CN114363115A

CN114363115A - 多区域虚拟覆盖广域网

Info

Publication number: CN114363115A
Application number: CN202110118758.5A
Authority: CN
Inventors: M·G·库尔卡尼; P·K·辛格; P·L·玛汉; M·K·达塔; T·E·特迪詹托; D·J·恩尼斯
Original assignee: Yinfeng System Co ltd
Current assignee: Hewlett Packard Enterprise Development LP
Priority date: 2020-09-30
Filing date: 2021-01-28
Publication date: 2022-04-15
Anticipated expiration: 2041-01-28
Also published as: US11863443B2; EP3979565A1; CN114363115B; US20220103471A1; US20220103470A1; CN117714232A; US11546256B2

Abstract

本文中所公开的是用于从多个专用网络装置创建、管理以及利用多区域虚拟覆盖广域网的系统和方法。在示例性的实施例中，多个区域被创建用于虚拟覆盖广域网，每个区域具有其自身的网络拓扑。来自每个区域的至少一个网络装置与来自每个其他区域的至少一个网络装置通信，以用于虚拟覆盖广域网内的区域间(inter‑region)连接性。子网共享协议可以被利用以在每个区域内的每个网络装置间、以及在每个区域之间交换路由信息。

Description

多区域虚拟覆盖广域网

技术领域

本公开一般涉及多区域性虚拟覆盖(overlay)软件定义的广域网的创建和使用。

背景技术

本章节所描述的方法可以被探讨，但是不一定是先前已经被构想或者被探讨的方法。因此，除非另有指示，不应仅凭借其被包括在本章节中而假设本章节所描述的方法中的任何方法适合作为在先技术。

传统的企业广域网(WAN)网络通过在分部办公室(例如，零售地点、制造站点)、公司办公室(总部)以及一个或多个数据中心的所有站点处部署网络装置来连接这些站点。企业主要使用由服务提供方交付的MPLS服务来连接所有站点。服务提供方通过配置他们的多租户MPLS骨干基础设施来供应MPLS连接性。在大规模的部署中，站点可以跨多个地理区域，这要求企业使用来自多个区域性的MPLS服务提供方的MPLS服务。在该场景中，服务提供方使用NNI(网络到网络接口)而彼此互联它们的MPLS骨干。这提供类似于移动电话连接性的体验，其中在国际漫游场景中，网络提供方自动地被改变。作为MPLS服务的客户，企业不必进行任何站点到站点的网络连接性配置，因为该配置通过付费的MPLS服务而被交付。站点如何被连接的复杂性存在于服务提供方MPLS骨干网络中，并且对企业联网团队是隐藏的。

当今的企业网络包括分部办公室(例如，零售地点、制造站点)、公司办公室(HQ)、一个或多个数据中心以及被托管在公共云(例如亚马逊Web服务、Azure以及谷歌)中的私有数据中心。企业广域网使用软件定义的WAN(SD-WAN)技术而被部署。SD-WAN技术是运输不可知的，并且还使用除MPLS以外的运输(例如，一个或多个互联网链路、DIA、4G/LTE链路等)的各种组合。

互联网链路、DIA以及其他运输链路更廉价，并且不像MPLS，不存在MPLS骨干网络或者服务被提供以通过这些链路来连接所有站点。代替地，所有站点通过SD-WAN构建各种运输链路之上的安全隧道(IPSec隧道)以形成虚拟覆盖网络而被连接。因为运输链路作为原始管道而被使用，SD-WAN需要被配置为提供不同的网络拓扑(例如，中心辐射(hub andspoke)或者全网状(full mesh))。对于具有全球的延伸范围的大规模的部署，这些虚拟网络拓扑可以变得相当复杂，并且使管理网络变得困难。通常，企业网络团队不必在他们的传统的基于MPLS的广域网中处理此问题，并且可能发现配置和管理这些拓扑是麻烦的。本文中所公开的SD-WAN解决方案提供构造不同的网络拓扑的机制和用户界面，以使得其在大型全局网络中易于配置以及满足商业目标。

某些计算装置可以被利用以使企业的SD-WAN(软件定义的广域联网)部署成为可能，这允许通过包括基础的(公共)互联网的任何类型的网络的零接触供应、增强的服务质量、安全性以及冗余。在企业中，客户具有来自网络提供方的历史租用线路(MPLS是租用线路的类型的示例)。这意味着提供方从端到端供应以及配置网络，并且用户支付高价格以便具有本质上是私有网络的网络。这也使他们在停机期间受提供方的左右，并且当所提供的服务行为不当或者要求对配置的改变时给他们很少的资源。

通过提供系统和方法以使企业摆脱MPLS的这些限制，并且明确地使企业计算机能够使用基础的互联网或者在他们的办公室之间通信的其他方法，给企业提供了MPLS的低成本备选，或者与MPLS共存的冗余。此外，通过跨任何网络为所有的协议和应用提供相同的支持，计算装置在某些部署中起用于替换典型的边缘路由器的作用。以这种方式，终端用户客户将不必须做出专门的调节，并且将既不需要知道也不需要关心底层业务是通过MPLS还是通过互联网或者其他类型的网络运行。

发明内容

提供本发明内容以用简化的形式介绍一些概念，这些概念将在下面的具体实施方式中被进一步描述。本发明内容不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在被用于协助确定所要求保护的主题的范围。

在本公开的各种实施例中，公开了用于创建多区域虚拟覆盖网络的一种系统，该多区域虚拟覆盖网络用于软件定义的广域网。该系统可以包括：多个网络装置，该多个网络装置的每个装置具有多个网络接口，该多个网络接口用于通过至少两个通信网络传输和接收数据；以及与多个网络装置中的每个网络装置通信的协调器设备，其中协调器设备被配置为：处理有关多个网络装置的每个网络装置的配置的信息；将每个网络装置分配给来自虚拟覆盖网络中的多个区域的一个区域，从而在虚拟覆盖网络上创建至少两个区域性的子网络；将区域性的子网络内的每个装置分配到用于其区域的角色，从而创建用于该区域的网络拓扑；根据用于区域的网络拓扑，针对每个区域在虚拟覆盖网络上创建第一多个虚拟隧道，第一多个虚拟隧道中的每个虚拟隧道将该区域内的每个装置连接到相同区域中的至少一个其他装置；以及在虚拟覆盖网络上创建第二多个虚拟隧道，以将每个区域内的至少一个装置连接到每个其他区域中的至少一个装置，以用于区域间连接性。

其他特征、示例以及实施例在下文被描述。

附图说明

以示例而非限制的方式在附图中图示了实施例，其中相同的参考标记指示类似的元件。

图1图示了在其中可以实现本公开的示例性系统。

图2图示了示例性装置的框图。

图3图示了用于网络装置的示例性环境。

图4描绘了软件定义的广域网(SD-WAN)中具有三个区域的示例网络拓扑。

图5描绘了SD-WAN中具有三个区域的另一个示例网络拓扑。

图6描绘了SD-WAN中具有三个区域的另一个示例网络拓扑。

图7–图9描绘了示例性的数据分组报头。

图10描绘了针对在单个区域内共享子网的两个辐条(spoke)和一个中枢(hub)的示例性消息顺序图。

图11描绘了在装置间的子网共享更新的示例性实施例。

图12描绘了在中枢和非区域的辐条之间的子网共享的示例性的实施例。

图13–图17描绘了网络管理员可以从协调器查看的示例性用户界面。

具体实施方式

以下详细描述包括对附图的引用，其形成该详细描述的一部分。附图示出了根据示例性的实施例的图示。这些示例性的实施例，在本文中也被称为“示例”，被足够详细地描述以使本领域技术人员能够实践本主题。在不背离所要求保护的范围的情况下，可以组合实施例，可以利用其他实施例，或者可以进行结构的、逻辑的以及电改变。因此，以下详细描述不应被视为具有限制意义，并且该范围由所附权利要求及其等同物限定。在本文档中，如在专利文件中常见的那样，术语“一个”和“一种”被用于包括一个或者多于一个。在本文档中，术语“或”被用于表示非排他性的“或”，使得“A或B”包括“A但不是B”、“B但不是A”以及“A和B”，除非另有说明。

本文中所公开的实施例可以使用多种技术而被实现。例如，本文中所描述的方法可以在包含一台或多台计算机的计算机系统上执行的软件中被实现，或者在利用微处理器的组合或其他专门设计的专用集成电路(ASIC)的组合、可编程逻辑设备、或其各种组合的硬件中被实现。特别地，本文中所描述的方法可以由驻留在存储介质(诸如磁盘驱动器)或计算机存储介质上的一系列计算机可读指令实现。

本文中所描述的实施例涉及用于提供虚拟覆盖软件定义的广域网(SD-WAN)的区域性的网络配置的机制。本公开的实施例提供独特的解决方案来帮助企业构建大规模的SD-WAN。这通过以下而被达成：允许将大型SD-WAN划分成区域，每个区域是与专门被编程的网络计算装置一起被部署的企业站点的子网络。站点处的每个网络装置属于一个并且仅属于一个区域。因此本公开的软件定义的广域网由多个互联的区域性的子网络组成。

在本公开的实施例中，SD-WAN可以被利用，以无缝地将私有通信网络和公共通信网络融合在一起，使得SD-WAN提供方可以通过互联网运送网络业务而无需使用任何ISP。当今的公共通信网络通常创建点到点链路，以将网络手动地通过IPSec缝合在一起，使得其对于终端用户看起来似乎是私有网络。在使用SD-WAN结构的情况下，每个个体的路由器和网络不需要被手动配置以运送网络业务。相反，终端用户更多是简单地向SD-WAN结构的边缘路由器传输并且不需要担忧到目的地计算机的中间跳(hop)。以这种方式，源可以用可扩展的、安全的、无缝的并且免部署的方式通过公共互联网传输业务(并且不必依赖于昂贵的ISP连接)。目的地站点可以被添加到SD-WAN结构或者从其移除，而无需从网络业务的源侧或目的地侧做出必要改变。

使用由本发明创建的专门化的SD-WAN结构，整个专属的SD-WAN结构可以对SD-WAN之外的对等计算设备显现为单个邻近的路由器。

本公开的实施例可以经由物理网络装置或虚拟网络装置而被实现，该物理网络装置或虚拟网络装置具有在不同的子网络上的至少两个标准接口(虚拟LAN或原生)。接口可以是LAN或WAN接口。网络装置可以以若干不同的方式被配置。

取决于网络拓扑配置，区域中的每个网络装置与区域中的所有其他装置一起构造要么全网状拓扑、部分网状拓扑，要么中心辐射(hub and spoke)拓扑。取决于区域的拓扑，每个网络装置可以在SD-WAN中扮演特定的角色。例如，在具有中心辐射拓扑的区域性网络的情况下，区域中的每个装置要么被配置为用于该区域的中枢(hub)，要么被配置为用于该区域的辐条(spoke)。中枢网络装置提供中间的网络跳，以连接在相同区域中(区域内(intra-region))的两个不同的辐条。

本公开的实施例也提供区域间连接性。在区域间连接性的情况下，一个区域中的中枢被连接到另一个区域中的中枢。这形成中枢到中枢网络拓扑(区域间网络拓扑)的第二层级。针对从一个区域连接到另一个区域的站点，示例性的SD-WAN路径可以是：源节点–>区域性的中枢–>其他区域的中枢–>目的地节点。

在本公开的实施例中，企业SD-WAN的区域由企业自己配置，并且因此是可定制化的。企业可以具有遍布全球的成百或成千的办公室。在典型的网络架构中，这些站点经由MPLS被连接到彼此。并且企业必须配置关于每个站点如何与彼此连接的规则。利用本发明，区域在SD-WAN内被创建，并且专用计算网络装置属于特定的区域，这创建了逻辑的拓扑。中枢作为跨区域的互连点操作。

此外，形成跨数千个站点的虚拟网络并且在它们之间形成全网状架构是非常昂贵的，并且要求构建数百万的隧道以促进通信。利用本文中所公开的区域性的SD-WAN架构，网络负担被降低。仅每个区域的中枢需要完全地被网状化，这显著地降低了虚拟覆盖网络中所要求的隧道的数目。

利用SD-WAN，数据运输被虚拟化，包括互联网链路、LTE等。一旦虚拟网络被创建，其充当原始网络。本公开的实施例提供在虚拟网络上的用户定义的拓扑的创建。先前这仅在MPLS网络上被做出。在本公开中，MPLS充当用于SD-WAN的原始数据传送管道，而虚拟网络提供用于数据传送的智能。

通过将通信网络划分成区域，企业可以按区域定义适用的商业策略。例如，企业可以具有以下商业策略：通过互联网在一个区域中穿越的业务被发送向Zscaler云安全性服务，而在第二区域中穿越的业务被发送向针对该第二区域的局部云安全性服务提供方(例如，Symantec)。以这种方式，用于企业的商业策略可以在区域性的基础上被定制化。

此外，SD-WAN的每个区域可以具有运输链路的不同组合，这些运输链路具有不同的链路质量和链路带宽。区域性的网络架构允许企业按区域配置链路用途。例如，一个区域可以使用MPLS链路来运送特定的应用业务，而针对相同的应用，互联网链路可以在其他区域中被使用。

与单个区域(即，无区域)SD-WAN类似，本文中所公开的多区域根据单个协调器被集中协调。协调器将用户策略转换成网络配置策略，向每个适当的装置分配中心辐射角色，并且向网络中的装置中的所有装置推送对应的网络策略。这允许网络管理员配置区域性策略和全局网络范围的策略，以满足区域性的商业目标以及公司商业目标。

在一些实施例中，区域的局部配置方面可以被限制为由区域性的网络管理团队管理，而配置上的全局方面可以由全局网络管理团队管理。针对整个网络要求全局策略，像是应用到BIO映射、VRFs(网络范围的层–3分割)以及端到端的安全性策略。在区域性的网络架构中，全局策略由运送由用于区域间业务流的充足信息的分组履行。

I.系统搭建

图1图示了可以在其中实现本公开的示例性系统100。示例性系统100包括第一位置110、第二位置120和通信网络130A–130D。虽然在示例性的系统100中描绘了四个通信网络，但是可以存在任何数目的通信网络，包括只有一个通信网络。附加地，系统100可以包括许多位置，尽管为简单起见，在该示例性图中仅描绘了两个位置。

在图1中所描绘的示例性实施例中，第一位置110包括计算机140和第一装置150。在第一位置110中，计算机140被链接到第一装置150。虽然在第一位置110中仅描绘了一个装置，但是在第一位置110处可以存在物理的和/或虚拟的多个装置。在一些实施例中，第一位置是企业的分部位置。虽然在此处未被描绘，但是第一位置110也可以包括附加的元件，诸如路由器、交换机、或者任何其他物理计算仪器或虚拟计算仪器。

计算机140可以是能够接入通信网络的任何类型的计算设备，诸如台式计算机、膝上型计算机、服务器、移动电话、平板、或者可配置为用于对通信网络的连接的任何其他“智能”设备。

第一装置150包括硬件和/或软件组件，其被配置为接收数据，以及在跨一个或多个通信网络传输数据之前可选地执行任何类型的处理。如所图示的，第一装置150在计算机140和路由器160之间被成行地(或串行地)配置。在计算机140和服务器170之间的任一方向上，第一装置150拦截网络业务。

在其他一些实施例中，第一装置150可以被配置为附加的路由器、网关、网桥，或者在一些或所有接口上是透明的。作为路由器，例如，第一装置150对于计算机140显现为路由器160之前的额外的跳。在一些实施例中，第一装置150提供与路由器160一起的冗余的路由或者对等路由。附加地，第一装置150可以提供故障机制，诸如，打开故障(例如，无数据访问)或者连线故障(例如，到路由器160的直接连接)。如果装置具有多个接口，则其在一些接口上可以是透明的，或者在其他接口上表现得像路由器或表现得像网桥。备选地，装置可以在所有接口上是透明的，或者在所有接口上显现为路由器或网桥。

在图1中，第一装置150被链接到路由器160，路由器160被耦合到通信网络130A和通信网络130B。虽然在示例性的系统100中仅描绘了一个路由器160，但是在系统100中可以存在多个路由器、交换机、或者其他仪器(物理的或虚拟的)，要么在第一位置110之内要么在第一位置110之外。通常，路由器160会位于第一位置110内。在各种实施例中，第一装置150可以直接与通信网络130C和通信网络130D通信(在分开的接口上)，而不是通过路由器160。虽然路由器160被描绘为被连接到两个通信网络，并且第一装置150也被描绘为被连接到两个通信网络，本领域普通技术人员会理解，可以存在任何数目的通信网络(包括只有一个通信网络)被连接到第一位置110，要么经由路由器160、经由第一装置150，要么经由另一个计算设备。为了图示接入链路中的每个接入链路是可能的但不是在每个实施例中被要求，接入链路125在图1中被示出为虚线。

示例性系统100中的第二位置120包括服务器170。虽然本文中使用术语“服务器”，但是如本领域普通技术人员所理解的，任何类型的计算设备可以在第二位置120中被使用。服务器也可以是虚拟机。虽然在图1中未被描绘，除了服务器170以外，或者代替服务器170，第二位置120可以可选地包括至少一个第二装置。第二位置120也可以包括在图1中未被描绘的其他组件，诸如路由器、交换器、负载均衡器或者任何其他物理计算仪器或虚拟计算仪器。在一些实施例中，第二位置120是企业的中心位置或者数据中心。在其他一些实施例中，第二位置120是托管公共web服务或应用的数据中心。

服务器170在图1中被描绘为经由目的地接入链路145而被链接到通信网络130A–130D。在一些实施例中，服务器170实际上可以通过路由器、交换机、第二装置、其他物理仪器或虚拟仪器与通信网络中的一个或多个通信网络通信。此外，虽然在图1中描绘了用于四个通信网络(130A–130D)的四个目的地接入链路145，实际上可以存在更少的(诸如只有一个)或者更多的通信网络被连接到第二位置120。为了图示目的地接入链路145中的每个接入链路是可能的但不是在每个实施例中被要求，目的地接入链路145在图1中被示出为虚线。

通信网络130A–130D包括硬件元件和/或软件元件，这些硬件元件和/或软件元件使第一位置110和第二位置120之间的信息(例如，语音、视频以及数据)的交换成为可能。通信网络130A–130D的一些示例是私有广域网(WAN)、公共互联网、多协议标签交换(MPLS)网络、以及无线LTE网络。通常，从第一位置110到通信网络130A–130D(例如，从路由器160以及第一装置150)的连接是T1线路(1.544Mbps)或者宽带连接(诸如数字订户线路(DSL)和电缆调制解调器)。其他示例是MPLS线路、T3线路(43.232Mbps)、OC3(155Mbps)、OC48(2.5Gbps)、光纤电缆、或者LTE无线接入连接。在各种实施例中，通信网络130A–130D中的每个通信网络可以经由至少一个ISP间链路155而被连接到至少一个其他通信网络。例如，通信网络130A可以经由一个或多个ISP间链路而被连接到通信网络130B、130C、和/或130D。数据可以沿着从第一位置110到第二位置120的路径经过(traverse)多于一个通信网络。例如，业务可以从第一位置110流向通信网络130A，通过ISP间链路155到通信网络130B，并且然后到第二位置120。

路由器160和装置150可选地经由接入链路125而被连接到通信网络130A–130D，接入链路在本文中有时也被称为网络接入链路。通信网络130A-130D由路由器、交换机以及组成提供方链路135的其他内部组件组成。提供方链路135由网络服务提供方(诸如互联网服务提供方(ISP)管理。第二位置120可以经由目的地接入链路145而被连接到通信网络130A–130D。接入链路125、提供方链路135以及目的地接入链路145可以被组合以制作各种网络路径，数据沿着这些网络路径在第一位置110和第二位置120之间经过。图1的示例性实施例描绘了沿着各种提供方链路135通过每个通信网络的两个路径。然而，如本领域普通技术人员所理解的，可以存在跨一个或多个通信网络的任何数目的网络路径。

另外，通信网络可以经由(多个)ISP间链路155与彼此通信。例如，经过通信网络130A的数据也可以在抵达第二位置120之前经过通信网络130C。在各种实施例中，数据可以经过通信网络130A–130D中的任何一个或多个通信网络从第一位置110到第二位置120，并且反之亦然。通常，ISP间链路连接不同的互联网服务提供方的通信网络，诸如将VerizonLTE无线网络与Comcast宽带网络连接的链路。在一些实施例中，ISP间链路可以连接来自相同的互联网服务提供方的通信网络，诸如将Verizon LTE无线网络与Verizon Fire网络连接的链路。

第一装置150连同系统100中的任何其他装置一起可以是物理的或者虚拟的。在虚拟装置的示例性实施例中，其可以在虚拟私有云(VPC)中，由云服务提供方(诸如亚马逊Web服务或其他)管理。客户数据中心中的装置可以是物理的或者虚拟的。类似地，第二位置120可以是云服务，诸如亚马逊Web服务、Salesforce或其他云服务。

如本文中所讨论的，通信网络130A–130D可以包括多个提供方链路，这些提供方链路由路由器和交换机组成，连接在不同位置中的联网设备。在一起形成各种路径的这些提供方链路是一个或多个核心网络的部分，有时称为承载(underlay)网络。除了这些路径以外，也可以存在连接两个联网设备的隧道。有时被称为覆盖网络的虚拟网络可以被用于跨承载网络传输数据，无论哪个服务提供方管理路由或者提供链路。来自被连接的设备的数据可以在该覆盖网络之上经过，该覆盖网络可以由在每个位置之间的任何数目的隧道或路径组成。

在一个示例性的实施例中，来自第一位置110处的计算机140的数据可以包括语音、视频以及数据。该信息可以由第一装置150通过一个或多个通信网络130A–130D传输到第二位置120。在一些实施例中，语音、视频以及数据可以在分开的LAN或虚拟LAN接口上被接收和传输，并且第一装置150可以基于接收数据的LAN/虚拟LAN接口来区分业务。

在一些实施例中，系统100包括在第一装置150和服务器170，或者可选地在第二位置处的第二装置之间的一个或多个安全隧道。安全隧道可以与由装置提供的加密(例如，IPsec)、访问控制列表(ACL)、压缩(例如报头和有效载荷压缩)、分割/合并优化、和/或错误检测和纠正一起被使用。

在各种实施例中，第一位置110和/或第二位置120可以是分部位置、中心位置、私有云网络、数据中心、或者任何其他类型的位置。另外，多个位置可以与彼此通信。如本领域普通技术人员所理解的，任何类型的网络拓扑可以被使用。

本文中所讨论的原理同样对多个第一位置(未示出)以及对多个第二位置(未示出)适用。例如，系统100可以包括被耦合到一个或多个通信网络的多个分部位置和/或多个中心位置。系统100也可以包括与许多不同的公共web服务(第二位置)通信的许多站点(第一位置)。分部位置/分部位置通信、中心位置/中心位置通信、中心位置/云装置通信、以及多装置和/或多节点通信以及双向通信也在本公开的范围内。然而，为简单起见，图1图示系统100具有单个第一位置110以及单个第二位置120。

图2图示了本发明的示例性实现中的装置250(本文中也被称为网络装置)的框图。如本文中所讨论的，装置250可以与图2的装置220以及图1的第一装置150类似。每个装置在一个“站点”处，该站点可以是分部、数据中心或者云中的虚拟实例。

装置250包括处理器210、存储器220、WAN通信接口230、LAN通信接口240以及(多个)数据库290。系统总线280链接处理器210、存储器220、WAN通信接口230、LAN通信接口240以及(多个)数据库290。当被部署在分部位置中时，线路260将WAN通信接口230链接到(图1中的)路由器160，并且线路270将LAN通信接口240链接到图1中的计算机140。

(多个)数据库290包括硬件元件和/或软件元件，其被配置为以有组织的格式存储数据，以允许处理器210创建、修改和检索数据。(多个)数据库290的硬件元件和/或软件元素可以包括存储设备，诸如RAM、硬盘驱动、光学驱动、闪存以及磁带。

在一些实施例中，一些设备包括相同的硬件元件和/或软件元件。备选地，在其他一些实施例中，一些设备(诸如第二设备)可以包括提供附加的或专门的处理、通信和存储能力的硬件元件和/或软件元件。

本发明的实施例也允许被集中分配的策略遍及机构的整个网络被实现，以确保并且控制用于机构的所有WAN业务。软件定义的WAN(SD-WAN)覆盖网络可以独立于物理网络以及彼此、并且在多个层中被创建。拓扑、安全性以及转发规则可以针对每个覆盖独立地被指定。该设计允许高扩展的和安全的应用分割。随着端点被添加到SD-WAN结构，每个覆盖自动地扩展，并且随着每个站点将局部简档映射到全局覆盖，配置完整性被维持。

如图3中所描绘的，覆盖网络、标签、以及对应的端口、子网以及虚拟LAN中的所有可以在与协调器设备通信的一个或多个数据库中被维持。协调器310可以是硬件和/或软件并且与联网的设备中的每个联网的设备(诸如网络装置)通信，以及与(多个)数据库320通信。

在示例性的实施例中，协调器310可以维持关于在每个位置处的每个装置(物理的或虚拟的)的配置的信息。以这种方式，协调器310可以创建、管理并且实现用于遍及被连接的装置的网络的网络业务的策略。例如，如果更高的优先级被指派给语音业务，则协调器310可以对应地在所有相关的位置处自动地配置对应的网络装置。

通过具有网络中的每个装置的配置的知识，协调器310也可以在企业网络中创建和管理隧道，包括在每个源–目的地装置对之间运送特定类型的网络业务的隧道。通过确定哪些隧道需要被建立并且基于网络节点和覆盖来自动地创建它们，协调器310可以自动地配置企业网络。协调器310也可以基于应用分类技术来配置策略，以择优地将某些类型的应用转向通过一个路径而不是通过另一个路径。

在示例性的实施例中，在处理特定类型的业务或者来自特定应用的业务时，网络装置250的网络接口可以在WAN侧以及LAN侧上被指派。例如，第一WAN接口可以连接到公共互联网，而第二WAN接口连接到MPLS服务。两个WAN接口都可以支持加密，并且互联网上行链路可以被配置用于网络地址转换(NAT)。

II.区域性的覆盖网络

图4描绘了软件定义的广域网(SD-WAN)中具有三个区域的示例网络拓扑。虽然在该示例性的图中描绘了三个区域，但是在各种实施例中，在单个SD-WAN中可以存在任何数目的区域。

无论区域的数目，整个SD-WAN可以对与覆盖网络之外的计算设备隐藏并且被封装到单个虚拟接口中。以这种方式，由装置创建的覆盖网络之外的计算设备可以与装置交换消息以及使用覆盖网络的装置创建状态，而无需知道或者理解连接装置的复杂的覆盖网络。虽然为简单起见未被明确地描绘，但是除了在图4中所示出的那些，在环境中可以存在任何数目的其他路由器或其他计算机。

在示例性的图4中，西部区域470具有四个装置：一个装置被配置为用于该区域的中枢420，以及三个装置被配置为用于该区域的辐条(辐条405、辐条410、以及辐条415)。示例性的图4也描绘了具有四个装置的东部区域475。一个装置被配置为用于该区域的中枢425，以及三个装置被配置为用于该区域的辐条——辐条430、辐条435、以及辐条440。在示例性的图4中也描绘了中部区域465。一个装置被配置为用于该区域的中枢——中枢445。三个装置被配置为用于该区域的辐条——辐条450、辐条455、以及辐条460。虽然为简单起见，在这三个区域中的每个区域中描绘了四个装置，但是在每个区域中可以存在任何数目的装置。然而，在示例性的图4中，每个区域具有至少一个中枢，因为每个区域使用中心辐射拓扑的配置而被配置。

装置中的每个装置可以是集中式数据中心或者分部中心的部分。每个装置也可以具有或可以不具有私有网络连接。此外，尽管在图4的示例性环境中未被示出，但是每个装置可以被连接到协调器(诸如图3的协调器310)，如本文中所讨论的，协调器具有跨地理地区的完整网络的全局视角，并且配置和部署中的所有配置和部署可以在协调器自身处发生。此外，协调器配置网络，诸如图4的示例性网络。

为了传输数据，首先安全接口通道(本文中也被称为覆盖网络)在不同的装置之间被创建。虚拟接口被覆盖在覆盖网络上。以这种方式，无论底层物理网络的安全性如何，数据可以以安全的方式被传输。

如本文中所讨论的，用于SD-WAN的中心协调器可以配置每个区域中的每个网络装置区域要么担任用于该区域的中枢、要么担任用于该区域的辐条。协调器可以以动态的方式自动地更新并且向装置重分配这些角色中的每个角色。例如，如果第一区域中被配置为中枢的装置由于任何原因停机，该区域中的辐条可以被重配置为作为用于该区域的中枢而接管。在其他一些实施例中，第二区域中的中枢可以被重配置为充当用于第一区域的中枢。备选地，局部或全局人类网络管理员可以以动态的方式更新并且向装置重分配这些角色中的每个角色。

网络业务可以在区域中的每个装置(区域内)之间穿越，和/或经由中枢以区域间的方式穿越。即是说，如在示例性的图4中所描绘的，区域中的每个中枢能够与不同区域中的每个中枢通信。例如，用于数据流的示例性网络路径可以是：辐条405–>中枢420–>中枢445–>辐条460。用于数据流的另一个示例性网络路径可以是：辐条450–>中枢445–>中枢420–>辐条430。

图5描绘了SD-WAN中的具有三个区域的另一个示例网络拓扑。虽然在该示例性的图中描绘了三个区域，但是在单个SD-WAN中可以存在任何数目的区域。

在示例性的图5中，西部区域570具有五个装置。两个装置被配置为用于该区域的中枢(中枢520和中枢580)，以及三个装置被配置为用于该区域的辐条(辐条505、辐条510、以及辐条515)。在示例性的图5也描绘了具有五个装置的东部区域575。两个装置被配置为用于该区域的中枢(中枢525和中枢590)，以及三个装置被配置为用于该区域的辐条——辐条530、辐条535、以及辐条540。在示例性的图5中也描绘了中部区域565。两个装置被配置为用于该区域的中枢(中枢545和中枢585)。三个装置被配置为用于该区域的辐条——辐条550、辐条555、以及辐条560。虽然为简单起见，在这三个区域中的每个区域中描绘了五个装置，但是在每个区域中可以存在任何数目的装置。然而，每个区域具有至少一个中枢，因为每个区域被配置为中心辐射拓扑。通常，中枢是区域的故障点，这使在区域中具有两个中枢是被期望的。如果一个中枢故障，则另一个中枢针对到该区域的连接性依然是可用的。

如本文中所讨论的，用于SD-WAN的中心协调器可以配置每个区域中的每个网络装置区域要么担任用于该区域的中枢、要么担任用于该区域的辐条。协调器可以以动态的方式自动地更新并且向装置重分配这些角色中的每个角色。备选地，局部或全局人类网络管理员可以以动态的方式更新并且向装置重分配这些角色中的每个角色。

网络业务可以在区域中的每个装置(区域内)之间穿越，和/或经由中枢以区域间的方式穿越。即是说，如在示例性的图5中所描绘的，区域中的每个中枢能够与不同区域中的每个中枢通信。因此，东部区域575中的中枢525能够与西部区域570中的两个中枢的任一中枢、以及中心区域565中的两个中枢的任一中枢通信。像这样，中枢525被连接到图5的示例性环境中的四个其他中枢。类似地，图5中的中枢的每个中枢被连接到其他四个中枢。值得注意的是，一个区域中的中枢通常可以不与在其相同区域中的另一个中枢通信，以预防路由环路。

用于该环境中的数据流的示例性网络路径可以是：辐条505–>中枢520–>中枢525–>辐条530。用于数据流的另一个示例性网络路径可以是：辐条510–>中枢580–>中枢590–>辐条530。

图6描绘了SD-WAN中的具有三个区域的另一个示例网络拓扑。虽然在示例性的图中描绘了三个区域，但是在单个SD-WAN中可以存在任何数目的区域。

在示例性的图6中，西部区域670具有四个装置：一个装置被配置为用于该区域的中枢620，以及三个装置被配置为用于该区域的辐条(辐条605、辐条610、以及辐条415)。示例性的图6也描绘了具有四个装置的东部区域675。一个装置被配置为用于该区域的中枢625，以及三个装置被配置为用于该区域的辐条——辐条630、辐条635、以及辐条640。在示例性的图6中也描绘了中部区域665。一个装置被配置为用于该区域的中枢——中枢645。三个装置被配置为用于该区域的辐条——辐条650、辐条655、以及辐条660。虽然为简单起见，在这三个区域中的每个区域中描绘了四个装置，但是在各种实施例中，在每个区域中可以存在任何数目的装置。然而，每个区域具有至少一个中枢，因为每个区域使用中心辐射拓扑的配置而被配置。

图6的网络被配置为提供对另一个区域中的辐条的一跳接入。同样，中枢节点在全网状配置中。例如，该图描绘了中心区域665中枢645经由链路680与西部区域670的中枢620通信，并且也经由链路690与东部区域675的中枢625通信。此外，中枢645直接地与西部区域670的辐条(辐条605、辐条610以及辐条615)通信。因此，中部区域665中的中枢645可以经由单跳与西部区域670中的任何装置通信，无论其是西部区域670的中枢还是西部区域670的辐条。通过直接地在西部区域670的辐条和中部区域中的中枢645之间构建隧道，数据业务的延时被降低。

网络业务可以在区域中的每个装置(区域内)之间穿越，和/或以区域间的方式穿越。例如，用于数据流的示例性网络路径可以是：辐条605–>中枢620–>中枢625–>辐条630。用于数据流的另一个示例性网络路径可以是：辐条650–>中枢645–>辐条615。

III.区域性路由

为创建区域性网络作为虚拟覆盖网络上的SD-WAN的部分，专门化的软件被利用。被称为子网共享协议的专属协议被利用，以跨SD-WAN的所有站点而运送路由信息以及地址(诸如IP地址)。为了配置用于多区域SD-WAN的子网共享协议，每个路由需要具有其自身的它来自哪个区域的标识，因此其可以被恰当地放置在正确的路由表中。

本公开主要针对中心辐射网络拓扑或者全网状SD-WAN拓扑。然而，如本领域普通技术人员会理解的，其他网络拓扑也在本公开的范围内。在典型的场景中，中枢担任用于SD-WAN业务的结算所(clearing house)。传统上，中枢向其辐条中的每个辐条通告默认的子网。然而，使用本公开的实施例，中枢之间更智能的路由可以被达成，并且关于每个辐条被路由向何处的更多的特异性也可以被达成。在全网状的拓扑中，当中枢被定义时，中枢与区域中所有的对等一起重分发所有所习得(learned)的路由。重分发也可以发生在不同区域中的中枢之间，但是通常不发生在相同区域中的两个中枢之间(为预防路由环路)。

在本公开的实施例中，每个网络装置具有已定义的角色，并且装置必须明确地知道其是用于区域的中枢还是辐条。辐条装置仅共享局部地习得的子网(被配置的、自动的或者动态的)。中枢可以向相同区域中的其他辐条或者向其他区域中的中枢重分发辐条所习得的路由。

此外，每个网络装置明确地知道其驻留在哪个区域中。在已定义的区域中，中枢可以被配置为经由任何方式(诸如隧道)与相同区域中的所有辐条通信。虽然在区域中可以存在多个中枢，但是相同区域中的中枢通常不被配置为与彼此通信。即是说，虽然中枢可以见到其区域中的所有其他装置，但是其不与在其相同区域中的另一个中枢共享信息。

在有多个区域的情况下，子网共享也可以在网络装置间被增强。本公开的实施例提供将被配置为支持跨多个中心辐射区域的装置所习得的子网路由的重分发。子网共享是被利用来自动优化IP业务的一种对策，其自动地将流引导向适当的隧道。自动优化对策降低对创建明确的路由映射条目以优化业务的需要。

在子网共享的情况下，每个装置从由系统自动添加或者由用户手工添加的条目来构建子网。当两个装置由隧道连接时，它们交换该信息(“习得”该信息)并且使用该信息向彼此路由业务。

在示例性的实施例中，子网共享仅基于目的地IP地址来处理优化IP业务。路由策略或者全局路由策略模板可以针对以下数据业务流而被应用：该业务流将被传递(pass-through)发送(经整形的或未经整形的)、被丢弃、被配置为用于特定的高可用性部署、和/或基于应用、端口、VLAN、DSCP、或ACL(访问控制列表)而被路由。

多区域子网共享(MRSS)利用来自用户空间路由(USR)的增强并且跨多个中心辐射区域来拓展它们，该多个中心辐射区域使用来自中心协调器的商业意图覆盖(businessintent overlay)而被建立。针对关于商业意图覆盖的更多讨论，请见共同拥有的标题为“Data Transmission via a Virtual Wide Area Network Overlay”美国专利申请No.16/414,774，通过引用将其合并于此。

在各种实施例中，区域中的辐条不重分发任何所习得的路由，无论该路由从何处被习得。这帮助预防SD-WAN中的路由环路。然而，区域中的中枢可以与相同区域中的辐条中的所有辐条一起重分发有效的MRSS所习得的路由，滤除局部辐条的路径，以预防路由环路。如果中枢具有到不同区域中的中枢的或者不同区域中的辐条的隧道，则该中枢也可以与该另一中枢或另一辐条一起分发该中枢的区域的路由。

在示例性用例中，可以存在五十个装置，该五十个装置在WAN侧在它们自身之中形成虚拟网络。如本文中所讨论的，这些装置中的所有装置也具有LAN侧。LAN侧存在一些路由信息。不特定于虚拟覆盖网络的路由不被连接到装置接口的IP地址，并且位于LAN网络中。来自LAN侧的这些路由需要由每个网络装置习得并且在SD-WAN结构上被通告，以使得SD-WAN中的所有装置知道特定的应用在特定的数据中心中。因此，当SD-WAN中的任何装置期望访问该特定应用时，装置知道抵达数据中心中正在操作该应用的相关装置的路由信息。

在SD-WAN中与彼此通信的典型的网络装置可以在与单跳中的对等设备共享子网。使用本公开的实施例，如果子网共享在网络装置上被启用，则来自该网络装置之外的设备的所有的对等所习得的子网(自动的、被配置的、或动态的)被与所有被连接的对等共享，无论该对等位于离网络装置有多少跳的位置。因此，针对大型SD-WAN部署，可共享的路由的总数目可以多达30000。子网被共享为具有子网消息报头的子网的列表。

在实现子网共享协议中，控制分组在两个节点之间被共享，其中“节点”可以是装置或不是覆盖网络的部分的其他计算设备。在节点之间被共享的控制分组交换路由信息。图7中描绘了示例控制分组报头。如本领域普通技术人员会理解的，在各种实施例中，除了图7中所描绘的那些字段外，可以存在更少的或者附加的字段。图7描绘了消息报头，该消息报头包括字段，诸如消息类型(submsg_type)、消息长度(submsg_len)、事务(transaction)标识符(submsg_transaction)、系统标识符(submsg_systemid)、以及umac校验和(submsg_umac)。

如在示例性的图8中所描绘的，为了压缩和节约空间，尽可能多的子网被放置在报头的1K缓冲区内。这些缓冲区中的每个缓冲区具有标识在接收器处的讹误(corruption)的umac校验和。

在示例性的实施例中，子网不具有事务代码——它们总是“添加”。对等通过基于其事务标识符(戳)冲掉来自发送对等的所有相关联的子网来检测被删除的子网。即是说，来自该传输对等装置的所有先前所习得的子网从接收装置的局部子网表被删除，并且被使用新接收到的子网所替换。更新可以经常至在每20毫秒发生，刷新在15分钟的无活动之后发生。子网代码可以频繁至每20毫秒传输到一个对等。如果子网表中的变化被网络装置检测到，事务值被更新，并且更新由该网络装置发送到每个对等。如果接收对等具有较旧的事务戳，则其根据新被更新的子网替换其信息。如果接收对等具有较新的事务戳，则其不基于所接收的子网消息做出动作。在示例性的实施例中，协调器可以引导网络装置仅向具有较旧的事务戳的子网的对等装置发送子网更新消息。

由中枢重分发的路由通常使其度量被提高已知值。这允许了从非辐条的对等所习得的子网优先于中枢所习得的路由。在本公开的实施例中所利用的具体的已知值可以是可配置的值。

为了在支持MRSS的同时也支持较旧的系统以及子网共享的方法，网络装置使用独特的专属的消息类型和传讯(messaging)格式。在示例性的实施例中，新的传讯包括装置的标识符、区域以及角色，连同消息计数、记录的总数目、以及校验和。消息计数、记录的总数目、以及校验和协助远程对等装置验证其接收了有效的子网共享消息，以及其是否接收了其被发送的所有路由和所有消息。

在图9中描绘了用于子网消息的示例性消息报头。为了容易标识，已修改的现有字段被示出为斜体文本，并且新的报头字段被示出为带下划线的文本。如本领域普通技术人员会理解的，在各种实施例中，除了图9中所描绘的那些报头字段外，可以存在更少的或者附加的报头字段。该示例性的图描绘了分组报头，该分组报头包括诸如子网的数目、数据分组的长度、发送装置的角色、发送装置的区域、系统标识符、数据流中消息的数目、消息的总数目、子网的总数目、事务标识符、以及umac校验和的字段。

区域、中枢和辐条

中心辐射拓扑是在协调器中最常被部署的商业意图覆盖(BIO)中的一种商业意图覆盖。与全网状拓扑相比较，中心辐射拓扑降低了网络中所需要的隧道的数目，因为连接性被限制为仅在中枢和辐条之间。例如，如果是在全网状配置中，则网络中的五个节点要求二十个隧道，而在中心辐射配置中，其仅要求八个隧道。

本公开的实施例允许将所要求保护的网络装置分组到区域中，其中在该区域内你可以运行全网状拓扑或者中心辐射拓扑。区域之间的连接被限制为仅发生在中枢之间，并且每区域可以存在多个中枢以支持冗余。中枢是全网状的。然而，由于中枢不能重分发来自对等装置的其自身所习得的路由中的任何路由，客户在每个中枢处添加默认的路由，以使得辐条向中枢发送业务。然而，中枢不能知道如何抵达另一个区域中的辐条，并且当涉及多于两个区域时，向哪个中枢发送业务的复杂性大大提高。

通常在当今的系统中，对等不能向其他对等重分发子网路由。这在中心辐射拓扑的情况下引起问题，因为中枢既不能通知其他中枢其处理哪些子网路由，也不能告诉被连接到其的其他辐条来自特定辐条的子网路由。

利用多区域子网共享，这些问题可以被解决。该控制平面特征将允许中枢和辐条之间以及中枢到中枢的路由的自动重分发，中枢可以使用其来恰当地路由隧道业务，这降低了多个区域的复杂性。中枢将向其区域中的其他辐条共享它从其辐条所习得的路由。然而，为了避免路由环路，每个辐条仅被给予其他辐条的路由，中枢将不向辐条反映回其自身的路由。如本文中所讨论的，中枢也可以与其他区域中的中枢共享它从其辐条所习得的路由，但是不与其自身区域内的中枢共享它从其辐条所习得的路由。中枢可以与其他辐条共享它从其他中枢所习得的路由，但是不与其他中枢共享。辐条不重分发任何内部的所习得的路由。

为了支持该功能性，协调器配置每个装置，以使得：中枢必须被连接到其区域中的所有辐条；在区域内，所有装置知道其属于哪个区域；并且所有的装置知道其角色(要么中枢要么辐条，其中辐条为默认)。

如果区域正在使用全网状拓扑而不是中枢和辐条，则所有装置(本文中有时被称为节点)被视为区域中的辐条。

当路由被重分发(中枢到辐条或者中枢到中枢)时，成本将被分配，以使得当远程终端具有多个路由路径时其可以做出选择。这可以通过简单地将针对特定路由的路由度量提高已知的量而达成。

当路由被通告时，因为跳的数目被提高，所以路由的成本被提高。这是由于以下事实：本公开的实施例创建基于中枢的、中枢之间的第二分层的拓扑。数据业务从第一装置经过到第一中枢，然后到第二中枢，并且然后到第二装置(假设两个装置在不同的区域中)，而不是直接地从第一装置走向第二装置。如果直接地从第一装置走向第二装置视为成本被赋予50的值，则当业务经过两个中间的中枢时该成本被提高到150。

在示例性的实施例中，如果相同的路由由装置从两个不同的对等接收，则成本值被估计以查看哪个是最廉价的(并且因此可能是最快的)路由。此外，这允许从辐条对等所习得的子网优先于中枢所习得的路由。即是说，来自辐条的直接路由可能是比通过中枢的路由更好的(更低成本的，更快的)路由。

如果相同的路由由装置从多个中枢接收，则最短的路径可能是被选择的路径。因为每个中枢在共享之前将路由度量增加已知的值，所以更低的度量可能是更短的(并且因此更快的)路径，并且可能是被装置所选择的一个。用于路由度量的特定的值量是相对的——该度量主要被用于在各种路由之间取差。

路由类型

基于装置如何习得路由，不同的策略可以被应用到路由。例如，“局部地所习得的路由”是通过以下方式中的任何一种方式在装置上被习得的路由：自动路由、静态路由、以及动态路由。“自动路由”是自动地被添加到装置上的局部子网表的路由。例如，局部地被连接的子网针对每个数据路径接口被添加。如本文中所讨论的，每个装置具有LAN侧网络以及在LAN侧上被配置的接口。被分配给装置的LAN接口的子网以及IP地址是“局部地所习得的路由”的“自动”路由。

“静态路由”是由协调器或者管理用户经由配置手动添加的路由，并且被存储在装置的本地配置数据库中。“动态路由”是经由已知的路由协议(诸如BGP或OSPF)而被习得的路由。“企业所习得的路由”是经由子网共享而被习得的所习得的路由。“企业辐条所习得的路由”是在其中枢处从辐条所习得的路由。“企业中枢所习得的路由”是从中枢所习得的路由。

子网表

在示例性的实施例中，每个装置具有子网表，要么被本地存储在硬盘驱动上，要么被存储在集中地可访问的联网的位置。如果该选项被选择，则装置可以在其与其他装置共享其子网信息时自动地包括局部子网。例如，用于装置的接口的(多个)局部子网可以被添加到子网表。局部子网是包括装置IP地址中的一个装置IP地址的一个。如果该选项被取消选择，则系统不在其子网表中创建针对装置的局部子网的条目。如果这些子网在子网表中未被列出，则它们不能被与对等装置共享以用于自动优化。

装置处的示例性子网表可以包括多个字段。例如，子网表可以具有针对“子网/掩码”的字段，该字段指定将被共享/被通告的实际的子网，因此该子网可以由对等装置习得。与本文中所讨论的路由度量类似，子网表也可以具有“度量”。在示例性的实施例中，该度量可以是0和100之间的值并且指示给定子网的优先级。默认的优先级可以是50。当装置发现多于一个对等装置正在通告最长匹配的子网时，该装置选择通告具有最低度量值的对等，因为更低度量具有优先级。如本领域普通技术人员会理解的，度量可以以不同的格式被表达(诸如任何字母数字值)，其中优先级以不同的方式被指示。

子网表也可以具有字段以指示所列出的子网对站点是否是局部的。当子网不是局部的时，在表中手动被添加的子网针对示例性的实施例中的自动优化是不可用的。

子网表还可以具有字段用于指示子网是否将被向对等通告。当被选择时，子网信息被与对等共享。当被取消选择时，表中的子网不被向对等透露。

子网表还可以具有指示子网的类型的字段。自动子网自动地由系统添加到子网表，并且包括装置上的接口的子网。子网也可以由用户针对装置手动被添加或者配置。此外，子网可以从对等被习得，并且被添加到子网表作为与对等装置交换信息的结果。如果从对等装置被习得，则子网表标识通告子网信息的对等装置。

子网共享版本控制(Versioning)

如本文中所讨论的，专属的子网传讯类型被利用以实现所公开的MRSS方案。在使用新的子网传讯类型之前，装置确定其自身和其对等之间的最低共同子网版本。因此，即使装置可以支持最近的子网共享特征，但是如果其对等中的任何对等被配置为更低的(较旧的)子网版本，则更低的子网版本被与其对等中的所有对等共享。

使用MRSS，子网共享版本在对等到对等的基础上被确定。这允许装置使用较新的(更高的)版本特征共享子网，即使当其辐条中的一些辐条依然在使用较旧的子网版本。然而，从使用较旧的子网版本的对等所习得的任何路由不被重分发。对等可以依然经由保活(keepalive)消息通告它们的子网共享版本。

开始子网共享

图10描绘了针对单个区域内的两个辐条和一个中枢共享子网的示例性消息顺序图。在图10的示例性的实施例中，分组流发生在隧道在每个辐条和中枢之间被建立之后。

在消息1005中，辐条1045与中枢1050共享其局部地所习得的路由。中枢1050在其内部存储器中记录辐条1045被配置为用于区域性的网络拓扑的辐条。中枢1050然后在消息1010中与辐条1045共享其局部地所习得的路由，并且辐条1045在其内部存储器中记录中枢1050被配置为用于网络拓扑的中枢。

一个任务循环以后，中枢1050在消息1015中与辐条1055共享其局部地所习得的路由，并且也在其内部存储器中记录辐条1055被配置为用于网络拓扑的辐条。辐条1055在消息1020中与中枢1050共享其局部地所习得的路由。

在消息1025中，中枢1050与辐条1045共享从辐条1055所习得的路由。在消息1030中，中枢1050与辐条1055共享从辐条1045所习得的路由。在消息1035中，辐条1045向中枢1050发送一组新的路由。中枢1050然后在消息1040中与辐条1055共享来自辐条1045的这些路由。

以这种方式，路由在单个区域内的中枢和辐条之间被共享。值得注意的是，在该实施例中，辐条1045和辐条1055仅通过中枢1050交换路由。即是说，它们不直接地与彼此共享路由。

在示例性的实施例中，当装置接收路由更新时，其以轮循(round robin)的方式向所有被连接的对等装置传输该更新。如果在路由信息中不存在变化，则装置不需要向其他被连接的对等装置发送具有路由信息的控制分组。包括路由中的变化的路由更新可以由用户添加新路由、新路由从中枢或另一个对等装置被习得、或新路由从外部源(诸如BGP或OSPF协议)被习得而引起。

子网共享更新

图11示出了装置之中的子网共享更新的一个示例性实施例。在图11的示例拓扑中，西部区域1105被配置为具有三个辐条(辐条1115、辐条1120、辐条以及1125)和两个中枢(中枢1130以及中枢1135)。西部区域1110被配置为具有一个中枢(中枢1140)和三个辐条(辐条1145、辐条1150以及辐条1155)。此外，西部区域1105的辐条1115被描绘为与对等1160通信。在各种实施例中，对等1160可以是路由器、交换机、用户设备、或者不是由对等装置组成的覆盖网络的部分的任何计算设备。东部区域1110的辐条1155也被描绘为与对等1165通信。在各种实施例中，对等1165可以是与对等1160相同类型的对等或者不同类型的对等。对等1165路由器、交换机、用户设备、或者不是由对等装置组成的覆盖网络的部分的任何计算设备。

如本文中所讨论的，每个区域的每个中枢被配置为与在其自身的区域内的辐条中的每个辐条通信。此外，每个区域的中枢被配置为与彼此通信。即是说，西部区域1105的中枢1130和中枢1135可以与彼此通信，以及与东部区域1110的中枢1140通信。

在一个示例性的实施例中，辐条1115从其BGP对等，对等1160接收更新。响应于对该BGP更新的接收，辐条1115处的子网表被更新，并且新路由被标记为BGP所习得的路由。因为其局部子网表已经被更新，辐条1115向其区域中的两个中枢，中枢1130和中枢1135，都发送子网共享更新消息。

响应于对来自1115的子网更新消息的接收，中枢1130和中枢1135中的每个中枢更新它们自身的局部子网表。新习得的路由被标记为“辐条所习得的”，并且每个中枢更新其所连接的辐条。即是说，中枢1130向辐条1120以及辐条1125发送子网更新信息。中枢1135也向辐条1120以及辐条1125发送子网更新信息。因为子网更新是从辐条1115被接收的，所以两个中枢中的任何一个中枢都不需要向该辐条发送回相同的子网更新。

以这种方式，西部区域1105的辐条被使用来自辐条1115的BGP路由更新而被更新。此外，子网使它们的度量由来自中枢的已知量更新。响应于接收，这些路由辐条1120以及辐条1125标记为“中枢所习得的”并且因此不被向任何其他装置共享。

也注意，子网更新从中枢1130和中枢1135作为相等成本子网到达辐条1120和辐条1125。在示例性的实施例中，相等成本子网具有相同路由度量值。如本文中所讨论的，路由度量值受跳的数目和/或用户所配置的规则影响。每个辐条然后使用对等优先级来选择所偏好的中枢。

特定的目的地可以由装置从网络中的多个对等习得，这给装置提供了抵达目的地的多个路径。为了选择最佳路径以利用来抵达目的地，对等优先级被使用。在示例性的实施例中，对等优先级基于用户所配置的规则。在一个示例实施例中，美国可以是SD-WAN内的一个区域。该区域可以具有东海岸中枢以及西海岸中枢。由于地理距离，加利福利亚中的装置可以选择西海岸中枢为更高优先级以及东海岸为更低优先级。在各种实施例中，对等优先级由每个装置定义，并且每个装置具有所偏好的中枢优先级。

西部区域1105的中枢1130和中枢1135中的每个中枢也经由中枢1140向东部区域1110发送子网更新。当东部区域1110中枢1140接收更新时，路由被标记为“中枢所习得的”。因为接收对等装置是中枢，其可以仅向其辐条重分发这些路由，并且不向其他对等重分发这些路由。也注意，中枢1140以相等成本从中枢1130和中枢1135接收相同的路由。出于路由的目的，中枢1140可以使用对等优先级以选择所偏好的西部区域1105中枢来接收业务。

中枢1140也向其区域性的被连接的辐条中的每个辐条，辐条1145、辐条1150以及辐条1155，发送子网更新。每个辐条更新其自身的局部子网表。此外，因为辐条1155也与对等1165通信，并且所接收的子网更新包含BGP所习得的路由，所以辐条1155向其BGP对等，对等1165，发送更新。

与非区域的辐条共享

在附加的实施例中，中枢可以与另一个区域中的辐条共享其在其局部区域中所习得的路由中的所有路由。协调器可以标识辐条可以与之建立隧道的非区域的中枢。这允许提供到另一个区域中的关键的辐条装置的更快的路径的方法。

图12描绘了在中枢和非区域的辐条之间的子网共享的一个示例性实施例。在该示例性的图中，西部区域1105的辐条1115具有到东部区域1110中的中枢1140的隧道。此外，东部区域1110的辐条1155具有到西部区域1105的两个中枢1130和中枢1135的隧道。

在示例性的实施例中，中枢仅与那些辐条共享区域性的路由，并且不与那些辐条共享任何从另一个中枢所习得的路由。例如，中枢1140可以与西部区域1105的辐条1115共享从辐条1145、辐条1150以及辐条1155所习得的路由。注意，辐条1115也将经由其自身的中枢，中枢1130以及中枢1135，习得那些相同的路由。但是从其自身的中枢所习得的相同路由将具有更大的度量(由于额外的跳)，这使辐条1115直接地路由到中枢1140而不是穿过其局部的区域中枢。

IV.协调器配置

如本文中所讨论的，协调器被配置为创建虚拟覆盖网络、创建虚拟覆盖网络中的装置之间的隧道、配置虚拟覆盖网络中的每个装置、以及许多更多的功能。

当在SD-WAN内创建区域时，协调器确保所有的中枢被连接到区域内的所有辐条。协调器也通知每个装置其是哪个区域的部分。在示例性的实施例中，区域包含标量。如本文中所讨论的“区域”可以在任何用户所配置的基础上被划定。即是说，企业可以创建针对地理边界的区域，诸如大陆、国家、州、或者任何其他所期望的边界。在其他一些实施例中，区域可以基于针对企业的商业目标而被创建。在另外一些实施例中，区域可以基于所期望的装置的划分而被创建。如本领域普通技术人员会理解的，区域可以基于任何标准而被创建。此外，虚拟装置可以基于由企业所期望的任何标准而被配置为在任何区域中。装置的区域性的分布也可以是动态的，以使得企业可以如所期望的将装置从一个区域重分配到另一个区域。

协调器还被委派通知每个装置其角色。如果存在任何冲突，并且装置在一个BIO中被列出为中枢但是在另一个BIO中被列出为辐条，则其角色为中枢。

图13描绘了网络管理员可以从协调器(诸如图3的协调器310)查看的示例性的用户界面1300。在示例性的图13中，六个装置被描绘为点，其中三个装置位于西部区域1305中以及三个装置位于东部区域1310中。在一个示例性的实施例中，西部区域1305和东部区域1310每个都被配置为使用中心辐射拓扑。西部区域1305的装置1315被配置为用于该区域的中枢，并且装置1320和装置1325被配置为用于该区域的辐条。装置1320不可操作，因此中枢1315仅被描绘为与其自身的区域内的辐条1325通信。此外，西部区域1305的中枢1315被描绘为与东部区域1310的中枢1330通信。此外，东部区域1310的中枢1330与其区域内的辐条1340以及辐条1345中的每个辐条通信。

在示例性的实施例中，网络管理员可以指派将被应用到区域的网络拓扑，并且这可以被动态地改变。例如，网络管理员可以决定重配置使用中心辐射拓扑的区域以使其相反地具有全网状拓扑。通过协调器上的用户界面，网络管理员可以引导改变东部区域1310为使用全网状配置。协调器然后会与东部区域1310内的每个装置通信，并且远程地以及动态地重配置每个装置为根据全网状网络操作。如果隧道没有已经存在，则协调器也可以基本上即时地创建装置之间的隧道以促进通过SD-WAN的通信。

图14使用结合图13所描述的相同的装置描绘了网络管理员可以从协调器查看的另一个示例性的用户界面1400。在示例性的图14中，西部区域1305被配置为使用中心辐射拓扑，并且东部区域1310被配置为全网状网络。西部区域1305的装置1315被配置为用于西部区域1305的中枢，并且装置1320和装置1325被配置为用于该区域的辐条。此外，西部区域1305的中枢1315被描绘为与东部区域1310的中枢1330通信。东部区域1310被配置为全网状，因此东部区域1310内的中枢1330以及辐条1340和辐条1345中的每个都与彼此通信。

图15使用结合图13所描述的相同的装置描绘了网络管理员可以从协调器查看的另一个示例性的用户界面1500。在示例性的图15中，西部区域1305和东部区域1310被配置为在每个区域内以及跨区域都使用全网状拓扑。即是说，西部区域1305内所有的装置与彼此在全网状中，东部区域1310内所有的装置与彼此在全网状中，以及跨两个区域的六个装置与彼此在全网状中。在全网状拓扑中，每个装置由协调器配置为具有辐条的角色。

如本文中所讨论的，用于企业SD-WAN的协调器可以创建并且管理可以在该企业SD-WAN中存在的区域中的所有区域。图16描绘了网络管理员可以从协调器(诸如图3的协调器310)查看的示例性的用户界面1600。在示例性的图16中，装置标识符被描绘在字段1605中。此外，用户界面1600示出了“无区域被发现”为涵盖字段1605中所标识的装置。管理员可以在界面上选择按钮“创建区域”以基本即时地创建用于SD-WAN的一个或多个区域。

图17描绘了网络管理员可以从协调器(诸如图3的协调器310)查看以向区域分配或者重分配装置的示例性的用户界面1700。在该示例性的界面中描绘了两个区域——东部区域以及西部区域。六个装置被描绘在“主机名”列下，并且每个装置目前被分配到的区域在“当前”列中被示出。管理员可以从列表选择装置，并且通过可选择的对象将其向东部区域或者西部区域“添加”或者“移除”。此外，当装置被分配到不同的区域时，其可以在用户界面1700的“变化”列中被示出。以这种方式，管理员可以无缝地向现有的区域分配或者重分配装置。协调器对应地自动配置每个装置，并且创建对应的通信隧道。

在一个示例中，当装置从第一区域被重分配到第二区域时，协调器向装置发送更新消息，通知该装置其新的区域分配，并且也如适用的，更新装置在其新区域内的角色。即是说，装置可以从“中枢”角色改变成“辐条”，或者反之亦然。

因此，公开了用于多区域软件定义的广域网的方法和系统。因为本公开的SD-WAN由多个区域组成，所以在每个区域中存在不同的网络管理员，这些网络管理员具有他们的区域性的子网络的管理权限。SD-WAN中的一个区域的局部网络管理员可以不具有对SD-WAN的其他区域中的装置的控制甚至接入。

此外，针对整个(全局)企业SD-WAN的网络管理员可以基于商业目标配置网络的某些方面，该某些方面不能由局部区域性的管理员改变。虚拟覆盖网络在全局层级被创建。在局部层级，管理员可以修改特定的区域性的装置、添加规则等。

此外，使用本公开的实施例，应用可以在不同的区域中被不同地处理。例如，诸如如果MPLS可用，则一个应用可以在一个区域中使用MPLS链路来发送应用业务，但是在不同的区域中使用不同的链路(诸如LTE、公共互联网等)来发送来自相同应用的业务。每个区域可以基于服务的可用性和成本而使用不同的云安全性服务。安全性和联网策略可以在区域性的基础上被配置。

尽管已经参考特定示例描述了实施例，但是将明显的是，在不脱离本申请的更广泛的精神和范围的情况下，可以对这些示例实施例做出各种修改和改变。因此，对示例性实施例的这些和其他变型旨在被本公开覆盖。对应地，说明书和附图应被认为是说明性的而不是限制性的。

Claims

1.一种系统，用于创建多区域虚拟覆盖网络，所述多区域虚拟覆盖网络用于软件定义的广域网，所述系统包括：

多个网络装置，所述多个网络装置中的每个装置具有多个网络接口，所述多个网络接口用于通过至少两个通信网络传输和接收数据；以及

协调器设备，与所述多个网络装置中的每个网络装置通信，其中所述协调器设备被配置为：

处理有关所述多个网络装置中的每个网络装置的配置的信息；

将每个网络装置分配到来自所述虚拟覆盖网络中的多个区域的一个区域，从而在所述虚拟覆盖网络上创建至少两个区域性的子网络；

将区域性的子网络内的每个装置分配到用于其区域的角色，从而创建用于所述区域的网络拓扑；

根据用于区域的所述网络拓扑，针对每个区域在所述虚拟覆盖网络上创建第一多个虚拟隧道，所述第一多个虚拟隧道中的每个虚拟隧道将所述区域内的每个装置连接到相同的所述区域中的至少一个其他装置；以及

在所述虚拟覆盖网络上创建第二多个虚拟隧道，以将每个区域内的至少一个装置连接到每个其他区域中的至少一个装置，以用于区域间连接性。

2.根据权利要求1所述的系统，其中针对区域性的子网络内的每个装置的被分配的所述角色是中枢和辐条二者之一，并且用于所述区域的被创建的所述网络拓扑是中心辐射网络拓扑。

3.根据权利要求1所述的系统，其中用于所述区域的被创建的所述网络拓扑是全网状拓扑。

4.根据权利要求1所述的系统，其中所述第二多个虚拟隧道根据全网状网络拓扑而被创建。

5.根据权利要求1所述的系统，其中区域间连接性还通过以下操作而被创建：将每个区域内具有被分配的中枢的角色的装置连接到每个其他区域内具有被分配的中枢的角色的装置。

6.根据权利要求1所述的系统，其中所述多个网络装置中的每个网络装置包括至少一个LAN接口和至少一个WAN接口，作为所述多个网络接口的部分。

7.根据权利要求1所述的系统，其中所述多个网络装置中的至少一个网络装置位于云网络中。

8.根据权利要求1所述的系统，其中所述多个网络装置中的至少一个网络装置位于数据中心中。

9.根据权利要求1所述的系统，其中被连接到所述多个网络装置中的所述每个网络装置的所述至少两个通信网络包括以下至少两项：互联网基础设施、MPLS基础设施、以及LTE无线连接基础设施。

10.根据权利要求1所述的系统，其中所述协调器设备还被配置为：确定所述第一多个虚拟隧道和所述第二多个虚拟隧道中的至少一个虚拟隧道的网络性能度量，所述网络性能度量表示面向应用的性能。

11.根据权利要求1所述的系统，其中所述协调器设备还被配置为：确定由所述第一多个虚拟隧道和所述第二多个虚拟隧道中的至少一个虚拟隧道利用的承载隧道的网络性能度量，所述网络性能度量表示面向网络的性能。

12.根据权利要求1所述的系统，其中所述协调器设备还被配置为：选择一个或多个承载隧道以通过所述虚拟覆盖网络运送网络数据，所述一个或多个承载隧道至少部分基于网络性能度量而被选择。

13.根据权利要求1所述的系统，其中由所述第一多个虚拟隧道和所述第二多个虚拟隧道二者之一利用的至少一个承载隧道是IPsec隧道。

14.根据权利要求1所述的系统，其中有关每个网络接口的配置的信息还包括有关在每个网络接口处所接收的数据业务的类型的信息。

15.根据权利要求1所述的系统，其中所述协调器设备还被配置为：接收针对所述多区域虚拟覆盖网络的一个区域的商业意图信息，并且向位于所述一个区域内的每个装置传输对应的配置信息。

16.根据权利要求1所述的系统，其中所述第一多个虚拟隧道和所述第二多个虚拟隧道基本上即时地被创建。

17.一种系统，用于创建多区域虚拟覆盖网络，所述多区域虚拟覆盖网络用于软件定义的广域网，所述系统包括：

多个网络装置，所述多个网络装置中的每个装置具有多个网络接口，所述多个网络接口用于通过至少一个通信网络传输和接收数据；以及

将区域性的子网络内的每个装置分配给用于其区域的中枢或辐条的角色，从而创建用于所述区域的中心辐射网络拓扑；

根据用于区域的所述中心辐射网络拓扑，针对每个区域在所述虚拟覆盖网络上创建第一多个虚拟隧道，所述第一多个虚拟隧道中的每个虚拟隧道将区域内被分配了辐条的角色的每个装置连接到相同区域中被分配了作为中枢的角色的每个装置；以及

在所述虚拟覆盖网络上创建第二多个虚拟隧道，以将区域内被分配了中枢的角色的至少一个装置连接到每个其他区域中被分配了中枢的角色的至少一个装置，以用于区域间连接性。

18.根据权利要求17所述的系统，其中区域性的子网络内被分配了辐条的角色的每个装置被配置为经由子网共享协议向相同区域中被分配了中枢的角色的每个装置传输路由信息。

19.根据权利要求17所述的系统，其中区域性的子网络内被分配了中枢的角色的每个装置被配置为经由子网共享协议向相同区域中被分配了辐条的角色的每个装置传输路由信息。

20.根据权利要求17所述的系统，其中区域性的子网络内被分配了中枢的角色的每个装置被配置为经由子网共享协议向每个其他区域中被分配了中枢的角色的每个装置传输路由信息。

21.一种用于由协调器设备创建多区域虚拟覆盖网络的方法，所述方法包括：

在虚拟覆盖广域网内创建多个区域，所述多个区域中的每个区域由边界限定；

将所述虚拟覆盖网络中的每个装置分配到所述多个区域的一个区域；

为所述多个区域的每个区域分配网络拓扑；

根据用于每个区域的被分配的所述网络拓扑，在所述多个区域中的每个区域内创建多个虚拟隧道；

向所述多个区域中的每个区域中的每个装置传输全局配置信息，所述全局配置信息对于所述多个区域的每个区域是相同的；以及

向所述多个区域中的每个区域中的每个装置传输区域性配置信息，所述区域性配置信息对于所述多个区域中的第一区域和所述多个区域中的第二区域是不同的。