CN107924226B - 用于多接口虚拟网络功能的单个网络接口 - Google Patents

Abstract

一种虚拟网络功能包括通过单个客户端网络接口耦合到网络功能基础设施的网络接口。在嵌入在具有虚拟交换机的第二虚拟机内的虚拟机中，使用虚拟网络功能抽象层以虚拟网络功能的实现形式提供网络接口。通过在交换机中提供映射到所述虚拟网络功能所需的每个网络接口的虚拟接口来启用所述虚拟网络功能上的任意数量的端口和单个网络接口之间的路由。通过用于基础设施的网络接口，来自客户端网络的数据被路由到所述虚拟交换机中的合适的虚拟网络功能接口。

Description

用于多接口虚拟网络功能的单个网络接口

本申请要求于2015年7月28日提交的申请号为14/811,683、题为“用于多接口虚拟网络功能的单个网络接口”的美国申请的优先权，其通过引用并入本申请，就如同将其全部再现一样。

背景技术

网络功能虚拟化(NFV)使得网络节点功能适应于虚拟化环境。网络功能(NF)是运营商的网络基础设施中的基础构件，其具有定义良好的外部接口和定义良好的功能行为。VNF(VNF)提供与等效网络功能完全相同的功能行为，但VNF配置在虚拟化环境中。协调器是操作、管理NFV基础设施并使分布式NFV基础设施自动化的软件。所述协调器具有NFV基础设施内部运行的所有VNF的控制和可见性。

由于协调器的限制，具有多个网络接口的多个VNF难以协调。例如，一些协调器不允许VNF具有在相同子网上的两个网络接口。目前一些可用的网络设备使用多个网络接口。当这些多接口设备被虚拟化时，它们的协调可能出现困难。

发明内容

简要描述的本技术包括一种在处理系统中提供网络服务的方法。所述方法包括创建父虚拟机或第一虚拟机，所述父虚拟机或第一虚拟机包括虚拟交换机和用于接收和发送数据的单个数据网络接口。所述第一虚拟机包括接收和发送数据的双向数据网络接口。所述第一虚拟交换机还包括第一虚拟数据网络接口和第二虚拟数据网络接口。第二虚拟机也被创建为嵌入在所述第一虚拟机内并在所述第一虚拟机内运行。所述第二虚拟机包括虚拟网络功能(VNF)、第一VNF数据接口和第二VNF数据接口。在所述第一虚拟机的双向数据网络接口、所述第一虚拟数据网络接口和第二虚拟数据网络接口之间路由数据，使得入站和出站网络数据通过所述第一VNF数据接口和所述第二VNF数据接口被路由到所述虚拟网络功能。

还提供了一种计算机可读介质，所述计算机可读介质包括指示处理器的代码，所述代码包括被配置为在所述第一虚拟机内创建第一虚拟机和第一虚拟交换机的代码。所述代码配置第一虚拟交换机，使所述第一虚拟交换机提供从基础设施网络接口接收网络数据并输出网络数据到基础设施网络接口的数据网络接口。所述第一虚拟交换机还被配置为包括第一虚拟数据网络接口和第二虚拟数据网络接口。代码还被提供为使得处理器创建在第二虚拟机内可运行的虚拟网络功能，其中所述第二虚拟机嵌入在所述第一虚拟机内并是在所述第一虚拟机内可运行的。所述虚拟网络功能包括第一VNF数据接口和第二VNF数据接口，它们中的每个和所述第一虚拟数据网络接口和所述第二虚拟数据网络接口中的一个或多个通信。还提供被配置为在所述第一虚拟交换机的所述数据网络接口与所述第一虚拟数据网络接口和第二虚拟数据网络接口之间路由数据的代码。所述代码可运行为在所述基础设施网络接口和所述虚拟网络功能上的数据之间引导入站和出站网络数据流。

根据本技术的服务交付网络包括处理系统，所述处理系统至少包括处理器、可操作地耦合到所述处理器的存储器，以及网络接口。所述服务交付网络包括所述处理系统中的多个虚拟网络功能系统，每个虚拟网络功能包括可运行为指示所述处理器创建耦合到所述网络接口的所述虚拟网络功能系统的指令，所述指令指示所述处理器创建第一虚拟机，并在所述第一虚拟机内创建第一虚拟交换机。所述第一虚拟交换机包括单个数据网络接口，所述单个数据网络接口与所述网络接口、第一虚拟数据网络接口和第二虚拟数据网络接口连接。所述指令可运行为在所述第一虚拟机内创建第二虚拟机，并创建在所述第二虚拟机内可运行的虚拟网络功能。所述虚拟网络功能包括第一VNF数据接口和第二VNF数据接口。所述指令可运行为管理所述单个数据网络接口、所述第一虚拟数据网络接口和第二虚拟数据网络接口之间的数据流，其中所述数据流包括被引导到所述虚拟网络功能的入站和出站网络数据。

附图说明

图1A是示出其中可以利用根据本技术的VNF的计算系统环境架构的框图。

图1B是可以利用本技术的服务交付网络的框图。

图1C是处理系统中的局部VNF的框图。

图2是示出了实现用于多个网络接口VNF设备的单个网络接口的虚拟机架构的框图。

图3是由处理装置实现以为需要多个网络接口的VNF提供单个网络接口的一种方法。

图4A是由处理装置实现以用于在虚拟机中的虚拟交换机中路由数据流的方法。

图4B是图2的一部分的放大图，其示出了图4A的流程。

图5是示出了VNF设备的框图，每个VNF设备具有单个网络接口。

图6是组合地示出了具有多个网络接口的VNF设备和具有单个网络接口的VNF设备的组合的框图。

图7是适于实现本技术的处理装置的框图。

具体实施方式

提出提供VNF系统的技术。所述系统提供VNF接口，其通过单个数据端口耦合到使用虚拟网络功能抽象层的NFV基础设施，允许VNF所需要的任意数量的网络接口可以通过单个网络接口被寻址。这样，虚拟网络功能要求和协调器特定要求被最小化，允许相对自由地选择协调器、VNF和NFV基础设施，从而可以通过多个不同的协调器中的任意协调器实现多个服务链接系统的协调和创建。

本技术可在多种计算系统环境中使用。图1A到图1C示出了本技术可以应用的三种计算系统环境。

图1A示出了适于实现本文中讨论的技术的计算系统环境100。所述计算系统环境100可以实现服务网络110，其包括在网络功能虚拟化(NFV)基础设施112上实现的多个虚拟网络功能(VNF)162、164、168。所述NFV基础设施是硬件和软件组件的总和，其构建部署、管理和执行多个VNF的环境，且可以包括一个或多个处理器122、存储器123以及网络接口126。存在许多可以在计算系统环境100中使用的NFV基础设施的配置。图1中示出的基础设施112仅是示例性的。NFV基础设施112包括虚拟化层145，其可以包括虚拟化处理器142、虚拟化存储器144以及虚拟化网络组件146。此外，还提供了VNF协调器132、一个或多个VNF管理器134以及虚拟基础设施管理器136。

每个VNF162、164、168都包括在虚拟机实例中运行或跨虚拟机实例运行的网络功能或者服务，且所述网络功能或者服务可以用在虚拟或非虚拟的网络中。在图1A的示例中，VNF162被示出为深度分组检查器(DPI)，VNF164被示出为防火墙，VNFn168是可以在服务交付网络中使用的任意数量的附加的多个VNF。

多个VNF虚拟化网络功能传统上由专用硬件设备执行。网络功能的示例包括交换机、路由器、归属位置寄存器(HLR)、服务网关(SGW)、分组数据网络网关(PGW)、住宅网关(RGW)、宽带远程接入服务器(BRAS)、运营商级网络地址转换器(CGNAT)、用于深度分组检测(DPI)的设备、供应商边缘(PE)路由器、移动管理实体(MME)和网元管理系统(EMS)。许多商业供应商提供实现多个VNF的产品。每个VNF162、164、168都可以由多个内部组件组成。

一些VNF被配置为使用一个网络接口作为它们的数据路径。这些设备的示例包括速率限制器和TCP代理。其他VNF被配置为使用多个网络接口，例如路由器、防火墙和深层分组检测设备。还有一些VNF指定了可以如何相对于它们的接口配置这样的设备。例如，防火墙可以配置为以桥接模式运行。在桥接模式下，防火墙的两个接口都连接到同一个子网。在这种情况下，可能不允许将防火墙功能的每个网络接口连接到同一个子网，并且防火墙或基础设施(管理程序)在检测到这种连接时可能会禁用其中一个接口。或者，所述基础设施可能首先不允许配置这样的连接，并且防火墙可能在检测到这样的连接的接口中禁用其中一个。在一个示例中，当商业上可用的防火墙设备在VNF中实现且在桥接模式下运行时，其要求两个接口位于相同子网中。类似地，OpenWRT家用路由器(www.openwrt.org)需要多个接口位于同一个子网中。这样的虚拟设备目前不能使用市场上可用的某些协调器进行协调。

协调器对虚拟化环境中允许的连接类型有要求。由于协调器限制，具有多个网络接口的多个VNF可能难以协调。例如，Openstack协调器(www.openstack.org)不允许VNF具有在相同子网上的两个网络接口。目前可用的一些网络设备使用多个网络接口(包括，例如上述DeepEdge防火墙、OpenWRT家用路由器和防火墙)。这些设备在虚拟形式下变得难以协调以用于服务链接(如参照图1B所述的)。即使在可以进行协调的情况下，当这些虚拟设备在服务链中使用时，它们使用各种复杂的业务。

虚拟化层145抽象化硬件资源，并将VNF软件从底层硬件120分离，以确保用于VNF的硬件的独立生命周期。虚拟化层负责抽象化和逻辑请求物理资源，以使得实现VNF的软件可以使用底层硬件120，并向VNF提供虚拟化资源(虚拟化处理器142、虚拟化存储器144和虚拟化网络组件146)。通常，此功能以管理一个或多个虚拟机的管理程序形式被提供用于计算和存储器资源。

每个VNF都部署在虚拟机中，尽管可以跨多个虚拟机部署VNF，其中每个虚拟机或承载VNF的单个组件。在其他情况下，可以将整个VNF部署在单个VM中。图1示出了其中每个VNF都包含在单个虚拟机内的示例。管理程序的使用是目前用于VNF的虚拟化层的部署的典型的解决方案之一。在其他情况下，多个VNF可以借助于操作系统在非虚拟服务器上运行，或者VNF的实现是可以运行虚拟化基础设施或者在裸机上运行的应用程序。这样，系统110可以是跨多个硬件设备和跨数据中心实现的系统，或者可以是在单个计算系统中或者在路由器中实现的系统。

虚拟化基础设施管理器136包括用于在其权限下使用计算、存储器和网络资源控制和管理VNF的交互的功能。虚拟化基础设施管理器136可以执行专用于基础设施的软件清单、计算、存储器和网络资源的资源管理、协调虚拟化使能器的分配以及管理基础设施资源和分配。

协调器132负责基础设施和软件资源的协调管理，并在基础设施上实现网络资源。VNF管理器134负责诸如生命周期管理、生命周期范围、实例化、更新、查询，定标和终止的功能。可以部署多个VNF管理器。

在图1的计算系统环境100中，多个客户端设备172、174、176可以通过网络104连接到服务网络110。客户端设备172、174、176可以包括，例如，任何类型的计算设备(包括个人计算系统、笔记本电脑、台式电脑、诸如平板电脑或移动电话的移动计算设备、服务器或者任何网络启用的设备)的任意组合。网络104可以包括耦合到服务设备网络的公共或私人网络。服务网络110可以向客户端设备172-176提供任意数量的VNF，包括从客户端业务到公共或私人网络(诸如网络150)或从公共或私人网络到客户端业务的路由。在此示例中，到互联网150的业务或来自互联网150的业务是由一个或多个VNF在服务分类器的控制下提供服务的。

图1B说明了服务交付网络195中的服务功能链接的概念。图1B中示出的是第一网络104a和第二网络104b。网络104a可以具有连接到网络104a的任意数量的客户端计算设备(未示出)。网络104a通过宽带网络网关(BGW)182耦合到所述服务交付网络。类似地，移动网络104b通过服务提供商网关(SPGW)184连接到所述服务交付网络195。来自宽带网络网关182的业务可以由服务分类器185和186引导通过四个示出的VNF192、194、196、198中的任意一个。所述服务交付网络195中的每个网元可以由一个或多个内部网络耦合。通常，在多个VNF和服务交付网络195中的其他网元之间至少提供数据网络和管理网络。数据网络和管理网络由基础设施190支持，基础设施190可以包括NFV基础设施(支持多个VNF的软件组件和硬件组件)。任意数量的VNF可以在服务交付网络195内实现。图1B中示出的VNF包括防火墙192、杀毒软件194、视频优化器196，以及家长控制198。

来自不同外部网络(104a、104b)和/或外部网络上的不同设备的业务可以被引导到如图1B所示的多个VNF中的特定服务或服务序列。在图1B所示的示例中，到网络104a和来自网络104a的业务191被引导到防火墙VNF192、杀毒软件VNF194和家长控制VNF198。到网络104a和来自网络104b的业务193被服务分类器185、186引导到防火墙VNF192和视频优化器VNF196。

本技术对于大规模虚拟化系统具有适用性的同时也可以应用于小规模系统。图1C示出了在单个硬件设备155中实现的VNF163。硬件设备155可以包括硬件121(包括未示出的足够的硬件基础设施，诸如处理器、存储器和网络组件)，其足以支持管理程序191形式的虚拟化层，并且可以在硬件设备中创建防火墙VNF163。VNF163的示例性实现方式可以包括OpenWRT路由器。OpenWRT可以在多种类型的设备上运行。因此，硬件121可以包括路由器设备、住宅网关设备、智能电话、袖珍计算机和笔记本电脑以及基于x86架构的计算机。

图2示出了使用单个网络接口实现单个或多接口VNF的本技术的实施例。在图2的图示中，在第一或内部虚拟机210内创建VNF202。第一或内部虚拟机210嵌入在第二或外部虚拟机250内。外部虚拟机250还包括虚拟交换机212，虚拟交换机212用于在虚拟交换机212中的虚拟数据网络接口VS-VNET1和VS-VNET2与内部虚拟机210之间路由数据流。内部虚拟机210和外部虚拟机212可以由任意数量的不同操作环境创建。结果是VNF系统201为需要一个或多个网络接口(VNF-ETH1、VNF-ETH2)的任意VNF提供单个数据网络接口(VS-DATA)，以允许这种的多个VNF与各种协调器一起工作，而独立于协调器或VNF的任何要求。

用于创建包括外部虚拟机250的虚拟机的示例性操作环境是OpenStack(上文所述)，OpenStack是一种开源的云计算软件平台。虚拟交换机212可以包括任意数量的不同的公共可用的虚拟交换机软件组件。虚拟交换机的一个示例是Open vSwitch(www.openvswitch.org)，其可以用作于云计算软件平台(诸如OpenStack)的程序化扩展。应当理解的是，可以使用替代的操作环境和替代的虚拟交换机。

外部虚拟机250作为到基础设施接口层260的接口。基础设施接口层260可以包括，例如，计算硬件、虚拟机接口和/或另一个虚拟交换机。在一个实施例中，接口层包括图1A中的虚拟化层145。根据本技术，图2中的VNF系统201为任意类型的VNF 202提供单个数据网络接口(在该示例中为VS-DATA)。

VNF 202包括VNF管理网络接口VNF-ETH0，和两个VNF网络接口VNF-ETH1和VNF-ETH2。虽然图2的示例示出了两个VNF数据网络接口，但本技术不限于用于使用两个VNF网络接口的多个VNF，并且可以与具有一个或多个VNF网络接口的多个VNF结合应用。VNF 202可以包括来自例如商业或其他公共供应商的VNF，其被配置为用于虚拟功能网络接口VNF-ETH1和VNF-ETH2。VNF 202的一个示例是TrendMicro DeepEdge防火墙的虚拟化版本。

VNF网络接口VNF-ETH和VNF-ETH2耦合到网络服务组件215。在一个示例中，网络服务组件215可以使用两个VNF网络接口VNF-ETH1和VNF-ETH2来提供防火墙功能。在其他的示例中，网络服务组件215可以包括任意类型的网络设备服务，所述网络设备服务可以在VNF中虚拟化。

内部VM 202的多个网络接口通过多个VNF网络接口VNF-ETH1和VNF-ETH2附接到虚拟交换机212，作为嵌入在外部虚拟机250内的数据路径，所述外部虚拟机250具有用于到基础设施接口层260的数据路径的单个网络接口VS-DATA。

外部虚拟机250包括虚拟交换机212，其可被配置为提供任意数量的虚拟网络接口，并在各网络接口之间提供可编程的流。另一种类型的虚拟交换机是Cisco应用虚拟交换机(AVS)。在本示例中，将参考使用Open vSwitch的实现方式描述虚拟交换机中的流的实现方式，并且本领域技术人员将认识到，流控制的替代形式将使用不同的实现方式。

虚拟交换机212被配置为提供一系列与VNF设备202连接的三个虚拟网络接口VS-VNET0、VS-VNET1和VS-VNET2。虚拟网络接口包括管理网络接口VS-VNET0和两个数据网络接口VS-VNET1和VS-VNET2。数据网络接口VS-VNET1与VNF上的VNF网络接口VNF-ETH1通信，并且数据网络接口VS-VNET2被配置为与VNF中的VNF-ETH2通信。示出的VS-VNET1到VNF-ETH1以及VS-VNET1和VNF-ETH2之间的通信是示例性的，并且通信可以发生在交换机212的任意虚拟网络接口和VNF 202的任意VNF网络接口之间。虚拟交换机212还提供了管理网络接口VS-MGMT和单个双向虚拟数据网络接口VS-DATA。网络接口VS-DATA成为单个网络接口，通过该单个网络接口，具有多个网络接口的VNF 212可以与基础设施接口层260通信。基础设施接口层260被配置为通过管理网络接口ETH0和数据网络接口ETH1提供与VNF 212的通信。

使用VS-DATA网络接口与VS-VNET1和VS-VNET2数据接口之间的流控制，去往VNF上的VNF-ETH1和VNF-ETH2网络接口的分组被引导到虚拟交换机212内的相应的网络接口。

VNF-ETH0和VS-VNET0是用于管理的内部接口，并且可以被给予预分配的IP地址。VNF管理接口VNF-ETH0允许将配置指令提供给VNF 202。配置指令可以通过单独的管理网络或者子网并经由管理接口路由。用于给定VNF的管理数据被引导通过网络接口ETH0到达虚拟交换机管理接口VS-MGMT，虚拟交换机管理接口VS-MGMT引导管理数据经由虚拟交换机212中的虚拟网络接口VS-VNET0到达VNF管理接口。在此示例中，网络服务组件215可以是TrendMicro DeepEdge虚拟网络功能内部的软件桥接器，或者可以是任意其他的具有特定的单个或多接口需求的VNF服务组件。

在外部VM250中，VS-DATA、VS-VNET1和VS-VNET2被分配给虚拟交换机212内的流控制器组件。在Open vSwitch中，这可以通过将VS-DATA、VS-VNET1和VS-VNET2分配给桥接器来实现，Open vSwitch上的桥接器在此实现方式中称为OVS桥接器225(OVSBR)。替代性的流控制器组件可以被用于替代性的虚拟交换机系统中。当协调外部虚拟机250时，协调器132将会给VS-MGMT和OVSBR225分配DHCP地址。通过外部虚拟机250中的VS-MGMT接口，可以在虚拟交换机212中编程流，从而单个双向VS-DATA接口可以引导业务进入虚拟机250到达VS-VNET1或者VS-VNET2。可以基于源IP地址、源MAC地址或其他的标准来进行流分级。以类似的方式，可以通过VS-MGMT接口对流进行编程，从而单个VS-DATA接口可以在VS-DATA上正确地引导和修改从VS-VNET1或者VS-VNET2流出的业务。可以基于目的地IP地址、目的地MAC地址或者其他标准来进行该流分级。

在一个示例中，来自租户网络(或子网)的数据流可以被引导到互联网，来自互联网的业务可以被引导到租户网络(或子网)上的多个客户端。在这种情况下，VS-ETH1和VS-ETH2可以被分别认为是入口接口和出口接口，虚拟交换机212内的流可以被如下提供：

流1：来自具有租户网络的网络源地址的VS-DATA网络接口的所有分组，发送到入口网络接口VS-VNET1-VNF-ETH1(并发送到网络服务210)，例如从客户端出发去往互联网的分组去往互联网；

流2：来自具有租户网络的网络目的地地址和不等于租户网络的源地址的VS-DATA网络接口的所有分组，发送到出口网络接口VS-VNET2-VNF-ETH2；

流3：来自具有不等于租户子网的网络目的地的出口VNF接口(VNF-ETH2)的所有分组，发送到VS-DATA；以及

流4：来自具有租户IP的网络目的地和不等于租户网络的源地址的入口网络接口(VNF-ETH1)的所有分组，发送到VS-DATA(并发送到租户网络)。

这样，外部虚拟机连同内部虚拟机一起提供虚拟网络功能抽象层，允许VNF需要的任意数量的网络接口可以通过外部虚拟机中的单个网络接口被寻址。因此，从协调器和虚拟网络基础设施抽象出虚拟网络功能要求，并且服务链接系统的协调可以由任意数量的不同协调器实现。

图3示出了根据现有技术的用于创建图2的系统的方法。图2的方法可以由代码实现，所述代码使得计算机结合底层组件和本文所述的商业可用的软件一起执行指令。

在310处，创建包括可寻址的网络接口的外部虚拟机。在图2的上述示例中，网络接口是VS-DATA。外部虚拟机可以形成在任何合适的计算硬件上，并且可以使用任意数量的商业可用的虚拟机代码库创建，如上所述。在320处，外部虚拟机内的虚拟交换机被实例化。当使用Open vSwitch时，这可以包括配置上面参照图2概述的相应接口之间的内部路由。在330处，创建在外部虚拟机内的第二或内部虚拟机。主机虚拟化环境可以是在虚拟化环境中提供虚拟机以仿真硬件资源的任意管理程序。系统实现嵌入虚拟化，因为系统包括在外部虚拟机的虚拟化层内执行的内部虚拟机。在该实施例中，虚拟机212在虚拟化层250中经由虚拟机在该级别执行，以提供对应于硬件的虚拟化资源。

在340处，创建在内部虚拟机内的VNF。如本文所述，VNF可以包括任意数量的网络接口。在这里的示例中，VNF包括将映射到内部虚拟机接口的两个网络接口。

在350处，虚拟交换机被配置为包括和VNF所使用的一样多的用于VNF的虚拟接口，以及用于基础设施的双向虚拟数据接口(VS-DATA)和管理接口(VS-MGMT)接口层260。在360处，外部VM交换机和虚拟网络接口之间的流控制被编程在虚拟交换机中。可以根据不同类型的虚拟网络交换机中正在使用的一个创建流控制。图4中示出了用于双接口VNF的各种流的示例。在370处，对于在双向数据网络接口处接收的每个分组，根据流控制定义路由分组。

图4A示出了当使用虚拟交换机时根据本技术路由流的一种方法。图4B相对于图2的一部分的放大视图图示了图4A的流程。在图4A和图4B的描述中，术语“源”网络和“租户”网络仅仅是说明性的，并且它们中的每个可以包括任何一个或多个网络地址范围和/或子网，或网络可寻址处理网元的任意描述。

对于图4A，步骤410、420、430和440的顺序仅仅是说明性的，使得步骤410、420、430和440可以以任何顺序执行。在410处，对于位于具有租户网络的源地址的外部虚拟机的虚拟数据端口(VS-DATA)处的任意分组，将所述分组转发到入口接口(在上面的示例中是VS-VNET1)。在420处，对于任意位于具有租户网络的网络目的地地址和不等于租户网络的源地址的外部虚拟机的虚拟数据端口(VS-DATA)处的任意分组，将所述分组发送到入口网络接口VS-VNET2(其将会被路由到ETH1)。在430处，对于位于具有不等于租户网络的网络目的地地址的出口VNF接口(VNF-ETH2)处的任意分组，将所述分组转发到外部虚拟机的虚拟数据端口(VS-DATA)(路由到ETH1)。在440处，对于具有租户网络上的网络目的地地址的入口VNF接口(VNF-ETH1)处的任意分组，将所述分组转发到外部虚拟机的虚拟数据端口(VS-DATA)。在450处，删除所有不满足上述标准的其他分组。

图4B相对于图2的一部分的放大图图示了图4A的流程。在图4B中，在440a处示出了分组的业务流，所述该分组的业务流来自具有租户网络上的网络目的地地址的入口VNF接口(VNF-ETH1)并转发到外部虚拟机的虚拟数据端口(VS-DATA)。在430a处示出了分组的业务流，该分组的业务流位于具有不等于租户网络的网络目的地地址的出口VNF接口(VNF-ETH2)并被转发到外部虚拟机的数据端口(VS-DATA)。在420a处示出了分组，该分组从具有租户网络的网络目的地地址和不等于租户网络的源地址的外部虚拟机的虚拟数据端口(VS-DATA)流出并被转发到出口网络接口VS-VNET2。在410a处示出了分组，所述分组位于具有租户网络的源地址的外部虚拟机的虚拟数据端口(VS-DATA)并被转发到入口接口(VS-VNET1)。在附加VNF接口存在的情况下，可以基于各种流定义(诸如IP地址、MAC地址、分组数据类型、网络协议或业务分类)在每个VNF接口和虚拟交换机接口之间路由分组。

图4A和4B中所示的流程仅仅是示例性的，并且示出了使用双接口VNF的技术的实现方式。对于具有两个或更多端口的其他VNF，可以根据VNF的任意要求使用任意数量的不同的流。在这些情况下，可以使用替代性的流定义。例如，可以使用更大的粒度或者基于不同的约束条件(例如虚拟MAC地址、协议或者生存时间参数)指定流。例如，在其中流包括不同协议(诸如UDP和TCP)的分组的两个接口VNF，一个流(UDP)可以被引导到VNF-ETH1，另一个流(UDP)可以被引导到VNF-ETH2。在提供三个网络接口的另一个例子中，一个流可以引导具有给定值的生存时间(TTL)的所有分组到一个接口，可以引导所有UDP分组到第二接口，以及可以引导所有具有特定的虚拟LAN(VLAN)标签的分组到第三网络接口。

图5示出了使用多个VNF的单个网络接口序列的服务管理配置。以类似于图2的方式实现VNF512、514、516、518和520中的每个。图5示出了桥接VNF512、视频优化器VNF514、防火墙VNF516、服务质量(QoS)VNF516和表示可以在服务链中实现的虚拟网络功能的任意VNFn。通过使用双向数据端口(诸如图2的VS-DATA)，VNF512-520中的每个连接到具有第一子网掩码的第一子网550。任意数量的子网客户端560可以连接到子网550。由业务分类器504管理耦合到第一子网的多个VNF，业务分类器504通过管理子网555连接到VNF512-520中的每个。来自任意客户端560的业务可以由业务分类器504路由到任意VNF512-520，并进一步通过路由器502路由到互联网150。在图5的拓扑中，每个VNF使用单个双向接口(即VS-DATA)以用于到子网550的数据输入和输出，以及使用单个网络接口(即VS-MGMT)以用于管理子网555上的配置数据。在图5的示例性拓扑中，根据要为子网550上的每种业务类型提供的业务，业务分类器可以将子网550上的业务流路由到VNF512-520中的每个和路由出VNF512-520中的每个，同时业务通过路由器502进入和离开子网555。

图6示出了使用单个网络接口VNF和多网络接口VNF的组合的服务管理配置。为简单起见，不示出管理子网，但参照图5示出的诸如管理子网555的管理子网可以耦合到业务分类器604和每个VNF。图6示出了两个数据子网642、644。两个VNF，即业务优化器612和QoS系统614，具有连接到子网642的一个网络接口和连接到子网644的另一个网络接口。使用单个或多接口的多个VNF的具体布置仅是示例性的。VNF646和648是根据图2的架构实现的单个数据端口VNF。业务分类器604通过多个VNF中的任意VNF管理来自多个客户端512的业务，以跨多个子网和多个设备提供服务链接。在此示例中，业务分类器604具有耦合到子网642的第一接口和耦合到子网644的第二接口，从而可以为VNF 612、614、646、648中的每个进行业务分级，并在任一子网上路由业务。图6示出了一个实施例，其中可以将多接口VNF 612、614和单个接口VNF 646、648一起使用。在此示例中，根据业务源(即某些客户端或业务会被防火墙阻挡，而其他的客户端或业务不会被防火墙阻挡)，到用户设备512和来自用户设备512的业务可以被路由到VNF防火墙646或者VNF桥接器648，以保护用户设备512。其他的业务类型，诸如视频业务，可能需要优化，通过不将优化器VNF嵌入在外部VNF内(如图2中的示例所示)，可以改善业务优化器VNF 612的性能。

图7是适于用于实现本技术的计算系统。计算系统702可以包括例如微处理器710、随机存取存储器(RAM)720、非易失性存储器730、显示器750、输入设备760和网络接口设备740。在某些实施例中，计算系统702可以嵌入到个人计算机、移动计算机、移动电话、平板电脑或其它合适的处理设备中。

在非易失性存储器730中示出的是功能组件，其可以由指令实现，所述指令可运行为使得处理器710实现下文描述的一个或多个处理。虽然被示出为非易失性存储器730的一部分，这些指令可以被操作为使得所述处理器使用图7中示出的一个或多个硬件组件执行本文中描述的多种处理。这些功能组件包括虚拟机管理器和VNF。

非易失性存储器730可以包括一个或多个计算机可读介质的组合。所述计算机可读介质可以是计算机可读储存器介质。计算机可读存储器介质可以是，例如，但不限于，电子、磁、光、电磁或半导体系统、装置或设备，或前述的任意合适的组合。计算机可读存储介质的更具体的示例(非详尽列表)将包括以下内容：计算机软盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读读取(EPROM或闪速存储器)、具有中继器的适当的光纤、光盘只读存储器(CD-ROM)、光学存储设备、磁存储设备或上述的任意合适的组合。在本文的上下文中，计算机可读存储器介质可以是可以包含或存储用于被指令执行系统、装置或设备使用或与其结合的程序的任何有形介质。

计算机系统702可以包括一组指令，可以执行所述指令以使得计算机702执行本文中公开的任意一个或多个方法或基于计算机的功能。可以使用任意一个或多个编程语言的组合编写用于执行用于本公开的方面的计算机程序代码，这些编程语言包括面向对象的编程语言，常规的程序性编程语言。程序代码可以完全在计算机702上执行，部分地在计算机系统702上执行，作为独立的软件分组，部分地在计算机系统702上执行且部分地在远程计算机上执行，或完全在远程计算机或服务器上执行。在后面的情况下，所述远程计算机可以通过任意类型的网络(包括局域网(LAN)或者广域网(WAN))连接到用户计算机，或者所述连接可以是到外部计算机的连接(例如，使用互联网服务提供商通过互联网)，或者所述连接可以在云计算环境内或作为服务提供。

如图7所示，计算系统702包括处理器710。用于计算系统702的处理器710被配置为执行软件指令，以执行本文中所述的多种实施例的功能。用于计算系统702的处理器710可以是通用处理器或者可以是专用集成电路(ASIC)的一部分。用于计算系统702的处理器710还可以是微处理器、微计算机、处理器芯片、控制器、微控制器、数字信号处理器(DSP)、状态机或可编程逻辑设备。用于计算系统702的处理器710还可以是逻辑电路，包括可编程门阵列(PGA)，诸如现场可编程门阵列(FPGA)，或者包括离散门和/或晶体管逻辑的另一类型的电路。用于计算系统702的处理器710可以是中央处理单元(CPU)、图像处理单元(GPU)，或两者。此外，本文所述的任意处理器可以包括多处理器、并行处理器，或两者。多处理器可以被包括在单个设备或多个设备中或耦合到单个设备或多个设备。

此外，计算系统702包括可以通过总线708彼此通信和与处理器710通信的RAM720和非易失性存储器730。在非易失性存储器730中示出的是包括虚拟机管理器732、协调器734、多个虚拟网络功能736以及虚拟基础设施管理器738的组件，虚拟机管理732的组件可以被处理器使用以创建图1的虚拟化层145，协调器734可以被处理器使用以创建图1的协调器132，多个虚拟网络功能736可以被用以创建本文所述的多个虚拟网络功能中的任意虚拟网络功能，虚拟基础设施管理器738被用于创建图1的虚拟基础设施管理器136以及本文中所述的任意虚拟机。

如图所示，计算系统702还可以包括显示单元750，诸如液晶显示器(LCD)、有机发光二极管(OLED)、平板显示器、固态显示器或阴极射线管(CRT)。此外，图像处理器可以包括输入设备760，诸如键盘/虚拟键盘或者触敏输入屏或者具有语音识别的语音输入屏，且其可能包括光标控制设备，诸如鼠标或触敏输入屏幕或平板电脑。

本文描述的内存是有形存储器介质，其可以存储数据和可执行指令，并且在指令存储在其中的时间期间是非暂时性的。本文中所述的内存是一个产品和/或机器组件。将在本文中描述的内存是计算机可读介质，计算机可以从所述内存中读取数据和可执行指令。本文中所述的内存可以是随机存储存储器(RAM)、只读存储器(ROM)、闪速存存储器、电可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、寄存器、硬盘、可移动磁盘、磁带、光盘只读存储器(CD-ROM)、数字多用盘(DVD)、软盘、蓝光光盘或本领域已知的任何其他形式的存储器介质。存储器可以是易失性的或非易失性的、安全的和/或加密的、不安全的和/或未加密的。

参考根据本公开的实施例的方法的流程图和/或框图以及装置(系统)和计算机程序产品，本文中描述了本公开的方面。应当理解的是，可以由计算机程序指令实现流程图和/或框图的每个框，以及流程图和/或框图中的框的组合。这些计算机程序指令可以被提供给通用计算机、专用计算机，或者其他可编程数据处理装置的处理器，以制造机器，使得经由计算机或其他可编程指令执行装置的处理器执行的指令创建用于实现流程图和/或框图框中特定的功能/动作的机制。

这些计算机程序指令还可以被存储在计算机可读介质中，当执行所述计算机程序指令时，可以控制计算机、其他可编程数据处理装置或其他的设备以特定的方式运行，使得当指令存储在计算机可读介质中时，产生包括指令的一个产品，当执行所述指令时，使得计算机实现流程图和/或框图框中特定的功能/动作。计算机程序指令还可以被加载到计算机、其他可编程指令执行装置或其他装置上，以使得在计算机、其他可编程装置或其他装置上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程装置上执行的指令提供用于实现流程图和/或框图框中特定的功能/动作的处理。

该技术有利地提供了一个外部虚拟机，其与内部虚拟机结合，以提供虚拟网络功能抽象层，从而允许VNF所需的任何数量的网络接口可经由外部虚拟机中的单个网络接口被寻址。因此，从协调器和虚拟网络基础设施中抽象出虚拟网络功能要求，多个服务链接系统的协调可以由多个不同的协调器中的任意协调器实现。该技术大大简化了服务交付网络协调，并且允许多种商用或公共VNF与多种协调器一起使用，否则所述协调器将不能容易地实现服务交付网络中的多个VNF。

根据上述优点，本技术包括用于在第一虚拟机210内提供虚拟网络功能202的设备，该用于提供虚拟网络功能的装置包括多个数据接口(VNF-ETH1、VNF-ETH2)。一种用于提供第二虚拟机250的设备将第一虚拟机嵌套在第二虚拟机250内。还提供了一种用于在第二虚拟机250中的单个双向网络接口(VS-DATA)和多个数据接口之间的引导数据的设备212。所述用于引导数据的设备至少包括与多个数据接口通信的第一虚拟数据网络接口设备(VS-VNET1)和第二虚拟数据网络接口设备(VS-VNET-2)。

另一方面，本技术提供用于在第一虚拟操作环境的网络业务中应用网络服务的设备，所述用于应用的设备具有多个数据接口。还提供了用于在第二虚拟操作环境中的单个网络接口之间路由数据的设备，第一虚拟操作环境嵌入在第二虚拟操作环境内。第二虚拟操作环境包括用于在单个网络接口和多个数据接口之间路由数据的设备。所述用于路由的设备可以包括用于与多个网络接口连接的设备，所述设备在单个网络接口和用于连接的设备之间路由数据，并且所述用于连接的设备引导数据到多个数据接口以及从多个数据接口引导数据。

尽管已经用特定于结构特征和/或方法动作的语言对主题进行了描述，但是应当理解的是，所附权利要求中限定的主题并不必然限于上述具体的特征或动作。相反，将上述具体的特征和动作作为实施权利要求的示例形式公开。

Claims (20)

1.一种处理器实现方法，其在处理系统中提供网络服务，包括：

在所述处理系统中创建第一虚拟机，所述第一虚拟机包括第一虚拟交换机，所述第一虚拟机包括双向数据网络接口，所述双向数据网络接口接收和发送网络数据，所述第一虚拟交换机包括第一虚拟数据网络接口和第二虚拟数据网络接口；

创建第二虚拟机，所述第二虚拟机在所述处理系统中的所述第一虚拟机中运行，所述第二虚拟机包括虚拟网络功能，所述第二虚拟机包括第一VNF数据接口和第二VNF数据接口；以及

在所述双向数据网络接口、所述第一虚拟数据网络接口和第二虚拟数据网络接口之间路由数据，所述路由经由所述第一VNF数据接口、所述第二VNF数据接口、所述第一虚拟数据网络接口和所述第二虚拟数据网络接口将入站和出站网络数据引导到所述虚拟网络功能，所述第一VNF数据接口和所述第二VNF数据接口均通过单个所述双向数据网络接口被寻址。

2.根据权利要求1所述的方法，其中所述双向数据网络接口从子网上的多个客户端处理设备接收网络数据，所述虚拟网络功能将所述网络数据输出到第二网络。

3.根据权利要求1或权利要求2所述的方法，其中所述双向数据网络接口接收和发送用于所述虚拟网络功能的全部数据，所述第一VNF数据接口与所述第一虚拟数据网络接口通信，所述第二VNF数据接口与所述第二虚拟数据网络接口通信，并且所述双向数据网络接口与所述第一虚拟数据网络接口和所述第二虚拟数据网络接口通信。

4.根据权利要求1所述的方法，其中所述路由包括在第一网络和第二网络之间路由数据，所述路由包括：

对于来自具有来自所述第一网络的源地址的所述双向数据网络接口的分组，路由所述分组到所述第一虚拟数据网络接口；

对于来自被寻址到所述第一网络的所述双向数据网络接口的分组，将所述分组转发到所述第二虚拟数据网络接口；

对于来自被寻址到所述第二网络的所述第二虚拟数据网络接口的分组，将所述分组转发到所述双向数据网络接口；以及

对于来自被寻址到所述第一网络的所述第一虚拟数据网络接口的分组，将所述分组转发到所述双向数据网络接口。

5.根据权利要求1、2或4中任一项所述的方法，其中所述虚拟网络功能包括防火墙服务，所述防火墙服务在桥接模式下运行，所述双向数据网络接口从单个子网接收网络数据。

6.根据权利要求1、2或4中任一项所述的方法，其中所述双向数据网络接口耦合到基础设施接口，所述基础设施接口包括虚拟机。

7.根据权利要求1、2或4中任一项所述的方法，其中所述双向数据网络接口是在基础设施接口上可运行的，所述基础设施接口响应于协调器，所述协调器被配置为允许单个所述双向数据网络接口在所述基础设施接口的第一子网上，所述基础设施接口耦合到所述双向数据网络接口。

8.根据权利要求1、2或4中任一项所述的方法，还包括在所述第一虚拟机中配置管理网络接口和虚拟管理网络接口，在所述第二虚拟机中创建VNF管理接口，所述管理网络接口与协调器通信，所述方法包括将来自所述协调器的管理命令从所述管理网络接口路由到所述虚拟管理网络接口。

9.一种计算机可读介质，其包括代码，所述代码指示处理器提供虚拟网络功能，所述虚拟网络功能经由单个数据网络接口使用用于电子网络数据的多个数据接口，所述代码包括：

用于创建第一虚拟机的代码；

用于在所述第一虚拟机内创建第一虚拟交换机的代码，所述第一虚拟交换机包括所述单个数据网络接口，所述单个数据网络接口从基础设施网络接口接收网络数据，并将网络数据输出到所述基础设施网络接口，所述第一虚拟交换机包括第一虚拟数据网络接口和第二虚拟数据网络接口；

用于创建虚拟网络功能的代码，所述虚拟网络功能是在第二虚拟机内可运行的，所述第二虚拟机是在所述第一虚拟机内可运行的，所述虚拟网络功能包括第一VNF数据接口和第二VNF数据接口，所述第一VNF数据接口和所述第二VNF数据接口与所述第一虚拟数据网络接口和第二虚拟数据网络接口通信；以及

用于在所述第一虚拟交换机的数据网络接口与所述第一虚拟数据网络接口和第二虚拟数据网络接口之间路由数据流的代码，所述代码被配置为在所述基础设施网络接口和所述虚拟网络功能上的数据之间引导入站和出站网络数据流，所述第一VNF数据接口和所述第二VNF数据接口均通过所述单个数据网络接口被寻址。

10.根据权利要求9所述的计算机可读介质，其中被配置为路由数据流的代码包括被配置为在第一网络和第二网络之间路由网络数据的代码。

11.根据权利要求9或权利要求10所述的计算机可读介质，其中所述数据网络接口是在基础设施上可运行的，所述基础设施响应于协调器，所述协调器被配置为允许子网上的用于多个虚拟网络功能的网络接口仅在子网掩码内被寻址，所述基础设施耦合到所述数据网络接口。

12.根据权利要求9所述的计算机可读介质，还包括被配置为在所述第一虚拟机内创建管理网络接口和虚拟管理网络接口的代码，被配置为在所述第二虚拟机内创建VNF管理接口的代码，所述管理网络接口与协调器通信，被配置为路由数据流的所述代码将来自所述协调器的管理命令从所述管理网络接口路由到所述虚拟管理网络接口。

13.根据权利要求9、10或12中任一项所述的计算机可读介质，其中所述基础设施网络接口包括虚拟机的虚拟接口，所述虚拟机包括基础设施虚拟交换机。

14.根据权利要求9、10或12中任一项所述的计算机可读介质，其中所述基础设施网络接口包括主机处理系统的网络接口。

15.一种服务交付网络，包括：

处理系统，其至少包括处理器、可操作地耦合到所述处理器的存储器，以及网络接口；

所述处理系统中的多个虚拟网络功能系统，每个虚拟网络功能系统包括指令，所述指令可运行为指示所述处理器创建耦合到所述网络接口的所述虚拟网络功能系统，所述指令指示所述处理器

创建第一虚拟机；

在所述第一虚拟机内提供第一虚拟交换机，所述第一虚拟交换机包括与所述网络接口连接的单个数据网络接口，所述第一虚拟交换机包括第一虚拟数据网络接口和第二虚拟数据网络接口；

在所述第一虚拟机内创建第二虚拟机；

创建在所述第二虚拟机内可运行的虚拟网络功能，所述虚拟网络功能包括第一VNF数据接口和第二VNF数据接口；以及

管理所述单个数据网络接口、所述第一虚拟数据网络接口和第二虚拟数据网络接口之间的数据流，所述数据流包括经由所述第一VNF数据接口、所述第二VNF数据接口、所述第一虚拟数据网络接口和所述第二虚拟数据网络接口被引导到所述虚拟网络功能的入站和出站网络数据，所述第一VNF数据接口和所述第二VNF数据接口均通过所述单个数据网络接口被寻址。

16.根据权利要求15所述的服务交付网络，其中所述单个数据网络接口从单个子网上的多个客户端处理设备接收网络数据，所述虚拟网络功能输出所述网络数据到在所述单个子网的子网掩码之外的第二网络。

17.根据权利要求15或权利要求16所述的服务交付网络，其中所述单个数据网络接口是在基础设施接口上可运行的，所述基础设施接口响应于协调器，所述协调器被配置为允许单个双向接口在所述基础设施接口的第一子网上，所述基础设施接口耦合到所述单个数据网络接口。

18.根据权利要求15所述的服务交付网络，还包括可运行为在所述第一虚拟机内创建管理网络接口和虚拟管理网络接口、在所述第二虚拟机内创建VNF管理接口的指令，所述管理网络接口与协调器通信，并且其中所述指令包括可运行为从所述管理网络接口接收来自所述协调器并到所述虚拟管理网络接口的管理命令的代码。

19.根据权利要求15、16或18中任一项所述的服务交付网络，其中所述单个数据网络接口是在基础设施上可运行的，所述基础设施响应于协调器，所述协调器被配置为允许子网上的用于多个虚拟网络功能的网络接口仅在子网掩码内被寻址，基础设施接口耦合到所述单个数据网络接口。

20.根据权利要求19所述的服务交付网络，其中所述多个虚拟网络功能中的至少一个虚拟网络功能被配置为使用具有在不同的子网掩码内的地址的两个网络接口，并且其中使用所述单个数据网络接口可寻址所述两个网络接口中的每个。

Images