CN107852365A - 具有加密和流量工程解析的动态vpn策略模型 - Google Patents

具有加密和流量工程解析的动态vpn策略模型 Download PDF

Info

Publication number
CN107852365A
CN107852365A CN201680042987.0A CN201680042987A CN107852365A CN 107852365 A CN107852365 A CN 107852365A CN 201680042987 A CN201680042987 A CN 201680042987A CN 107852365 A CN107852365 A CN 107852365A
Authority
CN
China
Prior art keywords
network
strategy
level
bottom layer
vpn
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201680042987.0A
Other languages
English (en)
Other versions
CN107852365B (zh
Inventor
法彼奥·R·麦诺
霍里亚·米克莱亚
约翰·埃文斯
布莱恩·艾略特·韦斯
维纳·厄尔玛甘
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Cisco Technology Inc
Original Assignee
Cisco Technology Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cisco Technology Inc filed Critical Cisco Technology Inc
Publication of CN107852365A publication Critical patent/CN107852365A/zh
Application granted granted Critical
Publication of CN107852365B publication Critical patent/CN107852365B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/78—Architectures of resource allocation
    • H04L47/781—Centralised allocation of resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5003—Managing SLA; Interaction between SLA and QoS
    • H04L41/5019—Ensuring fulfilment of SLA
    • H04L41/5025—Ensuring fulfilment of SLA by proactively reacting to service quality change, e.g. by reconfiguration after service quality degradation or upgrade
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0882—Utilisation of link capacity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/64—Routing or path finding of packets in data switching networks using an overlay routing layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0823—Configuration setting characterised by the purposes of a change of settings, e.g. optimising configuration for enhancing reliability

Abstract

接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略。VPN用于基于高级网络策略来提供VPN的连接站点之间的安全连接性。将高级网络策略转换为低级设备配置信息，该低级设备配置信息被表示在网络覆盖中并用于对向VPN提供连接站点的网络底层进行配置。用设备配置信息来配置网络底层，使得网络底层根据高级策略来实现VPN。确定网络底层是否按照高级网络策略进行操作以引导连接站点之间业务流。如果确定网络底层不按照高级网络策略进行操作，则用新的低级设备配置信息来重新配置网络底层，使得网络底层按照高级网络策略进行操作。

Description

具有加密和流量工程解析的动态VPN策略模型
优先权声明
本申请要求于2015年8月19日提交的美国临时申请No.62/207,137的优先权，其全部内容通过引用并入本文。
技术领域
本公开涉及虚拟专用网络。
背景技术
计算环境中使用的网络可以以许多不同的方式进行配置。例如，局域网(LAN)是共享通用通信线路的一组计算设备。计算和存储资源可以在LAN内共享。此外，LAN可以与少数计算设备一样小，或者与整个企业(例如，办公楼、办公综合楼等)一样大。另一网络配置是广域网(WAN)。WAN是在地理上分散的电信网络。广为人知的WAN的典型示例是互联网。第三种网络配置是城域网(MAN)，在MAN中计算设备在比LAN大且比典型WAN小的地理区域或特定区域中连接。此外，近年来业界出现了被称为虚拟专用网络(VPN)的新型网络。VPN是利用公共电信并通过使用隧道协议和安全程序来保持隐私的专用网络。
例如，公司或企业可以在其网络内启用VPN，并且可以使用公共网络(例如，互联网)来路由远程设备和公司的VPN内的设备之间的通信。因此，远程设备可以经由公共网络使用“虚拟”连接来连接到VPN内的设备并与VPN内的设备交换安全通信。这些通信也可以被加密，使得未被认证或以其他方式被允许访问VPN的设备不能解密和访问这些通信。
附图说明
图1是根据实施例的iVPN架构的高级框图。
图2是根据实施例的在iVPN架构中执行的高级操作的流程图，这些操作用于实现并监视iVPN架构的网络底层中的VPN的操作。
图3是根据实施例的在iVPN架构中使用的VPN策略模型的图示。
图4是根据实施例的图1的iVPN架构的详细框图的图示。
图5是根据实施例的图4的iVPN架构中的映射服务器的详细框图。
图6是根据实施例的在高级策略已应用于iVPN架构之前处于初始或默认状态的映射服务器的图示。
图7是根据实施例的在高级连接性策略已应用于iVPN架构之后的映射服务器的图示。
图8是根据实施例的在高级分段路由策略已应用于iVPN架构之后的映射服务器的图示。
图9是根据实施例的在高级服务插入策略已应用于iVPN架构之后的映射服务器的图示。
图10是根据实施例的在高级加密策略已应用于iVPN架构之后图4的iVPN架构的密钥管理服务器的图示。
图11是根据实施例的用于实现图1和图4的iVPN控制器的计算机设备的框图。
图12是在iVPN架构的网络底层中使用的诸如网络路由器设备或网络交换机设备之类的网络设备的框图。
具体实现方式
概览
接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略。VPN基于该高级网络策略提供VPN的连接站点之间的安全连接性。高级网络策略被转换成在网络覆盖中表示的低级设备配置信息，并用于对向VPN提供连接站点的网络底层进行配置。用设备配置信息来配置网络底层，使得网络底层根据高级策略来实现VPN。确定网络底层是否按照高级网络策略进行操作以引导连接站点之间的业务(traffic)流。如果确定了网络底层不按照高级网络策略进行操作，则用新的低级设备配置信息来重新配置网络底层，使得网络底层按照高级网络策略进行操作。
详细描述
当前的虚拟专用网络(VPN)技术使用分布式网络协议来在(例如，基于多协议标签交换(MPLS)或基于互联网协议(IP)的)与客户驻地设备(CPE)互连(即，连接)的共享网络基础设施之上为客户创建VPN。传统的VPN主要依据它们提供连接性的对象而被抽象出来，这着重于转发策略。这种抽象通常限于在物理网络基础设施之上实现逻辑拓扑的多个(分段的)虚拟网络。实际上，VPN是安全的覆盖，其被部署不仅用于提供连接性，而且还用于在虚拟拓扑之上实现多个策略。这些策略可以包括例如：(1)安全策略，例如，要求数据机密性、数据完整性、数据源认证之类的安全策略或者表示微分段策略的那些安全策略(例如，基于组的策略(GBP))；(2)附接和运输策略(例如，多归属和地址族要求)；(3)用于在网络中选择特定路径的流量工程(traffic engineering，TE)策略以及服务链策略。例如，为了反映更高的商业级(business-level)策略要求方面的变化，为了反映底层物理网络基础设施方面的变化，或者由于策略是仅针对给定类别的业务(例如，特定流)而指定的，这些策略中的许多策略可以动态地变化。
为了解决这些问题，本文提出了在一组策略中定义的自适应且动态的安全覆盖模型，其可以用于将与VPN相关联的高级或商业级策略转换为低级或网络级策略。根据本文所提出的技术的覆盖模型提供了闭环控制环路，该闭环控制环路测量所实现的网络级策略与所指定的商业级策略之间的差异。在检测到差异后，控制环路可以自动地和动态地调整网络级策略以实施服务级协议(SLA)，并将测量到的差异报告给感兴趣的各方。因此，策略的变化可以整体反应并以统一的方式实现。
本文所提出的技术包括三个主要组件，即：(1)策略模型，可用于描述商业级策略；(2)VPN策略解析器，其将商业级策略转换为网络级策略；(3)闭环系统，其实时测量所实现的网络级策略和预期的商业级策略之间的差异，并将这些测量结果返回给VPN策略解析器。据此，VPN策略解析器可以作出反应以最小化差异。在某些示例中，这些组件作为所谓的“iVPN”系统架构的一部分来实现。iVPN系统架构是边缘到边缘的IP覆盖层2(L2)/层3(L3)VPN系统架构(也被称为“iVPN架构”或“iVPN系统”)，其将集中式控制的基础设施用作所有网络服务的单一策略控制点，以便集成VPN策略、流量工程(分段路由)策略、和服务插入(NSH)策略。
iVPN架构为用户提供了VPN的更高级抽象，从而公开了表示VPN及其属性的动态策略模型(连接性策略、安全性策略、流量工程、以及服务链策略)。一些属性可能会随时间改变，并可能相应地推动所应用的策略的改变。例如，流量工程策略可以利用多个连接性路径，这些连接性路径可能由于例如拥塞、可用性等原因而随时间改变，并且相应地加密策略可能需要适应那些改变(例如，通过在经过私有传输的连接切换到公共传输时添加加密)。
图1是根据实施例的实现上述特征的示例iVPN架构100的高级框图。iVPN架构100包括集中式iVPN控制器102(也被称为“网络控制器”102)和网络底层104。iVPN控制器102实现与策略模型相关联的VPN策略模型106和网络覆盖108，以定义、配置和控制在网络底层104中实例化(即，实现)的VPN。网络底层104表示可配置的物理网络基础设施，这些基础设施包括互连的网络设备(例如，网络路由器、交换机等)以实现VPN并提供连接到VPN的附接/连接点或站点(例如，附接/连接点P1-P5)，CPE可以通过这些附接/连接点或站点来与VPN进行连接。网络底层104可以形成以下各项的一部分，或可以包括以下各项：一个或多个局域网(LAN)和一个或多个广域网(WAN)(例如，互联网)。
参考图2，图2是在iVPN架构100中执行的高级操作200(包括操作205-225)的流程图，这些操作用于实现并监视网络底层104中的VPN的操作。操作210-225被认为是自动操作，因为它们由计算机和/或网络设备自动地执行，即，不需要手动干预。
在205处，控制器102接收根据预定义的语法格式化的高级的、基于意图的VPN策略(也被称为“高级策略”)，这些高级策略共同地表示在高级处定义VPN的策略模型106。例如，高级策略可以由网络管理员输入。高级策略可以表示商业级VPN策略(也被称为“商业级策略”)，其包括例如以下各项中的一个或多个：连接性策略、拓扑策略、加密策略、流量工程策略、和流量插入策略。高级策略可以各自包括针对给定高级策略的网络策略要求(例如，性能要求)以及可测量的(可操作的)网络性能属性，该网络性能属性指示其中实现VPN的网络底层104是否按照给定的网络策略要求进行操作。
在210处，控制器102将高级策略转换为低级策略(即，网络级策略)，该低级策略以“对象”形式表示并存储在网络覆盖108中，例如包括配置脚本等。网络级策略包括用于配置网络底层104的网络设备的网络设备配置信息。在示例中，网络设备配置信息可以包括用于在网络底层104的附接站点之间转发网络业务的转发状态和其他配置信息，以及用于对网络底层中的网络业务进行加密的加密算法以及其他配置信息(例如，根据加密算法生成的密钥材料)。因此，网络覆盖108表示网络底层104的配置的抽象，并且其要在网络底层中实现以实例化VPN。因为网络覆盖108可以包括VPN的加密信息，所以网络覆盖也可以被称为“安全覆盖”。
在215处，控制器102用来自210的网络设备配置信息(被反映在网络覆盖108中)来配置网络底层104中的诸如网络路由器之类的物理联网基础设施，使得网络底层根据高级策略实现VPN。
在接下来的操作220和225中，控制器102和网络底层104协作以实现确保网络底层随时间按照高级策略进行操作(例如，对VPN的附接站点P1-P5之间的业务流进行指引和加密)的控制环。
例如，在220处，网络底层104测量在低级策略中指示的网络性能属性，并将测量结果报告给控制器102。控制器102从网络底层104接收/收集测量结果，并基于该测量结果确定网络底层是否根据高级策略进行操作。例如，控制器102将收集到的测量结果与高级策略所伴随有的对应的高级策略性能要求进行比较。
在225处，如果控制器102基于在220处的比较结果确定网络底层104未按照一个或多个高级策略进行操作，则控制器102生成用于网络底层104的新的网络设备配置信息，并用新的网络设备配置信息来重新配置网络底层，使得网络底层按照高级策略进行操作。
如上所述，控制器102接收高级(例如，商业级)策略，该高级策略根据策略模型106定义VPN。应理解的是，存在通过使用策略模型来对iVPN建模的各种方式并且本文所提出的技术可以与不同的模型一起使用。例如，根据一个示例，通过引入“租户”的概念(其表示“拥有”VPN的客户)来根据策略模型定义VPN。还引入了“实例”(或“上下文”)的概念作为另外的分区，其标识了单独的虚拟路由和转发(VRF)以将宏分段表示为属于同一租户的单独的互联网协议(IP)地址空间。在每个实例内，引入了“站点”的概念。站点是属于虚拟网络的同一实例的“端点”的集合。抽象意义上，“覆盖”表示可用于实现针对给定租户的VPN的网络资源(例如，交换机、路由器、服务、路径、封装、地址族等)的集合。在图1的示例中，网络覆盖108包括在网络底层104中可用的网络资源集合的抽象表示。
被选择用于由租户用VPN来实现的商业级策略是站点之间或站点与覆盖之间的关系。这些关系(在特定的iVPN模型中)由“合同”来表示。合同定义应用于在这两个实体之间交换的业务的入站和出站规则。因此，根据本文所提出的示例，iVPN商业策略可以构成存在于端点群组(EPG)、站点、和覆盖之间的一组合同，其中EPG可以表示一组端点的逻辑表示，并且站点可以是构成到VPN的附接点的一组客户驻地设备(CPE)路由器的逻辑表示。
参考图3，图3是包括上述构造的示例策略模型300的图示。例如，如图3所示，站点A和覆盖的多归属由站点A和该覆盖之间的合同CA中的“条款”表示。附接点的数目或者对传入和传出业务的负载平衡可以是该条款的可被监控的可测量的网络性能“属性”。可以将每个属性与其被称为“计数器”的测量结果相关联，该计数器反映了属性的实时状态(例如，附接点向上/向下、通过该链路发送的分组的数目、使用带宽等)。
站点之间的关系也由这两个站点之间的合同来表示。在图3的示例中，策略模型300包括分别在站点A和站点C、站点B和站点C、站点A和B、覆盖和站点A、覆盖和站点B、以及覆盖和站点C之间的合同CAC、CBC、CAB、CA、CB、和CC。例如，如果在站点A和B之间交换的网络业务需要加密，则相关联的合同CAB的条款(包括遵从该条款的业务的子集)将指定所需的加密。作为另一示例，如果需要在VPN中实施某种拓扑结构(例如，轴辐式(Hub-and-Spoke)布置)，轮毂(Hub)和轮辐(Spoke)之间的合同的条款将允许通信，但是两个轮辐之间的合同的条款将根据与这些轮辐相关联的商业需求来被允许或不被允许。
网络的动态特性可以以如下方式反映在合同中，该方式使得如果在合同中指定的被监控的属性达到某个要求值，则可以自动发起补救措施。例如，站点和覆盖之间的合同可以规定：如果计数器反映了与附接点相关联的业务或使用带宽的量超过某个阈值，则应实例化新的附接点。这样，本文所提出的技术使得能够实现iVPN中的用于自动处理实时事件的反应性特征。
在示例中，合同可以指定这样的网络性能要求：在给定站点(例如，边缘路由器)处的链路带宽使用率不超过该站点的最大链路容量(即，最大通信带宽)的预定分数(例如，百分之70)。该站点处的可测量的属性是链路带宽使用率。在所实现的VPN的操作期间，控制器102从站点收集链路带宽使用率测量结果并将其与网络性能要求进行比较。如果比较结果指示链路带宽使用率超过预定分数70％，则控制器102生成用于站点的新的配置信息并且重新配置站点，使得站点具有更高的最大链路容量以将所使用的最大链路容量的分数降低至低于70％。站点可以被重新配置为向现有链路添加额外链路以增加最大链路容量，或者可以增加现有链路的最大容量。
在另一示例中，合同可以规定站点要在没有加密的安全物理链路上和在具有加密的不安全物理链路上安全地通信。假定站点被配置成根据合同操作两个这样的链路，并且向控制器102发送每个链路的链路状态(即，可测量的属性是链路状态)。假设链路状态指示不安全物理链路已失效。控制器102查阅合同，根据合同认识到不安全物理链路缺失并且需要该不安全物理链路，因此将站点重新配置为通过安全物理链路发送所有的通信，直到配置了在其上将发送经加密的信息的新的不安全物理链路。
在某些示例中，VPN模型利用在以应用为中心的基础设施(ACI)架构中使用的一些高级对象。这使得本文所描述的策略模型与端点群组(EPG)模型正交和互补，因为EPG可以用作iVPN解决方案的一部分来表达应用于等同端点群组的微分段策略。然而，VPN模型本身是ACI架构的附加物。
如上所述，上述示例实现方式利用了与ACI架构类似的构造的语义。然而，应理解的是，本文所提出的示例可以利用具有不同构造的iVPN策略模型的不同实例。
参考图4，图4是根据实施例的iVPN架构100的详细框图的图示。控制器102配置有一组控制器组件，包括服务编配模块402、iVPN策略解析器404、映射服务器406、密钥管理服务器408、以及自动配置服务器410。这些控制器组件基于接收到的高级策略来建立策略模型106和网络覆盖108(图4中未示出)，并且将网络底层104配置为表示/实例化网络覆盖。网络底层104包括网络网关设备(例如，VPN边缘路由器412(1)-412(5)，也分别被标记为路由器A-路由器E)，该网络网关设备通过在底层IP(例如，IPv4和/或IPv6)或多协议标签交换(MPLS)传输网络上建立的IP隧道以及可选的加密来进行互连(即，彼此连接)。边缘路由器412表示用于各个CPE的到VPN的附接点/站点。控制器102的上述组件可以经由一个或多个局域网和/或广域网在控制器102与网络底层中的网络设备和CPE之间的一个或多个网络连接/链路上与网络底层104和CPE进行通信。
自动配置服务器410认证并授权CPE附接到VPN，并为CPE和网络底层104中的网络设备提供初始值或“第0天”配置信息(例如，针对边缘路由器412的地址分配)。
服务编配模块402作为对租户之内和之间的策略进行编配的“跨域”编配器来操作并且负责实例化VPN的总体控制。服务编配模块402可以呈现交互式用户界面(UI)以从用户征求和接收高级策略，并将接收到的高级策略提供给策略解析器404。
策略解析器404呈现抽象的北向接口以从服务编配模块402接收高级策略。策略解析器404可以表示用于在系统中应用策略的单个点。策略解析器404将高级策略转换为低级或网络级策略/网络设备配置信息，并将这样的信息提供给映射服务器406和密钥管理服务器408。例如，策略解析器404解析针对VPN连接性、拓扑、加密、流量工程(SR)、和服务插入(NSH)高级策略的转发状态，并且将转发状态提供给映射服务器406。类似地，策略解析器404将经转换的加密策略信息(例如，加密算法、密钥生存期等)提供给密钥管理服务器408。
映射服务器406例如通过使用带有表示对定位符/ID分离协议(LISP)的增强的适当的LISP规范地址格式(LCAF)扩展的LISP来存储来自策略解析器404的转发状态，并且还将转发状态提供(即，推送)到网络底层104的网络设备，包括边缘路由器412。因此，在实施例中，映射服务器406实现LISP覆盖映射系统。多个映射服务器可以用于弹性、扩展和多租户，即每个租户使用单独的服务器。
密钥管理服务器408存储来自策略解析器404的经转换的加密策略信息(例如，加密算法和密钥生存期)，并且还例如通过使用互联网密钥交换协议版本2(IKEv2)来将该信息提供或推送到边缘路由器412。密钥管理服务器408还根据加密策略信息动态地创建密码密钥材料，并将密钥材料分发给边缘路由器412(和CPE)，边缘路由器412被配置为基于经转换的加密策略信息和密钥材料对数据进行加密和解密。在实施例中，密钥管理服务器408用作实现安全覆盖的集中式密钥管理(CKM)/针对覆盖网络的可扩展安全性(ESON)/群组加密传输VPN(GETVPN)；然而，也可以使用其他安全覆盖技术。多个密钥管理服务器用于弹性、扩展和多租户，即每个租户使用单独的密钥管理服务器。
一旦VPN在网络底层104中实现，网络底层中的各种网络设备(例如，边缘路由器412)就测量与VPN中的业务流相关联的网络性能属性，并将测量结果报告给控制器102。控制器102的各个组件基于所报告的测量结果协作以确保VPN保持与高级网络策略相符合。例如，如果测量结果指示VPN不符合高级策略，则策略解析器404、映射服务器406、和密钥服务器408共同生成新的网络设备配置信息(例如，转发状态和加密策略和配置信息)，并且根据需要将新的网络设备配置信息推送到网络设备(例如，边缘路由器412)，使得VPN按照高级策略进行操作。以这种方式，(例如，控制器102和网络底层104的)控制基础结构实现监视预期策略(即，高级策略)和实际实现的策略之间的差异(差)的闭环系统，相应地进行反应以使这种差异最小化。
参考图5，图5是根据实施例的来自图4的映射服务器406的详细框图。在图5的示例中，映射服务器406包括北向接口502以及南向接口504，其中，北向接口502用于接收来自策略解析器404的经解析的策略信息(例如，转发状态)，策略解析器通过南向接口504将经解析的策略信息推送到边缘路由器412。映射服务器406还包括托管各种高级到低级的映射服务的网络服务抽象层506，其包括映射服务508、功能链510、分段路由512、基于群组的策略514、多播策略516等。
以下描述的图6-10示出了由映射服务器406和密钥服务器408执行的一系列操作，用于基于示例高级策略实例化网络底层104中的VPN。
参考图6，图6是在高级策略在网络底层104中被接收、转换和实例化之前处于初始或默认状态的映射服务器406的图示。映射服务器406维持具有条目的转发表605以存储经解析的转发状态，如高级策略所要求的，该经解析的转发状态表示网络连接性，或者替代地，表示在网络底层104中的源网络设备与目的地网络设备之间(例如，在边缘路由器412中的各个边缘路由器之间)没有连接性。表605包括分别被表示为源网络设备的地址和目的地网络设备的地址的行索引和列索引。根据LISP，每个给定网络设备(例如，边缘路由器)的前述地址(例如，IP地址)可以与端点标识符(EID)和对应的路由定位符(RLOC)相关联并由其表示。
在图6的示例中，边缘路由器412(1)(路由器A)具有EID a和RLOC A，边缘路由器412(2)(路由器B)具有EID b和RLOC B，边缘路由器412(3)(路由器C)具有EID c和RLOC C，边缘路由器412(4)(路由器D)具有EID d和RLOC D，并且边缘路由器412(5)(路由器E)具有EID e和RLOC E。服务编配器402或映射服务器406可以将适当的EID和RLOC推送给边缘路由器412中的每一者。表605中由给定的一对源(行)和目的地(列)地址(例如，EID/RLOC)索引的条目表示：(i)相应的(具有那些地址的)一对源和目的地网络设备之间的连接(如果该条目存储了目的地地址(所分配的RLOC)的话)，以及(ii)不存在这样的连接(如果该条目存储空值“-”的话)。在初始或默认状态下，表605的所有条目都存储空值，这表示边缘路由器412之间没有连接性。在图6的示例中，在网络底层104中示出另一路由器“路由器X”。
参考图7，图7是在高级连接性策略702已被应用(即被接收、转换成用于存储在映射服务器的映射表605中的转发状态，并且被从映射服务器推送到适当的边缘路由器412)之后的映射服务器406的图示。高级连接性策略702定义了具有由边缘路由器A、B和C表示的站点之间的连接性的第一VPN VPN1，以及具有由边缘路由器C、D和E表示的站点之间的连接性的第二VPN VPN2。表605的适当条目分别存储针对VPN VPN1和VPN2的经解析的转发状态，一般分别如705和710处所示。
参考图8，图8是在高级SR策略802被应用之后的映射服务器406的图示。高级SR策略802指示经由路由器X从路由器(站点)A到路由器(站点)B的网络业务流。表605的适当条目805存储针对SR策略802的经解析的转发状态。条目805指示路由器A和B之间的连接性，但这些路由器之间的业务流将通过路由器X来路由。在图8的示例中，控制器102包括路径计算引擎801，用于计算符合高级SR策略802的最短路径(业务)路由。
参考图9，图9是在高级NSH策略902被应用之后的映射服务器406的图示。高级NSH策略902指示通过经由路由器D可访问的服务s从路由器C到路由器E的网络业务流。表605的适当条目存储针对NHS策略的经解析的转发状态，如905所示。在905处的条目指示路由器C和E之间的连接性，但业务通过服务s从路由器C流到路由器E。
参考图10，图10是在高级加密策略1002被应用(即，被接收，被转换为用于存储在密钥服务器表1005(也被称为“密钥服务器策略表1005”)中的加密配置信息，并被从密钥服务器推送到适当的边缘路由器412)之后的密钥管理服务器408的图示。接收到的高级加密策略1002分别为VPN VPN1和VPN2定义成对(pairwise)的加密和“GET”。在另一示例中，高级加密策略可以设置加密字段宽度，例如128位或256位加密。表1005的适当条目存储如加密策略1002指示的加密信息，如图10所示。
参考图11，图11是用于实现iVPN控制器102的示例计算机设备1100的框图。计算机设备1100包括网络接口单元1105以与有线和/或无线通信网络进行通信，从而与网络底层104的网络设备、CPE、处理器1154(或者可以被实现为软件或硬件处理器的多个处理器)、以及存储器1156进行通信。网络接口单元1105可以包括以太网卡以通过有线以太网链路和/或无线通信卡进行通信，从而通过无线链路进行通信。
存储器1156存储用于实现本文所描述的方法的指令。存储器1156可以包括只读存储器(ROM)、随机存取存储器(RAM)、磁盘存储介质设备、光存储介质设备、闪存设备、电的、光的或其他物理/有形(非暂态)存储器存储设备。处理器1154例如是执行存储在存储器中的指令的微处理器或微控制器。因此，存储器1156通常可以包括编码有包括计算机可执行指令的软件的一个或多个有形计算机可读存储介质(例如，存储器设备)，并且该软件在(由处理器1154)执行时可操作以执行本文所描述的操作。存储器1156存储控制逻辑1158，以执行与本文所描述的控制器102的组件402-408和802相关联的操作，从而实现方法200。存储器1156还可以存储由逻辑1158使用和生成的数据1160，例如，表605和表1005。
在图11的示例中，仅以示例的方式将计算机设备示出为用于实现iVPN控制器102的单个计算机设备。应理解的是，控制器102可以分布在例如通过网络相互通信的多个计算机设备上。
参考图12，图12是部署在网络底层104中的网络设备1200(例如，边缘路由器)的框图。网络设备1200可以包括多个有线和/或无线网络端口1250-1到1250-N或其他形式的网络接口、具有用于做出分组转发决定的转发表的分组转发单元1252、处理器1254(或多个处理器)和存储器1256，其中网络接口用于与网络底层104中的有线和/或无线通信网络、iVPN控制器102、和CPE进行通信。存储器存储用于实现本文所描述的方法的指令。
存储器1256可以包括只读存储器(ROM)、随机存取存储器(RAM)、磁盘存储介质设备、光存储介质设备、闪存设备、电的、光的或其他物理/有形(非暂态)的存储器存储设备。处理器1254是例如执行存储在存储器中的指令的微处理器或微控制器。因此，存储器1256通常可以包括编码有包括计算机可执行指令的软件的一个或多个有形计算机可读存储介质(例如，存储器设备)，并且该软件在(由处理器1254)执行时可操作以执行本文所描述的操作。存储器1256存储控制逻辑1258以执行本文所描述的操作(例如，与方法200相关联的操作)，例如，接受网络设备配置信息并将网络设备配置为根据该信息进行操作，包括测量与通过网络设备的业务流相关联的网络性能属性并将测量结果报告给iVPN控制器102。存储器还可以存储由逻辑1258使用和生成的数据1260。
总而言之，本文所提出的是在一组策略中定义的自适应且变化的安全覆盖模型，其中，对该组策略的改变可以整体反应并以统一的方式实现。如上所述，本文提出的技术包括三个主要组件，即：(1)策略模型，可用于描述商业级策略；(2)VPN策略解析器，用于将商业级策略转换为网络级策略；(3)闭环系统，用于实时测量所实现的网络级策略和预期的商业级策略之间的差异，并将这些测量结果返回给VPN策略解析器。然后VPN策略解析器可以做出反应以使差异最小化。
本文所提出的技术使得能够将企业商业级的VPN策略精确地转换成网络级策略，从而利用现代服务提供商所提供的复杂的网络特征。商业级策略可以包括指定如何动态响应网络事件的条款，以保证企业客户和服务提供商之间的SLA的满意度。
常规布置将VPN底层的网络看作透明的云，并试图通过被动监视传输控制协议(TCP)或主动探测来推断使用的最佳路径。这对于低端市场而言可能有时是足够的，但对于在提供CPE-CPE VPN解决方案的同时也想充分利用底层网络服务的提供商和大型企业而言是不够的。
在服务提供商部分中，VPN收到覆盖CPE到CPE VPN解决方案的挑战。技术分析得出结论：如果CPE-CPE覆盖VPN解决方案提供对企业特征集要求的支持，则其可能会成功，其中该企业特征集要求包括：(1)复杂的VPN拓扑、(2)企业级安全性和密钥管理、以及(3)差异化的SLA。当前的VPN解决方案不支持该套要求。然而，被用作iVPN系统架构的一部分的本文所提出的技术解决了所有这些要求。
总而言之，在一种形式中，提供了一种方法，该方法包括：接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略，VPN基于高级网络策略提供连接站点之间的安全连接性；将高级网络策略转换成低级设备配置信息，低级设备配置信息被表示在网络覆盖中并被用于对提供连接站点到VPN的连接性的网络底层进行配置；用设备配置信息来配置网络底层，使得网络底层根据高级策略来实现VPN；确定网络底层是否按照高级网络策略进行操作以引导连接站点之间的业务流；以及如果确定网络底层不按照高级网络策略进行操作，则用新的低级设备配置信息来重新配置网络底层，使得网络底层按照高级网络策略进行操作。
在另一种形式中，提供了一种装置，该装置包括：网络接口单元，被配置为与网络底层中的网络设备和用户驻地设备进行通信；以及处理器，该处理器与网络接口连接并被配置为：接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略，VPN基于高级网络策略提供连接站点之间的安全连接性；将高级网络策略转换为低级设备配置信息，低级设备配置信息被表示在网络覆盖中并用于对网络底层进行配置以提供连接站点到VPN的连接性；用设备配置信息来配置网络底层，使得网络底层根据高级策略来实现VPN；确定网络底层是否按照高级网络策略进行操作以引导在连接站点之间的业务流；以及如果确定网络底层不按照高级网络策略进行操作，则用新的低级设备配置信息来重新配置网络底层，使得网络底层按照高级网络策略进行操作。
在又一种形式中，提供了用指令编码的非暂态计算机可读存储介质。这些指令在由处理器执行时使得处理器进行以下操作：接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略，所述VPN基于所述高级网络策略提供连接站点之间的安全连接性；将所述高级网络策略转换成低级设备配置信息，所述低级设备配置信息被表示在网络覆盖中并被用于对提供所述连接站点到所述VPN的连接性的网络底层进行配置；用所述设备配置信息来配置所述网络底层，使得所述网络底层根据所述高级策略来实现所述VPN；确定所述网络底层是否按照所述高级网络策略进行操作以引导所述连接站点之间的业务流；以及如果确定所述网络底层不按照所述高级网络策略进行操作，则用新的低级设备配置信息来重新配置所述网络底层，使得所述网络底层按照所述高级网络策略进行操作。
以上描述仅旨在作为示例。

Claims (21)

1.一种在网络控制器处执行的方法，包括：
接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略，所述VPN基于所述高级网络策略提供连接站点之间的安全连接性；
将所述高级网络策略转换成低级设备配置信息，所述低级设备配置信息被表示在网络覆盖中并被用于对提供所述连接站点到所述VPN的连接性的网络底层进行配置；
用所述设备配置信息来配置所述网络底层，使得所述网络底层根据所述高级策略来实现所述VPN；
确定所述网络底层是否按照所述高级网络策略进行操作以引导所述连接站点之间的业务流；以及
如果确定所述网络底层不是按照所述高级网络策略进行操作，则用新的低级设备配置信息来重新配置所述网络底层，使得所述网络底层按照所述高级网络策略进行操作。
2.根据权利要求1所述的方法，其中：
所述接收包括接收针对所述高级网络策略中的一者的高级网络要求和关于指示了所述网络底层是否按照所述高级网络要求进行操作的可测量属性的指示；以及
所述确定包括，在所述网络底层进行操作以引导针对所述VPN的业务流时：
从所述网络底层收集属性测量结果；以及
将所述属性测量结果与所述高级网络要求进行比较。
3.根据权利要求2所述的方法，其中：
如果基于所述比较确定所述网络底层不是按照所述高级网络策略进行操作，则所述重新配置包括用所述新的低级设备配置信息来重新配置所述网络底层。
4.根据权利要求3所述的方法，其中：
所述高级网络要求包括这样的要求：在所述连接站点中的给定连接站点处的链路带宽使用率不超过在所述给定连接站点处可用的最大链路容量的预定分数，并且所述可测量属性包括链路带宽使用率；
所述收集包括从所述给定连接站点收集链路带宽使用率测量结果；
所述比较包括将所述链路带宽使用率测量结果与所述最大链路容量的所述预定分数进行比较；以及
如果所述比较指示了所述链路带宽使用率测量结果超过所述最大链路容量的所述预定分数，则所述重新配置包括将所述给定连接站点重新配置以增加所述最大链路容量。
5.根据权利要求1所述的方法，其中：
所述接收包括：接收定义了所述连接站点中的哪些连接站点要经由所述VPN来彼此连接的连接性策略以及根据所述连接性策略来管理对所连接的连接站点之间的网络业务的加密的加密策略；
所述转换包括：
将所述连接性策略转换为转发状态，每个连接站点将使用所述转发状态来根据所述连接性策略在所述网络底层中实现业务转发；以及
将所述加密策略转换为加密算法，所述连接站点将使用所述加密算法来对发送自所述连接站点的业务进行加密；以及
所述配置包括：将所述转发状态和所述加密算法推送到所述连接站点。
6.根据权利要求5所述的方法，其中，所述连接站点各自包括相应的边缘网络设备，所述相应的边缘网络设备被配置为准许相应客户驻地设备与所述网络底层进行通信。
7.根据权利要求5所述的方法，其中：
所述接收还包括：接收定义了逻辑拓扑的逻辑拓扑策略，所述连接站点将通过所述逻辑拓扑来彼此连接；以及
所述转换还包括：将所述逻辑拓扑策略转换为所述转发状态，使得所述转发状态根据所述逻辑拓扑策略在所述网络底层中实现业务转发。
8.根据权利要求5所述的方法，其中：
所述接收还包括接收高级流量工程策略和高级服务插入策略；以及
所述转换还包括将所述连接性策略转换为所述一个或多个转发状态，使得所述转发状态根据所述高级流量工程策略和所述高级服务插入策略来在所述网络底层中实现业务转发。
9.根据权利要求5所述的方法，其中：
所述接收还包括接收共同表示所述高级连接性策略和所述加密策略的一组站间连接性合同，每个合同针对给定连接站点指定与要连接到所述给定连接站点的其他连接站点的连接并且指定所述给定连接站点与所述其他连接站点之间的业务是否要被加密。
10.一种装置，包括：
网络接口单元，被配置为与网络底层中的网络设备和用户驻地设备进行通信；以及
处理器，所述处理器与所述网络接口连接并被配置为：
接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略，所述VPN基于所述高级网络策略提供连接站点之间的安全连接性；
将所述高级网络策略转换为低级设备配置信息，所述低级设备配置信息被表示在网络覆盖中并用于对所述网络底层进行配置以提供所述连接站点到所述VPN的连接性；
用所述设备配置信息来配置所述网络底层，使得所述网络底层根据所述高级策略来实现所述VPN；
确定所述网络底层是否按照所述高级网络策略进行操作以引导所述连接站点之间的业务流；以及
如果确定所述网络底层不是按照所述高级网络策略进行操作，则用新的低级设备配置信息来重新配置所述网络底层，使得所述网络底层按照所述高级网络策略进行操作。
11.根据权利要求10所述的装置，其中，所述处理器被配置为：
通过接收针对所述高级网络策略中的一者的高级网络要求以及关于指示了所述网络底层是否按照所述高级网络要求进行操作的可测量属性的指示来进行接收；以及
在所述网络底层进行操作以引导针对所述VPN的业务流时通过以下操作来进行确定：
从所述网络底层收集属性测量结果；以及
将所述属性测量结果与所述高级网络要求进行比较。
12.根据权利要求11所述的装置，其中，所述处理器被配置为：
如果基于所述比较确定所述网络底层不是按照所述高级网络策略进行操作，则通过用所述新的低级设备配置信息重新配置所述网络底层来进行重新配置。
13.根据权利要求12所述的装置，其中，所述高级网络要求包括这样的要求：在所述连接站点中的给定连接站点处的链路带宽使用率不超过在所述给定连接站点处可用的最大链路容量的预定分数，并且所述可测量属性包括链路带宽使用率，并且其中所述处理器被配置为：
通过从所述给定连接站点收集链路带宽使用率测量结果来进行收集；
通过将所述链路带宽使用率测量结果与所述最大链路容量的所述预定分数进行比较来进行比较；以及
如果所述比较指示所述链路带宽使用率测量结果超过所述最大链路容量的所述预定分数，则通过将所述给定连接站点重新配置以增加所述最大链路容量来进行重新配置。
14.根据权利要求10所述的装置，其中，所述处理器被配置为：
通过接收定义了所述连接站点中的哪些连接站点要经由所述VPN来彼此连接的连接性策略以及根据所述连接性策略来管理对所连接的连接站点之间的网络业务的加密的加密策略来进行接收；
通过以下操作来进行转换：
将所述连接性策略转换为转发状态，每个连接站点将使用所述转发状态来根据所述连接性策略在所述网络底层中实现业务转发；以及
将所述加密策略转换为加密算法，所述连接站点将使用所述加密算法来对发送自所述连接站点的业务进行加密；以及
通过将所述转发状态和所述加密算法推送到所述连接站点来进行配置。
15.根据权利要求14所述的装置，其中，所述处理器被配置为：
通过接收定义逻辑拓扑的逻辑拓扑策略来进行接收，所述连接站点将通过所述逻辑拓扑来彼此连接；以及
通过将所述逻辑拓扑策略转换为所述转发状态使得所述转发状态根据所述逻辑拓扑策略在所述网络底层中实现业务转发来进行转换。
16.一种编码有指令的非暂态计算机可读存储介质，所述指令在由处理器执行时使得所述处理器进行以下操作：
接收将虚拟专用网络(VPN)表示为高级策略模型的高级网络策略，所述VPN基于所述高级网络策略提供连接站点之间的安全连接性；
将所述高级网络策略转换成低级设备配置信息，所述低级设备配置信息被表示在网络覆盖中并被用于对提供所述连接站点到所述VPN的连接性的网络底层进行配置；
用所述设备配置信息来配置所述网络底层，使得所述网络底层根据所述高级策略来实现所述VPN；
确定所述网络底层是否按照所述高级网络策略进行操作以引导所述连接站点之间的业务流；以及
如果确定所述网络底层不是按照所述高级网络策略进行操作，则用新的低级设备配置信息来重新配置所述网络底层，使得所述网络底层按照所述高级网络策略进行操作。
17.根据权利要求16所述的计算机可读存储介质，其中：
使得所述处理器进行接收的指令包括使得所述处理器接收针对所述高级网络策略中的一者的高级网络要求和关于指示了所述网络底层是否按照所述高级网络要求进行操作的可测量属性的指示的指令；以及
使得所述处理器进行确定的指令包括使得所述处理器在所述网络底层进行操作以引导针对所述VPN的业务流时进行以下操作的指令：
从所述网络底层收集属性测量结果；以及
将所述属性测量结果与所述高级网络要求进行比较。
18.根据权利要求17所述的计算机可读存储介质，还包括使得所述处理器进行以下操作的指令：
如果基于所述比较确定所述网络底层不是按照所述高级网络策略进行操作，则用所述新的低级设备配置信息来重新配置所述网络底层。
19.根据权利要求18所述的计算机可读存储介质，其中，所述高级网络要求包括这样的要求：在所述连接站点中的给定连接站点处的链路带宽使用率不超过在所述给定连接站点处可用的最大链路容量的预定分数，并且所述可测量属性包括链路带宽使用率，并且其中：
使得所述处理器进行收集的指令包括使得所述处理器从所述给定连接站点收集链路带宽使用率测量结果的指令；
使得所述处理器进行比较的指令包括使得所述处理器将所述链路带宽使用率测量结果与所述最大链路容量的所述预定分数进行比较的指令；以及
如果所述比较指示了所述链路带宽使用率测量结果超过所述最大链路容量的所述预定分数，则使得所述处理器进行重新配置的指令包括使得所述处理器将所述给定连接站点重新配置以增加所述最大链路容量的指令。
20.根据权利要求16所述的计算机可读存储介质，其中：
使得所述处理器进行接收的指令包括使得所述处理器接收定义所述连接站点中的哪些连接站点要经由所述VPN来彼此连接的连接性策略以及根据所述连接性策略来管理对所连接的连接站点之间的网络业务的加密的加密策略的指令；以及
使得所述处理器进行转换的指令包括使得所述处理器进行以下操作的指令：
将所述连接性策略转换为转发状态，每个连接站点将使用所述转发状态来根据所述连接性策略在所述网络底层中实现业务转发；以及
将所述加密策略转换为加密算法，所述连接站点将使用所述加密算法来对发送自所述连接站点的业务进行加密；以及
使得所述处理器进行配置的指令包括使得所述处理器将所述转发状态和所述加密算法推送到所述连接站点的指令。
21.根据权利要求20所述的计算机可读存储介质，其中：
使得所述处理器进行接收的指令包括使得所述处理器接收逻辑拓扑策略的指令，所述逻辑拓扑策略定义了所述连接站点将通过其来彼此连接的逻辑拓扑；以及
使得所述处理器进行转换的指令包括使得所述处理器将所述逻辑拓扑策略转换为所述转发状态使得所述转发状态根据所述逻辑拓扑策略在所述网络底层中实现业务转发的指令。
CN201680042987.0A 2015-08-19 2016-08-18 用于动态vpn策略模型的方法和装置 Active CN107852365B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US201562207137P 2015-08-19 2015-08-19
US62/207,137 2015-08-19
US15/058,447 US10187321B2 (en) 2015-08-19 2016-03-02 Dynamic VPN policy model with encryption and traffic engineering resolution
US15/058,447 2016-03-02
PCT/US2016/047534 WO2017031305A1 (en) 2015-08-19 2016-08-18 Dynamic vpn policy model with encryption and traffic engineering resolution

Publications (2)

Publication Number Publication Date
CN107852365A true CN107852365A (zh) 2018-03-27
CN107852365B CN107852365B (zh) 2021-07-06

Family

ID=56802714

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201680042987.0A Active CN107852365B (zh) 2015-08-19 2016-08-18 用于动态vpn策略模型的方法和装置

Country Status (4)

Country Link
US (1) US10187321B2 (zh)
EP (1) EP3338414B1 (zh)
CN (1) CN107852365B (zh)
WO (1) WO2017031305A1 (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109587064A (zh) * 2019-01-09 2019-04-05 中国铁路总公司 一种IPv4/IPv6地址管理系统和方法
CN111130811A (zh) * 2019-12-24 2020-05-08 广东省新一代通信与网络创新研究院 基于段路由的宽带接入方法、bras控制器以及数据中心系统
CN111340192A (zh) * 2020-02-28 2020-06-26 腾讯科技（深圳）有限公司 网络路径分配模型训练方法、路径分配方法、以及装置
CN112470431A (zh) * 2018-07-26 2021-03-09 思科技术公司 使用自动布尔学习的网络的模型的合成
WO2021134343A1 (zh) * 2019-12-30 2021-07-08 华为技术有限公司 一种意图分解方法及装置
CN113973077A (zh) * 2020-07-24 2022-01-25 辉达公司 用于提高云应用中的网络弹性的可扩展网络流量工程平台
CN115250223A (zh) * 2018-09-07 2022-10-28 瞻博网络公司 计算机网络中的动态意图保证方法和装置以及存储介质
CN112311583B (zh) * 2019-07-26 2023-08-08 瞻博网络公司 意图感知情境设备配置备份和恢复

Families Citing this family (67)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE500698T1 (de) 2004-04-30 2011-03-15 Research In Motion Ltd System und verfahren zur filterung von datentransfers in einem mobilgerät
US9161226B2 (en) 2011-10-17 2015-10-13 Blackberry Limited Associating services to perimeters
US9613219B2 (en) * 2011-11-10 2017-04-04 Blackberry Limited Managing cross perimeter access
US9369466B2 (en) 2012-06-21 2016-06-14 Blackberry Limited Managing use of network resources
US9781004B2 (en) 2014-10-16 2017-10-03 Cisco Technology, Inc. Discovering and grouping application endpoints in a network environment
US10375121B2 (en) 2016-06-23 2019-08-06 Vmware, Inc. Micro-segmentation in virtualized computing environments
US10158565B2 (en) * 2016-08-26 2018-12-18 Cisco Technology, Inc. Network services across non-contiguous subnets of a label switched network separated by a non-label switched network
US10826788B2 (en) 2017-04-20 2020-11-03 Cisco Technology, Inc. Assurance of quality-of-service configurations in a network
US10812318B2 (en) 2017-05-31 2020-10-20 Cisco Technology, Inc. Associating network policy objects with specific faults corresponding to fault localizations in large-scale network deployment
US20180351788A1 (en) 2017-05-31 2018-12-06 Cisco Technology, Inc. Fault localization in large-scale network policy deployment
US10554483B2 (en) 2017-05-31 2020-02-04 Cisco Technology, Inc. Network policy analysis for networks
US10505816B2 (en) 2017-05-31 2019-12-10 Cisco Technology, Inc. Semantic analysis to detect shadowing of rules in a model of network intents
US10439875B2 (en) 2017-05-31 2019-10-08 Cisco Technology, Inc. Identification of conflict rules in a network intent formal equivalence failure
US10623271B2 (en) 2017-05-31 2020-04-14 Cisco Technology, Inc. Intra-priority class ordering of rules corresponding to a model of network intents
US10693738B2 (en) 2017-05-31 2020-06-23 Cisco Technology, Inc. Generating device-level logical models for a network
US10587621B2 (en) 2017-06-16 2020-03-10 Cisco Technology, Inc. System and method for migrating to and maintaining a white-list network security model
US11150973B2 (en) 2017-06-16 2021-10-19 Cisco Technology, Inc. Self diagnosing distributed appliance
US10574513B2 (en) 2017-06-16 2020-02-25 Cisco Technology, Inc. Handling controller and node failure scenarios during data collection
US11469986B2 (en) 2017-06-16 2022-10-11 Cisco Technology, Inc. Controlled micro fault injection on a distributed appliance
US10904101B2 (en) 2017-06-16 2021-01-26 Cisco Technology, Inc. Shim layer for extracting and prioritizing underlying rules for modeling network intents
US11645131B2 (en) 2017-06-16 2023-05-09 Cisco Technology, Inc. Distributed fault code aggregation across application centric dimensions
US11283680B2 (en) 2017-06-19 2022-03-22 Cisco Technology, Inc. Identifying components for removal in a network configuration
US10528444B2 (en) 2017-06-19 2020-01-07 Cisco Technology, Inc. Event generation in response to validation between logical level and hardware level
US10348564B2 (en) 2017-06-19 2019-07-09 Cisco Technology, Inc. Validation of routing information base-forwarding information base equivalence in a network
US10567229B2 (en) 2017-06-19 2020-02-18 Cisco Technology, Inc. Validating endpoint configurations between nodes
US10560355B2 (en) 2017-06-19 2020-02-11 Cisco Technology, Inc. Static endpoint validation
US10505817B2 (en) 2017-06-19 2019-12-10 Cisco Technology, Inc. Automatically determining an optimal amount of time for analyzing a distributed network environment
US10644946B2 (en) 2017-06-19 2020-05-05 Cisco Technology, Inc. Detection of overlapping subnets in a network
US11343150B2 (en) 2017-06-19 2022-05-24 Cisco Technology, Inc. Validation of learned routes in a network
US10673702B2 (en) 2017-06-19 2020-06-02 Cisco Technology, Inc. Validation of layer 3 using virtual routing forwarding containers in a network
US10536337B2 (en) 2017-06-19 2020-01-14 Cisco Technology, Inc. Validation of layer 2 interface and VLAN in a networked environment
US10554493B2 (en) 2017-06-19 2020-02-04 Cisco Technology, Inc. Identifying mismatches between a logical model and node implementation
US10341184B2 (en) 2017-06-19 2019-07-02 Cisco Technology, Inc. Validation of layer 3 bridge domain subnets in in a network
US10700933B2 (en) 2017-06-19 2020-06-30 Cisco Technology, Inc. Validating tunnel endpoint addresses in a network fabric
US10411996B2 (en) 2017-06-19 2019-09-10 Cisco Technology, Inc. Validation of routing information in a network fabric
US10812336B2 (en) 2017-06-19 2020-10-20 Cisco Technology, Inc. Validation of bridge domain-L3out association for communication outside a network
US10333787B2 (en) 2017-06-19 2019-06-25 Cisco Technology, Inc. Validation of L3OUT configuration for communications outside a network
US10437641B2 (en) 2017-06-19 2019-10-08 Cisco Technology, Inc. On-demand processing pipeline interleaved with temporal processing pipeline
US10567228B2 (en) 2017-06-19 2020-02-18 Cisco Technology, Inc. Validation of cross logical groups in a network
US10432467B2 (en) * 2017-06-19 2019-10-01 Cisco Technology, Inc. Network validation between the logical level and the hardware level of a network
US10623259B2 (en) 2017-06-19 2020-04-14 Cisco Technology, Inc. Validation of layer 1 interface in a network
US10805160B2 (en) 2017-06-19 2020-10-13 Cisco Technology, Inc. Endpoint bridge domain subnet validation
US10873509B2 (en) 2018-01-17 2020-12-22 Cisco Technology, Inc. Check-pointing ACI network state and re-execution from a check-pointed state
US10516648B2 (en) * 2018-01-29 2019-12-24 Hewlett Packard Enterprise Development Lp Address translation
US10848524B2 (en) 2018-02-23 2020-11-24 Cisco Technology, Inc. On-demand security association management
US10812315B2 (en) 2018-06-07 2020-10-20 Cisco Technology, Inc. Cross-domain network assurance
US10659298B1 (en) 2018-06-27 2020-05-19 Cisco Technology, Inc. Epoch comparison for network events
US11044273B2 (en) 2018-06-27 2021-06-22 Cisco Technology, Inc. Assurance of security rules in a network
US11019027B2 (en) 2018-06-27 2021-05-25 Cisco Technology, Inc. Address translation for external network appliance
US11218508B2 (en) 2018-06-27 2022-01-04 Cisco Technology, Inc. Assurance of security rules in a network
US10911495B2 (en) 2018-06-27 2021-02-02 Cisco Technology, Inc. Assurance of security rules in a network
US11159451B2 (en) 2018-07-05 2021-10-26 Cisco Technology, Inc. Stretched EPG and micro-segmentation in multisite fabrics
US10904070B2 (en) 2018-07-11 2021-01-26 Cisco Technology, Inc. Techniques and interfaces for troubleshooting datacenter networks
US10616072B1 (en) 2018-07-27 2020-04-07 Cisco Technology, Inc. Epoch data interface
US10797987B1 (en) * 2018-12-10 2020-10-06 C/Hca, Inc. Systems and methods for switch stack emulation, monitoring, and control
US10892952B2 (en) 2019-02-21 2021-01-12 Juniper Networks, Inc. Supporting compilation and extensibility on unified graph-based intent models
US10897396B2 (en) 2019-03-29 2021-01-19 Juniper Networks, Inc. Supporting concurrency for graph-based high level configuration models
US10841182B2 (en) * 2019-03-29 2020-11-17 Juniper Networks, Inc. Supporting near real time service level agreements
EP3722944A1 (en) 2019-04-10 2020-10-14 Juniper Networks, Inc. Intent-based, network-aware network device software-upgrade scheduling
US11201835B1 (en) * 2019-05-23 2021-12-14 C/Hca, Inc. Systems and methods for multi-tier resource and subsystem orchestration and adaptation
US11165647B2 (en) 2019-06-28 2021-11-02 Juniper Networks, Inc. Managing multiple semantic versions of device configuration schemas
US11128557B2 (en) * 2019-11-13 2021-09-21 Vmware, Inc. Tunnel-based routing calculation in software- defined networking (SDN) environments
US11805013B2 (en) * 2020-01-29 2023-10-31 Juniper Networks, Inc. Prioritizing policy intent enforcement on network devices
US11595320B1 (en) 2020-07-01 2023-02-28 C/Hca, Inc. Multi-tier resource, subsystem, and load orchestration
US11936522B2 (en) * 2020-10-14 2024-03-19 Connectify, Inc. Selecting and operating an optimal virtual private network among multiple virtual private networks
US11297038B1 (en) 2021-07-03 2022-04-05 Oversec, Uab Rotating internet protocol addresses in a virtual private network
US11489808B1 (en) * 2021-08-03 2022-11-01 Oversec, Uab Providing a split-configuration virtual private network

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080307519A1 (en) * 2007-06-06 2008-12-11 Avaya Technology Llc Peer-to-peer network over a virtual private network
US8260922B1 (en) * 2005-09-16 2012-09-04 Cisco Technology, Inc. Technique for using OER with an ECT solution for multi-homed sites
US20140355441A1 (en) * 2013-05-29 2014-12-04 Ashok Kumar Jain Method and apparatus of delivering assured services over unreliable internet infrastructure by using virtual overlay network architecture over a public cloud backbone
US20150201417A1 (en) * 2009-01-28 2015-07-16 Headwater Partners I Llc Enterprise Access Control And Accounting Allocation For Access Networks

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6539427B1 (en) 1999-06-29 2003-03-25 Cisco Technology, Inc. Dynamically adaptive network element in a feedback-based data network
US7197563B2 (en) * 2001-05-31 2007-03-27 Invicta Networks, Inc. Systems and methods for distributed network protection
US7131123B2 (en) 2001-04-30 2006-10-31 Opsware Inc. Automated provisioning of computing networks using a network database model
US20040230681A1 (en) 2002-12-06 2004-11-18 John Strassner Apparatus and method for implementing network resources to provision a service using an information model
US7760738B1 (en) * 2005-07-28 2010-07-20 Verizon Services Corp. Admission control for services
US8112377B2 (en) 2008-05-15 2012-02-07 Sap Ag Client-side rule engine for executing business rules in rich internet applications

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8260922B1 (en) * 2005-09-16 2012-09-04 Cisco Technology, Inc. Technique for using OER with an ECT solution for multi-homed sites
US20080307519A1 (en) * 2007-06-06 2008-12-11 Avaya Technology Llc Peer-to-peer network over a virtual private network
US20150201417A1 (en) * 2009-01-28 2015-07-16 Headwater Partners I Llc Enterprise Access Control And Accounting Allocation For Access Networks
US20140355441A1 (en) * 2013-05-29 2014-12-04 Ashok Kumar Jain Method and apparatus of delivering assured services over unreliable internet infrastructure by using virtual overlay network architecture over a public cloud backbone

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112470431A (zh) * 2018-07-26 2021-03-09 思科技术公司 使用自动布尔学习的网络的模型的合成
CN112470431B (zh) * 2018-07-26 2023-07-14 思科技术公司 使用自动布尔学习的网络的模型的合成
CN115250223A (zh) * 2018-09-07 2022-10-28 瞻博网络公司 计算机网络中的动态意图保证方法和装置以及存储介质
CN109587064A (zh) * 2019-01-09 2019-04-05 中国铁路总公司 一种IPv4/IPv6地址管理系统和方法
CN109587064B (zh) * 2019-01-09 2021-03-16 中国铁路总公司 一种IPv4/IPv6地址管理系统和方法
CN112311583B (zh) * 2019-07-26 2023-08-08 瞻博网络公司 意图感知情境设备配置备份和恢复
CN111130811A (zh) * 2019-12-24 2020-05-08 广东省新一代通信与网络创新研究院 基于段路由的宽带接入方法、bras控制器以及数据中心系统
WO2021134343A1 (zh) * 2019-12-30 2021-07-08 华为技术有限公司 一种意图分解方法及装置
CN111340192A (zh) * 2020-02-28 2020-06-26 腾讯科技（深圳）有限公司 网络路径分配模型训练方法、路径分配方法、以及装置
CN111340192B (zh) * 2020-02-28 2023-06-30 腾讯科技（深圳）有限公司 网络路径分配模型训练方法、路径分配方法、以及装置
CN113973077A (zh) * 2020-07-24 2022-01-25 辉达公司 用于提高云应用中的网络弹性的可扩展网络流量工程平台
CN113973077B (zh) * 2020-07-24 2023-06-02 辉达公司 用于提高云应用中的网络弹性的可扩展网络流量工程平台

Also Published As

Publication number Publication date
WO2017031305A1 (en) 2017-02-23
US10187321B2 (en) 2019-01-22
EP3338414A1 (en) 2018-06-27
US20170054758A1 (en) 2017-02-23
CN107852365B (zh) 2021-07-06
EP3338414B1 (en) 2020-07-29

Similar Documents

Publication Publication Date Title
CN107852365A (zh) 具有加密和流量工程解析的动态vpn策略模型
US11722410B2 (en) Policy plane integration across multiple domains
US10637889B2 (en) Systems, methods, and devices for smart mapping and VPN policy enforcement
CN103650456B (zh) 基于逻辑拓扑的分布式计算服务的服务递送位置的布局
US9124485B2 (en) Topology aware provisioning in a software-defined networking environment
CN104285416B (zh) 在存储区域网络中端接覆盖隧道的虚拟路由器
US20180013798A1 (en) Automatic link security
CN109863725A (zh) 基于最大分段标识符深度的分段路由
US20170149632A1 (en) A method and system of supporting service chaining in a data network
EP3732833B1 (en) Enabling broadband roaming services
CN107241454B (zh) 一种实现地址管理的方法、装置、aaa服务器及sdn控制器
CN111130980B (zh) 用于实现组合虚拟专用网vpn的方法与装置
US20130297752A1 (en) Provisioning network segments based on tenant identity
US20210226866A1 (en) Threat detection of application traffic flows
CN108604999A (zh) 用于监视差异化服务编码点(dscp)和显式拥塞通知(ecn)的数据平面方法和设备
CN112956158A (zh) 结构数据平面监视
CN114503524A (zh) 用于基于意图的联网的闭合环路自动化
US10142200B2 (en) Methods and systems for a network appliance module enabling dynamic VDC aware span
CA3029862C (en) System and method for providing a control plane for quality of service
CN114500376B (zh) 一种访问云资源池的方法、系统、服务器及存储介质
EP4080850A1 (en) Onboarding virtualized network devices to cloud-based network assurance system
Martin de Pozuelo et al. Software defined utility: A step towards a flexible, reliable and low-cost smart grid
Alharbi et al. Smart SDN Policy Management Based VPN Multipoint
Moser Performance Analysis of an SD-WAN Infrastructure Implemented Using Cisco System Technologies
Tan Optimizing Relay Placement for Scalable Secure VPLS Networks using Facility Location Modeling

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant