CN107079060A - 用于运营商级nat优化的系统和方法 - Google Patents

用于运营商级nat优化的系统和方法 Download PDF

Info

Publication number
CN107079060A
CN107079060A CN201580056241.0A CN201580056241A CN107079060A CN 107079060 A CN107079060 A CN 107079060A CN 201580056241 A CN201580056241 A CN 201580056241A CN 107079060 A CN107079060 A CN 107079060A
Authority
CN
China
Prior art keywords
core
network
nat
server
equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201580056241.0A
Other languages
English (en)
Other versions
CN107079060B (zh
Inventor
N·K·简
S·B·拉梅什
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Citrix Systems Inc
Original Assignee
Citrix Systems Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Citrix Systems Inc filed Critical Citrix Systems Inc
Publication of CN107079060A publication Critical patent/CN107079060A/zh
Application granted granted Critical
Publication of CN107079060B publication Critical patent/CN107079060B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/256—NAT traversal
    • H04L61/2567—NAT traversal for reachability, e.g. inquiring the address of a correspondent behind a NAT server
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2521—Translation architectures other than single NAT servers
    • H04L61/2532—Clique of NAT servers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/255—Maintenance or indexing of mapping tables

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

公开了用于在多核装置上支持NAT会话管理的方法和系统。在多个客户机与多个服务器中间的多核装置的第一核可以在该第一核的存储器中保存的本地出站会话表中插入NAT会话。第一核可以确定该多核装置的第二核将充当从服务器到客户机的对请求的响应的接收核。第一核可以响应于确定第二核将充当该接收核，将NAT会话插入到全局会话表中。

Description

用于运营商级NAT优化的系统和方法
相关申请
本申请要求在2014年9月9日提交的、名称为“SYSTEMS AND METHODS FOR CARRIERGRADE NAT OPTIMIZATION”的美国非临时申请No.14/481215的权益和优先权，通过引用将该美国申请全部包含于此，以用于所有目的。
技术领域
本申请总的涉及用于运营商级网络地址转换(NAT，network addresstranslation)优化的系统和方法。本申请尤其涉及关于使用多核系统的运营商级网络地址转换的网络服务、会话管理、端口分配、存储器管理、订户的动态资源配额的系统和方法。
背景技术
网络可提供运营商级NAT。网络可允许入站、出站和U字形(hair-pinned)流量。一些网络提供额外的服务，例如流量管理服务、安全和优化。
发明内容
本公开的实施例描述将包括流量管理服务、安全和优化的高级网络服务与运营商级NAT联合使用的系统和方法。在一些实现中，运营商级NAT，又称为大规模NAT(LSN)，是一种针对IPv4网络设计的方法，其中诸如住宅网络之类的端站点被配置为具有私有网络地址，该私有网络地址通过在多个客户机与多个服务器之间的中间装置(例如网络运营者的网络)中嵌入的中间件(middlebox)网络地址转换器装置被转换为公共IPv4地址。以这样的方式，允许在多个端站点之间共享小的公共地址池。这将NAT功能及其配置从端站点转移到了中间装置。
本公开的实施例还描述了用于在多核系统上提供可扩展的和有效的运营商级NAT会话管理的系统和方法。在一些实施例中，该用于NAT会话管理的系统和方法在运营商级规模的多核系统上可以更节省内存。
本公开的实施例还描述了用于在多核系统上运营商级NAT的端口分配的系统和方法。为提供地址转换，运营商级NAT在从NAT IP地址池中选择的IP地址上分配端口。该分配可以是针对给定IP地址上的任一端口或者针对特殊的指定端口。单个端口可以是从与IP关联的空闲端口范围中分配的。在一些配置中，可以从空闲端口范围中分配单个或多个端口块。端口分配可以根据需要在转换期间保留奇偶性和范围。端口分配可以考虑类似RSS的流量分布机制以确保使返回流量到达同一核上。多个核可以执行单个IP地址的端口分配而不必针对可被不只一个核改变的共享存储器中的数据进行同步或只需很少的同步。在一些实现中，可以分配来自空闲端口范围的随机端口。
多核系统上的运营商级NAT需要存储器，用于分配配置结构(类似NAT规则、端口表)、动态实体(类似NAT会话、映射、过滤、订户数据、端口块信息等)和哈希表。在一个多核实现中，有对于这个存储器的多种访问模式。诸如配置结构之类的一些存储器可以驻留在核的私有存储器中并且可以被有效地访问，这是因为配置结构是通过相应核来改变和访问的。某些资源可以在核之间进行有效划分并且也可以安全地驻留在核的私有存储器中。某些资源的划分可以使一些资源根据需要进行共享分配，其存在于类似共享端口表的共享存储器中。被密集访问的且被核的稠密子集要求的实体被在所有核上进行复制。这些实体存储在共享存储器中。订户数据是在共享存储器中存储的实体的一个示例。最后，被大量地读或仅由核的稀疏子集所要求的实体在所有核之间进行共享。例如，可以在所有核之间共享可被出站和入站路径中的两个核访问的NAT会话。并且，类似映射或过滤的绑定存在于共享存储器中，并且可以在所有核之间进行共享，因为这些绑定在被创建之后可以为只读。在这种意义上，哈希表类似于绑定。
订户可以被配置为分配配置的资源限制。这些限制确保公平性，使得没有任何订户可以耗尽资源并阻止其他订户使用那些资源，尤其是例如端口或存储器之类的稀缺资源。订户包括装置、服务器、服务等，其是来源，即接附至内部网络且具有待转换的地址。
在一个方面，本公开涉及用于在多核装置上支持NAT会话管理的方法。在多个客户机与多个服务器中间的多核装置的第一核可以将NAT会话插入到在该第一核的存储器中保存的本地出站会话表中。第一核可以确定该多核装置的第二核将充当从服务器到客户机的对请求的响应的接收核。第一核可以响应于确定第二核将充当该接收核，将NAT会话插入到全局会话表中。
在一些实施例中，多核装置的第二核识别该NAT会话没有被包含在第二核的存储器中所保存的本地入站会话表中。该装置在全局会话表中识别该NAT会话，并且第二核将该NAT会话插入第二核的存储器所保存的本地入站会话表中。
在一些实施例中，第一核确定第一核将充当从服务器到客户机的对请求的响应的接收核，以及第一核将该NAT会话插入第一核的存储器上所保存的本地入站会话表中。
在一些实施例中，第一核识别第一核所拥有的现有NAT会话。该装置确定该现有NAT会话是使用全局会话表共享的。该装置确定该现有NAT会话不再被使用。该装置从第一核的存储器所保存的本地出站会话表中移除该现有NAT会话。该装置从在被确定为充当与该现有NAT会话对应的分组的接收核的多核装置的核的存储器上保存的本地入站会话表中移除该现有NAT会话。
在一些实施例中，第一核接收与NAT会话对应的输入分组。该装置确定至少一个服务是与该NAT会话关联的，并且该装置将该输入分组从客户机转发给该服务。
在一些实施例中，第一核接收对第一核上范围内的端口的请求。该装置循环遍历第一核的本地位图中由端口构成的槽。该装置确定该本地位图中由端口构成的槽具有至少一个空闲端口，并且第一核响应于请求来分配空闲端口。
在一些实施例中，该装置基于块分配或NAT会话的其中之一来分配端口范围。
在一些实施例中，第一核接收分配对象的请求。该装置确定该对象在第一核的存储器的空闲队列中可用。该装置从该空闲队列中移除该对象。该装置将该对象返回给从其接收到所述请求的核。
在一些实施例中，第一核接收对第一核上资源的请求。第一核确定为资源配置了配额。该装置响应于确定没有为该资源配置配额而处理该请求。
在又一个方面，本公开涉及用于在多核装置上支持NAT会话管理的系统。该系统可包括在多个客户机与多个服务器中间的多核装置。该多核装置可包括第一核和第二核。第一核可被配置为对于在多个客户机中的一个客户机与多个服务器中的一个服务器之间建立的会话，将NAT会话插入到第一核的存储器中所保存的本地出站会话中。第一核还可以确定该多核装置的第二核将充当从服务器到客户机的对请求的响应的接收核。第一核还可以响应于确定第二核将充当该接收核，将NAT会话插入到全局会话表中。
在一些实施例中，多核装置的第二核识别在第二核的存储器中所保存的本地入站会话表中没有包含该NAT会话。该装置在全局会话表中识别该NAT会话，并且第二核将该NAT会话插入第二核的存储器所保存的本地入站会话表中。
在一些实施例中，第一核确定第一核将充当从服务器到客户机的对请求的响应的接收核，以及第一核将该NAT会话插入第一核的存储器上所保存的本地入站会话表中。
在一些实施例中，第一核识别第一核所拥有的现有NAT会话。该装置确定该现有NAT会话是使用全局会话表共享的。该装置确定该现有NAT会话不再被使用。该装置从第一核的存储器所保存的本地出站会话表中移除该现有NAT会话。该装置从在被确定为充当与该现有NAT会话对应的分组的接收核的多核装置的核的存储器上保存的本地入站会话表中移除该现有NAT会话。
在一些实施例中，第一核接收与NAT会话对应的输入分组。该装置确定至少一个服务是与该NAT会话关联的，并且该装置将该输入分组从客户机转发给该服务。
在一些实施例中，第一核接收对第一核上范围内的端口的请求。该装置循环遍历第一核的本地位图中由端口构成的槽。该装置确定该本地位图中的由端口构成的槽具有至少一个空闲端口，并且第一核响应于请求来分配空闲端口。
在一些实施例中，该装置基于块分配或NAT会话的其中之一来分配端口范围。
在一些实施例中，第一核接收分配对象的请求。该装置确定该对象在第一核的存储器的空闲队列中可用。该装置从该空闲队列中移除该对象。该装置将该对象返回给从其收到所述请求的核。
在一些实施例中，第一核接收对第一核上资源的请求。第一核确定为资源配置了配额。该装置响应于确定没有为该资源配置配额而处理该请求。
附图说明
通过参考下述结合附图的描述，本发明的前述和其它目的、方面、特征和优点将会更加明显并更易于理解，其中：
图1A是客户机经由设备访问服务器的网络环境的实施例的框图；
图1B是经由设备从服务器传送计算环境到客户机的环境的实施例的框图；
图1C是经由设备从服务器传送计算环境到客户机的环境的又一个实施例的框图；
图1D是经由设备从服务器传送计算环境到客户机的环境的又一个实施例的框图；
图1E到1H是计算装置的实施例的框图；
图2A是用于处理客户机和服务器之间的通信的设备的实施例的框图；
图2B是用于优化、加速、负载平衡和路由客户机和服务器之间的通信的设备的又一个实施例的框图；
图3是用于经由设备与服务器通信的客户机的实施例的框图；
图4A是虚拟化环境的实施例的框图；
图4B是虚拟化环境的又一个实施例的框图；
图4C是虚拟设备的实施例的框图；
图5A是在多核系统中实现并行机制的方法实施例的框图；
图5B是使用多核系统的系统实施例的框图；
图5C是多核系统方面的另一实施例的框图；
图6是集群系统的实施例的框图；
图7A为用于提供支持运营商级网络地址转换(NAT)的网络服务的方法的实施例的流程图；
图7B为用于支持运营商级NAT的服务处理的方法的实施例的流程图；
图8A为用于多核系统上可扩展的和有效的运营商级NAT会话管理的系统的实施例的框图；
图8B为用于多核系统上出站流和分配的方法的实施例的流程图；
图8C为用于多核系统上会话查找和哈希表细节的方法的实施例的流程图；
图8D为用于多核系统上会话、映射、过滤和池化释放的方法的实施例的流程图；
图8E为用于多核系统上静态映射和过滤的方法的实施例的流程图；
图9A为用于从乱序位图分配端口的方法的实施例的流程图；
图9B为用于使用基本位图在范围内分配端口的方法的实施例的流程图；
图9C为用于释放端口的方法的实施例的流程图；
图9D为用于分配端口范围的方法的实施例的流程图；
图9E为用于端口范围保留的方法的实施例的流程图；
图10A为指示信息类型和该信息在多核装置上可能的存储位置的框图；
图10B为用于初始化共享存储器的方法的实施例的流程图；
图10C为用于分配动态共享对象的方法的实施例的流程图；
图10D为用于释放动态共享对象的方法的实施例的流程图；
图11A为用于释放配额单元的方法的实施例的流程图；
图11B为用于使用延迟复制给动态实体配置配额的方法的实施例的流程图；
图11C为用于分配配额单元的方法的实施例的流程图；以及
图11D为用于动态改变配置的配额的方法的实施例的流程图。
从下面结合附图所阐述的详细描述，本发明的特征和优点将更明显，其中，同样的参考标记在全文中标识相应的元素。在附图中，同样的附图标记通常表示相同的、功能上相似的和/或结构上相似的元素。
具体实施方式
为了阅读下文各种实施例的描述，下述对于说明书的部分以及它们各自内容的描述是有用的：
－A部分描述可用于实施本文描述的实施例的网络环境和计算环境。
－B部分描述用于将计算环境传送到远程用户的系统和方法的实施例。
－C部分描述用于加速客户机和服务器之间的通信的系统和方法的实施例。
－D部分描述用于对应用传送控制器进行虚拟化的系统和方法的实施例。
－E部分描述用于提供多核架构和环境的系统和方法的实施例。
－F部分描述用于提供集群式设备架构环境的系统和方法的实施例。
－G部分描述用于提供支持运营商级NAT的网络服务的系统和方法的实施例。
－H部分描述用于多核系统上运营商级NAT会话管理的系统和方法的实施例。
－I部分描述用于多核系统上运营商级NAT的端口分配的系统和方法的实施例。
－J部分描述用于多核系统上运营商级NAT实现的存储器管理的系统和方法的实施例。
－K部分描述用于多核系统上运营商级NAT的订户的动态资源配额的系统和方法的实施例。
A.网络和计算环境
在讨论设备和/或客户机的系统和方法的实施例的细节之前，讨论可在其中部署这些实施例的网络和计算环境是有帮助的。现在参见图1A，描述了网络环境的实施例。概括来讲，网络环境包括经由一个或多个网络104、104’(总的称为网络104)与一个或多个服务器106a－106n(同样总的称为服务器106，或远程机器106)通信的一个或多个客户机102a－102n(同样总的称为本地机器102，或客户机102)。在一些实施例中，客户机102通过设备200与服务器106通信。
虽然图1A示出了在客户机102和服务器106之间的网络104和网络104’，客户机102和服务器106可以位于同一个的网络104上。网络104和104’可以是相同类型的网络或不同类型的网络。网络104和/或104’可为局域网(LAN)例如公司内网，城域网(MAN)，或者广域网(WAN)例如因特网或万维网。在一个实施例中，网络104可为专用网络并且网络104’可为公网。在一些实施例中，网络104可为专用网并且网络104’可为公网。在又一个实施例中，网络104和104’可都为专用网。在一些实施例中，客户机102可位于公司企业的分支机构中，通过网络104上的WAN连接与位于公司数据中心的服务器106通信。
网络104和/或104’可以是任何类型和/或形式的网络，并且可包括任何下述网络：点对点网络，广播网络，广域网，局域网，电信网络，数据通信网络，计算机网络，ATM(异步传输模式)网络，SONET(同步光纤网络)网络，SDH(同步数字体系)网络，无线网络和有线网络。在一些实施例中，网络104可以包括无线链路，诸如红外信道或者卫星频带。网络104和/或104’的拓扑可为总线型、星型或环型网络拓扑。网络104和/或104’以及网络拓扑可以是对于本领域普通技术人员所熟知的、可以支持本文描述的操作的任何这样的网络或网络拓扑。
如图1A所示，设备200被显示在网络104和104’之间，设备200也可被称为接口单元200或者网关200。在一些实施例中，设备200可位于网络104上。例如，公司的分支机构可在分支机构中部署设备200。在其他实施例中，设备200可以位于网络104’上。例如，设备200可位于公司的数据中心。在又一个实施例中，多个设备200可在网络104上部署。在一些实施例中，多个设备200可部署在网络104’上。在一个实施例中，第一设备200与第二设备200’通信。在其他实施例中，设备200可为位于与客户机102同一或不同网络104、104’的任一客户机102或服务器106的一部分。一个或多个设备200可位于客户机102和服务器106之间的网络或网络通信路径中的任一点。
在一些实施例中，设备200包括由位于佛罗里达州Ft.Lauderdale的CitrixSystems公司制造的被称为Citrix NetScaler设备的任何网络设备。在其他实施例中，设备200包括由位于华盛顿州西雅图的F5 Networks公司制造的被称为WebAccelerator和BigIP的任何一个产品实施例。在又一个实施例中，设备205包括由位于加利福尼亚州Sunnyvale的Juniper Networks公司制造的DX加速设备平台和/或诸如SA700、SA2000、SA4000和SA6000的SSL VPN系列设备中的任何一个。在又一个实施例中，设备200包括由位于加利福尼亚州San Jose的Cisco Systems公司制造的任何应用加速和/或安全相关的设备和/或软件，例如Cisco ACE应用控制引擎模块服务(Application Control Engine Moduleservice)软件和网络模块以及Cisco AVS系列应用速度系统(Application VelocitySystem)。
在一个实施例中，系统可包括多个逻辑分组的服务器106。在这些实施例中，服务器的逻辑分组可以被称为服务器群38。在其中一些实施例中，服务器106可为地理上分散的。在一些情况中，群38可以作为单个实体被管理。在其他实施例中，服务器群38包括多个服务器群38。在一个实施例中，服务器群代表一个或多个客户机102执行一个或多个应用程序。
在每个群38中的服务器106可为不同种类。一个或多个服务器106可根据一种类型的操作系统平台(例如，由华盛顿州Redmond的Microsoft公司制造的WINDOWS NT)操作，而一个或多个其它服务器106可根据另一类型的操作系统平台(例如，Unix或Linux)操作。每个群38的服务器106不需要与同一群38内的另一个服务器106物理上接近。因此，被逻辑分组为群38的服务器106组可使用广域网(WAN)连接或城域网(MAN)连接互联。例如，群38可包括物理上位于不同大陆或大陆的不同区域、国家、州、城市、校园或房间的服务器106。如果使用局域网(LAN)连接或一些直连形式来连接服务器106，则可增加群38中的服务器106间的数据传送速度。
服务器106可指文件服务器、应用服务器、web服务器、代理服务器或者网关服务器。在一些实施例中，服务器106可以有作为应用服务器或者作为主应用服务器工作的能力。在一个实施例中，服务器106可包括活动目录。客户机102也可称为客户端节点或端点。在一些实施例中，客户机102可以有作为客户机节点寻求访问服务器上的应用的能力，也可以有作为应用服务器为其它客户机102a-102n提供对寄载的应用的访问的能力。
在一些实施例中，客户机102与服务器106通信。在一个实施例中，客户机102与群38中的服务器106的其中一个直接通信。在又一个实施例中，客户机102执行程序邻近应用(program neighborhood application)以与群38内的服务器106通信。在又一个实施例中，服务器106提供主节点的功能。在一些实施例中，客户机102通过网络104与群38中的服务器106通信。通过网络104，客户机102例如可以请求执行群38中的服务器106a-106n寄载的各种应用，并接收应用执行结果的输出进行显示。在一些实施例中，只有主节点提供识别和提供与寄载所请求的应用的服务器106’相关的地址信息所需的功能。
在一个实施例中，服务器106提供web服务器的功能。在又一个实施例中，服务器106a接收来自客户机102的请求，将该请求转发到第二服务器106b，并使用来自服务器106b对该请求的响应来对客户机102的请求进行响应。在又一个实施例中，服务器106获得客户机102可用的应用的列举以及与由该应用的列举所识别的应用的服务器106相关的地址信息。在又一个实施例中，服务器106使用web接口将对请求的响应提供给客户机102。在一个实施例中，客户机102直接与服务器106通信以访问所识别的应用。在又一个实施例中，客户机102接收由执行服务器106上所识别的应用而产生的诸如显示数据的应用输出数据。
现参考图1B，描述了部署多个设备200的网络环境的实施例。第一设备200可以部署在第一网络104上，而第二设备200’部署在第二网络104’上。例如，公司可以在分支机构部署第一设备200，而在数据中心部署第二设备200’。在又一个实施例中，第一设备200和第二设备200’被部署在同一个网络104或网络104上。例如，第一设备200可以被部署用于第一服务器群38，而第二设备200可以被部署用于第二服务器群38’。在另一个实例中，第一设备200可以被部署在第一分支机构，而第二设备200’被部署在第二分支机构’。在一些实施例中，第一设备200和第二设备200’彼此协同或联合工作，以加速客户机和服务器之间的网络流量或应用和数据的传送。
现参考图1C，描述了网络环境的又一个实施例，在该网络环境中，将设备200和一个或多个其它类型的设备部署在一起，例如，部署在一个或多个WAN优化设备205,205’之间。例如，第一WAN优化设备205显示在网络104和104’之间，而第二WAN优化设备205’可以部署在设备200和一个或多个服务器106之间。例如，公司可以在分支机构部署第一WAN优化设备205，而在数据中心部署第二WAN优化设备205’。在一些实施例中，设备205可以位于网络104’上。在其他实施例中，设备205’可以位于网络104上。在一些实施例中，设备205’可以位于网络104’或网络104"上。在一个实施例中，设备205和205’在同一个网络上。在又一个实施例中，设备205和205’在不同的网络上。在另一个实例中，第一WAN优化设备205可以被部署用于第一服务器群38，而第二WAN优化设备205’可以被部署用于第二服务器群38’。
在一个实施例中，设备205是用于加速、优化或者以其他方式改善任何类型和形式的网络流量(例如去往和/或来自WAN连接的流量)的性能、操作或服务质量的装置。在一些实施例中，设备205是一个性能增强代理。在其他实施例中，设备205是任何类型和形式的WAN优化或加速装置，有时也被称为WAN优化控制器。在一个实施例中，设备205是由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的被称为WANScaler的产品实施例中的任何一种。在其他实施例中，设备205包括由位于华盛顿州Seattle的F5 Networks公司出品的被称为BIG-IP链路控制器和WANjet的产品实施例中的任何一种。在又一个实施例中，设备205包括由位于加利福尼亚州Sunnyvale的Juniper NetWorks公司出品的WX和WXC WAN加速装置平台中的任何一种。在一些实施例中，设备205包括由加利福尼亚州SanFrancisco的Riverbed Technology公司出品的虹鳟(steelhead)系列WAN优化设备中的任何一种。在其他实施例中，设备205包括由位于新泽西州Roseland的Expand Networks公司出品的WAN相关装置中的任何一种。在一个实施例中，设备205包括由位于加利福尼亚州Cupertino的Packeteer公司出品的任何一种WAN相关设备，例如由Packeteer提供的PacketShaper、iShared和SkyX产品实施例。在又一个实施例中，设备205包括由位于加利福尼亚州San Jose的Cisco Systems公司出品的任何WAN相关设备和/或软件，例如Cisco广域网应用服务软件和网络模块以及广域网引擎设备。
在一个实施例中，设备205为分支机构或远程办公室提供应用和数据加速服务。在一个实施例中，设备205包括广域文件服务(WAFS)的优化。在又一个实施例中，设备205加速文件的传送，例如经由通用互联网文件系统(CIFS)协议。在其他实施例中，设备205在存储器和/或存储装置中提供高速缓存来加速应用和数据的传送。在一个实施例中，设备205在任何级别的网络堆栈或在任何的协议或网络层中提供网络流量的压缩。在又一个实施例中，设备205提供传输层协议优化、流量控制、性能增强或修改和/或管理，以加速WAN连接上的应用和数据的传送。例如，在一个实施例中，设备205提供传输控制协议(TCP)优化。在其他实施例中，设备205提供对于任何会话或应用层协议的优化、流量控制、性能增强或修改和/或管理。
在又一个实施例中，设备205将任何类型和形式的数据或信息编码成网络分组的定制的或标准的TCP和/或IP的报头字段或可选字段，以将其存在、功能或能力通告给另一个设备205’。在又一个实施例中，设备205’可以使用在TCP和/或IP报头字段或选项中编码的数据来与另一个设备205’进行通信。例如，设备可以使用TCP选项或IP报头字段或选项来传达在执行诸如WAN加速的功能时或者为了彼此联合工作而由设备205，205’所使用的一个或多个参数。
在一些实施例中，设备200保存在设备205和205’之间传达的TCP和/或IP报头和/或可选字段中编码的任何信息。例如，设备200可以终止经过设备200的传输层连接，例如经过设备205和205’的在客户机和服务器之间的一个传输层连接。在一个实施例中，设备200识别并保存由第一设备205通过第一传输层连接发送的传输层分组中的任何编码信息，并经由第二传输层连接来将具有编码信息的传输层分组传达到第二设备205’。
现参考图1D，描述了用于传送和/或操作客户机102上的计算环境的网络环境。在一些实施例中，服务器106包括用于向一个或多个客户机102传送计算环境或应用和/或数据文件的应用传送系统190。总的来说，客户机10通过网络104、104’和设备200与服务器106通信。例如，客户机102可驻留在公司的远程办公室里，例如分支机构，并且服务器106可驻留在公司数据中心。客户机102包括客户机代理120以及计算环境15。计算环境15可执行或操作用于访问、处理或使用数据文件的应用。可经由设备200和/或服务器106传送计算环境15、应用和/或数据文件。
在一些实施例中，设备200加速计算环境15或者其任何部分到客户机102的传送。在一个实施例中，设备200通过应用传送系统190加速计算环境15的传送。例如，可使用此处描述的实施例来加速从公司中央数据中心到远程用户位置(例如公司的分支机构)的流应用(streaming application)及该应用可处理的数据文件的传送。在又一个实施例中，设备200加速客户机102和服务器106之间的传输层流量。设备200可以提供用于加速从服务器106到客户机102的任何传输层有效载荷的加速技术，例如：1)传输层连接池，2)传输层连接多路复用，3)传输控制协议缓冲，4)压缩和5)高速缓存。在一些实施例中，设备200响应于来自客户机102的请求提供服务器106的负载平衡。在其他实施例中，设备200充当代理或者访问服务器来提供对一个或者多个服务器106的访问。在又一个实施例中，设备200提供从客户机102的第一网络104到服务器106的第二网络104’的安全虚拟专用网络连接，诸如SSLVPN连接。在又一些实施例中，设备200提供客户机102和服务器106之间的连接和通信的应用防火墙安全、控制和管理。
在一些实施例中，基于多个执行方法并且基于通过策略引擎195所应用的任一验证和授权策略，应用传送管理系统190提供将计算环境传送到远程的或者另外的用户的桌面的应用传送技术。使用这些技术，远程用户可以从任何网络连接装置100获取计算环境并且访问服务器所存储的应用和数据文件。在一个实施例中，应用传送系统190可驻留在服务器106上或在其上执行。在又一个实施例中，应用传送系统190可驻留在多个服务器106a-106n上或在其上执行。在一些实施例中，应用传送系统190可在服务器群38内执行。在一个实施例中，执行应用传送系统190的服务器106也可存储或提供应用和数据文件。在又一个实施例中，一个或多个服务器106的第一组可执行应用传送系统190，而不同的服务器106n可存储或提供应用和数据文件。在一些实施例中，应用传送系统190、应用和数据文件中的每一个可驻留或位于不同的服务器。在又一个实施例中，应用传送系统190的任何部分可驻留、执行、或被存储于或分发到设备200或多个设备。
客户机102可包括用于执行使用或处理数据文件的应用的计算环境15。客户机102可通过网络104、104’和设备200请求来自服务器106的应用和数据文件。在一个实施例中，设备200可以将来自客户机102的请求转发到服务器106。例如，客户机102可能不具有本地存储或者本地可访问的应用和数据文件。响应于请求，应用传送系统190和/或服务器106可以传送应用和数据文件到客户机102。例如，在一个实施例中，服务器106可以把应用作为应用流来传输，以在客户机102上的计算环境15中操作。
在一些实施例中，应用传送系统190包括Citrix Systems有限公司的CitrixAccess SuiteTM的任一部分(例如MetaFrame或Citrix Presentation ServerTM)，和/或微软公司开发的Windows终端服务中的任何一个。在一个实施例中，应用传送系统190可以通过远程显示协议或者以其它方式通过基于远程计算或者基于服务器计算来传送一个或者多个应用到客户机102或者用户。在又一个实施例中，应用传送系统190可以通过应用流来传送一个或者多个应用到客户机或者用户。
在一个实施例中，应用传送系统190包括策略引擎195，其用于控制和管理对应用的访问、应用执行方法的选择以及应用的传送。在一些实施例中，策略引擎195确定用户或者客户机102可以访问的一个或者多个应用。在又一个实施例中，策略引擎195确定应用应该如何被传送到用户或者客户机102，例如执行方法。在一些实施例中，应用传送系统190提供多个传送技术，从中选择应用执行的方法，例如基于服务器的计算、本地流式传输或传送应用给客户机120以用于本地执行。
在一个实施例中，客户机102请求应用程序的执行并且包括服务器106的应用传送系统190选择执行应用程序的方法。在一些实施例中，服务器106从客户机102接收证书。在又一个实施例中，服务器106从客户机102接收对于可用应用的列举的请求。在一个实施例中，响应该请求或者证书的接收，应用传送系统190列举对于客户机102可用的多个应用程序。应用传送系统190接收执行所列举的应用的请求。应用传送系统190选择预定数量的方法之一来执行所列举的应用，例如响应策略引擎的策略。应用传送系统190可以选择执行应用的方法，使得客户机102接收通过执行服务器106上的应用程序所产生的应用输出数据。应用传送系统190可以选择执行应用的方法，使得本地机器10在检索包括应用的多个应用文件之后本地执行应用程序。在又一个实施例中，应用传送系统190可以选择执行应用的方法，以通过网络104流式传输应用到客户机102。
客户机102可以执行、操作或者以其它方式提供应用，所述应用可为任何类型和/或形式的软件、程序或者可执行指令，例如任何类型和/或形式的web浏览器、基于web的客户机、客户机－服务器应用、瘦客户端计算客户机、ActiveX控件、或者Java程序、或者可以在客户机102上执行的任何其它类型和/或形式的可执行指令。在一些实施例中，应用可以是代表客户机102在服务器106上执行的基于服务器或者基于远程的应用。在一个实施例中，服务器106可以使用任何瘦-客户端或远程显示协议来显示输出到客户机102，所述瘦-客户端或远程显示协议例如由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的独立计算架构(ICA)协议或由位于华盛顿州Redmond的微软公司出品的远程桌面协议(RDP)。应用可使用任何类型的协议，并且它可为，例如，HTTP客户机、FTP客户机、Oscar客户机或Telnet客户机。在其他实施例中，应用包括和VoIP通信相关的任何类型的软件，例如软IP电话。在进一步的实施例中，应用包括涉及到实时数据通信的任一应用，例如用于流式传输视频和/或音频的应用。
在一些实施例中，服务器106或服务器群38可运行一个或多个应用，例如提供瘦客户端计算或远程显示表示应用的应用。在一个实施例中，服务器106或服务器群38作为一个应用来执行Citrix Systems有限公司的Citrix Access SuiteTM的任一部分(例如MetaFrame或Citrix Presentation ServerTM)，和/或微软公司开发的Windows终端服务中的任何一个。在一个实施例中，该应用是位于佛罗里达州Fort Lauderdale的Citrix Systems有限公司开发的ICA客户机。在其他实施例中，该应用包括由位于华盛顿州Redmond的Microsoft公司开发的远程桌面(RDP)客户机。另外，服务器106可以运行一个应用，例如，其可以是提供电子邮件服务的应用服务器，例如由位于华盛顿州Redmond的Microsoft公司制造的Microsoft Exchange，web或Internet服务器，或者桌面共享服务器，或者协作服务器。在一些实施例中，任一应用可以包括任一类型的所寄载的服务或产品，例如位于加利福尼亚州Santa Barbara的Citrix Online Division公司提供的GoToMeetingTM，位于加利福尼亚州Santa Clara的WebEx有限公司提供的WebExTM，或者位于华盛顿州Redmond的Microsoft公司提供的Microsoft Office Live Meeting。
仍参考图1D，网络环境的一个实施例可以包括监控服务器106A。监控服务器106A可以包括任何类型和形式的性能监控服务198。性能监控服务198可以包括监控、测量和/或管理软件和/或硬件，包括数据收集、集合、分析、管理和报告。在一个实施例中，性能监控服务198包括一个或多个监控代理197。监控代理197包括用于在诸如客户机102、服务器106或设备200和205的装置上执行监控、测量和数据收集活动的任何软件、硬件或其组合。在一些实施例中，监控代理197包括诸如Visual Basic脚本或Javascript任何类型和形式的脚本。在一个实施例中，监控代理197相对于装置的任何应用和/或用户透明地执行。在一些实施例中，监控代理197相对于应用或客户机不显眼地被安装和操作。在又一个实施例中，监控代理197的安装和操作不需要用于该应用或装置的任何设备。
在一些实施例中，监控代理197以预定频率监控、测量和收集数据。在其他实施例中，监控代理197基于检测到任何类型和形式的事件来监控、测量和收集数据。例如，监控代理197可以在检测到对web页面的请求或收到HTTP响应时收集数据。在另一个实例中，监控代理197可以在检测到诸如鼠标点击的任一用户输入事件时收集数据。监控代理197可以报告或提供任何所监控、测量或收集的数据给监控服务198。在一个实施例中，监控代理197根据时间安排或预定频率来发送信息给监控服务198。在又一个实施例中，监控代理197在检测到事件时发送信息给监控服务198。
在一些实施例中，监控服务198和/或监控代理197对诸如客户机、服务器、服务器群、设备200、设备205或网络连接的任何网络资源或网络基础结构元件的进行监控和性能测量。在一个实施例中，监控服务198和/或监控代理197执行诸如TCP或UDP连接的任何传输层连接的监控和性能测量。在又一个实施例中，监控服务198和/或监控代理197监控和测量网络等待时间。在又一个实施例中，监控服务198和/或监控代理197监控和测量带宽利用。
在其他实施例中，监控服务198和/或监控代理197监控和测量终端用户响应时间。在一些实施例中，监控服务198执行应用的监控和性能测量。在又一个实施例中，监控服务198和/或监控代理197执行到应用的任何会话或连接的监控和性能测量。在一个实施例中，监控服务198和/或监控代理197监控和测量浏览器的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量基于HTTP的事务的性能。在一些实施例中，监控服务198和/或监控代理197监控和测量IP电话(VoIP)应用或会话的性能。在其他实施例中，监控服务198和/或监控代理197监控和测量诸如ICA客户机或RDP客户机的远程显示协议应用的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量任何类型和形式的流媒体的性能。在进一步的实施例中，监控服务198和/或监控代理197监控和测量所寄载的应用或软件即服务(Software-As-A-Service，SaaS)传送模型的性能。
在一些实施例中，监控服务198和/或监控代理197执行与应用相关的一个或多个事务、请求或响应的监控和性能测量。在其他实施例中，监控服务198和/或监控代理197监控和测量应用层堆栈的任何部分，例如任何.NET或J2EE调用。在一个实施例中，监控服务198和/或监控代理197监控和测量数据库或SQL事务。在又一个实施例中，监控服务198和/或监控代理197监控和测量任何方法、函数或应用编程接口(API)调用。
在一个实施例中，监控服务198和/或监控代理197对经由诸如设备200和/或设备205的一个或多个设备从服务器到客户机的应用和/或数据的传送进行监控和性能测量。在一些实施例中，监控服务198和/或监控代理197监控和测量虚拟化应用的传送的性能。在其他实施例中，监控服务198和/或监控代理197监控和测量流式应用的传送的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量传送桌面应用到客户机和/或在客户机上执行桌面应用的性能。在又一个实施例中，监控服务198和/或监控代理197监控和测量客户机/服务器应用的性能。
在一个实施例中，监控服务198和/或监控代理197被设计和构建成为应用传送系统190提供应用性能管理。例如，监控服务198和/或监控代理197可以监控、测量和管理经由Citrix表示服务器(Citrix Presentation Server)传送应用的性能。在该实例中，监控服务198和/或监控代理197监控单独的ICA会话。监控服务198和/或监控代理197可以测量总的以及每次的会话系统资源使用，以及应用和连网性能。监控服务198和/或监控代理197可以对于给定用户和/或用户会话来标识有效服务器(active server)。在一些实施例中，监控服务198和/或监控代理197监控在应用传送系统190和应用和/或数据库服务器之间的后端连接。监控服务198和/或监控代理197可以测量每个用户会话或ICA会话的网络等待时间、延迟和容量。
在一些实施例中，监控服务198和/或监控代理197测量和监控对于应用传送系统190的诸如总的存储器使用、每个用户会话和/或每个进程的存储器使用。在其他实施例中，监控服务198和/或监控代理197测量和监控诸如总的CPU使用、每个用户会话和/或每个进程的应用传送系统190的CPU使用。在又一个实施例中，监控服务198和/或监控代理197测量和监控登录到诸如Citrix表示服务器的应用、服务器或应用传送系统所需的时间。在一个实施例中，监控服务198和/或监控代理197测量和监控用户登录应用、服务器或应用传送系统190的持续时间。在一些实施例中，监控服务198和/或监控代理197测量和监控应用、服务器或应用传送系统会话的有效和无效的会话计数。在又一个实施例中，监控服务198和/或监控代理197测量和监控用户会话等待时间。
在另外的实施例中，监控服务198和/或监控代理197测量和监控任何类型和形式的服务器指标。在一个实施例中，监控服务198和/或监控代理197测量和监控与系统内存、CPU使用和盘存储器有关的指标。在又一个实施例中，监控服务198和/或监控代理197测量和监控和页错误有关的指标，诸如每秒页错误。在其他实施例中，监控服务198和/或监控代理197测量和监控往返时间的指标。在又一个实施例中，监控服务198和/或监控代理197测量和监控与应用崩溃、错误和/或中止相关的指标。
在一些实施例中，监控服务198和监控代理198包括由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的被称为EdgeSight的任何一种产品实施例。在又一个实施例中，性能监控服务198和/或监控代理198包括由位于加利福尼亚州Palo Alto的Symphoniq公司出品的被称为TrueView产品套件的产品实施例的任一部分。在一个实施例中，性能监控服务198和/或监控代理198包括由位于加利福尼亚州San Francisco的TeaLeaf技术公司出品的被称为TeaLeafCX产品套件的产品实施例的任何部分。在其他实施例中，性能监控服务198和/或监控代理198包括由位于德克萨斯州Houston的BMC软件公司出品的诸如BMC性能管理器和巡逻产品(BMC Performance Manager and Patrolproducts)的商业服务管理产品的任何部分。
客户机102、服务器106和设备200可以被部署为和/或执行在任何类型和形式的计算装置上，诸如能够在任何类型和形式的网络上通信并执行此处描述的操作的计算机、网络装置或者设备。图1E和1F描述了可用于实施客户机102、服务器106或设备200的实施例的计算装置100的框图。如图1E和1F所示，每个计算装置100包括中央处理单元101和主存储器单元122。如图1E所示，计算装置100可以包括可视显示装置124、键盘126和/或诸如鼠标的指示装置127。每个计算装置100也可包括其它可选元件，例如一个或多个输入/输出装置130a－130b(总的使用附图标记130表示)，以及与中央处理单元101通信的高速缓存存储器140。
中央处理单元101是响应并处理从主存储器单元122取出的指令的任何逻辑电路。在许多实施例中，中央处理单元由微处理器单元提供，例如：由加利福尼亚州MountainView的Intel公司制造的微处理器单元；由伊利诺伊州Schaumburg的Motorola公司制造的微处理器单元；由加利福尼亚州Santa Clara的Transmeta公司制造的微处理器单元；由纽约州White Plains的International Business Machines公司制造的RS/6000处理器；或者由加利福尼亚州Sunnyvale的Advanced Micro Devices公司制造的微处理器单元。计算装置100可以基于这些处理器中的任何一种，或者能够如此处所述方式运行的任何其它处理器。
主存储器单元122可以是能够存储数据并允许微处理器101直接访问任何存储位置的一个或多个存储器芯片，例如静态随机存取存储器(SRAM)、突发SRAM或同步突发SRAM(BSRAM)、动态随机存取存储器DRAM、快速页模式DRAM(FPM DRAM)、增强型DRAM(EDRAM)、扩展数据输出RAM(EDO RAM)、扩展数据输出DRAM(EDO DRAM)、突发式扩展数据输出DRAM(BEDODRAM)、增强型DRAM(EDRAM)、同步DRAM(SDRAM)、JEDEC SRAM、PC100SDRAM、双数据速率SDRAM(DDRSDRAM)、增强型SRAM(ESDRAM)、同步链路DRAM(SLDRAM)、直接内存总线DRAM(DRDRAM)或铁电RAM(FRAM)。主存储器122可以基于上述存储芯片的任何一种，或者能够如此处所述方式运行的任何其它可用存储芯片。在图1E中所示的实施例中，处理器101通过系统总线150(在下面进行更详细的描述)与主存储器122进行通信。图1E描述了在其中处理器通过存储器端口103直接与主存储器122通信的计算装置100的实施例。例如，在图1F中，主存储器122可以是DRDRAM。
图1F描述了在其中主处理器101通过第二总线与高速缓存存储器140直接通信的实施例，第二总线有时也称为后端总线。其他实施例中，主处理器101使用系统总线150和高速缓存存储器140通信。高速缓存存储器140通常有比主存储器122更快的响应时间，并且通常由SRAM、BSRAM或EDRAM提供。在图1F中所示的实施例中，处理器101通过本地系统总线150与多个I/O装置130进行通信。可以使用各种不同的总线将中央处理单元101连接到任何I/O装置130，所述总线包括VESAVL总线、ISA总线、EISA总线、微通道体系结构(MCA)总线、PCI总线、PCI-X总线、PCI-Express总线或NuBus。对于I/O装置是视频显示器124的实施例，处理器101可以使用高级图形端口(AGP)与显示器124通信。图1F说明了主处理器101通过超传输(HyperTransport)、快速I/O或者InfiniBand直接与I/O装置130通信的计算机100的一个实施例。图1F还描述了在其中混合本地总线和直接通信的实施例：处理器101使用本地互连总线与I/O装置130b进行通信，同时直接与I/O装置130a进行通信。
计算装置100可以支持任何适当的安装装置116，例如用于接纳诸如3.5英寸、5.25英寸磁盘或ZIP磁盘这样的软盘的软盘驱动器、CD-ROM驱动器、CD-R/RW驱动器、DVD-ROM驱动器、各种格式的磁带驱动器、USB装置、硬盘驱动器或适于安装像任何客户机代理120或其部分的软件和程序的任何其它装置。计算装置100还可以包括存储装置128，诸如一个或者多个硬盘驱动器或者独立磁盘冗余阵列，用于存储操作系统和其它相关软件，以及用于存储诸如涉及客户机代理120的任何程序的应用软件程序。或者，可以使用安装装置116的任何一种作为存储装置128。此外，操作系统和软件可从例如可引导CD的可引导介质运行，诸如一种用于GNU/Linux的可引导CD，该可引导CD可自knoppix.net作为GNU/Linux一个分发版获得。
此外，计算装置100可以包括通过多种连接接口到局域网(LAN)、广域网(WAN)或因特网的网络接口118，所述多种连接包括但不限于标准电话线路、LAN或WAN链路(例如802.11，T1，T3、56kb、X.25)、宽带连接(如ISDN、帧中继、ATM)、无线连接、或上述任何或所有连接的一些组合。网络接口118可以包括内置网络适配器、网络接口卡、PCMCIA网络卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器或适用于将计算装置100接口到能够通信并执行这里所说明的操作的任何类型的网络的任何其它设备。计算装置100中可以包括各种I/O装置130a-130n。输入装置包括键盘、鼠标、触控板、轨迹球、麦克风和绘图板。输出装置包括视频显示器、扬声器、喷墨打印机、激光打印机和热升华打印机。如图1E所示，I/O装置130可以由I/O控制器123控制。I/O控制器可以控制一个或多个I/O装置，例如键盘126和指示装置127(如鼠标或光笔)。此外，I/O装置还可以为计算装置100提供存储装置128和/或安装介质116。在其他实施例中，计算装置100可以提供USB连接以接纳手持USB存储装置，例如由位于美国加利福尼亚州Los Alamitos的Twintech Industry有限公司生产的USB闪存驱动系列装置。
在一些实施例中，计算装置100可以包括多个显示装置124a-124n或与其相连，这些显示装置各自可以是相同或不同的类型和/或形式。因而，任何一种I/O装置130a-130n和/或I/O控制器123可以包括任一类型和/或形式的适当的硬件、软件或硬件和软件的组合，以支持、允许或提供通过计算装置100连接和使用多个显示装置124a-124n。例如，计算装置100可以包括任何类型和/或形式的视频适配器、视频卡、驱动器和/或库，以与显示装置124a-124n接口、通信、连接或以其他方式使用显示装置。在一个实施例中，视频适配器可以包括多个连接器以与多个显示装置124a-124n接口。在其他实施例中，计算装置100可以包括多个视频适配器，每个视频适配器与显示装置124a-124n中的一个或多个连接。在一些实施例中，计算装置100的操作系统的任一部分都可以被配置用于使用多个显示器124a-124n。在其他实施例中，显示装置124a-124n中的一个或多个可以由一个或多个其它计算装置提供，诸如例如通过网络与计算装置100连接的计算装置100a和100b。这些实施例可以包括被设计和构造为将另一个计算机的显示装置用作计算装置100的第二显示装置124a的任一类型的软件。本领域的普通技术人员应认识和理解可以将计算装置100配置成具有多个显示装置124a-124n的各种方法和实施例。
在另外的实施例中，I/O装置130可以是系统总线150和外部通信总线之间的桥170，所述外部通信总线例如USB总线、Apple桌面总线、RS-232串行连接、SCSI总线、FireWire总线、FireWire800总线、以太网总线、AppleTalk总线、千兆位以太网总线、异步传输模式总线、HIPPI总线、超级HIPPI总线、SerialPlus总线、SCI/LAMP总线、光纤信道总线或串行SCSI总线。
图1E和1F中描述的那类计算装置100通常在控制任务的调度和对系统资源的访问的操作系统的控制下操作。计算装置100可以运行任何操作系统，如Windows操作系统，不同发行版本的Unix和Linux操作系统，用于Macintosh计算机的任何版本的MAC任何嵌入式操作系统，任何实时操作系统，任何开源操作系统，任何专有操作系统，任何用于移动计算装置的操作系统，或者任何其它能够在计算装置上运行并完成这里所述操作的操作系统。典型的操作系统包括：WINDOWS 3.x、WINDOWS 95、WINDOWS 98、WINDOWS2000、WINDOWS NT 3.51、WINDOWS NT 4.0、WINDOWS CE和WINDOWS XP，所有这些均由位于华盛顿州Redmond的微软公司出品；由位于加利福尼亚州Cupertino的苹果计算机出品的MacOS；由位于纽约州Armonk的国际商业机器公司出品的OS/2；以及由位于犹他州SaltLake City的Caldera公司发布的可免费使用的Linux操作系统或者任何类型和/或形式的Unix操作系统，以及其它。
在其他的实施例中，计算装置100可以有符合该装置的不同的处理器、操作系统和输入设备。例如，在一个实施例中，计算机100是由Palm公司出品的Treo180、270、1060、600或650智能电话。在该实施例中，Treo智能电话在PalmOS操作系统的控制下操作，并包括指示笔输入装置以及五向导航装置。此外，计算装置100可以是任何工作站、桌面计算机、膝上型或笔记本计算机、服务器、手持计算机、移动电话、任何其它计算机、或能够通信并有足够的处理器能力和存储容量以执行此处所述的操作的其它形式的计算或者电信装置。
如图1G所示，计算装置100可以包括多个处理器，可以提供用于对不只一个数据片同时执行多个指令或者同时执行一个指令的功能。在一些实施例中，计算装置100可包括具有一个或多个核的并行处理器。在这些实施例的一个中，计算装置100是共享内存并行设备，具有多个处理器和/或多个处理器核，将所有可用内存作为一个全局地址空间进行访问。在这些实施例的又一个中，计算装置100是分布式存储器并行设备，具有多个处理器，每个处理器访问本地存储器。在这些实施例的又一个中，计算装置100既有共享的存储器又有仅由特定处理器或处理器子集访问的存储器。在这些实施例的又一个中，如多核微处理器的计算装置100将两个或多个独立处理器组合在一个封装中，通常在一个集成电路(IC)中。在这些实施例的又一个中，计算装置100包括具有单元宽带引擎(CELL BROADBAND ENGINE)架构的芯片，并包括高能处理器单元以及多个协同处理单元，高能处理器单元和多个协同处理单元通过内部高速总线连接在一起，可以将内部高速总线称为单元互连总线。
在一些实施例中，处理器提供用于对多个数据片同时执行单个指令(SIMD)的功能。其他实施例中，处理器提供用于对多个数据片同时执行多个指令(MIMD)的功能。又一个实施例中，处理器可以在单个装置中使用SIMD和MIMD核的任意组合。
在一些实施例中，计算装置100可包括图像处理单元。图1H所示的在这些实施例的一个中，计算装置100包括至少一个中央处理单元101和至少一个图像处理单元。在这些实施例的又一个中，计算装置100包括至少一个并行处理单元和至少一个图像处理单元。在这些实施例的又一个中，计算装置100包括任意类型的多个处理单元，多个处理单元中的一个包括图像处理单元。
一些实施例中，第一计算装置100a代表客户计算装置100b的用户执行应用。又一个实施例中，计算装置100执行虚拟机，其提供执行会话，在该会话中，代表客户计算装置100b的用户执行应用。在这些实施例的一个中，执行会话是寄载的桌面会话。在这些实施例的又一个中，计算装置100执行终端服务会话。终端服务会话可以提供寄载的桌面环境。在这些实施例的又一个中，执行会话提供对计算环境的访问，该计算环境可包括以下的一个或多个：应用、多个应用、桌面应用以及可执行一个或多个应用的桌面会话。
B.设备架构
图2A示出设备200的一个示例实施例。提供图2A的设备200架构仅用于示例，并不意于作为限制性的架构。如图2所示，设备200包括硬件层206和被分为用户空间202和内核空间204的软件层。
硬件层206提供硬件元件，在内核空间204和用户空间202中的程序和服务在该硬件元件上被执行。硬件层206也提供结构和元件，就设备200而言，这些结构和元件允许在内核空间204和用户空间202内的程序和服务既在内部进行数据通信又与外部进行数据通信。如图2所示，硬件层206包括用于执行软件程序和服务的处理单元262，用于存储软件和数据的存储器264，用于通过网络传输和接收数据的网络端口266，以及用于执行与安全套接字协议层相关的功能处理通过网络传输和接收的数据的加密处理器260。在一些实施例中，中央处理单元262可在单独的处理器中执行加密处理器260的功能。另外，硬件层206可包括用于每个处理单元262和加密处理器260的多处理器。处理器262可以包括以上结合图1E和1F所述的任一处理器101。例如，在一个实施例中，设备200包括第一处理器262和第二处理器262’。在其他实施例中，处理器262或者262’包括多核处理器。
虽然示出的设备200的硬件层206通常带有加密处理器260，但是处理器260可为执行涉及任何加密协议的功能的处理器，例如安全套接字协议层(SSL)或者传输层安全(TLS)协议。在一些实施例中，处理器260可为通用处理器(GPP)，并且在进一步的实施例中，可为用于执行任何安全相关协议处理的可执行指令。
虽然图2中设备200的硬件层206包括了某些元件，但是设备200的硬件部分或组件可包括计算装置的任何类型和形式的元件、硬件或软件，例如此处结合图1E和1F示出和讨论的计算装置100。在一些实施例中，设备200可包括服务器、网关、路由器、开关、桥接器或其它类型的计算或网络设备，并且拥有与此相关的任何硬件和/或软件元件。
设备200的操作系统分配、管理或另外分离可用的系统存储器到内核空间204和用户空间204。在示例的软件架构200中，操作系统可以是任何类型和/或形式的Unix操作系统，尽管本发明并未这样限制。这样，设备200可以运行任何操作系统，如任何版本的Windows操作系统、不同版本的Unix和Linux操作系统、用于Macintosh计算机的任何版本的Mac任何的嵌入式操作系统、任何的网络操作系统、任何的实时操作系统、任何的开放源操作系统、任何的专用操作系统、用于移动计算装置或网络装置的任何操作系统、或者能够运行在设备200上并执行此处所描述的操作的任何其它操作系统。
保留内核空间204用于运行内核230，内核230包括任何设备驱动器，内核扩展或其他内核相关软件。就像本领域技术人员所知的，内核230是操作系统的核心，并提供对资源以及设备104的相关硬件元件的访问、控制和管理。根据设备200的实施例，内核空间204也包括与高速缓存管理器232协同工作的多个网络服务或进程，高速缓存管理器232有时也称为集成的高速缓存，其益处此处将进一步详细描述。另外，内核230的实施例将依赖于通过设备200安装、配置或其他使用的操作系统的实施例。
在一个实施例中，设备200包括一个网络堆栈267，例如基于TCP/IP的堆栈，用于与客户机102和/或服务器106通信。在一个实施例中，使用网络堆栈267与第一网络(例如网络108)以及第二网络110通信。在一些实施例中，设备200终止第一传输层连接，例如客户机102的TCP连接，并建立客户机102使用的到服务器106的第二传输层连接，例如，终止在设备200和服务器106的第二传输层连接。可通过单独的网络堆栈267建立第一和第二传输层连接。在其他实施例中，设备200可包括多个网络堆栈，例如267或267’，并且在一个网络堆栈267可建立或终止第一传输层连接，在第二网络堆栈267’上可建立或者终止第二传输层连接。例如，一个网络堆栈可用于在第一网络上接收和传输网络分组，并且另一个网络堆栈用于在第二网络上接收和传输网络分组。在一个实施例中，网络堆栈267包括用于为一个或多个网络分组进行排队的缓冲器243，其中网络分组由设备200传输。
如图2所示，内核空间204包括高速缓存管理器232、高速层2-7集成分组引擎240、加密引擎234、策略引擎236以及多协议压缩逻辑238。在内核空间204或内核模式而不是用户空间202中运行这些组件或进程232、240、234、236和238提高这些组件中的每个单独的和结合的性能。内核操作意味着这些组件或进程232、240、234、236和238在设备200的操作系统的核地址空间中运行。例如，在内核模式中运行加密引擎234通过移动加密和解密操作到内核可改进加密性能，从而可减少在内核模式中的存储空间或内核线程与在用户模式中的存储空间或线程之间的传输的数量。例如，在内核模式获得的数据可能不需要传输或拷贝到运行在用户模式的进程或线程，例如从内核级数据结构到用户级数据结构。在另一个方面，也可减少内核模式和用户模式之间的上下文切换的数量。另外，在任何组件或进程232、240、235、236和238间的同步和通信在内核空间204中可被执行的更有效率。
在一些实施例中，组件232、240、234、236和238的任何部分可在内核空间204中运行或操作，而这些组件232、240、234、236和238的其它部分可在用户空间202中运行或操作。在一个实施例中，设备200使用内核级数据结构来提供对一个或多个网络分组的任何部分的访问，例如，包括来自客户机102的请求或者来自服务器106的响应的网络分组。在一些实施例中，可以由分组引擎240通过到网络堆栈267的传输层驱动器接口或过滤器获得内核级数据结构。内核级数据结构可包括通过与网络堆栈267相关的内核空间204可访问的任何接口和/或数据、由网络堆栈267接收或发送的网络流量或分组。在其他实施例中，任何组件或进程232、240、234、236和238可使用内核级数据结构来执行组件或进程的需要的操作。在一个实例中，当使用内核级数据结构时，组件232、240、234、236和238在内核模式204中运行，而在又一个实施例中，当使用内核级数据结构时，组件232、240、234、236和238在用户模式中运行。在一些实施例中，内核级数据结构可被拷贝或传递到第二内核级数据结构，或任何期望的用户级数据结构。
高速缓存管理器232可包括软件、硬件或软件和硬件的任何组合，以提供对任何类型和形式的内容的高速缓存访问、控制和管理，例如对象或由源服务器106提供服务的动态产生的对象。由高速缓存管理器232处理和存储的数据、对象或内容可包括任何格式(例如标记语言)的数据，或者通过任何协议的通信的任何类型的数据。在一些实施例中，高速缓存管理器232复制存储在其他地方的原始数据或先前计算、产生或传输的数据，其中相对于读高速缓存存储器元件，需要更长的访问时间以取得、计算或以其他方式得到原始数据。一旦数据被存储在高速缓存存储元件中，通过访问高速缓存的副本而不是重新获得或重新计算原始数据即可进行后续操作，因此而减少了访问时间。在一些实施例中，高速缓存元件可以包括设备200的存储器264中的数据对象。在其他实施例中，高速缓存存储元件可包括有比存储器264更快的存取时间的存储器。在又一个实施例中，高速缓存元件可以包括设备200的任一类型和形式的存储元件，诸如硬盘的一部分。在一些实施例中，处理单元262可提供被高速缓存管理器232使用的高速缓存存储器。在又一个实施例中，高速缓存管理器232可使用存储器、存储区或处理单元的任何部分和组合来高速缓存数据、对象或其它内容。
另外，高速缓存管理器232包括用于执行此处描述的设备200的技术的任一实施例的任何逻辑、功能、规则或操作。例如，高速缓存管理器232包括基于无效时间周期的终止，或者从客户机102或服务器106接收无效命令使对象无效的逻辑或功能。在一些实施例中，高速缓存管理器232可作为在内核空间204中执行的程序、服务、进程或任务而操作，并且在其他实施例中，在用户空间202中执行。在一个实施例中，高速缓存管理器232的第一部分在用户空间202中执行，而第二部分在内核空间204中执行。在一些实施例中，高速缓存管理器232可包括任何类型的通用处理器(GPP)，或任何其他类型的集成电路，例如现场可编程门阵列(FPGA)，可编程逻辑设备(PLD)，或者专用集成电路(ASIC)。
策略引擎236可包括例如智能统计引擎或其它可编程应用。在一个实施例中，策略引擎236提供配置机制以允许用户识别、指定、定义或配置高速缓存策略。策略引擎236，在一些实施例中，也访问存储器以支持数据结构，例如备份表或hash表，以启用用户选择的高速缓存策略决定。在其他实施例中，除了对安全、网络流量、网络访问、压缩或其它任何由设备200执行的功能或操作的访问、控制和管理之外，策略引擎236可包括任何逻辑、规则、功能或操作以确定和提供对设备200所高速缓存的对象、数据、或内容的访问、控制和管理。特定高速缓存策略的其他实施例此处进一步描述。
加密引擎234包括用于操控诸如SSL或TLS的任何安全相关协议或其中涉及的任何功能的处理的任何逻辑、商业规则、功能或操作。例如，加密引擎234加密并解密通过设备200传输的网络分组，或其任何部分。加密引擎234也可代表客户机102a-102n、服务器106a-106n或设备200来设置或建立SSL或TLS连接。因此，加密引擎234提供SSL处理的卸载和加速。在一个实施例中，加密引擎234使用隧道协议来提供在客户机102a-102n和服务器106a-106n间的虚拟专用网络。在一些实施例中，加密引擎234与加密处理器260通信。在其他实施例中，加密引擎234包括运行在加密处理器260上的可执行指令。
多协议压缩引擎238包括用于压缩一个或多个网络分组协议(例如被设备200的网络堆栈267使用的任何协议)的任何逻辑、商业规则、功能或操作。在一个实施例中，多协议压缩引擎238双向压缩在客户机102a-102n和服务器106a-106n间任一基于TCP/IP的协议，包括消息应用编程接口(MAPI)(电子邮件)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用互联网文件系统(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议以及互联网协议电话(VoIP)协议。在其他实施例中，多协议压缩引擎238提供基于超文本标记语言(HTML)的协议的压缩，并且在一些实施例中，提供任何标记语言的压缩，例如可扩展标记语言(XML)。在一个实施例中，多协议压缩引擎238提供任何高性能协议的压缩，例如设计用于设备200到设备200通信的任何协议。在又一个实施例中，多协议压缩引擎238使用修改的传输控制协议来压缩任何通信的任何载荷或任何通信，例如事务TCP(T/TCP)、带有选择确认的TCP(TCP-SACK)、带有大窗口的TCP(TCP-LW)、例如TCP-Vegas协议的拥塞预报协议以及TCP欺骗协议(TCP spoofingprotocol)。
同样的，多协议压缩引擎238为用户加速经由桌面客户机乃至移动客户机访问应用的性能，所述桌面客户机例如Micosoft Outlook和非web瘦客户机，诸如由像Oracle、SAP和Siebel的通用企业应用所启动的任何客户机，所述移动客户机例如掌上电脑。在一些实施例中，通过在内核模式204内部执行并与访问网络堆栈267的分组处理引擎240集成，多协议压缩引擎238可以压缩TCP/IP协议携带的任何协议，例如任何应用层协议。
高速层2-7集成分组引擎240，通常也称为分组处理引擎，或分组引擎，负责设备200通过网络端口266接收和发送的分组的内核级处理的管理。高速层2-7集成分组引擎240可包括用于在例如接收网络分组和传输网络分组的处理期间排队一个或多个网络分组的缓冲器。另外，高速层2-7集成分组引擎240与一个或多个网络堆栈267通信以通过网络端口266发送和接收网络分组。高速层2-7集成分组引擎240与加密引擎234、高速缓存管理器232、策略引擎236和多协议压缩逻辑238协同工作。更具体地，配置加密引擎234以执行分组的SSL处理，配置策略引擎236以执行涉及流量管理的功能，例如请求级内容切换以及请求级高速缓存重定向，并配置多协议压缩逻辑238以执行涉及数据压缩和解压缩的功能。
高速层2-7集成分组引擎240包括分组处理定时器242。在一个实施例中，分组处理定时器242提供一个或多个时间间隔以触发输入处理，例如，接收或者输出(即传输)网络分组。在一些实施例中，高速层2-7集成分组引擎240响应于定时器242处理网络分组。分组处理定时器242向分组引擎240提供任何类型和形式的信号以通知、触发或传输时间相关的事件、间隔或发生。在许多实施例中，分组处理定时器242以毫秒级操作，例如100ms、50ms、或25ms。例如，在一些实例中，分组处理定时器242提供时间间隔或者以其它方式使得由高速层2-7集成分组引擎240以10ms时间间隔处理网络分组，而在其他实施例中，使高速层2-7集成分组引擎240以5ms时间间隔处理网络分组，并且在进一步的实施例中，短到3、2或1ms时间间隔。高速层2-7集成分组引擎240在操作期间可与加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238连接、集成或通信。因此，响应于分组处理定时器242和/或分组引擎240，可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238的任何逻辑、功能或操作。因此，在由分组处理定时器242提供的时间间隔粒度，可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238的任何逻辑、功能或操作，例如，时间间隔少于或等于10ms。例如，在一个实施例中，高速缓存管理器232可响应于高速层2-7集成分组引擎240和/或分组处理定时器242来执行任何高速缓存的对象的终止。在又一个实施例中，高速缓存的对象的终止或无效时间被设定为与分组处理定时器242的时间间隔相同的粒度级，例如每10ms。
与内核空间204不同，用户空间202是被用户模式应用或在用户模式运行的程序所使用的操作系统的存储区域或部分。用户模式应用不能直接访问内核空间204而使用服务调用以访问内核服务。如图2所示，设备200的用户空间202包括图形用户接口(GUI)210、命令行接口(CLI)212、壳服务(shell service)214、健康监控程序216以及守护(daemon)服务218。GUI 210和CLI212提供系统管理员或其他用户可与之交互并控制设备200操作的装置，例如通过设备200的操作系统。GUI210和CLI 212可包括运行在用户空间202或内核框架204中的代码。GUI210可以是任何类型或形式的图形用户接口，可以通过文本、图形或其他形式由任何类型的程序或应用(如浏览器)来呈现。CLI 212可为任何类型和形式的命令行或基于文本的接口，例如通过操作系统提供的命令行。例如，CLI 212可包括壳，该壳是使用户与操作系统相互作用的工具。在一些实施例中，可通过bash、csh、tcsh或者ksh类型的壳提供CLI 212。壳服务214包括程序、服务、任务、进程或可执行指令以支持由用户通过GUI 210和/或CLI 212的与设备200或者操作系统的交互。
健康监控程序216用于监控、检查、报告并确保网络系统正常运行，以及用户正通过网络接收请求的内容。健康监控程序216包括一个或多个程序、服务、任务、进程或可执行指令，为监控设备200的任何行为提供逻辑、规则、功能或操作。在一些实施例中，健康监控程序216拦截并检查通过设备200传递的任何网络流量。在其他实施例中，健康监控程序216通过任何合适的方法和/或机制与一个或多个下述设备连接：加密引擎234，高速缓存管理器232，策略引擎236，多协议压缩逻辑238，分组引擎240，守护服务218以及壳服务214。因此，健康监控程序216可调用任何应用编程接口(API)以确定设备200的任何部分的状态、情况或健康。例如，健康监控程序216可周期性地查验(ping)或发送状态查询以检查程序、进程、服务或任务是否活动并当前正在运行。在又一个实施例中，健康监控程序216可检查由任何程序、进程、服务或任务提供的任何状态、错误或历史日志以确定设备200任何部分的任何状况、状态或错误。
守护服务218是连续运行或在背景中运行的程序，并且处理设备200接收的周期性服务请求。在一些实施例中，守护服务可向其他程序或进程(例如合适的另一个守护服务218)转发请求。如本领域技术人员所公知的，守护服务218可无人监护的运行，以执行连续的或周期性的系统范围功能，例如网络控制，或者执行任何需要的任务。在一些实施例中，一个或多个守护服务218运行在用户空间202中，而在其他实施例中，一个或多个守护服务218运行在内核空间。
现参考图2B，描述了设备200的又一个实施例。总的来说，设备200提供下列服务、功能或操作中的一个或多个：用于一个或多个客户机102以及一个或多个服务器106之间的通信的SSL VPN连通280、交换/负载平衡284、域名服务解析286、加速288和应用防火墙290。服务器106的每一个可以提供一个或者多个网络相关服务270a-270n(称为服务270)。例如，服务器106可以提供http服务270。设备200包括一个或者多个虚拟服务器或者虚拟互联网协议服务器，称为vServer 275、vS 275、VIP服务器或者仅是VIP 275a-275n(此处也称为vServer 275)。vServer 275根据设备200的配置和操作来接收、拦截或者以其它方式处理客户机102和服务器106之间的通信。
vServer 275可以包括软件、硬件或者软件和硬件的任何组合。vServer 275可包括在设备200中的用户模式202、内核模式204或者其任何组合中运行的任何类型和形式的程序、服务、任务、进程或者可执行指令。vServer 275包括任何逻辑、功能、规则或者操作，以执行此处所述技术的任何实施例，诸如SSL VPN 280、转换/负载平衡284、域名服务解析286、加速288和应用防火墙290。在一些实施例中，vServer 275建立到服务器106的服务270的连接。服务275可以包括能够连接到设备200、客户机102或者vServer 275并与之通信的任何程序、应用、进程、任务或者可执行指令集。例如，服务275可以包括web服务器、http服务器、ftp、电子邮件或者数据库服务器。在一些实施例中，服务270是守护进程或者网络驱动器，用于监听、接收和/或发送应用的通信，诸如电子邮件、数据库或者企业应用。在一些实施例中，服务270可以在特定的IP地址、或者IP地址和端口上通信。
在一些实施例中，vServer 275应用策略引擎236的一个或者多个策略到客户机102和服务器106之间的网络通信。在一个实施例中，该策略与vServer 275相关。在又一个实施例中，该策略基于用户或者用户组。在又一个实施例中，策略为通用的并且应用到一个或者多个vServer 275a-275n，和通过设备200通信的任何用户或者用户组。在一些实施例中，策略引擎的策略具有基于通信的任何内容应用该策略的条件，通信的内容诸如互联网协议地址、端口、协议类型、分组中的头部或者字段、或者通信的上下文，诸如用户、用户组、vServer 275、传输层连接、和/或客户机102或者服务器106的标识或者属性。
在其他实施例中，设备200与策略引擎236通信或接口，以便确定远程用户或远程客户机102的验证和/或授权，以访问来自服务器106的计算环境15、应用和/或数据文件。在又一个实施例中，设备200与策略引擎236通信或交互，以便确定远程用户或远程客户机102的验证和/或授权，使得应用传送系统190传送一个或多个计算环境15、应用和/或数据文件。在又一个实施例中，设备200基于策略引擎236对远程用户或远程客户机102的验证和/或授权建立VPN或SSL VPN连接。一个实施例中，设备200基于策略引擎236的策略控制网络流量以及通信会话。例如，基于策略引擎236，设备200可控制对计算环境15、应用或数据文件的访问。
在一些实施例中，vServer 275与客户机102经客户机代理120建立传输层连接，诸如TCP或者UDP连接。在一个实施例中，vServer 275监听和接收来自客户机102的通信。在其他实施例中，vServer 275与客户机服务器106建立传输层连接，诸如TCP或者UDP连接。在一个实施例中，vServer 275建立到运行在服务器106上的服务器270的互联网协议地址和端口的传输层连接。在又一个实施例中，vServer 275将到客户机102的第一传输层连接与到服务器106的第二传输层连接相关联。在一些实施例中，vServer 275建立到服务器106的传输层连接池并经由所述池化(pooled)的传输层连接多路复用客户机的请求。
在一些实施例中，设备200提供客户机102和服务器106之间的SSL VPN连接280。例如，第一网络102上的客户机102请求建立到第二网络104’上的服务器106的连接。在一些实施例中，第二网络104’是不能从第一网络104路由的。在其他实施例中，客户机102位于公用网络104上，并且服务器106位于专用网络104’上，例如企业网。在一个实施例中，客户机代理120拦截第一网络104上的客户机102的通信，加密该通信，并且经第一传输层连接发送该通信到设备200。设备200将第一网络104上的第一传输层连接与到第二网络104上的服务器106的第二传输层连接相关联。设备200接收来自客户机代理102的所拦截的通信，解密该通信，并且经第二传输层连接发送该通信到第二网络104上的服务器106。第二传输层连接可以是池化的传输层连接。同样的，设备200为两个网络104、104’之间的客户机102提供端到端安全传输层连接。
在一个实施例中，设备200寄载虚拟专用网络104上的客户机102的内部网互联网协议或者IntranetIP 282地址。客户机102具有本地网络标识符，诸如第一网络104上的互联网协议(IP)地址和/或主机名称。当经设备200连接到第二网络104’时，设备200在第二网络104’上为客户机102建立、分配或者以其它方式提供IntranetIP，其是诸如IP地址和/或主机名称的网络标识符。使用为客户机的所建立的IntranetIP 282，设备200在第二或专用网104’上监听并接收指向该客户机102的任何通信。在一个实施例中，设备200在第二专用网络104上用作或者代表客户机102。例如，在又一个实施例中，vServer 275监听和响应到客户机102的IntranetIP 282的通信。在一些实施例中，如果第二网络104’上的计算装置100发送请求，设备200如同客户机102一样来处理该请求。例如，设备200可以响应对客户机IntranetIP 282的查验。在又一个实施例中，设备可以与请求和客户机IntranetIP 282连接的第二网络104上的计算装置100建立连接，诸如TCP或者UDP连接。
在一些实施例中，设备200为客户机102和服务器106之间的通信提供下列一个或多个加速技术288：1)压缩；2)解压缩；3)传输控制协议池；4)传输控制协议多路复用；5)传输控制协议缓冲；以及6)高速缓存。在一个实施例中，设备200通过开启与每一服务器106的一个或者多个传输层连接并且维持这些连接以允许由客户机经因特网的重复数据访问，来为服务器106缓解由重复开启和关闭到客户机102的传输层连接所造成的大量处理负载。该技术此处称为“连接池”。
在一些实施例中，为了经池化的传输层连接无缝拼接从客户机102到服务器106的通信，设备200通过在传输层协议级修改序列号和确认号来转换或多路复用通信。这被称为“连接多路复用”。在一些实施例中，不需要应用层协议相互作用。例如，在到来分组(即，自客户机102接收的分组)的情况中，所述分组的源网络地址被改变为设备200的输出端口的网络地址，而目的网络地址被改为目的服务器的网络地址。在发出分组(即，自服务器106接收的一个分组)的情况中，源网络地址被从服务器106的网络地址改变为设备200的输出端口的网络地址，而目的地址被从设备200的网络地址改变为请求的客户机102的网络地址。分组的序列号和确认号也被转换为到客户机102的设备200的传输层连接上的客户机102所期待的序列号和确认。在一些实施例中，传输层协议的分组校验和被重新计算以计及这些转换。
在又一个实施例中，设备200为客户机102和服务器106之间的通信提供交换或负载平衡功能284。在一些实施例中，设备200根据层4或应用层请求数据来分布流量并将客户机请求定向到服务器106。在一个实施例中，尽管网络分组的网络层或者层2识别目的服务器106，但设备200通过承载为传输层分组的有效载荷的数据和应用信息来确定服务器106以便分发网络分组。在一个实施例中，设备200的健康监控程序216监控服务器的健康来确定分发客户机请求到哪个服务器106。在一些实施例中，如果设备200探测到某个服务器106不可用或者具有超过预定阈值的负载，设备200可以将客户机请求指向或者分发到另一个服务器106。
在一些实施例中，设备200用作域名服务(DNS)解析器或者以其它方式为来自客户机102的DNS请求提供解析。在一些实施例中，设备拦截由客户机102发送的DNS请求。在一个实施例中，设备200以设备200的IP地址或其所寄载的IP地址来响应客户机的DNS请求。在此实施例中，客户机102把用于域名的网络通信发送到设备200。在又一个实施例中，设备200以第二设备200’的或其所寄载的IP地址来响应客户机的DNS请求。在一些实施例中，设备200使用由设备200确定的服务器106的IP地址来响应客户机的DNS请求。
在又一个实施例中，设备200为客户机102和服务器106之间的通信提供应用防火墙功能290。在一个实施例中，策略引擎236提供用于探测和阻断非法请求的规则。在一些实施例中，应用防火墙290防御拒绝服务(DoS)攻击。在其他实施例中，设备检查所拦截的请求的内容，以识别和阻断基于应用的攻击。在一些实施例中，规则/策略引擎236包括用于提供对多个种类和类型的基于web或因特网的脆弱点的保护的一个或多个应用防火墙或安全控制策略，例如下列的一个或多个脆弱点：1)缓冲区泄出，2)CGI-BIN参数操纵，3)表单/隐藏字段操纵，4)强制浏览，5)cookie或会话中毒，6)被破坏的访问控制列表(ACLs)或弱密码，7)跨站脚本处理(XSS)，8)命令注入，9)SQL注入，10)错误触发敏感信息泄露，11)对加密的不安全使用，12)服务器错误配置，13)后门和调试选项，14)网站涂改，15)平台或操作系统弱点，和16)零天攻击。在一个实施例中，对下列情况的一种或多种，应用防火墙290以检查或分析网络通信的形式来提供HTML格式字段的保护：1)返回所需的字段，2)不允许附加字段，3)只读和隐藏字段强制(enforcement)，4)下拉列表和单选按钮字段的一致，以及5)格式字段最大长度强制。在一些实施例中，应用防火墙290确保cookie不被修改。在其他实施例中，应用防火墙290通过执行合法的URL来防御强制浏览。
在其他实施例中，应用防火墙290保护在网络通信中包含的任何机密信息。应用防火墙290可以根据引擎236的规则或策略来检查或分析任一网络通信以识别在网络分组的任一字段中的任一机密信息。在一些实施例中，应用防火墙290在网络通信中识别信用卡号、口令、社会保险号、姓名、病人代码、联系信息和年龄的一次或多次出现。网络通信的编码部分可以包括这些出现或机密信息。基于这些出现，在一个实施例中，应用防火墙290可以对网络通信采取策略行动，诸如阻止发送网络通信。在又一个实施例中，应用防火墙290可以重写、移动或者以其它方式掩盖该所识别的出现或者机密信息。
仍参考图2B，设备200可以包括如上面结合图1D所讨论的性能监控代理197。在一个实施例中，设备200从如图1D中所描述的监控服务198或监控服务器106中接收监控代理197。在一些实施例中，设备200在诸如磁盘的存储装置中保存监控代理197，以用于传送给与设备200通信的任何客户机或服务器。例如，在一个实施例中，设备200在接收到建立传输层连接的请求时发送监控代理197给客户机。在其他实施例中，设备200在建立与客户机102的传输层连接时发送监控代理197。在又一个实施例中，设备200在拦截或检测对web页面的请求时发送监控代理197给客户机。在又一个实施例中，设备200响应于监控服务器198的请求来发送监控代理197到客户机或服务器。在一个实施例中，设备200发送监控代理197到第二设备200’或设备205。
在其他实施例中，设备200执行监控代理197。在一个实施例中，监控代理197测量和监控在设备200上执行的任何应用、程序、进程、服务、任务或线程的性能。例如，监控代理197可以监控和测量vServers 275A-275N的性能与操作。在又一个实施例中，监控代理197测量和监控设备200的任何传输层连接的性能。在一些实施例中，监控代理197测量和监控通过设备200的任何用户会话的性能。在一个实施例中，监控代理197测量和监控通过设备200的诸如SSL VPN会话的任何虚拟专用网连接和/或会话的性能。在进一步的实施例中，监控代理197测量和监控设备200的内存、CPU和磁盘使用以及性能。在又一个实施例中，监控代理197测量和监控诸如SSL卸载、连接池和多路复用、高速缓存以及压缩的由设备200执行的任何加速技术288的性能。在一些实施例中，监控代理197测量和监控由设备200执行的任一负载平衡和/或内容交换284的性能。在其他实施例中，监控代理197测量和监控由设备200执行的应用防火墙290保护和处理的性能。
C.客户机代理
现参考图3，描述客户机代理120的实施例。客户机102包括客户机代理120，用于经由网络104与设备200和/或服务器106来建立和交换通信。总的来说，客户机102在计算装置100上操作，该计算装置100拥有带有内核模式302以及用户模式303的操作系统，以及带有一个或多个层310a-310b的网络堆栈310。客户机102可以已经安装和/或执行一个或多个应用。在一些实施例中，一个或多个应用可通过网络堆栈310与网络104通信。所述应用之一，诸如web浏览器，也可包括第一程序322。例如，可在一些实施例中使用第一程序322来安装和/或执行客户机代理120，或其中任何部分。客户机代理120包括拦截机制或者拦截器350，用于从网络堆栈310拦截来自一个或者多个应用的网络通信。
客户机102的网络堆栈310可包括任何类型和形式的软件、或硬件或其组合，用于提供与网络的连接和通信。在一个实施例中，网络堆栈310包括用于网络协议组的软件实现。网络堆栈310可包括一个或多个网络层，例如为本领域技术人员所公认和了解的开放式系统互联(OSI)通信模型的任何网络层。这样，网络堆栈310可包括用于任何以下OSI模型层的任何类型和形式的协议：1)物理链路层；2)数据链路层；3)网络层；4)传输层；5)会话层)；6)表示层，以及7)应用层。在一个实施例中，网络堆栈310可包括在互联网协议(IP)的网络层协议上的传输控制协议(TCP)，通常称为TCP/IP。在一些实施例中，可在以太网协议上承载TCP/IP协议，以太网协议可包括IEEE广域网(WAN)或局域网(LAN)协议的任何族，例如被IEEE802.3覆盖的这些协议。在一些实施例中，网络堆栈310包括任何类型和形式的无线协议，例如IEEE 802.11和/或移动互联网协议。
考虑基于TCP/IP的网络，可使用任何基于TCP/IP的协议，包括消息应用编程接口(MAPI)(email)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用因特网文件系统(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议，以及互联网协议电话(VoIP)协议。在又一个实施例中，网络堆栈310包括任何类型和形式的传输控制协议，诸如修改的传输控制协议，例如事务TCP(T/TCP)，带有选择确认的TCP(TCP-SACK)，带有大窗口的TCP(TCP-LW)，例如TCP-Vegas协议的拥塞预测协议，以及TCP欺骗协议。在其他实施例中，网络堆栈310可使用诸如基于IP的UDP的任何类型和形式的用户数据报协议(UDP)，例如用于语音通信或实时数据通信。
另外，网络堆栈310可包括支持一个或多个层的一个或多个网络驱动器，例如TCP驱动器或网络层驱动器。网络层驱动器可作为计算装置100的操作系统的一部分或者作为计算装置100的任何网络接口卡或其它网络访问组件的一部分被包括。在一些实施例中，网络堆栈310的任何网络驱动器可被定制、修改或调整以提供网络堆栈310的定制或修改部分，用来支持此处描述的任何技术。在其他实施例中，设计并构建加速程序302以与网络堆栈310协同操作或工作，上述网络堆栈310由客户机102的操作系统安装或以其它方式提供。
网络堆栈310包括任何类型和形式的接口，用于接收、获得、提供或以其它方式访问涉及客户机102的网络通信的任何信息和数据。在一个实施例中，与网络堆栈310的接口包括应用编程接口(API)。接口也可包括任何函数调用、钩子或过滤机制，事件或回调机制、或任何类型的接口技术。网络堆栈310通过接口可接收或提供与网络堆栈310的功能或操作相关的任何类型和形式的数据结构，例如对象。例如，数据结构可以包括与网络分组相关的信息和数据或者一个或多个网络分组。在一些实施例中，数据结构包括在网络堆栈310的协议层处理的网络分组的一部分，例如传输层的网络分组。在一些实施例中，数据结构325包括内核级别数据结构，而在其他实施例中，数据结构325包括用户模式数据结构。内核级数据结构可以包括获得的或与在内核模式302中操作的网络堆栈310的一部分相关的数据结构、或者运行在内核模式302中的网络驱动程序或其它软件、或者由运行或操作在操作系统的内核模式的服务、进程、任务、线程或其它可执行指令获得或收到的任何数据结构。
此外，网络堆栈310的一些部分可在内核模式302执行或操作，例如，数据链路或网络层，而其他部分在用户模式303执行或操作，例如网络堆栈310的应用层。例如，网络堆栈的第一部分310a可以给应用提供对网络堆栈310的用户模式访问，而网络堆栈310的第二部分310a提供对网络的访问。在一些实施例中，网络堆栈的第一部分310a可包括网络堆栈310的一个或多个更上层，例如层5-7的任何层。在其他实施例中，网络堆栈310的第二部分310b包括一个或多个较低的层，例如层1-4的任何层。网络堆栈310的每个第一部分310a和第二部分310b可包括网络堆栈310的任何部分，位于任何一个或多个网络层，处于用户模式203、内核模式202，或其组合，或在网络层的任何部分或者到网络层的接口点，或用户模式203和内核模式202的任何部分或到用户模式203和内核模式202的接口点。
拦截器350可以包括软件、硬件、或者软件和硬件的任何组合。在一个实施例中，拦截器350在网络堆栈310的任一点拦截网络通信，并且重定向或者发送网络通信到由拦截器350或者客户机代理120所期望的、管理的或者控制的目的地。例如，拦截器350可以拦截第一网络的网络堆栈310的网络通信并且发送该网络通信到设备200，用于在第二网络104上发送。在一些实施例中，拦截器350包括含有诸如被构建和设计来与网络堆栈310对接并一同工作的网络驱动器的驱动器的任一类型的拦截器350。在一些实施例中，客户机代理120和/或拦截器350操作在网络堆栈310的一个或者多个层，诸如在传输层。在一个实施例中，拦截器350包括过滤器驱动器、钩子机制、或者连接到网络堆栈的传输层的任一形式和类型的合适网络驱动器接口，诸如通过传输驱动器接口(TDI)。在一些实施例中，拦截器350连接到诸如传输层的第一协议层和诸如传输协议层之上的任何层的另一个协议层，例如，应用协议层。在一个实施例中，拦截器350可以包括遵守网络驱动器接口规范(NDIS)的驱动器，或者NDIS驱动器。在又一个实施例中，拦截器350可以包括微型过滤器或者微端口驱动器。在一个实施例中，拦截器350或其部分在内核模式202中操作。在又一个实施例中，拦截器350或其部分在用户模式203中操作。在一些实施例中，拦截器350的一部分在内核模式202中操作，而拦截器350的另一部分在用户模式203中操作。在其他实施例中，客户机代理120在用户模式203操作，但通过拦截器350连接到内核模式驱动器、进程、服务、任务或者操作系统的部分，诸如以获取内核级数据结构225。在其他实施例中，拦截器350为用户模式应用或者程序，诸如应用。
在一个实施例中，拦截器350拦截任何的传输层连接请求。在这些实施例中，拦截器350执行传输层应用编程接口(API)调用以设置目的地信息，诸如到期望位置的目的地IP地址和/或端口用于定位。以此方式，拦截器350拦截并重定向传输层连接到由拦截器350或客户机代理120控制或管理的IP地址和端口。在一个实施例中，拦截器350把连接的目的地信息设置为客户机代理120监听的客户机102的本地IP地址和端口。例如，客户机代理120可以包括为重定向的传输层通信监听本地IP地址和端口的代理服务。在一些实施例中，客户机代理120随后将重定向的传输层通信传送到设备200。
在一些实施例中，拦截器350拦截域名服务(DNS)请求。在一个实施例中，客户机代理120和/或拦截器350解析DNS请求。在又一个实施例中，拦截器发送所拦截的DNS请求到设备200以进行DNS解析。在一个实施例中，设备200解析DNS请求并且将DNS响应传送到客户机代理120。在一些实施例中，设备200经另一个设备200’或者DNS服务器106来解析DNS请求。
在又一个实施例中，客户机代理120可以包括两个代理120和120’。在一个实施例中，第一代理120可以包括在网络堆栈310的网络层操作的拦截器350。在一些实施例中，第一代理120拦截网络层请求，诸如因特网控制消息协议(ICMP)请求(例如，查验和跟踪路由)。在其他实施例中，第二代理120’可以在传输层操作并且拦截传输层通信。在一些实施例中，第一代理120在网络堆栈210的一层拦截通信并且与第二代理120’连接或者将所拦截的通信传送到第二代理120’。
客户机代理120和/或拦截器350可以以对网络堆栈310的任何其它协议层透明的方式在协议层操作或与之对接。例如，在一个实施例中，拦截器350可以以对诸如网络层的传输层之下的任何协议层和诸如会话、表示或应用层协议的传输层之上的任何协议层透明的方式在网络堆栈310的传输层操作或与之对接。这允许网络堆栈310的其它协议层如所期望的进行操作并无需修改以使用拦截器350。这样，客户机代理120和/或拦截器350可以与传输层连接以安全、优化、加速、路由或者负载平衡经由传输层承载的任一协议提供的任一通信，诸如TCP/IP上的任一应用层协议。
此外，客户机代理120和/或拦截器可以以对任何应用、客户机102的用户和与客户机102通信的诸如服务器的任何其它计算装置透明的方式在网络堆栈310上操作或与之对接。客户机代理120和/或拦截器350可以以无需修改应用的方式被安装和/或执行在客户机102上。在一些实施例中，客户机102的用户或者与客户机102通信的计算装置未意识到客户机代理120和/或拦截器350的存在、执行或者操作。同样，在一些实施例中，相对于应用、客户机102的用户、诸如服务器的另一个计算装置、或者在由拦截器350连接的协议层之上和/或之下的任何协议层透明地来安装、执行和/或操作客户机代理120和/或拦截器350。
客户机代理120包括加速程序302、流客户机306、收集代理304和/或监控代理197。在一个实施例中，客户机代理120包括由佛罗里达州Fort Lauderdale的Citrix SystemsInc.开发的独立计算架构(ICA)客户机或其任一部分，并且也指ICA客户机。在一些实施例中，客户机代理120包括应用流客户机306，用于从服务器106流式传输应用到客户机102。在一些实施例中，客户机代理120包括加速程序302，用于加速客户机102和服务器106之间的通信。在又一个实施例中，客户机代理120包括收集代理304，用于执行端点检测/扫描并且用于为设备200和/或服务器106收集端点信息。
在一些实施例中，加速程序302包括用于执行一个或多个加速技术的客户机侧加速程序，以加速、增强或者以其他方式改善客户机与服务器106的通信和/或对服务器106的访问，诸如访问由服务器106提供的应用。加速程序302的可执行指令的逻辑、函数和/或操作可以执行一个或多个下列加速技术：1)多协议压缩，2)传输控制协议池，3)传输控制协议多路复用，4)传输控制协议缓冲，以及5)通过高速缓存管理器的高速缓存。另外，加速程序302可执行由客户机102接收和/或发送的任何通信的加密和/或解密。在一些实施例中，加速程序302以集成的方式或者格式执行一个或者多个加速技术。另外，加速程序302可以对作为传输层协议的网络分组的有效载荷所承载的任一协议或者多协议执行压缩。
流客户机306包括应用、程序、进程、服务、任务或者可执行指令，所述应用、程序、进程、服务、任务或者可执行指令用于接收和执行从服务器106所流式传输的应用。服务器106可以流式传输一个或者多个应用数据文件到流客户机306，用于播放、执行或者以其它方式引起客户机102上的应用被执行。在一些实施例中，服务器106发送一组压缩或者打包的应用数据文件到流客户机306。在一些实施例中，多个应用文件被压缩并存储在文件服务器上档案文件中，例如CAB、ZIP、SIT、TAR、JAR或其它档案文件。在一个实施例中，服务器106解压缩、解包或者解档应用文件并且将该文件发送到客户机102。在又一个实施例中，客户机102解压缩、解包或者解档应用文件。流客户机306动态安装应用或其部分，并且执行该应用。在一个实施例中，流客户机306可以为可执行程序。在一些实施例中，流客户机306可以能够启动另一个可执行程序。
收集代理304包括应用、程序、进程、服务、任务或者可执行指令，用于识别、获取和/或收集关于客户机102的信息。在一些实施例中，设备200发送收集代理304到客户机102或者客户机代理120。可以根据设备的策略引擎236的一个或多个策略来配置收集代理304。在其他实施例中，收集代理304发送在客户机102上收集的信息到设备200。在一个实施例中，设备200的策略引擎236使用所收集的信息来确定和提供到网络104的客户机连接的访问、验证和授权控制。
在一个实施例中，收集代理304包括端点检测和扫描机制，其识别并且确定客户机的一个或者多个属性或者特征。例如，收集代理304可以识别和确定任何一个或多个以下的客户机侧属性：1)操作系统和/或操作系统的版本，2)操作系统的服务包，3)运行的服务，4)运行的进程，和5)文件。收集代理304还可以识别并确定客户机上任何一个或多个以下软件的存在或版本：1)防病毒软件；2)个人防火墙软件；3)防垃圾邮件软件，和4)互联网安全软件。策略引擎236可以具有基于客户机或客户机侧属性的任何一个或多个属性或特性的一个或多个策略。
在一些实施例中，客户机代理120包括如结合图1D和2B所讨论的监控代理197。监控代理197可以是诸如Visual Basic或Java脚本的任何类型和形式的脚本。在一个实施例中，监控代理197监控和测量客户机代理120的任何部分的性能。例如，在一些实施例中，监控代理197监控和测量加速程序302的性能。在又一个实施例中，监控代理197监控和测量流客户机306的性能。在其他实施例中，监控代理197监控和测量收集代理304的性能。在又一个实施例中，监控代理197监控和测量拦截器350的性能。在一些实施例中，监控代理197监控和测量客户机102的诸如存储器、CPU和磁盘的任何资源。
监控代理197可以监控和测量客户机的任何应用的性能。在一个实施例中，监控代理197监控和测量客户机102上的浏览器的性能。在一些实施例中，监控代理197监控和测量经由客户机代理120传送的任何应用的性能。在其他实施例中，监控代理197测量和监控应用的最终用户响应时间，例如基于web的响应时间或HTTP响应时间。监控代理197可以监控和测量ICA或RDP客户机的性能。在又一个实施例中，监控代理197测量和监控用户会话或应用会话的指标。在一些实施例中，监控代理197测量和监控ICA或RDP会话。在一个实施例中，监控代理197测量和监控设备200在加速传送应用和/或数据到客户机102的过程中的性能。
