CN111030912A

CN111030912A - 虚拟私有云vpc之间互通的方法

Info

Publication number: CN111030912A
Application number: CN201811174270.9A
Authority: CN
Inventors: 王楠楠; 王军; 吴自霖
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Cloud Computing Technologies Co Ltd
Priority date: 2018-10-09
Filing date: 2018-10-09
Publication date: 2020-04-17
Anticipated expiration: 2038-10-09
Also published as: CN111030912B

Abstract

本申请提供了一种虚拟私有云VPC之间互通的方法，包括：中央网络控制器创建第一网络；所述中央网络控制器接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC；所述中央网络控制器接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关；所述中央网络控制器建立所述第一网关和所述第二网关之间的网络连接。本申请提供的技术方案可以实现跨云的VPC之间的互通，从而可以跨云的VPC之间的自动化互联。

Description

虚拟私有云VPC之间互通的方法

技术领域

本申请涉及云计算领域，并且更具体地，涉及一种虚拟私有云VPC之间互通的方法。

背景技术

由于跨国公司的分支机以及业务构遍布全球，跨国公司希望通过公有云实现业务的全球部署与连接。对于分支机构和子公司遍布全国的跨国公司而言，通过公有云实现虚拟私有云(virtual private cloud，VPC)，以连接全球范围的子公司和分支机构(也就是实现全球化的VPC互通)的需求越来越强烈。

现有技术中，跨云的VPC之间的互通需要租户跟运营商申请专线，租户自己需要配置路由以及配置一些安全规则，而无法实现跨云的两个VPC之间的自动化连接。

因此，如何实现跨云的VPC之间的自动化互连成为亟需要解决的问题。

发明内容

本申请提供一种虚拟私有云VPC之间互通的方法，可以实现跨云的VPC之间的互通，从而可以跨云的VPC之间的自动化互联。

第一方面，提供了一种虚拟私有云VPC之间互通的方法，包括：中央网络控制器创建第一网络；所述中央网络控制器接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC，所述第一VPC属于第一云服务，所述第二VPC属于第二云服务；所述中央网络控制器接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关；所述中央网络控制器建立所述第一网关和所述第二网关之间的网络连接。

需要说明的是，第一VPC属于第一公有云可以理解为第一VPC建立在第一云服务内，第二VPC属于第二公有云可以理解为第二VPC建立在第二云服务内。

结合第一方面，在第一方面的某些实现方式中，所述中央网络控制器调用所述第一网关接口创建第一隧道接口TIF，调用所述第二网关接口创建第二TIF；所述中央网络控制器根据所述第一TIF以及第二TIF的IP配置所述第一网关和第二网关的路由，使得所述第一网关的数据能够发送至所述第二网关、所述第二网关的数据能够发送至所述第一网关。

结合第一方面，在第一方面的某些实现方式中，所述中央网络控制器为所述第一网络分配网段IP；所述中央网络控制器为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；所述中央网络控制器根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

结合第一方面，在第一方面的某些实现方式中，在所述中央网络控制器创建第一网络之前，所述方法还包括：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

结合第一方面，在第一方面的某些实现方式中，所述方法还包括：所述中央网络控制器通过第一引流模块建立所述第一网关和所述第一VPC之间的网络连接；所述中央网络控制器通过第二引流模块建立所述第二网关和所述第二VPC之间的网络连接。

第二方面，提供了一种虚拟私有云VPC之间互通的方法，包括：第一网关接收第一指令，根据所述第一指令创建第一隧道接口TIF，所述第一TIF用于连接所述第一网关与第二网关；所述第二网关接收第二指令，根据所述第二指令创建第二隧道接口TIF，所述第二TIF用于连接所述第二网关与所述第一网关。

结合第二方面，在第二方面的某些实现方式中，所述方法还包括：所述第一网关接收中央网络控制器分配的网段IP；所述第一网关接收中央网络控制器分配的第一IP，所述第一IP属于所述网段IP；所述第一网关接收中央网络控制器分配的第二IP，所述第二IP属于所述网段IP。

结合第二方面，在第二方面的某些实现方式中，在所述第一网关接收第一指令之前，所述方法还包括：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

结合第二方面，在第二方面的某些实现方式中，所述方法还包括：所述第一网关通过第一引流模块建立与第一VPC之间的网络连接，所述第一VPC属于第一云服务；所述第二网关通过第二引流模块建立与第二VPC之间的网络连接，所述第二VPC属于第二云服务。

第三方面，提供了一种中央网络控制器，包括：处理模块、接收模块。

所述处理模块用于：创建第一网络。

所述接收模块用于：接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC，所述第一VPC属于第一云服务，所述第二VPC属于第二云服务。

所述接收模块还用于：接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关。

所述处理模块还用于：建立所述第一网关和所述第二网关之间的网络连接。

结合第三方面，在第三方面的某些实现方式中，所述处理模块具体用于：调用所述第一网关接口创建第一隧道接口TIF，调用所述第二网关接口创建第二TIF；根据所述第一TIF以及第二TIF的IP配置所述第一网关和第二网关的路由，使得所述第一网关的数据能够发送至所述第二网关、所述第二网关的数据能够发送至所述第一网关。

结合第三方面，在第三方面的某些实现方式中，所述处理模块还具体用于：为所述第一网络分配网段IP；为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

结合第三方面，在第三方面的某些实现方式中，所述处理模块还具体用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

结合第三方面，在第三方面的某些实现方式中，所述处理模块还具体用于：所述中央网络控制器通过第一引流模块建立所述第一网关和所述第一VPC之间的网络连接；所述中央网络控制器通过第二引流模块建立所述第二网关和所述第二VPC之间的网络连接。

第四方面，提供了一种网关，包括：处理模块、接收模块。

所述处理模块通过所述接收模块执行以下操作：接收第一指令，根据所述第一指令创建第一隧道接口TIF，所述第一TIF用于连接所述第一网关与第二网关；接收第二指令，根据所述第二指令创建第二隧道接口TIF，所述第二TIF用于连接所述第二网关与所述第一网关。

结合第四方面，在第四方面的某些实现方式中，所述接收模块还用于：所述第一网关接收中央网络控制器分配的网段IP；所述第一网关接收中央网络控制器分配的第一IP，所述第一IP属于所述网段IP；所述第一网关接收中央网络控制器分配的第二IP，所述第二IP属于所述网段IP。

结合第四方面，在第四方面的某些实现方式中，在所述第一网关接收第一指令之前，所述处理模块还用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

结合第四方面，在第四方面的某些实现方式中，所述处理模块还用于：通过第一引流模块建立与第一VPC之间的网络连接，所述第一VPC属于第一云服务；通过第二引流模块建立与第二VPC之间的网络连接，所述第二VPC属于第二云服务。

第五方面，提供了一种中央网络控制器，包括：处理器和存储器、通信接口。

该存储器可以用于存储该管理平台的程序代码和数据。因此，该存储器可以是处理器内部的存储单元，也可以是与处理器独立的外部存储单元，还可以是包括处理器内部的存储单元和与处理器独立的外部存储单元的部件。

存储器可以包括易失性存储器(volatile memory)，例如随机存取存储器(randomaccess memory，RAM)；存储器也可以包括非易失性存储器(non-volatile memory)，例如只读存储器(read-only memory，ROM)、快闪存储器(flash memory)、硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；存储器还可以包括上述种类的存储器的组合。存储器可用于存储一组程序代码，以便于处理器调用存储器中存储的程序代码以实现本发明实施例中涉及的接收模块和/或处理模块的功能。

处理器可以由一个或者多个通用处理器构成，例如可以是中央处理器(centralprocessing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含多个微处理器组合，DSP和微处理器的组合等等。处理器可用于运行相关的程序代码中处理功能的程序。也就是说，处理器执行程序代码可以实现处理模块的功能。

在一种可能的实施方式中，所述处理器用于运行相关的程序代码，以实现本申请上述处理模块的功能。

通信接口可以为有线接口(例如以太网接口)或无线接口(例如蜂窝网络接口或使用无线局域网接口)，用于与其他模块/设备进行通信。例如，本申请实施例中通信接口具体可用于接收企业租户或租户发送的指令数据等。

所述处理器用于从存储器中调用并运行该计算机程序，使得所述中央网络控制器执行第一方面或第一方面任意一种可能的实现方式中所述的方法。

当程序被执行时，处理器用于：创建第一网络。

所述通信接口用于：接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC，所述第一VPC属于第一云服务，所述第二VPC属于第二云服务。

所述通信接口还用于：接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关。

所述处理器还用于：建立所述第一网关和所述第二网关之间的网络连接。

结合第五方面，在第五方面的某些实现方式中，所述处理器具体用于：调用所述第一网关接口创建第一隧道接口TIF，调用所述第二网关接口创建第二TIF；根据所述第一TIF以及第二TIF的IP配置所述第一网关和第二网关的路由，使得所述第一网关的数据能够发送至所述第二网关、所述第二网关的数据能够发送至所述第一网关。

结合第五方面，在第五方面的某些实现方式中，所述处理器还具体用于：为所述第一网络分配网段IP；为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

结合第五方面，在第五方面的某些实现方式中，所述处理器还具体用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

结合第五方面，在第五方面的某些实现方式中，所述处理器还具体用于：所述中央网络控制器通过第一引流模块建立所述第一网关和所述第一VPC之间的网络连接；所述中央网络控制器通过第二引流模块建立所述第二网关和所述第二VPC之间的网络连接。

第六方面，提供了一种网关，包括：处理器和存储器、通信接口。

当程序被执行时，处理器通过所述通信接口执行以下操作：接收第一指令，根据所述第一指令创建第一隧道接口TIF，所述第一TIF用于连接所述第一网关与第二网关；接收第二指令，根据所述第二指令创建第二隧道接口TIF，所述第二TIF用于连接所述第二网关与所述第一网关。

结合第六方面，在第六方面的某些实现方式中，所述通信接口还用于：所述第一网关接收中央网络控制器分配的网段IP；所述第一网关接收中央网络控制器分配的第一IP，所述第一IP属于所述网段IP；所述第一网关接收中央网络控制器分配的第二IP，所述第二IP属于所述网段IP。

结合第六方面，在第六方面的某些实现方式中，在所述第一网关接收第一指令之前，所述处理器还用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

结合第六方面，在第六方面的某些实现方式中，所述处理器还用于：通过第一引流模块建立与第一VPC之间的网络连接，所述第一VPC属于第一云服务；通过第二引流模块建立与第二VPC之间的网络连接，所述第二VPC属于第二云服务。

第七方面，提供了一种计算机可读介质，所述计算机可读介质存储有程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行上述各方面中的方法。该介质为非瞬态的。

第八方面，提供了一种芯片，包括存储器、处理器和收发器，

所述存储器用于存储计算机程序；

所述处理器可以与收发器通信连接。所述存储器可以用于存储所述终端设备的程序代码和数据。因此，所述存储器可以是处理器内部的存储单元，也可以是与处理器独立的外部存储单元，还可以是包括处理器内部的存储单元和与处理器独立的外部存储单元的部件。

可选地，所述处理器可以是通用处理器，可以通过硬件来实现也可以通过软件来实现。当通过硬件实现时，所述处理器可以是逻辑电路、集成电路等；当通过软件来实现时，所述处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，所述存储器可以集成在处理器中，可以位于所述处理器之外，独立存在。

第九方面，提供了一种芯片，包括存储器、处理器和收发器，

所述存储器用于存储计算机程序；

所述处理器用于从存储器中调用并运行该计算机程序，使得所述网关执行第二方面或第二方面任意一种可能的实现方式中所述的方法。

第十方面，提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行上述各方面中的方法。

附图说明

图1是可应用于本申请实施例的系统架构100示意图。

图2是本申请实施例提供的一种区域之间的VPC的云服务资源的联通的示意性结构图。

图3是本申请实施例提供的一种虚拟私有云VPC之间互通的方法的示意性流程图。

图4是本申请实施例提供的一种虚拟网络虚拟连接实施的示意性流程图。

图5是本申请实施例提供的一种系统架构500示意图。

图6是本申请实施例提供的一种系统架构600示意图。

图7是本申请实施例提供的一种虚拟网络虚拟连接实施的示意性流程图。

图8是本申请实施例提供的一种中央控制器800的示意性框图。

图9是本申请实施例提供的一种中央控制器900的示意性框图。

图10是本申请实施例提供的一种网关1000的示意性框图。

图11是本申请实施例提供的一种中央控制器1100的示意性框图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

由于跨国公司的分支机以及业务构遍布全球，跨国公司希望通过云服务实现业务的全球部署与连接。对于分支机构和子公司遍布全国的跨国公司而言，通过云服务实现虚拟私有云(virtual private cloud，VPC)，以连接全球范围的子公司和分支机构(也就是实现全球化的VPC互通)的需求越来越强烈。

本申请实施例提供了一种虚拟私有云VPC之间互通的方法，可以实现跨云的VPC之间的互通，从而可以跨云的VPC之间的自动化互联。

图1是本申请实施例提供的一种系统架构100示意图。如图1所示，该系统架构100可以包括：云服务110、云服务210、区域(region)120、区域(region)130、区域(region)220、区域(region)230中央网络控制器140、租户150。

本申请实施例中云服务110和云服务120可以属于相同或不同企业。

可选地，在一些实施例中，云服务110和云服务120属于相同的企业的情况下，云服务110和云服务120可以位于同一国家/地区内，例如云服务110为华南区云服务，云服务120为华北区云服务。或者云服务110和云服务120位于不同国家/地区，例如云服务110为中国区云服务，云服务120为新加坡区云服务。

可选地，在一些实施例中，云服务110和云服务120属于不同企业的情况下，云服务110和云服务120也可以位于同一国家/地区内，或者云服务110和云服务120位于不同国家/地区。

本申请实施例中，租户150可以通过中央网络控制器140提供的云连接服务，将云服务110和云服务120互联，使得不同国家/地区/企业的云服务资源得以联通。租户180(例如跨国公司)得以灵活使用各个云服务，该云资源服务可以包括但不限于：网络服务、计算服务、存储服务等。

具体地，云服务110和云服务120之间实现互联，作为一个示例，可以是区域120与区域220之间的云服务资源的联通。例如，VPC 121与VPC 221之间的云服务资源互联、VPC121与VPC 222之间的云服务资源互联、VPC 122与VPC 221之间的云服务资源互联、VPC 122与VPC 222之间的云服务资源互联等。作为另一个示例，还可以是区域120与区域230之间的云服务资源的联通。

参见图1，以云服务110作为示例，云服务110由数据中心(包括至少一个机房)内的基础设施(包括至少一个服务器124、交换设备125、存储设备126，例如存储阵列)提供。由于云服务110在全球不同地方都有数据中心，例如，中国的华南区域、华北区域、华东区域等，因此，对应的可以根据地理位置将某个地区的至少一个数据中心的基础设施的集合称为一个区域(例如，区域(region)120、区域130、区域220、区域230)。并可以在一个region上创建多个VPC(例如，VPC 121、VPC 122)。

需要说明的是，VPC 122与VPC 121共用区域120的数据中心内的基础设施(例如，至少一个服务器124、交换设备125、存储设备126等)。

还需要说明的是，图1中的区域130、区域220、区域230与区域120的结构类似，也是在数据中心(包括至少一个机房)内的基础设施上创建多个VPC。

本申请实施例中可以在每一个区域(region)的硬件基础设施上设置一个网关(gateway，GW)，网关GW可以位于region的内部。可以对GW进行配置，从而可以通过网关GW实现云服务110和云服务120之间的互联。

需要说明的是，本申请实施例中云服务110的运营商可以提供上述中央网络控制器140、GW(例如，网关123、网关133、网关223、网关233)等硬件设备或软件系统，云服务120的运营商可以提供场所，例如机房，机房内部署GW(例如，网关123、网关133、网关223、网关233)等设备，或机房内部署的服务器上运行软件以实现GW等。

下面对上述几个核心单元的功能进行详细介绍。

中央网络控制器140：

1、可以为每朵云的每个GW分配一个虚拟网络标识(virtual network identify，TID)。本申请实施例对TID不做具体限定。作为一个示例，该TID可以是虚拟可扩展局域网(virtual extensible local area network，VXLAN)中使用的虚拟网络接口(VXLANnetwork identify，VNI)。作为另一个示例，该TID还可以是通用路由封装协议(genericrouting encapsulation，GRE)中的源端地址和目的地址。

2、可以为每朵云的每个GW分配互联网协议(internet protocol，IP)地址。

3、可以创建区域互联虚拟网络，并可以配置网络中涉及的区域网关(GW)，下面会结合虚拟网络的配置过程进行详细描述，此处不再赘述。

4、调用各区域GW的应用程序编程接口(application programming interface，API)创建GW以及用于连接各个GW的隧道接口(tunnel interface，TIF)，下面会结合虚拟网络的配置过程进行详细描述，此处不再赘述。

本申请实施例中对中央网络控制器140不做限定。作为一个示例，如图1所示，中央网络控制器140可以部署在云服务110(租户150的归属云)中，中央网络控制器140可以对云服务110中的VPC 120或VPC 130，以及云服务210中的VPC 220或VPC 230进行管理，中央网络控制器140在云服务110内可以通过一台或多台物理服务器或虚拟机实现。作为另一个示例，系统架构100采用分布式控制器，中央网络控制器140可以部署在云服务110(租户150的归属云)中，云服务210中可以部署独立的设备管理控制器，该设备管理控制器用于管理210中的VPC 220和/或VPC 230。中央网络控制器140可以通过调用设备管理控制器，实现对云服务210中的VPC 220或VPC 230进行管理。作为另一个示例，系统架构100采用分布式控制器，云服务110中的中央网络控制器140可以独立对VPC 120或VPC 130进行独立管理，云服务210中的设备管理控制器可以对VPC 220或VPC 230进行独立管理。下面会结合图4-图5进行详细说明，此处不再赘述。

网关GW：

1、可以根据中央网络控制器140发送的创建指示，在VPC所在区域的网关创建隧道接口TIF。该隧道接口TIF可以用于接入本区域中的VPC，可以用于实现GW与云内网络VPC之间的互联。例如，可以在VPC 121所在区域120的网关123创建TIF 1，该TIF 1可以实现图1中所示的GW 123与区域120中的VPC 121之间的互通。又如，还可以在VPC 221所在区域220的网关223创建TIF 2，该TIF 2可以实现图1中所示的GW 223与区域220中的VPC 221之间的互通。

2、可以创建用于接入其他区域的GW的隧道接口TIF，可以用于实现两个GW之间的网络互通。例如，可以在VPC121所在区域120的网关123创建TIF 4，该TIF 4可以实现图1中所示的GW 123与网关223之间的虚拟网络的互通。又如，还可以在VPC 221所在区域220的网关223创建TIF 3，该TIF 3可以实现图1中所示的GW 223与网关123之间的虚拟网络的互通。从而可以实现区域120与区域220之间的云服务资源的联通。

可选地，在一些实施例中，系统架构100还可以包括：引流插件、入网点(point ofpresence，POP)。下面以区域120与区域220之间的云服务资源的联通作为示例，结合图2进行详细描述。

图2是本申请实施例提供的一种区域之间的VPC的云服务资源的联通的示意性结构图。图2可以包括：区域120、VPC 121、引流插件127、网关123、POP 128、区域220、VPC 221、引流插件227、网关223。

需要说明的是，如果区域120和区域220属于相同的企业，可以不需要引流插件127，此种情况下可以对区域120和区域220内的实例进行设置，将实例的流量引流至网关123和网关223。如果区域120和区域220不同的企业，则需要引流插件127将区域120中的租户侧流量引流至网关123以连通至目标区域220。

引流插件：引流插件127可以部署在VPC 121与网关123之间，可以对VPC 121的网络报文进行截获，并可以对截获的网络报文进行封装。并可以将网络报文引流至网关123。网关123可以通过专线或因特网(internet)将网络报文发送至网关223。网关223可以通过引流插件227网络报文引流至VPC 221。

需要说明的是，专线可以理解为私有带宽，用户可以运营商进行申请。引流插件可以是软件模块，可以运行在虚拟机或物理机上。

本申请实施例对引流插件不做具体限定。作为一个示例，引流插件可以是网络(neutron)插件。作为另一个示例，引流插件也可以是其他物理虚拟设备。

POP 128：可以理解为因特网的接入点。可以为在因特网内，由因特网服务提供商为用户接入因特网而提供的点。POP 128通常是一组调制解调器和接入服务器，用户通过拨号线路拨入因特网接入点。

需要说明的是，在进行跨区域通信，例如，在从VPC 121到VPC 221，无论是走专线还是因特网(internet)，需要经过网络接入点POP 128。

为了便于描述，下面以实现VPC 121与VPC 221之间的云服务资源的联通作为示例进行说明。

本申请实施例中实现VPC 121与VPC 221之间的云服务资源的联通，首先可以将VPC 121与VPC 221之间的物理网络的连通。其次，可以进行VPC 121与VPC 221之间的虚拟网络的自动化创建与配置。

本申请实施例中云服务110的运营商可以提供中央网络控制器140、引流插件、POP128、网关GW等硬件设备或软件系统。云服务210的运营商可以提供场所，例如机房。该机房内可以部署引流插件、POP 128、网关GW等硬件设备或软件系统，或者该机房内部部署的服务器上可以运行软件以实现引流插件、POP 128、网关GW等。

以VPC 121与VPC 221之间的物理网络的连通为例进行说明。可以在云服务上部署网关GW(例如，网关123、网关133、网关223、网关233)之后，中央网络控制器140可以采集每个云服务中网关GW的介质访问控制(media access control，MAC)地址。中央网络控制器140可以为每个网关GW分配一个IP地址，并可以根据该IP地址配置路由，通过配置缓存的路由表以实现每个网关GW之间的物理网络之间的连通。

以VPC 121与VPC 221之间的虚拟网络的连通为例进行说明。首先，需要实现网关GW与云内外之间的虚拟网络的互通(例如，GW 123与VPC 121之间的虚拟网络的互通，GW223与VPC 221之间的虚拟网络的互通)。其次，需要实现GW网关之间的虚拟网络的互通(例如，GW 123与GW 223之间的互通)。

图3是本申请实施例提供的一种虚拟私有云VPC之间互通的方法的示意性流程图。图3所示的方法可以包括步骤310-340。下面对步骤310-340进行详细描述。

步骤310：中央网络控制器创建第一网络。

中央网络控制器可以创建第一网络，该第一网络可以是一个云骨干网。本申请实施例中可以将云骨干网可以理解为区域之间互联的虚拟网。

作为一个示例，如果租户需要实现VPC 121、VPC 131、VPC 131、VPC 231之间的云连接，该租户可以通过云连接服务创建一个云骨干网。并可以将VPC 121、VPC 131、VPC131、VPC 231加入到创建的云骨干网中。不同的网关GW(例如，GW123、GW223、GW133、GW233)只要加入到一个云骨干网中，则可以使用分配的该TID。

步骤320：中央网络控制器接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC。

本申请实施例中第一VPC属于第一云服务，所述第二VPC属于第二云服务。第一VPC属于第一云服务可以理解为第一VPC建立在第一云服务内，第二VPC属于第二公有云可以理解为第二VPC建立在第二云服务内。

以第一云服务作为示例，第一云服务由数据中心(包括至少一个机房)内的基础设施(包括至少一个服务器、交换设备、存储设备，例如存储阵列)提供。由于第一云服务在全球不同地方都有数据中心，例如，中国的华南区域、华北区域、华东区域等，因此，对应的可以根据地理位置将某个地区的至少一个数据中心的基础设施的集合称为一个区域(例如，区域(region)120、区域130、)。并可以在一个region上创建多个VPC(例如，第一VPC 121、第二VPC)。

步骤330：所述中央网络控制器接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关。

本申请实施例中可以在每一个区域(region)的硬件基础设施上设置一个网关(gateway，GW)，网关GW可以位于region的内部。可以对GW进行配置，从而可以通过网关GW实现第一云服务110和第二云服务之间的互联。

步骤340：中央网络控制器建立所述第一网关和所述第二网关之间的网络连接。

本申请实施例中央网络控制器建立所述第一网关和所述第二网关之间的网络连接可以理解为建立第一网关与第二网关之间的虚拟网络。下面会结合图4进行详细说明，此处不再赘述。

本申请实施例中，可以实现跨云的VPC之间的互通，从而可以跨云的VPC之间的自动化互联。

下面结合图4，更加详细地描述本申请实施例中虚拟网络的自动化创建与配置的具体实现过程。应注意，图4的各种等价的修改或变化也落入本申请实施例的范围内。

需要说明的是，可以结合图4所示的流程图，以实现图2中的GW与云内外之间的虚拟网络的互通以及GW网关之间的虚拟网络的互通。

图4是本申请实施例提供的一种虚拟网络虚拟连接实施的示意性流程图。图4所示的流程图可以包括步骤410-490，下面分别对步骤410-490进行详细描述。

需要说明的是，本申请实施例对执行图4所示的步骤410-490的先后顺序不做具体限定，可以按照本申请实施例中的顺序执行，也可以根据实际情况执行步骤410-490。

步骤410：云租户向云服务110的服务控制台发送创建云骨干网的请求。

应理解，云服务110的服务控制台可以理解为云租户的归属云。云骨干网可以理解为区域之间互联的虚拟网络。

步骤415：云服务110的服务控制台向中央网络控制器发送创建云骨干网的请求。

云服务110的服务控制台可以在接收到云租户发送的创建云骨干网的请求之后，可以向中央网络控制器发送创建云骨干网的请求。

步骤420：中央网络控制器创建云骨干网。

中央网络控制器可以在接收到云服务110的服务控制台发送的创建云骨干网的请求之后，可以根据令牌(token)判断该租户是否为一朵云租户。如果该租户为一朵云租户，可以为该租户分配的隧道标识TID，并可以将该TID记录在数据库(database，DB)中。如果该租户不是全球一朵云租户，则代表该租户无权建立跨区域的VPC的连通。

本申请实施例中token可以用于表示计算机身份认证，可以对执行某些操作的对象的权利进行认证。

本申请实施例中，如果租户为一朵云租户，该租户可以通过云连接的服务实现不同的VPC之间的的云服务资源的联通。

应理解，如果该需要实现VPC 121与VPC 221之间的云连接，可以将该VPC 121与VPC 221加入到创建的云骨干网中。并可以为该云骨干网分配第一TID，不同的网关GW(例如，GW123、GW223)只要加入到一个云骨干网中，则可以使用分配的该第一TID。

作为一个示例，如果租户需要实现VPC 121、VPC 131、VPC 131、VPC 231之间的云连接，该租户可以创建一个云骨干网。并可以将VPC 121、VPC 131、VPC 131、VPC 231加入到创建的云骨干网中。并可以为该云骨干网分配第二TID，不同的网关GW(例如，GW123、GW223、GW133、GW233)只要加入到一个云骨干网中，则可以使用分配的该第二TID。

步骤425：租户可以向云服务110的服务控制台发送添加VPC 121的请求。

租户可以在中央网络控制器创建好云骨干网，并分配了TID之后，可以将VPC 121添加至创建的云骨干网中。

步骤430：云服务110的服务控制台向中央网络控制器发送创建访问实例1(accessinstance 1)。

云服务110的服务控制台可以在接收到租户发送的将VPC 121添加至创建的云骨干网的请求之后，可以向中央网络控制器发送创建access instance 1。

应理解，access instance 1可以是逻辑概念上的VPC 121。

步骤435：中央网络控制器创建access instance 1。

中央网络控制器可以在接收到云服务110的服务控制台发送的创建accessinstance 1的请求之后，可以创建一个access instance 1，并可以将该access instance1记录在DB中。

步骤440：中央网络控制器调用区域120的接口创建GW 123。

中央网络控制器可以在创建好access instance 1之后，可以调用对应的区域(例如区域120)的接口创建GW 123。

步骤445：中央网络控制器创建TIF 1。

中央网络控制器可以在创建好GW 123之后，可以创建TIF 1。该TIF 1可以用于连接VPC 121与GW 123。

本申请实施例中，可以在中央网络控制器创建好GW 123以及TIF 1之后，该区域120中的网络设备可以统一分配内层互连的网段IP，并可以将该网段IP内的IP地址分别配置在区域120的引流插件127与GW 123上。该网络设备可以在增加了引流插件上配置自定义路由，使得该引流插件可以将目的IP地址为GW 123的数据流路由至GW 123上，从而实现VPC121与GW 123之间的互通。创建的TIF 1的IP地址可以是统一分配的网段IP中的任意一个IP，区域120中的网络设备可以配置TIF 1的路由，可以实现GW 123与VPC 121之间的互通。

步骤450：租户可以向云服务110的服务控制台发送添加VPC 221的请求。

与步骤425对应，具体的请参考步骤325中的描述，此处不再赘述。

步骤455：云服务110的服务控制台向中央网络控制器发送创建访问实例2(accessinstance 2)。

与步骤430对应，具体的请参考步骤430中的描述，此处不再赘述。

步骤460：中央网络控制器创建access instance 2。

中央网络控制器可以在接收到云服务110的服务控制台发送的创建accessinstance 2的请求之后，可以根据云服务110的token获取云服务120的临时token。并可以调用云服务210的区域220接口创建access instance 2。

步骤465：中央网络控制器调用区域220创建GW 223。

中央网络控制器可以在创建好access instance 2之后，可以调用对应的区域(例如区域220)的接口创建GW 223。

步骤470：中央网络控制器向GW 123发送分配的网段IP。

中央网络控制器可以在将VPC 121以及VPC 221加入到云骨干网中，并创建了GW123以及GW 223之后，中央网络控制器可以统一分配云骨干网的网段IP，并可以将该网段IP内的IP地址分别配置在GW 123以及GW 223上。中央网络控制器还可以向GW 123发送TID。

本申请实施例中分配的网段IP可以是无类域间路由(classless inter-domainrouting，CIDR)。

应理解，CIDR是一个在Internet上创建附加地址的方法，这些地址提供给服务提供商，再由服务提供商分配给客户。CIDR将路由集中起来，使一个IP地址代表主要骨干提供商服务的几千个IP地址，从而减轻Internet路由器的负担。

步骤475：中央网络控制器向GW 223分配网段IP。

与步骤470对应，具体的请参考步骤470中的描述，此处不再赘述。

步骤480：中央网络控制器调用GW 223接口创建TIF 2。

中央网络控制器可以在向GW 223分配网段IP之后，调用GW 223接口创建TIF 2。该TIF 2可以用于连接VPC 221与GW 223。

将该网段IP内的某一个IP地址配置在TIF 2上。

具体的有关建立VPC 221与GW 223之间的虚拟网络的连通，请参考步骤345中的描述，此处不再赘述。

步骤485：中央网络控制器调用GW 223接口创建TIF 3。

中央网络控制器可以在向GW 123、GW 223分配网段IP之后，创建TIF 3。该TIF 3可以用于连接GW 123与GW 223。

应理解，TIF 3的IP可以是步骤375中分配的网段IP中的任意一个IP。

步骤490：中央网络控制器调用GW 123接口创建TIF 4。

中央网络控制器可以调用GW 123接口创建TIF 4。该TIF 4可以用于连接GW 123与GW 223。

应理解，TIF 4的IP可以是步骤470中分配的网段IP中的任意一个IP。

本申请实施例中可以在创建好TIF 3以及TIF 4之后，可以根据TIF 3以及TIF 4上分配的IP地址配置网关路由，并可以根据缓存的路由表进行路由寻址，从而可以实现GW123与GW 223之间的虚拟网络的连通，和/或GW 223以及GW 123之间的虚拟网络的连通。

具体地，中央网络控制器可以可以根据区域ID信息(例如，区域120)与配置的设备对应的TIF关系获取远端GW 123的TIF 1的IP信息，配置GW 123的路由，使得GW 123与GW223之间的虚拟网络实现连通。

中央网络控制器还可以根据DB记录的access instance 1以及access instance2的信息(例如，区域ID获取TIF 3的IP信息)，获取GW 223的IP信息，并配置GW 223的路由，使得GW 223与GW 123之间的虚拟网络实现连通。

本申请实施例中，区域上的网关(例如，GW 123、GW 223)提供隧道创建(例如，创建TIF)、路由配置功能，可以打通区域内VPC到GW(例如，区域120内的VPC 121到GW 123，区域220内的VPC 221到GW 223)之间的数据流、GW到GW(例如，GW 123到GW 223)之间的数据流，完成基础网络的自动化连通。

本申请实施例中，对租户使用隧道协议封装虚拟专线，可以为每一个租户提供独立的虚拟网关实例来负载网络通信，可以形成隔离，其安全性更强。

图1所示系统架构100中，中央网络控制器140不仅可以对云服务110上的区域(region)120以及区域(region)130中的网关GW进行直接控制和配置，还可以直接对云服务210上的区域(region)220以及区域(region)230中的网关GW进行直接控制和配置。

可选的，在一些实施例中，在多云管理的情况下，如果不允许中央网络控制器140直接对其他云服务上的设备进行控制(例如，中央网络控制器140不可以直接对云服务210上的网关223进行控制，例如调用网关223的接口创建TIF)。可以在云服务210上增加独立的设备管理以及权限管理服务，中央网络控制器140可以通过权限认证，并通过设置的网关的API接口对云服务210上的网关223以及网关233进行调用和统一配置。下面结合图5对上述系统架构进行详细描述。

图5是本申请实施例提供的一种系统架构500示意图。如图5所示，该系统架构500在系统架构100的基础上还可以包括：身份识别与访问管理(indentification and accessmanagement，IAM)510模块、应用程序编程接口网关API-GW 520。

应理解，IAM 510模块可以提供身份认证和权限功能管理，可以管理租户150(例如，员工、系统或应用程序)账号，并可以实现对租户、资源、操作的权限鉴定以及授予。

云服务210中引入API-GW 520，可以将网关GW(例如，云服务210上的网关223以及网关233)通过API-GW 520开放，使得中央网络控制器140可以通过API-GW 520对云服务210上的网关进行配置。

本申请实施例中，每个云服务可以有独立的设备管理以及权限控制功能，使得不同的云服务之间的隔离性更强。

可选地，在一些实施例中，可以采用分布式的中央网络控制器的模式，每个云服务可以具有独立的中央网络控制器，所有的云服务的中央网络控制器可以组成一个集群。下面结合图6，对上述系统架构进行详细描述。

图6是本申请实施例提供的一种系统架构600示意图。如图6所示，该系统架构600在系统架构100的基础上还可以包括：独立网络控制器610。

独立网络控制器610的功能如下所示：

1、可以负责管理云服务210下的网关(例如，网关223以及网关233)，并可以完成云服务210内租户的权限认证。

2、需要向中央网络控制器140申请加入该中央网络控制器140，并申请开通云服务210下的所有网关(例如，网关223以及网关233)的接入能力。

3、需要向中央网络控制器140申请分配TID，以及申请接入的TIF接口以及IP地址。

本申请实施例中，可以在创建区域云骨干网时，配置信息需要通过中央网络控制器140进行云服务之间(例如，云服务110以及云服务210)的互相同步。下面结合图7，对图6所示的系统架构600下的虚拟网络连接的过程进行详细说明。

图7是本申请实施例提供的一种虚拟网络虚拟连接实施的示意性流程图。图7所示的流程图可以包括步骤710-795，下面分别对步骤710-795进行详细描述。

需要说明的是，本申请实施例对执行图7所示的步骤710-795的先后顺序不做具体限定，可以按照本申请实施例中的顺序执行，也可以根据实际情况执行步骤710-795。

步骤710：云租户向云服务110的服务控制台发送创建云骨干网的请求。

步骤715：云服务110的服务控制台向中央网络控制器发送创建云骨干网的请求。

步骤720：中央网络控制器创建云骨干网。

步骤725：租户可以向云服务110的服务控制台发送添加VPC 121的请求。

步骤730：云服务110的服务控制台向中央网络控制器发送创建访问实例1(accessinstance 1)。

步骤735：中央网络控制器创建access instance 1、access region 1。

中央网络控制器可以在接收到云服务110的服务控制台发送的创建accessinstance 1、access region 1的请求之后以后，可以创建access instance 1、accessregion 1，并可以将该access instance 1、access region 1记录在DB中。

步骤740：中央网络控制器调用区域120的接口创建GW 123。

步骤745：中央网络控制器创建TIF 1。

步骤750：租户可以向云服务110的服务控制台发送添加VPC 221的请求。

步骤755：云服务110的服务控制台向中央网络控制器发送创建访问实例2(accessinstance 2)。

步骤760：中央网络控制器创建access instance 2。

步骤765：中央网络控制器向独立网络控制器发送创建云骨干网的请求。

中央网络控制器可以在创建好access instance 2之后，可以向独立网络控制器发送创建云骨干网的请求。

步骤766：独立网络控制器创建云骨干网。

独立网络控制器在创建云骨干网，中央网络控制器可以向独立网络控制器指定TID、CIDR。

步骤770：中央网络控制器创建access region 2。

中央网络控制器可以在调用独立网络控制器接口创建云骨干网之后，可以创建access region 2。

步骤775：中央网络控制器调用独立网络控制器接口创建access region 1。

中央网络控制器调用独立网络控制器接口，根据指定的网关IP创建accessregion 1。

步骤776：中央网络控制器调用独立网络控制器接口创建access region 2。

中央网络控制器调用独立网络控制器接口，根据指定的网段IP创建accessregion 2。

步骤780：中央网络控制器调用独立网络控制器接口创建access instance 2。

步骤785：独立网络控制器创建创建GW 223。

步骤786：独立网络控制器创建TIF 2。

步骤790：中央网络控制器调用独立网络控制器接口创建access instance 1。

步骤795：独立网络控制器创建创建TIF 3。

步骤796：中央网络控制器调用GW 123接口创建TIF 4。

具体的有关创建access instance、TIF以及分配TID、CIDR，请参考图4中的描述，此处不再赘述。

本申请实施例中，每个云服务都有自己独立的中央网络控制器，可以实现对每个云服务的独立管理，其隔离性更好。

本申请实施例中，租户在通过云连接服务将跨云服务的VPC之间连通之后(例如，连通)，可以灵活使用VPC 120以及VPC 220上的云服务资源。

上文结合图1至图7，详细描述了本申请实施例提供的虚拟私有云VPC之间互通的方法，下面将结合图8-11，详细描述本申请的装置实施例(管理平台)。应理解，方法实施例的描述与装置实施例的描述相互对应，因此，未详细描述的部分可以参见前面方法实施例。

图8是本申请实施例提供的一种中央控制器800的示意性框图，该中央控制器800可以包括处理模块810、接收模块820。

处理模块810用于：创建第一网络。

接收模块820用于：接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC，所述第一VPC属于第一云服务，所述第二VPC属于第二云服务。

接收模块820还用于：接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关。

所述处理模块810还用于：建立所述第一网关和所述第二网关之间的网络连接。

可选地，在一些实施例中，所述处理模块810还具体用于：为所述第一网络分配网段IP；为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

可选地，在一些实施例中，所述处理模块810还具体用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

可选地，在一些实施例中，所述处理模块810还具体用于：所述中央网络控制器通过第一引流模块建立所述第一网关和所述第一VPC之间的网络连接；所述中央网络控制器通过第二引流模块建立所述第二网关和所述第二VPC之间的网络连接。

应理解，根据本申请实施例的中央控制器800可用于执行本申请实施例图3-图4中的各个方法的相应流程，并且中央控制器800中的各个模块的上述和其它操作和/或功能分别为了实现本申请实施例图3-图4中的各个方法的相应流程，为了简洁，在此不再赘述。

可选地，在一些实施例中，中央控制器800的处理模块810还用于：通过第二云服务上的身份识别与访问管理IAM模块进行权限认证。

可选地，在一些实施例中，处理模块810还用于：通过第二云服务上的应用程序编程接口网关API-GW为所述第一网络分配网段IP；为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

可选地，在一些实施例中，中央控制器800的处理模块810还用于：通过第二云服务上地理的网络控制器进行上述动作和步骤。

本申请实施例提供的中央控制器，可以实现跨云的VPC之间的互通，从而可以跨云的VPC之间的自动化互联。

图9是本申请实施例提供的一种中央控制器900的示意性框图。

参见图9，该中央控制器900可以包括：通信接口910、处理器920、存储器930。

可选地，中央控制器900还可以包括总线940。其中，通信接口910、处理器920以及存储器930可以通过总线940相互连接；总线940可以是外设部件互连标准(peripheralcomponent interconnect，简称PCI)总线或扩展工业标准结构(extended industrystandard architecture，简称EISA)总线等。所述总线940可以分为地址总线、数据总线、控制总线等。为便于表示，图11中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：

该存储器930可以用于存储该管理平台的程序代码和数据。因此，该存储器930可以是处理器920内部的存储单元，也可以是与处理器920独立的外部存储单元，还可以是包括处理器920内部的存储单元和与处理器920独立的外部存储单元的部件。

处理器920可以由一个或者多个通用处理器构成，例如可以是中央处理器(central processing unit，CPU)，通用处理器，数字信号处理器(digital signalprocessor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含多个微处理器组合，DSP和微处理器的组合等等。处理器920可用于运行相关的程序代码中处理功能的程序。也就是说，处理器920执行程序代码可以实现处理模块的功能。其中，关于处理模块具体可参见前述实施例中的相关阐述。

在一种可能的实施方式中，所述处理器920用于运行相关的程序代码，以实现本申请上述处理模块的功能，或以实现本申请上述图3示出的步骤310-350中所述的方法，和/或实现本文所描述的技术的其它步骤等，本申请这里不做详述和限定。

通信接口910可以为有线接口(例如以太网接口)或无线接口(例如蜂窝网络接口或使用无线局域网接口)，用于与其他模块/设备进行通信。例如，本申请实施例中通信接口具体可用于接收企业租户或租户发送的指令数据等。

存储器930可以包括易失性存储器(volatile memory)，例如随机存取存储器(random access memory，RAM)；存储器也可以包括非易失性存储器(non-volatilememory)，例如只读存储器(read-only memory，ROM)、快闪存储器(flash memory)、硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；存储器930还可以包括上述种类的存储器的组合。存储器930可用于存储一组程序代码，以便于处理器920调用存储器930中存储的程序代码以实现本发明实施例中涉及的通信模块和/或处理模块的功能。

当程序被执行时，处理器920用于：创建第一网络。

通信接口910用于：接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC，所述第一VPC属于第一云服务，所述第二VPC属于第二云服务。

通信接口910还用于：接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关。

所述处理器920还用于：建立所述第一网关和所述第二网关之间的网络连接。

可选地，在一些实施例中，所述处理器920还具体用于：为所述第一网络分配网段IP；为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

可选地，在一些实施例中，所述处理器920还具体用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

可选地，在一些实施例中，所述处理器920还具体用于：所述中央网络控制器通过第一引流模块建立所述第一网关和所述第一VPC之间的网络连接；所述中央网络控制器通过第二引流模块建立所述第二网关和所述第二VPC之间的网络连接。

可选地，在一些实施例中，中央控制器800的处理器920还用于：通过第二云服务上的身份识别与访问管理IAM模块进行权限认证。

可选地，在一些实施例中，处理器920还用于：通过第二云服务上的应用程序编程接口网关API-GW为所述第一网络分配网段IP；为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

中央控制器900还可以分布式的由多个计算设备实现，每个计算设备均包括处理器和存储器。每个计算设备执行中央控制器900的一部分工作，即上述中央控制器900执行的一部分动作。这多个计算设备协同实现中央控制器900。图10是本申请实施例提供的一种网关1000的示意性框图，该网关1000可以包括处理模块1010、接收模块1020。

所述处理模块1010通过所述接收模块1020执行以下操作：接收第一指令，根据所述第一指令创建第一隧道接口TIF，所述第一TIF用于连接所述第一网关与第二网关；接收第二指令，根据所述第二指令创建第二隧道接口TIF，所述第二TIF用于连接所述第二网关与所述第一网关。

可选地，在一些实施例中，所述接收模块1020还用于：所述第一网关接收中央网络控制器分配的网段IP；所述第一网关接收中央网络控制器分配的第一IP，所述第一IP属于所述网段IP；所述第一网关接收中央网络控制器分配的第二IP，所述第二IP属于所述网段IP。

可选地，在一些实施例中，在所述第一网关接收第一指令之前，所述处理模块1020还用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

可选地，在一些实施例中，所述处理模块1020还用于：通过第一引流模块建立与第一VPC之间的网络连接，所述第一VPC属于第一云服务；通过第二引流模块建立与第二VPC之间的网络连接，所述第二VPC属于第二云服务。

网关1000还可以分布式的由多个计算设备实现，每个计算设备均包括处理器和存储器。每个计算设备执行网关1000的一部分工作，即上述网关1000执行的一部分动作。这多个计算设备协同实现网关1000。

本申请实施例提供的网关，可以实现跨云的VPC之间的互通，从而可以跨云的VPC之间的自动化互联。

参见图11，该中央控制器1100可以包括：通信接口1110、处理器1120、存储器1130。

可选地，中央控制器1100还可以包括总线1140。其中，通信接口1110、处理器1120以及存储器1130可以通过总线1140相互连接；总线1140可以是外设部件互连标准(peripheral component interconnect，简称PCI)总线或扩展工业标准结构(extendedindustry standard architecture，简称EISA)总线等。所述总线1140可以分为地址总线、数据总线、控制总线等。为便于表示，图11中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：

该存储器1130可以用于存储该管理平台的程序代码和数据。因此，该存储器1130可以是处理器1120内部的存储单元，也可以是与处理器1120独立的外部存储单元，还可以是包括处理器1120内部的存储单元和与处理器1120独立的外部存储单元的部件。

处理器1120可以由一个或者多个通用处理器构成，例如可以是中央处理器(central processing unit，CPU)，通用处理器，数字信号处理器(digital signalprocessor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含多个微处理器组合，DSP和微处理器的组合等等。处理器1120可用于运行相关的程序代码中处理功能的程序。也就是说，处理器1120执行程序代码可以实现处理模块的功能。其中，关于处理模块具体可参见前述实施例中的相关阐述。

在一种可能的实施方式中，所述处理器1120用于运行相关的程序代码，以实现本申请上述处理模块的功能，或以实现本申请上述图3示出的步骤310-350中所述的方法，和/或实现本文所描述的技术的其它步骤等，本申请这里不做详述和限定。

通信接口1110可以为有线接口(例如以太网接口)或无线接口(例如蜂窝网络接口或使用无线局域网接口)，用于与其他模块/设备进行通信。例如，本申请实施例中通信接口具体可用于接收企业租户或租户发送的指令数据等。

存储器1130可以包括易失性存储器(volatile memory)，例如随机存取存储器(random access memory，RAM)；存储器也可以包括非易失性存储器(non-volatilememory)，例如只读存储器(read-only memory，ROM)、快闪存储器(flash memory)、硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；存储器1130还可以包括上述种类的存储器的组合。存储器1130可用于存储一组程序代码，以便于处理器1120调用存储器1130中存储的程序代码以实现本发明实施例中涉及的通信模块和/或处理模块的功能。

当程序被执行时，处理器1120所述通信接口1110执行以下操作：接收第一指令，根据所述第一指令创建第一隧道接口TIF，所述第一TIF用于连接所述第一网关与第二网关；接收第二指令，根据所述第二指令创建第二隧道接口TIF，所述第二TIF用于连接所述第二网关与所述第一网关。

可选地，在一些实施例中，所述通信接口1110还用于：所述第一网关接收中央网络控制器分配的网段IP；所述第一网关接收中央网络控制器分配的第一IP，所述第一IP属于所述网段IP；所述第一网关接收中央网络控制器分配的第二IP，所述第二IP属于所述网段IP。

可选地，在一些实施例中，在所述第一网关接收第一指令之前，所述处理器1120还用于：通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

可选地，在一些实施例中，所述处理器1120还用于：通过第一引流模块建立与第一VPC之间的网络连接，所述第一VPC属于第一云服务；通过第二引流模块建立与第二VPC之间的网络连接，所述第二VPC属于第二云服务。

可选地，本申请实施例还提供了一种计算机可读介质，所述计算机可读介质存储有程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行上述各方面中的方法。

可选地，本申请实施例还提供了一种芯片，包括存储器、处理器和收发器，所述芯片可以用于执行步骤310-350中所述的方法和/或实现本文所描述的技术的其它步骤等。

具体地，所述存储器用于存储程序；

可选地，本申请实施例还提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行上述各方面中的方法。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

在本申请中使用的术语“部件”、“模块”、“系统”等用于表示计算机相关的实体、硬件、固件、硬件和软件的组合、软件、或执行中的软件。例如，部件可以是但不限于，在处理器上运行的进程、处理器、对象、可执行文件、执行线程、程序和/或计算机。通过图示，在计算设备上运行的应用和计算设备都可以是部件。一个或多个部件可驻留在进程和/或执行线程中，部件可位于一个计算机上和/或分布在2个或更多个计算机之间。此外，这些部件可从在上面存储有各种数据结构的各种计算机可读介质执行。部件可根据具有一个或多个数据分组(例如来自与本地系统、分布式系统和/或网络间的另一部件交互的二个部件的数据，例如通过信号与其它系统交互的互联网)的信号通过本地和/或远程进程来通信。

还应理解，在本申请的各实施例中，“第一”、“第二”、“第三”等仅是为了指代不同的对象，并不表示对指代的对象有其它限定。

另外，本文中术语“系统”和“网络”在本文中常被可互换使用。本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims

1.一种虚拟私有云VPC之间互通的方法，其特征在于，包括：

中央网络控制器创建第一网络；

所述中央网络控制器接收第一指令，根据所述第一指令在所述第一网络中创建第一VPC以及第二VPC，所述第一VPC属于第一云服务，所述第二VPC属于第二云服务；

所述中央网络控制器接收第二指令，根据所述第二指令创建所述第一VPC的第一网关以及所述第二VPC的第二网关；

所述中央网络控制器建立所述第一网关和所述第二网关之间的网络连接。

2.根据权利要求1所述的方法，其特征在于，所述中央网络控制器建立所述第一网关和所述第二网关之间的网络连接，包括：

所述中央网络控制器调用所述第一网关接口创建第一隧道接口TIF，调用所述第二网关接口创建第二TIF；

所述中央网络控制器根据所述第一TIF以及第二TIF的IP配置所述第一网关和第二网关的路由，使得所述第一网关的数据能够发送至所述第二网关、所述第二网关的数据能够发送至所述第一网关。

3.根据权利要求1或2所述的方法，其特征在于，所述中央网络控制器建立所述第一网关和所述第二网关之间的网络连接，包括：

所述中央网络控制器为所述第一网络分配网段IP；

所述中央网络控制器为所述第一网关分配第一IP，为所述第二网关分配第二IP，所述第一IP和所述第二IP属于所述网段IP；

所述中央网络控制器根据所述第一IP和所述第二IP，配置所述第一网关和第二网关的路由。

4.根据权利要求1至3中任一项所述的方法，其特征在于，在所述中央网络控制器创建第一网络之前，所述方法还包括：

通过专线网络、虚拟私人网络VPN或者因特网连接所述第一网关与所述第二网关。

5.根据权利要求1至4中任一项所述的方法，其特征在于，所述方法还包括：

所述中央网络控制器通过第一引流模块建立所述第一网关和所述第一VPC之间的网络连接；

所述中央网络控制器通过第二引流模块建立所述第二网关和所述第二VPC之间的网络连接。

6.一种虚拟私有云VPC之间互通的方法，其特征在于，包括：

第一网关接收第一指令，根据所述第一指令创建第一隧道接口TIF，所述第一TIF用于连接所述第一网关与第二网关；

所述第二网关接收第二指令，根据所述第二指令创建第二隧道接口TIF，所述第二TIF用于连接所述第二网关与所述第一网关。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

所述第一网关接收中央网络控制器分配的网段IP；

所述第一网关接收中央网络控制器分配的第一IP，所述第一IP属于所述网段IP；

所述第一网关接收中央网络控制器分配的第二IP，所述第二IP属于所述网段IP。

8.根据权利要求6或7所述的方法，其特征在于，在所述第一网关接收第一指令之前，所述方法还包括：

9.根据权利要求6至8中任一项所述的方法，其特征在于，所述方法还包括：

所述第一网关通过第一引流模块建立与第一VPC之间的网络连接，所述第一VPC属于第一云服务；

所述第二网关通过第二引流模块建立与第二VPC之间的网络连接，所述第二VPC属于第二云服务。

10.一种中央网络控制器，其特征在于，包括：存储器和处理器，

所述存储器用于存储程序；

所述述处理器用于执行所述存储器中存储的程序以执行如1至5中任一项所述的方法。

11.一种网关，其特征在于，包括：存储器和处理器，

所述存储器用于存储程序；

所述处理器用于执行所述存储器中存储的程序以执行如6至9中任一项所述的方法。