CN106998284A - 通过虚拟私有网络连接私有网络的网络系统和方法 - Google Patents

Abstract

一种通过虚拟私有网络连接私有网络的网络系统和方法，所述方法包括：在云数据中心的边缘路由器，接收从私有网络经由专用物理连线至所述边缘路由器的虚拟私有云网络通信；所述虚拟私有云网络通信经由使用虚拟扩展局域网技术的第一连接被转发至网关硬件组；所述虚拟私有云网络通信之后经由使用虚拟扩展局域网技术的第二连接，从所述网关硬件组被转发至所述私有网络用户的虚拟私有云，以访问虚拟机。

Description

通过虚拟私有网络连接私有网络的网络系统和方法

本申请要求于2016年1月25日提交美国专利局、申请号为15/005613、发明名称为“Network System and Method for Connecting a Private Network with a VirtualPrivate Network”的美国发明专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本发明涉及计算机网络领域，具体涉及一种通过虚拟私有网络连接私有网络的方法。本发明同时涉及一种网络系统。

背景技术

随着公司和企业的成长，现代生意中最为挑战的一面就是有效管理不断变化的技术场景。管理的这一面可能被至少三种变化所影响。

第一，计算技术和软件的进步正在飞快加速。这些进步通常提供给用户更多的便利、交易和流程更快的速度，以及总体上生意相关功能更高的效率。照此，拥有任何前述提及的优势将对几乎是任何想要成功的生意而言都是很宝贵的，因为它同样是客户的期望，并且满足那种期望是符合生意的最佳利益的。遗憾的是，尽管这些优势看上去对生意具有吸引力，但是它们也伴随着不断增加的成本。前沿科技通常需要付出高昂的价格才能获取，而且对很多生意而言可能不那么容易实施，特别是在经常循环升级的基础上，这是因为如果所有的设备和雇员都要更新到高级技术，则生意上可能需要购买的产品的十足数量，。

第二，工作场景本身正在以多种方式改变，特别是技术所应用的场所。例如，随着生意的产品或者服务的市场在国家之间甚至世界范围扩大，技术的终端用户可能有需求来获取或者随身携带这些技术和相关的生意信息到全世界任何生意所需之处。另外，或兼职或全职，很多终端用户都有在家获取生意信息和技术的需求。

第三，随着生意扩展到更远的市场以及终端用户无法利用本地化企业内的私有网络的私密性和安全性，安全和及时获取生意信息的可靠性成为保持高质量生意越来越重要的一面。

相应地，为解决上述讨论的问题，很多生意正在从使用本企业内的信息技术转变到使用虚拟私有云(VPC)网络。VPC一直被描述为一种外部信息技术资源，具体是分布于一个公共云环境之内、可按需配置的共享计算资源池，并在使用这些资源的不同企业或组织之间提供特定程度的隔离。因此，单个企业不再需要不断更新内部资源或者雇佣另外的员工来维护设备，这部分负担可以转移到VPC主机上并由很多企业共同分担。此外，VPC可以通过可用连接从任何地点进行访问。

当VPC的使用未必新于它本身时，终端用户可以采用很多种方法来连接一个VPC。

发明内容

本发明旨在提供一种安全、可靠、易扩容的虚拟私有云网络(“VPC”)，用于连接一个私有网络。特别是，这种虚拟私有云可经由一个网关硬件的可扩容系统而访问私有网络。不仅如此，使用虚拟可扩展局域网(“VXLAN”)隧道技术将网络流量从一个云数据中心的边缘路由器传输至该网关硬件。

从一个用户的角度来看，使用虚拟可扩展局域网隧道技术而不使用常规方法的一个可以注意到的潜在区别在于数据传输一致性和连接的速度，这归功于在扩容性更好的网关硬件上减小的数据瓶颈。但是从外在来看，对用户而言实际使用的方法可能看起来与使用常规方法是相同的。

仅出于比较的目的，下述段落描述终端用户使用的连接到虚拟私有云的一个常规方法范例。特别是，一个终端用户可以建立从在用户处所的一个私有网络至一个服务提供商的连接。服务提供商然后可以使用虚拟局域网(“VLAN”)与云数据中心服务提供商的客户交换机(“CSW”)建立一个连接(例如，物理连接或者逻辑连接)。CSW在本文下述部分中也称为云数据中心的“边缘路由器”。作为另一个选择，终端用户也可以建立一个至边缘路由器的直接连接。在边缘路由器处，为客户交换机上的每个终端用户创建一个虚拟路由和转发(“VRF”)的实例。下一步，使用通用路由封装(“GRE”)隧道技术，或者也许是网际协议安全性(“IPsec技术”)，在虚拟私有云之内创建一个虚拟机(“VM”)实例网关，来将VPC与VRF连接起来。最后，终端用户网络流量经由虚拟机网关被分配至虚拟私有云中的虚拟机。

上面描述的常规方法的局限性的一个例子包括以下事实：通用路由封装和网际协议安全性隧道被用于连接用户虚拟路由和转发至虚拟机网关。由于通用路由封装和网际协议安全性隧道是位于第三层隧道协议之上的第三层，所以这样的网络连接不能支持终端用户的私有网络和虚拟私有云之间基于第二层的应用程序。不仅如此，在虚拟路由和转发与虚拟机网关之间使用通用路由封装或者网际协议安全性隧道引发了一个问题，那就是一个终端用户的网络负载无法在虚拟路由和转发与虚拟机网关之间的传输中进行均衡。另外一个限制是这个网关存于虚拟私有云内部而且这个网关并非一个多用户网关。因此，常规方法不可能做到让多个终端用户共享一个网关来减少成本和提高用户满意度。

另一个常规方法是利用或者不利用网际协议安全性隧道，简单地全部通过公共互联网将私有网络连接至虚拟私有云。但是，由于无法预测的带宽和不可靠的安全性，经常出现运行效率低下的情形，产生泄露信息的风险。

相反，出于在下面描述的各种理由，本申请的网络系统结构对常规方法做出了改进。总的来说，终端用户可以通过如下述的即时网络连接到期望的虚拟私有云。具体地，终端用户可以使用下述一种隧道技术将私有网络连接到服务提供商：多协议标签交换/标签交换路径(“MPLS/LSP”)、虚拟私有网络(“VPN”)、虚拟扩展局域网，或者通用路由封装技术。从那里，服务提供商可以经由虚拟局域网连接至云数据中心的边缘路由器(或者说是客户交换机)。为了这种应用的目的，期望到达虚拟私有云的终端用户网络流量在本文中也可以称为虚拟私有云网络通信。

一旦虚拟私有云网络通信被路由至云数据服务中心的边缘路由器，就为每一个单个终端用户均创建一个虚拟路由和转发的单个实例。这个虚拟路由和转发的单个实例连接至属于同一终端用户的一个或多个虚拟局域网。注意，为清楚起见，在本文中讨论的术语“终端用户”可以指一组或者一群在多个不同虚拟局域网中的多个用户。从云数据中心的边缘路由器，虚拟扩展局域网隧道技术用来将终端用户的网络流量路由至一个网关。特别是这个网关在本文中也称为网关硬件组。不仅如此，这个网关硬件组是终端用户的虚拟私有云的虚拟机的默认网关。

在到达网关硬件组之后，包括虚拟私有云的网络通信的终端用户的网络流量被从网关硬件组转发至用户虚拟私有云中的用户虚拟机。用于转发来自网关硬件组的网络流量的这个连接再次使用特定于个体终端用户的虚拟扩展局域网隧道。由于本申请实施方式的独特网络设置，在一个单个终端用户拥有多个在公共云数据中心中的虚拟私有云的各实例中，终端用户有能力仅通过连接至云数据中心的边缘路由器的一个单个连接实例，将终端用户拥有的所有虚拟私有云相互连接。这至少是部分可能的，因为在虚拟私有云网络通信被转发至网关硬件组时，云数据中心的边缘路由器为每一个个体虚拟私有云均创建了不同的虚拟扩展局域网隧道。

另外，可能存在一种情形，其中一个单个终端用户希望连接到其拥有的多个虚拟私有云，这些虚拟私有云位于不同的区域或者可用区带，在那里，例如，不同的网关硬件组各自被分派向不同的虚拟私有云转发网络流量。在这样一种情形下，在各个虚拟私有云上具备不同终点的不同VXLAN隧道被创建，用于转发用户流量至不同的区域或可用区带。

相应地，虚拟扩展局域网隧道技术在此处实施，因为它传输在网关硬件组中多个网关硬件服务器设备之间均衡的大量网络流量更为有效。特别是，它处理第二层流量，并且封包信息经由硬件封包而打包。

附图说明

参照附图提供详细的描述。在各图中，参考数字最左端数位辨别这个参考数字第一次出现的那个图。在不同图中使用的相同参考数字表明类似或者相同的项目。

图1例示了本申请的示例性实施例提供的网络结构；

图2例示了本申请的示例性实施例提供的网络结构；

图3例示了本申请的示例性实施例提供的网络结构的更多详情；

图4例示了本申请的示例性实施例提供的网络结构的更多详情；

图5例示了本申请的示例性实施例提供的联网方法；

图6例示了本申请的示例性实施例提供的联网步骤方法。

具体实施方式

在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施的限制。

网络结构的说明实施例

图1中的网络结构100包括拥有多个终端用户104、使用一个私有网络连接至一个虚拟网络的公司102的示例。公司102可能有在公司现有资源之内不能得到满足的信息技术需求，或者有可能，公司102可能倾向依赖外部信息技术支持。出于此目的，公司102的私有网络可以经由连接106而连接至一个服务提供商108。为增加安全性，连接106可以包括一条专用物理连线。此外，即便逻辑连线提供的从公司102至服务提供商108的连接安全性可能较低，作为另一选项连接106仍然可以是一条逻辑连线。

在图1中，服务提供商108进一步经由连接110直接连接至一个云数据中心114的一台边缘路由器112。从服务提供商108至云数据中心114的边缘路由器112的直接连接110可以是一条专用物理连线，以获得在私有网络传输数据保护上更高的安全性。边缘路由器112也可以称为客户云接入交换机(“CSW”)。在一些情形下，对一个单个终端用户104而言，一个虚拟转发和路由(“VRF”)的单个实例会在客户云接入交换机上创建。通过这个虚拟转发和路由的单个实例，假设每个虚拟私有云均属于同一个终端用户，则终端用户可以连接一个或者多个虚拟私有云。

一般来说，私有网络的网络流量随后经由连接116A，116B从边缘服务器112被路由至合适的虚拟私有云118A和118B。每个虚拟私有云118A和118B可能在逻辑上是分离的。但是，在一些情形下，终端用户104可能有被准许连接至第一个虚拟私有云118A和第二个虚拟私有云118B的优先的权利或者授权。例如，此处公司102拥有虚拟私有云118A和118B。云数据中心114将在下文中详述。

在一个实施例中，连接116A，116B使用VXLAN隧道技术，转发从边缘路由器112至虚拟私有云118A，118B的网络流量数据。在此处使用VXLAN是因为相比GRE隧道技术，它是更好的技术，GRE隧道技术不能支持终端用户和虚拟私有云之间基于第二层的应用。

如图2中网络结构200所示，公司102绕过服务提供商，直接经由连接202与云数据中心114的边缘路由器112相连接。此处再一次，直接连接202可以是一条提高安全性的专用物理连线。例如，如果公司102距离云数据中心114足够近以致于首先通过一个服务提供商然后再取得从服务提供商至边缘路由器112的专用物理连线的成本无法承受，或者至少比简单地添加一条直接物理连线202的成本更高，则这种情形可能发生。正如网络结构100，一旦网络结构200的网络流量到达云数据中心114的边缘路由器112，边缘路由器112和一个或多个虚拟私有云(诸如虚拟私有云118A，118B)之间下一步的连接就与图1中的连接116A，116B相同。下面将提供有关连接116A，116B的更多细节。

云数据中心网络基础构架的说明实施例

图3中描绘了云数据中心网络基础构架300的实施例。具体地，网络基础构架300包括云数据中心114。正如上文所述，或直接(参看图2)或间接(参看图1)，对云数据中心114的接入可以经由边缘路由器112而获得。但是，图3示出了图1和图2中的连接116A，116B还可以进一步包括一个经由连接304而连接至边缘路由器112的网关硬件组302。连接304在向网关硬件组转发网络流量时实施VXLAN隧道技术。

网关硬件组302用于在网络流量负载到达虚拟私有云118A，118B中的一个或者两个之前对其进行排序和均衡。网关硬件组302可以包括一个或者多个网关服务器亚组306A，306B。每一个网关服务器亚组306A，306B可以包括如图所示的一个或多个网关服务器，在其中网络流量负载可以被分配和均衡。更进一步，每一个网关服务器亚组306A，306B可以分派用于支持包含一个或者多个虚拟机(“VM”)308A，308B的单个虚拟私有云(118A，118B)。一个网关服务器亚组306A，306B与虚拟私有云118A，118B之间的连接301A，310B同样也使用VXLAN隧道技术来实现。

尽管每个网关服务器亚组306A,306B被分派给单个虚拟私有云，但是图3中分开亚组306A,306B的虚线分隔线表示这些亚组仍然可能相通地连接至云数据中心114中的其他亚组。照此，如果在任何时刻网络流量负载变得过大而不能为单个网关服务器亚组所支持，可以立即通过在其他未使用亚组中进行再次分配来均衡负载。这种均衡可以通过超负载亚组与未使用亚组之间的相互通信而引发。此外，作为一个更长期的解决方案，网关硬件组302是易于扩容的，可以简单地将一个或者多个其他网关服务器添加进一个亚组，通过在亚组中数量增加的网关服务器中均衡流量负载来缓和网络数据流。

注意，用作网关硬件的服务器是稳定耐用的，并且被设计为使用VXLAN技术管理网络流量。

图4呈现了在云计算中可能出现的另一情形，在此处一个云计算提供商可能管理一个云数据中心400，其横穿多个区域的虚拟私有云，正如区域A和区域B所示。一个终端用户(例如，图1中的终端用户104)可能希望存储数据于一个特定场所，或者该终端用户可能并没有任何偏好，出于提供商所知的用途，数据可能简单地被存储在另一个非本区域(例如，相关于其他可用服务对终端用户而言非本地)。无论何种原因，简单地讲，一个云计算提供商可能有多个服务区域。

与接入图1至3中的云数据中心114类似，云数据中心400是经由边缘路由器112来接入的。从那里，网络流量经由一个连接402A,402B被路由至相应的区域网关硬件亚组404A,404B，在那里进一步分布有终点虚拟私有云406A,406B。边缘路由器112与区域网关硬件亚组404A，404B之间的连接402A，402B，以及区域网关硬件亚组404A，404B与虚拟私有云406A，406B之间的连接408A，408B可以是实施VXLAN技术而可靠和安全地传输网络数据的连接线路。通过结合负载均衡来使用VXLAN技术，可扩容网关硬件组404A、404B，终端用户可以得到保证：私有网络与虚拟私有云406A、406B的虚拟机401A、401B之间的网络通信在网关处不会遭遇瓶颈。但是，注意，终端用户仅支付了一个预定量的带宽。因此，终端用户有可能尝试传输耗费带宽比其支付量更多的数据量。在此时，终端用户将受限于一个自身设定的限度，而不是受限于网络性能的限度。

此外，如图3所示，图4中区域网关硬件亚组404A和404B可以同样经由连接412而相互连接，此时一个终端用户，如果其意愿被准许，可以在虚拟私有云中不同区域406A和406B之间连接。连接412同样也可以是实施VXLAN技术而传输网络数据的连接线路。

连接一个私有网络至一个虚拟私有云的说明示例

图5中方法S500描述了连接一个私有网络至一个虚拟私有云的过程。在步骤S502，一个云数据中心的一个边缘路由器从这个私有网络接收一个虚拟私有云通信。这个通信可能是从一个中间服务提供商或者是直接从这个私有网络接收的。在步骤S504，可以使用实施VXLAN隧道技术的通信线路将虚拟私有云通信从这个云数据中心的边缘路由器转发至网关硬件组(例如，一个区域网关硬件亚组)。

为到达预期的虚拟私有云，在步骤S506，虚拟私有云的通信从网关硬件组被转发至私有网络的用户的虚拟私有云。再一次，网关硬件组与虚拟私有云之间的连线使用VXLAN隧道技术。

随着网络流量数据的增加，为避免数据瓶颈造成计算过程中的延迟和错误，可以在图6中的步骤S600管理从私有网络至虚拟私有云中的虚拟机的网络流量。例如，网络流量可以在相应网关硬件组中的多个网关服务器之中被均衡，如步骤602所示。不仅如此，作为附加或者必要时作为替代，网关硬件组可以在步骤S604扩容或者缩容。特别是，取决于网络流量负载大小的增加或者减小，通过添加、移除、或者重分配一个网关硬件服务设备，网关硬件组可以在规模上扩容或者缩容来适应任何改变。

换句话说，如果来自一个或者多个终端用户的网络流量变得大于一个单个网关硬件服务器所单独处理的容量能力，并且如果终端用户并未最大化利用他们所购买的带宽，那么在网关硬件组中的另一个网关硬件服务器设备就可以均衡这个负载和引导流量，以减少在主网关硬件设备上的负载。

类似地，如果来自一个或者多个终端用户的网络流量变得大于一个单个网关硬件组所单独处理的容量能力，并且如果终端用户并未最大化利用他们所购买的带宽，那么通过简单地添加另外一个网关硬件服务器设备到超负载的网关硬件组，网关硬件组就可以很容易地扩容。因此，这个添加的网关硬件服务器设备可以均衡负载和引导流量。

尽管本文以特定于结构特征和/或方法领域的语言描述了一些实施例，但可以认为权利要求并不必局限于描述的这些特定特征或领域。更准确地讲，这些特定特征和领域是作为实施待保护主题的说明形式而公开的。

本发明虽然以较佳实施例公开如上，但其并不是用来限定本发明，任何本领域技术人员在不脱离本发明的精神和范围内，都可以做出可能的变动和修改，因此本发明的保护范围应当以本发明权利要求所界定的范围为准。

Claims (20)

1.一种通过虚拟私有网络连接私有网络的方法方法，包括下述步骤：

在云数据中心的边缘路由器处，接收从私有网络经由专用物理连线至所述边缘路由器的虚拟私有云网络通信；

经由使用虚拟扩展局域网技术的第一连接，转发所述虚拟私有云网络通信至网关硬件组；以及

经由使用虚拟扩展局域网技术的第二连接，将所述虚拟私有云网络通信从所述网关硬件组转发至所述私有网络的用户的虚拟私有云，以接入虚拟机。

2.根据权利要求1所述的方法，其中，接收所述虚拟私有云网络通信的步骤包括：经由到所述云数据中心的所述专用物理连线直接从所述私有网络的服务提供商接收所述虚拟私有云网络通信。

3.根据权利要求1所述的方法，其中，接收所述虚拟私有云网络通信的步骤包括：经由到所述云数据中心的所述专用物理连线直接从所述私有网络的私有路由器接收所述虚拟私有云网络通信。

4.根据权利要求1所述的方法，其中，转发所述虚拟私有云网络通信至所述网关硬件组的步骤包括：转发所述虚拟私有云网络通信至所述网关硬件组之内多个相互连接的网关硬件设备中的一个或者更多个。

5.根据权利要求4所述的方法，还包括以下步骤：均衡在所述私有网络和所述虚拟私有云之间经由所述网关硬件组的网络流量负载，包括在所述多个相互连接的网关硬件设备之间分配所述负载。

6.根据权利要求4所述的方法，还包括以下步骤：根据所述网络流量负载大小的增加或减少而扩容或缩容所述网关硬件组，所述扩容或缩容包括添加、移除或重定位网关硬件设备。

7.根据权利要求1所述的方法，还包括以下步骤：基于区域网关硬件组的地理位置将所述网关硬件组分别划分为区域网关硬件亚组。

8.根据权利要求7所述的方法，还包括以下步骤：通过逻辑连接将所述区域网关硬件分组相互连接，网络流量负载经由所述逻辑连接可在多个区域网关硬件亚组之间分配。

9.一种通过虚拟私有网络连接私有网络的网络系统，包括：

私有网络，其经由专用物理连线连接至云数据中心的边缘路由器，所述边缘路由器被配置为从所述私有网络接收虚拟私有云网络通信；

网关硬件组，其经由使用虚拟扩展局域网技术的第一连接而连接至所述边缘路由器，所述网关硬件组被配置为接收来自所述边缘路由器的所述虚拟私有云网络通信；

所述私有网络的用户的虚拟私有云中的虚拟机，其经由使用虚拟扩展局域网技术的第二连接而连接至所述网关硬件组，所述虚拟机被配置为接收来自所述网关硬件组的所述虚拟私有云网络通信。

10.根据权利要求9所述的网络系统，其中，所述专用网络连线在所述私有网络的服务提供商到所述云数据中心之间延伸。

11.根据权利要求9所述的网络系统，其中，所述专用网络连线直接从所述私有网络的服务提供商延伸至所述云数据中心。

12.根据权利要求9所述的网络系统，其中，所述网关硬件组包括在所述私有网络和所述虚拟私有云之间均衡网络流量负载的多个网关硬件设备。

13.根据权利要求12所述的网络系统，其中，所述网关硬件组被配置为根据所述网络流量负载大小的增加或减少，通过添加、移除、或重定位网关硬件设备而扩容或缩容。

14.根据权利要求9所述的网络系统，其中，所述网关硬件组基于所述区域网关硬件分组的地理位置分别被划分为多个区域网关硬件亚组。

15.根据权利要求14所述的网络系统，其中，所述多个网关硬件分组经由逻辑连接而连接，经由所述逻辑连接网络流量负载可在多个区域网关硬件分组之间均衡。

16.根据权利要求9所述的网络系统，其中，所述第一连接和所述第二连接是逻辑连接。

17.一种虚拟私有云网络系统，包括：

云数据中心的边缘路由器，所述边缘路由器被配置为接收来自私有网络的虚拟私有云网络通信；

多个网关硬件设备，其经由使用虚拟扩展局域网技术的第一连接而连接至所述边缘路由器，每个所述网关硬件设备均被配置为接收来自所述边缘路由器的虚拟私有云网络通信；以及

虚拟私有云，其经由使用虚拟扩展局域网技术的逻辑第二连接而连接至所述多个网关硬件设备，所述虚拟私有云被配置为接收来自所述多个网关硬件设备的所述虚拟私有云网络通信，以与托管一个或多个虚拟机的一个或多个服务器相通信。

18.根据权利要求17所述的虚拟私有云网络系统，其中，所述虚拟私有云基于每个区域虚拟私有云的地理位置被划分为多个区域虚拟私有云。

19.根据权利要求18所述的虚拟私有云网络系统，其中，所述多个网关硬件设备被划分为相互连接的网关硬件亚组。

20.根据权利要求19所述的虚拟私有云网络系统，其中，所述网络硬件亚组被分配给每个区域虚拟私有云。