在一些实施例中，仍参考图3，第一程序322可以用于自动地、静默地、透明地或者以其它方式安装和/或执行客户机代理120或其部分，诸如拦截器350。在一个实施例中，第一程序322包括插件组件，例如ActiveX控件或Java控件或脚本，其加载到应用并由应用执行。例如，第一程序包括由web浏览器应用载入和运行的ActiveX控件，例如在存储器空间或应用的上下文中。在又一个实施例中，第一程序322包括可执行指令组，该可执行指令组被例如浏览器的应用载入并执行。在一个实施例中，第一程序322包括被设计和构造的程序以安装客户机代理120。在一些实施例中，第一程序322通过网络从另一个计算装置获得、下载、或接收客户机代理120。在又一个实施例中，第一程序322是用于在客户机102的操作系统上安装如网络驱动的程序的安装程序或即插即用管理器。
D.用于提供虚拟化应用传送控制器的系统和方法
现参考图4A，该框图描述虚拟化环境400的一个实施例。总体而言，计算装置100包括管理程序层、虚拟化层和硬件层。管理程序层包括管理程序401(也称为虚拟化管理器)，其通过在虚拟化层中执行的至少一个虚拟机来分配和管理对硬件层中的多个物理资源(例如处理器421和盘428)的访问。虚拟化层包括至少一个操作系统410和分配给至少一个操作系统410的多个虚拟资源。虚拟资源可包括而不限于多个虚拟处理器432a、432b、432c(总称为432)和虚拟盘442a、442b、442c(总称为442)，以及如虚拟存储器和虚拟网络接口的虚拟资源。可将多个虚拟资源和操作系统称为虚拟机406。虚拟机406可包括控制操作系统405，该控制操作系统405与管理程序401通信，并用于执行应用以管理并配置计算装置100上的其他虚拟机。
具体而言，管理程序401可以以模拟可访问物理设备的操作系统的任何方式向操作系统提供虚拟资源。管理程序401可以向任何数量的客户操作系统410a、410b(总称为410)提供虚拟资源。一些实施例中，计算装置100执行一种或多种管理程序。这些实施例中，管理程序可用于模拟虚拟硬件、划分物理硬件、虚拟化物理硬件并执行提供对计算环境的访问的虚拟机。管理程序可包括由位于美国加州的Palo Alto的VMWare制造的这些程序；XEN管理程序(一种开源产品，其开发由开源Xen.org协会监管)；由微软公司提供的HyperV、VirtualServer或虚拟PC管理程序，或其他。一些实施例中，计算装置100执行创建客户操作系统可在其上执行虚拟机平台的管理程序，该计算装置100被称为宿主服务器。在这些实施例的一个中，例如，计算装置100是由位于美国佛罗里达州Fort Lauderdale的CitrixSystems有限公司提供的XEN SERVER。
一些实施例中，管理程序401在计算装置上执行的操作系统之内执行。在这些实施例的一个中，执行操作系统和管理程序401的计算装置可被视为具有宿主操作系统(执行在计算装置上的操作系统)，和客户操作系统(在由管理程序401提供的计算资源分区内执行的操作系统)。其他实施例中，管理程序401和计算装置上的硬件直接交互而不是在宿主操作系统上执行。在这些实施例的一个中，管理程序401可被视为在“裸金属(bare metal)”上执行，所述“裸金属”指包括计算装置的硬件。
一些实施例中，管理程序401可以产生操作系统410在其中执行的虚拟机406a-c(总称为406)。在这些实施例的一个中，管理程序401加载虚拟机映像以创建虚拟机406。在这些实施例的又一个中，管理程序401在虚拟机406内执行操作系统410。仍在这些实施例的又一个中，虚拟机406执行操作系统410。
一些实施例中，管理程序401控制在计算装置100上执行的虚拟机406的处理器调度和内存划分。在这些实施例的一个中，管理程序401控制至少一个虚拟机406的执行。在这些实施例的又一个中，管理程序401向至少一个虚拟机406呈现由计算装置100提供的至少一个硬件资源的抽象。其他实施例中，管理程序401控制是否以及如何将物理处理器能力呈现给虚拟机406。
控制操作系统405可以执行用于管理和配置客户操作系统的至少一个应用。一个实施例中，控制操作系统405可以执行管理应用，如包括如下用户接口的应用，该用户接口为管理员提供对用于管理虚拟机执行的功能的访问，这些功能包括用于执行虚拟机、中止虚拟机执行或者识别要分配给虚拟机的物理资源类型的功能。又一个实施例中，管理程序401在由管理程序401创建的虚拟机406内执行控制操作系统405。又一个实施例中，控制操作系统405在被授权直接访问计算装置100上的物理资源的虚拟机406上执行。一些实施例中，计算装置100a上的控制操作系统405a可以通过管理程序401a和管理程序401b之间的通信与计算装置100b上的控制操作系统405b交换数据。这样，一个或多个计算装置100可以和一个或多个其他计算装置100交换有关处理器或资源池中可用的其他物理资源的数据。在这些实施例的一个中，这种功能允许管理程序管理分布在多个物理计算装置上的资源池。在这些实施例的又一个中，多个管理程序管理在一个计算装置100上执行的一个或多个客户操作系统。
一个实施例中，控制操作系统405在被授权与至少一个客户操作系统410交互的虚拟机406上执行。又一个实施例中，客户操作系统410通过管理程序401和控制操作系统405通信，以请求访问盘或网络。仍在又一个实施例中，客户操作系统410和控制操作系统405可通过由管理程序401建立的通信信道通信，例如，通过由管理程序401提供的多个共享存储器页面。
一些实施例中，控制操作系统405包括用于直接与由计算装置100提供的网络硬件通信的网络后端驱动器。在这些实施例的一个中，网络后端驱动器处理来自至少一个客户操作系统110的至少一个虚拟机请求。其他实施例中，控制操作系统405包括用于与计算装置100上的存储元件通信的块后端驱动器。在这些实施例的一个中，块后端驱动器基于从客户操作系统410接收的至少一个请求从存储元件读写数据。
一个实施例中，控制操作系统405包括工具堆栈404。其他实施例中，工具堆栈404提供如下功能：和管理程序401交互、和其他控制操作系统405(例如位于第二计算装置100b上)通信，或者管理计算装置100上的虚拟机406b、406c。又一个实施例中，工具堆栈404包括自定义应用，其用于向虚拟机群的管理员提供改进的管理功能。一些实施例中，工具堆栈404和控制操作系统405中的至少一个包括管理API，其提供用于远程配置并控制计算装置100上运行的虚拟机406的接口。其他实施例中，控制操作系统405通过工具堆栈404和管理程序401通信。
一个实施例中，管理程序401在由管理程序401创建的虚拟机406内执行客户操作系统410。又一个实施例中，客户操作系统410为计算装置100的用户提供对计算环境中的资源的访问。又一个实施例中，资源包括程序、应用、文档、文件、多个应用、多个文件、可执行程序文件、桌面环境、计算环境或对计算装置100的用户可用的其他资源。又一个实施例中，可通过多个访问方法将资源传送给计算装置100，这些方法包括但不限于：常规的直接在计算装置100上安装、通过应用流的方法传送给计算装置100、将由在第二计算装置100’上执行资源产生的并通过表示层协议传送给计算装置100的输出数据传送给计算装置100、将通过在第二计算装置100’上执行的虚拟机执行资源所产生的输出数据传送给计算装置100、或者从连接到计算装置100的移动存储装置(例如USB设备)执行或者通过在计算装置100上执行的虚拟机执行并且产生输出数据。一些实施例中，计算装置100将执行资源所产生的输出数据传输给另一个计算装置100’。
一个实施例中，客户操作系统410和该客户操作系统410在其上执行的虚拟机结合形成完全虚拟化虚拟机，该完全虚拟化虚拟机并不知道自己是虚拟机，这样的机器可称为“Domain U HVM(硬件虚拟机)虚拟机”。又一个实施例中，完全虚拟化机包括模拟基本输入/输出系统(BIOS)的软件以便在完全虚拟化机中执行操作系统。在又一个实施例中，完全虚拟化机可包括驱动器，其通过和管理程序401通信提供功能。这样的实施例中，驱动器可意识到自己在虚拟化环境中执行。又一个实施例中，客户操作系统410和该客户操作系统410在其上执行的虚拟机结合形成超虚拟化(paravirtualized)虚拟机，该超虚拟化虚拟机意识到自己是虚拟机，这样的机器可称为“Domain U PV虚拟机”。又一个实施例中，超虚拟化机包括完全虚拟化机不包括的额外驱动器。又一个实施例中，超虚拟化机包括如上所述的被包含在控制操作系统405中的网络后端驱动器和块后端驱动器。
现参考图4B，框图描述了系统中的多个联网计算装置的一个实施例，其中，至少一个物理主机执行虚拟机。总体而言，系统包括管理组件404和管理程序401。系统包括多个计算装置100、多个虚拟机406、多个管理程序401、多个管理组件(又称为工具堆栈404或者管理组件404)以及物理资源421、428。多个物理机器100的每一个可被提供为如上结合图1E-1H和图4A描述的计算装置100。
具体而言，物理盘428由计算装置100提供，存储至少一部分虚拟盘442。一些实施例中，虚拟盘442和多个物理盘428相关联。在这些实施例的一个中，一个或多个计算装置100可以与一个或多个其他计算装置100交换有关处理器或资源池中可用的其他物理资源的数据，允许管理程序管理分布在多个物理计算装置上的资源池。一些实施例中，将虚拟机406在其上执行的计算装置100称为物理主机100或主机100。
管理程序在计算装置100上的处理器上执行。管理程序将对物理盘的访问量分配给虚拟盘。一个实施例中，管理程序401分配物理盘上的空间量。又一个实施例中，管理程序401分配物理盘上的多个页面。一些实施例中，管理程序提供虚拟盘442作为初始化和执行虚拟机450进程的一部分。
一个实施例中，将管理组件404a称为池管理组件404a。又一个实施例中，可以称为控制管理系统405a的管理操作系统405a包括管理组件。一些实施例中，将管理组件称为工具堆栈。在这些实施例的一个中，管理组件是上文结合图4A描述的工具堆栈404。其他实施例中，管理组件404提供用户接口，用于从如管理员的用户接收要供应和/或执行的虚拟机406的标识。仍在其他实施例中，管理组件404提供用户接口，用于从如管理员的用户接收将虚拟机406b从一个物理机器100迁移到另一物理机器的请求。在进一步的实施例中，管理组件404a识别在其上执行所请求的虚拟机406d的计算装置100b并指示所识别的计算装置100b上的管理程序401b执行所识别的虚拟机，这样，可将管理组件称为池管理组件。
现参考图4C，描述了虚拟应用传送控制器或虚拟设备450的实施例。总体而言，上文结合图2A和2B描述的设备200的任何功能和/或实施例(例如应用传送控制器)可以部署在上文结合图4A和4B描述的虚拟化环境的任何实施例中。应用传送控制器的功能不是以设备200的形式部署，而是将该功能部署在诸如客户机102、服务器106或设备200的任何计算装置100上的虚拟化环境400中。
现在参考图4C，描述了在服务器106的管理程序401上操作的虚拟设备450的实施例的框图。如图2A和2B的设备200一样，虚拟机450可以提供可用性、性能、卸载和安全的功能。对于可用性，虚拟设备可以执行网络第4层和第7层之间的负载平衡并执行智能服务健康监控。对于通过网络流量加速实现的性能增加，虚拟设备可以执行缓存和压缩。对于任何服务器的卸载处理，虚拟设备可以执行连接复用和连接池和/或SSL处理。对于安全，虚拟设备可以执行设备200的任何应用防火墙功能和SSL VPN功能。
结合附图2A描述的设备200的任何模块可以虚拟化设备传送控制器450的形式被打包、组合、设计或构造，虚拟化设备传送控制器450可部署成在诸如流行的服务器这样的任何服务器上的虚拟化环境300或非虚拟化环境中执行的软件模块或组件。例如，可以安装在计算装置上的安装包的形式提供虚拟设备。参考图2A，可以将高速缓存管理器232、策略引擎236、压缩238、加密引擎234、分组引擎240、GUI 210、CLI 212、壳服务214中的任一个设计和构成在计算装置和/或虚拟化环境300的任何操作系统上运行的组件或模块。虚拟化设备400不使用设备200的加密处理器260、处理器262、存储器264和网络堆栈267，而是可使用虚拟化环境400提供的任何这些资源或者服务器106上以其他方式可用的这些资源。
仍参考图4C，简言之，任何一个或多个vServer 275A-275N可以操作或执行在任意类型的计算装置100(如服务器106)的虚拟化环境400中。结合附图2B描述的设备200的任何模块和功能可以设计和构造成在服务器的虚拟化或非虚拟化环境中操作。可以将vServer275、SSL VPN 280、内网UP282、交换装置284、DNS 286、加速装置288、APP FW 280和监控代理中的任一个打包、组合、设计或构造成应用传送控制器450的形式，应用传送控制器450可部署成在装置和/或虚拟化环境400中执行的一个或多个软件模块或组件。
一些实施例中，服务器可以在虚拟化环境中执行多个虚拟机406a-406b，每个虚拟机运行虚拟应用传送控制器450的相同或不同实施例。一些实施例中，服务器可以在多核处理系统的一个核上执行一个或多个虚拟机上的一个或多个虚拟设备450。一些实施例中，服务器可以在多处理器装置的每个处理器上执行一个或多个虚拟机上的一个或多个虚拟设备450。
E.提供多核架构的系统和方法
根据摩尔定律，每两年集成电路上可安装的晶体管的数量会基本翻倍。然而，CPU速度增加会达到一个稳定的水平(plateaus)，例如，2005年以来，CPU速度在约3.5-4GHz的范围内。一些情况下，CPU制造商可能不依靠CPU速度增加来获得额外的性能。一些CPU制造商会给处理器增加附加核以提供额外的性能。依靠CPU获得性能改善的如软件和网络供应商的产品可以通过利用这些多核CPU来改进他们的性能。可以重新设计和/或编写为单CPU设计和构造的软件以利用多线程、并行架构或多核架构。
一些实施例中，称为nCore或多核技术的设备200的多核架构允许设备打破单核性能障碍并利用多核CPU的能力。前文结合图2A描述的架构中，运行单个网络或分组引擎。nCore技术和架构的多核允许同时和/或并行地运行多个分组引擎。通过在每个核上运行分组引擎，设备架构利用附加核的处理能力。一些实施例中，这提供了高达七倍的性能改善和扩展性。
图5A示出根据一类并行机制或并行计算方案(如功能并行机制、数据并行机制或基于流的数据并行机制)在一个或多个处理器核上分布的工作、任务、负载或网络流量的一些实施例。总体而言，图5A示出如具有n个核的设备200'的多核系统的实施例，n个核编号为1到N。一个实施例中，工作、负载或网络流量可以分布在第一核505A、第二核505B、第三核505C、第四核505D、第五核505E、第六核505F、第七核505G等上，这样，分布位于所有n个核505N(此后统称为核505)或n个核中的两个或多个上。可以有多个VIP 275，每个运行在多个核中的相应的核上。可以有多个分组引擎240，每个运行在多个核的相应的核。所使用任何方法可产生多个核中任一核上的不同的、变化的或类似的工作负载或性能级别515。对于功能并行方法，每个核运行由分组引擎、VIP 275或设备200提供的多个功能的不同功能。在数据并行方法中，数据可基于接收数据的网络接口卡(NIC)或VIP275并行或分布在核上。又一个数据并行方法中，可通过将数据流分布在每个核上而将处理分布在核上。
图5A的进一步的细节中，一些实施例中，可以根据功能并行机制500将负载、工作或网络流量在多个核505间分布。功能并行机制可基于执行一个或多个相应功能的每个核。一些实施例中，第一核可执行第一功能，同时第二核执行第二功能。功能并行方法中，根据功能性将多核系统要执行的功能划分并分布到每个核。一些实施例中，可将功能并行机制称为任务并行机制，并且可在每个处理器或核对同一数据或不同数据执行不同进程或功能时实现。核或处理器可执行相同或不同的代码。一些情况下，不同的执行线程或代码可在工作时相互通信。可以进行通信以将数据作为工作流的一部分从一个线程传递给下一线程。
一些实施例中，根据功能并行机制500将工作分布在核505上，可以包括根据特定功能分布网络流量，所述特定功能例如为网络输入/输出管理(NW I/O)510A、安全套接层(SSL)加密和解密510B和传输控制协议(TCP)功能510C。这会产生基于所使用的功能量或功能级别的工作、性能或者计算负载515。一些实施例中，根据数据并行机制540将工作分布在核505上可包括基于与特定的硬件或软件组件相关联的分布数据来分布工作量515。一些实施例中，根据基于流的数据并行机制520将工作分布在核505上可包括基于上下文或流来分布数据，从而使得每个核上的工作量515A-N可以类似、基本相等或者相对平均分布。
在功能并行方法的情况下，可以配置每个核来运行由设备的分组引擎或VIP提供的多个功能中的一个或多个功能。例如，核1可执行设备200’的网络I/O处理，同时核2执行设备的TCP连接管理。类似地，核3可执行SSL卸载，同时核4可执行第7层或应用层处理和流量管理。每个核可执行相同或不同的功能。每个核可执行不只一个功能。任一核可运行结合附图2A和2B识别和/或描述的功能或其一部分。该方法中，核上的工作可以粗粒度或细粒度方式按功能划分。一些情况下，如图5A所示，按功能划分会使得不同核运行在不同的性能或负载级别515。
在功能并行方法的情况下，可以配置每个核来运行由设备的分组引擎提供的多个功能中的一个或多个功能。例如，核1可执行设备200’的网络I/O处理，同时核2执行设备的TCP连接管理。类似地，核3可执行SSL卸载，同时核4可执行第7层或应用层处理和流量管理。每个核可执行相同或不同的功能。每个核可执行不只一个功能。任何核可运行结合附图2A和2B识别和/或描述的功能或其一部分。该方法中，核上的工作可以粗粒度或细粒度方式按功能划分。一些情况下，如图5A所示，按功能划分会使得不同核运行在不同的性能或负载级别。
可以用任何结构或方案来分布功能或任务。例如，图5B示出用于处理与网络I/O功能510A相关联的应用和进程的第一核Core1 505A。一些实施例中，与网络I/O相关联的网络流量可以和特定的端口号相关联。因而，将具有与NW I/O 510A相关联的端口目的地的发出和到来的分组导引给Core1 505A，该Core1 505A专用于处理与NW I/O端口相关联的所有网络流量。类似的，Core2 505B专用于处理与SSL处理相关联的功能，Core4 505D可专用于处理所有TCP级处理和功能。
虽然图5A示出如网络I/O、SSL和TCP的功能，也可将其他功能分配给核。这些其他功能可包括此处描述的任一或多个功能或操作。例如，结合图2A和2B描述的任何功能可基于功能基础分布在核上。一些情况下，第一VIP 275A可运行在第一核上，同时，具有不同配置的第二VIP 275B可运行在第二核上。一些实施例中，每个核505可处理特定功能，这样每个核505可处理与该特定功能相关联的处理。例如，Core2 505B可处理SSL卸载，同时Core4505D可处理应用层处理和流量管理。
其他实施例中，可根据任何类型或形式的数据并行机制540将工作、负载或网络流量分布在核505上。一些实施例中，可由每个核对分布式数据的不同片执行相同任务或功能来实现多核系统中的数据并行机制。一些实施例中，单个执行线程或代码控制对所有数据片的操作。其他实施例中，不同线程或指令控制操作，但是可执行相同代码。一些实施例中，从分组引擎、vServer(VIP)275A-C、网络接口卡(NIC)542D-E和/或设备200上包括的或者与设备200相关联的任何其他网络硬件或软件的角度实现数据并行机制。例如，每个核可运行同样的分组引擎或VIP代码或配置但是在不同的分布式数据集上进行操作。每个网络硬件或软件结构可接收不同的、变化的或者基本相同量的数据，因而可以具有变化的、不同的或相对相同量的负载515。
在数据并行方法的情况下，可以基于VIP、NIC和/或VIP或NIC的数据流来划分和分布工作。在这些的方法的一个中，可通过使每个VIP在分布的数据集上工作来将多核系统的工作划分或者分布在VIP中。例如，可配置每个核运行一个或多个VIP。网络流量可分布在处理流量的每个VIP的核上。在这些方法的又一个中，可基于哪个NIC接收网络流量来将设备的工作划分或分布在核上。例如，第一NIC的网络流量可被分布到第一核，同时第二NIC的网络流量可被分布给第二核。一些情况下，核可处理来自多个NIC的数据。
虽然图5A示出了与单个核505相关联的单个vServer，正如VIP1 275A、VIP2 275B和VIP3 275C的情况。但是，一些实施例中，单个vServer可以与一个或者多个核505相关联。相反，一个或多个vServer可以与单个核505相关联。将vServer与核505关联可包括该核505处理与该特定vServer关联的所有功能。一些实施例中，每个核执行具有相同代码和配置的VIP。其他实施例中，每个核执行具有相同代码但配置不同的VIP。一些实施例中，每个核执行具有不同代码和相同或不同配置的VIP。
和vServer类似，NIC也可以和特定的核505关联。许多实施例中，NIC可以连接到一个或多个核505，这样，当NIC接收或传输数据分组时，特定的核505处理涉及接收和传输数据分组的处理。一个实施例中，单个NIC可以与单个核505相关联，正如NIC1 542D和NIC2542E的情况。其他实施例中，一个或多个NIC可以与单个核505相关联。但其他实施例中，单个NIC可以与一个或者多个核505相关联。这些实施例中，负载可以分布在一个或多个核505上，使得每个核505基本上处理类似的负载量。与NIC关联的核505可以处理与该特定NIC关联的所有功能和/或数据。
虽然根据VIP或NIC的数据将工作分布在核上具有某种程度的独立性，但是，一些实施例中，这会造成如图5A的变化负载515所示的核的不平衡的使用。
一些实施例中，可根据任何类型或形式的数据流将负载、工作或网络流量分布在核505上。在这些方法的又一个中，可基于数据流将工作划分或分布在多个核上。例如，客户机或服务器之间的经过设备的网络流量可以被分布到多个核中的一个核并且由其处理。一些情况下，最初建立会话或连接的核可以是该会话或连接的网络流量所分布的核。一些实施例中，数据流基于网络流量的任何单元或部分，如事务、请求/响应通信或来自客户机上的应用的流量。这样，一些实施例中，客户机和服务器之间的经过设备200’的数据流可以比其他方式分布的更均衡。
在基于流的数据并行机制520中，数据分布和任何类型的数据流相关，例如请求/响应对、事务、会话、连接或应用通信。例如，客户机或服务器之间的经过设备的网络流量可以被分布到多个核中的一个核并且由其处理。一些情况下，最初建立会话或连接的核可以是该会话或连接的网络流量所分布的核。数据流的分布可以使得每个核505运行基本相等或相对均匀分布的负载量、数据量或网络流量。
一些实施例中，数据流基于网络流量的任何单元或部分，如事务、请求/响应通信或源自客户机上的应用的流量。这样，一些实施例中，客户机和服务器之间的经过设备200’的数据流可以比其他方式分布的更均衡。一个实施例中，可以基于事务或一系列事务分布数据量。一些实施例中，该事务可以是客户机和服务器之间的，其特征可以是IP地址或其他分组标识符。例如，核1 505A可专用于特定客户机和特定服务器之间的事务，因此，核1505A上的负载515A可包括与特定客户机和服务器之间的事务相关联的网络流量。可通过将源自特定客户机或服务器的所有数据分组路由到核1 505A来将网络流量分配给核1 505A。
虽然可部分地基于事务将工作或负载分布到核，但是，其他实施例中，可基于每个分组的基础分配负载或工作。这些实施例中，设备200可拦截数据分组并将数据分组分配给负载量最小的核505。例如，由于核1上的负载515A小于其他核505B-N上的负载515B-N，所以设备200可将第一到来的数据分组分配给核1 505A。将第一数据分组分配给核1 505A后，核1 505A上的负载量515A与处理第一数据分组所需的处理资源量成比例增加。设备200拦截到第二数据分组时，设备200会将负载分配给核4 505D，这是由于核4 505D具有第二少的负载量。一些实施例中，将数据分组分配给负载量最小的核可确保分布到每个核505的负载515A-N保持基本相等。
其他实施例中，将一部分网络流量分配给特定核505的情况下，可以每单元为基础分配负载。上述示例说明以每分组为基础进行负载平衡。其他实施例中，可以基于分组数目分配负载，例如，将每10个、100个或1000个分组分配给流量最少的核505。分配给核505的分组数量可以是由应用、用户或管理员确定的数目，而且可以为大于零的任何数。仍在其他实施例中，基于时间指标分配负载，使得在预定时间段将分组分布到特定核505。这些实施例中，可以在5毫秒内或者由用户、程序、系统、管理器或其他方式确定的任何时间段将分组分布到特定核505。预定时间段过去后，在预定时间段内将时间分组传输给不同的核505。
用于将工作、负载或网络流量分布在一个或多个核505上的基于流的数据并行方法可包括上述实施例的任意组合。这些方法可以由设备200的任何部分执行，由在核505上执行的应用或者一组可执行指令执行，例如分组引擎，或者由在与设备200通信的计算装置上执行的任何应用、程序或代理执行。
图5A所示的功能和数据并行机制计算方案可以任何方式组合，以产生混合并行机制或分布式处理方案，其包括功能并行机制500、数据并行机制540、基于流的数据并行机制520或者其任何部分。一些情况下，多核系统可使用任何类型或形式的负载平衡方案来将负载分布在一个或多个核505上。负载平衡方案可以和任何功能和数据平行方案或其组合结合使用。
图5B示出多核系统545的实施例，该系统可以是任何类型或形式的一个或多个系统、设备、装置或组件。一些实施例中，该系统545可被包括在具有一个或多个处理核505A-N的设备200内。系统545还可包括与存储器总线556通信的一个或多个分组引擎(PE)或分组处理引擎(PPE)548A-N。存储器总线可用于与一个或多个处理核505A-N通信。系统545还可包括一个或多个网络接口卡(NIC)552和流分布器550，流分布器还可与一个或多个处理核505A-N通信。流分布器550可包括接收侧调整器(Receiver Side Scaler-RSS)或接收侧调整(Receiver Side Scaling-RSS)模块560。
进一步参考图5B，具体而言，一个实施例中，分组引擎548A-N可包括此处所述的设备200的任何部分，例如图2A和2B所述设备的任何部分。一些实施例中，分组引擎548A-N可包括任何下列的元件：分组引擎240、网络堆栈267、高速缓存管理器232、策略引擎236、压缩引擎238、加密引擎234、GUI 210、CLI212、壳服务214、监控程序216以及能够从数据总线556或一个或多个核505A-N中的任一个接收数据分组的其他任何软件和硬件元件。一些实施例中，分组引擎548A-N可包括一个或多个vServer 275A-N或其任何部分。其他实施例中，分组引擎548A-N可提供以下功能的任意组合：SSL VPN 280、内部网IP282、交换284、DNS 286、分组加速288、APP FW 280、如由监控代理197提供的监控、和作为TCP堆栈关联的功能、负载平衡、SSL卸载和处理、内容交换、策略评估、高速缓存、压缩、编码、解压缩、解码、应用防火墙功能、XML处理和加速以及SSL VPN连接。
一些实施例中，分组引擎548A-N可以与特定服务器、用户、客户或网络关联。分组引擎548与特定实体关联时，分组引擎548可处理与该实体关联的数据分组。例如，如果分组引擎548与第一用户关联，那么该分组引擎548将对由第一用户产生的分组或者目的地址与第一用户关联的分组进行处理和操作。类似地，分组引擎548可选择不与特定实体关联，使得分组引擎548可对不是由该实体产生的或目的是该实体的任何数据分组进行处理和以其他方式进行操作。
一些实例中，可将分组引擎548A-N配置为执行图5A所示的任何功能和/或数据并行方案。这些实例中，分组引擎548A-N可将功能或数据分布在多个核505A-N上，从而使得分布是根据并行机制或分布方案的。一些实施例中，单个分组引擎548A-N执行负载平衡方案，其他实施例中，一个或多个分组引擎548A-N执行负载平衡方案。一个实施例中，每个核505A-N可以与特定分组引擎548关联，使得可以由分组引擎执行负载平衡。在该实施例中，负载平衡可要求与核505关联的每个分组引擎548A-N和与核关联的其他分组引擎通信，使得分组引擎548A-N可共同决定将负载分布在何处。该过程的一个实施例可包括从每个分组引擎接收对于负载的投票的仲裁器。仲裁器可部分地基于引擎投票的持续时间将负载分配给每个分组引擎548A-N，一些情况下，还可基于与在引擎关联的核505上的当前负载量相关联的优先级值来将负载分配给每个分组引擎548A-N。
核上运行的任何分组引擎可以运行于用户模式、内核模式或其任意组合。一些实施例中，分组引擎作为在用户空间或应用空间中运行的应用或程序来操作。这些实施例中，分组引擎可使用任何类型或形式的接口来访问内核提供的任何功能。一些实施例中，分组引擎操作于内核模式中或作为内核的一部分来操作。一些实施例中，分组引擎的第一部分操作于用户模式中，分组引擎的第二部分操作于内核模式中。一些实施例中，第一核上的第一分组引擎执行于内核模式中，同时，第二核上的第二分组引擎执行于用户模式中。一些实施例中，分组引擎或其任何部分对NIC或其任何驱动器进行操作或者与其联合操作。
一些实施例中，存储器总线556可以是任何类型或形式的存储器或计算机总线。虽然在图5B中描述了单个存储器总线556，但是系统545可包括任意数量的存储器总线556。一个实施例中，每个分组引擎548可以和一个或者多个单独的存储器总线556相关联。
一些实施例中，NIC 552可以是此处所述的任何网络接口卡或机制。NIC 552可具有任意数量的端口。NIC可设计并构造成连接到任何类型和形式的网络104。虽然示出单个NIC 552，但是，系统545可包括任意数量的NIC 552。一些实施例中，每个核505A-N可以与一个或多个单个NIC 552关联。因而，每个核505可以与专用于特定核505的单个NIC 552关联。核505A-N可包括此处所述的任何处理器。此外，可根据此处所述的任何核505配置来配置核505A-N。另外，核505A-N可具有此处所述的任何核505功能。虽然图5B示出七个核505A-G，但是系统545可包括任意数量的核505。具体而言，系统545可包括N个核，其中N是大于零的整数。
核可具有或使用被分配或指派用于该核的存储器。可将存储器视为该核的专有或本地存储器并且仅有该核可访问该存储器。核可具有或使用共享的或指派给多个核的存储器。该存储器可被视为由不只一个核可访问的公共或共享存储器。核可使用专有或公共存储器的任何组合。通过每个核的单独的地址空间，消除了使用同一地址空间的情况下的一些协调级别。利用单独的地址空间，核可以对核自己的地址空间中的信息和数据进行工作，而不用担心与其他核冲突。每个分组引擎可以具有用于TCP和/或SSL连接的单独存储器池。
仍参考图5B，上文结合图5A描述的核505的任何功能和/或实施例可以部署在上文结合图4A和4B描述的虚拟化环境的任何实施例中。不是以物理处理器505的形式部署核505的功能，而是将这些功能部署在诸如客户机102、服务器106或设备200的任何计算装置100的虚拟化环境400内。其他实施例中，不是以设备或一个装置的形式部署核505的功能，而是将该功能部署在任何布置的多个装置上。例如，一个装置可包括两个或多个核，另一个装置可包括两个或多个核。例如，多核系统可包括计算装置的集群、服务器群或计算装置的网络。一些实施例中，不是以核的形式部署核505的功能，而是将该功能部署在多个处理器上，例如部署多个单核处理器上。
一个实施例中，核505可以为任何形式或类型的处理器。一些实施例中，核的功能可以基本类似此处所述的任何处理器或中央处理单元。一些实施例中，核505可包括此处所述的任何处理器的任何部分。虽然图5A示出7个核，但是，设备200内可以有任意N个核，其中N是大于1的整数。一些实施例中，核505可以安装在公用设备200内，其他实施例中，核505可以安装在彼此通信连接的一个或多个设备200内。一些实施例中，核505包括图形处理软件，而其他实施例中，核505提供通用处理能力。核505可彼此物理靠近地安装和/或可彼此通信连接。可以用以物理方式和/或通信方式耦合到核的任何类型和形式的总线或子系统连接核，用于向核、从核和/或在核之间传输数据。
尽管每个核505可包括用于与其他核通信的软件，一些实施例中，核管理器(未示出)可有助于每个核505之间的通信。一些实施例中，内核可提供核管理。核可以使用各种接口机制彼此接口或通信。一些实施例中，可以使用核到核的消息传输来在核之间通信，比如，第一核通过连接到核的总线或子系统向第二核发送消息或数据。一些实施例中，核可通过任何种类或形式的共享存储器接口通信。一个实施例中，可以存在在所有核中共享的一个或多个存储器单元。一些实施例中，每个核可以具有和每个其他核共享的单独存储器单元。例如，第一核可具有与第二核的第一共享存储器，以及与第三核的第二共享存储器。一些实施例中，核可通过任何类型的编程或API(如通过内核的函数调用)来通信。一些实施例中，操作系统可识别并支持多核装置，并提供用于核间通信的接口和API。
流分布器550可以是任何应用、程序、库、脚本、任务、服务、进程或在任何类型或形式的硬件上执行的任何类型和形式的可执行指令。一些实施例中，流分布器550可以是用于执行此处所述任何操作和功能的任何电路设计或结构。一些实施例中，流分布器分布、转发、路由、控制和/或管理多个核505上的数据和/或在核上运行的分组引擎或VIP的分布。一些实施例中，可将流分布器550称为接口主装置(interface master)。一个实施例中，流分布器550包括在设备200的核或处理器上执行的一组可执行指令。又一个实施例中，流分布器550包括在与设备200通信的计算机器上执行的一组可执行指令。一些实施例中，流分布器550包括在如固件的NIC上执行的一组可执行指令。其他实施例，流分布器550包括用于将数据分组分布在核或处理器上的软件和硬件的任何组合。一个实施例中，流分布器550在至少一个核505A-N上执行，而在其他实施例中，分配给每个核505A-N的单独的流分布器550在相关联的核505A-N上执行。流分布器可使用任何类型和形式的统计或概率算法或决策来平衡多个核上的流。可以将如NIC的设备硬件或内核设计或构造成支持NIC和/或核上的顺序操作。
在系统545包括一个或多个流分布器550的实施例中，每个流分布器550可以与处理器505或分组引擎548关联。流分布器550可包括允许每个流分布器550和在系统545内执行的其他流分布器550通信的接口机制。一个实例中，一个或多个流分布器550可通过彼此通信确定如何平衡负载。该过程的操作可以基本与上述过程类似，即将投票提交给仲裁器，然后仲裁器确定哪个流分布器550应该接收负载。其他实施例中，第一流分布器550’可识别所关联的核上的负载并基于任何下列标准确定是否将第一数据分组转发到所关联的核：所关联的核上的负载大于预定阈值；所关联的核上的负载小于预定阈值；所关联的核上的负载小于其他核上的负载；或者可以用于部分基于处理器上的负载量来确定将数据分组转发到何处的任何其他指标。
流分布器550可以根据如此处所述的分布、计算或负载平衡方法而将网络流量分布在核505上。一个实施例中，流分布器可基于功能并行机制分布方案550、数据并行机制负载分布方案540、基于流的数据并行机制分布方案520或这些分布方案的任意组合或用于将负载分布在多个处理器上的任何负载平衡方案来分布网络流量。因而，流分布器550可通过接收数据分组并根据操作的负载平衡或分布方案将数据分组分布在处理器上而充当负载分布器。一个实施例中，流分布器550可包括用于确定如何相应地分布分组、工作或负载的一个或多个操作、函数或逻辑。又一个实施例中，流分布器550可包括可识别与数据分组关联的源地址和目的地址并相应地分布分组的一个或多个子操作、函数或逻辑。
一些实施例中，流分布器550可包括接收侧调整(RSS)网络驱动器模块560或将数据分组分布在一个或多个核505上的任何类型和形式的可执行指令。RSS模块560可以包括硬件和软件的任意组合。一些实施例中，RSS模块560和流分布器550协同工作以将数据分组分布在核505A-N或多处理器网络中的多个处理器上。一些实施例中，RSS模块560可在NIC552中执行，其他实施例中，可在核505的任何一个上执行。
一些实施例中，RSS模块560使用微软接收侧调整(RSS)方法。一个实施例中，RSS是微软可扩展网络主动技术(Microsoft Scalable Networking initiative technology)，其使得系统中的多个处理器上的接收处理是平衡的，同时保持数据的顺序传送。RSS可使用任何类型或形式的哈希方案来确定用于处理网络分组的核或处理器。
RSS模块560可应用任何类型或形式的哈希函数，如Toeplitz哈希函数。哈希函数可应用到哈希类型值或者任何值序列。哈希函数可以是任意安全级别的安全哈希或者是以其他方式加密。哈希函数可使用哈希关键字(hash key)。关键字的大小取决于哈希函数。对于Toeplitz哈希，用于IPv6的哈希关键字大小为40字节，用于IPv4的哈希关键字大小为16字节。
可以基于任何一个或多个标准或设计目标设计或构造哈希函数。一些实施例中，可使用为不同的哈希输入和不同哈希类型提供均匀分布的哈希结果的哈希函数，所述不同哈希输入和不同哈希类型包括TCP/IPv4、TCP/IPv6、IPv4和IPv6头部。一些实施例中，可使用存在少量桶时(例如2个或4个)提供均匀分布的哈希结果的哈希函数。一些实施例中，可使用存在大量桶时(例如64个桶)提供随机分布的哈希结果的哈希函数。在一些实施例中，基于计算或资源使用水平来确定哈希函数。在一些实施例中，基于在硬件中实现哈希的难易度来确定哈希函数。在一些实施例中，基于用恶意的远程主机发送将全部哈希到同一桶中的分组的难易度来确定哈希函数。
RSS可从任意类型和形式的输入来产生哈希，例如值序列。该值序列可包括网络分组的任何部分，如网络分组的任何头部、域或载荷或其一部分。一些实施例中，可将哈希输入称为哈希类型，哈希输入可包括与网络分组或数据流关联的任何信息元组，例如下面的类型：包括至少两个IP地址和两个端口的四元组、包括任意四组值的四元组、六元组、二元组和/或任何其他数字或值序列。以下是可由RSS使用的哈希类型示例：
-源TCP端口、源IP版本4(IPv4)地址、目的TCP端口和目的IPv4地址的四元组。
-源TCP端口、源IP版本6(IPv6)地址、目的TCP端口和目的IPv6地址的四元组。
-源IPv4地址和目的IPv4地址的二元组。
-源IPv6地址和目的IPv6地址的二元组。
-源IPv6地址和目的IPv6地址的二元组，包括对解析IPv6扩展头部的支持。
哈希结果或其任何部分可用于识别用于分布网络分组的核或实体，如分组引擎或VIP。一些实施例中，可向哈希结果应用一个或者多个哈希位或掩码。哈希位或掩码可以是任何位数或字节数。NIC可支持任意位，例如7位。网络堆栈可在初始化时设定要使用的实际位数。位数介于1和7之间，包括端值。
可通过任意类型和形式的表用哈希结果来识别核或实体，例如通过桶表(buckettable)或间接表(indirection table)。一些实施例中，用哈希结果的位数来索引表。哈希掩码的范围可有效地限定间接表的大小。哈希结果的任何部分或哈希结果自身可用于索引间接表。表中的值可标识任何核或处理器，例如通过核或处理器标识符来标识。一些实施例中，表中标识多核系统的所有核。其他实施例中，表中标识多核系统的一部分核。间接表可包括任意多个桶，例如2到128个桶，可以用哈希掩码索引这些桶。每个桶可包括标识核或处理器的索引值范围。一些实施例中，流控制器和/或RSS模块可通过改变间接表来重新平衡网络负载。
一些实施例中，多核系统575不包括RSS驱动器或RSS模块560。在这些实施例的一些中，软件操控模块(未示出)或系统内RSS模块的软件实施例可以和流分布器550共同操作或者作为流分布器550的一部分操作，以将分组引导到多核系统575中的核505。
一些实施例中，流分布器550在设备200上的任何模块或程序中执行，或者在多核系统575中包括的任何一个核505和任一装置或组件上执行。一些实施例中，流分布器550’可在第一核505A上执行，而在其他实施例中，流分布器550”可在NIC 552上执行。其他实施例中，流分布器550’的实例可在多核系统575中包括的每个核505上执行。该实施例中，流分布器550’的每个实例可和流分布器550’的其他实例通信以在核505之间来回转发分组。存在这样的状况，其中，对请求分组的响应不是由同一核处理的，即第一核处理请求，而第二核处理响应。这些情况下，流分布器550’的实例可以拦截分组并将分组转发到期望的或正确的核505，即流分布器550’可将响应转发到第一核。流分布器550’的多个实例可以在任意数量的核505或核505的任何组合上执行。
流分布器可以响应于任一个或多个规则或策略而操作。规则可识别接收网络分组、数据或数据流的核或分组处理引擎。规则可识别和网络分组有关的任何类型和形式的元组信息，例如源和目的IP地址以及源和目的端口的四元组。基于所接收的匹配规则所指定的元组的分组，流分布器可将分组转发到核或分组引擎。一些实施例中，通过共享存储器和/或核到核的消息传输将分组转发到核。
虽然图5B示出了在多核系统575中执行的流分布器550，但是，一些实施例中，流分布器550可执行在位于远离多核系统575的计算装置或设备上。这样的实施例中，流分布器550可以和多核系统575通信以接收数据分组并将分组分布在一个或多个核505上。一个实施例中，流分布器550接收以设备200为目的地的数据分组，向所接收的数据分组应用分布方案并将数据分组分布到多核系统575的一个或多个核505。一个实施例中，流分布器550可以被包括在路由器或其他设备中，这样路由器可以通过改变与每个分组关联的元数据而以特定核505为目的地，从而每个分组以多核系统575的子节点为目的地。这样的实施例中，可用CISCO的vn-tag机制来改变或标记具有适当元数据的每个分组。
图5C示出包括一个或多个处理核505A-N的多核系统575的实施例。简言之，核505中的一个可被指定为控制核505A并可用作其他核505的控制平面570。其他核可以是次级核，其工作于数据平面，而控制核提供控制平面。核505A-N共享全局高速缓存580。控制核提供控制平面，多核系统中的其他核形成或提供数据平面。这些核对网络流量执行数据处理功能，而控制核提供对多核系统的初始化、配置和控制。
仍参考图5C，具体而言，核505A-N以及控制核505A可以是此处所述的任何处理器。此外，核505A-N和控制核505A可以是能在图5C所述系统中工作的任何处理器。另外，核505A-N可以是此处所述的任何核或核组。控制核可以是与其他核不同类型的核或处理器。一些实施例中，控制核可操作不同的分组引擎或者具有与其他核的分组引擎配置不同的分组引擎。
每个核的存储器的任何部分可以被分配给或者用作核共享的全局高速缓存。简而言之，每个核的每个存储器的预定百分比或预定量可用作全局高速缓存。例如，每个核的每个存储器的50％可用作或分配给共享全局高速缓存。也就是说，所示实施例中，除了控制平面核或核1以外的每个核的2GB可用于形成28GB的共享全局高速缓存。例如通过配置服务而配置控制平面可确定用于共享全局高速缓存的存储量(the amount of memory)。一些实施例中，每个核可提供不同的存储量供全局高速缓存使用。其他实施例中，任一核可以不提供任何存储器或不使用全局高速缓存。一些实施例中，任何核也可具有未分配给全局共享存储器的存储器中的本地高速缓存。每个核可将网络流量的任意部分存储在全局共享高速缓存中。每个核可检查高速缓存来查找要在请求或响应中使用的任何内容。任何核可从全局共享高速缓存获得内容以在数据流、请求或响应中使用。
全局高速缓存580可以是任意类型或形式的存储器或存储元件，例如此处所述的任何存储器或存储元件。一些实施例中，核505可访问预定的存储量(即32GB或者与系统575相当的任何其他存储量)。全局高速缓存580可以从预定的存储量分配而来，同时，其余的可用存储器可在核505之间分配。其他实施例中，每个核505可具有预定的存储量。全局高速缓存580可包括分配给每个核505的存储量。该存储量可以字节为单位来测量，或者可用分配给每个核505的存储器百分比来测量。因而，全局高速缓存580可包括来自与每个核505关联的存储器的1GB存储器，或者可包括和每个核505关联的存储器的20％或一半。一些实施例，只有一部分核505提供存储器给全局高速缓存580，而在其他实施例，全局高速缓存580可包括未分配给核505的存储器。
每个核505可使用全局高速缓存580来存储网络流量或缓存数据。一些实施例中，核的分组引擎使用全局高速缓存来缓存并使用由多个分组引擎所存储的数据。例如，图2A的高速缓存管理器和图2B的高速缓存功能可使用全局高速缓存来共享数据以用于加速。例如，每个分组引擎可在全局高速缓存中存储例如HTML数据的响应。操作于核上的任何高速缓存管理器可访问全局高速缓存来将高速缓存响应提供给客户请求。
一些实施例中，核505可使用全局高速缓存580来存储端口分配表，其可用于部分基于端口确定数据流。其他实施例中，核505可使用全局高速缓存580来存储地址查询表或任何其他表或列表，流分布器可使用这些表来确定将到来的数据分组和发出的数据分组导向何处。一些实施例中，核505可以读写高速缓存580，而其他实施例中，核505仅从高速缓存读或者仅向高速缓存写。核可使用全局高速缓存来执行核到核通信。
可以将全局高速缓存580划分成各个存储器部分，其中每个部分可专用于特定核505。一个实施例中，控制核505A可接收大量的可用高速缓存，而其他核505可接收对全局高速缓存580的变化的访问量。
一些实施例中，系统575可包括控制核505A。虽然图5C将核1 505A示为控制核，但是，控制核可以是设备200或多核系统中的任何一个核。此外，虽然仅描述了单个控制核，但是，系统575可包括一个或多个控制核，每个控制核对系统有某种程度的控制。一些实施例中，一个或多个控制核可以各自控制系统575的特定方面。例如，一个核可控制决定使用哪种分布方案，而另一个核可确定全局高速缓存580的大小。
多核系统的控制平面可以是将一个核指定并配置成专用的管理核或者作为主核。控制平面核可对多核系统中的多个核的操作和功能提供控制、管理和协调。控制平面核可对多核系统中的多个核上存储器系统的分配和使用提供控制、管理和协调，这包括初始化和配置存储器系统。一些实施例中，控制平面包括流分布器，用于基于数据流控制数据流到核的分配以及网络分组到核的分配。一些实施例中，控制平面核运行分组引擎，其他实施例中，控制平面核专用于系统的其他核的控制和管理。
控制核505A可对其他核505进行某种级别的控制，例如，确定将多少存储器分配给每个核505，或者确定应该指派哪个核来处理特定功能或硬件/软件实体。一些实施例中，控制核505A可以对控制平面570中的这些核505进行控制。因而，控制平面570之外可存在不受控制核505A控制的处理器。确定控制平面570的边界可包括由控制核505A或系统575中执行的代理维护由控制核505A控制的核的列表。控制核505A可控制以下的任一个：核初始化、确定核何时不可用、一个核出故障时将负载重新分配给其他核505、决定实现哪个分布方案、决定哪个核应该接收网络流量、决定应该给每个核分配多少高速缓存、确定是否将特定功能或元件分布到特定核、确定是否允许核彼此通信、确定全局高速缓存580的大小以及对系统575内的核的功能、配置或操作的任何其他确定。
F.用于提供分布式集群架构的系统和方法
如在前面的部分所讨论的，为克服晶体管间隔的限制以及CPU速度增加，许多CPU制造商已结合多核CPU来提高性能，超过了甚至单核更高速CPU能达到的性能。可通过操作一起作为分布式或集群式设备的多个(单核或多核)设备来得到相似或更进一步的性能改进。独立的计算装置或设备可被称为集群的节点。集中式管理系统可执行负载平衡、分布、配置或者允许节点一起操作作为单个计算系统的其他任务。在许多实施例中，在外部或者对于其他装置(包括服务器和客户机)来说，虽然具有超过典型独立设备的性能，集群可被看作是单个虚拟设备或计算装置。
现参考图6，描述了计算装置集群或设备集群600的实施例。可将多个诸如台式计算机、服务器、机架式服务器、刀片式服务器或任何其他类型和形式的计算装置的设备200a-200n或者其他计算装置(有时称作节点)加入单个设备集群600。尽管被称为设备集群，但在许多实施例中，该集群可作为应用服务器、网络存储服务器、备份服务器或者不限于任何其他类型的计算装置进行操作。在许多实施例中，设备集群600可被用于执行设备200、WAN优化装置、网络加速装置或上述其他装置的多个功能。
在一些实施例中，设备集群600可包括计算装置的同构集合，如相同的设备、一个或多个机箱内的刀片式服务器、台式或机架式计算装置或者其他装置。在其他实施例中，设备集群600可包括装置的异构或混合集合，包括不同型号的设备、混合的设备和服务器，或者计算装置的任何其他集合。这样可允许随着时间的过去例如用新型号或装置来扩展或升级设备集群600。
在一些实施例中，如上所述，设备集群600的每个计算装置或设备200可包括多核设备。在许多这样的实施例中，除了本文讨论的节点管理和分布方法之外，可由每个独立设备利用上文讨论的核管理和流分布方法。这可被看作是双层分布式系统，其中一个设备包含数据且将该数据分布到多个节点，并且每个节点包含用于处理的数据且将该数据分布到多个核。因此，在该实施例中，节点分布系统不需要管理对于独立核的流分布，因为可由如上所述的主或控制核来负责。
在许多实施例中，可将设备集群600物理地聚合，例如在一个机箱中的多个刀片式服务器或者在单个机架中的多个机架式装置，但在其他实施例中，设备集群600可分布在多个机箱、多个机架、数据中心中的多个房间、多个数据中心或者任何其他物理布置中。因此，设备集群600可被认为是经由共同配置、管理和目的聚合的虚拟设备，而不是物理组。
在一些实施例中，可将设备集群600连接到一个或多个网络104、104’。例如，暂时返回参考图1A，在一些实施例中，可在连接到一个或多个客户机102的网络104和连接到一个或多个服务器106的网络104’之间部署设备200。可以类似地部署设备集群600以作为单个设备来操作。在许多实施例中，这样可能不需要在设备集群600之外的任何网络拓扑改变，允许轻松地安装或者从单个设备场景进行扩展。在其他实施例中，可如图1B-1D所示的或如上文所述类似地部署设备集群600。在其他实施例中，设备集群可包括由一个或多个服务器执行的多个虚拟机或者进程。例如，在一个这样的实施例中，服务器群可执行多个虚拟机，每个虚拟机被配置成设备200，并且多个虚拟机作为设备集群600协同操作。在其他实施例中，设备集群600可包括设备200或者被配置成设备200的虚拟机的混合。在一些实施例中，可地理分布设备集群600，其中多个设备200不位于一处。例如，返回参考图6，在一个这样的实施例中，第一设备200a可位于第一站点(如数据中心)，并且第二设备200b可位于第二站点(如中心局或企业总部)。在进一步的实施例中，可通过专用网络(如T1或T3点到点连接)、VPN或者任何其他类型和形式的网络来连接该地理上的远程设备。因此，与位于一处的设备200a-200b相比，尽管可能存在额外的通信延迟，但可能具有在站点电源故障或通信中断情况下的可靠性、可扩展性或者其他效益的好处。在一些实施例中，可通过数据流的地理或基于网络的分布来减少延迟问题。例如，尽管被配置成设备集群600，可将来自客户机和企业总部的服务器的通信定向到在站点处部署的设备200b、可由位置来衡量负载平衡，或者可采取类似步骤来减轻任何延迟。
仍参考图6，设备集群600可经由客户机数据平面602连接到网络。在一些实施例中，客户机数据平面602可包括在客户机和设备集群600之间传输数据的通信网络，如网络104。在一些实施例中，客户机数据平面602可包括交换机、集线器、路由器或者桥接外部网络104和设备集群600的多个设备200a-200n的其他网络装置。例如，在一个这样的实施例中，路由器可连接到外部网络104，并且连接到每个设备200a-200n的网络接口。在一些实施例中，该路由器或交换机可被称为接口管理器，并且还可以被配置为跨应用集群600中的节点均匀地分布流量。因此，在许多实施例中，接口主装置(master)可包括在设备集群600外部的流分布器。在其他实施例中，接口主装置可包括设备200a-200n中的一个。例如，第一设备200a可充当接口主装置，为设备集群600接收进入的流量，并且跨设备200b-200n中的每一个分布该流量。在一些实施例中，返回流量可类似地经由充当接口主装置的第一设备200a从设备200b-200n中的每一个流过。在其他实施例中，可将来自设备200b-200n中的每一个的返回流量直接或经由外部路由器、交换机或其他装置传输到网络104、104’。在一些实施例中，不充当接口主装置的设备集群的设备200可被称为接口从装置。
接口主装置可采用多种方式中的任何一种来执行负载平衡或业务流分布。例如，在一些实施例中，接口主装置可包括执行用集群的设备或节点配置的下一跳的等价多路径(ECMP)路由的路由器。接口主装置可使用开放最短路径优先(OSPF)。在一些实施例中，接口主装置可使用基于无状态哈希的机制来用于流量分布，例如，如上文所述的基于IP地址或其他分组信息元组的哈希。可以为跨节点的均匀分布来选择哈希密钥和/或盐值。在其他实施例中，接口主装置可经由链路聚合(LAG)协议或者任何其他类型和形式的流分布、负载平衡和路由来执行流分布。
在一些实施例中，设备集群600可经由服务器数据平面604连接到网络。类似于客户机数据平面602，服务器数据平面604可包括在服务器和设备集群600之间传输数据的通信网络，如网络104’。在一些实施例中，服务器数据平面604可包括交换机、集线器、路由器，或者桥接外部网络104’和设备集群600的多个设备200a-200n的其他网络装置。例如，在一个这样的实施例中，路由器可连接到外部网络104’，并且连接到每个设备200a-200n的网络接口。在许多实施例中，每个设备200a-200n可包括多个网络接口，第一网络接口连接到客户机数据平面602并且第二网络接口连接到服务器数据平面604。这可以提供额外的安全性，并且通过使设备集群600充当中间装置阻止了客户机和服务器网络的直接相接。在其他实施例中，可合并或组合客户机数据平面602和服务器数据平面604。例如，可将设备集群600部署为在具有客户机102和服务器106的网络上的非中间节点。如上文所讨论的，在许多实施例中，可在服务器数据平面604上部署接口主装置，以便将来自服务器和网络104’的通信路由和分布到设备集群的每个设备。在许多实施例中，可将用于客户机数据平面602的接口主装置和用于服务器数据平面604的接口从装置类似配置为执行如上文所述的ECMP或LAG协议。
在一些实施例中，可经由内部通信网络或后平面(back plane)606连接设备集群600中的每个设备200a-200n。后平面606可包括用于节点间或设备间控制和配置消息以及用于节点间流量转发的通信网络。例如，在其中第一设备200a经由网络104与客户机通信并且第二设备200b经由网络104’与服务器通信的一个实施例中，客户机和服务器之间的通信可以从客户机流向第一设备、从第一设备经由后平面606流向第二设备，并且从第二设备流向服务器，反之亦然。在其他实施例中，后平面606可传输配置消息(如接口暂停或重置命令)、策略更新(如过滤或压缩策略)、状态消息(如缓冲器状态、吞吐量或出错消息)，或者任何其他类型和形式的节点间通信。在一些实施例中，可由集群中的所有节点共享RSS密钥或哈希密钥，并且可经由后平面606传输RSS密钥或哈希密钥。例如，第一节点或主节点可(例如在启动或引导时)选择RSS密钥，并且可分发该密钥以由其他节点使用。在一些实施例中，后平面606可包括在每个设备200的网络接口之间的网络，并且可包括路由器、交换机或其他网络装置(未示出)。因此，在一些实施例中并且如上文所述，可在设备集群600和网络104之间部署客户机数据平面602的路由器、可在设备集群600和网络104’之间部署服务器数据平面604的路由器，以及可将后平面606的路由器部署为设备集群600的部分。每个路由器可连接到每个设备200的不同网络接口。在其他实施例中，可组合一个或多个平面602-606，或者可将路由器或交换机分成多个LAN或VLAN，以便连接到设备200a-200n的不同接口并且同时提供多个路由功能，从而减少复杂性或者从系统中排除额外的装置。
在一些实施例中，控制平面(未示出)可将配置和控制流量从管理员或用户传送到设备集群600。在一些实施例中，控制平面可以是第四物理网络，而在其他实施例中，控制平面可包括VPN、隧道或者经由平面602-606中的一个的通信。因此，在一些实施例中，控制平面可被认为是虚拟通信平面。在其他实施例中，管理员可通过单独的接口来提供配置和控制，该接口例如是串行通信接口(如RS-232)、USB通信接口或者任何其他类型和形式的通信。在一些实施例中，设备200可包括用于管理的接口，例如具有按钮和显示的前平面、用于经由网络104、104’或后平面606进行配置的web服务器，或者任何其他类型和形式的接口。
在一些实施例中，如上文所讨论的，设备集群600可包括内部流分布。例如，这样可允许节点对于外部装置来说透明地加入/离开。为避免对于该变化需要反复地重新配置外部流分布器，一节点或设备可充当接口主装置或分布器，以将网络分组引导到集群600内的正确节点。例如，在一些实施例中，当节点离开集群时(例如在故障时、重置时或类似情况下)，外部ECMP路由器可识别节点中的变化，并且可以重新处理所有流，从而重新分布流量。这会导致断开和重置所有连接。当节点重新加入时，会出现相同的断开和重置。在一些实施例中，为了可靠性，设备集群600内的两个设备或节点可经由连接镜像来接收来自外部路由器的通信。
在许多实施例中，设备集群600的节点之间的流分布可使用上文所述的用于设备的核之间的流分布的任何方法。例如，在一个实施例中，主设备、主节点或接口主装置可对进入的流量计算RSS哈希(如Toeplitz哈希)，并且查询关于该哈希的偏好列表或分布表。在许多实施例中，流分布器可在转发流量时向接收设备提供该哈希。这可以消除对节点重新计算用于将流分布到核的哈希的需要。在许多这样的实施例中，用来计算用于在设备之间分布的哈希的RSS密钥可包括与用来计算用于在核之间分布的哈希的密钥相同的密钥，该密钥可被称为全局RSS密钥，其允许重复使用所计算的哈希。在一些实施例中，可以用输入的包括端口号的传输层头部、包括IP地址的互联网层头部或者任何其他分组头部信息的元组来计算该哈希。在一些实施例中，可将分组主体信息用于该哈希。例如，在其中一种协议的流量被封装在另一种协议的流量内的一个实施例中(例如，经由无损TCP头部封装的有损UDP流量)，流分布器可基于被封装协议的头部(例如UDP头部)而不是封装协议(例如TCP头部)来计算该哈希。类似地，在其中分组被封装且被加密或者被压缩的一些实施例中，流分布器可在解密或解压缩后基于负载分组的头部计算哈希。在其他实施例中，节点可具有内部IP地址，如用于配置或管理的目的。不需要哈希和分布去往这些IP地址的流量，而是可将该流量转发到拥有目的地址的节点。例如，设备可具有为了配置或管理的目的在IP地址1.2.3.4处运行的web服务器或其他服务器，并且在一些实施例中，可向流分布器将该地址注册为其内部IP地址。在其他实施例中，流分布器可以向设备集群600内的每个节点分配内部IP地址。可以直接转发从外部客户机或服务器(例如由管理员使用的工作站)到来的、定向到设备的内部IP地址(1.2.3.4)的流量，而不需要进行哈希。
G.用于提供支持运营商级NAT的网络服务的系统和方法
本公开的实施例描述将包括流量管理服务、安全和优化的高级网络服务与运营商级NAT联合使用的系统和方法。在一些实现中，运营商级NAT，又称为大规模NAT(large-scale NAT,LSN)，是一种针对IPv4网络设计的方法，其中诸如住宅网络之类的端站点被配置为具有私有网络地址，该私有网络地址通过在多个客户机与多个服务器之间的中间装置(例如网络运营者的网络)中嵌入的中间件(middlebox)网络地址转换器装置被转换为公共IPv4地址。以这样的方式，允许在多个端站点之间共享小的公共地址池。这将NAT功能及其配置从端站点转移到了中间装置。
可以OSI模型的传输层、会话层、表示层和/或应用层上提供高级网络服务。流量管理服务可包括负载平衡和内容交换。安全服务可包括应用防火墙和内容过滤器。优化服务可包括压缩。
可以在内部网络(例如私有网)与外部网络(例如互联网)之间的中间装置上提供运营商级NAT。流量可以是入站的，即源自外部网络且路由至内部网络，或者可以是出站的，即源自内部网络且路由至外部网络。流量也可以是U字形流量，源自内部网络且路由至该内部网络中的另一装置。
本公开的实施例提供运营商级NAT特征与单个系统上配置的网络服务的逻辑服务链接。该配置的网络服务可执行类似HTTP头部操作的较高网络层处理，或者重载(override)由运营商级NAT执行的一些或全部转换。可以将服务配置为用于(在指定的或通配的IP/端口上的)一些或全部NAT流量和支持处理所有NAT流量类型，包括源自私有网络的流量或出站流量，源自互联网的流量或入站流量以及U字形流量。
对于新的流，在多个客户机与多个服务器之间的以及在一个或多个私有网络与一个或多个公共网络之间的中间装置可以响应于接收到分组来根据配置的NAT策略创建轻量级NAT会话。这样的装置的示例可以是图2A中所示的设备200。接着，该中间装置可以对收到的分组的各种分组参数(例如IP地址端口)进行匹配以查找服务。如果没有任何服务匹配，该中间装置使用NAT会话信息使该分组经历IP地址和端口转换，并将转换后的分组传输至该分组的预期目的地。而另一方面，如果中间装置匹配到已经为这个流配置的一个或多个服务，那么该中间装置可以创建新的协议控制块(PCB，protocol control block)会话。该新的PCB可以保存不同层的状态，包括完整的TCP状态、应用层状态等。根据服务类型和流量方向，中间装置可以使用来自NAT会话的信息创建该新的PCB会话与该NAT会话之间的链接。对于出站流量，该中间装置可以使用转换后的IP地址和端口信息来创建该链接。对于入站流量，该中间装置可以使用目的地私有IP地址和端口信息来创建该链接。对于U字形流量，该中间装置可以使用转换后的IP、转换后的端口、私有IP地址和私有端口信息的组合来创建该链接。某些服务可以动态地分配新的NAT会话以用于映射/过滤绑定。服务还可以指定要用于转换的参数，例如使用特定的NAT IP。对于后续分组，该中间装置可以使用PCB会话参数进行分组转换。对于与NAT会话关联的连接，服务可以施加某些限制以确保正确的NAT行为。例如，仅在分组来自于相匹配的转换后IP地址和端口的情况下才允许服务器侧连接重用。某些服务可以执行NAT特定的功能，例如更新统计数据。
在一些实施例中，PCB会话和NAT会话可以不出现在同一地址空间中。在多核系统中，PCB会话可以在核私有存储器中，而NAT会话可以存在于共享存储器中。中间装置可以使用引用计数和标志来维持链接。PCB会话可以高速缓存经常访问的来自NAT会话的信息。
现参考图7A，描述了用于提供支持运营商级NAT的网络服务的方法的实施例的流程图。总的来说，该方法700包括装置接收输入分组(步骤701)，该装置将该输入分组与NAT规则进行匹配(步骤702)，以及该装置执行NAT会话查找和分配(步骤703)。该方法还可以包括该装置查找服务(步骤704)，该装置执行NAT转换并输出分组(步骤705)，该装置针对客户机处理服务(步骤706)，以及该装置执行服务转换并输出分组(步骤707)。
在步骤701，该装置可以接收输入分组。该装置可以处于多个客户机与多个服务器的中间。该输入分组可以是入站、出站或U字形流量。该输入分组可包括源和目的地信息，例如源IP、源端口、目的IP地址和目的端口。
在步骤702，该装置可以将输入分组与NAT规则进行匹配。在一些实现中，NAT规则可以是访问控制列表(ACL,access control list)，该ACL包括许可或拒绝分组通过该设备的访问控制条目。NAT规则可以指定源IP、源端口、源IP地址掩码、目的IP、目的端口、目的掩码及其他分组参数中的一个或多个。NAT规则还可指定转换方向，即入站和/或出站流量。U字形流量可以即是入站又是出站流量。
在步骤703，该装置可以查找NAT会话以及为新的会话分配存储器。该装置可使用诸如哈希表或数组之类的查找表进行查找。该查找表可包括与已经被分配的现有NAT会话对应的条目。对于新的流，NAT会话查找的结果可能是没有找到NAT会话，此时该装置可以为该新的流分配新的NAT会话并且用与该新的NAT会话对应的条目更新该查找表。当创建了新的NAT会话时，该装置可以将一个或多个服务与该NAT会话相关联，这里所创建的服务可以是通过一个或多个NAT策略预先定义的。网络服务可以是第4层至第7层服务，包括传输层、会话层、表示层和应用层服务。网络服务可包括流量管理、安全和优化服务。在一些实例中，该NAT会话查找的结果可能是与之前已被分配的现有NAT会话对应的条目。
在步骤704，该装置可以查找服务。该装置可使用在步骤703找到或分配的NAT会话来进行该查找。在一些实例，该NAT会话可以不关联任何服务。在其他实例，该NAT会话可以关联一个或多个服务。该装置可以通过发现在NAT会话与一个或多个PCB会话之间的一个或多个链接来进行服务查找。该装置可以保存与该NAT会话的链接或者与该NAT会话关联的链接。
在步骤705，如果没有任何服务被找到，那么该装置可以对于输入分组执行NAT转换并可以输出经转换的分组。在一些实现中，该装置可以根据一个或多个NAT转换规则、表格和/或映射来修改源IP、源端口、目的IP和目的端口中的一个或多个。在一些实现中，该装置可以通过一个或多个网络将经转换的分组路由至目的IP地址。
在步骤706，如果在步骤704找到了一个或多个服务，该装置可以执行服务处理。在一些实现中，该服务处理可以是针对客户机装置而执行的。结合图7B对该服务处理进行更详细的描述。
在步骤707，该装置可以执行服务转换并输出分组。服务转换可包括NAT转换，例如结合步骤705介绍的NAT转换。服务转换还可包括来自服务的一个或多个转换。例如，服务可以是负载平衡服务，其改变入站分组的目的IP地址，使得该分组可以在比该分组的原始服务器目的地具有更低负载的不同的服务器装置处被接收。
现参考图7B，描述了关于支持运营商级NAT的服务处理的方法的实施例的流程图。总的来说，该方法720包括装置接收输入分组(步骤701’)，该装置将该输入分组与NAT规则进行匹配(步骤702’)，以及该装置执行NAT会话查找和分配(步骤703’)。该方法还可包括装置可以成功地进行服务查找(步骤704’)，该装置对于入站NAT确定服务是否定义了目的地(步骤721)，以及该装置使用私有IP地址和端口作为关于该服务的目的地(步骤722)。该方法还可包括该装置对于出站NAT确定该服务是否动态地获知目的地或需要探测(步骤723)，该装置使用NAT IP地址和端口作为源来探测服务目的地(步骤724)，以及该装置分配客户机侧连接结构(步骤725)。该方法还可包括装置分配或重用服务器侧连接结构(步骤726)，以及该装置输出已经被隐式地转换的分组(步骤727)。
在步骤701’，装置可以接收输入分组，与结合图7A描述的步骤701类似。该装置可以是设备200，和中间装置。该输入分组可以是入站的、出站的或U字形的。该输入分组可包括分组参数。
在步骤702’，该装置可以将该输入分组与NAT规则进行匹配，与结合图7A描述的步骤702类似。NAT规则可指定入站和/或出站流量。NAT规则可以被匹配至输入分组，并且可以将NAT方向标记在该分组上。NAT方向可以是入站的和/或出站的。NAT方向可以是转换方向。
在步骤703’，该装置可以执行NAT会话查找和分配，与结合图7A描述的步骤703类似。可以使用查找表来进行NAT会话查找。如果没有找到NAT会话，可以分配新的NAT会话。
在步骤704’，该装置可以成功地执行服务查找，与结合图7A描述的步骤704类似。可以找到通过链接关联于NAT会话的一个或多个服务。
在步骤721，对于入站NAT，该装置可以确定该服务是否没有定义目的地。可以针对入站和U字形流量执行这个步骤。可以基于在步骤702’标记的NAT方向来执行这个步骤。对于出站NAT可以跳过这个步骤，且该方法可以继续至步骤723。例如在使用通配IP地址的情况下，入站NAT和服务可以不定义目的地。例如，服务可以使用通配符或掩码来指定入站目的IP地址。如果定义了目的地，该方法继续至步骤723。否则，该方法继续至步骤722。
在步骤722，如果该装置确定入站NAT服务没有定义目的地，该装置可以使用私有IP地址和端口作为该服务的目的地。该装置可以自NAT会话查找获得该私有IP地址和端口。在一些实现中，该NAT会话查找可以类似于结合图7A中步骤705所描述的NAT转换。接着，该方法可以继续至步骤723。
在步骤723，对于出站NAT，该装置可以确定该服务是否动态地获知目的地或者需要探测。可以针对出站和U字形流量执行这个步骤。可以基于在步骤702’标记的NAT方向来执行这个步骤。对于出站NAT可以跳过这个步骤，并且该方法可以继续至步骤726。对于U字形流量，出站NAT和/或服务可以指定目的地，该目的地可以被动态地转换成可由外部网络(例如互联网)或内部网和设备路由的地址。该出站NAT和/或服务可以使用内部IP地址指定该目的地，可以使用全局地址池中的IP地址对该内部IP地址进行动态地转换。该装置可以定期地检验该动态地获知的出站目的地，以确定该流(即该连接)是否仍然是活动的且需要被保持。该装置可以保存每个动态转换的地址与计时器或时间戳，该计时器或时间戳可以被引用或更新以确定是否需要探测该连接。如果该服务动态地获知目的地或需要探测，该方法继续至步骤724。否则，该方法继续至步骤725。
在步骤724，该装置可以使用NAT IP地址和端口作为源地址来探测服务的目的地。在一些实现中，NAT IP地址和端口可以自输入分组的头部获得。在一些实现中，NAT IP地址和端口可以自步骤703’中的NAT会话查找来获得。在一些实例中，NAT IP地址和端口可以用于动态地获知目的地址。在其他实例中，可以探测该NAT IP地址和NAT端口以确定该流是否还是活动的。在其他实例中，该NAT IP地址和端口可以用于确定可被探测的目的地址。探测可包括通过ping命令或以其他方式发送分组至目的地址或NAT IP地址和NAT端口，以确定连接是否还活着或活动。该探测的结果可以用于更新定时器或时间戳，该定时器或时间戳确定是否需要探测服务目的地。
在步骤725，该装置可以为入站NAT分配客户机侧连接结构。在一些实现中，客户机侧连接结构可以是客户机侧协议控制块(PCB)。PCB可以保存完整的TCP状态、应用层状态、关于套接字连接的信息，以及与网络层和/或流关联的任何其他状态。对于入站流量，该PCB可以保存目的地私有IP地址和端口。对于U字形流量，该PCB可以保存转换后的IP地址和端口以及目的IP地址和端口的组合。在一些实现中，对于入站NAT，该装置可以采用关于该NAT会话的引用。该引用可以用于在PCB和NAT会话之间创建链接。采用该引用还可以增加与客户机侧PCB关联的引用计数。
在步骤726，该装置可以为出站NAT分配或重用服务器侧连接结构。在一些实现中，服务器侧连接结构可以是服务器侧PCB。对于出站流量，该服务器侧PCB可保存转换后的IP地址和端口。对于U字形流量，该PCB可以保存转换后的IP地址和端口以及目的IP地址和端口的组合。在一些实现中，对于出站NAT，该装置可以采用关于NAT会话的引用。该引用可以用于在PCB和NAT会话之间创建链接以及增加与该PCB关联的引用计数。如果在步骤723中动态获知目的地或探测失败，那么该装置可以分配新的PCB。反之，如果在步骤724中探测是成功的，那么该装置可以重用PCB。在其他实现中，策略可以指定重用服务器侧连接。
在步骤727，该装置可以输出分组。通过该方法中介绍的步骤，该分组的地址会被隐式地转换。可以将该分组从客户机传送给服务器侧连接，并且反之亦然。该分组可以是U字形的。
H.用于多核系统上运营商级NAT会话管理的系统和方法
本公开的实施例描述了用于在多核系统上提供可扩展的和有效的运营商级NAT会话管理的系统和方法。在一些实施例中，在运营商级规模上，该用于NAT会话管理的系统和方法在多核系统上可以节省内存。
在多个客户机与多个服务器中间的装置可以为每个流分配单个会话结构，该会话结构在出站和入站两个方向都可以使用。该装置可以使用哈希表来有效查找会话。该装置可以将该单个会话结构插入到两个哈希表中。该装置可以将该单个会话结构与第一关键字一起插入到第一哈希表中，该第一关键字是对出站参数的哈希。出站参数的示例可包括订户IP、订户端口、目的IP和目的端口。对于出站流量，订户可以指发送分组的客户机装置。该装置还可以将该单个会话结构与第二关键字一起插入到第二哈希表中，该第二关键字是对入站参数的哈希。入站参数的示例可包括目的IP、目的端口、NAT IP和NAT端口。NAT IP地址和NAT端口还可以被称为公共IP地址和公共端口，或外部IP地址和外部端口。对于入站流量，NAT IP地址和NAT端口可以是从在内部网络外部的装置角度看的目的IP地址和目的端口。
类似接收侧调整(RSS)的流量分布方法可以在多核系统的两个核上分布关于同一流的入站和出站流量。在一些实现中，可以将出站和入站流量都分布至一个核。在使用两个核的实例中，两个核都需要相同的关于转换的会话信息。由于该信息在创建了会话之后可以为只读，所以可以使用这两个核都可访问的共享会话。该共享会话可以是从共享存储器中分配的，该共享存储器可被映射至多核系统的所有核。然而，为了有效地分配和计帐，可以给核指定由其分配的存储器的所有权。每个核还分配所需的资源，例如NAT IP地址和NAT端口。
多核装置可以将会话结构插入到由当前方向的相应第一核所拥有的存储器中的哈希表。例如，如果流是源自私有网络，该装置可以将会话结构插入到由指定给出站流量的核所拥有的存储器中的哈希表。该装置可以经由诸如负载平衡之类的某种计算、随机挑选核、算法或一组规则来为反向流量指定第二核。如果该装置确定第二核与第一核相同，该装置可以将第二会话关键字插入至该反向流量的第一核所拥有的存储器中的哈希表。反之，如果该装置确定第二核不同于第一核，该装置可以将会话结构插入针对该反方向的全局哈希表中。当第二核收到与该反向流量对应的分组时，该装置或在一些实施例中该第二核可以在该全局哈希表中执行查找并将会话结构插入到由该反方向的第二核所拥有的存储器中的哈希表。对于全局哈希表的所有查找和插入需要进行同步，这可以使用锁来进行。
在一些实施例中，NAT可以支持订户IP地址和订户端口与转换后IP地址和转换后端口之间的绑定，以提供类似完全锥形(full-cone)NAT(也称为一对一NAT)的特征。可选地，该装置可以通过映射和过滤行为来配置要创建的绑定。映射和过滤行为可以独立于端点，依赖于地址或依赖于地址与端口。例如，如果映射和过滤行为是独立于端点的，该装置可以使用二元组以供映射查找。如果映射和过滤行为是依赖于地址与端口的，该装置可以使用三元组以供映射查找。如果映射和过滤行为是依赖于地址的，该装置可以使用一元组以进行地址查找。
该装置可以通过根据需要将会话结构插入至额外的映射/过滤哈希表中来对于二元组和三元组绑定重用同一会话结构。该装置可以将可被插入到这些额外的映射/过滤哈希表中的会话标记为这些绑定的所有者。使用同一绑定信息的其他会话增加对该哈希表中条目的引用计数。新的会话可以部分地或全部地使用该哈希表中可用的现有绑定。该装置可以使用可立即应用于新会话的配置来改变流量的NAT类型。
该装置可以使用用于为流创建会话、映射和过滤的分段式算法。在查找阶段，该装置首先发现最高匹配。可以按会话匹配、接着是映射(出站流量)匹配或过滤(入站流量)匹配的次序来定义最高匹配。根据查找阶段的结果，该装置可以在创建阶段获取新的资源。新的资源可包括存储器和端口。
对于出站流，该装置在插入阶段可以首先可选地将映射插入至相应映射哈希表中，然后将会话结构插入至相应会话哈希表中。对于入站流，该装置在插入阶段可以首先将过滤插入至相应过滤哈希表中，然后将会话结构插入至相应会话哈希表中。在一些实现中，该装置可以将每个核与入站会话哈希表和出站会话哈希表相关联。每个哈希表可以驻留在由相应核拥有的存储位置中。
在每个插入阶段，该装置可以执行三个任务，即插入哈希表中，调用下一阶段，以及处理来自后续阶段的返回代码。当处理返回代码时，该装置可以还原在插入任务期间所做的改变，或者简单地返回要在别处处理的代码。
图8A为用于多核系统上可扩展的和有效的运营商级NAT会话管理的系统800的实施例的框图。该系统800可以在前面介绍的一个或多个设备200上实现。该系统800包括多个分组引擎，其包括第一分组引擎801和一个或多个额外的分组引擎804a-n。该系统800还可包括共享存储器805。该共享存储器805可包括一个或多个表806-810和选自IP地址池的一个或多个IP地址813a-n，每个IP地址包括共享端口表。
该多个分组引擎可以类似于前文介绍的分组引擎240。在一些实现中，该多个分组引擎可以是32位分组引擎。该多个分组引擎可以被配置为访问代码段和共享存储器805。一个或多个额外的分组引擎804a-n可以被配置成多核系统的一个或多个核。
第一分组引擎801可以包括输入模块802，其可接收输入分组。该输入模块802可访问、发送、写入至共享存储器805。在一些实现中，输入模块802可以远跳转至共享存储器805中。第一分组引擎801还可以包括输出模块803，其可输出分组。该输出模块803可从共享存储器805进行读取和访问共享存储器805。该输出模块803可返回NAT IP地址和端口。该输出模块803可以使用返回的NAT IP地址和端口进行服务处理、转换地址以及如结合图7A-B所描述的路由分组。
该共享存储器805可包括多个分组引擎表806、808、共享会话结构809和全局会话哈希表810。共享存储器还可包括一个或多个IP地址813a-n。
包括分组参数和其他会话信息的共享会话结构809可以在诸如分组引擎表806、808和全局会话哈希表810之类的多个表格之间进行共享。每个分组引擎表806可包括本地会话807，其可以是共享会话结构809的本地副本。每个分组引擎表806可以由诸如分组引擎801和804a-n之类的特定分组引擎所拥有。共享会话结构809或该结构的副本可以被存储在全局会话哈希表810中。在一些实现中，映射/过滤查找可以使用全局共享哈希表810。表806、808、810中的一个或多个可以访问一个或多个IP地址813a-n。来自IP地址813a-n的信息可以用于创建共享会话结构809以及将会话812插入到该一个或多个表806、808、810中。IP地址813a-n中的每一个或共享端口表814中的每个端口可以对应于一个流或一个绑定。
图8B为用于多核系统上出站流和分配的方法的实施例的流程图。总的来说，该方法820包括由核接收输入分组(步骤821)，该核确定该分组要被转换(步骤822)，该核复制来自分组头部的参数(步骤823)，以及该核基于四元组执行会话查找(步骤824)。该方法还可包括该核确定返回了成功(步骤825)，该核继续进行服务查找和NAT(步骤826)，该核丢弃该分组(步骤827)以及该核为会话和映射分配结构(步骤828)。该方法还可包括该核可选地基于二元组或三元组进行映射查找(步骤829)，该核复制NAT IP地址和NAT端口(步骤830)，该核将会话结构插入哈希表中(步骤831)，以及该核使用已经存在的会话并释放当前资源(步骤832)。该方法还可包括该核可选地基于一元组源IP地址执行成对池化(paired-pooled)地址查找(步骤833)，该核在NAT IP地址上分配端口(步骤834)，该核可选地将映射插入到映射哈希表中(步骤835)，以及该核使用已经存在的映射并增加对应的引用计数(步骤836)。该方法还可包括该核选择NAT IP地址和分配端口(步骤837)，该核可选地插入地址池化(步骤838)，以及该核使用已经存在的成对IP地址并增加对应的引用计数(步骤839)。
在步骤821，多核装置的核可以接收输入分组。该分组可以是入站的或出站的。该核可以被配置为执行结合图8A所述的分组引擎801。在一些实现中，该接收核可以将该输入分组转发给第一核，该第一核执行如结合图8A所述的额外的分组引擎804的其中一个。
在步骤822，第一核确定该分组要进行转换。在一些实现中，该分组可以被确定为出站。第一核可以确定该分组的源地址可以被转换。在一些实现中，该核可以使用该源IP地址来确定该分组可能是出站。在一些实现中，第一核确定该分组可能是入站并且目的地址可以被转换。
在步骤823，第一核可以复制来自该分组头部的参数。该分组头部可包括源IP、源端口、目的IP和目的端口。该参数可以被复制到临时存储器或共享存储器。在一些实现中，第一核可以对共享存储器函数进行调用。在一些实现中，该共享存储器函数可以为64位函数。该共享存储器函数可以访问共享存储器表。
在步骤824，第一核可以基于四元组进行会话查找。该四元组可包括源IP、源端口、目的IP和目的端口。可以对该四元组进行哈希以产生键值，该核可以使用该键值来在会话哈希表中进行查找。该会话哈希表可以是在共享存储器中保存的全局哈希表。在一些实现中，第一核可以使用由该第一核拥有的本地哈希表来执行会话查找。还会结合图8C对会话查找进行介绍。
在步骤825，该核可以确定是否返回了成功。成功可以返回自步骤824处的会话查找、步骤831处的会话插入哈希表，或者步骤832处已经存在的会话。如果返回了成功，则全局哈希表将会包括会话结构，该会话结构是在步骤831处插入的或者之前通过处理另一分组插入的。
在步骤826，如果该核确定在步骤825返回了成功，则该核执行服务查找和NAT。服务查找和NAT可以如结合图7A-B所介绍的那样来执行。
如果该核确定在步骤825没有返回成功，则在步骤827，该核丢弃该分组。所丢弃的分组的目的地址可能无法被转换成可通过外部网络(例如互联网)路由的外部地址。
在步骤828，如果在步骤824的会话查找期间，该核不能从对应的哈希表中找到会话，则该核为与该分组关联的会话分配结构。该会话结构可包括源IP、源端口、目的IP、目的端口，以及其他会话信息。在一些实现中，该核还可以为映射或过滤分配结构。对于出站分组可以分配映射结构。对于入站分组可以分配过滤结构。可以在共享存储器中执行该分配，多核系统的每个核都可以访问该共享存储器。
在步骤829，该核可以可选地基于二元组或三元组执行映射查找。在一些实现中，对于入站流量，该核可以基于二元组或三元组执行过滤查找。可以在共享存储器的全局哈希表上进行该查找。该二元组或三元组可以取决于映射或过滤行为。该二元组可包括源IP地址和源端口。该三元组可包括源IP、源端口和目的IP。该二元组可用于端点独立的映射或过滤行为。该三元组可用于依赖地址与端口的映射或过滤行为。不同的映射和过滤行为可以被配置为指定NAT类型，例如完全锥形NAT、地址受限锥形NAT、端口受限锥形NAT和对称型NAT。
如果在步骤829的映射查找中该核成功地找到条目，或在全局哈希表中成功地找到条目，则在步骤830，该方法包括该核复制NAT IP地址和NAT端口，其可以是源地址的外部IP地址和端口。该NAT IP地址和端口可以复制自步骤829中所查找的全局哈希表中的映射条目。
在步骤831，该核可以将会话结构插入至该全局哈希表中。在一些实现中，该会话结构可以被插入至本地哈希表中，保存在共享存储器中并由处理该输入分组的第一核所拥有。该会话结构可包括源IP、源端口、目的IP地址和目的端口。在一些实现中，目的IP地址和目的端口可以是在步骤830中复制的NAT IP地址和端口。该会话结构可以是在步骤828中被分配的。如果该会话结构被成功地插入哈希表中，该方法可以继续至步骤825。反之，该会话结构不能被插入全局哈希表中，这是因为另一核已经分配会话结构并将其插入哈希表中。如果不能插入该会话结构，该方法继续至步骤832。还会结合图8C更详细地对会话插入进行介绍。
在步骤832，该核可以使用已经存在的会话结构。该已经存在的会话结构可以被保存在全局哈希表中。可以释放在步骤828中曾为会话分配的当前资源。接着，该方法继续至步骤825。
在步骤833，该方法可选地包括该核基于一元组，即源IP，来执行成对池化地址查找。在一些实现中，由源IP地址构成的一元组可以用于依赖地址的映射/过滤行为。在一些实现中，该源IP地址的一元组可以用于成对地址池化，其中一个本地或内部地址可以被始终映射至单一的全局地址。该一元组可以被用于生成哈希键，该哈希键可以被用于在全局的成对地址池化哈希表中进行查找。如果该查找成功，该方法继续至步骤834。否则，该方法继续至步骤837。
在步骤834，该核可以在NAT IP上分配端口。每个NAT IP地址可以是可被指定为映射至内部地址的IP地址的池的一部分。每个IP地址可包括当前可用的端口的列表。该端口列表中每个端口还可包括与相应端口关联的会话的会话信息。在NAT IP地址上分配端口可包括为该NAT IP地址找到当前未被使用的端口号。在一些实现中，该端口号对应于分组类型的默认端口号。在一些实现中，对于出站分组，该端口号可以被设置为源装置的端口号。
在步骤835，该方法可以可选地包括该核将映射插入全局映射哈希表中。在一些实现中，对于入站分组，可以插入至全局过滤哈希表中。插入结构可以是在步骤828中被分配的。如结合步骤829所介绍的，该映射或过滤结构可包括二元组或三元组。如果映射或过滤插入成功，该方法继续至步骤831中进行将会话插入哈希表中。如果映射或过滤插入失败，则另一核已经创建了相同的映射或过滤以及该方法继续至步骤836。
在步骤836，该核可以使用全局映射哈希表中已经存在的映射。与该映射关联的引用计数可以增加1。在一些实现中，对于入站分组，可以使用在全局过滤哈希表中已经存在的过滤，并且与该过滤相关联的引用计数可以增加1。接着，该方法继续至步骤831。
在步骤837，该核可以选择NAT IP地址并分配端口。在一些没有映射或成对地址池化的实现中，NAT IP地址选择和端口分配可以发生在步骤828之后。在一些有映射但没有成对地址池化的实现中，NAT IP地址选择和端口分配可以发生在步骤829之后。在一些有成对地址池化的实现中，NAT IP地址选择和端口分配可以发生在步骤833之后。可以从未使用的IP地址池来选择NAT IP地址。该池中每个IP地址都可以作为可映射到内部地址的外部IP地址来使用。例如，对于具有NAT的网络的内部装置可具有网络地址10.0.0.1。该内部装置可以被映射至从池123.124.125.126中选择的外部IP地址。一旦选择了IP地址，则可从该池中移除该该IP地址。当NAT会话结束时可以将该IP地址返回至该池。可以如结合步骤834所介绍的那样为所选择的IP地址分配端口。
在步骤838，该方法可选地包括该核插入成对池化。可以从一元组源IP来生成全局成对IP地址哈希表的键。如果成功地插入了一元组，该方法可继续至步骤835关于配置有映射的NAT类型的映射插入，或者至步骤831处的会话插入。如果例如由于哈希冲突导致该一元组不能被插入，该方法可以继续至步骤839。
在步骤839，该核可以使用已经存在的成对IP。该成对IP地址可能已经存在于全局成对IP地址哈希表中。可以增加与该哈希表中已经存在的成对IP地址关联的引用计数。接着，该方法可继续至步骤831的会话插入或步骤831的映射插入，这取决于NAT类型。
图8C为用于多核系统上会话查找和哈希表细节的的方法的实施例的流程图。该方法840可以是用于在多核系统上支持NAT会话管理的方法。总的来说，该方法840包括第一核在出站方向分配会话结构(步骤840)，第一核将该会话结构插入到由第一核拥有的第一哈希表中(步骤842)，以及第一核对于该流的反向流量计算RSS哈希并检查接收者核是否与第一核是同一核(步骤843)。该方法还可包括第一核将该会话插入会话哈希表中(步骤844)，以及第一核在全局哈希表中进行插入(步骤845)。该方法840还可包括第二核接收反向流量，该第二核在全局哈希表上执行查找，以及该第二核将该会话插入至由第二核所有的第二哈希表中，以及第二核增加与全局哈希表中的哈希表条目关联的会话引用计数(步骤846)。
在步骤841，第一核可以在出站方向上分配会话结构。可能之前没有对于入站方向分配过该会话。在一些实例中，先在第一核上入站方向分配会话，然后才在出站方向上分配该会话。在一些实现中，该分配可发生于图8B的步骤828。
在步骤842，第一核可以将在步骤841分配的会话结构插入至第一核的出站会话哈希表中。在一些实现中，在多个客户机与多个服务器中间的多核装置的第一核可执行该插入。在一些实现中，该多核装置可以在内部网络和外部网络的中间。在一些实现中，该会话可以建立在该多个客户机中的一个客户机与该多个服务器中的一个服务器之间。该会话可以是NAT会话。在一些实现中，第一核可以对于入站会话和出站会话都使用一个本地会话哈希表。在一些实例中，其中在步骤841在第一核入站方向上已经分配了该会话，可以将该会话插入至入站会话哈希表中。
在步骤843，该方法包括第一核计算关于反向流量的RSS哈希并检查接收者核与第一核是否是同一核。在一些实例中，该RSS哈希可以是Toeplitz哈希并且/或者可以使用优选列表或分布表。其中在第一核出站方向分配了该会话的一些实例中，该反向流量可以是入站方向。其中在第一核入站方向分配了会话的其他示例中，该反向流量可以是出站方向。在一些实现中，第一核可以确定该多核装置的第二核会充当对于从服务器到客户机的对请求的响应的接收核。该响应可以是在步骤841在第一核上所分配的会话的反方向的任何流量。在一些实例中，第一核可以确定该接收核是第一核，以及确定第一核会充当对于从服务器到客户机的对请求的响应的接收核。
在步骤844，如果第一核确定接收核与第一核是同一核，则第一核将该会话插入第一核本地的入站会话表中。在一些实现中，该入站会话哈希表与出站会话哈希表是相同的。在一些实现中，该会话插入可以作为图8B中步骤831的部分而发生。
在步骤845，如果第一核是与步骤843中所确定的接收核不同的核，则第一核将该会话插入到全局入站会话哈希表中。在一些实现中，该全局入站会话哈希表与全局出站会话哈希表可以是相同的。第一核可以响应于确定第二核会充当该接收核，将NAT会话插入到全局会话表中。在一些实现中，该会话插入可以作为图8B中步骤831的部分而发生。
在步骤846中，在第一核将该会话插入全局会话哈希表之后，第二核可能收到反向流量。第二核可以识别该NAT会话没有被包含在第二核的存储器所保存的本地哈希表中。该本地哈希表可以是本地入站会话哈希表或本地出站会话哈希表，这取决于步骤841中在第一核上所分配的会话的反方向。可以在全局会话表中识别该NAT会话，并且第二核可以将该会话插入第二核的存储器所保存的本地会话哈希表中。在一些实现中，该本地会话哈希表可以是用于步骤841中在第一核上所分配的会话的反方向的表。
图8D为用于多核系统上的会话、映射、过滤和池化释放的方法的实施例的流程图。总的来说，该方法850包括每个核周期性地遍历相应的会话列表(步骤851)，核确定它是否拥有会话(步骤852)，该核确定空闲超时是否超过允许的时间限制(步骤853)，以及该核将该会话从相应的本地哈希表中移除(步骤854)。该方法还可包括该核确定会话是否是使用全局会话哈希表来共享的(步骤855)，该核确定会话引用计数是否为零(步骤856)，以及该核移至下一会话或者如果完成则停止(步骤857)。该方法还可包括该核确定空闲超时是否超过允许的时间限制(步骤858)，如果需要的话，该核从相应的本地哈希表和全局哈希表中移除会话(步骤859)，该核可选地递减映射/过滤/池化引用计数(步骤860)，以及如果这些引用变为零，该核可选地释放由映射/过滤/池化所持有的额外资源(步骤861)。
在步骤851，多核系统的每个核可以周期性地遍历相应的会话列表。每个核可以在本地存储器或全局存储器中保存会话列表。每个核可以周期性地遍历该列表，其中周期性可以是预先配置的。周期性可以是以秒来衡量的，例如在一百至三百秒之间。该周期性也可以是以时钟周期或本领域已知的其他测量方式来衡量的。在一些实现中，第一核可以循环遍历会话列表。
在步骤852，该方法可包括核确定其是否拥有相应会话列表中的会话。该核可以是自步骤851中的每个核并且也可以被称为正在循环遍历相应会话列表的本地核。该确定可包括确定第一核是否在图8C的步骤841中分配了该会话。在一些实现中，第一核可以识别由第一核所拥有的现有NAT会话。
在步骤853，如果本地核不拥有该会话，则该核可以确定空闲超时是否超过允许的时间限制。该会话可以保存时间戳，该时间戳对应于与该会话上一次被使用的时间。可以通过当前时间与用该会话保存的时间戳来计算空闲超时。当例如图8B的步骤824中核使用或查找该会话时，或者当如图8B的步骤831中插入会话时，可以刷新该空闲超时。在一些实现中，会话可以保存空闲计数器，该空闲计数器存储会话已经处于空闲或未被使用的时间长度。如结合步骤851所介绍的，每个会话的空闲计数器可以每个循环或每秒或每个时间周期增加一次。当例如图8B的步骤824中核使用或查找该会话时，可以重置该空闲计数器。如果该空闲超时或空闲计数器超过预定的限制，该方法可以继续至步骤854。在一些实现中，该预定的限制可以在一秒至1天之间。该预定的限制也可以通过循环次数及本领域已知的其他测量方式来进行定义。如果该空闲超时或空闲计数器没有超过预定的限制，该方法可以终止。
如果在步骤853空闲超时超过允许的限制，那么接着在步骤854，该本地核将该会话从并非该会话的所有者的本地核所拥有的相应的本地哈希表中移除。在一些实现中，现有NAT会话可以被确定为不再被本地核使用。在将该会话从本地哈希表中移除之后，可以递减该会话的引用计数。该引用计数可以与共享存储器中会话结构或该会话的全局哈希表条目一起保存。在图8C的步骤846中可能已经增加了该引用计数。该引用计数可以是非负整数，即0、1、2等。如果该引用计数被递减至负1，可以将其重置为0。
如果在步骤852中会话被确定为由本地核所拥有，在步骤855该方法包括该核确定该会话是否是使用全局会话哈希表来共享的。在一些实现中，如果全局会话表包括现有NAT会话，则将该NAT会话确定为是使用全局会话表来共享的。该NAT会话可以是在图8C的步骤845中被插入该全局会话表中的。
如果在步骤855中该会话是使用全局会话哈希表来共享的，那么在步骤856，该方法可包括该核确定该会话引用计数是否为零。这个步骤可以相当于确定该现有NAT会话没有正在被多核系统中的任一核所使用。在一些实现中，会话引用计数可以被保存在会话结构中。在一些实现中，会话引用计数可以与全局会话哈希表中的每个条目保存在一起。可以在图8C的步骤846中增加该引用计数。可以在步骤854中减小该引用计数。如果该引用计数等于零，则该方法继续至步骤858。否则，该方法可继续至步骤857。
在步骤857，该方法包括该核移至本地核的会话列表的下一会话，或者如果对于当前时间已经检查了会话列表中的所有会话，则停止。在一些实现中，移至下一会话包括对于该列表中的下一会话，返回到步骤852。在一些实现中，停止可包括第一核上的进程休眠直至下一时间周期。如步骤851所限定的，该时间周期可以通过预先定义的周期性来进行限定。在一些实现中，停止可包括执行该方法850的进程终止。在一些实现中，在该进程终止之前，新的进程可排队等候在下一时间周期开始。
在步骤858，该方法可包括该核确定空闲超时是否超过允许的时间限制。这个步骤可以类似于上文所述的步骤853。该方法可以从步骤855或步骤856到达这个步骤。如果该方法从步骤855到达这个步骤，则该会话并非使用全局会话哈希表来进行共享。如果该方法从步骤856到达这个步骤，则该会话引用计数为零。如果该空闲超时超过允许的限制，该方法可以继续至步骤859。否则，该方法可以继续至如上文所述的步骤857。
在步骤859，如果空闲超时确实超过允许的限制，那么该核将该会话从相应的本地哈希表中以及如果必要的话从全局哈希表中移除。该本地哈希表将会位于由本地核或第一核所拥有的存储器中。在一些实现中，这个步骤可包括从第一核的存储器所保存的本地出站会话表中移除现有NAT会话。如果在855中确定该会话是在全局会话哈希表中共享的但在步骤856中确定该引用计数为零，则也从全局哈希表中移除该会话。这个步骤还可包括从在被确定为充当与该现有NAT会话对应的分组的接收核的多核装置的核的存储器上保存的本地入站会话表中移除该现有NAT会话。
在步骤860，该方法可选地包括该核减小映射/过滤/池化引用计数。映射和过滤引用计数可以是在图8B的步骤836中增加的。池化计数可以是在图8B的步骤839中增加的。
在步骤861，该核可以释放额外的资源。该额外的资源可以是由映射、过滤和/或池化所持有的。如果相应的引用为零，则可以释放该额外的资源。在一些实现中，这个步骤可以仅发生于步骤860中引用计数已经被减小之后。
图8E为多核系统上静态映射和过滤的方法的实施例的流程图。总的来说，该方法870可包括核配置静态映射以使订户服务在NAT IP地址和NAT端口上可见(步骤871),该核可选地打开针孔(pinhole)以允许入站流量(步骤872)，该核获取资源(步骤873)以及该核确定是否在映射/过滤全局哈希表中进行插入(步骤874)。静态映射和过滤可以在图8B的步骤834中执行。
在步骤871，该方法可包括核配置静态映射以使订户服务在NAT IP地址和NAT端口上可见。静态映射包括内部地址到映射的地址(即NAT IP地址和NAT端口)的固定转换。订户服务指的是由内部网络中的装置以内部地址提供的服务。该NAT系统外部的装置将能够经由该NAT IP地址和NAT端口而非该内部地址来查看订户服务。
在步骤872，该核可以打开针孔以允许某些协议的入站流量。需要针孔的协议包括使用单独控制与数据端口的某些FTP。就NAT而言，针孔可以指额外的端口和/或地址，该额外的地址和/或端口可以是外部装置通过该NAT系统与内部装置通信所要求的。例如，静态映射可能是不够的，因为FTP要求两个不同的端口，而静态映射仅提供一个IP/端口的映射。可以打开或指定外部地址/端口与内部地址/端口之间的额外映射。在一些实现中，可以以与如步骤871中所述的配置静态映射的方式相同的方式来打开针孔。在一些实现中，针孔和/或静态映射可以执行相似的步骤。在一些实现中，针孔和静态映射可以是关联的。在一些实现中，针孔的地址和端口可以选自池。在一些实现中，针孔可以与静态映射使用同一NAT IP地址，但使用不同的端口号。
在步骤873，该核可以获取资源。资源可包括用于映射和过滤结构的存储器、端口、地址等等。在一些实现中，资源可以作为图8B的步骤828或834的部分来获取。
在步骤874，该核在映射或过滤全局哈希表中插入映射或过滤。这个步骤可以类似于图8B中的步骤853。在一些实现中，也可以将针孔添加至该映射或过滤全局哈希表。
I.用于多核系统上运营商级NAT的端口分配的系统和方法
本公开的实施例描述了用于多核系统上运营商级NAT的端口分配的系统和方法。为提供地址转换，运营商级NAT在从NAT IP地址池中选择的IP地址上分配端口。该分配可以是针对给定IP地址上的任一端口或者针对特殊的指定端口。单个端口可以是从与IP关联的空闲端口范围中分配的。在一些配置中，可以从空闲端口范围中分配单个或多个端口块。端口分配可以根据需要在转换期间保持奇偶性和范围。端口分配可以考虑类似RSS的流量分布机制以确保使返回流量到达同一核上。多个核可以执行单个IP地址的端口分配而不必针对在可被不只一个核改变的共享存储器中数据进行同步或只需很少的同步。在一些实现中，可以分配来自空闲端口范围的随机端口。
可以使用跟踪单个IP的所有空闲端口的端口位图表来分配端口。每个IP地址可以包括两个端口位图表。第一个端口表可以是针对TCP，而第二个端口表可以针对非TCP。每个端口表可以使用两种不同端口位图方案的其中之一。第一个方案可以与确定性NAT和块分配一起使用，而第二方案可以用于非确定性NAT或块分配。在这两种方案中，共享位图表可以被任一核访问，并且每个核拥有相应的位图表。
确定性NAT可以确保源IP地址和端口总是映射至同一目的IP地址和端口，消除了对地址转换记录的需求。这里，源IP地址和端口指的是转换前的IP地址和端口，而目的IP地址和端口指的是转换后的IP地址和端口，即NAT IP地址和端口。块分配可以指为转换分配端口块而非单独端口。可以通过使用偏移、乘数和/或上限、下限及函数的组合的算法在IP地址和端口上执行确定性NAT和块分配。
第一个端口位图方案可以按顺序逐个位代表端口。例如，第一个位代表端口号零，第二个位代表端口号1等等。该第一个方案也可以称为基本方案。在该基本方案中，每个核复制完整的端口位图。共享端口表维持关于由预定数量(例如16个端口，也称为分块大小)的端口组成的分块的位图。每个核根据需要分配这些来自共享端口表的分块，并在本地位图中设置与该预定数量的端口对应的位图。可以依据本地位图中的分块来进行端口分配。一旦一个分块中所有端口都被释放，该分块被返回至共享位图。
第二个方案打乱端口位置并根据它们的RSS哈希将其分组至槽中以进行优化的分配。每个核可以拥有自己的核本地位图，该核本地位图可包括与端口对应的一个或多个位。该核本地位图中的位可以被组织成槽。共享端口位图表(也称为全局位图)可以被划分成所有者核分区和较小的共享池分区。每个分区可包括一个或多个槽。所有者核分区的每个端口可以被一个核拥有。所有者核分区中的每个槽可以被一个核拥有。每个核可以拥有所有者核分区的一个或多个端口和/或槽。来自共享池分区的端口可以根据需要被分配给任一个核。该共享池分区可以类似于基本方案并且可以包括由预定数量端口构成的分块。全局位图还可以被称为乱序位图，因为端口可以被分配给不同的核或者分配给全局共享分区。
对于第二个方案，存储器优化可以使得每个核为位图分配足够存储器以保存所有者核分区中该核拥有的专用端口和共享池分区中该核拥有的任何端口。在没有存储器优化的情况下，每个核可以分配与共享位图表相同的存储器。给定一个端口号，可以使用反向查找来计算位图中相应位的位置，其可以计及专有分区。对于如结合图8C所述的其中返回流量指定于同一核上的端口，可以在同一槽中优先搜索空闲端口。
可以通过对于公知端口维持单独的位图来保留范围。可以使用公知端口的单独位图，使得公知端口范围中的任一源端口(即要转换的端口)在其被转换成目的端口后会保留在该范围内。例如，公知端口可以是端口0-1023。如果源端口是公知端口并由此在0至1023之间，那么可以使用公知端口的单独位图，并且由此转换后的端口也会在0至1023之间。
可以通过用奇偶过滤器对端口位图进行掩码运算来保留奇偶性。对于端口奇偶性保留，为偶数的源端口被转换成另一偶数源端口，而奇数源端口被转换成另一奇数源端口。例如，端口1024可以被转换成端口1036。对于第一个方案，奇偶过滤器可以是简单的交替位模式。对于第二个方案，奇偶过滤器可以是预先计算的乱序位图模式，其是基于共享位图表的分区来计算的。
可以通过维持每个块的位图来进行块分配。端口块分配可以指分配端口块以进行转换，而非分配单独的端口。块可以包括几个分块，这些分块可能是由单独的核分配的。可以将块信息保存在订户结构中，即与NAT系统内部的装置对应的结构，其为要转换的源IP地址和端口。该块信息可以用于确定性NAT或多个块分配。可以通过从随机位置开始搜索空闲端口来随机地进行端口分配。
图9A为用于从乱序位图分配端口的方法900的实施例的流程图。总的来说，装置或该装置的核接收对指定IP地址上端口的请求(步骤901)，从随机位置开始在核本地位图中循环遍历由特定数量的端口构成的槽(步骤902)，以及使用属性对槽进行标记(步骤903)。该装置检查是否以特定属性标记了任何槽(步骤904、907、908和909)。该装置每次循环遍历由特定数量的位构成的槽位图(步骤905)，以及重置一个设置位并返回对应端口(步骤906)。该装置在全局位图中循环遍历由特定数量的端口构成的槽(步骤910)，以及确定全局槽是否具有空闲分块(步骤911)，并重置全局分块位(步骤912)。
在步骤901，该装置接收对指定IP地址上端口的请求。可以在多核装置的一个核处接收该请求。该核可以使用乱序位图来进行端口分配。该乱序位图可以是全局端口位图。端口分配请求可以发生于图8B中步骤834和837。
在步骤902，该装置的核从随机位置开始循环遍历核本地位图中由特定数量的端口构成的槽。核本地位图可以是由在步骤901收到请求的核所分配的或所拥有的位图。在一些实现中，每个槽可包括512个端口。核本地位图可包括一个或多个槽。在一些实现中，可以选择随机的槽来开始该循环。
在步骤903，该核可以用属性对每个槽进行标记。第一属性(属性1a)可指示当前核的槽是否具有空闲专用端口或仅当前核可分配的端口。第二属性(属性1b)可指示当前核是否具有可供使用的空闲共享端口。第三属性(属性2a)可指示除当前标记的槽之外的另一槽是否具有可用的空闲专用端口。第四属性(属性2b)可指示另一槽是否具有可用的空闲共享端口。为确定属性1a和1b，可以在反向元组(即交换的目的和源地址)上进行RSS哈希，以找到该反向流量的接收者核。接收者核可能与当前核相匹配，并且可以与槽端口进行该匹配的按位运算。在一些实现中，该按位运算可以为AND或XOR运算。在一些实现中，为确定属性2a和2b，可以进行与反向元组和RSS哈希类似的计算。
在步骤904、907、908和909，该核可以找到具有属性1a、1b、2a、和2b的任一槽。在一些实现中，可以以特定次序来搜索属性，并且一旦找到空闲端口就可以停止搜索。该次序可以是属性1a、2a、1b和2b。一旦核发现具有其中一个属性的槽，该方法可继续至步骤905，这里该核在核本地位图中发现端口。否则，该方法可继续至步骤910，这里该核在全局位图中发现端口。
在步骤905，该核每次循环遍历由特定数量的位构成的槽位图。在一些实现中，该特定数量可以是32，或在1至65536之间的任一数。该特定数量的位可以产生半随机端口分配，因为在给定槽内不同的端口可以基于端口何时被释放来进行分配。该槽可以是该核本地位图的部分，并且可以是在步骤902所循环遍历的其中一个槽。
在步骤906，该核可以重置一个设置位并返回相应端口。该设置位可以是该核本地位图的部分。可以根据该核本地位图的位编号来计算该相应端口。例如，核本地位图中的位可以是该核本地位图的第一位。该第一位可以被映射到全局位图的第1024位和端口号1024。在其他实现中，全局位图的位编号可以与端口号不相同，这是由于例如公知端口的原因。重置位可包括将值改变为零，指示该端口不在可被分配的可用端口池中。可以返回该相应的端口号。
在步骤910，如果在步骤904、907、908和909中本地核中没有任何槽匹配四个属性中的任一个，那么该核循环遍历全局位图中的槽。在一些实现中，全局位图的每个槽可包括512个端口。每个槽可包括一个或多个分块，分块是端口的集合。在一些实现中，该循环可以开始于全局位图中的随机槽。该循环持续到在其中一个槽发现空闲端口为止。
在步骤911，对于在步骤910中循环遍历的每个槽，该核确定该全局槽是否具有空闲分块。在一些实现中，分块可以包括16个端口。每个分块可以是空闲的或者可以分配给核。分配给核的分块可包括可由该核分配或释放的端口。每个分块可以由1个位来表示，以0值指示该分块已经被分配并以1值指示该分块是空闲的。
在步骤912，如果该核发现空闲分块，则该核重置全局分块位并在本地位图中设置特定数量的位。该特定数量的位等于该分块大小，即分块中端口数量。在一些实现中，可以在本地位图中设置16个位。所设置的位可指示可用于分配的相应端口。该方法还可以继续至步骤906，其中该16个位的其中一个被重置并且可以返回相应端口号。
图9B为用于使用基本位图分配范围内端口的方法的实施例的流程图。总的来说，该装置的核接收对核上范围内的端口的请求(步骤921)，循环遍历该核本地位图中由特定数量端口构成的槽(步骤922)，以及确定任何槽是否具有空闲端口(步骤923)。接着该核每次循环遍历特定数量的位(步骤924)，并重置一个设置位以及返回相应端口号(步骤925)。接着，该核循环遍历全局位图中的槽(步骤926)，确定全局槽是否具有空闲分块(步骤927)，重置全局分块位并在本地位图中设置特定数量的位(步骤928)。
在步骤921，第一核可以接收对范围内端口的请求。在一些实现中，该范围可以是公知的端口范围。在一些实现中，该端口范围可以是注册的端口。在一些实现中，该端口范围可以是已经预先定义的。端口分配请求可以发生于图8B中步骤834和837。
在步骤922，该核循环遍历该核的本地位图中的槽。该槽可由特定数量的端口构成。在一些实现中，一个槽可包括512个端口。该循环可以从随机位置开始。这个步骤可以类似于图9A中的步骤902。在一些实现中，该核可能还没有被分配槽或分块，所以该核本地位图可指示没有任何槽空闲。
在步骤923，该核确定核本地位图中是否有任何槽具有空闲端口。如果发现具有空闲端口的槽，该方法继续至步骤924，以找到该空闲槽中的空闲端口。否则，该方法继续至步骤926，这里该核将分块分配给核。
在步骤924，该核循环遍历核本地位图，每次一组特定的位。在一些循环中，该特定数量的位可以是32位。可以设置位的数量以优化性能并发现空闲端口。这个步骤可以类似于图9A中的步骤905。
在步骤925，当该核发现空闲端口时，该核在核本地位图中重置相应的位，指示该端口已被分配。该核返回与所分配的端口对应的端口号。这个步骤可以类似于图9A中的步骤906。
在步骤926，如果该核确定核本地位图中没有槽具有空闲端口，那么该核循环遍历全局位图中的槽。在一些实现中，一个槽可包括512个端口。全局位图可包括一个或多个槽。这个步骤可以类似于图9A中的步骤910。
在步骤927，该核确定槽是否具有空闲分块。在一些实现中，分块可以包括16个端口。当与分块对应的位包含1值时可指示该分块空闲。当该位包含0值时可指示该分块被分配了。这个步骤可以类似于图9A中的步骤911。
在步骤928，该核重置全局分块位并在本地位图中设置特定数量的位。在一些实现中，该特定数量的位可以是16个位，即分块大小。该全局分块位可以被保存在全局位图中。重置该位包括将该全局分块位的值变成0。设置本地位图中的位包括在本地位图中改变一定数量的位使得可以指示由该数量的位表示的端口为空闲。该位的数量等于分块大小。这个步骤可以类似于图9A中的步骤912。接着，该方法可以继续至步骤925来对在当前步骤中设置的位的其中一个进行设置。
图9C为用于释放端口的方法930的实施例的流程图。总的来说，该核接收释放端口的请求(步骤931)，在位图中找到该端口的位置(步骤932)，以及设置与该端口对应的位(步骤933)。该核确定位是否为共享分块的部分，以及该分块是否设置了所有的位(步骤935)。该核可将该分块返回至共享池(步骤936)，并指示该端口已经被释放(步骤934)。
在步骤931，该核可以接收释放端口的请求。该请求可以是自图8B的步骤832发送的。该请求可包括要被释放的端口号。该端口号可以是NAT端口，即转换后的端口号。
在步骤932，该核发现位图中的位置。在使用乱序位图的实现中，该核使用在乱序位图中的反向查找来发现该位置。在使用基本位图的实现中，该核可以直接从基本位图中发现该位置。
在步骤933，该核设置与该端口对应的位。可能已经在步骤932中找到了该位的位置。将该位设置成1可指示该位是空闲的。在一些实现中，该方法结束于步骤934。
在步骤935，该核确定该位是否是共享分块的部分，以及该分块是否设置了所有位。该核确定该分块(包括多个分块)是否可以被释放并且是否可以接着在需要时被分配给其他核。要做到这一点，核检测该分块中的每个位。如果分块中所有的位都被设置，其中每个位是核本地位图的部分，该核可以释放该分块。否则，该分块可能不能被释放并且该过程结束。
在步骤936，如果核本地位图中与该分块对应的所有位都被设置，那么可以将该分块返回至共享池。在一些实现中，可以设置全局位图中的分块位。
图9D为用于分配端口范围的方法的实施例的流程图。总的来说，该核接收分配端口范围的请求(步骤941)，确定是否指定了NAT IP地址(步骤942)，确定是否已经指定了端口范围(步骤942’)以及循环遍历池中的NAT IP地址(步骤943)。该核循环遍历合适大小范围的端口范围(步骤944)，重置关于范围的位(步骤945)，并返回该范围(步骤946)。
在步骤941，该核接收分配端口范围的请求。在一些实现中，该请求可指定经由块分配或经由确定性NAT的分配。该请求可以在图8B的步骤834或837中发送。块分配可以指分配多个端口，其中NAT端口(即转换后的端口号)是多个端口，例如一系列端口。
在步骤942，该核确定是否指定了NAT IP地址。在一些实现中，在源IP地址被转换成了NAT IP的情况下，该NAT IP地址可以是被指定的。可以请求中或在订户结构中指定该NAT IP地址。如果没有指定NAT IP地址，则可能还没有选定NAT IP地址来进行转换，该方法继续至步骤943。否则，该方法继续至步骤942’。
在步骤942’，该核确定是否指定了端口范围。可以在请求中或在订户结构中指定该端口范围，该订户结构包括关于转换之前地址和端口的信息。如果没有指定端口范围，该方法继续至步骤944来发现合适的端口范围。否则，该方法继续至步骤945。
在步骤943，该核循环遍历池中的NAT IP地址。该池可以是可用IP地址的池。在一些实现中，该池中的每个IP地址可以确切地映射至端口。在一些实现中，该池中的每个IP地址可以映射至端口块。该循环可以持续进行直到找到了合适的端口块。
在步骤944，该核循环遍历合适大小范围的端口范围。该方法可以通过循环遍历NAT IP地址中的IP地址来到达这个步骤。在其中没有指定NAT IP地址的一些实例中，可进行循环遍历的每个IP地址的每个空闲端口范围可包括一个或多个端口。在其中指定了NATIP地址的一些实例中，可循环遍历该NAT IP地址的每个空闲端口范围。可以将范围内端口的数量与在步骤941的请求中所要求的范围大小进行比较。或者，在步骤942中指定了NATIP地址但在步骤942’中没有指定端口范围的情况下，该方法可以到达这个步骤。
在步骤945，该核重置关于范围的位。NAT IP地址和端口范围都会被指定或经由循环而找到。可以重置块位图中的位，指示该块已经被分配。在一些实现中，一个位可以表示一个槽，并且一个槽可包括512个端口。
在步骤950，该核可以返回该范围并将该范围保存在订户结构中。在一些实现中，位编号可以被保存在订户结构中，其中该位编号指示块位图中的槽可能已经被分配给本地核。
图9E为用于端口范围保留的方法的实施例的流程图。总的来说，该方法950包括配置端口范围保留(步骤951)，确定私有端口是否在公知端口范围中(步骤952)，使用共享位图分配端口，该共享位图对于公知端口具有单独的位(步骤953)，以及正常进行分配(步骤954)。
在步骤951，该核配置端口范围保留。可以分配单独的共享位图。在一些实现中，对于不在公知范围内的端口可以使用偏移值。例如，端口号1024可以通过基本方案下的全局位图中的第一位来进行引用。
在步骤952，该核确定私有端口是否在公知范围中。该私有端口指转换之前的源端口。公知端口可以在端口号0至1023之间。
在步骤953，如果该私有端口在公知范围中，该核使用共享的单独位图而非使用核本地位图或全局位图来分配端口。该单独的全局位图可确保在公知范围内的转换前的端口会映射到在公知范围内的转换后的端口。
在步骤954，如果私有端口不在公知范围中，该核如图9A-D所述的进行正常分配。
图9F为用于端口奇偶性保留的方法的实施例的流程图。总的来说，该方法960包括配置端口奇偶性保留(步骤961)，对端口位图进行掩码运算(masking),以及分配具有正确奇偶性的端口(步骤963)。
在步骤961，该核可以配置端口奇偶性保留。在一些实现中，该核可以基于分块分配创建奇偶性过滤器。在一些实现中，该核可以计算乱序位图。
在步骤962，对于使用基本位图的实现，该核可以使用基本位图中设置的交替位对端口位图进行掩码运算。例如，奇数编号的位可以为0，而偶数编号的位可以为1，或者反之亦然。对于使用乱序位图的实现，可以使用预先计算的奇偶掩码来对端口位图进行掩码运算。例如，如果相应ANT端口是奇数，则该预先计算的奇偶掩码中的位可以被设置为1，如果相应NAT端口为偶数，则该预先计算的奇偶掩码中的位可以被设置为0。
在步骤963，该核可以仅分配具有正确奇偶性的端口。在一些实现中，转换前的端口号可以为偶数。如果找到空闲端口，在一些实例中，如果该空闲端口为奇数，则不会使用该空闲端口。步骤962中的掩码可以过滤与转换之前的端口号具有不同奇偶性的所有空闲端口。
J.用于多核系统上运营商级NAT实现的存储器管理的系统和方法
多核系统上的运营商级NAT要求存储器用于分配配置结构(类似NAT规则、端口表)、动态实体(类似NAT会话、映射、过滤、订户数据、端口块信息等)和哈希表。在一个多核实现中，有对于这个存储器的多种访问模式。诸如配置结构之类的一些存储器可以驻留在核的私有存储器中并且可以被有效地访问，这是因为配置结构是通过相应核来改变和访问的。某些资源可以在核之间进行有效划分并且也可以安全地驻留在核的私有存储器中。某些资源的划分可以留下一些资源，用于存在于类似共享端口表的共享存储器中的根据需要的共享分配。被密集访问的且被核的稠密子集要求的实体被在所有核上进行复制。这些实体存储在共享存储器中。订户数据是在共享存储器中存储的实体的一个示例。最后，被大量地读或仅由核的稀疏子集所要求的实体在所有核之间进行共享。例如，可以在所有核之间共享可被出站和入站路径中的两个核访问的NAT会话。并且，类似映射或过滤的绑定存在于共享存储器中，并且可以在所有核之间进行共享，因为这些绑定可以在被创建之后是只读的。哈希表类似于这种意义上的绑定。
多核系统的每个核可以拥有或被分配核私有存储器。可以从如结合图8A中块805所述的共享存储器中分配核私有存储器。核私有存储器可包括仅仅映射至对应所有者核的专用存储器。核私有存储器也可包括在逻辑上由对应所有者核拥有的共享存储器。共享存储器可以被映射至在同一虚拟地址空间的所有核。为提高效率，可以将虚拟地址空间直接映射值物理页面。在一些实现中，每个虚拟地址可映射至一个物理页面。
可以使用随机大小分配器或指定对象大小slab分配器(也可称为slab分配器)来执行核私有存储器分配。以指定大小的页面尺寸从共享存储器进行全部分配。在一些实现中，该分配的指定大小为2兆字节(MB)。在其他实现中，该指定大小可以是1字节至1兆兆字节。随机大小分配器或slab分配器可以用于分配存储器以进行例如哈希表或页映射表的初始化。大部分共享存储器可以通过slab分配器来进行分配。在一些实现中，slab分配器是共享存储器的主要消费者。
每个核可维持每核slab分配器，其包括对象的空闲队列。每个每核分配器可以用于动态实体。动态实体可改变大小并且可以在多个核之间具有均匀分布。每核分配器可以与页面相关联，并且这些页面可以由特定核所拥有，该特定核可负责相应页面中对象的分配和释放。其他核可以访问页面中的对象但不能分配或释放该对象或该页面。因此，可能只需要在页面级别而非对象级别进行同步。
一些在核之间不具有均匀分布且可通过配置生成的实体可以共享包含单个空闲对象队列的slab分配器。这些实体可包括共享端口地址转换(PAT)表。通过锁来实现的每对象同步机制可以与该共享的slab分配器一起使用。
可以通过使每核空闲存储器队列中的对象进入队列来执行对象的释放。接着，周期性地收集这个队列并将存储器返回至slab分配器。
图10A为指示多核装置上的信息类型和该信息可能的存储位置的框图。信息的类型可包括配置信息1001，其可以被所有的核访问并且会被大量读取。可以在核私有存储器上分配配置信息。另一种信息类型可包括诸如端口之类的分区资源1004。每个核可以访问自己的分区并可以对分区资源进行读取或写入。可以在核私有存储器中分配分区资源。又一种信息类型可包括诸如订户之类的可在所有核上要求的动态实体1007。每个核可以对这种类型的信息进行读取或写入。在所有核上要求的动态实体的写字段可以在每个核上进行复制，而可对于多个核共有的读字段可以在共享存储器中进行分配。又一种信息类型可包括诸如会话之类的可由核的子集共享的或可以被大量读取的动态实体。核的子集通常可以读取这种类型的信息，其可以在公共共享存储器中进行分配。又一种信息类型包括具有优化访问的共享资源1013。每个核可读写这样的信息。可以在公共共享存储器中分配具有优化访问的共享资源。
图10B为用于初始化共享存储器的方法的实施例的流程图。总的来说，该方法1020可包括装置配置共享存储器限制(步骤1021)，分配和映射每个核需要的存储器(步骤1022)，以及确定是否已经分配了所配置的存储器(步骤1023)。该方法还可包括该装置分配物理存储器(步骤1024)，将该存储器映射至进程虚拟空间(步骤1025)，以及确定全局页映射和哈希表是否已经被初始化(步骤1026)。该方法还可包括该装置分配全局页映射和哈希表(步骤1027)，确定每核哈希表是否已经被初始化(步骤1028)，分配本地哈希表(步骤1029)，以及将共享存储器标记为准备就绪(步骤1030)。
在步骤1021，该装置可以配置共享存储器限制。在一些实现中，该共享存储器可以是64位存储器。该共享存储器可以如图8A中块805所述的那样。可以在初始化多核装置时初始化该共享存储器。
在步骤1022，该装置可以分配和映射每个核需要的存储器。在一些实现中，每个核可以调用函数来执行分配和映射。在一些实现中，该函数可以是“ioctl”函数，其可以是系统调用装置特定的输入/输出操作及不通过常规系统调用表达的其他操作。
在步骤1023，该装置可确定所配置的存储器是否已经被分配。如果该存储器已经被分配，则该方法继续至步骤1025。否则，该方法可继续至步骤1024。
在步骤1024，如果还没有分配配置的存储器，则该装置可以分配物理存储器。接着，该方法可以继续至步骤1025。
在步骤1025，如果已经分配了配置的存储器或者如果在步骤1024已经分配了物理存储器，则该装置可以将该存储器映射至进程虚拟空间。在一些实现中，可以使用直接映射。在一些实现中，可以使用双向关联、四向关联或完全关联映射。
在步骤1026，该装置可确定全局页映射和哈希表是否已经被初始化。如果还没有初始化全局页映射和/或哈希表，该方法可以继续至步骤1027。否则，该方法可继续至步骤1028。
在步骤1027，该装置可分配全局页映射和哈希表。接着，该方法可以继续至步骤1028。
在步骤1028，该装置可确定每核哈希表是否已经被初始化。每核哈希表是被每个核所拥有和/或为每个核分配的哈希表。如果还没有初始化每核哈希表，则该方法可继续至步骤1029。否则，该方法可继续至步骤1130。
在步骤1029，该装置可分配本地哈希表(其是每核哈希表)。该方法可以继续至步骤1130。
在步骤1030，该装置可以将共享存储器标记为准备就绪。在一些实现中，全局页映射、哈希表和本地哈希表可能已经被标记为准备就绪。
图10C为用于装置分配动态共享对象的方法的实施例的流程图。总的来说，该方法1040可包括该装置接收对于核上对象的分配请求(步骤1041)，以及该装置确定在每核对象空闲队列中对象是否可用(步骤1042)。该方法还可包括该装置将该对象从该空闲队列中移出，将当前核作为对象拥有者，并将该对象返回至该请求(步骤1043)。该方法还可以包括该装置从全局池中分配固定的存储器分块(步骤1044)，使来自新分配的分块的所有对象排队进入空闲队列中(步骤1045)，以及拒绝该分配请求(步骤1046)。使用该方法，对于对象分配可以不要求核间同步，而对于存储器分块分配可能要求核间同步。
在步骤1041，该装置可以接收对核上对象的分配请求。该分配请求可以是针对动态共享对象。该请求可以是从另一个核或接收该请求的核发送的。在一些实现中，可以在每核分配器处接收该请求。
在步骤1042，该装置确定每核对象空闲队列中对象是否可用。每个核可包括或维持对象空闲队列。该对象空闲队列可对应于每核分配器。如果在每核对象空闲队列中该对象可用，该方法继续至步骤1043。否则，该方法继续至步骤1044。
在步骤1043，该装置可以将该对象从该空闲队列中移出，将当前核作为对象拥有者，并将该对象返回至该请求。可以将该对象从每核对象空闲队列中移出。可以将当前核标记为该对象的所有者。在一些实现中，与当前核关联的分配器可以标记该对象。可以将该对象返回至请求者并且该方法可以结束。
在步骤1044，如果在每核对象空闲队列中该对象不可用，则该装置还可以从全局池分配固定的存储器分块。在一些实现中，该固定大小的存储器可以是2MB，或者可以是1字节至1兆兆字节之间的任意大小。在一些实例中，该全局池可能由于没有足够存储器而不能分配该分块，此刻方法可继续至步骤1046。否则，如果可以在全局池中分配该分块，则该方法可以继续至步骤1045。
在步骤1045，该装置可以将来自新分配的分块的所有对象加入该空闲队列。该空闲队列可对应于分配器和/或收到该分配请求的核。在步骤1046，可以拒绝该分配请求。接着，该方法可以结束。
图10D为用于释放动态共享对象的方法的实施例的流程图。总的来说，该方法1050可包括核接收移除了所有引用的、要释放的对象(步骤1051)，确定当前核是否是对象所有者(步骤1052)，以及将该对象加入所有者核的空闲对象列表中(步骤1053)。该方法还可包括该装置释放由该对象使用的所有资源，例如端口(步骤1054)，以及清除该对象并将对象添加至每核空闲存储器队列(步骤1055)。该方法还可包括每个核周期性地扫描其空闲对象列表(步骤1056)，并循环遍历每个核的空闲对象列表中的每个对象(步骤1057)。
在步骤1051，该核可以接收移除了所有引用的、要释放的对象。在一些实例中，对象可以没有引用或引用计数。在一些实现中，对象可以是动态共享对象。在一些实现中，引用计数可以与对象一起保存或者保存在对象中。
在步骤1052，该核可确定当前核是否是该对象的所有者。当前核可以是在步骤1051接收到对象的核。在一些实现中，可以通过对象中的标记来指示对象的所有者。在其他实现中，可以通过对象的存储位置来确定对象的所有者。如果当前核是所有者，则该方法可继续至步骤1054。否则，该方法可继续至步骤1053。
在步骤1053，如果当前核不是对象所有者，则该装置可以将该对象加入所有者核的空闲对象列表中。该空闲对象列表可以由所有者核拥有或者可对应于所有者核。接着，所有者核可以随后如步骤1056所述的遍历空闲对象队列的列表。
在步骤1054，如果当前核是对象所有者，则该装置可以释放由该对象使用的所有资源，例如端口。资源例如还可以包括如结合图10A所述的用于结构和不同类型的存储器使用的存储器。
在步骤1055，在释放由该对象使用的所有资源之后，该装置可以清除该对象并将对象添加至每核空闲队列。清除对象可包括将存储器返回至与当前核对于的slab分配器。在一些实现中，每核对象空闲队列可类似于结合图10C中步骤1042所述的队列。
在步骤1056，每个核可以周期性地扫描其空闲队列列表。在一些实现中，该空闲对象列表可以被周期性地扫描。在一些实现中，该周期性可以是每1秒。在一些实现中，该周期性可以是60秒。周期性可以类似于图8D的步骤851。在一些实现中，每个核上单个周期过程可以扫描对应的空闲对象列表。
在步骤1057，该装置可以循环遍历每个核的空闲对象列表中的每个对象。该列表可能已经在不同的核处于步骤1053中填充了对象。在步骤1054处可以释放该列表中的每个对象。
K.用于多核系统上运营商级NAT的订户的动态资源配额的系统和方法
订户可以被配置为分配配置的资源限制。这些限制可以确保公平性，使得没有任何订户可以耗尽资源并阻止其他订户使用那些资源，尤其是对于诸如端口或存储器之类的稀缺资源。订户包括装置、服务器、服务等，其为来源，即接附至内部网络且具有待转换的地址。
在诸如本文所述的多核装置之类的多核系统上,配额可以被划分成由所有者核拥有的专用配额和共享配额。将配额分成专用配额和共享配额可以有效地实现对资源的限制。共享配额可以用来根据需要进行分配。可以为每个配额设置配额限制。
当收到新的资源请求时，核可以首先使用专用配额直到达到配额限制为止。此后，可以依据单独单元或分块中的锁来分配共享配额。当释放资源时，可以首先释放共享配额。就像分配一样，可以以单独单元或分块释放资源。配额可以被动态地改变并且可以立即用于接收的新的资源分配请求。
在一些实现中，可以减少配额限制。如果减少专用配额的配额限制，则该专用配额可能减少了新配额限制与旧配额限制之间的差值。接着，共享配额可能增加了该差值。在一些实现中，可以通过新配额限制与该配额使用的资源量(其可能小于旧配额限制)之间的差来计算该差值。在一些实例中，当共享配额增加时，共享配额限制可能会透支，并且剩余共享配额可能整体为负。
类似地，如果对于专用配额增加配额限制，则该专用配额可能增加了新配额限制与旧配额限制之间的差值。可以释放在共享配额中使用的一些或全部资源，其数量由该差值确定。
图11A为用于释放配额单元的方法的实施例的流程图。总的来说，该方法1100可包括该装置接收订户释放了资源的指示(步骤1101)，确定资源是否已经使用了配额单元(步骤1102)，以及减少本地核的使用的单元(1103)。该方法还可包括该装置确定本地核是否已经使用了共享配额并且当前空闲配额是否大于共享分块大小(步骤1104)，以及减小本地核共享配额并增加全局共享配额(步骤1105)。
在步骤1101，该装置可接收订户释放了资源的指示。在一些实现中，该订户可以发送可关闭会话或可关闭端口的通知。在一些实现中，资源可以是存储器。
在步骤1102，该装置可确定资源是否已经使用了配额单元。在一些实现中，配额单元可以是分配给本地核的资源或资源类型的配额的部分。在一些实现中，配额单元可以指对本地核配额的任何资源计数。如果该资源没有使用配额单元，则该方法停止。否则，该方法可继续至步骤1103。
在步骤1103，如果资源已经使用了配额单元，则该装置可以减少本地核使用的单元。每个核可以跟踪每种资源类型的配额限制，以及每种资源类型被使用单元的数量。例如，本地核可以跟踪该核当前使用的端口的数量。
在步骤1104，该装置可确定本地核是否已经使用了共享配额以及当前空闲配额是否大于共享分块大小。在一些实现中，本地核可确定该本地核是否已经使用了共享配额以及当前空闲配额是否大于共享分块大小。在一些实例中，如果本地核用完了专用配额，本地核之前已经使用了共享配额。该共享分块大小可以是由本地核当前可使用的全局配额所共享的分块的大小。当前空闲配额可以指要通过释放该资源进行释放的单元数量。因此，如果当前空闲配额大于共享分块大小，则可以从共享资源配额释放得多于共享分块。
在步骤1104，该装置可减少本地核共享配额并增加全局共享配额。在一些实现中，该装置的核(例如本地核)可减少本地核共享配额并增加全局共享配额。由于已经保存了被释放的资源的共享分块现在可能为空，所以可以释放该共享分块并将其送回至全局共享配额。本地核共享配额可以被减少，这指示本地核可能少了一个来自全局共享资源的分块。并且，可以增加全局共享配额，这指示多了一个分块可用于进行共享。
图11B为用于使用延迟复制给动态实体配置配额的方法的实施例的流程图。总的来说，该方法1110包括该装置为一组订户配置诸如会话和端口之类的资源的配额(步骤1111)，并计算关于下列项的参数：a)每核专用配额，b)剩余全局共享配额和c)共享分块大小，将以其进行全局共享配额的分配(步骤1112)。该方法还可包括该装置接收资源分配请求(步骤1113)，确定核本地订户具有配额信息(步骤1114)，以及继续进行配额分配(1115)。该方法还可包括该装置使用在本地子结构中计算的参数初始化专用配额并保存共享分块大小以及重置使用的配额(步骤1116)，确定全局订户具有配额信息(步骤1117)以及初始化全局共享配额和剩余配额(步骤1118)。
在步骤1111，该装置可以为一组订户配置关于资源(例如会话和端口)的配额。在一些实现中，该装置的一个或多个核可以配置资源的配额。该方法可以从多核装置的初始化方法中进行调用。可以使用一个或多个配置参数。可以配置每个订户的每订户配额。
在步骤1112，该装置可以计算关于下列项的参数：a)每核专用配额，b)剩余全局共享配额和c)共享分块大小，将以其进行全局共享配额的分配。每个核可以具有专用配额。所有核可以从一个全局共享配额进行共享。在一些实现中，该装置的一个或多个核可以计算关于下列项的参数：a)每核专用配额，b)剩余全局共享配额和c)共享分块大小，将以其进行全局共享配额的分配。共享分块大小可以指示一次一个核共享多少单元。分块大小例如可以是1、2、16、256或小于全局配额数量的任一数量。在一些实现中，全局配额的大小可以是分块大小的倍数。这些参数可以是基于存储器大小和来自步骤1111的一个或多个配置参数来计算的。可以用步骤1111和1112来初始化配额。每个订户可以具有每资源配额参数的集合。
在步骤1113，该装置还可以接收资源分配请求。在一些实现中，如结合图10C所述的，可以在分配对象之后或之前接收该请求。可以在本地核分配资源，或者可以在本地核接收该分配资源的请求。
在步骤1114，该装置可确定核本地订户具有配额信息。在一些实现中，本地核可以跟踪每订户配额信息，其可根据配置参数进行限制。例如，可以允许订户使用16端口的限制。每订户限制可以被设置为任一数，从0至多核装置上可用资源的最大数。在一些实现中，可以不将每订户限制设置为本地核级别的配额限制。
在步骤1115，该装置可以继续进行配额分配。在一些实现中，本地级别的每订户配额限制可以自步骤1114可用。在其他实现中，全局每订户配额可以自步骤1117可用。该方法可以继续进行如结合图11C所述的配额分配。如果本地核不具有每订户配额信息，可以在步骤1116初始化该信息。
在步骤1116，该装置还可以使用在本地结构中计算的参数初始化专用配额并保存共享分块大小以及重置使用的配额。在一些实现中，已经在步骤1112初始化地计算了这些参数。在一些实现中，可以将专用配额和共享分块大小初始化为来自步骤112的一组默认参数。在一些实现中，该初始的参数可以是依据从本地订户结构加载的参数来计算的。因为还没有资源被用作配额的部分，因此可以重置该配额。
在步骤1117，该装置可确定订户具有配额信息。在一些实现中，关于一类资源的每订户配额可以施加于全局级别。例如，订户可以在所有端口上一起使用128端口的限制。该全局订户可以是全局订户结构，其包括关于该订户当前正使用的资源总量的信息。如果该配额信息是可用的，则该方法可继续至步骤1115，到图11C上。否则，该方法可继续至步骤1118。
在步骤1118，该装置可以初始化全局共享配额和剩余配额。全局共享配额可以之前并没有被初始化。可以基于配置参数对全局共享配额进行初始化，并且因为还没有分配任何全局共享配额，因此其值可以设置为零。可以类似地将剩余配额设置为可用于共享的资源的最大数量。在一些实现中，全局共享配额的初始值。剩余配额可考虑分块大小，并且可将剩余配额设置最大大小除以分块大小。
图11C为用于分配配额单元的方法的实施例的流程图。总的来说，该方法1120包括该装置通过核或分组引擎接收来自订户的对诸如端口或会话之类的资源的请求(步骤1121)，确定是否为该资源配置了配额(步骤1122)，以及允许该请求且不使用配额单元(1123)。该方法还可包括该装置确定本地核使用的单元是否小于核配额,该核配额可以是专用配额和当前核的共享配额的总和(步骤1124)，以及允许该请求并同时在核上增加使用的单元(步骤1125)。该方法还可以包括该装置确定全局共享配额是否可用(步骤1126)，增加本地核的共享配额并将全局共享配额减小共享分块大小(步骤1127)，以及拒绝该订户的请求(步骤1128)。
在步骤1121，该装置可以接收对资源的请求。该请求可以是从订户发送的。可以通过核或由核执行的分组引擎来接收该请求。资源可以例如为端口或会话。
在步骤1122，该装置可确定是否为该资源配置了配额。每个核可以访问关于该请求中所指定的资源类型的每订户配额。例如，该订户可具有16个端口的配额。在一些实现中，因为还没有配额可用于该资源类型或用于发送该请求的订户，所以还没有配置该配额。如果尚未配置配额，该方法继续至步骤1123。否则，该方法继续至步骤1124。
在步骤1123，该装置可以允许该请求，而不使用配额单元。在一些实现中，还没有配额可用于该资源类型。在一些实现中，还没有配额可用于该订户。可以允许该对资源的请求，但是没有任何配额单元可以被使用。
在步骤1124，该装置可确定本地核使用的单元是否小于核配额,该核配额可以是专用配额和当前核的共享配额的总和。“核配额”可以代表该核中已经分配给该订户使用的资源量。“本地核使用的单元”可以是该本地核中该订户当前正在使用的资源量。如果本地核使用的单元小于核配额，则还可以自该核配额使用更多资源而不必从全局共享配额请求额外的资源。如果更多的本地资源可用，则该方法可继续至步骤1125以允许该请求。否则，该方法继续至步骤1126。
在步骤1125，该装置可以许可来自步骤1121的请求。可以使用分配给该本地核的更多单元。可以增加本地核使用的单元以跟踪当前正在使用的资源的实际单元的数量。
在步骤1126，如果本地核在已给其分配的配额(专用配额或已共享的配额)中没有额外的资源，则该装置确定全局共享配额是否可用。在一些实现中，该全局共享配额可以使用指示可用于在核间共享的资源单元或分块的数量的数字来进行跟踪。如果全局共享配额大于零，则该请求可以被许可并且该方法可以继续至步骤1127。否则，没有可用资源来给该请求提供服务，并拒绝该请求。
在步骤1127，该装置增加本地核共享的配额并将全局共享配额减小共享分块大小。在一些实现中，本地核共享配额可以按每订户、每资源来跟踪该本地核共享的资源的本地单元的数量。例如，如果对于所请求的资源没有任何全局共享资源为本地核所使用，则本地核共享的配额可以是零。在又一个实例中，本地核共享配额可以是16，以指示对于该订户，该核当前使用了16个全局共享资源。在一些实现中，共享分块大小可以是一次可与核共享的资源量。在一些实现中，全局共享配额可以跟踪可用分块的数量而不是跟踪该资源量，并且可以将全局共享配额减小1。
在步骤1128，该装置可以拒绝该订户对于资源的请求。在本地核上没有任何可用的资源，并且也没有更多资源可通过全局共享来进行共享。
图11D为用于动态改变配置的配额的方法的实施例的流程图。该方法1130包括该装置接收对于一组订户的资源配额的配置中的改变(步骤1131)，遍历每个核中所有动态订户实体并执行更新(步骤1132)，比较新的与旧的核专用配额和全局共享配额(步骤1133)，以及更新配额信息(步骤1134)。该方法还可包括该装置计算所配置的专用配额与核当前使用的专用配额中的变化(步骤1135)，以及确定是否已增加了该配额(步骤1136)。该方法还可包括通过计算所使用的专用配额和新专用配额之间的差值来从全局订户借用共享配额(步骤1137)，或通过增加专用配额或所使用的专用配额(取较小的那一个)来将共享配额返回给全局订户(步骤1138)。该方法还可以包括该装置在核订户中更新专用配额和共享分块大小(步骤1139)，计算所配置的全局共享配额中的变化，其可以正向或负向的(步骤1140)，以及在全局订户中更新该新的共享配额并将该变化添加至剩余共享配额(步骤1141)。
在步骤1131，该装置可以接收关于一组订户的资源配额的配置中的变化。在一些实例中，可以增加该配额，而在其他实例中，可以减小该资源配额。在一些实现中，该配置可以按每核、每订户来改变资源配额。
在步骤1132，该装置遍历每个核上所有动态订户实体并执行更新。在一些实现中，动态订户实体是指如结合图10A所述的动态实体。在一些实现中，动态订户实体是指可以分配给订户的动态实体或者可以用于转换和路由来自或去往该订户的流量的动态实体。接着可以遍历和更新用于该订户的每个动态实体。
在步骤1133，该装置可比较新的和旧的核专用配额和全局共享配额。该新的核专用配额可以是在步骤1131中配置变化的部分。该比较步骤可以确定该配额是否确实在被改变。该配置变化可以针对其中一个资源或者仅针对其中一个订户改变配额，因此对于某些资源配额，并非必须进行改变。在一些实现中，可以改变可用的全局配额量。
在步骤1134，该装置可以更新配额信息。在一些实现中，可能不需要任何变化。在一些实现中，可以增加或减少配额。正在被更新的配额可以是核本地配额或全局配额。
在步骤1135，该装置可以计算配置的专用配额与核当前使用的专用配额中的变化。在一些实现中，可以通过从新的配额值减去旧的配额值来计算该变化。旧的配额值可以指核当前使用的专用配额，而新的配额值可以指配置的专用配额。
在步骤1136，该装置可以确定是否已增加了配额。在一些实现中，如果在步骤1135中计算的变化是正向的，则已经增加了配额。如果配额已经增加，该方法继续至步骤1138。否则，配额已经减小，该方法继续至步骤1137。
在步骤1137，如果已减小该配额，该装置通过计算所使用的专用配额与新的专用配额之间的差值来从全局配额借用共享配额。该差值可以表示核专用配额中不可用的资源量。该方法可以继续至步骤1139。
在步骤1138，如果已增加该配额，该装置通过增加专用配额或所使用的专用配额(取较小值)来将共享配额返回至全局订户。专用配额可以指该限制，而所使用的专用配额可以是相对于专用配额计数的当前正在使用的资源量。该方法可以继续至步骤1139。
在步骤1139，该装置可以在核订户中更新专用配额和共享分块大小。该专用配额和共享分块大小可以按每订户来进行跟踪并且可以被保存在订户结构中。该专用配额可能已经被增加或减小。该共享分块大小可以指当前核的订户共享的分块的数量和/或在共享分块中每分块的资源数量。
在步骤1140，该装置可以计算配置的全局共享配额中的变化，其可以是正向的或负向的。如果专用配额增加以及如果共享分块大小大于零，则可以增加全局共享配额。如果专用配额减小至比所使用的专用配额更小的值，则可减小全局共享配额。
在步骤1141，该装置可以在全局订户中更新该新的共享配额并将该变化添加至剩余共享配额。全局订户可以是在全局存储器中保存的订户结构，该全局存储器保存共享配额。可以将从步骤1140计算的变化加到共享配额值。接着该方法可包括步骤1134，在那里更新配额信息。
应该理解，上文描述的系统可提供这些组件的任意多个或每一个并且这些组件可以在独立机器上提供，或者在一些实施例中，可在分布式系统的多个机器上提供。可以使用编程和/或工程技术将上文所描述的系统和方法实现为方法、装置或产品以提供软件、固件、硬件或上述的任何组合。此外，上述系统和方法可作为在一件或多件产品上实现或在其中实现的一个或多个计算机可读程序而被提供。本文使用的术语“产品”旨在包括从一个或多个计算机可读的装置、固件、可编程逻辑、存储器装置(例如，EEPROM、ROM、PROM、RAM、SRAM等)、硬件(例如，集成电路芯片、现场可编程门阵列(FPGA)、专用集成电路(ASIC)等)、电子装置、计算机可读的非易失存储单元(例如，CD-ROM、软盘、硬盘等)可访问的或嵌入其中的代码或逻辑。所述产品可以是从经由网络传输线、无线传输介质、通过空间传播的信号、无线电波、红外信号等提供对计算机可读程序的访问的文件服务器可访问的。所述产品可以是闪存卡或磁带。所述产品包括硬件逻辑以及嵌入在计算机可读介质中由处理器执行的软件或可编程代码。通常，计算机可读程序可以任何编程语言来实现，如LISP、PERL、C、C++、C#、PROLOG，或者诸如JAVA的任何字节码语言。软件程序可以作为目标代码被存储在一件或多件产品上或其中。
尽管已经描述该方法和系统的各种实施例，但是这些实施例是示例性的并且不以任何方式限制所述方法和系统的范围。相关领域中的技术人员在不脱离所描述方法和系统的最宽范围的情况下可以对所描述的方法和系统的形式和细节进行修改。因此，本文描述的方法和系统的范围不应该通过这些示例性实施例来限定，而是应该根据所附权利要求书和其等价范围来限定。

Claims (20)

1.一种在多核系统上支持网络地址转换(NAT)会话管理的方法，包括：
对于在多个客户机中的一个客户机和多个服务器中的一个服务器之间建立的会话，由在所述多个客户机与所述多个服务器中间的多核装置的第一核将网络地址转换(NAT)会话插入到在该第一核的存储器中所保存的本地出站会话表中；
由第一核确定所述多核装置的第二核将充当从服务器到客户机的对请求的响应的接收核；以及
由第一核响应于确定第二核将充当所述接收核，将所述NAT会话插入到全局会话表中。
2.根据权利要求1所述的方法，还包括：
由多核装置的第二核识别所述NAT会话没有被包含在第二核的存储器中所保存的本地入站会话表中；
在所述全局会话表中识别所述NAT会话；以及
由第二核将所述NAT会话插入第二核的存储器上所保存的本地入站会话表中。
3.根据权利要求1所述的方法，还包括：
由第一核确定第一核将充当从服务器到客户机的对所述请求的响应的接收核；以及
由第一核将所述NAT会话插入第一核的存储器上所保存的本地入站会话表中。
4.根据权利要求1所述的方法，还包括：
由第一核识别该第一核所拥有的现有NAT会话；
确定该现有NAT会话是使用全局会话表共享的；
确定该现有NAT会话不再被使用；
从第一核的存储器中所保存的本地出站会话表中移除该现有NAT会话；以及
从被确定为充当与该现有NAT会话对应的分组的接收核的所述多核装置的核的存储器中保存的本地入站会话表中移除该现有NAT会话。
5.根据权利要求1所述的方法，还包括：
由第一核接收与所述NAT会话对应的输入分组；
确定至少一个服务与所述NAT会话相关联；以及
将来自客户机的输入分组转发给所述服务。
6.根据权利要求1所述的方法，还包括：
由第一核接收对第一核上范围内的端口的请求；
循环遍历第一核的本地位图中由端口构成的槽；
确定所述本地位图中由端口构成的槽具有至少一个空闲端口；以及
由第一核响应于所述请求来分配所述空闲端口。
7.根据权利要求1所述的方法，还包括基于块分配或NAT会话的其中之一来分配端口范围。
8.根据权利要求1所述的方法，还包括：
由第一核接收分配对象的请求；
确定所述对象在第一核的存储器的空闲队列中可用；
将所述对象从所述空闲队列中移除；以及
将所述对象返回给从其接收到所述请求的核。
9.根据权利要求1所述的方法，还包括：
由第一核接收对第一核上资源的请求；
由第一核确定为资源配置了配额；以及
响应于确定没有为所述资源配置配额，处理所述请求。
10.根据权利要求9所述的方法，还包括：
响应于确定没有为所述资源配置配额，确定第一核所使用的单元数量小于第一核的配额；以及
响应于确定第一核所使用的单元数量不小于第一核的配额，处理所述请求；以及
根据所处理的请求更新由第一核使用的单元数量。
11.一种在多核系统上支持网络地址转换(NAT)会话管理的系统，包括：
在多个客户机和多个服务器中间的多核装置，所述多核装置包括第一核和第二核，第一核被配置为：
对于在所述多个客户机中的一个客户机和所述多个服务器中的一个服务器之间建立的会话，将网络地址转换(NAT)会话插入到在该第一核的存储器中保存的本地出站会话表中；
确定所述多核装置的第二核将充当从服务器到客户机的对请求的响应的接收核；
响应于确定第二核将充当所述接收核，将所述NAT会话插入到全局会话表中。
12.根据权利要求11所述的系统，其中第二核被配置为：
识别所述NAT会话没有被包含在第二核的存储器中所保存的本地入站会话表中；
在所述全局会话表中识别所述NAT会话；以及
将所述NAT会话插入第二核的存储器上所保存的本地入站会话表中。
13.根据权利要求11所述的系统，其中第一核还被配置为：
确定第一核将充当从服务器到客户机的对所述请求的响应的接收核；以及
将所述NAT会话插入第一核的存储器上所保存的本地入站会话表中。
14.根据权利要求11所述的系统，其中第一核还被配置为：
识别第一核所拥有的现有NAT会话；
确定该现有NAT会话是使用全局会话表共享的；
确定该现有NAT会话不再被使用；
从第一核的存储器上所保存的本地出站会话表中移除该现有NAT会话；以及
从被确定为充当与该现有NAT会话对应的分组的接收核的所述多核装置的核的存储器上保存的本地入站会话表中移除该现有NAT会话。
15.根据权利要求11所述的系统，其中第一核还被配置为：
接收与所述NAT会话对应的输入分组；
确定至少一个服务与所述NAT会话相关联；以及
将来自客户机的输入分组转发给所述服务。
16.根据权利要求11所述的系统，其中第一核还被配置为：
接收对第一核上范围内的端口的请求；
循环遍历第一核的本地位图中由端口构成的槽；
确定所述本地位图中由端口构成的槽具有至少一个空闲端口；以及
响应于所述请求来分配所述空闲端口。
17.根据权利要求11所述的系统，其中第一核还被配置为基于块分配或NAT会话的其中之一来分配端口范围。
18.根据权利要求11所述的系统，其中第一核还被配置为：
接收分配对象的请求；
确定所述对象在第一核的存储器的空闲队列中可用；
将所述对象从所述空闲队列中移除；以及
将所述对象返回给从其接收到所述请求的核。
19.根据权利要求11所述的系统，其中第一核还被配置为：
接收对第一核上资源的请求；
确定为资源配置了配额；以及
响应于确定没有为所述资源配置配额，处理所述请求。
20.根据权利要求19所述的系统，其中第一核还被配置为：
响应于确定没有为所述资源配置配额，确定第一核所使用的单元数量小于第一核的配额；以及
响应于确定第一核所使用的单元数量不小于第一核的配额，处理所述请求；以及
根据所处理的请求更新由第一核使用的单元数量。
CN201580056241.0A 2014-09-09 2015-09-08 用于运营商级nat优化的系统和方法 Active CN107079060B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US14/481,215 US9602465B2 (en) 2014-09-09 2014-09-09 Systems and methods for carrier grade NAT optimization
US14/481215 2014-09-09
PCT/US2015/048915 WO2016040307A1 (en) 2014-09-09 2015-09-08 Systems and methods for carrier grade nat optimization

Publications (2)

Publication Number Publication Date
CN107079060A true CN107079060A (zh) 2017-08-18
CN107079060B CN107079060B (zh) 2020-04-14

Family

ID=54150693

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201580056241.0A Active CN107079060B (zh) 2014-09-09 2015-09-08 用于运营商级nat优化的系统和方法

Country Status (4)

Country Link
US (1) US9602465B2 (zh)
EP (1) EP3192236B1 (zh)
CN (1) CN107079060B (zh)
WO (1) WO2016040307A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111698344A (zh) * 2020-05-28 2020-09-22 浪潮思科网络科技有限公司 一种网络地址转换方法、设备及介质
CN112804223A (zh) * 2021-01-06 2021-05-14 腾讯科技（深圳）有限公司 一种报文处理方法和装置
CN112929277A (zh) * 2019-12-06 2021-06-08 华为技术有限公司 一种报文处理方法及装置
WO2021190029A1 (zh) * 2020-03-24 2021-09-30 中兴通讯股份有限公司 实现运营商级网络地址转换的方法、装置和系统

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3105884A4 (en) 2014-02-11 2018-03-21 Yaana Technologies, LLC Mathod and system for metadata analysis and collection with privacy
US10447503B2 (en) 2014-02-21 2019-10-15 Yaana Technologies, LLC Method and system for data flow management of user equipment in a tunneling packet data network
US10334037B2 (en) 2014-03-31 2019-06-25 Yaana Technologies, Inc. Peer-to-peer rendezvous system for minimizing third party visibility and method thereof
US10476764B2 (en) * 2014-08-19 2019-11-12 Citrix Systems, Inc. Systems and methods for high volume logging and synchronization for large scale network address translation
JP2016063382A (ja) * 2014-09-18 2016-04-25 富士通株式会社 通信システム、通信方法、および、転送装置
US10285038B2 (en) 2014-10-10 2019-05-07 Yaana Technologies, Inc. Method and system for discovering user equipment in a network
US10542426B2 (en) 2014-11-21 2020-01-21 Yaana Technologies, LLC System and method for transmitting a secure message over a signaling network
WO2016176661A1 (en) 2015-04-29 2016-11-03 Yaana Technologies, Inc. Scalable and iterative deep packet inspection for communications networks
CN106254888B (zh) * 2015-06-09 2020-06-02 同济大学 一种图像编码及解码方法、图像处理设备
US9992113B2 (en) * 2015-06-30 2018-06-05 Vmware, Inc. Virtual network interface controller performance using physical network interface controller receive side scaling offloads
CN106534394B (zh) * 2015-09-15 2020-01-07 瞻博网络公司 用于管理端口的设备、系统和方法
EP3375155A4 (en) * 2015-11-13 2019-08-14 Yaana Technologies, LLC SYSTEM AND METHOD FOR DISCOVERING INTERNET PROTOCOL (IP) NETWORK ADDRESS LINKS AND PORT TRANSLATION
US11496527B2 (en) * 2015-12-28 2022-11-08 Netsapiens, Inc. Distributed session function architecture system and methods
US9860195B2 (en) * 2015-12-31 2018-01-02 Hughes Network Systems, Llc Method and system of providing carrier grade NAT (CGN) to a subset of a subscriber base
CN108259632B (zh) * 2017-05-24 2020-02-11 新华三技术有限公司 一种cgn实现方法及装置
US10756969B2 (en) * 2017-08-15 2020-08-25 Nicira, Inc. Disruption minimization for guests when applying changes to a data plane of a packet handler in a host
JP2022513444A (ja) * 2018-12-07 2022-02-08 フリート スペース テクノロジーズ プロプライエタリー リミテッド 高レイテンシ通信システムにおけるバックホールを有する遠隔ｌｐｗａｎゲートウェイ
JP7188046B2 (ja) * 2018-12-14 2022-12-13 富士フイルムビジネスイノベーション株式会社 通信システム、通信装置、通信システムプログラム及び通信プログラム
CN110032447B (zh) * 2019-04-11 2022-02-22 北京百度网讯科技有限公司 用于分配资源的方法和装置
CN111865876B (zh) 2019-04-29 2021-10-15 华为技术有限公司 网络的访问控制方法和设备
CN110134537A (zh) * 2019-05-05 2019-08-16 东软集团股份有限公司 多核系统中的会话表项超时处理方法、装置及多核系统
US11212229B2 (en) * 2019-10-11 2021-12-28 Juniper Networks, Inc. Employing machine learning to predict and dynamically tune static configuration parameters
WO2022013908A1 (ja) * 2020-07-13 2022-01-20 日本電信電話株式会社 通信中継装置、通信中継システム、通信中継方法、および、プログラム
US11665131B1 (en) 2022-09-13 2023-05-30 Cisco Technology, Inc. Stateful redundancy for deterministic carrier-grade network address translation (NAT) services

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110268119A1 (en) * 2010-04-30 2011-11-03 Broadcom Corporation Packet processing architecture
CN102710497A (zh) * 2012-04-24 2012-10-03 汉柏科技有限公司 多核多线程网络设备的报文处理方法及系统
CN102907055A (zh) * 2010-03-26 2013-01-30 思杰系统有限公司 用于在多核装置上进行链路负载平衡的系统和方法
WO2013097910A1 (en) * 2011-12-30 2013-07-04 Telefonaktiebolaget L M Ericsson (Publ) Policy and charging control (pcc) for nat64 and dns64
US20130315230A1 (en) * 2011-02-01 2013-11-28 Alcatel Lucent Method and apparatus for providing a user with charging-related voice service
CN103731356A (zh) * 2013-12-09 2014-04-16 福建星网锐捷网络有限公司 报文处理方法及装置
US20140181341A1 (en) * 2012-12-20 2014-06-26 Qualcomm Incorporated System and method to reset a lock indication

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7369561B2 (en) * 2003-07-17 2008-05-06 Samsung Electronics Co., Ltd. Apparatus and method for route summarization and distribution in a massively parallel router
US8990431B2 (en) 2009-05-05 2015-03-24 Citrix Systems, Inc. Systems and methods for identifying a processor from a plurality of processors to provide symmetrical request and response processing
KR101019251B1 (ko) 2010-07-23 2011-03-04 주식회사 파이오링크 멀티코어 환경에서 ｎａｔ를 사용하는 경우에 적합한 패킷 분산 방법, 장치 및 컴퓨터 판독 가능한 기록 매체

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102907055A (zh) * 2010-03-26 2013-01-30 思杰系统有限公司 用于在多核装置上进行链路负载平衡的系统和方法
US20110268119A1 (en) * 2010-04-30 2011-11-03 Broadcom Corporation Packet processing architecture
US20130315230A1 (en) * 2011-02-01 2013-11-28 Alcatel Lucent Method and apparatus for providing a user with charging-related voice service
WO2013097910A1 (en) * 2011-12-30 2013-07-04 Telefonaktiebolaget L M Ericsson (Publ) Policy and charging control (pcc) for nat64 and dns64
CN102710497A (zh) * 2012-04-24 2012-10-03 汉柏科技有限公司 多核多线程网络设备的报文处理方法及系统
US20140181341A1 (en) * 2012-12-20 2014-06-26 Qualcomm Incorporated System and method to reset a lock indication
CN103731356A (zh) * 2013-12-09 2014-04-16 福建星网锐捷网络有限公司 报文处理方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
徐远翔: "基于Octeon多核处理器的NAT协议研究与实现", 《中国优秀硕士学位论文全文数据库》 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112929277A (zh) * 2019-12-06 2021-06-08 华为技术有限公司 一种报文处理方法及装置
CN112929277B (zh) * 2019-12-06 2024-03-05 华为云计算技术有限公司 一种报文处理方法及装置
WO2021190029A1 (zh) * 2020-03-24 2021-09-30 中兴通讯股份有限公司 实现运营商级网络地址转换的方法、装置和系统
US11863516B2 (en) 2020-03-24 2024-01-02 Zte Corporation Method, apparatus and system for realizing carrier grade network address translation
CN111698344A (zh) * 2020-05-28 2020-09-22 浪潮思科网络科技有限公司 一种网络地址转换方法、设备及介质
CN112804223A (zh) * 2021-01-06 2021-05-14 腾讯科技（深圳）有限公司 一种报文处理方法和装置
CN112804223B (zh) * 2021-01-06 2024-04-16 腾讯科技（深圳）有限公司 一种报文处理方法和装置

Also Published As

Publication number Publication date
US20160072766A1 (en) 2016-03-10
EP3192236B1 (en) 2018-09-05
EP3192236A1 (en) 2017-07-19
CN107079060B (zh) 2020-04-14
WO2016040307A1 (en) 2016-03-17
US9602465B2 (en) 2017-03-21

Similar Documents

Publication Publication Date Title
CN107079060A (zh) 用于运营商级nat优化的系统和方法
CN105393220B (zh) 用于在集群系统中部署点状虚拟服务器的系统和方法
CN104364761B (zh) 用于在集群网络中转发流量的系统和方法
CN104365067B (zh) 用于重组跨集群分发的分组的系统和方法
CN104380693B (zh) 用于在集群中动态路由的系统和方法
CN110366720A (zh) 在绕过容器Linux网络堆栈的同时运行Docker容器内的用户空间网络堆栈的系统和方法
CN103155524B (zh) 用于在多核系统中的多个核之间共享iip地址的系统和方法
CN104365058B (zh) 用于在多核和集群系统中高速缓存snmp数据的系统和方法
CN103765851B (zh) 用于到任何服务的透明的层2重定向的系统和方法
CN104380660B (zh) 用于在多核和集群系统中进行陷阱监控的系统和方法
CN105229996B (zh) 用于减少对下一安全记录的拒绝服务攻击的系统和方法
CN104620539B (zh) 用于通过集群支持snmp请求的系统和方法
CN105284052B (zh) 用于基于字典的压缩的系统和方法
CN103154895B (zh) 用于在多核系统中的核上管理cookie代理的系统和方法
CN105190557B (zh) 用于通过多级api集成在公共与私有云之间进行桥接的系统和方法
CN110249596A (zh) 用于saas应用的基于qos的分类和优先级排序的学习技巧
CN109154896A (zh) 用于服务链负载平衡的系统和方法
CN102783090B (zh) 用于多核系统中的对象速率限制的系统和方法
CN104904160B (zh) 用于数据流的应用流的系统和方法
CN107005547A (zh) 用于由中间装置执行对于客户机的远程桌面会话的单点登录的系统和方法
CN108476231A (zh) 用于经由中间装置维持会话的系统和方法
CN102217273B (zh) 用于应用流畅性策略的系统和方法
CN102460394B (zh) 用于多核系统中的分布式哈希表的系统和方法
CN103392321B (zh) 用于基于策略集成横向部署的wan优化设备的系统和方法
CN109906595A (zh) 用于跨不同类型的处理硬件执行密码操作的系统和方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant