或多个应用的组。作为示例，网络管理设备101可以设定用于使一个租户限制对第一网络群组中的物理机或虚拟机上所托管的某些软件应用的访问的特定隔离水平，并且设定用于使得另一租户能够访问第二网络中的物理机或虚拟机上所托管的某些软件应用的另一隔离水平。

每一个VLAN中的物理机和/或虚拟机可以安装有客户端应用（例如文字处理、电子邮件、互联网浏览应用等）并且可以包括远程地托管客户端应用和将客户端应用交付给租户的软件。网络群组中的机器还可以配置成用作访问网关和/或web服务器。访问网关可以用于做出与客户端设备340的安全连接并且处理认证凭证（例如建立虚拟私人网络（VPN）），并且web服务器可以向客户端设备340提供初始web页面并且然后将客户端请求转发给托管网络群组中的机器的应用。

某些租户可以被分配给专用网络群组。例如，要求高隔离水平的高安全租户（例如金融机构、政府机关、紧急通知系统）可以请求包括其自身的访问网关和web服务器的排他性网络群组。

在其中按需创建虚拟机的系统中，事先指定VLAN使得远程桌面系统知道在需要虚拟机时如何创建它们。网络管理设备101可以以两种方式之一限定VLAN。VLAN可以从现有管理程序和云计算资源发现，然后通过网络管理设备101适当地分组，或者VLAN可以由管理员录入并且然后手动地分组。在限定网络群组之后，网络管理设备101可以选择用于特定预置和隔离任务的网络群组。

还重要的是监控在某VLAN中创建的虚拟机的数目。将太多虚拟机添加到VLAN可能导致网络拥堵并且降低网络群组的总体性能。此外，当选择物理或虚拟的现有机器或者创建新的虚拟机时，将机器连接到可由要求访问它的用户和应用访问的VLAN。为了确保用户和应用具有对它们请求访问的机器的访问，当VLAN中的机器要求附加网络访问时，路由配置在VLAN之间并且适当地更新。

图7是表示与本公开内容的实施例一致的用于建立网络群组和网络设定的示例方法的流程图。参照图7，本领域普通技术人员将容易领会到，可以更改所图示的过程以删除步骤或者进一步包括附加步骤。在初始的开始步骤700之后，网络管理设备（例如网络管理设备101）接收限定网络群组的输入。网络群组是可以具有该群组的VLAN成员之间的完全路由的VLAN的集合。尽管图7聚焦于作为网络群组的部分的VLAN，但是要领会到，任何隔离网络（诸如子网和/或安全群组）可以包括在网络群组中。在一些实施例中，该输入可以从管理员接收，并且在其它实施例中，其可以从自动过程接收。

在已经限定网络群组之后，网络管理设备限定网络群组的性质（704）。网络群组的性质包括针对网络群组中的每一个VLAN分配最大机器数目。在一些实施例中，性质可以包括该群组的附加路由性质，诸如该网络群组是隔离的、私人的还是共享的。例如，“共享”网络群组允许来自多个租户的传入网络业务量；“私人”网络群组允许访问一些受限制的共享应用组件的传出网络业务量；并且“隔离”网络群组可以防止除来自特定用户组之外的任何传入或传出业务量。

在步骤704中已经限定网络群组的性质之后，网络管理设备标识将被添加到网络群组的不同VLAN（706）。在一些实施例中，这些VLAN可以通过网络管理设备请求现有管理程序和其它云计算资源标识任何已知的VLAN来标识。在一些其它实施例中，VLAN可以通过管理员手动地将VLAN限定录入到网络管理设备中来标识。

在标识一个或多个VLAN之后，网络管理设备101将这些所标识的VLAN分配给适当的网络群组（708）。例如，第一VLAN可以被分配给与组织的工程部门相关联的网络群组，并且另一VLAN可以被分配给与相同组织的管理部门相关联的网络群组。

基于前一步骤，网络管理设备101可以发起网络群组中的不同VLAN之间的路由（710）。在一些实施例中，自动编排系统确定任何两个VLAN之间所要求的特定网络路由。例如，网络管理设备101可以配置路由器设定以使得业务量能够从工程部门发送到管理部门，但是并非反之亦然。在完成步骤710之后，网络管理设备101将可用机器分配给VLAN（712）。可用机器可以包括物理机和虚拟机二者（例如物理机240和虚拟机206）。在分配机器之后，该方法可以结束（714）。

图8是表示与本公开内容的实施例一致的用于管理网络群组的示例方法的流程图。本领域普通技术人员将容易认识到，可以更改所图示的过程以删除步骤或者进一步包括附加步骤。在初始的开始步骤800之后，网络管理设备（例如网络管理设备101）限定用于VLAN的最大机器数目（802）。网络管理设备可以基于来自管理员的输入或者基于自动过程例如使用评定每VLAN的最佳机器数目的预定信息来限定最大数目。

网络管理设备可以将VLAN分配给网络群组（例如网络群组250）（804）。网络群组是可以具有该群组的VLAN成员之间的完全路由的VLAN的集合。尽管图8聚焦于作为网络群组的部分的VLAN，但是要领会到，任何隔离网络（诸如子网和/或安全群组）可以包括在网络群组中。在一些实施例中，网络群组还指示与其它网络群组的受约束路由。在一些实施例中，步骤804中的VLAN向网络群组的分配可以发生在步骤802中针对VLAN限定最大机器数目之前。

网络管理设备可以限定用于网络群组的范围（806）。范围表示可以针对任务组彼此通信的机器和应用的组。例如，如果组织设立工程网络群组和管理网络群组，则针对工程网络群组所限定的范围可以指示那些VLAN中的机器可以具有对工程相关的数据和应用的访问。范围还可以指示工程网络群组中的机器将不具有对至少一些管理相关的数据和应用的访问。在一些实施例中，在步骤806中限定范围可以发生在步骤802或步骤804之前。

在限定范围之后，网络管理设备将现有机器分配给VLAN（808）。现有机器可以包括物理机和虚拟机二者（例如物理机240和虚拟机260）。在一些实施例中，网络管理设备将现有机器分配给网络群组中的多个VLAN。

在已经分配这些现有机器之后，在一些情况下，可能需要将附加机器添加到网络群组的一个或多个VLAN。网络管理设备可以要么选择位于网络群组中的一个VLAN上的物理机，要么其可以在与范围相关联的网络群组中的一个VLAN上创建新的虚拟机。当关于网络群组的范围需要附加机器时，网络管理设备可以接收将附加虚拟机添加到VLAN的请求（810）。

在接收到请求之后，网络管理设备可以确定所请求的机器的数目是否大于在步骤802中所指定的针对VLAN所限定的最大机器数目（812）。如果否，则网络管理设备可以将附加虚拟机分配给VLAN（814），并且该方法进行到步骤820。

然而，如果所请求的机器数目大于针对VLAN的所限定的最大机器数目，则网络管理设备获取将另一VLAN添加到网络群组的信息（816）。在一些实施例中，在步骤816中获取信息之前，当超出针对VLAN的最大机器数目时，在网络管理设备上显示警报。在一些实施例中，不显示警报消息直到请求将附加机器添加到网络群组并且网络群组中的所有VLAN处于其最大机器数目阈值处。此外，如果接收到添加附加机器的请求并且网络群组中的另一VLAN尚未满足其最大数目阈值，则在一些实施例中，可以将附加机器分配给网络群组中的那另一个VLAN。

在添加新的VLAN之后，网络管理设备可以将附加虚拟机分配给新的VLAN（818），并且该方法进行到步骤820。此处，在步骤820处，网络管理设备可以确定是否需要将附加虚拟机添加到VLAN。如果是，则该方法进行到步骤812。然而，如果没有附加虚拟机要被添加到VLAN，则该方法进行到结束（822）。

本文公开的方法可以实现为包括计算机可读指令的计算机程序产品。计算机可读指令可以存储在有形非暂时性计算机可读介质上，诸如软盘、硬盘、CD-ROM（压缩盘只读存储器）、MO（磁光）盘、DVD-ROM（数字多用盘只读存储器）、DVDRAM（数字多用盘随机存取存储器）或者半导体存储器。可替换地，该方法可以以硬件组件或者数据处理装置的软件和硬件的组合实现，例如可编程处理器、计算机或者多个计算机。计算机程序可以以任何形式的编程语言编写，包括编译或解译语言，并且其可以以任何形式部署，包括作为独立程序或者作为模块、组件、子例程、或者适于在计算环境中使用的其它单元。计算机程序可以部署成在一个计算机上或者在一个场所处的或跨多个场所分布的多个计算机上执行并且通过通信网络互连。

在之前的说明书中，已经参照特定示例实施例描述了实施例。然而，将显而易见的是，可以做出各种修改和改变而不脱离如以下权利要求中所阐述的示例实施例的较宽精神和范围。说明书和附图因而要被视为说明性的而非约束性意义。根据本文公开的本发明的说明书和实践的考虑，本公开内容的其它实施例对于本领域技术人员而言可以是明显的。

Claims (26)

1.一种网络管理设备，包括：

处理器；以及

存储计算机可读指令的存储器，所述指令在由处理器执行时将网络管理设备配置成：

　　限定网络群组；

　　限定所限定的网络群组的一个或多个性质；

　　标识多个隔离网络；

　　将多个隔离网络分配给所限定的网络群组；以及

　　将机器分配给多个隔离网络中的至少一个，其中网络群组使得能够在应用虚拟化环境中实现非约束路由。

2.权利要求1的网络管理设备，其中机器包括虚拟机和物理机。

3.前述权利要求中任一项的网络管理设备，其中隔离网络是虚拟局域网。

4.前述权利要求中任一项的网络管理设备，其中性质包括将最大机器数目分配给隔离网络。

5.前述权利要求中任一项的网络管理设备，其中一个或多个性质包括针对网络群组的路由限定。

6.权利要求5的网络管理设备，其中路由限定允许向网络群组中的数据传送。

7.权利要求5的网络管理设备，其中路由限定允许离开网络的数据传送。

8.权利要求1-5中任一项的网络管理设备，其中标识多个隔离网络中的至少一个涉及从管理程序接收身份。

9.权利要求1-5和8中任一项的网络管理设备，其中标识多个隔离网络中的至少一个涉及从云计算资源接收身份。

10.权利要求1-5、8和9中任一项的网络管理设备，其中每一个隔离网络由管理员标识。

11.权利要求1-5和8-10中任一项的网络管理设备，还包括在所限定的网络群组的多个隔离网络之间配置路由。

12.一种由配置成创建一个或多个网络群组的网络管理设备所执行的方法，所述方法包括：

限定网络群组；

限定所限定的网络群组的一个或多个性质；

标识多个隔离网络；

将多个隔离网络分配给所限定的网络群组；以及

将机器分配给多个隔离网络中的至少一个，其中网络群组使得能够在应用虚拟化环境中实现非约束路由。

13.权利要求12的方法，其中机器包括虚拟机和物理机。

14.权利要求12和13中任一项的方法，其中隔离网络是虚拟局域网。

15.权利要求12-14中任一项的方法，其中性质包括将最大机器数目分配给隔离网络。

16.权利要求12-15中任一项的方法，其中一个或多个性质包括针对网络群组的路由限定。

17.权利要求16的方法，其中路由限定允许向网络群组中的数据传送。

18.权利要求16的方法，其中路由限定允许离开网络的数据传送。

19.权利要求12-16中任一项的方法，其中标识多个隔离网络中的至少一个涉及从管理程序接收身份。

20.权利要求12-16和19中任一项的方法，其中标识多个隔离网络中的至少一个涉及从云计算资源接收身份。

21.权利要求12-16、19和20中任一项的方法，其中每一个隔离网络由管理员标识。

22.权利要求12-16和19-21中任一项的方法，还包括在所限定的网络群组的多个隔离网络之间配置路由。

23.一种由配置成创建用于隔离网络群组的一个或多个虚拟机的网络管理设备所执行的方法，所述方法包括：

限定用于隔离网络的最大机器数目；

将隔离网络分配给网络群组；

限定网络群组的范围；

将现有机器分配给隔离网络；

接收将虚拟机添加到隔离网络的请求；

在所请求的机器数目大于所限定的最大机器数目的情况下，将新的隔离网络添加到网络群组；以及

将附加虚拟机分配给所添加的隔离网络。

24.权利要求23的方法，其中在所请求的机器数目小于或等于所限定的最大机器数目的情况下，将虚拟机添加到现有的隔离网络。

25.一种网络管理设备，包括：

处理器；以及

存储计算机可读指令的存储器，所述指令在由处理器执行时将网络管理设备配置成：

　　限定用于隔离网络的最大机器数目；

　　将隔离网络分配给网络群组；

　　限定网络群组的范围；

　　将现有机器分配给隔离网络；

　　接收将虚拟机添加到隔离网络的请求；

　　在所请求的机器数目大于所限定的最大机器数目的情况下，将新的隔离网络添加到网络群组；以及

　　将附加的虚拟机分配给所添加的隔离网络。

26.权利要求25的网络管理设备，其中在所请求的机器数目小于或等于所限定的最大机器数目的情况下，将虚拟机添加到现有的隔离网络。