JP2023535149A

JP2023535149A - Ｖｌａｎスイッチングおよびルーティングサービスのためのシステムおよび方法

Info

Publication number: JP2023535149A
Application number: JP2023502767A
Authority: JP
Inventors: ブラール，ジャグウィンダー・シング; クレーガー－スティクルズ，ルーカス・マイケル; ベイカー，シェーン; ボックマン，ブライス・ユージーン; ジョーンズ，ピーター・クロフト
Original assignee: オラクル・インターナショナル・コーポレイション
Priority date: 2020-07-14
Filing date: 2021-07-14
Publication date: 2023-08-16
Also published as: CN116210204A; EP4183121B1; US11818040B2; US20240080269A1; US20230097386A1; CN116235484A; WO2022015884A1; CN116235482A; EP4183120B1; US20220021610A1; EP4183119A1; EP4183121A1; US11876708B2; EP4183120A1; WO2022015881A1; US20220021556A1; US11463355B2; WO2022015883A1; US11831544B2; JP2023535150A

Abstract

本明細書は、ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）を実行するためのシステムおよび方法を開示する。この方法は、ＶＳＲＳのインスタンスのためのテーブルを生成することを含むことができ、ＶＳＲＳは、第１の仮想レイヤ２ネットワーク（ＶＬＡＮ）を第２のネットワークに接続する。テーブルは、仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含むことができる。この方法は、ＶＳＲＳを用いて、仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信することと、ＶＳＲＳを用いて、パケットと共に受信した情報およびテーブルに含まれた情報に基づいて、パケットを配信するための仮想レイヤ２ネットワーク内の第２のインスタンスを特定することと、特定された第２のインスタンスにパケットを配信することとを含むことができる。

Description

関連出願の相互参照
本願は、以下の出願、すなわち、（１）２０２０年７月１４日に出願され、「仮想クラウド環境におけるＶＬＡＮスイッチングおよびルーティングサービスならびにレイヤ２仮想ネットワーキング」と題される米国仮出願第６３／０５１７２８号、および（２）２０２０年１２月３０日に出願され、「仮想クラウド環境におけるレイヤ２仮想ネットワーキング」と題される米国仮出願第６３／１３２３７７号の優先権を主張している。上記で言及した仮出願の全ての内容は、あらゆる目的で参照により本開示に組み込まれる。

また、本願は、２０２１年７月１４日に出願され、「仮想レイヤ２ネットワーク」と題される米国出願第１７／３７５９９９号（代理人整理番号０８８３２５－１２０３１３４－２７６５００ＵＳ）、および２０２１年７月１４日に出願され、「レイヤ２ネットワーク内のインターフェイスベースのＡＣＬ」と題される米国出願第１７／３７６００４号（代理人整理番号０８８３２５－１２５６５４９－２７６５２０ＵＳ）に関連しており、各々の関連する出願の全ての内容は、あらゆる目的で参照により本開示に組み込まれる。

背景
クラウドコンピューティングは、コンピューティングリソースのオンデマンド利用可能性を提供する。クラウドコンピューティングは、ユーザがインターネットを介して利用可能なデータセンタに基づくことができる。クラウドコンピューティングは、ＩａａＳ（Infrastructure as a Service）を提供することができる。仮想ネットワークは、ユーザによる使用のために作成されてもよい。しかしながら、これらの仮想ネットワークは、その機能性および価値を制限するような限界がある。したがって、さらなる改善が望まれる。

概要
本開示の一態様は、コンピュータ実装方法に関する。この方法は、仮想化クラウド環境において、基礎物理ネットワークによってホストされている仮想レイヤ３ネットワークを提供することと、仮想化クラウド環境において、基礎物理ネットワークによってホストされている仮想レイヤ２ネットワークを提供することとを含む。

いくつかの実施形態において、仮想レイヤ２ネットワークは、仮想ローカルエリアネットワーク（ＶＬＡＮ）であってもよい。いくつかの実施形態において、ＶＬＡＮは、複数のエンドポイントを含む。いくつかの実施形態において、複数のエンドポイントは、複数の計算インスタンスであってもよい。いくつかの実施形態において、ＶＬＡＮは、複数のＬ２仮想ネットワークインターフェイスカード（Ｌ２ＶＮＩＣ）と、複数のスイッチとを含む。

いくつかの実施形態において、複数の計算インスタンスの各々は、固有のＬ２仮想ネットワークインターフェイスカード（Ｌ２ＶＮＩＣ）と固有のスイッチとを含むペアに通信可能に接続されている。いくつかの実施形態において、複数のスイッチは共に、分散スイッチを形成することができる。いくつかの実施形態において、複数のスイッチの各々は、スイッチとペアリングされたＬ２ＶＮＩＣから受信したマッピングテーブルに従って、アウトバウンドトラフィックをルーティングする。いくつかの実施形態において、マッピングテーブルは、ＶＬＡＮ内のエンドポイントのインターフェイス対ＭＡＣアドレスマッピングを特定する。

いくつかの実施形態において、方法は、固有のＬ２ＶＮＩＣと固有のスイッチとを含むペアをネットワーク仮想化装置（ＮＶＤ）上でインスタンス化することをさらに含む。いくつかの実施形態において、方法は、複数の計算インスタンスのうちの１つの固有のＬ２ＶＮＩＣ上で、ＶＬＡＮ内の別のエンドポイントから、複数の計算インスタンスのうちの１つにアドレス指定されたパケットを受信することと、複数の計算インスタンスのうちの１つの固有のＬ２ＶＮＩＣを用いて、別のエンドポイントのマッピングを学習することとを含む。いくつかの実施形態において、別のエンドポイントのマッピングは、別のエンドポイントのインターフェイス対ＭＡＣアドレスマッピングを含む。

いくつかの実施形態において、方法は、複数の計算インスタンスのうちの１つの固有のＬ２ＶＮＩＣを用いて、受信したパケットをデカプセル化することと、デカプセル化されたパケットを複数の計算インスタンスのうちの１つに転送することとを含む。いくつかの実施形態において、方法は、複数の計算インスタンスのうちの１つを用いて、別のエンドポイントのＩＰアドレス対ＭＡＣアドレスマッピングを学習することを含む。

いくつかの実施形態において、方法は、ＶＬＡＮ内の第１の計算インスタンスから、ＶＬＡＮ内の第２の計算インスタンスの宛先ＩＰアドレスを含むＩＰパケットを送信することと、第１の計算インスタンスに関連する第１のＬ２ＶＮＩＣ上でＩＰパケットを受信することと、第１のＬ２ＶＮＩＣ上でＩＰパケットをカプセル化することと、第１のスイッチを介してＩＰパケットを第２の計算インスタンスに転送することとを含む。いくつかの実施形態において、第１のスイッチおよび第１のＬ２ＶＮＩＣは、ペアで第１の計算インスタンスに通信可能に接続される。いくつかの実施形態において、方法は、第２の計算インスタンスに関連する第２のＶＮＩＣ上でＩＰパケットを受信することと、第２のＶＮＩＣ上でＩＰパケットをデカプセル化することと、ＩＰパケットを第２のＶＮＩＣから第２の計算インスタンスに転送することとをさらに含む。

いくつかの実施形態において、仮想レイヤ２ネットワークは、複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）を含む。いくつかの実施形態において、複数のＶＬＡＮの各々は、複数のエンドポイントを含む。いくつかの実施形態において、複数のＶＬＡＮは、第１のＶＬＡＮおよび第２のＶＬＡＮを含む。いくつかの実施形態において、第１のＶＬＡＮは、複数の第１のエンドポイントを含み、第２のＶＬＡＮは、複数の第２のエンドポイントを含む。いくつかの実施形態において、複数のＶＬＡＮの各々は、固有の識別子を有する。いくつかの実施形態において、第１のＶＬＡＮ内の複数の第１のエンドポイントのうちの１つは、第２のＶＬＡＮ内の複数の第２のエンドポイントのうちの１つと通信する。

本開示の一態様は、物理ネットワークを含むシステムに関する。物理ネットワークは、少なくとも１つのホストマシンと、少なくとも１つのネットワーク仮想化装置とを含む。物理ネットワークは、仮想化クラウド環境において、基礎物理ネットワークによってホストされている仮想レイヤ３ネットワークを提供することができ、仮想化クラウド環境において、基礎物理ネットワークによってホストされている仮想レイヤ２ネットワークを提供することができる。

本開示の一態様は、１つ以上のプロセッサによって実行可能な複数の命令を記憶する非一時的なコンピュータ可読記憶媒体に関する。複数の命令は、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに、仮想化クラウド環境において、基礎物理ネットワークによってホストされている仮想レイヤ３ネットワークを提供させ、仮想化クラウド環境において、基礎物理ネットワークによってホストされている仮想レイヤ２ネットワークを提供させる。

本開示の一態様は、ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）のインスタンスのためのテーブルを生成することを含む方法に関し、ＶＳＲＳは、第１の仮想レイヤ２ネットワークを第２のネットワークに接続する。いくつかの実施形態において、テーブルは、第１の仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含む。この方法は、ＶＳＲＳを用いて、仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信することと、ＶＳＲＳを用いて、パケットと共に受信した情報およびテーブルに含まれた情報に基づいて、パケットを配信するための仮想レイヤ２ネットワーク内の第２のインスタンスを特定することと、特定された第２のインスタンスにパケットを配信することとを含む。

いくつかの実施形態において、第１の仮想レイヤ２ネットワークは、複数のインスタンスを含む。いくつかの実施形態において、第１の仮想レイヤ２ネットワークは、複数のＬ２仮想ネットワークインターフェイスカード（Ｌ２ＶＮＩＣ）と、複数のスイッチとを含む。いくつかの実施形態において、複数のインスタンスの各々は、固有のＬ２仮想ネットワークインターフェイスカード（Ｌ２ＶＮＩＣ）と固有のスイッチとを含むペアに通信可能に接続されている。

いくつかの実施形態において、ＶＳＲＳを用いて、パケットと共に受信した情報およびテーブルに含まれた情報に基づいて、パケットを配信するための第１の仮想レイヤ２ネットワーク内の第２のインスタンスを特定することは、ＶＳＲＳを用いて、テーブルが第２のインスタンスのマッピング情報を含まないと判断することと、ＶＳＲＳによるパケットの配信を保留することと、ＶＳＲＳを用いて、ＡＲＰ要求を第１の仮想レイヤ２ネットワーク内のＶＮＩＣにブロードキャストすることとを含み、ＡＲＰ要求は、第２のインスタンスのＩＰアドレスを含み、ＶＳＲＳを用いて、第２のインスタンスのＬ２ＶＮＩＣからＡＲＰ応答を受信することを含む。

いくつかの実施形態において、方法は、受信したＡＲＰ応答に基づいて、テーブルを更新することをさらに含む。いくつかの実施形態において、第１のインスタンスは、第１の仮想レイヤ２ネットワークの外部に配置され、第２のネットワークの内部に配置される。いくつかの実施形態において、第２のネットワークは、Ｌ３ネットワークであってもよい。いくつかの実施形態において、第２のネットワークは、第２の仮想レイヤ２ネットワークであってもよい。いくつかの実施形態において、テーブルは、ＶＳＲＳによって受信された情報に基づいて生成される。

いくつかの実施形態において、方法は、ＶＳＲＳを複数のハードウェアノード上のサービスとしてインスタンス化することを含む。いくつかの実施形態において、方法は、ハードウェアノードの間にテーブルを配布することを含む。いくつかの実施形態において、ハードウェアノードの間に配布されたテーブルは、別のＶＳＲＳインスタンス化によって利用可能である。いくつかの実施形態において、第１のインスタンスは、第１の仮想レイヤ２ネットワークの内部にある。

いくつかの実施形態において、方法は、ＶＳＲＳを用いて、第１の仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することを含む。いくつかの実施形態において、パケットは、第１の仮想レイヤ２ネットワークの外部の第４のインスタンスに配信される。いくつかの実施形態において、方法は、ＶＳＲＳを用いて、第１の仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することを含む。いくつかの実施形態において、パケットは、第１の仮想レイヤ２ネットワーク内の第３のインスタンスによって使用されるサービスに配信される。いくつかの実施形態において、サービスは、ＤＨＣＰ、ＮＴＰ、およびＤＮＳのうちの少なくとも１つであってもよい。

いくつかの実施形態において、方法は、ＶＳＲＳを用いて、第１の仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することを含む。いくつかの実施形態において、パケットは、第２の仮想レイヤ２ネットワーク内の第４のインスタンスに配信される。いくつかの実施形態において、この方法は、高い信頼性および高い拡張性のＶＳＲＳインスタンス化を提供するために、レイヤ２およびレイヤ３ネットワーク情報を有するＶＳＲＳのインスタンスのためのテーブルを複数のサービスノードにわたって配布することをさらに含む。いくつかの実施形態において、方法は、ＶＳＲＳを用いて、第１の仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することと、ＶＳＲＳを用いて、第３のインスタンスのマッピングを学習することとを含む。

本開示の一態様は、システムに関する。システムは、物理ネットワークを含む。物理ネットワークは、少なくとも１つのプロセッサと、ネットワーク仮想化装置とを含む。少なくとも１つのプロセッサは、ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）のインスタンスをインスタンス化することができ、このＶＳＲＳは、第１の仮想レイヤ２ネットワークを第２のネットワークに接続し、少なくとも１つのプロセッサは、ＶＳＲＳのインスタンスのためのテーブルを生成することができる。いくつかの実施形態において、テーブルは、第１の仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含む。少なくとも１つのプロセッサは、ＶＳＲＳを用いて、仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信し、ＶＳＲＳを用いて、パケットと共に受信した情報およびテーブルに含まれた情報に基づいて、パケットの配信のために第１の仮想レイヤ２ネットワーク内の第２のインスタンスを特定し、特定された第２のインスタンスにパケットを配信することができる。

本開示の一態様は、１つ以上のプロセッサによって実行可能な複数の命令を記憶するコンピュータ可読記憶媒体に関する。複数の命令は、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに、ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）のインスタンスをインスタンス化させ、ＶＳＲＳは、第１の仮想レイヤ２ネットワークを第２のネットワークに接続し、ＶＳＲＳのインスタンスのためのテーブルを生成させる。いくつかの実施形態において、テーブルは、第１の仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含む。複数の命令は、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに、ＶＳＲＳを用いて、仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信させ、パケットと共に受信した情報およびテーブルに含まれた情報に基づいて、パケットを配信するための仮想レイヤ２ネットワーク内の第２のインスタンスを特定させ、特定された第２のインスタンスに当該パケットを配信させる。

本開示の一態様は、方法に関する。この方法は、第１の仮想レイヤ２ネットワーク内の宛先Ｌ２仮想ネットワークインターフェイスカード（宛先Ｌ２ＶＮＩＣ）を介して、仮想ネットワーク内のソース計算インスタンスから宛先計算インスタンスにパケットを送信することと、ソース仮想ネットワークインターフェイスカード（ソースＶＮＩＣ）を用いてパケットのアクセス制御リスト（ＡＣＬ）を評価することと、パケットに関連するＡＣＬ情報をパケットに埋め込むことと、第１の仮想レイヤ２ネットワーク（ＶＬＡＮ）を第２のネットワークに接続するための仮想スイッチングおよびルーティングサービス（ＶＳＲＳ）にカプセル化されたパケットを転送することと、ＶＳＲＳを用いて、パケットと共に受信した情報およびマッピングテーブルに含まれたマッピング情報に基づいて、パケットを配信するための第１の仮想レイヤ２ネットワーク内の宛先Ｌ２ＶＮＩＣを特定することと、ＶＳＲＳを用いて、パケットからＡＣＬ情報を入手することと、入手したＡＣＬ情報をパケットに適用することとを含む。

いくつかの実施形態において、パケットは、ＩＰパケットを含む。いくつかの実施形態において、ソース計算インスタンスは、仮想Ｌ３ネットワークに配置される。いくつかの実施形態において、ソース計算インスタンスは、第２の仮想レイヤ２ネットワークに配置される。

いくつかの実施形態において、方法は、ソースＶＮＩＣを用いて、パケットをカプセル化することを含む。いくつかの実施形態において、方法は、ＶＳＲＳを用いて、パケットを受信およびデカプセル化することを含む。いくつかの実施形態において、ＶＳＲＳを用いて、パケットと共に受信した情報およびマッピングテーブルに含まれたマッピング情報に基づいて、パケットを配信するための第１の仮想レイヤ２ネットワーク内の宛先Ｌ２ＶＮＩＣを特定することは、ＶＳＲＳを用いて、マッピングテーブルが宛先計算インスタンスのマッピング情報を含まないと判断することと、ＶＳＲＳを用いて、パケットの転送を保留することと、ＶＳＲＳを用いて、宛先計算インスタンスのＩＰアドレスを含むＡＲＰ要求を第１の仮想レイヤ２ネットワーク内のＬ２ＶＮＩＣにブロードキャストすることと、ＶＳＲＳを用いて、宛先計算インスタンスのＬ２ＶＮＩＣからＡＲＰ応答を受信することとを含む。いくつかの実施形態において、Ｌ２ＶＮＩＣのうちの１つは、宛先計算インスタンスのＬ２ＶＮＩＣである。

いくつかの実施形態において、方法は、受信したＡＲＰ応答に基づいてテーブルを更新することを含む。いくつかの実施形態において、ＶＳＲＳを用いて、パケットと共に受信した情報およびマッピングテーブルに含まれたマッピング情報に基づいて、パケットを配信するための第１の仮想レイヤ２ネットワーク内の宛先Ｌ２ＶＮＩＣを特定することは、マッピングテーブルが宛先計算インスタンスのマッピング情報を含むことを判断することと、マッピングテーブルに含まれたマッピング情報に基づいて宛先Ｌ２ＶＮＩＣを特定することとを含む。いくつかの実施形態において、パケットに関連するＡＣＬ情報をパケットに埋め込むことは、ＡＣＬ情報をメタデータとしてパケットに格納することを含む。いくつかの実施形態において、ＶＳＲＳを用いてパケットのＡＣＬ情報を入手することは、パケット内のＡＣＬ情報を含むメタデータを抽出することを含む。

いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、ＡＣＬ情報が宛先Ｌ２ＶＮＩＣに関連しないと判断することを含む。いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、宛先Ｌ２ＶＮＩＣを介してパケットを宛先計算インスタンスに転送することをさらに含む。いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、ＶＳＲＳを用いて、ＡＣＬ情報が宛先Ｌ２ＶＮＩＣに関連すると判断することを含む。いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、ＶＳＲＳを用いて、宛先Ｌ２ＶＮＩＣがＡＣＬ情報に準拠すると判断することと、ＶＳＲＳを用いて、宛先Ｌ２ＶＮＩＣを介してパケットを宛先計算インスタンスに転送することとをさらに含む。

いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、ＶＳＲＳを用いて、宛先Ｌ２ＶＮＩＣがＡＣＬ情報に準拠しないと判断することを含み、当該ＶＳＲＳはパケットを破棄する。いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、ＶＳＲＳを用いて、パケットの破棄を示す応答をソース計算インスタンスに送信することをさらに含む。

本開示の一態様は、物理ネットワークを含むシステムに関する。物理ネットワークは、少なくとも１つの第１のプロセッサと、ネットワーク仮想化装置と、少なくとも１つの第２のプロセッサとを含む。少なくとも１つのプロセッサは、物理ネットワーク上でインスタンス化された第１の仮想レイヤ２ネットワーク内の宛先Ｌ２仮想ネットワークインターフェイスカード（宛先Ｌ２ＶＮＩＣ）を介して、パケットを物理ネットワーク上でインスタンス化された仮想ネットワーク内のソース計算インスタンスから宛先計算インスタンスに送信することができる。ネットワーク仮想化装置は、ソースＶＮＩＣをインスタンス化することができる。ソースＶＮＩＣは、パケットのアクセス制御リスト（ＡＣＬ）を評価し、パケットに関連するＡＣＬ情報をパケットに埋め込み、パケットを仮想スイッチングおよびルーティングサービス（ＶＳＲＳ）に転送することができ、ＶＳＲＳは、第１の仮想レイヤ２ネットワーク（ＶＬＡＮ）を第２のネットワークに接続する。少なくとも１つの第２のプロセッサは、ＶＳＲＳをインスタンス化することができる。ＶＳＲＳは、パケットと共に受信した情報およびマッピングテーブルに含まれるマッピング情報に基づいて、パケットを配信するための宛先Ｌ２ＶＮＩＣを特定し、パケットからＡＣＬ情報を入手し、入手したＡＣＬ情報をパケットに適用することができる。

いくつかの実施形態において、入手したＡＣＬ情報をパケットに適用することは、ＡＣＬ情報が宛先Ｌ２ＶＮＩＣに関連することを判断することと、宛先Ｌ２ＶＮＩＣがＡＣＬ情報に準拠することを判断することと、ＶＳＲＳを用いて、宛先Ｌ２ＶＮＩＣを介してパケットを宛先計算インスタンスに転送することとを含む。

本開示の一態様は、１つ以上のプロセッサによって実行可能な複数の命令を記憶するコンピュータ可読記憶媒体に関する。複数の命令は、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに、第１の仮想レイヤ２ネットワーク内の宛先Ｌ２仮想ネットワークインターフェイスカード（宛先Ｌ２ＶＮＩＣ）を介して、パケットを仮想ネットワーク内のソース計算インスタンスから宛先計算インスタンスに送信させ、ソース仮想ネットワークインターフェイスカード（ソースＶＮＩＣ）を用いて、パケットのアクセス制御リスト（ＡＣＬ）を評価させ、パケットに関連するＡＣＬ情報をパケットに埋め込め、第１の仮想レイヤ２ネットワーク（ＶＬＡＮ）を第２のネットワークに接続するための仮想スイッチングおよびルーティングサービス（ＶＳＲＳ）にパケットを転送させ、ＶＳＲＳを用いて、パケットと共に受信した情報およびマッピングテーブルに含まれるマッピング情報に基づいて、パケットを配信するための第１の仮想レイヤ２ネットワーク内の宛先Ｌ２ＶＮＩＣを特定させ、ＶＳＲＳを用いて、パケットからＡＣＬ情報を入手させ、入手したＡＣＬ情報をパケットに適用させる。

特定の実施形態に従って、クラウドサービスプロバイダインフラストラクチャによってホストされている仮想またはオーバーレイクラウドネットワークを示す分散環境のハイレベル図である。特定の実施形態に従って、ＣＳＰＩ内の物理ネットワークの物理要素を示すアーキテクチャ概略図である。特定の実施形態に従って、ホストマシンが複数のネットワーク仮想化装置（ＮＶＤ）に接続されているＣＳＰＩの例示的な配置を示す図である。特定の実施形態に従って、ホストマシンとマルチテナント機能をサポートするためのＩ／Ｏ仮想化を提供するＮＶＤとの間の接続を示す図である。特定の実施形態に従って、ＣＳＰＩによって提供された物理ネットワークを示す概略ブロック図である。コンピューティングネットワークの一実施形態を示す概略図である。仮想ローカルエリアネットワーク（ＶＬＡＮ）の論理およびハードウェア概略図である。複数の接続されたＬ２ＶＬＡＮを示す論理概略図である。複数の接続されたＬ２ＶＬＡＮおよびサブネットを示す論理概略図である。ＶＬＡＮ内のＶＬＡＮ域内通信（intra-VLAN communication）および学習の一実施形態を示す概略図である。ＶＬＡＮ実装の一実施形態を示す概略図である。ＶＬＡＮ域内通信を行うためのプロセスの一実施形態を示すフローチャートである。ＶＬＡＮ域内通信を行うためのプロセスを示す概略図である。仮想Ｌ２ネットワーク内のＶＬＡＮ間通信（inter-VLAN communication）を行うためのプロセスの一実施形態を示すフローチャートである。ＶＬＡＮ間通信を行うためのプロセスを示す概略図である。受信パケットフローを行うためのプロセスの一実施形態を示すフローチャートである。受信通信を行うためのプロセスを示す概略図である。ＶＬＡＮからの送信パケットフローを行うためのプロセスの一実施形態を示すフローチャートである。送信パケットフローを行うためのプロセスを示す概略図である。遅延アクセス制御リスト（ＡＣＬ）分類を行うためのプロセスの一実施形態を示すフローチャートである。ＡＣＬの早期分類を行うためのプロセスの一実施形態を示すフローチャートである。送信者ベースのネクストホップルーティングを行うためのプロセスの一実施形態を示すフローチャートである。遅延ネクストホップルーティングを行うためのプロセスの一実施形態を示すフローチャートである。少なくとも１つの実施形態に従って、クラウドインフラストラクチャをサービスシステムとして実装するための１つのパターンを示すブロック図である。少なくとも１つの実施形態に従って、サービスシステムとしてクラウドインフラストラクチャを実装するための別のパターンを示すブロック図である。少なくとも１つの実施形態に従って、クラウドインフラストラクチャをサービスシステムとして実装するための別のパターンを示すブロック図である。少なくとも１つの実施形態に従って、クラウドインフラストラクチャをサービスシステムとして実装するための別のパターンを示すブロック図である。少なくとも１つの実施形態に従って、例示的なコンピュータシステムを示すブロック図である。

詳細な説明
以下の説明において、説明の目的で、特定の詳細が特定の実施形態の完全な理解を提供するために記載される。しかしながら、様々な実施形態がこれらの具体的な詳細なしに実施され得ることは明らかであろう。図面および説明は、限定的であることを意図しない。「例示的」という用語は、本開示において、「例示、事例または図示として機能する」ことを意味するために使用される。本開示において「例示的」として記載されたいかなる実施形態または設計は、必ずしも他の実施形態または設計よりも好ましいまたは有利であると解釈されるべきではない。

仮想ネットワークアーキテクチャの例
クラウドサービスという用語は、一般的に、クラウドサービスプロバイダ（ＣＳＰ）が、システムおよびインフラストラクチャ（クラウドインフラストラクチャ）を用いて、ユーザまたは顧客がオンデマンドで（例えば、サブスクリプションモデルを介して）利用できるサービスを指す。通常、ＣＳＰのインフラストラクチャを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムから離れている。したがって、顧客は、サービス用のハードウェアおよびソフトウェア資源を別途購入することなく、ＣＳＰによって提供されるクラウドサービスを利用することができる。クラウドサービスは、サービスを提供するために使用されるインフラストラクチャの調達に顧客が投資する必要がなく、アプリケーションおよび計算リソースへの容易且つ拡張可能なアクセスを加入している顧客に提供するように設計されている。

いくつかのクラウドサービスプロバイダ（ＣＳＰ）は、様々な種類のクラウドサービスを提供する。クラウドサービスは、ＳａａＳ（Software－as－a－Service）、ＰａａＳ（Platform－as－a－Service）、ＩａａＳ（Infrastructure－as－a－Service）などの様々な異なる種類またはモデルを含む。

顧客は、ＣＳＰによって提供される１つ以上のクラウドサービスに加入することができる。顧客は、個人、組織、企業などの任意のエンティティであってもよい。顧客がＣＳＰによって提供されるサービスに加入または登録すると、その顧客のテナントまたはアカウントが作成される。その後、顧客は、このアカウントを介して、アカウントに関連する１つ以上の加入済みクラウドリソースにアクセスすることができる。

上述したように、ＩａａＳ（Infrastructure as a Service）は、１つの特定種類のクラウドコンピューティングサービスである。ＩａａＳモデルにおいて、ＣＳＰは、顧客が自身のカスタマイズ可能なネットワークを構築し、顧客リソースを展開するために使用できるインフラストラクチャ（クラウドサービスプロバイダインフラストラクチャまたはＣＳＰＩと呼ばれる）を提供する。したがって、顧客のリソースおよびネットワークは、ＣＳＰによって提供されたインフラストラクチャによって分散環境にホストされる。これは、顧客のインフラストラクチャが顧客のリソースおよびネットワークをホストする従来のコンピューティングとは異なる。

ＣＳＰＩは、基板ネットワークまたはアンダーレイネットワークとも呼ばれる物理ネットワークを形成する、様々なホストマシン、メモリリソース、およびネットワークリソースを含む相互接続された高性能の計算リソースを含んでもよい。ＣＳＰＩのリソースは、１つ以上の地理的な地域にわたって地理的に分散されている１つ以上のデータセンタに分散されてもよい。仮想化ソフトウェアは、これらの物理リソースによって実行され、仮想化分散環境を提供することができる。仮想化は、物理ネットワーク上に（ソフトウェアベースネットワーク、ソフトウェア定義ネットワーク、または仮想ネットワークとも呼ばれる）オーバーレイネットワークを作成する。ＣＳＰＩ物理ネットワークは、物理ネットワークの上に１つ以上のオーバーレイまたは仮想ネットワークを作成するための基礎を提供する。物理ネットワーク（または基板ネットワークまたはアンダーレイネットワーク）は、物理スイッチ、ルータ、コンピュータおよびホストマシンなどの物理ネットワーク装置を含む。オーバーレイネットワークは、物理的な基板ネットワーク上で動作する論理（または仮想）ネットワークである。所定の物理ネットワークは、１つ以上のオーバーレイネットワークをサポートすることができる。オーバーレイネットワークは、典型的には、カプセル化技術を用いて、異なるオーバーレイネットワークに属するトラフィックを区別する。仮想ネットワークまたはオーバーレイネットワークは、仮想クラウドネットワーク（ＶＣＮ）とも呼ばれる。仮想ネットワークは、ソフトウェア仮想化技術（例えば、ハイパーバイザ、ネットワーク仮想化装置（ＮＶＤ）（例えば、スマートＮＩＣ）によって実装される仮想化機能、トップオブラック（ＴＯＲ）スイッチ、ＮＶＤによって実行される１つ以上の機能を実装するスマートＴＯＲ、および他のメカニズム）を用いて実装され、物理ネットワークの上で実行できるネットワーク抽象化層を作成する。仮想ネットワークは、ピアツーピアネットワーク、ＩＰネットワークなどの様々な形態をとることができる。仮想ネットワークは、典型的には、レイヤ３ＩＰネットワークまたはレイヤ２ＶＬＡＮのいずれかである。このような仮想ネットワークまたはオーバーレイネットワークは、しばしば仮想レイヤ３ネットワークまたはオーバーレイレイヤ３ネットワークと呼ばれる。仮想ネットワークのために開発されたプロトコルの例は、ＩＰ－ｉｎ－ＩＰ（またはＧＲＥ（Generic Routing Encapsulation））、仮想拡張可能ＬＡＮ（ＶＸＬＡＮ－ＩＥＴＦＲＦＣ７３４８）、仮想プライベートネットワーク（ＶＰＮ）（例えば、ＭＰＬＳレイヤ３仮想プライベートネットワーク（ＲＦＣ４３６４））、ＶＭｗａｒｅＮＳＸ、ＧＥＮＥＶＥ（Generic Network Virtualization Encapsulation）などを含む。

ＩａａＳの場合、ＣＳＰによって提供されたインフラストラクチャ（ＣＳＰＩ）は、パブリックネットワーク（例えば、インターネット）を介して仮想化計算リソースを提供するように構成されてもよい。ＩａａＳモデルにおいて、クラウドコンピューティングサービスプロバイダは、インフラストラクチャ要素（例えば、サーバ、記憶装置、ネットワークノード（例えば、ハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）など）をホストすることができる。場合によっては、ＩａａＳプロバイダは、それらのインフラストラクチャ要素に付随する様々なサービス（例えば、課金、監視、ロギング、セキュリティ、負荷分散およびクラスタリングなど）を提供することができる。これらのサービスがポリシー駆動型であるため、ＩａａＳユーザは、負荷分散を駆動するためのポリシーを実装することによって、アプリケーションの可用性および性能を維持することができる。ＣＳＰＩは、インフラストラクチャおよび一連の補完的なクラウドサービスを提供する。これによって、顧客は、可用性の高いホスト型分散環境で幅広いアプリケーションおよびサービスを構築し、実行することができる。ＣＳＰＩは、顧客オンプレミスネットワークなどの様々なネットワーク拠点から安全にアクセスできる柔軟な仮想ネットワーク上で高性能の計算リソースおよび能力ならびに記憶容量を提供する。顧客がＣＳＰによって提供されたＩａａＳサービスに加入または登録すると、その顧客のために作成されたテナンシは、ＣＳＰＩから安全に分離されたパーティションとなり、顧客は、クラウドリソースを作成、整理、管理することができる。

顧客は、ＣＳＰＩによって提供された計算リソース、メモリリソース、およびネットワーキングリソースを使用して、独自の仮想ネットワークを構築することができる。これらの仮想ネットワーク上に、計算インスタンスなどの1つ以上の顧客リソースまたはワークロードを展開することができる。例えば、顧客は、ＣＳＰＩによって提供されたリソースを使用して、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる１つ以上のカスタマイズ可能なプライベート仮想ネットワークを構築することができる。顧客は、顧客ＶＣＮ上で１つ以上の顧客リソース、例えば計算インスタンスを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどであってもよい。したがって、ＣＳＰＩは、顧客が可用性の高い仮想ホスト環境において様々なアプリケーションおよびサービスを構築および実行することを可能にするインフラストラクチャおよび一連の相補的なクラウドサービスを提供する。顧客は、ＣＳＰＩによって提供された基礎的な物理リソースを管理または制御しないが、オペレーティングシステム、記憶、および展開されたアプリケーションを制御し、場合によっては一部のネットワーキングコンポーネント（例えば、ファイアウォール）を限定的に制御する。

ＣＳＰは、顧客およびネットワーク管理者がＣＳＰＩリソースを使用してクラウドに展開されたリソースを構成、アクセス、および管理することを可能にするコンソールを提供することができる。特定の実施形態において、コンソールは、ＣＳＰＩを利用および管理するために使用することができるウェブベースのユーザインターフェイスを提供する。いくつかの実施形態において、コンソールは、ＣＳＰによって提供されたウェブベースのアプリケーションである。

ＣＳＰＩは、シングルテナンシアーキテクチャまたはマルチテナンシアーキテクチャをサポートすることができる。シングルテナンシアーキテクチャにおいて、ソフトウェア（例えば、アプリケーション、データベース）またはハードウェア要素（例えば、ホストマシンまたはサーバ）は、単一の顧客またはテナントにサービスを提供する。マルチテナンシアーキテクチャにおいて、ソフトウェアまたはハードウェア要素は、複数の顧客またはテナントにサービスを提供する。したがって、マルチテナンシアーキテクチャにおいて、ＣＳＰＩリソースは、複数の顧客またはテナントの間で共有される。マルチテナンシ環境において、各テナントのデータが分離され、他のテナントから見えないようにするために、ＣＳＰＩには予防措置および保護措置が講じられる。

物理ネットワークにおいて、ネットワークエンドポイント（エンドポイント）は、物理ネットワークに接続され、接続されているネットワークと双方向に通信するコンピューティング装置またはシステムを指す。物理ネットワークのネットワークエンドポイントは、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、または他の種類の物理ネットワークに接続されてもよい。物理ネットワークの従来のエンドポイントの例は、モデム、ハブ、ブリッジ、スイッチ、ルータ、および他のネットワーキング装置、物理コンピュータ（またはホストマシン）などを含む。物理ネットワークの各物理装置は、当該装置と通信するために使用できる固定ネットワークアドレスを有する。この固定ネットワークアドレスは、レイヤ２アドレス（例えば、ＭＡＣアドレス）、固定レイヤ３アドレス（例えば、ＩＰアドレス）などであってもよい。仮想化環境または仮想ネットワークにおいて、エンドポイントは、物理ネットワークの要素によってホストされている（例えば、物理ホストマシンによってホストされている）仮想マシンなどの様々な仮想エンドポイントを含むことができる。仮想ネットワークのこれらのエンドポイントは、オーバーレイレイヤ２アドレス（例えば、オーバーレイＭＡＣアドレス）およびオーバーレイレイヤ３アドレス（例えば、オーバーレイＩＰアドレス）などのオーバーレイアドレスによってアドレス指定される。ネットワークオーバーレイは、ネットワーク管理者がソフトウェア管理を用いて（例えば、仮想ネットワークの制御プレーンを実装するソフトウェアを介して）ネットワークエンドポイントに関連付けられたオーバーレイアドレスを移動できるようにすることによって柔軟性を実現する。したがって、物理ネットワークとは異なり、仮想ネットワークにおいて、ネットワーク管理ソフトウェアを使用して、オーバーレイアドレス（例えば、オーバーレイＩＰアドレス）を１つのエンドポイントから別のエンドポイントに移動することができる。仮想ネットワークが物理ネットワーク上に構築されているため、仮想ネットワークおよび基礎物理ネットワークの両方は、仮想ネットワークの要素間の通信に関与する。このような通信を容易にするために、ＣＳＰＩの各要素は、仮想ネットワークのオーバーレイアドレスを基板ネットワークの実際の物理アドレスにまたは基板ネットワークの実際の物理アドレスを仮想ネットワークのオーバーレイアドレスにマッピングするマッピングを学習および記憶するように構成されている。これらのマッピングは、通信を容易にするために使用される。仮想ネットワークのルーティングを容易にするために、顧客トラフィックは、カプセル化される。

したがって、物理アドレス（例えば、物理ＩＰアドレス）は、物理ネットワークの要素に関連付けられ、オーバーレイアドレス（例えば、オーバーレイＩＰアドレス）は、仮想ネットワークのエンティティに関連付けられる。物理ＩＰアドレスは、基板ネットワークまたは物理ネットワーク内の物理装置（例えば、ネットワーク装置）に関連するＩＰアドレスである。例えば、各ＮＶＤは、関連する物理ＩＰアドレスを有する。オーバーレイＩＰアドレスは、オーバーレイネットワーク内のエンティティ、例えば顧客の仮想クラウドネットワーク（ＶＣＮ）内の計算インスタンスなどに関連するオーバーレイアドレスである。各々のプライベートＶＣＮを有する２つの異なる顧客またはテナントは、互いに知らなくても、それらのＶＣＮにおいて同じオーバーレイＩＰアドレスを潜在的に使用することができる。物理ＩＰアドレスとオーバーレイＩＰアドレスは、いずれも実ＩＰアドレスである。これらは、仮想ＩＰアドレスとは別物である。仮想ＩＰアドレスは、典型的には、複数の実ＩＰアドレスを表すまたは複数の実ＩＰアドレスにマッピングされる単一のＩＰアドレスである。仮想ＩＰアドレスは、仮想ＩＰアドレスと複数の実ＩＰアドレスとの間の１対多マッピングを提供する。例えば、ロードバランサは、ＶＩＰを用いて、複数のサーバにマッピングするまたはそれを表すことができ、各サーバは、それ自体の実際のＩＰアドレスを有する。

クラウドインフラストラクチャまたはＣＳＰＩは、世界中の１つ以上の地域の１つ以上のデータセンタにおいて物理的にホストされている。ＣＳＰＩは、物理ネットワークまたは基板ネットワークの要素と、物理ネットワーク要素上に構築された仮想ネットワークの仮想化要素（例えば、仮想ネットワーク、計算インスタンス、仮想マシン）とを含んでもよい。特定の実施形態において、ＣＳＰＩは、レルム（realm）、地域（region）、および利用可能なドメイン（domain）において編成およびホストされている。地域は、典型的には、１つ以上のデータセンタを含む局所的な地理領域である。地域は、一般的に互いに独立しており、例えば、国または大陸を跨ぐ広大な距離によって分離されてもよい。例えば、第１の地域は、オーストラリアにあってもよく、別の地域は、日本にあってもよく、さらに別の地域は、インドにあってもよい。ＣＳＰＩリソースは、各地域が独立したＣＳＰＩリソースのサブセットを有するようにこれらの地域間で分割される。各地域は、一連のコアインフラストラクチャサービスおよびリソース、例えば、計算リソース（例えば、ベアメタルサーバ、仮想マシン、コンテナおよび関連インフラストラクチャ）、記憶リソース（例えば、ブロックボリューム記憶、ファイル記憶、オブジェクト記憶、アーカイブ記憶）、ネットワーキングリソース（例えば、仮想クラウドネットワーク（ＶＣＮ）、負荷分散リソース、オンプレミスネットワークへの接続）、データベースリソース、エッジネットワーキングリソース（例えば、ＤＮＳ）、アクセス管理、および監視リソースなどを提供することができる。各地域は、一般的に、当該地域をレルム内の他の地域に接続するための複数の経路を持つ。

一般的に、アプリケーションは、近くのリソースを使用する場合に遠くのリソースを使用することよりも速いため、最も多く使用される地域に展開される（すなわち、その地域に関連するインフラストラクチャ上に展開される）。また、アプリケーションは、大規模な気象システムまたは地震などの地域全体のイベントのリスクを軽減するための冗長性、法的管轄、税金ドメイン、および他のビジネスまたは社会的基準に対する様々な要件を満たすための冗長性など、様々な理由で異なる地域に展開されてもよい。

地域内のデータセンタは、さらに編成され、利用可能なドメイン（availability domain：ＡＤ）に細分化されてもよい。利用可能なドメインは、ある地域に配置された１つ以上のデータセンタに対応してもよい。地域は、１つ以上の利用可能なドメインによって構成されてもよい。このような分散環境において、ＣＳＰＩリソースは、仮想クラウドネットワーク（ＶＣＮ）などの地域に固有なものまたは計算インスタンスなどの利用可能なドメインに固有なものである。

１つの地域内のＡＤは、フォールトトレラント（fault tolerant）になるように互いに分離され、同時に故障する可能性が非常に低くなるように構成されている。これは、１つの地域内の１つのＡＤの障害が同じ地域内の他のＡＤの可用性に影響を与えることが殆どないように、ネットワーキング、物理ケーブル、ケーブル経路、ケーブル入口などの重要なインフラストラクチャリソースを共有しないように、ＡＤを構成することによって達成される。同じ地域内のＡＤを低遅延広帯域のネットワークで互いに接続することによって、他のネットワーク（例えば、インターネット、顧客オンプレミスネットワーク）への高可用性接続を提供し、複数のＡＤにおいて高可用性および災害復旧の両方のための複製システムを構築することができる。クラウドサービスは、複数のＡＤを利用して、高可用性を確保すると共に、リソースの障害から保護する。ＩａａＳプロバイダによって提供されたインフラストラクチャが成長するにつれて、追加の容量と共により多くの地域およびＡＤを追加してもよい。利用可能なドメイン間のトラフィックは、通常、暗号化される。

特定の実施形態において、地域は、レルムにグループ化される。レルムは、地域の論理集合である。レルムは、互いに隔離されており、いかなるデータを共有しない。同じレルム内の地域は、互いに通信することができるが、異なるレルム内の地域は、通信することができない。ＣＳＰの顧客のテナンシまたはアカウントは、単一のレルムに存在し、その単一のレルムに属する１つ以上の地域を跨ることができる。典型的には、顧客がＩａａＳサービスに加入すると、レルム内の顧客指定地域（「ホーム」地域と呼ばれる）に、その顧客のテナンシまたはアカウントが作成される。顧客は、顧客のテナンシをレルム内の１つ以上の他の地域に拡張することができる。顧客は、顧客のテナンシが存在するレルム内に存在していない地域にアクセスすることができない。

ＩａａＳプロバイダは、複数のレルムを提供することができ、各レルムは、特定の組の顧客またはユーザに対応する。例えば、商用レルムは、商用顧客のために提供されてもよい。別の例として、レルムは、特定の国のためにまたはその国の顧客のために提供されてもよい。さらに別の例として、政府用レルムは、例えば政府のために提供されてもよい。例えば、政府用レルムは、特定の政府のために作成されてもよく、商用レルムよりも高いセキュリティレベルを有してもよい。例えば、オラクル（登録商標）クラウドインフラストラクチャ（ＯＣＩ）は、現在、商用領域向けのレルムと、政府クラウド領域向けの２つのレルム（例えば、ＦｅｄＲＡＭＰ認可およびＩＬ５認可）とを提供する。

特定の実施形態において、ＡＤは、１つ以上の障害ドメイン（fault domain）に細分化することができる。障害ドメインは、反親和性（anti－affinity）を提供するために、ＡＤ内のインフラストラクチャリソースをグループ化したものである。障害ドメインは、計算インスタンスを分散することができる。これによって、計算インスタンスは、１つのＡＤ内の同じ物理ハードウェア上に配置されない。これは、反親和性として知られている。障害ドメインは、１つの障害点を共有するハードウェア要素（コンピュータ、スイッチなど）の集合を指す。計算プールは、障害ドメインに論理的に分割される。このため、１つの障害ドメインに影響を与えるハードウェア障害または計算ハードウェア保守イベントは、他の障害ドメインのインスタンスに影響を与えない。実施形態によっては、各ＡＤの障害ドメインの数は、異なってもよい。例えば、特定の実施形態において、各ＡＤは、３つの障害ドメインを含む。障害ドメインは、ＡＤ内の論理データセンタとして機能する。

顧客がＩａａＳサービスに加入すると、ＣＳＰＩからのリソースは、顧客にプロビジョニングされ、顧客のテナンシに関連付けられる。顧客は、これらのプロビジョニングされたリソースを使用して、プライベートネットワークを構築し、これらのネットワーク上にリソースを展開することができる。ＣＳＰＩによってクラウド上でホストされている顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、顧客用に割り当てられたＣＳＰＩリソースを使用して、１つ以上の仮想クラウドネットワーク（ＶＣＮ）を構成することができる。ＶＣＮとは、仮想またはソフトウェア定義のプライベートネットワークである。顧客のＶＣＮに配備された顧客リソースは、計算インスタンス（例えば、仮想マシン、ベアメタルインスタンス）および他のリソースを含むことができる。これらの計算インスタンスは、アプリケーション、ロードバランサ、データベースなどの様々な顧客作業負荷を表してもよい。ＶＣＮ上に配備された計算インスタンスは、インターネットなどのパブリックネットワークを介して公的にアクセス可能なエンドポイント（パブリックエンドポイント）と通信することができ、同じＶＣＮまたは他のＶＣＮ（例えば、顧客の他のＶＣＮ、または顧客に属さないＶＣＮ）内の他のインスタンスと通信することができ、顧客オンプレミスデータセンタまたはネットワークと通信することができ、サービスエンドポイントと通信することができ、および他の種類のエンドポイントと通信することができる。

ＣＳＰは、ＣＳＰＩを用いて様々なサービスを提供することができる。場合によっては、ＣＳＰＩの顧客自身は、サービスプロバイダのように振る舞い、ＣＳＰＩリソースを使用してサービスを提供することができる。サービスプロバイダは、識別情報（例えば、ＩＰアドレス、ＤＮＳ名およびポート）によって特徴付けられるサービスエンドポイントを公開することができる。顧客のリソース（例えば、計算インスタンス）は、サービスによって公開されたその特定のサービスのサービスエンドポイントにアクセスすることによって、特定のサービスを消費することができる。これらのサービスエンドポイントは、一般的に、ユーザがエンドポイントに関連付けられたパブリックＩＰアドレスを使用して、インターネットなどのパブリック通信ネットワークを介して公的にアクセス可能なエンドポイントである。公的にアクセス可能なネットワークエンドポイントは、パブリックエンドポイントと呼ばれることもある。

特定の実施形態において、サービスプロバイダは、（サービスエンドポイントと呼ばれることもある）サービスのエンドポイントを介してサービスを公開することができる。サービスの顧客は、このサービスエンドポイントを使用してサービスにアクセスすることができる。特定の実施形態において、サービスのために提供されたサービスエンドポイントは、そのサービスを消費しようとする複数の顧客によってアクセスすることができる。他の実装形態において、専用のサービスエンドポイントを顧客に提供してもよい。したがって、その顧客のみは、その専用サービスエンドポイントを使用してサービスにアクセスすることができる。

特定の実施形態において、ＶＣＮは、作成されると、そのＶＣＮに割り当てられたプライベートオーバーレイＩＰアドレス範囲（例えば、１０．０／１６）であるプライベートオーバーレイクラスレスドメイン間ルーティング（Classless Inter－Domain Routing：ＣＩＤＲ）アドレス空間に関連付けられる。ＶＣＮは、関連するサブネット、ルートテーブル、およびゲートウェイを含む。ＶＣＮは、単一の地域内に存在するが、地域の１つ以上または全ての利用可能なドメインに拡張することができる。ゲートウェイは、ＶＣＮ用に構成され、ＶＣＮとＶＣＮ外部の１つ以上のエンドポイントとの間のトラフィック通信を可能にする仮想インターフェイスである。ＶＣＮの１つ以上の異なる種類のゲートウェイを構成することによって、異なる種類のエンドポイント間の通信を可能にすることができる。

ＶＣＮは、１つ以上のサブネットなどの１つ以上のサブネットワークに細分化されてもよい。したがって、サブネットは、ＶＣＮ内で作成され得る構成単位または区画である。ＶＣＮは、１つ以上のサブネットを持つことができる。ＶＣＮ内の各サブネットは、当該ＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間のアドレス空間サブセットを表すオーバーレイＩＰアドレス（例えば、１０．０．０．０／２４および１０．０．１．０／２４）の連続範囲に関連付けられる。

各計算インスタンスは、仮想ネットワークインターフェイスカード（ＶＮＩＣ）に関連付けられる。これによって、各計算インスタンスは、ＶＣＮのサブネットに参加することができる。ＶＮＩＣは、物理ネットワークインターフェイスカード（ＮＩＣ）の論理表現である。一般的に、ＶＮＩＣは、エンティティ（例えば、計算インスタンス、サービス）と仮想ネットワークとの間のインターフェイスである。ＶＮＩＣは、サブネットに存在し、１つ以上の関連するＩＰアドレスと、関連するセキュリティルールまたはポリシーとを有する。ＶＮＩＣは、スイッチ上のレイヤ２ポートに相当する。ＶＮＩＣは、計算インスタンスと、ＶＣＮ内のサブネットとに接続されている。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスがＶＣＮのサブネットの一部であることを可能にし、計算インスタンスが、計算インスタンスと同じサブネット上にあるエンドポイントと、ＶＣＮ内の異なるサブネット内のエンドポイントと、またはＶＣＮ外部のエンドポイントと通信する（例えば、パケットを送信および受信する）ことを可能にする。したがって、計算インスタンスに関連するＶＮＩＣは、計算インスタンスがＶＣＮの内部および外部のエンドポイントとどのように接続しているかを判断する。計算インスタンスのＶＮＩＣは、計算インスタンスが作成され、ＶＣＮ内のサブネットに追加されるときに作成され、その計算インスタンスに関連付けられる。サブネットは、計算インスタンスのセットからなる場合、計算インスタンスのセットに対応するＶＮＩＣを含み、各ＶＮＩＣは、コンピュータインスタンスのセット内の計算インスタンスに接続されている。

計算インスタンスに関連するＶＮＩＣを介して、各計算インスタンスにはプライベートオーバーレイＩＰアドレスが割り当てられる。このプライベートオーバーレイＩＰアドレスは、計算インスタンスの作成時に計算インスタンスに関連するＶＮＩＣに割り当てられ、計算インスタンスのトラフィックをルーティングするために使用される。特定のサブネット内の全てのＶＮＩＣは、同じルートテーブル、セキュリティリスト、およびＤＨＣＰオプションを使用する。上述したように、ＶＣＮ内の各サブネットは、当該ＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間のアドレス空間サブセットを表すオーバーレイＩＰアドレス（例えば、１０．０．０．０／２４および１０．０．１．０／２４）の連続範囲に関連付けられる。ＶＣＮの特定のサブネット上のＶＮＩＣの場合、ＶＮＩＣに割り当てられたオーバーレイＩＰアドレスは、サブネットに割り当てられたオーバーレイＩＰアドレスの連続範囲からのアドレスである。

特定の実施形態において、必要に応じて、計算インスタンスには、プライベートオーバーレイＩＰアドレスに加えて、追加のオーバーレイＩＰアドレス、例えば、パブリックサブネットの場合に１つ以上のパブリックＩＰアドレスを割り当てることができる。これらの複数のアドレスは、同じＶＮＩＣ、または計算インスタンスに関連付けられた複数のＶＮＩＣに割り当てられる。しかしながら、各インスタンスは、インスタンス起動時に作成され、インスタンスに割り当てられたオーバーレイプライベートＩＰアドレスに関連付けられたプライマリＶＮＩＣを有する。このプライマリＶＮＩＣは、削除することができない。セカンダリＶＮＩＣと呼ばれる追加のＶＮＩＣは、プライマリＶＮＩＣと同じ利用可能なドメイン内の既存のインスタンスに追加することができる。全てのＶＮＩＣは、インスタンスと同じ利用可能なドメインにある。セカンダリＶＮＩＣは、プライマリＶＮＩＣと同じＶＣＮのサブネットにあってもよく、または同じＶＣＮまたは異なるＶＣＮの異なるサブネットにあってもよい。

計算インスタンスは、パブリックサブネットにある場合、オプションでパブリックＩＰアドレスを割り当てられることができる。サブネットを作成するときに、当該サブネットをパブリックサブネットまたはプライベートサブネットのいずれかとして指定することができる。プライベートサブネットとは、当該サブネット内のリソース（例えば、計算インスタンス）および関連するＶＮＩＣがパブリックオーバーレイＩＰアドレスを持つことができないことを意味する。パブリックサブネットとは、サブネット内のリソースおよび関連するＶＮＩＣがパブリックＩＰアドレスを持つことができることを意味する。顧客は、地域またはレルム内の単一の利用可能なドメインまたは複数の利用可能なドメインにわたって存在するサブネットを指定することができる。

上述したように、ＶＣＮは、１つ以上のサブネットに細分化されてもよい。特定の実施形態において、ＶＣＮのために構成された仮想ルータ（ＶＣＮＶＲまたは単にＶＲと呼ばれる）は、ＶＣＮのサブネット間の通信を可能にする。ＶＣＮ内のサブネットの場合、ＶＲは、サブネット（すなわち、当該サブネット上の計算インスタンス）と、ＶＣＮ内部の他のサブネット上のエンドポイントおよびＶＣＮ外部の別のエンドポイントとの通信を可能にする当該サブネットの論理ゲートウェイを表す。ＶＣＮＶＲは、ＶＣＮ内のＶＮＩＣと、ＶＣＮに関連する仮想ゲートウェイ（ゲートウェイ）との間のトラフィックをルーティングするように構成された論理エンティティである。ゲートウェイは、図１に関して以下でさらに説明される。ＶＣＮＶＲは、レイヤ３／ＩＰレイヤの概念である。一実施形態において、１つのＶＣＮに対して１つのＶＣＮＶＲが存在する。このＶＣＮＶＲは、ＩＰアドレスによってアドレス指定された無制限の数のポートを潜在的に有し、ＶＣＮの各サブネットに対して１つのポートを有する。このようにして、ＶＣＮＶＲは、ＶＣＮＶＲが接続されているＶＣＮの各サブネットに対して異なるＩＰアドレスを有する。また、ＶＲは、ＶＣＮのために構成された様々なゲートウェイに接続されている。特定の実施形態において、サブネットのオーバーレイＩＰアドレス範囲からの特定のオーバーレイＩＰアドレスは、そのサブネットのＶＣＮＶＲのポートに保留される。例えば、関連するアドレス範囲１０．０／１６および１０．１／１６を各々有する２つのサブネットを有するＶＣＮを考える。アドレス範囲１０．０／１６を有するＶＣＮの第１のサブネットの場合、この範囲からのアドレスは、そのサブネットのＶＣＮＶＲのポートに保留される。場合によっては、この範囲からの第１のＩＰアドレスは、ＶＣＮＶＲに保留されてもよい。例えば、オーバーレイＩＰアドレス範囲１０．０／１６を有するサブネットの場合、ＩＰアドレス１０．０．０．１は、そのサブネットのＶＣＮＶＲのポートに保留されてもよい。同じＶＣＮ内のアドレス範囲１０．１／１６を有する第２のサブネットの場合、ＶＣＮＶＲは、ＩＰアドレス１０．１．０．１を有する第２のサブネットのポートを有してもよい。ＶＣＮＶＲは、ＶＣＮ内の各サブネットに対して異なるＩＰアドレスを有する。

いくつかの他の実施形態において、ＶＣＮ内の各サブネットは、ＶＲに関連付けられた保留またはデフォルトＩＰアドレスを使用してサブネットによってアドレス指定可能な、それ自身に関連するＶＲを有してもよい。保留またはデフォルトＩＰアドレスは、例えば、そのサブネットに関連付けられたＩＰアドレスの範囲からの第１のＩＰアドレスであってもよい。サブネット内のＶＮＩＣは、このデフォルトまたは保留ＩＰアドレスを使用して、サブネットに関連付けられたＶＲと通信（例えば、パケットを送信および受信）することができる。このような実施形態において、ＶＲは、そのサブネットの着信／送信ポイントである。ＶＣＮ内のサブネットに関連付けられたＶＲは、ＶＣＮ内の他のサブネットに関連付けられた他のＶＲと通信することができる。また、ＶＲは、ＶＣＮに関連付けられたゲートウェイと通信することができる。サブネットのＶＲ機能は、サブネット内のＶＮＩＣのＶＮＩＣ機能を実行する１つ以上のＮＶＤ上で実行され、またはそれによって実行される。

ルートテーブル、セキュリティルール、およびＤＨＣＰオプションは、ＶＣＮのために構成されてもよい。ルートテーブルは、ＶＣＮの仮想ルートテーブルであり、ゲートウェイまたは特別に構成されたインスタンスを経由して、トラフィックをＶＣＮ内部のサブネットからＶＣＮ外部の宛先にルーティングするためのルールを含む。ＶＣＮとの間でパケットの転送/ルーティングを制御するために、ＶＣＮのルートテーブルをカスタマイズすることができる。ＤＨＣＰオプションは、インスタンスの起動時にインスタンスに自動的に提供される構成情報を指す。

ＶＣＮのために構成されたセキュリティルールは、ＶＣＮのオーバーレイファイアウォールルールを表す。セキュリティルールは、受信ルールおよび送信ルールを含むことができ、（例えば、プロトコルおよびポートに基づいて）ＶＣＮ内のインスタンスに出入りすることを許可されるトラフィックの種類を指定することができる。顧客は、特定の規則をステートフルまたはステートレスにするかを選択することができる。例えば、顧客は、ソースＣＩＤＲ０．０．０．０／０および宛先ＴＣＰポート２２を含むステートフル受信ルールを設定することによって、任意の場所から１組のインスタンスへの着信ＳＳＨトラフィックを許可することができる。セキュリティルールは、ネットワークセキュリティグループまたはセキュリティリストを使用して実装されてもよい。ネットワークセキュリティグループは、そのグループ内のリソースのみに適用されるセキュリティルールのセットからなる。一方、セキュリティリストは、そのセキュリティリストを使用するサブネット内の全てのリソースに適用されるルールを含む。ＶＣＮは、デフォルトセキュリティルールとデフォルトセキュリティリストを含んでもよい。ＶＣＮのために構成されたＤＨＣＰオプションは、ＶＣＮ内のインスタンスが起動するときに自動的に提供される構成情報を提供する。

特定の実施形態において、ＶＣＮの構成情報は、ＶＣＮ制御プレーンによって決定され、記憶される。ＶＣＮの構成情報は、例えば、ＶＣＮに関連するアドレス範囲、ＶＣＮ内のサブネットおよび関連情報、ＶＣＮに関連する１つ以上のＶＲ、ＶＣＮ内の計算インスタンスおよび関連ＶＮＩＣ、ＶＣＮに関連する種々の仮想化ネットワーク機能（例えば、ＶＮＩＣ、ＶＲ、ゲートウェイ）を実行するＮＶＤ、ＶＣＮの状態情報、および他のＶＣＮ関連情報を含んでもよい。特定の実施形態において、ＶＣＮ配信サービスは、ＶＣＮ制御プレーンによって記憶された構成情報またはその一部をＮＶＤに公開する。配信された情報を用いて、ＮＶＤによって記憶および使用される情報（例えば、転送テーブル、ルーティングテーブルなど）を更新することによって、ＶＣＮ内の計算インスタンスとの間でパケットを転送することができる。

特定の実施形態において、ＶＣＮおよびサブネットの作成は、ＶＣＮ制御プレーン（ＣＰ）によって処理され、計算インスタンスの起動は、計算制御プレーンによって処理される。計算制御プレーンは、計算インスタンスの物理リソースを割り当て、次にＶＣＮ制御プレーンを呼び出して、ＶＮＩＣを作成し、計算インスタンスに接続するように構成される。また、ＶＣＮＣＰは、パケットの転送およびルーティング機能を実行するように構成されたＶＣＮデータプレーンに、ＶＣＮデータマッピングを送信する。特定の実施形態において、ＶＣＮＣＰは、更新をＶＣＮデータプレーンに提供するように構成された配信サービスを提供する。ＶＣＮ制御プレーンの例は、図２４、２５、２６、および２７（参照番号２４１６、２５１６、２６１６、および２７１６を参照）に示され、以下に説明される。

顧客は、ＣＳＰＩによってホストされているリソースを用いて、１つ以上のＶＣＮを作成することができる。顧客ＶＣＮ上に展開された計算インスタンスは、異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩによってホストされているエンドポイントおよびＣＳＰＬ外部のエンドポイントを含むことができる。

ＣＳＰＩを用いてクラウドベースのサービスを実装するための様々な異なるアーキテクチャは、図１、２、３、４、５、２４、２５、２６、および２８に示され、以下に説明される。図１は、特定の実施形態に従って、ＣＳＰＩによってホストされているオーバーレイＶＣＮまたは顧客ＶＣＮを示す分散環境１００のハイレベル図である。図１に示された分散環境は、オーバーレイネットワーク内の複数の要素を含む。図１に示された分散環境１００は、単なる例であり、特許請求された実施形態の範囲を不当に限定することを意図していない。多くの変形例、代替例、および修正例が可能である。例えば、いくつかの実装形態において、図１に示された分散環境は、図１に示されたものより多いまたは少ないシステムまたは要素を有してもよく、２つ以上のシステムを組み合わせてもよく、または異なるシステムの構成または配置を有してもよい。

図１の例に示されるように、分散環境１００は、顧客が加入して仮想クラウドネットワーク（ＶＣＮ）を構築するために使用することができるサービスおよびリソースを提供するＣＳＰＩ１０１を含む。特定の実施形態において、ＣＳＰＩ１０１は、加入顧客にＩａａＳサービスを提供する。ＣＳＰＩ１０１内のデータセンタは、１つ以上の地域に編成されてもよい。図１は、地域の一例である「ＵＳ地域」１０２を示す。顧客は、地域１０２に対して顧客ＶＣＮ１０４を構成している。顧客は、ＶＣＮ１０４上に様々な計算インスタンスを展開することができ、計算インスタンスは、仮想マシンまたはベアメタルインスタンスを含むことができる。インスタンスの例は、アプリケーション、データベース、ロードバランサなどを含む。

図１に示された実施形態において、顧客ＶＣＮ１０４は、２つのサブネット、すなわち、「サブネット－１」および「サブネット－２」を含み、各サブネットは、各自のＣＩＤＲＩＰアドレス範囲を有する。図１において、サブネット－１のオーバーレイＩＰアドレス範囲は、１０．０／１６であり、サブネット－２のアドレス範囲は、１０．１／１６である。ＶＣＮ仮想ルータ１０５は、ＶＣＮ１０４のサブネット間の通信およびＶＣＮ外部の別のエンドポイントとの通信を可能にするＶＣＮの論理ゲートウェイを表す。ＶＣＮＶＲ１０５は、ＶＣＮ１０４内のＶＮＩＣとＶＣＮ１０４に関連するゲートウェイとの間でトラフィックをルーティングするように構成される。ＶＣＮＶＲ１０５は、ＶＣＮ１０４の各サブネットにポートを提供する。例えば、ＶＲ１０５は、ＩＰアドレス１０．０．０．１を有するポートをサブネット－１に提供することができ、ＩＰアドレス１０．１．０．１を有するポートをサブネット－２に提供することができる。

各サブネット上に複数の計算インスタンスを展開することができる。この場合、計算インスタンスは、仮想マシンインスタンスおよび／またはベアメタルインスタンスであってもよい。サブネット内の計算インスタンスは、ＣＳＰＩ１０１内の１つ以上のホストマシンによってホストされてもよい。計算インスタンスは、当該計算インスタンスに関連するＶＮＩＣを介してサブネットに参加する。例えば、図１に示すように、計算インスタンスＣ１は、当該計算インスタンスに関連するＶＮＩＣを介したサブネット－１の一部である。同様に、計算インスタンスＣ２は、Ｃ２に関連するＶＮＩＣを介したサブネット－１の一部である。同様に、仮想マシンインスタンスまたはベアメタルインスタンスであり得る複数の計算インスタンスは、サブネット－１の一部であってもよい。各計算インスタンスには、関連するＶＮＩＣを介して、プライベートオーバーレイＩＰアドレスおよび媒体アクセス制御アドレス（ＭＡＣアドレス）が割り当てられる。例えば、図１において、計算インスタンスＣ１は、オーバーレイＩＰアドレス１０．０．０．２およびＭＡＣアドレスＭ１を有し、計算インスタンスＣ２は、プライベートオーバーレイＩＰアドレス１０．０．０．３およびＭＡＣアドレスＭ２を有する。計算インスタンスＣ１およびＣ２を含むサブネット－１内の各計算インスタンスは、サブネット－１のＶＣＮＶＲ１０５のポートのＩＰアドレスであるＩＰアドレス１０．０．０．１を使用して、ＶＣＮＶＲ１０５へのデフォルトルートを有する。

サブネット－２には、仮想マシンインスタンスおよび／またはベアメタルインスタンスを含む複数の計算インスタンスを展開することができる。例えば、図１に示すように、計算インスタンスＤｌおよびＤ２は、それぞれの計算インスタンスに関連するＶＮＩＣを介したサブネット－２の一部である。図１に示す実施形態において、計算インスタンスＤ１は、オーバーレイＩＰアドレス１０．１．０．２およびＭＡＣアドレスＭＭ１を有し、計算インスタンスＤ２は、プライベートオーバーレイＩＰアドレス１０．１．０．３およびＭＡＣアドレスＭＭ２を有する。計算インスタンスＤ１およびＤ２を含むサブネット－２内の各計算インスタンスは、サブネット－２のＶＣＮＶＲ１０５のポートのＩＰアドレスであるＩＰアドレス１０．１．０．１を使用して、ＶＣＮＶＲ１０５へのデフォルトルートを有する。

また、ＶＣＮＡ１０４は、１つ以上のロードバランサを含んでもよい。例えば、ロードバランサは、サブネットに対して提供されてもよく、サブネット上の複数の計算インスタンス間でトラフィックをロードバランスするように構成されてもよい。また、ロードバランサは、ＶＣＮ内のサブネット間でトラフィックをロードバランスするように提供されてもよい。

ＶＣＮ１０４上に展開された特定の計算インスタンスは、様々な異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ２００によってホストされているエンドポイントと、ＣＳＰＩ２００外部のエンドポイントとを含んでもよい。ＣＳＰＩ１０１によってホストされているエンドポイントは、特定の計算インスタンスと同じサブネット上のエンドポイント（例えば、サブネット－１の２つの計算インスタンス間の通信）、異なるサブネットにあるが同じＶＣＮ内のエンドポイント（例えば、サブネット－１の計算インスタンスとサブネット－２の計算インスタンスとの間の通信）、同じ地域の異なるＶＣＮ内のエンドポイント（例えば、サブネット－１の計算インスタンスと、同じ地域１０６または１１０のＶＣＮ内のエンドポイントとの間の通信、サブネット－１内の計算インスタンスと、同じ地域のサービスネットワーク１１０内のエンドポイントとの間の通信）、または異なる地域のＶＣＮ内のエンドポイント（例えば、サブネット－１の計算インスタンスと、異なる地域１０８のＶＣＮ内のエンドポイントとの間の通信）を含んでもよい。また、ＣＳＰＩ１０１によってホストされているサブネット内の計算インスタンスは、ＣＳＰＩ１０１によってホストされていない（すなわち、ＣＳＰＩ１０１の外部にある）エンドポイントと通信することができる。これらの外部のエンドポイントは、顧客オンプレミスネットワーク１１６内のエンドポイント、他のリモートクラウドホストネットワーク１１８内のエンドポイント、インターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１１４、および別のエンドポイントを含む。

同じサブネット上の計算インスタンス間の通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣを使用して促進される。例えば、サブネット－１内の計算インスタンスＣ１は、サブネット－１内の計算インスタンスＣ２にパケットを送信したいことがある。ソース計算インスタンスから送信され、その宛先が同じサブネット内の別の計算インスタンスであるパケットの場合、このパケットは、まず、ソース計算インスタンスに関連するＶＮＩＣによって処理される。ソース計算インスタンスに関連するＶＮＩＣによって実行される処理は、パケットヘッダからパケットの宛先情報を決定することと、ソース計算インスタンスに関連するＶＮＩＣに対して構成された任意のポリシー（例えば、セキュリティリスト）を特定することと、パケットのネクストホップ（next hop）を決定することと、必要に応じて任意のパケットのカプセル化／デカプセル化機能を実行することと、パケットの意図した宛先への通信を容易にするためにパケットをネクストホップに転送／ルーティングすることとを含んでもよい。宛先計算インスタンスがソース計算インスタンスと同じサブネットにある場合、ソース計算インスタンスに関連するＶＮＩＣは、宛先計算インスタンスに関連するＶＮＩＣを特定し、処理するためのパケットをそのＶＮＩＣに転送するように構成されている。次いで、宛先計算インスタンスに関連するＶＮＩＣは、実行され、パケットを宛先計算インスタンスに転送する。

サブネット内の計算インスタンスから同じＶＣＮの異なるサブネット内のエンドポイントにパケットを通信する場合、通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣと、ＶＣＮＶＲとによって促進される。例えば、図１のサブネット－１の計算インスタンスＣ１がサブネット－２の計算インスタンスＤ１にパケットを送信したい場合、パケットは、まず、計算インスタンスＣ１に関連するＶＮＩＣによって処理される。計算インスタンスＣ１に関連するＶＮＩＣは、ＶＣＮＶＲのデフォルトルートまたはポート１０．０．０．１を使用して、パケットをＶＣＮＶＲ１０５にルーティングするように構成されている。ＶＣＮＶＲ１０５は、ポート１０．１．０．１を使用してパケットをサブネット－２にルーティングするように構成されている。その後、パケットは、Ｄ１に関連するＶＮＩＣによって受信および処理され、ＶＮＩＣは、パケットを計算インスタンスＤ１に転送する。

ＶＣＮ１０４内の計算インスタンスからＶＣＮ１０４の外部のエンドポイントにパケットを通信するために、通信は、ソース計算インスタンスに関連するＶＮＩＣ、ＶＣＮＶＲ１０５、およびＶＣＮ１０４に関連するゲートウェイによって促進される。１つ以上の種類のゲートウェイをＶＣＮ１０４に関連付けることができる。ゲートウェイは、ＶＣＮと別のエンドポイントとの間のインターフェイスであり、別のエンドポイントは、ＶＣＮの外部にある。ゲートウェイは、レイヤ３／ＩＰレイヤ概念であり、ＶＣＮとＶＣＮの外部のエンドポイントとの通信を可能にする。したがって、ゲートウェイは、ＶＣＮと他のＶＣＮまたはネットワークとの間のトラフィックフローを容易にする。異なる種類のエンドポイントとの異なる種類の通信を容易にするために、様々な異なる種類のゲートウェイをＶＣＮに設定することができる。ゲートウェイによって、通信は、パブリックネットワーク（例えば、インターネット）またはプライベートネットワークを介して行われてもよい。これらの通信には、様々な通信プロトコルを使用してもよい。

例えば、計算インスタンスＣ１は、ＶＣＮ１０４の外部のエンドポイントと通信したい場合がある。パケットは、まず、ソース計算インスタンスＣ１に関連するＶＮＩＣによって処理されてもよい。ＶＮＩＣ処理は、パケットの宛先がＣｌのサブネット－１の外部にあると判断する。Ｃ１に関連するＶＮＩＣは、パケットをＶＣＮ１０４のＶＣＮＶＲ１０５に転送することができる。次いで、ＶＣＮＶＲ１０５は、パケットを処理し、処理の一部として、パケットの宛先に基づいて、ＶＣＮ１０４に関連する特定のゲートウェイをパケットのネクストホップとして決定する。その後、ＶＣＮＶＲ１０５は、パケットを特定のゲートウェイに転送することができる。例えば、宛先が顧客のオペプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮＶＲ１０５によって、ＶＣＮ１０４のために構成された動的ルーティングゲートウェイ（ＤＲＧ）１２２に転送されてもよい。その後、パケットは、ゲートウェイからネクストホップに転送され、意図した最終の宛先へのパケットの通信を容易にすることができる。

ＶＣＮのために様々な異なる種類のゲートウェイを構成してもよい。ＶＣＮのために構成され得るゲートウェイの例は、図１に示され、以下に説明される。ＶＣＮに関連するゲートウェイの例は、図２４、２５、２６、および２７（例えば、参照番号２４３４、２４３６、２４３８、２５３４、２５３６、２５３８、２６３４、２６３６、２６３８、２７３４、２７３６、および２７３８によって示されたゲートウェイ）にも示され、以下に説明される。図１に示された実施形態に示されるように、動的ルーティングゲートウェイ（ＤＲＧ）１２２は、顧客ＶＣＮ１０４に追加されてもよく、またはそれに関連付けられてもよい。ＤＲＧ１２２は、顧客ＶＣＮ１０４と別のエンドポイントとの間のプライベートネットワークトラフィック通信を行うための経路を提供する。別のエンドポイントは、顧客オンプレミスネットワーク１１６、ＣＳＰＩ１０１の異なる地域内のＶＣＮ１０８、またはＣＳＰＩ１０１によってホストされていない他のリモートクラウドネットワーク１１８であってもよい。顧客オンプレミスネットワーク１１６は、顧客のリソースを用いて構築された顧客ネットワークまたは顧客データセンタであってもよい。顧客オンプレミスネットワーク１１６へのアクセスは、一般的に厳しく制限される。顧客オンプレミスネットワーク１１６と、ＣＳＰＩ１０１によってクラウドに展開またはホストされる１つ以上のＶＣＮ１０４との両方を有する顧客の場合、顧客は、オンプレミスネットワーク１１６およびクラウドベースのＶＣＮ１０４が互いに通信できることを望む場合がある。これによって、顧客は、ＣＳＰＩ１０１によってホストされている顧客のＶＣＮ１０４とオンプレミスネットワーク１１６とを含む拡張ハイブリッド環境を構築することができる。ＤＲＧ１２２は、このような通信を可能にする。このような通信を可能にするために、通信チャネル１２４が設定される。この場合、通信チャネルの一方のエンドポイントは、顧客オンプレミスネットワーク１１６に配置され、他方のエンドポイントは、ＣＳＰＩ１０１に配置され、顧客ＶＣＮ１０４に接続されている。通信チャネル１２４は、インターネットなどのパブリック通信ネットワーク、またはプライベート通信ネットワークを経由することができる。インターネットなどのパブリック通信ネットワーク上のＩＰｓｅｃＶＰＮ技術、パブリックネットワークの代わりにプライベートネットワークを使用するオラクル（登録商標）のFastConnect技術などの様々な異なる通信プロトコルを使用することができる。通信チャネル１２４の１つのエンドポイントを形成する顧客オンプレミスネットワーク１１６内の装置または機器は、図１に示されたＣＰＥ１２６などの顧客構内機器（ＣＰＥ）と呼ばれる。ＣＳＰＩ１０１側のエンドポイントは、ＤＲＧ１２２を実行するホストマシンであってもよい。

特定の実施形態において、リモートピアリング接続（ＲＰＣ）をＤＲＧに追加することができる。これによって、顧客は、１つのＶＣＮを別の地域内の別のＶＣＮとピアリングすることができる。このようなＲＰＣを使用して、顧客ＶＣＮ１０４は、ＤＲＧ１２２を使用して、別の地域内のＶＣＮ１０８に接続することができる。また、ＤＲＧ１２２は、ＣＳＰＩ１０１によってホストされていない他のリモートクラウドネットワーク１１８、例えば、マイクロソフト（登録商標）Azureクラウド、アマゾン（登録商標）ＡＷＳクラウドと通信するために使用されてもよい。

図１に示すように、顧客ＶＣＮ１０４上の計算インスタンスがインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１１４と通信することを可能にするように、顧客ＶＣＮ１０４にインターネットゲートウェイ（ＩＧＷ）１２０を構成することができる。ＩＧＷ１２０は、ＶＣＮをインターネットなどのパブリックネットワークに接続するためのゲートウェイである。ＩＧＷ１２０は、ＶＣＮ１０４などのＶＣＮ内のパブリックサブネット（パブリックサブネット内のリソースは、パブリックオーバーレイＩＰアドレスを有する）がインターネットなどのパブリックネットワーク１１４上のパブリックエンドポイント１１２に直接アクセスすることを可能にする。ＩＧＷ１２０を使用して、ＶＣＮ１０４内のサブネットからまたはインターネットからの接続を開始することができる。

顧客ＶＣＮ１０４にネットワークアドレス変換（ＮＡＴ）ゲートウェイ１２８を構成することができる。ＮＡＴゲートウェイ１２８は、顧客ＶＣＮ内の専用のパブリックオーバーレイＩＰアドレスを有しないクラウドリソースを、直接着信インターネット接続（例えば、Ｌ４－Ｌ７接続）に曝すことなくインターネットにアクセスすることを可能にする。これによって、ＶＣＮ１０４のプライベートサブネット－１などのＶＣＮ内のプライベートサブネットがインターネット上のパブリックエンドポイントにプライベートアクセスすることを可能にする。ＮＡＴゲートウェイにおいて、プライベートサブネットからパブリックインターネットに接続を開始することができるが、インターネットからプライベートサブネットに接続を開始することができない。

特定の実施形態において、顧客ＶＣＮ１０４にサービスゲートウェイ（ＳＧＷ）１２６を構成することができる。ＳＧＷ１２６は、ＶＣＮ１０４とサービスネットワーク１１０にサポートされているサービスエンドポイントとの間のプライベートネットワークトラフィックの経路を提供する。特定の実施形態において、サービスネットワーク１１０は、ＣＳＰによって提供されてもよく、様々なサービスを提供することができる。このようなサービスネットワークの例は、顧客が使用できる様々なサービスを提供するオラクル（登録商標）サービスネットワークである。例えば、顧客ＶＣＮ１０４のプライベートサブネット内の計算インスタンス（例えば、データベースシステム）は、パブリックＩＰアドレスまたはインターネットへのアクセスを必要とすることなく、サービスエンドポイント（例えば、オブジェクト記憶装置）にデータをバックアップすることができる。いくつかの実施形態において、ＶＣＮは、１つのみのＳＧＷを有することができ、ＶＣＮ内のサブネットのみから接続を開始することができ、サービスネットワーク１１０から接続を開始することができない。ＶＣＮを他のＶＣＮにピアリングする場合、他のＶＣＮ内のリソースは、通常ＳＧＷにアクセスすることができない。FastConnectまたはVPN ConnectでＶＣＮに接続されているオンプレミスネットワーク内のリソースも、そのＶＣＮに構成されたサービスゲートウェイを使用することができる。

いくつかの実装形態において、ＳＧＷ１２６は、サービスクラスレスドメイン間ルーティング（ＣＩＤＲ）ラベルを使用する。ＣＩＤＲラベルは、関心のあるサービスまたはサービスのグループに対する全ての地域公開ＩＰアドレス範囲を表す文字列である。顧客は、ＳＧＷおよび関連するルーティングルールを設定する際に、サービスＣＩＤＲラベルを使用してサービスへのトラフィックを制御する。顧客は、サービスのパブリックＩＰアドレスが将来に変化する場合、セキュリティルールを調整する必要なく、セキュリティルールを設定するときにオプションとしてサービスＣＩＤＲラベルを使用することができる。

ローカルピアリングゲートウェイ（ＬＰＧ）１３２は、顧客ＶＣＮ１０４に追加可能なゲートウェイであり、ＶＣＮ１０４が同じ地域内の別のＶＣＮとピアリングすることを可能にするものである。ピアリングとは、トラフィックがインターネットなどのパブリックネットワークを経由することなく、または顧客オンプレミスネットワーク１１６を通してトラフィックをルーティングすることなく、ＶＣＮがプライベートＩＰアドレスを使用して通信することを意味する。好ましい実施形態において、ＶＣＮは、確立した各ピアリングに対して個別のＬＰＧを有する。ローカルピアリングまたはＶＣＮピアリングは、異なるアプリケーション間またはインフラストラクチャ管理機能間のネットワーク接続を確立するために使用される一般的な慣行である。

サービスネットワーク１１０のサービスのプロバイダなどのサービスプロバイダは、異なるアクセスモデルを使用してサービスへのアクセスを提供することができる。パブリックアクセスモデルによれば、サービスは、インターネットなどのパブリックネットワークを介して顧客ＶＣＮ内の計算インスタンスによって公的にアクセス可能なパブリックエンドポイントとして公開されてもよく、またはＳＧＷ１２６を介してプライベートにアクセスされてもよい。特定のプライベートアクセスモデルによれば、サービスは、顧客ＶＣＮ内のプライベートサブネット内のプライベートＩＰエンドポイントとしてアクセスされてもよい。これは、プライベートエンドポイント（ＰＥ）アクセスと呼ばれ、サービスプロバイダがそのサービスを顧客のプライベートネットワーク内のインスタンスとして公開することを可能にする。プライベートエンドポイントリソースは、顧客ＶＣＮ内のサービスを表す。各ＰＥは、顧客が顧客ＶＣＮ内のサブネットから選択したＶＮＩＣ（ＰＥ－ＶＮＩＣと呼ばれ、１つまたは複数のプライベートＩＰを持つ）として現れる。従って、ＰＥは、ＶＮＩＣを使用して顧客のプライベートＶＣＮサブネット内でサービスを提供する方法を提供する。エンドポイントがＶＮＩＣとして公開されるため、ＰＥＶＮＩＣは、ＶＮＩＣに関連する全ての機能、例えば、ルーティングルールおよびセキュリティリストなどを利用することができる。

サービスプロバイダは、サービスを登録することによって、ＰＥを介したアクセスを可能にする。プロバイダは、顧客テナントへのサービスの表示を規制するポリシーをサービスに関連付けることができる。プロバイダは、特にマルチテナントサービスの場合、単一の仮想ＩＰアドレス（ＶＩＰ）の下に複数のサービスを登録することができる。（複数のＶＣＮにおいて）同じサービスを表すプライベートエンドポイントが複数存在する場合もある。

その後、プライベートサブネット内の計算インスタンスは、ＰＥＶＮＩＣのプライベートＩＰアドレスまたはサービスＤＮＳ名を用いて、サービスにアクセスすることができる。顧客ＶＣＮ内の計算インスタンスは、顧客ＶＣＮ内のＰＥのプライベートＩＰアドレスにトラフィックを送信することによって、サービスにアクセスすることができる。プライベートアクセスゲートウェイ（ＰＡＧＷ）１３０は、顧客サブネットプライベートエンドポイントから／への全てのトラフィックの受信ポイント／送信ポイントとして機能するサービスプロバイダＶＣＮ（例えば、サービスネットワーク１１０内のＶＣＮ）に接続できるゲートウェイリソースである。ＰＡＧＷ１３０によって、プロバイダは、内部ＩＰアドレスリソースを利用することなく、ＰＥ接続の数を拡張することができる。プロバイダは、単一のＶＣＮに登録された任意の数のサービスに対して１つのＰＡＧＷを設定するだけでよい。プロバイダは、１人以上の顧客の複数のＶＣＮにおいて、サービスをプライバシーエンドポイントとして示すことができる。顧客の観点から、ＰＥＶＮＩＣは、顧客のインスタンスに接続されているのではなく、顧客が対話したいサービスに接続されているように見える。プライベートエンドポイントに向けられたトラフィックは、ＰＡＧＷ１３０を介してサービスにルーティングされる。これらは、顧客対サービスプライベート接続（Ｃ２Ｓ接続）と呼ばれる。

また、ＰＥ概念を用いて、トラフィックがFastConnect/IPsecリンクおよび顧客ＶＣＮ内のプライベートエンドポイントを通って流れることを可能にすることで、サービスのプライベートアクセスを顧客オンプレミスネットワークおよびデータセンタに拡張することもできる。また、トラフィックがＬＰＧ１３２および顧客ＶＣＮ内のＰＥ間を通って流れることを可能にすることで、サービスのプライベートアクセスを顧客ピアリングＶＣＮに拡張することもできる。

顧客は、サブネットレベルでＶＣＮのルーティングを制御することができるため、ＶＣＮ１０４などの顧客ＶＣＮにおいて各ゲートウェイを使用するサブネットを指定することができる。ＶＣＮのルートテーブルを用いて、特定のゲートウェイを介してトラフィックをＶＣＮの外部にルーティングできるか否かを判断することができる。例えば、特定の事例において、顧客ＶＣＮ１０４内のパブリックサブネットのルートテーブルは、ＩＧＷ１２０を介して非ローカルトラフィックを送信することができる。同じ顧客ＶＣＮ１０４内のプライベートサブネットのルートテーブルは、ＳＧＷ１２６を介してＣＳＰサービスへのトラフィックを送信することができる。残りの全てのトラフィックは、ＮＡＴゲートウェイ１２８を介して送信されてもよい。ルートテーブルは、ＶＣＮから出るトラフィックのみを制御する。

ＶＣＮに関連するセキュリティリストは、インバウンド接続およびゲートウェイを介してＶＣＮに入来するトラフィックを制御するために使用される。サブネット内の全てのリソースは、同じミュートテーブルおよびセキュリティリストを使用する。セキュリティリストは、ＶＣＮのサブネット内のインスタンスに出入りする特定の種類のトラフィックを制御するために使用されてもよい。セキュリティリストルールは、受信（インバウンド）ルールと、送信（アウトバウンド）ルールとを含んでもよい。例えば、受信ルールは、許可されたソースアドレス範囲を指定することができ、送信ルールは、許可された宛先アドレス範囲を指定することができる。セキュリティルールは、特定のプロトコル（例えば、ＴＣＰ、ＩＣＭＰ）、特定のポート（例えば、ＳＳＨの場合ポート２２、ウィンドウズ（登録商標）ＲＤＰの場合ポート３３８９）などを指定することができる。特定の実装形態において、インスタンスのオペレーティングシステムは、セキュリティリストルールと一致する独自のファイアウォールルールを実施することができる。ルールは、ステートフル（例えば、接続が追跡され、応答トラフィックに対する明示的なセキュリティのリストルールなしで応答が自動的に許可される）またはステートレスであってもよい。

顧客ＶＣＮ（すなわち、ＶＣＮ１０４上に展開されたリソースまたは計算インスタンス）からのアクセスは、パブリックアクセス、プライベートアクセス、または専用アクセスとして分類されてもよい。パブリックアクセスは、パブリックＩＰアドレスまたはＮＡＴを用いてパブリックエンドポイントにアクセスするためのアクセスモデルを指す。プライベートアクセスは、プライベートＩＰアドレス（例えば、プライベートサブネット内のリソース）を持つＶＣＮ１０４内の顧客ワークロードが、インターネットなどのパブリックネットワークを経由することなく、サービスにアクセスすることを可能にする。特定の実施形態において、ＣＳＰＩ１０１は、プライベートＩＰアドレスを持つ顧客ＶＣＮワークロードが、サービスゲートウェイを使用して、サービスのパブリックサービスエンドポイントにアクセスすることを可能にする。したがって、サービスゲートウェイは、顧客ＶＣＮと顧客プライベートネットワークの外部に存在するサービスのパブリックエンドポイントとの間に仮想リンクを確立することによって、プライベートアクセスモデルを提供する。

さらに、ＣＳＰＩは、FastConnectパブリックピアリングなどの技術を使用する専用パブリックアクセスを提供することができる。この場合、顧客オンプレミスインスタンスは、インターネットなどのパブリックネットワークを経由することなく、FastConnect接続を用いて顧客ＶＣＮ内の１つ以上のサービスにアクセスすることができる。また、ＣＳＰＩは、FastConnectプライベートピアリングを使用する専用プライベートアクセスを提供することもできる。この場合、プライベートＩＰアドレスを持つ顧客オンプレミスインスタンスは、FastConnect接続を用いて顧客ＶＣＮワークロードにアクセスすることができる。FastConnectは、パブリックインターネットを用いて顧客オンプレミスネットワークをＣＳＰＩおよびそのサービスに接続する代わりに使用されるネットワーク接続である。FastConnectは、インターネットベースの接続と比較して、より高い帯域幅オプションと信頼性の高い一貫したネットワーキング体験を持つ専用のプライベート接続を、簡単、柔軟且つ経済的に作成する方法を提供する。

図１および上記の添付の説明は、例示的な仮想ネットワークにおける様々な仮想化要素を説明する。上述したように、仮想ネットワークは、基礎物理ネットワークまたは基板ネットワーク上に構築される。図２は、特定の実施形態に従って、仮想ネットワークの基盤を提供するＣＳＰＩ２００内の物理ネットワーク内の物理要素を示す簡略化アーキテクチャ図である。図示のように、ＣＳＰＩ２００は、クラウドサービスプロバイダ（ＣＳＰ）によって提供された要素およびリソース（例えば、計算リソース、メモリリソース、およびネットワーキングリソース）を含む分散環境を提供する。これらの要素およびリソースは、加入している顧客、すなわち、ＣＳＰによって提供された１つ以上のサービスに加入している顧客にクラウドサービス（例えば、ＩａａＳサービス）を提供するために使用される。顧客が加入しているサービスに基づいて、ＣＳＰＩ２００は、一部のリソース（例えば、計算リソース、メモリリソース、およびネットワーキングリソース）を顧客に提供する。その後、顧客は、ＣＳＰＩ２００によって提供された物理的な計算リソース、メモリリソース、およびネットワーキングリソースを使用して、独自のクラウドベースの（すなわち、ＣＳＰＩホスト型）カスタマイズ可能なプライベート仮想ネットワークを構築することができる。前述したように、これらの顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、これらの顧客ＶＣＮに、計算インスタンスなどの１つ以上の顧客リソースを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどであってもよい。ＣＳＰＩ２００は、顧客が高可用性のホスト環境において広範なアプリケーションおよびサービスを構築および実行することを可能にする、インフラストラクチャおよび一連の補完的なクラウドサービスを提供する。

図２に示す例示的な実施形態において、ＣＳＰＩ２００の物理要素は、１つ以上の物理ホストマシンまたは物理サーバ（例えば、２０２、２０６、２０８）、ネットワーク仮想化装置（ＮＶＤ）（例えば、２１０、２１２）、トップオブラック（ＴＯＲ）スイッチ（例えば、２１４、２１６）、物理ネットワーク（例えば、２１８）、および物理ネットワーク２１８内のスイッチを含む。物理ホストマシンまたはサーバは、ＶＣＮの１つ以上のサブネットに参加している様々な計算インスタンスをホストし、実行することができる。計算インスタンスは、仮想マシンインスタンスおよびベアメタルインスタンスを含んでもよい。例えば、図１に示された様々な計算インスタンスは、図２に示された物理的ホストマシンによってホストされてもよい。ＶＣＮ内の仮想マシン計算インスタンスは、１つのホストマシンによって実行されてもよく、または複数の異なるホストマシンによって実行されてもよい。また、物理ホストマシンは、仮想ホストマシン、コンテナベースのホストまたは機能などをホストすることができる。図１に示されたＶＩＣおよびＶＣＮＶＲは、図２に示されたＦＴＶＤによって実行されてもよい。図１に示されたゲートウェイは、図２に示されたホストマシンおよび／またはＮＶＤによって実行されてもよい。

ホストマシンまたはサーバは、ホストマシン上で仮想化環境を作成するおよび可能にするハイパーバイザ（仮想マシンモニタまたはＶＭＭとも呼ばれる）を実行することができる。仮想化または仮想化環境は、クラウドベースコンピューティングを容易にする。１つ以上の計算インスタンスは、ホストマシン上のハイパーバイザによって、ホストマシン上で作成され、実行され、管理されてもよい。ホストマシン上のハイパーバイザは、ホストマシンの物理的な計算リソース（例えば、計算リソース、メモリリソース、およびネットワーキングリソース）をホストマシン上で実行される様々な計算インスタンス間で共有させることができる。

例えば、図２に示すように、ホストマシン２０２および２０８は、ハイパーバイザ２６０および２６６をそれぞれ実行する。これらのハイパーバイザは、ソフトウェア、ファームウエア、ハードウェア、またはそれらの組み合わせを使用して実装されてもよい。典型的には、ハイパーバイザは、ホストマシンのオペレーティングシステム（ＯＳ）に常駐するプロセスまたはソフトウェア層であり、ＯＳは、ホストマシンのハードウェアプロセッサ上で実行される。ハイパーバイザは、ホストマシンの物理的な計算リソース（例えば、プロセッサ／コア、メモリリソース、ネットワーキングリソースなどの処理リソース）を、ホストマシンによって実行される様々な仮想マシン計算インスタンスの間で共有させる仮想化環境を提供する。例えば、図２において、ハイパーバイザ２６０は、ホストマシン２０２のＯＳに常駐し、ホストマシン２０２の計算リソース（例えば、処理リソース、メモリリソース、およびネットワーキングリソース）を、ホストマシン２０２によって実行されるコンピューティングインスタンス（例えば、仮想マシン）間で共有させることができる。仮想マシンは、独自のＯＳ（ゲストＯＳと呼ばれる）を持つことができる。このゲストＯＳは、ホストマシンのＯＳと同じであってもよく、異なってもよい。ホストマシンによって実行される仮想マシンのＯＳは、同じホストマシンによって実行される他の仮想マシンのＯＳと同じであってもよく、異なってもよい。したがって、ハイパーバイザは、ホストマシンの同じ計算リソースを共有させながら、複数のＯＳを並行して実行することができる。図２に示されたホストマシンは、同じ種類のハイパーバイザを有してもよく、異なる種類のハイパーバイザを有してもよい。

計算インスタンスは、仮想マシンインスタンスまたはベアメタルインスタンスであってもよい。図２において、ホストマシン２０２上の計算インスタンス２６８およびホストマシン２０８上の計算インスタンス２７４は、仮想マシンインスタンスの一例である。ホストマシン２０６は、顧客に提供されるベアメタルインスタンスの一例である。

特定の例において、ホストマシンの全体は、単一の顧客に提供されてもよく、そのホストマシンによってホストされている１つ以上の計算インスタンス（仮想マシンまたはベアメタルインスタンスのいずれか）は、全て同じ顧客に属してもよい。他の例において、ホストマシンは、複数の顧客（すなわち、複数のテナント）間で共有されてもよい。このようなマルチテナントシナリオにおいて、ホストマシンは、異なる顧客に属する仮想マシン計算インスタンスをホストすることができる。これらの計算インスタンスは、異なる顧客の異なるＶＣＮのメンバであってもよい。特定の実施形態において、ベアメタル計算インスタンスは、ハイパーバイザを設けていないベアメタルサーバによってホストされている。ベアメタル計算インスタンスが提供される場合、単一の顧客またはテナントは、ベアメタルインスタンスをホストするホストマシンの物理ＣＰＵ、メモリ、およびネットワークインターフェイスの制御を維持し、ホストマシンは、他の顧客またはテナントに共有されない。

前述したように、ＶＣＮの一部である各計算インスタンスは、計算インスタンスがＶＣＮのサブネットのメンバになることを可能にするＶＮＩＣに関連付けられる。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスとの間のパケットまたはフレームの通信を容易にする。ＶＮＩＣは、計算インスタンスが作成されるときに当該計算インスタンスに関連付けられる。特定の実施形態において、ホストマシンによって実行される計算インスタンスについて、その計算インスタンスに関連付けられたＶＮＩＣは、ホストマシンに接続されたＮＶＤによって実行される。例えば、図２において、ホストマシン２０２は、ＶＮＩＣ２７６に関連付けられた仮想マシン計算インスタンス２６８を実行し、ＶＮＩＣ２７６は、ホストマシン２０２に接続されたＮＶＤ２１０によって実行される。別の例として、ホストマシン２０６によってホストされているベアメタルインスタンス２７２は、ホストマシン２０６に接続されたＮＶＤ２１２によって実行されるＶＮＩＣ２８０に関連付けられる。さらに別の例として、ＶＮＩＣ２８４は、ホストマシン２０８によって実行される計算インスタンス２７４に関連付けられ、ＶＮＩＣ２８４は、ホストマシン２０８に接続されているＮＶＤ２１２によって実行される。

ホストマシンによってホストされている計算インスタンスについて、そのホストマシンに接続されたＮＶＤは、計算インスタンスがメンバであるＶＣＮに対応するＶＣＮＶＲを実行する。例えば、図２に示された実施形態において、ＮＶＤ２１０は、計算インスタンス２６８がメンバであるＶＣＮに対応するＶＣＮＶＲ２７７を実行する。また、ＮＶＤ２１２は、ホストマシン２０６および２０８によってホストされている計算インスタンスに対応するＶＣＮに対応する１つ以上のＶＣＮＶＲ２８３を実行することができる。

ホストマシンは、当該ホストマシンを他の装置に接続するための１つ以上のネットワークインターフェイスカード（ＮＩＣ）を含むことができる。ホストマシン上のＮＩＣは、ホストマシンを別の装置に通信可能に接続するための１つ以上のポート（またはインターフェイス）を提供することができる。例えば、ホストマシンおよびＮＶＤに設けられた１つ以上のポート（またはインターフェイス）を用いて、当該ホストマシンを当該ＮＶＤに接続することができる。また、ホストマシンを他のホストマシンなどの他の装置に接続することもできる。

例えば、図２において、ホストマシン２０２は、ホストマシン２０２のＮＩＣ２３２によって提供されるポート２３４とＮＶＤ２１０のポート２３６との間に延在するリンク２２０を使用してＮＶＤ２１０に接続されている。ホストマシン２０６は、ホストマシン２０６のＮＩＣ２４４によって提供されるポート２４６とＮＶＤ２１２のポート２４８との間に延在するリンク２２４を使用してＮＶＤ２１２に接続されている。ホストマシン２０８は、ホストマシン２０８のＮＩＣ２５０によって提供されるポート２５２とＮＶＤ２１２のポート２５４との間に延在するリンク２２６を使用してＮＶＤ２１２に接続されている。

同様に、ＮＶＤは、通信リンクを介して、（スイッチファブリックとも呼ばれる）物理ネットワーク２１８に接続されているトップオブラック（ＴＯＲ）スイッチに接続されている。特定の実施形態において、ホストマシンとＮＶＤとの間のリンクおよびＮＶＤとＴＯＲスイッチとの間のリンクは、イーサネット（登録商標）リンクである。例えば、図２において、ＮＶＤ２１０および２１２は、リンク２２８および２３０を介して、ＴＯＲスイッチ２１４および２１６にそれぞれ接続される。特定の実施形態において、リンク２２０、２２４、２２６、２２８、および２３０は、イーサネットリンクである。ＴＯＲに接続されているホストマシンおよびＮＶＤの集合は、ラックと呼ばれることがある。

物理ネットワーク２１８は、ＴＯＲスイッチの相互通信を可能にする通信ファブリックを提供する。物理ネットワーク２１８は、多層ネットワークであってもよい。特定の実装形態において、物理ネットワーク２１８は、スイッチの多層Ｃｌｏｓネットワークであり、ＴＯＲスイッチ２１４および２１６は、多層およびマルチノード物理スイッチングネットワーク２１８のリーフレベルノードを表す。２層ネットワーク、３層ネットワーク、４層ネットワーク、５層ネットワーク、および一般的に「ｎ」層ネットワークを含むがこれらに限定されない異なるＣｌｏｓネットワーク構成は、可能である。ＣＩｏｓネットワークの一例は、図５に示され、以下に説明される。

ホストマシンとＮ個のＶＤとの間には、１対１構成、多対１構成、および１対多構成などの様々な異なる接続構成が可能である。１対１構成の実装例において、各ホストマシンは、それ自体の別個のＮＶＤに接続されている。例えば、図２において、ホストマシン２０２は、ホストマシン２０２のＮＩＣ２３２を介してＮＶＤ２１０に接続されている。多対１の構成において、複数のホストマシンは、１つのＮＶＤに接続されている。例えば、図２において、ホストマシン２０６および２０８は、それぞれＮＩＣ２４４および２５０を介して同じＮＶＤ２１２に接続されている。

１対多の構成において、１つのホストマシンは、複数のＮＶＤに接続されている。図３は、ホストマシンが複数のＮＶＤに接続されているＣＳＰＩ３００内の一例を示す。図３に示すように、ホストマシン３０２は、複数のポート３０６および３０Ｓを含むネットワークインターフェイスカード（ＮＩＣ）３０４を備える。ホストマシン３００は、ポート３０６およびリンク３２０を介して第１のＮＶＤ３１０に接続され、ポート３０８およびリンク３２２を介して第２のＮＶＤ３１２に接続されている。ポート３０６および３０８は、イーサネット（登録商標）ポートであってもよく、ホストマシン３０２とＮＶＤ３１０および３１２との間のリンク３２０および３２２は、イーサネット（登録商標）リンクであってもよい。ＮＶＤ３１０は、第１のＴＯＲスイッチ３１４に接続され、ＮＶＤ３１２は、第２のＴＯＲスイッチ３１６に接続されている。ＮＶＤ３１０および３１２とＴＯＲスイッチ３１４および３１６との間のリンクは、イーサネット（登録商標）リンクであってもよい。ＴＯＲスイッチ３１４および３１６は、多層物理ネットワーク３１８内の層（Tier）－０スイッチング装置を表す。

図３に示す構成は、物理スイッチネットワーク３１８からホストマシン３０２への２つの別々の物理ネットワーク経路、すなわち、ＴＯＲスイッチ３１４からＮＶＤ３１０を経由してホストマシン３０２への第１の経路と、ＴＯＲスイッチ３１６からＮＶＤ３１２を経由してホストマシン３０２への第２の経路とを提供する。別々の経路は、ホストマシン３０２の強化された可用性（高可用性と呼ばれる）を提供する。経路の一方に問題がある（例えば、経路の一方のリンクが故障する）場合または装置に問題がある（例えば、特定のＮＶＤが機能していない）場合、ホストマシン３０２との間の通信に他方の経路を使用することができる。

図３に示された構成において、ホストマシンは、ホストマシンのＮＩＣによって提供された２つの異なるポートを用いて２つの異なるＮＶＤに接続されている。他の実施形態において、ホストマシンは、ホストマシンと複数のＮＶＤとの接続を可能にする複数のＮＩＣを含んでもよい。

再び図２を参照して、ＮＶＤは、１つ以上のネットワーク仮想化機能および／または記憶仮想化機能を実行する物理装置または要素である。ＮＶＤは、１つ以上の処理ユニット（例えば、ＣＰＵ、ネットワーク処理ユニット（ＮＰＵ）、ＦＰＧＡ、パケット処理パイプライン）、キャッシュを含むメモリ、およびポートを有する任意の装置であってもよい。様々な仮想化機能は、ＮＶＤの１つ以上の処理ユニットによって実行されるソフトウェア／ファームウエアによって実行されてもよい。

ＮＶＤは、様々な異なる形で実装されてもよい。例えば、特定の実施形態において、ＮＶＤは、内蔵プロセッサを搭載したスマートＮＩＣまたはインテリジェントＮＩＣと呼ばれるインターフェイスカードとして実装される。スマートＮＩＣは、ホストマシン上のＮＩＣとは別個の装置である。図２において、ＮＶＤ２１０は、ホストマシン２０２に接続されているスマートＮＩＣとして実装されてもよく、ＮＶＤ２１２は、ホストマシン２０６および２０８に接続されているスマートＮＩＣとして実装されてもよい。

しかしながら、スマートＮＩＣは、ＮＶＤ実装の一例にすぎない。様々な他の実装が可能である。例えば、いくつかの他の実装例において、ＮＶＤまたはＮＶＤによって実行される１つ以上の機能は、ＣＳＰＩ２００の１つ以上のホストマシン、１つ以上のＴＯＲスイッチ、および他の要素に組み込まれてもよく、またはそれらによって実行されてもよい。例えば、ＮＶＤは、ホストマシンに統合されてもよい。この場合、ＮＶＤによって実行される機能は、ホストマシンによって実行される。別の例として、ＮＶＤは、ＴＯＲスイッチの一部であってもよく、またはＴＯＲスイッチは、ＴＯＲスイッチがパブリッククラウドに使用される様々な複雑なパケット変換を実行することを可能にするＮＶＤによって実行される機能を実行するように構成されてもよい。ＮＶＤの機能を実行するＴＯＲは、スマートＴＯＲと呼ばれることがある。ベアメタル（ＢＭ）インスタンスではなく仮想マシン（ＶＭ）インスタンスを顧客に提供するさらに他の実装形態において、ＮＶＤによって提供される機能は、ホストマシンのハイパーバイザの内部に実装されてもよい。いくつかの他の実装形態において、ＮＶＤの機能の一部は、一組のホストマシン上で動作する集中型サービスにオフロードされてもよい。

図２に示すように、スマートＮＩＣとして実装される場合などの特定の実施形態において、ＮＶＤは、当該ＮＶＤを１つ以上のホストマシンおよび１つ以上のＴＯＲスイッチに接続することを可能にする複数の物理ポートを備えてもよい。ＮＶＤ上のポートは、ホスト向きポート（「サウスポート」（south port）とも呼ばれる）またはネットワーク向きもしくはＴＯＲ向きポート（「ノースポート」（north port）とも呼ばれる）に分類することができる。ＮＶＤのホスト向きポートは、ＮＶＤをホストマシンに接続するために使用されるポートである。図２においてホスト向きポートの例は、ＮＶＤ２１０のポート２３６、およびＮＶＤ２１２のポート２４８および２５４を含む。ＮＶＤのネットワーク向きポートは、ＮＶＤをＴＯＲスイッチに接続するために使用されるポートである。図２のネットワーク向きポートの例は、ＮＶＤ２１０のポート２５６、およびＮＶＤ２１２のポート２５８を含む。図２に示すように、ＮＶＤ２１０は、ＮＶＤ２１０のポート２５６からＴＯＲスイッチ２１４まで延びるリンク２２８を介してＴＯＲスイッチ２１４に接続されている。同様に、ＮＶＤ２１２は、ＮＶＤ２１２のポート２５８からＴＯＲスイッチ２１６まで延びるリンク２３０を介してＴＯＲスイッチ２１６に接続されている。

ＮＶＤは、ホスト向きポートを介して、ホストマシンからパケットおよびフレーム（例えば、ホストマシンによってホストされている計算インスタンスによって生成されたパケットおよびフレーム）を受信し、必要なパケット処理を実行した後、ＮＶＤのネットワーク向きポートを介してパケットおよびフレームをＴＯＲスイッチに転送することができる。ＮＶＤは、ＮＶＤのネットワーク向きポートを介してＴＯＲスイッチからパケットおよびフレームを受信し、必要なパケット処理を実行した後、ＮＶＤのホスト向きポートを介してパケットおよびフレームをホストマシンに転送することができる。

特定の実施形態において、ＮＶＤとＴＯＲスイッチとの間に複数のポートおよび関連するリンクを設けてもよい。これらのポートおよびリンクを集約することによって、複数のポートまたはリンクのリンクアグリゲータグループ（ＬＡＧと称される）を形成することができる。リンクの集約は、２つのエンドポイント間（例えば、ＮＶＤとＴＯＲスイッチとの間）の複数の物理リンクを単一の論理リンクとして扱うことを可能にする。所定のＬＡＧ内の全ての物理リンクは、同じ速度で全二重モードで動作することができる。ＬＡＧは、２つのエンドポイント間の接続の帯域幅および信頼性を高めるのに役立つ。ＬＡＧ内の物理リンクのうちの１つが故障した場合、トラフィックは、ＬＡＧ内の別の物理リンクに動的かつ透過的に再割り当てされる。集約された物理リンクは、個々のリンクよりも高い帯域幅を提供する。ＬＡＧに関連付けられた複数のポートは、単一の論理ポートとして扱われる。トラフィックをＬＡＧの複数の物理リンクに負荷分散することができる。２つのエンドポイント間に１つ以上のＬＡＧを構成することができる。２つのエンドポイントは、例えば、ＮＶＤとＴＯＲスイッチとの間にあってもよく、ホストマシンとＮＶＤとの間にであってもよい。

ＮＶＤは、ネットワーク仮想化機能を実装または実行する。これらの機能は、ＮＶＤによって実行されるソフトウェア／ファームウエアによって実行される。ネットワーク仮想化機能の例は、限定されないが、パケットのカプセル化およびデカプセル化機能、ＶＣＮネットワークを作成するための機能、ＶＣＮセキュリティリスト（ファイアウォール）機能などのネットワークポリシーを実装するための機能、ＶＣＮ内の計算インスタンスとの間のパケットのルーティングおよび転送を容易にするための機能などを含む。特定の実施形態において、パケットを受信すると、ＮＶＤは、パケットを処理し、パケットをどのように転送またはルーティングするかを判断するパケット処理パイプラインを実行するように構成されている。このパケット処理パイプラインの一部として、ＮＶＤは、オーバーレイネットワークに関連する１つ以上の仮想機能の実行、例えば、ＶＣＮ内の計算インスタンスに関連するＶＮＩＣの実行、ＶＣＮに関連する仮想ルータ（ＶＲ）の実行、仮想ネットワーク内の転送またはルーティングを容易にするためのパケットのカプセル化およびデカプセル化、特定のゲートウェイ（例えば、ローカルピアリングゲートウェイ）の実行、セキュリティリストの実装、ネットワークセキュリティグループ、ネットワークアドレス変換（ＮＡＴ）機能（例えば、ホスト毎にパブリックＩＰからプライベートＩＰへの変換）、スロットリング機能、および他の機能を提供する。

いくつかの実施形態において、ＮＶＤ内のパケット処理データ経路は、複数のパケットパイプラインを含んでもよい。各々のパケットパイプラインは、一連のパケット変換ステージから構成される。いくつかの実装形態において、パケットを受信すると、当該パケットは、解析され、単一のパイプラインに分類される。次いで、パケットは、破棄されるまたはＮＶＤのインターフェイスを介して送出されるまで、線形方式でステージ毎に処理される。これらのステージは、基本機能のパケット処理ビルディングブロック（例えば、ヘッダの検証、スロットルの実行、新しいレイヤ２ヘッダの挿入、Ｌ４ファイアウォールの実行、ＶＣＮカプセル化／デカプセル化）を提供し、その結果、既存のステージを組み立てることによって新しいパイプラインを構築することができ、新しいステージを作成して既存のパイプラインに挿入することによって新しい機能を追加することができる。

ＮＶＤは、ＶＣＮの制御プレーンおよびデータプレーンに対応する制御プレーン機能およびデータプレーン機能の両方を実行することができる。ＶＣＮ制御プレーンの例は、図２４、２５、２６、および２７（参照番号２４１６、２５１６、２６１６、および２７１６参照）に示され、以下に説明される。ＶＣＮデータプレーンの例は、図２４、２５、２６、および２７（参照番号２４１８、２５１８、２６１８、および２７１８参照）に示され、以下に説明される。制御プレーン機能は、データをどのように転送するかを制御するためのネットワークの構成（例えば、ルートおよびルートテーブルの設定、ＶＮＩＣの構成）に使用される機能を含む。特定の実施形態において、全てのオーバーレイと基板とのマッピングを集中的に計算し、ＮＶＤおよび仮想ネットワークエッジ装置（例えば、ＤＲＧ、ＳＧＷ、ＩＧＷなどの様々なゲートウェイ）に公開するＶＣＮ制御プレーンが提供される。また、同じメカニズムを使用してファイアウォールルールを公開することができる。特定の実施形態において、ＮＶＤは、当該ＮＶＤに関連するマッピングのみを取得する。データプレーン機能は、制御プレーンを使用して設定された構成に基づいて、パケットの実際のルーティング／転送を行う機能を含む。ＶＣＮデータプレーンは、顧客のネットワークパケットが基幹ネットワークを通過する前に、当該ネットワークパケットをカプセル化することによって実装される。カプセル化／デカプセル化機能は、ＮＶＤに実装される。特定の実施形態において、ＮＶＤは、ホストマシンに出入りする全てのネットワークパケットを傍受し、ネットワーク仮想化機能を実行するように構成されている。

上述したように、ＮＶＤは、ＶＮＩＣおよびＶＣＮＶＲを含む様々な仮想化機能を実行する。ＮＶＤは、ＶＮＩＣに接続された１つ以上のホストマシンによってホストされている計算インスタンスに関連するＶＮＩＣを実行することができる。例えば、図２に示すように、ＮＶＤ２１０は、ＮＶＤ２１０に接続されたホストマシン２０２によってホストされている計算インスタンス２６８に関連するＶＮＩＣ２７６の機能を実行する。別の例として、ＮＶＤ２１２は、ホストマシン２０６によってホストされているベアメタル計算インスタンス２７２に関連するＶＮＩＣ２８０を実行し、ホストマシン２０８によってホストされている計算インスタンス２７４に関連するＶＮＩＣ２８４を実行する。ホストマシンは、異なる顧客に属する異なるＶＣＮに属する計算インスタンスをホストすることができる。ホストマシンに接続されたＮＶＤは、計算インスタンスに対応するＶＮＩＣを実行する（すなわち、ＶＮＩＣに関連する機能を実行する）ことができる。

また、ＮＶＤは、計算インスタンスのＶＣＮに対応するＶＣＮ仮想ルータを実行する。例えば、図２に示された実施形態において、ＮＶＤ２１０は、計算インスタンス２６８が属するＶＣＮに対応するＶＣＮＶＲ２７７を実行する。ＮＶＤ２１２は、ホストマシン２０６および２０８にホストされている計算インスタンスが属する１つ以上のＶＣＮに対応する１つ以上のＶＣＮＶＲ２８３を実行する。特定の実施形態において、ＶＣＮに対応するＶＣＮＶＲは、そのＶＣＮに属する少なくとも１つの計算インスタンスをホストするホストマシンに接続された全てのＮＶＤによって実行される。ホストマシンが異なるＶＣＮに属する計算インスタンスをホストする場合、そのホストマシンに接続されたＮＶＤは、異なるＶＣＮに対応するＶＣＮＶＲを実行することができる。

ＶＮＩＣおよびＶＣＮＶＲに加えて、ＮＶＤは、様々なソフトウェア（例えば、デーモン）を実行し、ＮＶＤによって実行される様々なネットワーク仮想化機能を容易にする１つ以上のハードウェア要素を含むことができる。簡略化のために、これらの様々な要素は、図２に示す「パケット処理要素」としてグループ化される。例えば、ＮＶＤ２１０は、パケット処理要素２８６を含み、ＮＶＤ２１２は、パケット処理要素２８８を含む。例えば、ＮＶＤのパケット処理要素は、ＮＶＤのポートおよびハードワーキングインターフェイスと相互作用することによって、ＮＶＤを使用して受信され、通信される全てのパケットを監視し、ネットワーク情報を記憶するように構成されたパケットプロセッサを含んでもよい。ネットワーク情報は、例えば、ＮＶＤによって処理される異なるネットワークフローを特定するためのネットワークフロー情報および各フローの情報（例えば、各フローの統計情報）を含んでもよい。特定の実施形態において、ネットワークフロー情報は、ＶＮＩＣ単位で記憶されてもよい。別の例として、パケット処理要素は、ＮＶＤによって記憶された情報を１つ以上の異なる複製ターゲットストアに複製するように構成された複製エージェント（replication agent）を含むことができる。さらに別の例として、パケット処理要素は、ＮＶＤのロギング機能を実行するように構成されたロギングエージェント（logging agent）を含んでもよい。また、パケット処理要素は、ＮＶＤの性能および健全性を監視し、場合によっては、ＮＶＤに接続されている他の要素の状態および健全性を監視するためのソフトウェアを含んでもよい。

図１は、ＶＣＮと、ＶＣＮ内のサブネットと、サブネット上に展開された計算インスタンスと、計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮのＶＲと、ＶＣＮのために構成された一組のゲートウェイとを含む例示的な仮想またはオーバーレイネットワークの要素を示す。図１に示されたオーバーレイ要素は、図２に示された物理的要素のうちの１つ以上によって実行またはホストされてもよい。例えば、ＶＣＮ内の計算インスタンスは、図２に示された１つ以上のホストマシンによって実行またはホストされてもよい。ホストマシンによってホストされている計算インスタンスの場合、その計算インスタンスに関連するＶＮＩＣは、典型的には、そのホストマシンに接続されたＮＶＤによって実行される（すなわち、ＶＮＩＣ機能は、そのホストマシンに接続されたＮＶＤによって提供される）。ＶＣＮのＶＣＮＶＲ機能は、そのＶＣＮの一部である計算インスタンスをホストまたは実行するホストマシンに接続されている全てのＮＶＤによって実行される。ＶＣＮに関連するゲートウェイは、１つ以上の異なる種類のＮＶＤによって実行されてもよい。例えば、いくつかのゲートウェイは、スマートＮＩＣによって実行されてもよく、他のゲートウェイは、１つ以上のホストマシンまたはＮＶＤの他の実装形態によって実行されてもよい。

上述したように、顧客ＶＣＮ内の計算インスタンスは、様々な異なるエンドポイントと通信することができる。これらのエンドポイントは、ソース計算インスタンスと同じサブネットにあってもよく、異なるサブネット内であるがソース計算インスタンスと同じＶＣＮにあってもよく、またはソース計算インスタンスのＶＣＮ外部のエンドポイントを含んでもよい。これらの通信は、計算インスタンスに関連付けられたＶＮＩＣ、ＶＣＮＶＲ、およびＶＣＮに関連付けられたゲートウェイを用いて促進される。

ＶＣＮ内の同じサブネット上の２つの計算インスタンス間の通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣを用いて促進される。ソース計算インスタンスおよび宛先計算インスタンスは、同じホストマシンによってホストされてもよく、異なるホストマシンによってホストされてもよい。ソース計算インスタンスから発信されたパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに転送されてもよい。ＮＶＤにおいて、パケットは、パケット処理パイプラインを用いて処理され、このパイプラインは、ソース計算インスタンスに関連するＶＮＩＣの実行を含むことができる。パケットの宛先エンドポイントが同じサブネットにあるため、ソース計算インスタンスに関連付けられたＶＮＩＣの実行により、パケットは、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤに転送され、ＮＶＤは、パケットを処理し、宛先計算インスタンスに転送する。ソース計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣは、（例えば、ソース計算インスタンスと宛先計算インスタンスの両方が同じホストマシンによってホストされている場合）同じＮＶＤ上で実行されてもよく、または（例えば、ソース計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合）異なるＮＶＤ上で実行されてもよい。ＶＮＩＣは、ＮＶＤによって記憶されたルーティング／転送テーブルを使用して、パケットのネクストホップを決定することができる。

サブネット内の計算インスタンスから同じＶＣＮ内の異なるサブネット内のエンドポイントにパケットを通信する場合、ソース計算インスタンスから発信されたパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤにおいて、パケットは、１つ以上のＶＮＩＣの実行を含むことができるパケット処理パイプラインおよびＶＣＮに関連するＶＲを用いて処理される。例えば、ＮＶＤは、パケット処理パイプラインの一部として、ソース計算インスタンスに関連するＶＮＩＣに対応する機能を実行または呼び出す（ＶＮＩＣを実行するとも呼ばれる）。ＶＮＩＣによって実行される機能は、パケット上のＶＬＡＮ識別子を検索することを含んでもよい。パケットの宛先がサブネットの外部にあるため、ＶＣＮＶＲ機能は、呼び出され、ＮＶＤによって実行される。その後、ＶＣＮＶＲは、パケットを、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤにルーティングする。そして、宛先計算インスタンスに関連付けられたＶＮＩＣは、パケットを処理し、パケットを宛先計算インスタンスに転送する。ソース計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣは、（例えば、ソース計算インスタンスと宛先計算インスタンスの両方が同じホストマシンによってホストされている場合）同じＮＶＤ上で実行されてもよく、（例えば、ソース計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合）異なるＮＶＤ上で実行されてもよい。

パケットの宛先がソース計算インスタンスのＶＣＮの外部にある場合、ソース計算インスタンスから発信されたパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤは、ソース計算インスタンスに関連するＶＮＩＣを実行する。パケットの宛先エンドポイントがＶＣＮの外部にあるため、パケットは、そのＶＣＮのＶＣＮＶＲによって処理される。ＮＶＤは、ＶＣＮＶＲ機能を呼び出し、その結果、パケットは、ＶＣＮに関連付けられた適切なゲートウェイを実行するＮＶＤに転送される場合がある。例えば、宛先が顧客オンプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮＶＲによって、ＶＣＮのために構成されたＤＲＧゲートウェイを実行するＮＶＤに転送されてもよい。ＶＣＮＶＲは、ソース計算インスタンスに関連するＶＮＩＣを実行するＮＶＤと同じＮＶＤ上で実行されてもよく、異なるＮＶＤによって実行されてもよい。ゲートウェイは、スマートＮＩＣ、ホストマシン、または他のＮＶＤ実装であるＮＶＤによって実行されてもよい。次いで、パケットは、ゲートウェイによって処理され、意図した宛先エンドポイントへのパケットの通信を容易にするためのネクストホップに転送される。例えば、図２に示された実施形態において、計算インスタンス２６８から発信されたパケットは、（ＮＩＣ２３２を用いて）リンク２２０を介してホストマシン２０２からＮＶＤ２１０に通信されてもよい。ＮＶＤ２１０上のＶＮＩＣ２７６は、ソース計算インスタンス２６８に関連するＶＮＩＣであるため、呼び出される。ＶＮＩＣ２７６は、パケット内のカプセル化情報を検査し、意図した宛先エンドポイントへのパケットの通信を容易にする目的でパケットを転送するためのネクストホップを決定し、決定したネクストホップにパケットを転送するように構成されている。

ＶＣＮ上に展開された計算インスタンスは、様々な異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ２００によってホストされているエンドポイントと、ＣＳＰＩ２００外部のエンドポイントとを含んでもよい。ＣＳＰＩ２００によってホストされているエンドポイントは、（顧客ＶＣＮ、または顧客に属さないＶＣＮであり得る）同じＶＣＮまたは他のＶＣＮ内のインスタンスを含んでもよい。ＣＳＰＩ２００によってホストされているエンドポイント間の通信は、物理ネットワーク２１８を介して実行されてもよい。また、計算インスタンスは、ＣＳＰＩ２００によってホストされていないまたはＣＳＰＩ２００の外部にあるエンドポイントと通信することもできる。これらのエンドポイントの例は、顧客オンプレミスネットワークまたはデータセンタ内のエンドポイント、またはインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイントを含む。ＣＳＰＩ２００外部のエンドポイントとの通信は、様々な通信プロトコルを用いて、パブリックネットワーク（例えば、インターネット）（図２に図示せず）またはプライベートネットワーク（図２に図示せず）を介して実行されてもよい。

図２に示されたＣＳＰＩ２００のアーキテクチャは、単なる一例であり、限定することを意図していない。代替的な実施形態において、変形、代替、および修正が可能である。例えば、いくつかの実装形態において、ＣＳＰＩ２００は、図２に示されたものよりも多いまたは少ないシステムまたは要素を有してもよく、２つ以上のシステムを組み合わせてもよく、または異なるシステム構成または配置を有してもよい。図２に示されたシステム、サブシステム、および他の要素は、それぞれのシステムの１つ以上の処理ユニット（例えば、プロセッサ、コア）によって実行されるソフトウェア（例えば、コード、命令、プログラム）、ハードウェア、またはそれらの組み合わせで実装されてもよい。ソフトウェアは、非一時的な記憶媒体（例えば、メモリ装置）に記憶されてもよい。

図４は、特定の実施形態に従って、マルチテナント機能をサポートするためのＩ／Ｏ仮想化を提供するためのホストマシンとＮＶＤとの間の接続を示す図である。図４に示すように、ホストマシン４０２は、仮想化環境を提供するハイパーバイザ４０４を実行する。ホストマシン４０２は、２つの仮想マシンインスタンス、すなわち、顧客／テナント＃１に属するＶＭ１４０６と、顧客／テナント＃２に属するＶＭ２４０８とを実行する。ホストマシン４０２は、リンク４１４を介してＮＶＤ４１２に接続されている物理ＮＩＣ４１０を含む。計算インスタンスの各々は、ＮＶＤ４１２によって実行されるＶＮＩＣに接続されている。図４の実施形態において、ＶＭ１４０６は、ＶＮＩＣ－ＶＭ１４２０に接続され、ＶＭ２４０８は、ＶＮＩＣ－ＶＭ２４２２に接続されている。

図４に示すように、ＮＩＣ４１０は、２つの論理ＮＩＣ、すなわち、論理ＮＩＣＡ４１６および論理ＮＩＣＢ４１８を含む。各仮想マシンは、それ自身の論理ＮＩＣに接続され、それ自身の論理ＮＩＣと共に動作するように構成される。例えば、ＶＭ１４０６は、論理ＮＩＣＡ４１６に接続され、ＶＭ２４０８は、論理ＮＩＣＢ４１８に接続されている。ホストマシン４０２が複数のテナントによって共有されている１つの物理ＮＩＣ４１０のみからなるにもかかわらず、論理ＮＩＣにより、各テナントの仮想マシンは、自分自身のホストマシンおよびＮＩＣを所有していると信じている。

特定の実施形態において、各論理ＮＩＣには、それ自身のＶＬＡＮＩＤが割り当てられる。したがって、テナント＃１の論理ＮＩＣＡ４１６には特定のＶＬＡＮＩＤが割り当てられ、テナント＃２の論理ＮＩＣＢ４１８には別のＶＬＡＮＩＤが割り当てられる。ＶＭ１４０６からパケットが通信されると、ハイパーバイザは、テナント＃１に割り当てられたタグをパケットに取り付けた後、リンク４１４を介してパケットをホストマシン４０２からＮＶＤ４１２に通信する。同様に、ＶＭ２４０８からパケットが通信されると、ハイパーバイザは、テナント＃２に割り当てられたタグをパケットに取り付けた後、リンク４１４を介してパケットをホストマシン４０２からＮＶＤ４１２に通信する。したがって、ホストマシン４０２からＮＶＤ４１２に通信されたパケット４２４は、特定のテナントおよび関連するＶＭを特定する関連タグ４２６を有する。ＮＶＤ上でホストマシン４０２からパケット４２４を受信した場合、当該パケットに関連するタグ４２６を用いて、当該パケットがＶＮＩＣ－ＶＭ１４２０によって処理されるべきか、ＶＮＩＣ－ＶＭ２４２２によって処理されるべきかを判断する。そして、パケットは、対応するＶＮＩＣによって処理される。図４に示された構成は、各テナントの計算インスタンスが、自分自身のホストマシンおよびＮＩＣを所有していると信じることを可能にする。図４に示された構成は、マルチテナント機能をサポートするためのＩ／Ｏ仮想化を提供する。

図５は、特定の実施形態に従って、物理ネットワーク５００を示す概略ブロック図である。図５に示された実施形態は、Ｃｌｏｓネットワークとして構築される。Ｃｌｏｓネットワークは、高い二分割帯域幅および最大リソース利用率を維持しながら、接続冗長性を提供するように設計された特定の種類のネットワークトポロジである。Ｃｌｏｓネットワークは、一種の非ブロッキング、多段または多層スイッチングネットワークであり、段または層の数は、２、３、４、５などであってもよい。図５に示された実施形態は、層１、２および３を含む３層ネットワークである。ＴＯＲスイッチ５０４は、Ｃｌｏｓネットワークの層－０スイッチを表す。１つ以上のＮＶＤは、ＴＯＲスイッチに接続されている。層－０スイッチは、物理ネットワークのエッジ装置とも呼ばれる。層－０スイッチは、リーフスイッチとも呼ばれる層－１スイッチに接続されている。図５に示された実施形態において、「ｎ」個の層－０ＴＯＲスイッチは、「ｎ」個の層－１スイッチに接続され、ポッドを形成する。ポッド内の各層－０スイッチは、ポッド内の全ての層－１スイッチに相互接続されるが、ポッド間のスイッチは、接続されない。特定の実装例において、２つのポッドは、ブロックと呼ばれる。各ブロックは、「ｎ」個の層－２スイッチ（スパインスイッチとも呼ばれる）によってサービスを提供されるまたはそれに接続されている。物理ネットワークトポロジは、複数のブロックを含んでもよい。同様に、層－２スイッチは、「ｎ」個の層－３スイッチ（スーパースパインスイッチとも呼ばれる）に接続されている。物理ネットワーク５００を介したパケットの通信は、典型的には、１つ以上のレイヤ３通信プロトコルを使用して実行される。典型的には、ＴＯＲ層を除く物理ネットワークの全ての層は、ｎウェイ冗長であり、したがって高い可用性を実現することができる。ポッドおよびブロックにポリシーを指定して、物理ネットワークのスイッチの相互可視性を制御することによって、物理ネットワークを拡張することができる。

Ｃｌｏｓネットワークの特徴は、ある層－０スイッチから別の層－０スイッチに到達する（または、層－０スイッチに接続されたＮＶＤから層－０スイッチに接続された別のＮＶＤに到達する）最大ホップカウントが一定であることである。例えば、３層のＣｌｏｓネットワークにおいて、パケットが１つのＮＶＤから別のＮＶＤに到達するために最大７つのホップが必要とされる。この場合、ソースＮＶＤおよびターゲットＮＶＤは、Ｃｌｏｓネットワークのリーフ層に接続されている。同様に、４層のＣｌｏｓネットワークにおいて、パケットが１つのＮＶＤから別のＮＶＤに到達するために最大９つのホップが必要とされる。この場合、ソースＮＶＤおよびターゲットＮＶＤは、Ｃｌｏｓネットワークのリーフ層に接続されている。したがって、Ｃｌｏｓネットワークアーキテクチャは、データセンタ内およびデータセンタ間の通信に重要なネットワーク全体の遅延を一定に保つ。Ｃｌｏｓトポロジは、水平方向に拡張可能であり、コスト効率に優れている。各階層により多くのスイッチ（例えば、より多くのリーフスイッチおよびスパインスイッチ）を増設すること、および隣接する階層のスイッチ間にリンク数を増やすことによって、ネットワークの帯域幅／スループット容量を容易に増加させることができる。

特定の実施形態において、ＣＳＰＩ内の各リソースには、クラウド識別子（ＣＩＤ）と呼ばれる固有の識別子が割り当てられる。この識別子は、リソースの情報の一部として含まれる。この識別子を用いて、例えば、コンソールまたはＡＰＩを介してリソースを管理することができる。ＣＩＤの例示的なシンタックスは、以下の通りである。

ocid1.<RESOURCE TYPE>.<REALM>.[REGION].[FUTURE USE].<UNIQUE ID>である。
式中、
「ocid1」は、ＣＩＤのバージョンを示す文字列である。

「RESOURCE TYPE」は、リソースの種類（例えば、インスタンス、ボリューム、ＶＣＮ、サブネット、ユーザ、グループ）を表す。

「REALM」は、リソースが存在する領域を表す。例示的な値として、「ｃ１」は、商業領域を表し、「ｃ２」は、政府クラウド領域を表し、または「ｃ３」は、連邦政府クラウド領域を表す。各領域は、独自のドメイン名を持つことができる。

「REGION」は、リソースが属する地域を表す。地域がリソースに適用されない場合、この部分は空白であってもよい。

「FUTURE USE」は、将来使用のために保留されていることを示す。
「UNIQUE ID」は、固有ＩＤの部分である。このフォーマットは、リソースまたはサービスの種類によって異なる場合がある。

Ｌ２仮想ネットワーク
オンプレミスアプリケーションをクラウドサービスプロバイダ（ＣＳＰ）が提供したクラウド環境に移行する企業顧客の数は、急速に増加し続けている。しかしながら、これらの顧客の多くは、クラウド環境に移行することがかなり難しく、クラウド環境で動作するように既存のアプリケーションを再設計および再構築する必要があるとすぐに認識している。これは、オンプレミス環境で開発されたアプリケーションは、監視、可用性、および拡張性の面で物理ネットワークの機能に依存することが多いからである。このようなオンプレミス環境のアプリケーションは、クラウド環境で動作させる前に、再設計および再構築を行う必要がある。

オンプレミスアプリケーションをクラウド環境に容易に移行できない理由はいくつかある。主な理由の１つは、現在のクラウド仮想ネットワークが、ＯＳＩモデルのレイヤ３、例えばＩＰレイヤで動作するため、アプリケーションに必要とされるレイヤ２機能を提供できないことである。レイヤ３ベースのルーティングまたは転送は、パケットのレイヤ３ヘッダに含まれる情報に基づいて、例えばパケットのレイヤ３ヘッダに含まれる宛先ＩＰアドレスに基づいて、パケットをどこに（例えば、どの顧客インスタンスに）送信すべきかを決定することを含む。これを容易にするために、仮想化クラウドネットワーク内のＩＰアドレスの位置は、集中制御およびオーケストレーションシステムまたはコントローラを介して決定される。この位置は、例えば、仮想化クラウド環境内の顧客エンティティまたはリソースに関連するＩＰアドレスを含んでもよい。

多くの顧客は、現在のクラウドサービスおよびＩａａＳサービスプロバイダによって対処されていないレイヤ２ネットワーク機能に対する厳しい要件を有するオンプレミス環境上で、アプリケーションを実行している。例えば、現在のクラウドサービスのトラフィックは、レイヤ３ヘッダを使用するレイヤ３プロトコルを用いてルーティングされ、アプリケーションに必要されたレイヤ２機能は、サポートされていない。これらのレイヤ２機能は、アドレス解決プロトコル（ＡＲＰ：Address Resolution Protocol）処理、媒体アクセス制御（ＭＡＣ）アドレス学習、およびレイヤ２ブロードキャスト機能、レイヤ２（ＭＡＣベース）転送、レイヤ２ネットワーキング構成などの機能を含んでもよい。本開示に記載されているように、仮想化クラウドネットワークにおいて仮想化レイヤ２ネットワーキング機能を提供することによって、顧客は、実質的な再設計または再構築を必要とせずに、レガシーアプリケーションをクラウド環境に円滑に移行することができる。例えば、本開示に記載されている仮想化レイヤ２ネットワーキング機能は、このようなアプリケーション（例えば、VMware vSphere、vCenter、vSAN、NSX－Tコンポーネント）がオンプレミス環境と同様にレイヤ２で通信することを可能にする。これらのアプリケーションは、パブリッククラウド上で同じバージョンおよび構成で実行できるため、顧客は、レガシーアプリケーションに関連する既存の知識、ツールおよびプロセスを含むレガシーオンプレミスアプリケーションを使用することができる。また、顧客は、（例えば、VMwareソフトウェア定義データセンタ（ＳＤＤＣ）を使用して）自分のアプリケーションからネイティブクラウドサービスにアクセスすることもできる。

別の例として、いくつかのレガシーオンプレミスアプリケーション（例えば、企業クラスタ化ソフトウェアアプリケーション、ネットワーク仮想アプライアンス）は、フェイルオーバ（failover）に対応するために、レイヤ２ブロードキャストサポートを必要とする。例示的なアプリケーションは、Fortinet FortiGate、IBM（登録商標）QRadar、Palo Altoファイアウォール、Cisco ASA、Juniper SRX、およびOracle（登録商標）RAC（Real Application Clustering）を含む。本開示に記載されているように、仮想化パブリッククラウドにおいて仮想化レイヤ２ネットワーキングを提供することによって、これらのアプリケーションは、変更されることなく、仮想化パブリッククラウド環境において動作することができる。本開示に記載されているように、オンプレミスに匹敵する仮想化レイヤ２ネットワーキング機能が提供される。本開示に記載された仮想化レイヤ２ネットワーキング機能は、従来のレイヤ２ネットワーキングをサポートする。これは、顧客定義ＶＬＡＮのサポートと共に、ユニキャストレイヤ２トラフィック機能のサポート、ブロードキャストレイヤ２トラフィック機能のサポート、およびマルチキャストレイヤ２トラフィック機能のサポートを含む。レイヤ２ベースのパケットのルーティングおよび転送は、例えば、レイヤ２プロトコルおよびパケットのレイヤ２ヘッダに含まれる情報を用いて、レイヤ２ヘッダに含まれる宛先ＭＡＣアドレスに基づいて、パケットをルーティングまたは転送することを含む。企業アプリケーション（例えば、クラスタリングソフトウェアアプリケーション）によって使用されるプロトコル、例えば、ＡＲＰ（アドレス解決プロトコル：Address Resolution Protocol）、ＧＡＲＰ（Gratuitous ARP）、およびＲＡＲＰ（逆アドレス解決プロトコル：Reverse ARP）は、現在、クラウド環境でも動作することができる。

従来の仮想化クラウドインフラストラクチャが仮想化レイヤ３ネットワークをサポートし、レイヤ２ネットワークをサポートしない理由は、いくつかある。レイヤ２ネットワークは、通常、レイヤ３ネットワークと同様に拡張できない。レイヤ２ネットワーク制御プロトコルは、拡張に要求された高度なレベルを有していない。例えば、レイヤ３ネットワークでは、レイヤ２ネットワークが取り組むべきパケットルーピングを心配する必要がない。ＩＰパケット（すなわち、レイヤ３パケット）は、有効時間（ＴＴＬ）を有するが、レイヤ２パケットは、それを有しない。レイヤ３パケット内に含まれたＩＰアドレスは、サブネットおよびＣＩＤＲ範囲などのトポロジを有するが、レイヤ２アドレス（例えば、ＭＡＣアドレス）は、それを有しない。レイヤ３ＩＰネットワークには、トラブルシューティングを容易にするためのツール、例えば、経路情報を見つけるためのping、トレースルートなどが内蔵されている。このようなツールは、レイヤ２には利用できない。レイヤ３ネットワークは、レイヤ２では利用できないマルチパスをサポートする。レイヤ２ネットワークは、特にネットワーク内のエンティティ間で情報を交換するための高度な制御プロトコル（例えば、ＢＧＰ（境界ゲートウェイプロトコル：Border Gateway Protocol）およびＯＳＰＦ（開放型最短経路優先：Open Shortest Path First））を持ってないため、ネットワークを学習するためにブロードキャストおよびマルチキャストに頼らなければならず、ネットワークの性能に悪影響を与える可能性がある。また、ネットワークが変化すると、レイヤ２では学習プロセスを繰り返す必要があるが、レイヤ３では学習プロセスを繰り返す必要がない。これらの理由および他の理由から、クラウドＩａａＳサービスプロバイダが、レイヤ２ではなくレイヤ３で動作するインフラストラクチャを提供することがより望ましい。

しかしながら、その複数の欠点にもかかわらず、多くのオンプレミスアプリケーションは、レイヤ２機能を必要とする。例えば、インスタンスが計算インスタンス（例えば、ベアメタル、仮想マシンまたはコンテナ）またはサービスインスタンス（例えば、ロードバランサ、ｎｆｓマウントポイント、または他のサービスインスタンス）であり得る仮想ネットワーク「Ｖ」において、顧客（顧客１）が２つのインスタンス、すなわち、ＩＰ１を持つインスタンスＡおよびＩＰ２を持つインスタンスＢを含む仮想化クラウド構成を仮定する。仮想ネットワークＶは、他の仮想ネットワークおよび基礎物理ネットワークから隔離された別個のアドレス空間である。この隔離は、例えばパケットカプセル化またはＮＡＴを含む様々な技術を用いて達成することができる。このため、顧客の仮想ネットワーク内のインスタンスのＩＰアドレスは、当該インスタンスをホストしている物理ネットワーク内のアドレスとは異なる。全ての仮想ＩＰアドレスの物理ＩＰおよび仮想インターフェイスを把握する集中型ＳＤＮ（ソフトウェア定義ネットワーキング）制御プレーンが提供される。仮想ネットワークＶにおいてパケットをインスタンスＡから宛先のＩＰ２に送信する場合、仮想ネットワークＳＤＮスタックは、ＩＰ２の位置を知る必要がある。仮想ネットワークＳＤＮスタックは、仮想ネットワークＶの仮想ＩＰアドレスＩＰ２をホストしている物理ネットワークのＩＰにパケットを送信することができるように、ＩＰ２の位置を事前に知っておく必要がある。クラウド上で仮想ＩＰアドレスの位置を変更することができるため、物理ＩＰと仮想ＩＰアドレスとの間の関係を変更することもできる。仮想ＩＰアドレスを移動する（例えば、仮想マシンに関連するＩＰアドレスを別の仮想マシンに移動する、または仮想マシンを新しい物理ホストに移行する）度に、パケットプロセッサ（データプレーン）を含むＳＤＮスタック内の全ての参加者を更新できるように、ＩＰを移動したことをコントローラに知らせるＡＰＩコールをＳＤＮ制御プレーンに対して行わなければならない。しかしながら、このようなＡＰＩコールを行わない種類のアプリケーションもある。例として、様々なオンプレミスアプリケーション、様々な仮想化ソフトウェアベンダによって提供されるアプリケーション、例えばVmwareなどが挙げられる。仮想化クラウド環境において仮想レイヤ２ネットワークを容易にする有用性は、ＡＰＩコールを行うようにプログラムされていないアプリケーションのサポート、または非ＩＰレイヤ３およびＭＡＣ学習のサポートなど、他のレイヤ２ネットワーキング機能に依存するアプリケーションのサポートを可能にすることである。

仮想レイヤ２ネットワークは、ブロードキャストドメインを作成し、ブロードキャストドメインのメンバは、学習する。仮想レイヤ２ドメインにおいて、任意のＩＰがこのレイヤ２ドメイン内の任意のホスト上の任意のＭＡＣ上に存在することができ、システムは、標準的なレイヤ２ネットワーキングプロトコルを使用して学習し、システムは、集中コントローラがその仮想レイヤ２ネットワークに存在するＭＡＣおよびＩＰの位置を明示的に知らせる必要なく、これらのネットワーキングプリミティブを仮想化する。これは、低遅延フェイルオーバ（failover）を必要とするアプリケーション、複数のノードへのブロードキャストまたはマルチキャストプロトコルをサポートする必要があるアプリケーション、およびＩＰアドレスおよびＭＡＣアドレスの位置を決定するためにＳＤＮ制御プレーンまたはＡＰＩエンドポイントへのＡＰＩコールを行う方法を知らないレガシーアプリケーションを実行することを可能にする。したがって、仮想化クラウド環境においてレイヤ２ネットワーキング機能を提供することは、ＩＰレイヤ３レベルでは利用不可能な機能をサポートするために必要である。

仮想化クラウド環境において仮想レイヤ２を提供することの別の技術的利点は、非ＩＰプロトコルを含む様々な異なるレイヤ３プロトコル（ＩＰＶ４、ＩＰＶ６など）をサポートできることである。例えば、ＩＰＸ、AppleTalk（登録商標）などの様々な非ＩＰプロトコルをサポートすることができる。既存のクラウドＩａａＳプロバイダは、仮想化クラウドネットワークにおいてレイヤ２機能を提供していないため、これらの非ＩＰプロトコルをサポートすることができない。本開示に記載されているようにレイヤ２ネットワーキング機能を提供することによって、レイヤ３プロトコルにおよびレイヤ２レベル機能の可用性を必要し、それに依存するアプリケーションにサポートを提供することができる。

本開示に記載されている技術を使用して、仮想化クラウドインフラストラクチャにおいて、レイヤ３およびレイヤ２の両方の機能を提供する。前述したように、レイヤ３ベースのネットワーキングは、レイヤ２ネットワーキングによって提供されていない特定の能力、特に拡張に適する能力を提供する。レイヤ３機能に加えてレイヤ２機能を提供することにより、より拡張可能な方法でレイヤ２機能を提供すると共に、（例えば、より拡張可能なソリューションを提供するように）レイヤ３によって提供された能力を活用することができる。例えば、レイヤ３を仮想化することは、学習のためにブロードキャストを使用しなければならないことを回避する。レイヤ３能力を提供すると同時に、レイヤ２機能を必要とするアプリケーションおよびレイヤ２機能を持たないと機能しないアプリケーションを可能にし、非ＩＰプロトコルなどをサポートするための仮想化レイヤ２を提供することによって、仮想化クラウド環境の完全な柔軟性を顧客に提供することができる。

顧客自身は、レイヤ３環境と共にレイヤ２環境が存在するハイブリッド環境を持っており、仮想化クラウド環境は、これらの環境の両方をサポートすることができる。顧客は、サブネットなどのレイヤ３ネットワークおよび／またはＶＬＡＮなどのレイヤ２ネットワークを持つことができ、これらの２つの環境は、仮想化クラウド環境内で互いに会話することができる。

また、仮想化クラウド環境は、マルチテナンシをサポートする必要がある。マルチテナンシは、レイヤ３機能およびレイヤ２機能の両方を同じ仮想化クラウド環境にプロビジョニングすることを技術的に困難かつ複雑にする。例えば、レイヤ２ブロードキャストドメインは、クラウドプロバイダのインフラストラクチャ内の多くの異なる顧客にわたって管理されなければならない。本開示に記載されている実施形態は、これらの技術的問題を克服する。

仮想化プロバイダ（例えばVmware）の場合、物理レイヤ２ネットワークをエミュレートする仮想化レイヤ２ネットワークは、ワークロードを変更せずに実行することができる。このような仮想化プロバイダによって提供されたアプリケーションは、クラウドインフラストラクチャによって提供された仮想化レイヤ２ネットワーク上で動作することができる。例えば、このようなアプリケーションは、レイヤ２ネットワーク上で動作する必要がある一組のインスタンスを含む場合がある。顧客がこのようなアプリケーションを自分自身のオンプレミス環境から仮想化クラウド環境にリフトおよびシフトしたい場合、クラウド環境にこれらのアプリケーションを実行することができない。なぜなら、これらのアプリケーションは、現在の仮想化クラウドプロバイダによって提供されていない基礎レイヤ２ネットワーク（例えば、仮想マシンをＭＡＣおよびＩＰアドレスが存在する場所に移行するまたは移動するために使用されるレイヤ２ネットワーク機能）に依存するからである。これらの理由により、このようなアプリケーションは、仮想化クラウド環境においてネイティブに動作することができない。クラウドプロバイダは、本開示に記載されている技術を用いて、仮想化レイヤ３ネットワークを提供するだけでなく、仮想化レイヤ２ネットワークも提供する。これによって、このようなアプリケーションスタックは、変更されることなくクラウド環境に動作することができ、クラウド環境にネスト化した仮想化を実行することができる。顧客は、クラウド上で自分自身のレイヤ２アプリケーションを実行および管理することができる。アプリケーションプロバイダは、これを容易にするためにソフトウェアに変更を加える必要がない。これによって、このようなレガシーアプリケーションまたはワークロード（例えば、レガシーロードバランサ、レガシーアプリケーション、ＫＶＭ、Openstack、クラスタリングソフトウェア）は、変更されることなく、仮想化クラウド環境に実行されてもよい。

本開示に記載されているように仮想化レイヤ２機能を提供することによって、仮想化クラウド環境は、非ＩＰプロトコルを含む様々なレイヤ３プロトコルをサポートすることができる。イーサネット（登録商標）を例にすると、様々な非ＩＰプロトコルを含む様々な異なるイーサタイプ（送信されるレイヤ３パケットの種類または期待されるレイヤ３プロトコルを含むレイヤ２ヘッダのフィールド）をサポートすることができる。イーサタイプは、イーサネットフレーム内の２オクテットフィールド（two-octet field）である。イーサタイプは、どのプロトコルがフレームのペイロードにカプセル化されているかを示すために使用され、ペイロードをどのように処理するかを決定するためにデータリンクレイヤによって受信端で使用される。イーサタイプは、イーサネットトランクを介して他のＶＬＡＮトラフィックとの多重化送信を行うため、ＶＬＡＮからのパケットをタグ付け、カプセル化する８０２．１ＱＶＬＡＮの基礎として使用される。イーサタイプの例は、ＩＰＶ４、ＩＰＶ６、アドレス解決プロトコル（ＡＲＰ）、AppleTalk（登録商標）、ＩＰＸなどを含む。レイヤ２プロトコルをサポートするクラウドネットワークは、任意のレイヤ３プロトコルをサポートすることができる。同様に、クラウドインフラストラクチャは、レイヤ３プロトコルをサポートする場合、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどの様々なレイヤ４プロトコルをサポートすることができる。ネットワークは、レイヤ３で仮想化された場合、レイヤ４プロトコルに依存しない。同様に、ネットワークは、レイヤ２で仮想化された場合、レイヤ３プロトコルに依存しない。この技術は、ＦＤＤＩ、インフィニバンド（登録商標）などを含む任意のレイヤ２ネットワークをサポートするように拡張することができる。

したがって、物理ネットワーク用に作成された多くのアプリケーション、特にブロードキャストドメインを共有するコンピュータノードのクラスタで動作するアプリケーションは、Ｌ３仮想ネットワークによってサポートされていないレイヤ２機能を使用する。以下の６つの例は、レイヤ２ネットワーキング機能を提供しないことから生じ得る複雑さを強調するものである。

（１）先行するＡＰＩコールなしでＭＡＣおよびＩＰの割り当て。ネットワーク装置およびハイパーバイザ（例えば、Vmware）は、仮想クラウドネットワーク用に構築されたものではなかった。これらは、ＭＡＣが固有である限りＭＡＣを使用することができ、ＤＨＣＰサーバから動的アドレスを取得するか、またはクラスタに割り当てられた任意のＩＰを使用することができると仮定する。これらのレイヤ２アドレスおよびレイヤ３アドレスの割り当てを制御プレーンに通知するように構成できる機構は、しばしば存在しない。ＭＡＣおよびＩＰがどこにあるか分からない場合、レイヤ３仮想ネットワークは、トラフィックをどこに送信するかを知らない。

（２）高可用性およびライブマイグレーション（live migration）のためのＭＡＣおよびＩＰの低遅延再割り当て。多くのオンプレミスアプリケーションは、高可用性のために、ＡＲＰを使用してＩＰおよびＭＡＣを再割り当てる。クラスタまたはＨＡペア内のインスタンスが応答しなくなる時に、新しくアクティブになったインスタンスは、ＧＡＲＰ（Gratuitous ARP）を送信することによってサービスＩＰをそのＭＡＣに再割り当てる、またはＲＡＲＰ（Reverse ARP）を送信することによってサービスＭＡＣをそのインターフェイスに再割り当てる。これは、ハイパーバイザ上でインスタンスをライブマイグレーションするときにも重要である。ゲストが移行されると、ゲストトラフィックが新しいホストに送信されるように、新しいホストは、ＲＡＲＰを送信しなければならない。この割り当ては、ＡＰＩコールなしで行われるだけでなく、非常に低い遅延（ミリ秒未満）で行われる必要もある。これは、ＲＥＳＴエンドポイントへのＨＴＴＰＳコールでは達成できない。

（３）ＭＡＣアドレスによるインターフェイス多重化。ハイパーバイザが単一のホスト上で複数の仮想マシンをホストし、全ての仮想マシンが同じネットワーク上にある場合、ゲストインターフェイスは、ＭＡＣによって区別される。このため、同じ仮想インターフェイス上で複数のＭＡＣをサポートする必要がある。

（４）ＶＬＡＮのサポート。単一の物理仮想マシンホストは、ＶＬＡＮタグを使用して示されたように、複数のブロードキャストドメイン上に配置される必要がある。例えば、Vmware ESXは、ＶＬＡＮを使用してトラフィックを分ける（例えば、ゲスト仮想マシンは、１つのＶＬＡＮ上で通信することができ、別のＶＬＡＮ上で記憶することができ、さらに別のＶＬＡＮ上で仮想マシンをホストすることができる）。

（５）ブロードキャストおよびマルチキャストトラフィックの使用。ＡＲＰは、Ｌ２ブロードキャストを必要とし、例示的なオンプレミスアプリケーションは、クラスタおよびＨＡ用途でブロードキャストおよびマルチキャストトラフィックを使用する。

（６）非ＩＰトラフィックのサポート。Ｌ３ネットワークは、通信にＩＰｖ４またはＩＰｖ６ヘッダを必要とするため、ＩＰ以外のＬ３プロトコルを使用すると動作しない。Ｌ２仮想化により、ＶＬＡＮ内のネットワークは、Ｌ３プロトコルに依存しなくなる。この場合、Ｌ３ヘッダは、ＩＰｖ４、ＩＰｖ６、ＩＰＸ、または他の何かであってもよく、全く存在しなくてもよい。

本開示に記載されているように、クラウドネットワーク内にレイヤ２（Ｌ２）ネットワークを作成することができる。この仮想Ｌ２ネットワークは、１つ以上の仮想Ｌ２ＶＬＡＮ（本開示ではＶＬＡＮと呼ぶ）を含む。各ＶＬＡＮは、複数の計算インスタンスを含むことができ、各計算インスタンスは、少なくとも１つのＬ２仮想インターフェイス（例えば、Ｌ２ＶＮＩＣ）およびローカルスイッチに関連付けることができる。いくつかの実施形態において、各対のＬ２ＶＮＩＣおよびスイッチは、ＮＶＤ上でホストされている。ＮＶＤは、複数のこのような対をホストすることができ、各対は、異なる計算インスタンスに関連付けられる。ローカルスイッチの集合は、エミュレートされたＶＬＡＮの単一スイッチを表す。Ｌ２ＶＮＩＣは、エミュレートされた単一スイッチ上のポートの集合を表す。ＶＬＡＮは、本開示では実仮想ルータ（ＲＶＲ）またはＬ２ＶＳＲＳとも呼ばれるＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）を介して、他のＶＬＡＮ、レイヤ３（Ｌ３）ネットワーク、オンプレミスネットワーク、および／または他のネットワークに接続することができる。

図６を参照して、図６は、一実施形態のコンピューティングネットワークの概略図を示している。ＶＣＮ６０２は、ＣＳＰＩ６０１に常駐する。ＶＣＮ６０２は、ＶＣＮ６０２を他のネットワークに接続するための複数のゲートウェイを含む。これらのゲートウェイは、例えば、ＶＣＮ６０２をオンプレミスデータセンタ６０６などのオンプレミスネットワークに接続することができるＤＲＧ６０４を含む。ゲートウェイは、例えば、ＶＣＮ６０２を別のＶＣＮに接続するためのＬＰＧ、および／またはＶＣＮ６０２をインターネットに接続するためのＩＧＷおよび／またはＮＡＴゲートウェイを含み得るゲートウェイ６００をさらに含むことができる。ＶＣＮ６０２のゲートウェイは、ＶＣＮ６０２をサービスネットワーク６１２に接続するためのサービスゲートウェイ６１０をさらに含むことができる。サービスネットワーク６１２は、例えば、自律データベース６１４および／またはオブジェクトストア６１６を含む１つ以上のデータベースおよび／またはストアを含むことができる。サービスネットワークは、例えばパブリックＩＰ範囲であり得るＩＰ範囲の集合を含む概念ネットワークを含むことができる。いくつかの実施形態において、これらのＩＰ範囲は、ＣＳＰＩ６０１プロバイダによって提供されるパブリックサービスの一部または全部をカバーすることができる。これらのサービスは、例えば、インターネットゲートウェイまたはＮＡＴゲートウェイを介してアクセスすることができる。いくつかの実施形態において、サービスネットワークは、サービスにアクセスするための専用ゲートウェイ（サービスゲートウェイ）を介して、ローカル地域からサービスネットワーク内のサービスにアクセスするための方法を提供する。いくつかの実施形態において、これらのサービスのバックエンド（backend）は、例えば、それ自体のプライベートネットワークに実装することができる。いくつかの実施形態において、サービスネットワーク６１２は、さらなる追加のデータベースを含むことができる。

ＶＣＮ６０２は、複数の仮想ネットワークを含むことができる。これらのネットワークの各々は、各ネットワーク内で、ネットワーク間で、またはＶＣＮ６０２の外部で通信することができる１つ以上の計算インスタンスを含むことができる。ＶＣＮ６０２の仮想ネットワークの１つは、Ｌ３サブネット６２０である。Ｌ３サブネット６２０は、ＶＣＮ６０２内で作成された構成単位または区画である。サブネット６２０は、ＶＣＮ６０２の仮想化クラウド環境内の仮想レイヤ３ネットワークを含むことができ、このＶＣＮ６０２は、ＣＰＳＩ６０１の基礎物理ネットワーク上でホストされている。図６は、１つのみのサブネット６２０を示しているが、ＶＣＮ６０２は、１つ以上のサブネットを含むことができる。ＶＣＮ６０２内の各サブネットは、当該ＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間のアドレス空間サブセットを表すオーバーレイＩＰアドレス（例えば、１０．０．０．０／２４および１０．０．１．０／２４）の連続範囲に関連付けられることができる。いくつかの実施形態において、このＩＰアドレス空間は、ＣＰＳＩ６０１に関連付けられたアドレス空間から隔離することができる。

サブネット６２０は、１つ以上の計算インスタンス、具体的には、第１の計算インスタンス６２２－Ａおよび第２の計算インスタンス６２２－Ｂを含む。計算インスタンス６２２－Ａおよび６２２－Ｂは、サブネット６２０内で互いに通信することができ、またはサブネット６２０の外部の他のインスタンス、装置および／またはネットワークと通信することができる。仮想ルータ（ＶＲ）６２４は、サブネット６２０の外部の通信を可能にする。ＶＲ６２４は、サブネット６２０とＶＣＮ６０２の他のネットワークとの間の通信を可能にする。サブネット６２０の場合、ＶＲ６２４は、サブネット６２０（すなわち、計算インスタンス６２２－Ａおよび６２２－Ｂ）がＶＣＮ６０２内の他のネットワーク上のエンドポイントと、ＶＣＮ６０２の外部の別のエンドポイントとの通信を可能にする論理ゲートウェイを表す。

ＶＣＮ６０２は、追加のネットワークをさらに含むことができ、具体的には、仮想Ｌ２ネットワークの一例である１つ以上のＬ２ＶＬＡＮ（本開示ではＶＬＡＮと呼ばれる）を含むことができる。これらの１つ以上のＶＬＡＮの各々は、ＶＣＮ６０２のクラウド環境に配置され、および／またはＣＰＳＩ６０１の基礎物理ネットワークによってホストされている仮想レイヤ２ネットワークを含むことができる。図６の実施形態において、ＶＣＮ６０２は、ＶＬＡＮＡ６３０およびＶＬＡＮＢ６４０を含む。ＶＣＮ６０２内の各ＶＬＡＮ６３０、６４０は、当該ＶＣＮ内の他のサブネットまたはＶＬＡＮなどの他のネットワークと重複せず、当該ＶＣＮのアドレス空間のアドレス空間サブセットを表すオーバーレイＩＰアドレス（例えば、１０．０．０．０／２４および１０．０．１．０／２４）の連続範囲に関連付けられることができる。いくつかの実施形態において、このＶＬＡＮのＩＰアドレス空間は、ＣＰＳＩ６０１に関連付けられたアドレス空間から隔離することができる。

ＶＬＡＮ６３０、６４０の各々は、１つ以上の計算インスタンスを含むことができる。具体的には、ＶＬＡＮＡ６３０は、例えば、第１の計算インスタンス６３２－Ａおよび第２の計算インスタンス６３２－Ｂを含むことができる。いくつかの実施形態において、ＶＬＡＮＡ６３０は、追加の計算インスタンスを含むことができる。ＶＬＡＮＢ６４０は、例えば、第１の計算インスタンス６４２－Ａおよび第２の計算インスタンス６４２－Ｂを含むことができる。計算インスタンス６３２－Ａ、６３２－Ｂ、６４２－Ａおよび６４２－Ｂの各々は、ＩＰアドレスおよびＭＡＣアドレスを持つことができる。これらのアドレスは、任意の所望の方法で割り当てられてもよく、または生成されてもよい。いくつかの実施形態において、これらのアドレスは、計算インスタンスのＶＬＡＮのＣＩＤＲ内にあってもよい。いくつかの実施形態において、これらのアドレスは、任意のアドレスであってもよい。ＶＬＡＮの計算インスタンスがＶＬＡＮの外部のエンドポイントと通信する実施形態において、これらのアドレスの一方または両方は、ＶＬＡＮＣＩＤＲからのものであるが、全ての通信がＶＬＡＮ域内通信である場合、これらのアドレスは、ＶＬＡＮＣＩＤＲ内のアドレスに限定されない。アドレスが制御プレーンによって割り当てられるネットワークとは対照的に、ＶＬＡＮ内の計算インスタンスのＩＰアドレスおよび／またはＭＡＣアドレスは、そのＶＬＡＮのユーザ／顧客によって割り当てられてもよく、これらのＩＰアドレスおよび／またはＭＡＣアドレスは、後述の学習プロセスに従って、ＶＬＡＮ内の計算インスタンスによって発見および／または学習されてもよい。

ＶＬＡＮの各々は、ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）を含むことができる。具体的には、ＶＬＡＮＡ６３０は、ＶＳＲＳＡ６３４を含み、ＶＬＡＮＢ６４０は、ＶＳＲＳＢ６４４を含む。各ＶＳＲＳ６３４、６４４は、ＶＬＡＮ内のレイヤ２スイッチングおよびローカル学習に参加し、ＡＲＰ、ＮＤＰおよびルーティングを含む全ての必要なレイヤ３ネットワーク機能を実行する。ＶＳＲＳは、ＩＰをＭＡＣにマッピングする必要があるため、（レイヤ２プロトコルである）ＡＲＰを実行する。

これらのクラウドベースのＶＬＡＮにおいて、各仮想インターフェイスまたは仮想ゲートウェイは、１つ以上の媒体アクセス制御（ＭＡＣ）アドレスと関連付けられてもよく、１つ以上のＭＡＣアドレスは、仮想ＭＡＣアドレスであってもよい。例えば、ベアメタル、ＶＭ、またはコンテナであり得るＶＬＡＮ内の１つ以上の計算インスタンス６３２－Ａ、６３２－Ｂ、６４２－Ａ、６４２－Ｂ、および／または１つ以上のサービスインスタンスは、仮想スイッチを介して互いに直接に通信することができる。他のＶＬＡＮまたはＬ３ネットワークとのＶＬＡＮの外部の通信は、ＶＳＲＳ６３４、６４４を介して可能になる。ＶＳＲＳ６３４、６４４は、ＩＰルーティングなどのレイヤ３機能をＶＬＡＮネットワークに提供する分散型サービスである。いくつかの実施形態において、ＶＳＲＳ６３４、６４４は、ＩＰネットワークおよびＬ２ネットワークの交差点に配置され、クラウドベースのＬ２ドメイン内でＩＰルーティングおよびＬ２学習に参加することができ、水平に拡張可能な高可用性のルーティングサービスである。

ＶＳＲＳ６３４、６４４は、インフラストラクチャ内の複数のノードにわたって分散されてもよい。ＶＳＲＳ６３４、６４４機能は、拡張可能であり、具体的には水平に拡張可能である。いくつかの実施形態において、ＶＳＲＳ６３４、６４４の機能を実装するノードの各々は、ルータおよび／またはスイッチの機能を互いに共有し、複製する。また、これらのノードは、ＶＬＡＮ６３０、６４０内の全てのインスタンスに対して、単一のＶＳＲＳ６３４、６４４として自分自身を提示することができる。ＶＳＲＳ６３４、６４４は、ＣＳＰＩ６０１内の任意の仮想化装置に、具体的には仮想ネットワークに実装されてもよい。したがって、いくつかの実施形態において、ＶＳＲＳ６３４、６４４は、ＮＩＣ、スマートＮＩＣ、スイッチ、スマートスイッチまたは汎用計算ホストを含む任意の仮想ネットワーク仮想化装置上で実装されてもよい。

ＶＳＲＳ６３４、６４４は、１つ以上のハードウェアノード、例えば１つ以上のｘ８６サーバなどの１つ以上のサーバ、または１つ以上のネットワーキング装置、例えば１つ以上のＮＩＣ、特に１つ以上のスマートＮＩＣ上に常駐し、クラウドネットワークをサポートするサービスであってもよい。いくつかの実施形態において、ＶＳＲＳ６３４、６４４は、サーバ群上で実装されてもよい。したがって、ＶＳＲＳ６３４、６４４は、ノード群にわたって分散されるサービスであってもよい。このノード群は、ルーティングおよびセキュリティポリシーを評価すると共にＬ２およびＬ３学習に参加および共有し、集中管理されている仮想ネットワーキングエンフォーサ群であってもよく、または仮想ネットワーキングエンフォーサ群のエッジに分散されてもよい。いくつかの実施形態において、ＶＳＲＳインスタンスの各々は、１つのＶＳＲＳインスタンスによって学習された新しいマッピング情報で他のＶＳＲＳインスタンスを更新することができる。例えば、１つのＶＳＲＳインスタンスがＶＬＡＮ内の１つ以上のＣＩのＩＰ、インターフェイス、および／またはＭＡＣマッピングを学習すると、当該ＶＳＲＳインスタンスは、その更新情報をＶＣＮ内の他のＶＳＲＳインスタンスに提供することができる。この相互更新を介して、第１のＶＬＡＮに関連付けられたＶＳＲＳインスタンスは、他のＶＬＡＮのＣＩ、いくつかの実施形態においてＶＣＮ６０２内の他のＶＬＡＮのＣＩのＩＰ、インターフェイス、および／またはＭＡＣマッピングを含むマッピングを知ることができる。ＶＳＲＳがサーバ群上に常駐する場合および／またはノード群にわたって分散される場合、これらの更新を大幅に加速することができる。

いくつかの実施形態において、ＶＳＲＳ６３４、６４４は、ＤＨＣＰリレー、ＤＨＣＰ（ホスティング）、ＤＨＣＰｖ６、ＩＰｖ６近隣発見プロトコルなどの近隣発見プロトコル、ＤＮＳ、ホスティングＤＮＳｖ６、ＩＰｖ６用のＳＬＡＡＣ、ＮＴＰ、メタデータサービス、およびブロックストアマウントポイントを含むがこれらに限定されないネットワーキングに必要な１つ以上のより高レベルサービスをホストすることができる。いくつかの実施形態において、ＶＳＲＳは、ネットワークアドレス空間を変換するための１つ以上のネットワークアドレス変換（ＮＡＴ）機能をサポートすることができる。いくつかの実施形態において、ＶＳＲＳは、なりすまし防止、ＭＡＣなりすまし防止、ＩＰｖ４のＡＲＰキャッシュ中毒保護、ＩＰｖ６ルート広告（ＲＡ）防御、ＤＨＣＰ防御、アクセス制御リスト（ＡＣＬ）を使用したパケットフィルタリング、および／または逆パス転送チェックを組み込むことができる。ＶＳＲＳは、例えば、ＡＲＰ、ＧＡＲＰ、パケットフィルタ（ＡＣＬ）、ＤＨＣＰリレー、および／またはＩＰルーティングプロトコルを含む機能を実装することができる。ＶＳＲＳ６３４、６４４は、例えば、ＭＡＣアドレスの学習、期限切れのＭＡＣアドレスの無効化、ＭＡＣアドレスの移動処理、ＭＡＣアドレス情報の取得、ＭＡＣ情報のフラッディング処理、ストーム制御処理、ループ防止、例えばクラウド内のＩＧＭＰなどのプロトコルを介したレイヤ２マルチキャスト、ＳＮＭＰを使用したログおよび統計を含む統計の収集、および／またはブロードキャスト、総トラフィック、ビット、スパニングツリーパケットなどの統計の監視、収集および使用を行うことができる。

仮想ネットワークにおいて、ＶＳＲＳ６３４、６４４は、異なるインスタンス化として現れることができる。いくつかの実施形態において、これらのＶＳＲＳインスタンス化の各々は、ＶＬＡＮ６３０、６４０に関連付けることができ、いくつかの実施形態において、各ＶＬＡＮ６３０、６４０は、ＶＳＲＳ６３４、６４４のインスタンス化を有することができる。いくつかの実施形態において、ＶＳＲＳ６３４、６４４の各インスタンス化は、ＶＳＲＳ６３４、６４４のインスタンス化が関連付けられたＶＬＡＮ６３０、６４０に対応する１つ以上の固有のテーブルを有することができる。ＶＳＲＳ６３４、６４４の各インスタンス化は、ＶＳＲＳ６３４、６４４のインスタンス化に関連する固有のテーブルを生成および／またはキュレートすることができる。したがって、単一のサービスが１つ以上のクラウドネットワークに対してＶＳＲＳ６３４、６４４機能を提供することができるが、クラウドネットワーク内のＶＳＲＳ６３４、６４４の個々のインスタンス化は、固有のレイヤ２転送テーブルおよびレイヤ３転送テーブルを有することができ、このような複数の顧客ネットワークは、オーバーラップしたレイヤ２転送テーブルおよびレイヤ３転送テーブルを有することができる。

いくつかの実施形態において、ＶＳＲＳ６３４、６４４は、複数のテナントにわたって競合するＶＬＡＮおよびＩＰ空間をサポートすることができる。これは、同じＶＳＲＳ６３４、６４４上に複数のテナントを有することを含むことができる。いくつかの実施形態において、これらのテナントの一部または全部は、同じＩＰアドレス空間、同じＭＡＣ空間、および同じＶＬＡＮ空間のうちの一部または全部を選択して使用することができる。これにより、アドレスを選択するユーザに極めて高い柔軟性を提供することができる。いくつかの実施形態において、このマルチテナンシは、各テナントに別個の仮想ネットワークを提供することによってサポートされ、この仮想ネットワークは、クラウドネットワーク内のプライベートネットワークである。各仮想ネットワークには固有の識別子が与えられる。同様に、いくつかの実施形態において、各ホストは、固有の識別子を有することができ、および／または各仮想インターフェイスもしくは仮想ゲートウェイは、固有の識別子を有することができる。いくつかの実施形態において、これらの固有の識別子、具体的にはテナントの仮想ネットワークの固有の識別子を各通信に符号化することができる。各仮想ネットワークに固有の識別子を与え、これを通信に含めることによって、ＶＳＲＳ６３４、６４４の単一のインスタンス化は、重複するアドレスおよび／または名前空間を有する複数のテナントにサービスを提供することができる。

ＶＳＲＳ６３４、６４４は、これらのスイッチング機能および／またはルーティング機能を実行することによって、ＶＬＡＮ６３０、６４０内のＬ２ネットワークの作成および／または当該Ｌ２ネットワークとの通信を容易にするおよび／または可能にすることができる。ＶＬＡＮ６３０、６４０は、クラウドコンピューティング環境に、より具体的には、当該クラウドコンピューティング環境内の仮想ネットワークに配置されてもよい。

例えば、ＶＬＡＮ６３０、６４０の各々は、複数の計算インスタンス６３２－Ａ、６３２－Ｂ、６４２－Ａ、および６４２－Ｂを含む。ＶＳＲＳ６３４、６４４は、１つのＶＬＡＮ６３０またはＶＬＡＮ６４０内の計算インスタンスと、別のＶＬＡＮ６３０、ＶＬＡＮ６４０またはサブネット６２０内の計算インスタンスとの間の通信を可能にする。いくつかの実施形態において、ＶＳＲＳ６３４、６４４は、１つのＶＬＡＮ６３０またはＶＬＡＮ６４０内の計算インスタンスと、別のＶＣＮ、インターネット、オンプレミスデータセンタなどを含むＶＣＮの外部の別のネットワークとの間の通信を可能にする。このような実施形態において、例えば、計算インスタンス６３２－Ａなどの計算インスタンスは、ＶＬＡＮの外部のエンドポイント、この例ではＬ２ＶＬＡＮＡ６３０の外部のエンドポイントに情報を送信することができる。計算インスタンス（６３２－Ａ）は、ＶＳＲＳＡ６３４に情報を送信することができ、ＶＳＲＳＡ６３４は、情報を、所望のエンドポイントに通信可能に接続されたルータ６２４、６４４またはゲートウェイ６０４、６０８、６１０に送信することができる。所望のエンドポイントに通信可能に接続されたルータ６２４、６４４またはゲートウェイ６０４、６０８、６１０は、計算インスタンス（６３２－Ａ）から情報を受信し、所望のエンドポイントに送信することができる。

図７を参照して、図７は、ＶＬＡＮ７００の論理およびハードウェア概略図を示している。図示のように、ＶＬＡＮ７００は、複数のエンドポイントを含み、具体的には複数の計算インスタンスおよびＶＳＲＳを含む。複数の計算インスタンス（ＣＩ）は、１つ以上のホストマシン上でインスタンス化されている。いくつかの実施形態において、これは、各ＣＩが固有のホストマシン上でインスタンス化されるという１対１の関係であってもよく、および／またはいくつかの実施形態において、これは、複数のＣＩが単一の共通ホストマシン上でインスタンス化されるという多対１の関係であってもよい。様々な実施形態において、ＣＩは、Ｌ２プロトコルを使用して互いに通信するように構成されたレイヤ２ＣＩであってもよい。図７は、いくつかのＣＩが固有のホストマシン上でインスタンス化され、いくつかのＣＩが共通のホストマシンを共有するシナリオを示している。図７に示すように、インスタンス１（ＣＩ１）７０４－Ａは、ホストマシン１７０２－Ａ上でインスタンス化され、インスタンス２（ＣＩ２）７０４－Ｂは、ホストマシン２７０２－Ｂ上でインスタンス化され、インスタンス３（ＣＩ３）７０４－Ｃおよびインスタンス４（ＣＩ４）７０４－Ｄは、共通ホストマシン７０２－Ｃ上でインスタンス化される。

ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄの各々は、ＶＬＡＮ７００内の他のＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄに通信可能に接続され、ＶＳＲＳ７１４に通信可能に接続されている。具体的には、ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄの各々は、Ｌ２ＶＮＩＣおよびスイッチを介して、ＶＬＡＮ７００内の他のＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄに接続され、ＶＳＲＳ７１４に接続されている。各ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄは、固有のＬ２ＶＮＩＣおよびスイッチに関連付けられる。スイッチは、ローカルであり、Ｌ２ＶＮＩＣに一意に関連付けられ、Ｌ２ＶＮＩＣのために展開されたＬ２仮想スイッチであってもよい。具体的には、ＣＩ１７０４－Ａは、Ｌ２ＶＮＩＣ１７０８－Ａおよびスイッチ１７１０－Ａに関連付けられ、ＣＩ２７０４－Ｂは、Ｌ２ＶＮＩＣ２７０８－Ｂおよびスイッチ７１０－Ｂに関連付けられ、ＣＩ３７０４－Ｃは、Ｌ２ＶＮＩＣ３７０８－Ｃおよびスイッチ３７１０－Ｃに関連付けられ、ＣＩ４７０４－Ｄは、Ｌ２ＶＮＩＣ４７０８－Ｄおよびスイッチ４７１０－Ｄに関連付けられる。

いくつかの実施形態において、各Ｌ２ＶＮＩＣ７０８および関連するスイッチ７１０は、ＮＶＤ７０６上でインスタンス化されてもよい。このインスタンス化は、単一のＬ２ＶＮＩＣ７０８および関連するスイッチ７１０が固有のＮＶＤ７０６上でインスタンス化されるという１対１の関係であってもよく、またはこのインスタンス化は、複数のＬ２ＶＮＩＣ７０８および関連するスイッチ７１０が単一の共通のＮＶＤ７０６上でインスタンス化されるという多対１の関係であってもよい。具体的には、Ｌ２ＶＮＩＣ１７０８－Ａおよびスイッチ１７１０－Ａは、ＮＶＤ１７０６－Ａ上でインスタンス化され、Ｌ２ＶＮＩＣ２７０８－Ｂおよびスイッチ２７１０－Ｂは、ＮＶＤ２上でインスタンス化され、Ｌ２ＶＮＩＣ３７０８－Ｃおよびスイッチ３７１０－ＣとＬ２ＶＮＩＣ４７０８－Ｄおよびスイッチ７１０－Ｄとの両方は、共通のＮＶＤ、すなわち、ＮＶＤ７０６－Ｃ上でインスタンス化される。

いくつかの実施形態において、ＶＳＲＳ７１４は、複数のテナントにわたって競合するＶＬＡＮおよびＩＰ空間をサポートすることができる。これは、同じＶＳＲＳ７１４上に複数のテナントを有することを含むことができる。いくつかの実施形態において、これらのテナントの一部または全部は、同じＩＰアドレス空間、同じＭＡＣ空間、および同じＶＬＡＮ空間のうちの一部または全部を選択して使用することができる。これは、アドレスを選択する際にユーザに極めて高い柔軟性を提供することができる。いくつかの実施形態において、このマルチテナンシは、各テナントに別個の仮想ネットワークを提供することによってサポートされ、この仮想ネットワークは、クラウドネットワーク内のプライベートネットワークである。各仮想ネットワーク（例えば、各ＶＬＡＮまたはＶＣＮ）には、ＶＬＡＮ識別子であり得るＶＣＮ識別子などの固有の識別子が与えられる。この固有の識別子は、例えば、制御プレーンによって、具体的には、ＣＳＰＩの制御プレーンによって選択されてもよい。いくつかの実施形態において、この固有の識別子は、パケットカプセル化に含まれ得るおよび／または使用され得る１つ以上のビットを含むことができる。

同様に、いくつかの実施形態において、各ホストは、固有の識別子を有することができ、および／または各仮想インターフェイスもしくは仮想ゲートウェイは、固有の識別子を有することができる。いくつかの実施形態において、これらの固有の識別子、具体的にはテナントの仮想ネットワークの固有の識別子を各通信に符号化することができる。各仮想ネットワークに固有の識別子を与え、これを通信内に含めることによって、ＶＳＲＳの単一のインスタンス化は、重複するアドレスおよび／または名前空間を有する複数のテナントにサービスを提供することができる。

いくつかの実施形態において、ＶＳＲＳ７１４は、通信に関連付けられたＶＣＮ識別子および／またはＶＬＡＮ識別子に基づいて、具体的には通信のＶＣＮヘッダ内のＶＣＮ識別子および／またはＶＬＡＮ識別子に基づいて、パケットがどのテナントに属するかを判断することができる。本開示に開示された実施形態において、ＶＬＡＮに出入りする通信は、ＶＬＡＮ識別子を含み得るＶＣＮヘッダを有することができる。ＶＬＡＮ識別子を含むＶＣＮヘッダに基づいて、ＶＳＲＳは、テナントを決定することができる。言い換えれば、受信ＶＳＲＳは、通信をどのＶＬＡＮおよび／またはどのテナントに送信するかを決定することができる。

また、ＶＬＡＮに属する各計算インスタンス（例えば、Ｌ２計算インスタンス）には、当該計算インスタンスに関連するＬ２ＶＮＩＣを特定する固有のインターフェイス識別子が与えられる。インターフェイス識別子は、コンピュータインスタンスからのトラフィックおよび／またはコンピュータインスタンスへのトラフィック（例えば、フレームのヘッダ）に含まれてもよく、計算インスタンスに関連するＬ２ＶＮＩＣを特定するためにＮＶＤによって使用されてもよい。言い換えれば、インターフェイス識別子は、計算インスタンスおよび／またはそれに関連するＬ２ＶＮＩＣを一意に示すことができる。図７に示すように、スイッチ７１０－Ａ、７１０－Ｂ、７１０－Ｃ、および７１０－Ｄは、共に、本開示では分散スイッチ７１２とも呼ばれるＬ２分散スイッチ７１２を形成することができる。顧客の観点から、Ｌ２分散スイッチ７１２内の各スイッチ７１０－Ａ、７１０－Ｂ、７１０－Ｃ、および７１０－Ｄは、ＶＬＡＮ内の全てのＣＩに接続されている単一スイッチである。しかしながら、単一スイッチのユーザ体験をエミュレートする分散スイッチは、無限に拡張可能であり、ローカルスイッチの集合体（例えば、図７の例示において、スイッチ７１０－Ａ、７１０－Ｂ、７１０－Ｃ、および７１０－Ｄ）を含む。図７に示すように、各ＣＩは、ＮＶＤに接続されているホストマシン上で動作する。ＮＶＤに接続されているホスト上の各ＣＩについて、ＮＶＤは、計算インスタンスに関連するレイヤ２ＶＮＩＣおよびローカルスイッチ（例えば、ＮＶＤにローカルに配置され、レイヤ２ＶＮＩＣに関連付けられ、Ｌ２分散スイッチ７１２の１つのメンバまたは構成要素であるＬ２仮想スイッチ）をホストする。レイヤ２ＶＮＩＣは、レイヤ２ＶＬＡＮ内の計算インスタンスのポートを表す。ローカルスイッチは、Ｌ２ＶＮＩＣを、レイヤ２ＶＬＡＮ内の他の計算インスタンスに関連する他のＬ２ＶＮＩＣ（例えば、他のポート）に接続する。

ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄの各々は、ＶＬＡＮ７００内のＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄの他のものと通信することができ、またはＶＳＲＳ７１４と通信することができる。ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄのうちの１つは、パケットを、ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄのうちの１つの受信ＣＩのＭＡＣアドレスおよびインターフェイスまたはＶＳＲＳ７１４に送信することによって、パケットをＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄのうちの別のものにまたはＶＳＲＳ７１４に送信する。ＭＡＣアドレスおよびインターフェイス識別子は、パケットのヘッダに含まれてもよい。上記で説明したように、インターフェイス識別子は、ＣＩ７０４－Ａ、７０４－Ｂ、７０４－Ｃ、および７０４－Ｄのうちの１つの受信ＣＩのＬ２ＶＮＩＣ、またはＶＳＲＳ７１４のＬ２ＶＮＩＣを示すことができる。

一実施形態において、ＣＩ１７０４－Ａは、ソースＣ１であってもよく、Ｌ２ＶＮＩＣ７０８－Ａは、ソースＶＮＩＣであってもよく、スイッチ７１０－Ａは、ソーススイッチであってもよい。この実施形態において、ＣＩ３７０４－Ｃは、宛先ＣＩであってもよく、Ｌ２ＶＮＩＣ３７０８－Ｃは、宛先ＶＮＩＣであってもよい。ソースＣＩは、ソースＭＡＣアドレスおよび宛先ＭＡＣアドレスを含むパケットを送信することができる。このパケットは、ソースＶＮＩＣおよびソーススイッチをインスタンス化するＮＶＤ７０６－Ａによって傍受されてもよい。

ＶＬＡＮ７００のＬ２ＶＮＩＣ７０８－Ａ、７０８－Ｂ、７０８－Ｃ、および７０８－Ｄの各々は、Ｌ２ＶＮＩＣのＭＡＣアドレス対インターフェイス識別子マッピングを学習することができる。このマッピングは、ＶＬＡＮ７００から受信したパケットおよび／または情報に基づいて学習することができる。ソースＶＮＩＣは、この予め決定したマッピングに基づいて、ＶＬＡＮ内の宛先ＣＩに関連する宛先インターフェイスのインターフェイス識別子を決定することができ、パケットをカプセル化することができる。いくつかの実施形態において、このカプセル化は、ＧＥＮＥＶＥカプセル化、具体的には、パケットのＬ２（イーサネット（登録商標））ヘッダのカプセル化を含むＬ２ＧＥＮＥＶＥカプセル化を含むことができる。カプセル化されたパケットは、宛先ＭＡＣ、宛先インターフェイス識別子、ソースＭＡＣ、およびソースインターフェイス識別子を特定することができる。

ソースＶＮＩＣは、カプセル化されたパケットをソーススイッチに送信することができ、ソーススイッチは、パケットを宛先ＶＮＩＣに送信することができる。パケットを受信すると、宛先ＶＮＩＣは、パケットをデカプセル化した後、パケットを宛先ＣＩに提供することができる。

図８を参照して、複数の接続されたＬ２ＶＬＡＮ８００の論理概略図が示される。図８に示す特定の実施形態において、両方のＶＬＡＮは、同じＶＣＮに配置されている。図示のように、接続されている複数のＬ２ＶＬＡＮ８００は、第１のＶＬＡＮであるＶＬＡＮＡ８０２－Ａと、第２のＶＬＡＮであるＶＬＡＮＢ８０２－Ｂとを含むことができる。これらのＶＬＡＮ８０２－Ａ、８０２－Ｂの各々は、１つ以上のＣＩを含むことができ、各ＣＩは、関連するＬ２ＶＮＩＣおよび関連するＬ２仮想スイッチを有することができる。また、これらのＶＬＡＮ８０２－Ａ、８０２－Ｂの各々は、ＶＳＲＳを含むことができる。

具体的には、ＶＬＡＮＡ８０２－Ａは、Ｌ２ＶＮＩＣ１８０６－Ａおよびスイッチ１８０８－Ａに接続されたインスタンス１８０４－Ａと、Ｌ２ＶＮＩＣ２８０６－Ｂおよびスイッチ８０８－Ｂに接続されたインスタンス２８０４－Ｂと、Ｌ２ＶＮＩＣ３８０６－Ｃおよびスイッチ３８０８－Ｃに接続されたインスタンス３８０４－Ｃとを含むことができる。ＶＬＡＮＢ８０２－Ｂは、Ｌ２ＶＮＩＣ４８０６－Ｄおよびスイッチ４８０８－Ｄに接続されたインスタンス４８０４－Ｄと、Ｌ２ＶＮＩＣ５８０６－Ｅおよびスイッチ８０８－Ｅに接続されたインスタンス５８０４－Ｅと、Ｌ２ＶＮＩＣ６８０６－Ｆおよびスイッチ３８０８－Ｆに接続されたインスタンス６８０４－Ｆとを含むことができる。また、ＶＬＡＮＡ８０２－Ａは、ＶＳＲＳＡ８１０－Ａを含むことができ、ＶＬＡＮＢ８０２－Ｂは、ＶＳＲＳＢ８１０－Ｂを含むことができる。ＶＬＡＮＡ８０２－ＡのＣＩ８０４－Ａ、８０４－Ｂ、８０４－Ｃの各々は、ＶＳＲＳＡ８１０－Ａに通信可能に接続されてもよく、ＶＬＡＮＢ８０２－ＢのＣＩＳ８０４－Ｄ、８０４－Ｅ、８０４－Ｆの各々は、ＶＳＲＳＢ８１０－Ｂに通信可能に接続されてもよい。

ＶＬＡＮＡ８０２－Ａは、対応するＶＳＲＳ８１０－Ａ、８１０－Ｂを介してＶＬＡＮＢ８０２－Ｂに通信可能に接続されてもよい。同様に、各ＶＳＲＳは、ゲートウェイ８１２に接続されてもよく、ゲートウェイ８１２は、各ＶＬＡＮ８０２－Ａ、８０２－Ｂ内のＣＩ８０４－Ａ、８０４－Ｂ、８０４－Ｃ、８０４－Ｄ、８０４－Ｅ、および８０４－Ｆから、ＶＬＡＮ８０２－Ａ、８０２－Ｂが配置されているＶＣＮの外部の他のネットワークへのアクセスを提供することができる。いくつかの実施形態において、これらのネットワークは、例えば、１つ以上のオンプレミスネットワーク、別のＶＣＮ、サービスネットワーク、インターネットなどのパブリックネットワークを含むことができる。

ＶＬＡＮＡ８０２－Ａ内のＣＩ８０４－Ａ、８０４－Ｂ、８０４－Ｃの各々は、各ＶＬＡＮ８０２－Ａ、８０２－ＢのＶＳＲＳ８１０－Ａ、８１０－Ｂを介して、ＶＬＡＮＢ８０２－Ｂ内のＣＩ８０４－Ｄ、８０４－Ｅ、８０４－Ｆと通信することができる。例えば、ＶＬＡＮ８０２－Ａ、８０２－Ｂのうちの一方に配置されているＣＩ８０４－Ａ、８０４－Ｂ、８０４－Ｃ、８０４－Ｄ、８０４－Ｅ、８０４－Ｆのうちの１つは、パケットを、ＶＬＡＮ８０２－Ａ、８０２－Ｂのうちの他方に配置されているＣＩ８０４－Ａ、８０４－Ｂ、８０４－Ｃ、８０４－Ｄ、８０４－Ｅ、８０４－Ｆに送信することができる。このパケットは、ソースＶＬＡＮのＶＳＲＳを介してソースＶＬＡＮから送信され、宛先ＶＬＡＮによって受信され、宛先ＶＳＲＳを介して宛先ＣＩに転送されてもよい。

一実施形態において、Ｃ１１８０４－Ａは、ソースＣ１であってもよく、Ｌ２ＶＮＩＣ８０６－Ａは、ソースＶＮＩＣであってもよく、スイッチ８０８－Ａは、ソーススイッチであってもよい。この実施形態において、Ｃ１５８０４－Ｅは、宛先ＣＩであってもよく、Ｌ２ＶＮＩＣ５８０６－Ｅは、宛先ＶＮＩＣであってもよい。ＶＳＲＳＡ８１０－Ａは、ＳＶＳＲＳとして識別されるソースＶＳＲＳであってもよく、ＶＳＲＳＢ８１０－Ｂは、ＤＶＳＲＳとして識別される宛先ＶＳＲＳであってもよい。

ソースＣＩは、ＭＡＣアドレスを含むパケットを送信することができる。このパケットは、ソースＶＮＩＣをインスタンス化するＮＶＤおよびソーススイッチによって傍受されてもよい。ソースＶＮＩＣは、パケットをカプセル化する。いくつかの実施形態において、このカプセル化は、Ｇｅｎｅｖｅカプセル化、具体的にはＬ２Ｇｅｎｅｖｅカプセル化を含むことができる。カプセル化されたパケットは、宛先ＣＩの宛先アドレスを特定することができる。いくつかの実施形態において、この宛先アドレスは、宛先ＶＳＲＳの宛先アドレスを含むこともできる。宛先ＣＩの宛先アドレスは、宛先ＩＰアドレス、宛先ＣＩの宛先ＭＡＣ、および／または宛先ＣＩの宛先ＶＮＩＣの宛先インターフェイス識別子を含むことができる。宛先ＶＳＲＳの宛先アドレスは、宛先ＶＳＲＳのＩＰアドレス、宛先ＶＳＲＳに関連する宛先ＶＮＩＣのインターフェイス識別子、および／または宛先ＶＳＲＳのＭＡＣアドレスを含むことができる。

ソースＶＳＲＳは、ソーススイッチからパケットを受信することができ、宛先ＩＰアドレスであり得るパケットの宛先アドレスからＶＮＩＣマッピングを検索することができ、パケットを宛先ＶＳＲＳに転送することができる。宛先ＶＳＲＳは、パケットを受信することができる。パケットに含まれる宛先アドレスに基づいて、宛先ＶＳＲＳは、パケットを宛先ＶＮＩＣに転送することができる。宛先ＶＮＩＣは、パケットを受信してデカプセル化した後、パケットを宛先ＣＩに提供することができる。

図９を参照して、図９は、接続された複数のＬ２ＶＬＡＮおよびサブネット９００の論理概略図を示している。図９に示す特定の実施形態において、ＶＬＡＮとサブネットの両方は、同じＶＣＮに配置されている。これは、ＶＬＡＮおよびサブネットの両方の仮想ルータおよびＶＳＲＳが、ゲートウェイを介して接続されるのではなく、直接に接続されていることを示す。

図示のように、これは、第１のＶＬＡＮであるＶＬＡＮＡ９０２－Ａ、第２のＶＬＡＮであるＶＬＡＮＢ９０２－Ｂ、およびサブネット９３０を含むことができる。これらのＶＬＡＮ９０２－Ａ、９０２－Ｂの各々は、１つ以上のＣＩを含むことができ、各ＣＩは、関連するＬ２ＶＮＩＣおよび関連するＬ２スイッチを含むことができる。また、これらのＶＬＡＮ９０２－Ａ、９０２－Ｂの各々は、ＶＳＲＳを含むことができる。同様に、Ｌ３サブネットであり得るサブネット９３０は、１つ以上のＣＩを含むことができ、各ＣＩは、関連するＬ３ＶＮＩＣを含むことができ、Ｌ３サブネット９３０は、仮想ルータ９１６を含むことができる。

具体的には、ＶＬＡＮＡ９０２－Ａは、Ｌ２ＶＮＩＣ１９０６－Ａおよびスイッチ１９０８－Ａに接続されたインスタンス１９０４－Ａと、Ｌ２ＶＮＩＣ２９０６－Ｂおよびスイッチ９０８－Ｂに接続されたインスタンス２９０４－Ｂと、Ｌ２ＶＮＩＣ３９０６－Ｃおよびスイッチ３９０８－Ｃに接続されたインスタンス３９０４－Ｃとを含むことができる。ＶＬＡＮＢ９０２－Ｂは、Ｌ２ＶＮＩＣ４９０６－Ｄおよびスイッチ４９０８－Ｄに接続されたインスタンス４９０４－Ｄと、Ｌ２ＶＮＩＣ５９０６－Ｅおよびスイッチ９０８－Ｅに接続されたインスタンス５９０４－Ｅと、Ｌ２ＶＮＩＣ６９０６－Ｆおよびスイッチ３９０８－Ｆに接続されたインスタンス６９０４－Ｆとを含むことができる。ＶＬＡＮＡ９０２－Ａは、ＶＳＲＳＡ９１０－Ａをさらに含むことができ、ＶＬＡＮＢ９０２－Ｂは、ＶＳＲＳＢ９１０－Ｂを含むことができる。ＶＬＡＮＡ９０２－ＡのＣＩ９０４－Ａ、９０４－Ｂ、９０４－Ｃの各々は、ＶＳＲＳＡ９１０－Ａに通信可能に接続されてもよく、ＶＬＡＮＢ９０２－ＢのＣＩＳ９０４－Ｄ、９０４－Ｅ、９０４－Ｆの各々は、ＶＳＲＳＢ９１０－Ｂに通信可能に接続されてもよい。Ｌ３サブネット９３０は、１つ以上のＣＩを含むことができ、具体的には、Ｌ３ＶＮＩＣ７９０６－Ｇに通信可能に接続されているインスタンス７９０４－Ｇを含むことができる。Ｌ３サブネット９３０は、仮想ルータ９１６を含むことができる。

ＶＬＡＮＡ９０２－Ａは、対応するＶＳＲＳ９１０－Ａ、９１０－Ｂを介してＶＬＡＮＢ９０２－Ｂに通信可能に接続されてもよい。Ｌ３サブネット９３０は、仮想ルータ９１６を介してＶＬＡＮＡ９０２－ＡおよびＶＬＡＮＢ９０２－Ｂに通信可能に接続されてもよい。同様に、仮想ルータ９１６およびＶＳＲＳインスタンス９１０－Ａ、９１０－Ｂの各々は、ゲートウェイ９１２に接続されてもよく、ゲートウェイ９１２は、各ＶＬＡＮ９０２－Ａ、９０２－Ｂおよびサブネット９３０内のＣＩ９０４－Ａ、９０４－Ｂ、９０４－Ｃ、９０４－Ｄ、９０４－Ｅ、９０４－Ｆ、９０４－Ｇから、ＶＬＡＮ９０２－Ａ、９０２－Ｂおよびサブネット９３０が配置されているＶＣＮの外部の他のネットワークへのアクセスを提供することができる。いくつかの実施形態において、これらのネットワークは、例えば、１つ以上のオンプレミスネットワーク、別のＶＣＮ、サービスネットワーク、インターネットなどの公衆ネットワークを含むことができる。

各ＶＳＲＳインスタンス９１０－Ａ、９１０－Ｂは、関連するＶＬＡＮ９０２－Ａ、９０２－Ｂを出るパケットの送信経路と、関連するＶＬＡＮ９０２－Ａ、９０２－Ｂに入るパケットの受信経路とを提供することができる。パケットは、ＶＬＡＮ９０２－Ａ、９０２－ＢのＶＳＲＳインスタンス９１０－Ａ、９１０－Ｂから、同じＶＣＮ、異なるＶＣＮまたはネットワーク上の別のＶＬＡＮ内のＬ２エンドポイント、例えばＬ２ＣＩ、および／または同じＶＣＮ、異なるＶＣＮまたはネットワーク上のサブネット内のＬ３エンドポイント、例えばＬ３ＣＩを含む任意の所望のエンドポイントに送信されてもよい。

一実施形態において、ＣＩ１９０４－Ａは、ソースＣ１であってもよく、Ｌ２ＶＮＩＣ９０６－Ａは、ソースＶＮＩＣであってもよく、スイッチ９０８－Ａは、ソーススイッチであってもよい。この実施形態において、ＣＩ７９０４－Ｇは、宛先ＣＩであってもよく、ＶＮＩＣ７９０６－Ｇは、宛先ＶＮＩＣであってもよい。ＶＳＲＳＡ９１０－Ａは、ＳＶＳＲＳとして識別されるソースＶＳＲＳであってもよく、仮想ルータ（ＶＲ）９１６は、宛先ＶＲであってもよい。

ソースＣＩは、ＭＡＣアドレスを含むパケットを送信することができる。このパケットは、ソースＶＮＩＣをインスタンス化するＮＶＤおよびソーススイッチによって傍受されてもよい。ソースＶＮＩＣは、パケットをカプセル化する。いくつかの実施形態において、このカプセル化は、Ｇｅｎｅｖｅカプセル化、具体的にはＬ２Ｇｅｎｅｖｅカプセル化を含むことができる。カプセル化パケットは、宛先ＣＩの宛先アドレスを特定することができる。いくつかの実施形態において、この宛先アドレスは、ソースＣＩのＶＬＡＮのＶＳＲＳの宛先アドレスを含むこともできる。宛先ＣＩの宛先アドレスは、宛先ＩＰアドレス、宛先ＣＩの宛先ＭＡＣ、および／または宛先ＣＩの宛先ＶＮＩＣの宛先インターフェイス識別子を含むことができる。

ソースＶＳＲＳは、ソーススイッチからパケットを受信することができ、宛先ＩＰアドレスであり得るパケットの宛先アドレスからＶＮＩＣマッピングを検索することができ、パケットを宛先ＶＲに転送することができる。宛先ＶＲは、パケットを受信することができる。パケットに含まれる宛先アドレスに基づいて、宛先ＶＲは、パケットを宛先ＶＮＩＣに転送することができる。宛先ＶＮＩＣは、パケットを受信してデカプセル化した後、パケットを宛先ＣＩに提供することができる。

仮想Ｌ２ネットワーク内の学習
図１０を参照して、ＶＬＡＮ１０００内のＶＬＡＮ域内通信（intra-VLAN communication）および学習の一実施形態の概略図が示される。この学習は、Ｌ２ＶＮＩＣ、ＶＳＲＳＶＮＩＣおよび／またはＬ２仮想スイッチが、ＭＡＣアドレスとＬ２ＶＮＩＣ／ＶＳＲＳＶＮＩＣとの間（より具体的には、Ｌ２計算インスタンスまたはＶＳＲＳに関連付けられたＭＡＣアドレスと、これらのＬ２計算インスタンスのＬ２ＶＮＩＣＳに関連付けられたまたはＶＳＲＳＶＮＩＣに関連付けられたインターフェイス識別子との間）の関連付けを学習する方法に関する具体的なものである。一般的に、学習は、受信トラフィック（ingress traffic）に基づく。インターフェイス対ＭＡＣアドレス学習の態様の場合、この学習は、Ｌ２計算インスタンスが宛先ＭＡＣアドレスを学習するために実施する学習プロセス（例えば、ＡＲＰプロセス）とは異なる。（例えば、Ｌ２ＶＮＩＣ／Ｌ２仮想スイッチおよびＬ２計算インスタンスの）２つの学習プロセスは、図１２において共同で実施されるように示されている。

図示のように、ＶＬＡＮ１０００は、Ｌ２ＶＮＩＣ１１００２－ＡおよびＬ２スイッチ１１００４－Ａをインスタンス化するＮＶＤ１１００１－Ａに通信可能に接続された計算インスタンス１１０００－Ａを含む。また、ＶＬＡＮ１０００は、Ｌ２ＶＮＩＣ２１００２－ＢおよびＬ２スイッチ２１００４－Ａをインスタンス化するＮＶＤ２１００１－Ｂに通信可能に接続された計算インスタンス２１０００－Ｂを含む。さらに、ＶＬＡＮ１０００は、サーバ群上で動作し、ＶＳＲＳＶＮＩＣ１００２－ＣおよびＶＳＲＳスイッチ１００４－Ｃを含むＶＳＲＳ１０１０を含む。スイッチ１００４－Ａ、１００４－Ｂ、１００４－Ｃの全ては、共に分散スイッチを形成する。ＶＳＲＳ１０１０は、エンドポイント１００８に通信可能に接続されている。エンドポイント１００８は、ゲートウェイを含むことができ、具体的には、例えば別のＶＳＲＳの形にしたＬ２／Ｌ３ルータ、または例えば仮想ルータの形にしたＬ３ルータを含むことができる。

ＶＬＡＮ１０００をホストしているＶＣＮの制御プレーン１００１は、ＶＬＡＮ１０００上の各Ｌ２ＶＮＩＣおよびＬ２ＶＮＩＣのネットワーク配置を特定するための情報を保持する。例えば、この情報は、Ｌ２ＶＮＩＣに関連するインターフェイス識別子、および／またはＬ２ＶＮＩＣをホストしているＮＶＤの物理ＩＰアドレスを含むことができる。制御プレーン１００１は、この情報を用いて、ＶＬＡＮ１０００内のインターフェイスを更新する（例えば、周期的に更新するまたはオンデマンドで更新する）。したがって、ＶＬＡＮ内の各Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃは、ＶＬＡＮ内のインターフェイスを特定するための情報を制御プレーン１００１から受信し、この情報をテーブルに入力する。Ｌ２ＶＮＩＣによって入力されたテーブルは、Ｌ２ＶＮＩＣをホストしているＮＶＤにローカルに記憶されてもよい。Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃが既に現在のテーブルを含む場合、Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃは、Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃの現在のテーブルと制御プレーン１００１から受信した情報／テーブルとの間の不一致を判断することができる。いくつかの実施形態において、Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃは、制御プレーン１００１から受信した情報と一致するようにテーブルを更新することができる。

図１０に示すように、パケットは、Ｌ２スイッチ１００４－Ａ、１００４－Ｂ、１００４－Ｃを介して送信され、受信Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃによって受信される。パケットがＬ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃによって受信されると、そのＶＮＩＣは、そのパケットのソースインターフェイス（ソースＶＮＩＣ）およびソースＭＡＣアドレスのマッピングを学習する。制御プレーン１０１０から受信した情報のテーブルに基づいて、ＶＮＩＣは、（本開示ではフレームとも呼ばれる受信パケットからの）ソースＭＡＣアドレスを、ソースＶＮＩＣのインターフェイス識別子、当該ＶＮＩＣのＩＰアドレス、および／または当該ＶＮＩＣをホストしているＮＶＤのＩＰアドレス（インターフェイス識別子およびＩＰアドレスは、テーブルから入手可能である）にマッピングすることができる。したがって、Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃは、受信した情報および／またはパケットに基づいて、インターフェイス識別子対ＭＡＣアドレスマッピングを学習し、Ｌ２ＶＮＩＣ１００２－Ａ、１００２－Ｂ、１００２－Ｃは、この学習したマッピング情報を用いて、テーブル、すなわち、Ｌ２転送テーブル１００６－Ａ、１００６－Ｂ、１００６－Ｃを更新することができる。いくつかの実施形態において、Ｌ２転送テーブルは、ＭＡＣアドレスを含み、ＭＡＣアドレスをインターフェイス識別子または物理ＩＰアドレスのうちの少なくとも１つに関連付ける。このような実施形態において、ＭＡＣアドレスは、Ｌ２計算インスタンスに割り当てられたアドレスであり、Ｌ２計算インスタンスに関連するＬ２ＶＮＩＣによってエミュレートされたポートに対応する。インターフェイス識別子は、Ｌ２ＶＮＩＣおよび／またはＬ２計算インスタンスを一意に特定することができる。仮想ＩＰアドレスは、Ｌ２ＶＮＩＣの仮想ＩＰアドレスであってもよい。また、物理ＩＰアドレスは、Ｌ２ＶＮＩＣをホストしているＮＶＤのＩＰアドレスであってもよい。Ｌ２ＶＮＩＣによって更新されたＬ２転送テーブルは、Ｌ２ＶＮＩＣをホストしているＮＶＤ上にローカルに記憶され、Ｌ２ＶＮＩＣに関連するＬ２仮想スイッチによって使用され、フレームを送信することができる。いくつかの実施形態において、共通ＶＬＡＮ内のＬ２ＶＮＩＣは、マッピングテーブルの全部または一部を共有することができる。

以下、上述したネットワークアーキテクチャを参照して、トラフィックフローを説明する。説明を明確にするために、計算インスタンス２１０００－Ｂ、Ｌ２ＶＮＩＣ２１０００２－Ｂ、Ｌ２スイッチ２１００４－Ｂ、およびＮＶＤ２１００１－Ｂに関連して、トラフィックフローを説明する。この説明は、他の計算インスタンスへのトラフィックフローおよび／または他の計算インスタンスからのトラフィックフローに同様に適用する。

上述したように、ＶＬＡＮは、ＶＣＮにおいてＬ３物理ネットワーク上のオーバーレイＬ２ネットワークとして実装される。ＶＬＡＮのＬ２計算インスタンスは、オーバーレイＭＡＣアドレス（仮想ＭＡＣアドレスとも呼ばれる）をソースＭＡＣアドレスおよび宛先ＭＡＣアドレスとして含むＬ２フレームを送信または受信することができる。また、Ｌ２フレームは、オーバーレイＩＰアドレス（仮想ＩＰアドレスとも呼ばれる）をソースＩＰアドレスおよび宛先ＩＰアドレスとして含むパケットをカプセル化することができる。いくつかの実施形態において、計算インスタンスのオーバーレイＩＰアドレスは、ＶＬＡＮのＣＩＤＲ範囲に属することができる。他のオーバーレイＩＰアドレスは、ＣＩＤＲ範囲内に位置する（この場合、Ｌ２フレームは、ＶＬＡＮ内に流れる）またはＣＩＤＲ範囲外に位置する（この場合、Ｌ２フレームは、他のネットワークに送信されるまたは他のネットワークから受信される）ことができる。Ｌ２フレームは、ＶＬＡＮを一意に特定するためのＶＬＡＮタグを含むことができる。このＶＬＡＮタグを用いて、同じＮＶＤ上の複数のＬ２ＶＮＩＣを区別することができる。Ｌ２フレームは、トンネルを介して、ＮＶＤによってカプセル化されたパケットとして計算インスタンスのホストマシンから、別のＮＶＤから、またはＶＳＲＳをホストするサーバ群から受信されてもよい。これらの異なる場合において、カプセル化されたパケットは、物理ネットワーク上で送信されたＬ３パケットであってもよく、ソースＩＰアドレスおよび宛先ＩＰアドレスは、物理ＩＰアドレスである。Ｇｅｎｅｖｅカプセル化を含む異なる種類のカプセル化が可能である。ＮＶＤは、受信したパケットをデカプセル化してＬ２フレームを抽出することができる。同様に、ＮＶＤは、Ｌ２フレームを送信するために、当該Ｌ２フレームをＬ３パケットにカプセル化し、物理基板上で送信することができる。

計算インスタンス２１０００－ＢからのＶＬＡＮ域内送信トラフィックの場合、ＮＶＤ２１００１－Ｂは、イーサネット（登録商標）リンクを介して、インスタンス２１０００－Ｂのホストマシンからフレームを受信する。フレームは、Ｌ２ＶＮＩＣ２１０００－Ｂを特定するためのインターフェイス識別子を含む。このフレームは、計算インスタンス２１０００－ＢのオーバーレイＭＡＣアドレス（例えば、Ｍ．２）をソースＭＡＣアドレスとして含み、計算インスタンス１１０００－ＡのオーバーレイＭＡＣアドレス（例えば、Ｍ．１）を宛先ＭＡＣアドレスとして含む。インターフェイス識別子が与えられると、ＮＶＤ２１００１－Ｂは、さらなる処理のためにフレームをＬ２ＶＮＩＣ２１００２－Ｂに渡す。Ｌ２ＶＮＩＣ２１００２－Ｂは、フレームをＬ２スイッチ２１００４－Ｂに転送する。Ｌ２スイッチ２１００４－Ｂは、Ｌ２転送テーブル１００６－Ｂに基づいて、宛先ＭＡＣアドレスが既知であるか否か（例えば、Ｌ２転送テーブル１００６－Ｂ内のエントリと一致するか否か）を判断する。

既知である場合、Ｌ２スイッチ２１００４－Ｂは、Ｌ２ＶＮＩＣ１１００２－Ａが関連するトンネルエンドポイントであると決定し、フレームをＬ２ＶＮＩＣ１１００２－Ａに転送する。この転送は、フレームをパケットにカプセル化することおよびパケットをデカプセル化すること（例えば、Ｇｅｎｅｖｅカプセル化およびデカプセル化）を含むことができ、パケットは、フレームと、宛先アドレスとしてのＮＶＤ１１００１－Ａの物理ＩＰアドレス（例えば、ＩＰ．１）と、ソースアドレスとしてのＮＶＤ２１００１－Ｂの物理ＩＰアドレス（例えば、ＩＰ．２）とを含む。

未知である場合、Ｌ２スイッチ２１００４－Ｂは、フレームを（例えば、ＶＬＡＮのＬ２ＶＮＩＣ１１００２－Ａおよび任意の他のＬ２ＶＮＩＣを含む）ＶＬＡＮの様々なＬ２ＶＮＩＣにブロードキャストする。ブロードキャストされたフレームは、関連するＮＶＤ間で処理（例えば、カプセル化、送信、デカプセル化）される。いくつかの実施形態において、このブロードキャストは、物理ネットワークにおいて実行され、より具体的にはエミュレートされる。この物理ネットワークは、フレームをＶＬＡＮのＶＳＲＳを含む各Ｌ２ＶＮＩＣにカプセル化することができる。したがって、ブロードキャストは、一連の複製ユニキャストパケットを介して、物理ネットワークにおいてエミュレートされる。その後、各Ｌ２ＶＮＩＣは、フレームを受信し、Ｌ２ＶＮＩＣ２１００２－Ｂのインターフェイス識別子とソースＭＡＣアドレス（例えば、Ｍ．２）およびソース物理ＩＰアドレス（例えば、ＩＰ．２）との間の関連付けを学習する。

計算インスタンス１１０００－Ａから計算インスタンス２１０００－ＢへのＶＬＡＮ域内受信トラフィックの場合、ＮＶＤ２１００１－Ｂは、ＮＶＤ１からパケットを受信する。パケットは、ソースアドレスとしてのＩＰ．１およびフレームを有し、フレームは、宛先ＭＡＣアドレスとしてのＭ．２およびソースＭＡＣアドレスとしてのＭ．１を含む。また、フレームは、Ｌ２ＶＮＩＣ１１００２－Ａのネットワーク識別子を含む。デカプセル化の時に、Ｌ２ＶＮＩＣ２は、フレームを受信し、このインターフェイス識別子がＭ．１および／またはＩＰ．１と関連していることを学習し、以前に未知である場合、後の送信トラフィックのために、この学習した情報をスイッチ２のＬ２転送テーブル１００６－Ｂに記憶する。代替的には、デカプセル化の時に、Ｌ２ＶＮＩＣ２は、フレームを受信し、このインターフェイス識別子がＭ．１および／またはＩＰ．１に関連していることを学習し、この情報が既知である場合、有効期限をリフレッシュする。

ＶＬＡＮ１０００内のインスタンス２１０００－Ｂから別のＶＬＡＮ内のインスタンスに送信された送信トラフィックの場合、ＶＳＲＳＶＮＩＣおよびＶＳＲＳスイッチを使用することを除いて、フローは、上述した送信トラフィックのフローと同様である。具体的には、宛先ＭＡＣアドレスは、ＶＬＡＮ１０００のＬ２ブロードキャスト内に位置していない（他のＬ２ＶＬＡＮ内に位置する）。したがって、宛先インスタンスのオーバーレイ宛先ＩＰアドレス（例えば、ＩＰ．Ａ）を使用して、この送信トラフィックを送信する。例えば、Ｌ２ＶＮＩＣ２１００２－Ｂは、ＩＰ．ＡがＶＬＡＮ１０００のＣＩＤＲ範囲外に位置すると判断する。したがって、Ｌ２ＶＮＩＣ２１００２－Ｂは、宛先ＭＡＣアドレスをデフォルトゲートウェイＭＡＣアドレス（例えば、Ｍ．ＤＧ）に設定する。Ｌ２スイッチ２１００４－Ｂは、Ｍ．ＤＧに基づいて、（例えば、トンネルを介して、適切なエンドツーエンドカプセル化で）送信トラフィックをＶＳＲＳＶＮＩＣに送信する。ＶＳＲＳＶＮＩＣは、送信トラフィックをＶＳＲＳスイッチに転送する。ＶＳＲＳスイッチは、ルーティング機能を実行する。ＶＬＡＮ１０００のＶＳＲＳスイッチは、オーバーレイ宛先ＩＰアドレス（例えば、ＩＰ．Ａ）に基づいて、（例えば、これらの２つのＶＬＡＮ間の仮想ルータを介して、適切なエンドツーエンドカプセル化で）送信トラフィックを他のＶＬＡＮのＶＳＲＳスイッチに送信する。次に、他のＶＬＡＮのＶＳＲＳスイッチは、ＩＰ．ＡがこのＶＬＡＮのＣＩＤＲ範囲内に位置すると判断してスイッチング機能を実行し、ＩＰ．Ａに基づいてＡＲＰキャッシュを検索することによって、ＩＰ．Ａに関連する宛先ＭＡＣアドレスを決定する。ＡＲＰキャッシュに一致するものが存在しない場合、ＡＲＰ要求を他のＶＬＡＮの異なるＬ２ＶＮＩＣに送信することによって、宛先ＭＡＣアドレスを決定する。そうでない場合、ＶＳＲＳスイッチは、（例えば、トンネルを介して、適切なカプセル化で）送信トラフィックを関連するＶＮＩＣに送信する。

別のＶＬＡＮ内のインスタンスからＶＬＡＮ１０００内のインスタンスへの受信トラフィックの場合、トラフィックフローは、逆方向で行われることを除いて、上記と同様である。ＶＬＡＮ１０００内のインスタンスからＬ３ネットワークへの送信トラフィックの場合、トラフィックフローは、ＶＬＡＮ１０００のＶＳＲＳスイッチが（例えば、パケットを別のＶＳＲＳスイッチを介してルーティングすることなく）仮想ルータを介してパケットを仮想Ｌ３ネットワーク内の宛先ＶＮＩＣに直接にルーティングすることを除いて、上記と同様である。仮想Ｌ３ネットワークからＶＬＡＮ１０００内のインスタンスへの受信トラフィックの場合、トラフィックフローは、ＶＬＡＮ内でパケットをフレームとして送信したＶＬＡＮ１０００ＡのＶＳＲＳスイッチが当該パケットを受信することを除いて、上記と同様である。ＶＬＡＮ１０００と他のネットワークとの間の（送信または受信）トラフィックについても、ＶＳＲＳスイッチは、同様に、送信トラフィックの場合にそのルーティング機能を用いて、適切なゲートウェイ（例えば、ＩＧＷ、ＮＧＷ、ＤＲＧ、ＳＧＷ、ＬＰＧ）を介してパケットを送信し、受信トラフィックの場合にそのスイッチング機能を用いて、ＶＬＡＮ１０００内でフレームを送信する。

図１１を参照して、一実施形態のＶＬＡＮ１１００（例えば、クラウドベースの仮想Ｌ２ネットワーク）の概略図が示されており、具体的にはＶＬＡＮの実装図が示されている。

本開示において上述したように、ＶＬＡＮは、各々がホストマシン上で動作する「ｎ」個の計算インスタンス１１０２－Ａ、１１０２－Ｂ、１１０２－Ｎを含むことができる。前述したように、計算インスタンスとホストマシンとの間に１対１の関連付けがあってもよく、または複数の計算インスタンスと単一のホストマシンとの間に多対１の関連付けがあってもよい。各計算インスタンス１１０２－Ａ、１１０２－Ｂ、１１０２－Ｎは、Ｌ２計算インスタンスであってもよく、少なくとも１つの仮想インターフェイス（例えば、Ｌ２ＶＮＩＣ）１１０４－Ａ、１１０４－Ｂ、１１０４－Ｎおよびスイッチ１１０６－Ａ、１１０６－Ｂ、１１０６－Ｎに関連付けられる。スイッチ１１０６－Ａ、１１０６－Ｂ、１１０６－Ｎは、Ｌ２仮想スイッチであり、共にＬ２分散スイッチ１１０７を形成する。

ホストマシン上の計算インスタンス１１０２－Ａ、１１０２－Ｂ、１１０２－Ｎに関連するＬ２ＶＮＩＣ１１０４－Ａ、１１０４－Ｂ、１１０４－Ｎおよびスイッチ１１０６－Ａ、１１０６－Ｂ、１１０６－Ｎのペアは、ホストマシンに接続されたＮＶＤ１１０８－Ａ、１１０８－Ｂ、１１０８－Ｎ上のソフトウェアモジュールのペアである。各Ｌ２ＶＮＩＣ１１０４－Ａ、１１０４－Ｂ、１１０４－Ｎは、顧客が認識した単一スイッチ（本開示ではｖスイッチと呼ぶ）のＬ２ポートを表す。一般的に、ホストマシン「ｉ」は、計算インスタンス「ｉ」を実行し、ＮＶＤ「ｉ」に接続される。同様に、ＮＶＤ「ｉ」は、Ｌ２ＶＮＩＣ「ｉ」およびスイッチ「ｉ」を実行する。Ｌ２ＶＮＩＣ「ｉ」は、ｖスイッチのＬ２ポート「ｉ」を表す。ｉは、１～ｎの正整数である。ここでも、１対１の関連付けを説明したが、他の種類の関連付けも可能である。例えば、単一のＮＶＤを複数のホストに接続することができ、各ホストは、ＶＬＡＮに属する１つ以上の計算インスタンスを実行する。この場合、ＮＶＤは、各々が計算インスタンスのうちの１つに対応する複数のペアのＬ２ＶＮＩＣおよびスイッチをホストする。

ＶＬＡＮは、ＶＳＲＳ１１１０のインスタンスを含むことができる。ＶＳＲＳ１１１０は、スイッチングおよびルーティング機能を実行し、ＶＳＲＳＶＮＩＣ１１１２およびＶＳＲＳスイッチ１１１４のインスタンスを含む。ＶＳＲＳＶＮＩＣ１１１２は、ｖスイッチ上のポートを表し、このポートは、仮想ルータを介して、ｖスイッチを他のネットワークに接続する。図示のように、ＶＳＲＳ１１１０は、サーバ群１１１６上でインスタンス化されてもよい。

制御プレーン１１１８は、ＶＬＡＮ内のＬ２ＶＮＩＣ１１０４－Ａ、１１０４－Ｂ、１１０４－Ｎおよびそれらの配置を特定するための情報を追跡することができる。また、制御プレーン１１１０は、この情報をＶＬＡＮ内のインターフェイス１１０４－Ａ、１１０４－Ｂ、１１０４－Ｎに提供することができる。

図１１に示すように、ＶＬＡＮは、物理ネットワーク１１２０上で構築され得るクラウドベースの仮想Ｌ２ネットワークであってもよい。いくつかの実施形態において、この物理ネットワーク１１２０は、ＮＶＤ１１０８－Ａ、１１０８－Ｂ、１１０８－Ｎを含むことができる。

一般的に、ＶＬＡＮの第１のＬ２計算インスタンス（例えば、計算インスタンス１１１０２－Ａ）は、Ｌ２プロトコルを使用してＶＬＡＮの第２の計算インスタンス（例えば、計算インスタンス２１１０２－Ｂ）と通信することができる。例えば、フレームは、ＶＬＡＮを介して、２つのＬ２計算インスタンス間に送信されてもよい。それにもかかわらず、フレームは、基礎物理ネットワーク１１２０を介して送信されるように、カプセル化され、トンネル化され、ルーティングされ、および／または他の処理によって処理されてもよい。

例えば、計算インスタンス１１１０２－Ａは、フレームを計算インスタンス２１１０２－Ｂに送信する。ホストマシン１とＮＶＤ１との間のネットワーク接続、ＮＶＤ１と物理ネットワーク１１２０との間のネットワーク接続、物理ネットワーク１１２０とＮＶＤ２との間のネットワーク接続、およびＮＶＤ２とホストマシン２との間のネットワーク接続（例えば、ＴＣＰ／ＩＰ接続、イーサネット（登録商標）接続、トンネリング接続）に応じて、フレームに異なる種類の処理を適用することができる。例えば、フレームは、ＮＶＤ１によって受信され、カプセル化され、計算インスタンス２に到達するまで、このような処理が繰り返される。この処理は、フレームが基礎物理リソース間で送信できるように仮定され、簡潔かつ明瞭にするために、その説明は、ＶＬＡＮおよび関連するＬ２動作の説明から省略される。

仮想Ｌ２ネットワークの通信
仮想Ｌ２ネットワーク内にまたは仮想Ｌ２ネットワーク間に、複数の種類の通信を行うことができる。これらの通信は、ＶＬＡＮ域内通信を含むことができる。このような実施形態において、ソース計算インスタンスは、パケットを当該ソース計算インスタンス（ＣＩ）と同じＶＬＡＮにある宛先計算インスタンスに送信することができる。通信は、パケットをソースＣＩのＶＬＡＮの外部のエンドポイントに送信することをさらに含むことができる。通信は、例えば、第１のＶＬＡＮ内のソースＣＩから第２のＶＬＡＮ内の宛先ＣＩへの通信、第１のＶＬＡＮ内のソースＣＩからＬ３サブネット内の宛先ＣＩへの通信、および／または第１のＶＬＡＮ内のソースＣＩからソースＣＩのＶＬＡＮを含むＶＣＮの外部の宛先ＣＩへの通信を含むことができる。通信は、例えば、宛先ＣＩが宛先ＣＩのＶＬＡＮの外部のソースＣＩから情報を受信することをさらに含むことができる。このソースＣＩは、別のＶＬＡＮ内、Ｌ３サブネット内、またはソースＣＩのＶＬＡＮを含むＶＣＮの外部に配置されてもよい。

ＶＬＡＮ内の各ＣＩは、トラフィックフローにおいて積極的な役割を果たすことができる。これは、本開示ではインターフェイス対ＭＡＣアドレスとも呼ばれるインターフェイス識別子対ＭＡＣアドレスの学習、ＶＬＡＮ内のＬ２転送テーブルを維持するためのＶＬＡＮ内のインスタンスのマッピング、および通信パケットの送信および／または受信を含む。ＶＳＲＳは、ＶＬＡＮ内の通信およびＶＬＡＮの外部のソースＣＩまたは宛先ＣＩとの通信において、積極的な役割を果たすことができる。ＶＳＲＳは、Ｌ２ネットワーク内およびＬ３ネットワークに存在し、送受信を可能にすることができる。

ＶＬＡＮ域内通信
図１２を参照して、図１２は、ＶＬＡＮ域内通信を行うためのプロセス１２００の一実施形態を示すフローチャートである。いくつかの実施形態において、プロセス１２００は、共通ＶＬＡＮ内の計算インスタンスによって実行されてもよい。このプロセスは、具体的には、ソースＣＩがパケットをＶＬＡＮ内の宛先ＣＩに送信するが、その宛先ＣＩのＩＰ対ＭＡＣアドレスマッピングを知らない場合に実行される。これは、例えば、ソースＣＩがＶＬＡＮ内のＩＰアドレスを有する宛先ＣＩにパケットを送信するが、ソースＣＩがそのＩＰアドレスのＭＡＣアドレスを知らない場合に発生し得る。この場合、ＡＲＰプロセスを実行することによって、宛先ＭＡＣアドレスおよびＩＰ対ＭＡＣアドレスマッピングを学習することができる。

ソースＣＩがＩＰ対ＭＡＣアドレスマッピングを知っている場合、ソースＣＩは、パケットを宛先ＣＩに直接に送信することができ、ＡＲＰプロセスを実行する必要がない。いくつかの実施形態において、このパケットは、ソースＶＮＩＣによって傍受されてもよい。このソースＶＮＩＣは、ＶＬＡＮ域内通信時にＬ２ＶＮＩＣである。ソースＶＮＩＣは、宛先ＭＡＣアドレスのインターフェイス対ＭＡＣアドレスマッピングを知っている場合、例えばＬ２カプセル化を用いてパケットをカプセル化することができ、カプセル化されたパケットを宛先ＶＮＩＣに転送することができる。この宛先ＶＮＩＣは、ＶＬＡＮ域内通信時に宛先ＭＡＣアドレスに対してＬ２ＶＮＩＣである。

ソースＶＮＩＣは、ＭＡＣアドレスのインターフェイス対ＭＡＣアドレスマッピングを知らない場合、一態様のインターフェイス対ＭＡＣアドレスの学習プロセスを実行することができる。この学習プロセスは、ソースＶＮＩＣがパケットをＶＬＡＮ内の全てのインターフェイスに送信することを含むことができる。いくつかの実施形態において、このパケットは、ブロードキャストを介してＶＬＡＮ内の全てのインターフェイスに送信されてもよい。いくつかの実施形態において、このブロードキャストは、シリアルユニキャストの形で物理ネットワークに実装されてもよい。このパケットは、宛先ＭＡＣアドレス、宛先ＩＰアドレス、ソースＶＮＩＣのインターフェイス、ＭＡＣアドレスおよびＩＰアドレスを含むことができる。ＶＬＡＮ内のＶＮＩＣの各々は、このパケットを受信することができ、ソースＶＮＩＣのインターフェイス対ＭＡＣアドレスマッピングを学習することができる。

さらに、受信ＶＮＩＣの各々は、パケットをデカプセル化し、デカプセル化されたパケットを関連するＣＩに転送することができる。各ＣＩは、転送されたパケットを評価することができるネットワークインターフェイスを含むことができる。転送されたパケットを受信したＣＩが宛先ＭＡＣおよび／またはＩＰアドレスに一致しないとネットワークインターフェイスが判断した場合、当該パケットは、破棄される。転送されたパケットを受信したＣＩが宛先ＭＡＣおよび／またはＩＰアドレスに一致するとネットワークインターフェイスが判断した場合、当該パケットは、ＣＩによって受信される。いくつかの実施形態において、パケットの宛先ＭＡＣおよび／またはＩＰアドレスに一致するＭＡＣおよび／またはＩＰアドレスを有するＣＩは、応答をソースＣＩに送信することができ、それによって、ソースＶＮＩＣは、宛先ＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習することができ、したがって、ソースＣＩは、宛先ＣＩのＩＰ対ＭＡＣアドレスマッピングを学習することができる。

ソースＣＩがＩＰ対ＭＡＣアドレスマッピングを知らない場合、またはソースＣＩの宛先ＣＩに対するＩＰ対ＭＡＣアドレスマッピングが古い場合、プロセス１２００を実行することができる。

したがって、ＩＰ対ＭＡＣアドレスマッピングが既知である場合、ソースＣＩは、パケットを送信することができる。ＩＰ対ＭＡＣアドレスマッピングが未知である場合、プロセス１２００を実行することができる。インターフェイス対ＭＡＣアドレスマッピングが未知である場合、上記に概説したインターフェイス対ＭＡＣアドレス学習プロセスを実行することができる。インターフェイス対ＭＡＣアドレスマッピングが既知である場合、ＶＮＩＣは、パケットを宛先ＣＩに送信することができる。

プロセス１２００は、ブロック１２０２から始まる。ブロック１２０２において、ソースＣＩは、宛先ＣＩのＩＰ対ＭＡＣアドレスマッピングがソースＣＩに対して未知であると判断する。いくつかの実施形態において、これは、ソースＣＩがパケットの宛先ＩＰアドレスを判断することと、当該宛先ＩＰアドレスがソースＣＩのマッピングテーブルに記憶されたＭＡＣアドレスに関連付けられていないことを判断することとを含んでもよい。代替的には、ソースＣＩは、宛先ＣＩのＩＰ対ＭＡＣアドレスマッピングが古いと判断することができる。いくつかの実施形態において、マッピングが一定の制限時間に更新および／または検証されていない場合、当該マッピングが古いと判断されてもよい。ソースＣＩに対して宛先ＣＩのＩＰ対ＭＡＣアドレスマッピングが未知であるおよび／または古いと判断すると、ソースＣＩは、宛先ＩＰのためのＡＲＰ要求を開始し、ＡＲＰ要求をイーサネットブロードキャストに送信する。

ブロック１２０４において、本開示ではソースインターフェイスとも呼ばれるソースＶＮＩＣは、ソースＣＩからＡＲＰ要求を受信する。ソースインターフェイスは、ＶＬＡＮ上の全てのインターフェイスを特定し、ＡＲＰ要求をＶＬＡＮブロードキャストドメインの全てのインターフェイスに送信する。前述したように、制御プレーンは、ＶＬＡＮ上のインターフェイスの全てを知っており、その情報をＶＬＡＮ上のインターフェイスに提供するため、ソースインターフェイスは、同様に、ＶＬＡＮ内の全てのインターフェイスを知っており、ＡＲＰ要求をＶＬＡＮ内の各インターフェイスに送信することができる。このため、ソースインターフェイスは、ＡＲＰ要求を複製し、ＶＬＡＮ上の各インターフェイスのためにＡＲＰ要求をカプセル化する。各カプセル化されたＡＲＰ要求は、ソースＣＩのインターフェイス識別子、ソースＣＩのＭＡＣアドレス、ソースＣＩのＩＰアドレス、ターゲットＩＰアドレス、および宛先ＣＩのインターフェイス識別子を含む。ソースＣＩインターフェイスは、複製およびカプセル化されたＡＲＰ要求を、シリアルユニキャストとしてＶＬＡＮ内の各インターフェイスに１つずつ送信することによって、イーサネットブロードキャストを複製する。

ブロック１２０６において、ＶＬＡＮブロードキャストドメイン内の全てのインターフェイスは、パケットを受信し、デカプセル化する。パケットがソースＣＩのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子を特定するため、パケットを受信したＶＬＡＮブロードキャストドメイン内の各インターフェイスは、ソースＣＩのソースＶＮＩＣのインターフェイス対ＭＡＣアドレスマッピング（例えば、ソースインターフェイスのインターフェイス識別子対ソースＣＩのＭＡＣアドレスのマッピング）を学習する。ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングの学習の一部として、各インターフェイスは、マッピングテーブル（例えば、Ｌ２転送テーブル）を更新することができ、更新されたマッピングを関連するスイッチおよび／またはＣＩに提供することができる。ＶＳＲＳを除く各受信インターフェイスは、デカプセル化されたパケットを関連するＣＩに転送することができる。転送およびデカプセル化されたパケットを受信したＣＩ、具体的には当該ＣＩのネットワークインターフェイスは、パケットのターゲットＩＰアドレスが当該ＣＩのＩＰアドレスと一致するか否かを判断することができる。いくつかの実施形態において、インターフェイスに関連するＣＩのＩＰアドレスが受信したパケットに指定された宛先ＣＩのＩＰアドレスと一致しない場合、当該ＣＩは、パケットを破棄し、それ以上の動作を行わない。ＶＳＲＳの場合、ＶＳＲＳは、パケットのターゲットＩＰアドレスがＶＳＲＳのＩＰアドレスと一致するか否かを判断することができる。いくつかの実施形態において、ＶＳＲＳのＩＰアドレスが受信したパケットに指定されたターゲットＩＰアドレスと一致しない場合、ＶＳＲＳは、パケットを破棄し、それ以上の動作を行わない。

受信したパケットに指定された宛先ＣＩのＩＰアドレスが受信インターフェイスに関連するＣＩ（宛先ＣＩ）のＩＰアドレスと一致すると判断された場合、ブロック１２０８に示すように、宛先ＣＩは、ユニキャストＡＲＰ応答であり得る応答をソースインターフェイスに送信する。この応答は、宛先ＣＩのＭＡＣアドレスおよびＩＰアドレスと、ソースＣＩのＩＰアドレスおよびＭＡＣアドレスとを含む。後述するように、ＶＳＲＳは、ターゲットＩＰアドレスがＶＳＲＳのＩＰアドレスと一致すると判断した場合、ＡＲＰ応答を送信することができる。

ブロック１２１０に示すように、この応答は、ユニキャストＡＲＰ応答をカプセル化するための宛先インターフェイスによって受信される。いくつかの実施形態において、このカプセル化は、Ｇｅｎｅｖｅカプセル化を含むことができる。宛先インターフェイスは、宛先スイッチを介して、カプセル化されたパケットをソースインターフェイスに転送することができる。カプセル化されたパケットは、宛先ＣＩのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子と、ソースＣＩのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子とを含む。

ブロック１２１２において、ソースインターフェイスは、ＡＲＰ応答を受信およびデカプセル化する。また、ソースインターフェイスは、カプセル化におよび／またはカプセル化されたパケットに含まれる情報に基づいて、宛先ＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習することができる。いくつかの実施形態において、ソースインターフェイスは、ＡＲＰ応答をソースＣＩに転送することができる。

ブロック１２１４において、ソースＣＩは、ＡＲＰ応答を受信する。いくつかの実施形態において、ソースＣＩは、ＡＲＰ応答に含まれる情報に基づいてマッピングテーブルを更新することができ、具体的には、宛先ＣＩのＭＡＣおよびＩＰアドレスに基づいてＩＰ対ＭＡＣアドレスマッピングを反映するようにマッピングテーブルを更新することができる。その後、ソースＣＩは、ＩＰパケット、具体的にはＩＰｖ４またはＩＰｖ６パケットを含む任意のパケットであり得るパケットを宛先ＣＩに送信することができる。このパケットは、ソースＣＩのＭＡＣアドレスおよびＩＰアドレスをパケットのソースＭＡＣアドレスおよびソースＩＰアドレスとして含み、宛先ＣＩのＭＡＣアドレスおよびＩＰアドレスをパケットの宛先ＭＡＣアドレスおよび宛先ＩＰアドレスとして含むことができる。

ブロック１２１６において、ソースインターフェイスは、ソースＣＩからパケットを受信することができる。ソースインターフェイスは、パケットをカプセル化することができ、いくつかの実施形態において、Ｇｅｎｅｖｅカプセル化を用いてパケットをカプセル化することができる。ソースインターフェイスは、カプセル化されたパケットを宛先ＣＩに、具体的には宛先インターフェイスに転送することができる。カプセル化されたパケットは、ソースＣＩのＩＰアドレス、ＭＡＣアドレスおよびインターフェイス識別子をソースＭＡＣアドレス、ソースＩＰアドレス、およびソースインターフェイス識別子として含むことができ、宛先ＣＩのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子を宛先ＭＡＣアドレス、宛先ＩＰアドレス、および宛先インターフェイス識別子として含むことができる。

ブロック１２１８において、宛先インターフェイスは、ソースインターフェイスからパケットを受信する。宛先インターフェイスは、パケットをデカプセル化することができ、その後、パケットを宛先ＣＩに転送することができる。ブロック１２２０において、宛先ＣＩは、宛先インターフェイスからパケットを受信する。

図１３を参照して、図１３は、ＶＬＡＮ域内通信を行うためのプロセス１２００を示す概略図１３００である。図示のように、ＶＬＡＮＡ１３０２は、１０．０．３．０／２４を持つＶＬＡＮＣＩＤＲを有する。ＶＬＡＮＡ１３０２は、１つ以上のハードウェア上でインスタンス化することができ、具体的にはサーバ群１３０６上でインスタンス化することができるＶＳＲＳＶＮＩＣ（ＶＲＶＩ）１３０４を含む。ＶＲＶＩ１３０４は、ＩＰアドレス１０．０．３．１を有することができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．２を有し、Ｌ２ＶＮＩＣ１（ＶＩ１）１３１４およびＬ２スイッチ１をインスタンス化することができるＮＶＤ１（ＳＮ１）１３１２に通信可能に接続された計算インスタンス１（ＣＩ１）１３１０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．３を有し、Ｌ２ＶＮＩＣ２（ＶＩ２）１３２４およびＬ２スイッチ２をインスタンス化することができるＮＶＤ２（ＳＮ２）１３２２に通信可能に接続された計算インスタンス２（ＣＩ２）１３２０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．４を有し、Ｌ２ＶＮＩＣ３（ＶＩ３）１３３４およびＬ２スイッチ３をインスタンス化することができるＮＶＤ３（ＳＮ３）１３３２に通信可能に接続された計算インスタンス３（ＣＩ３）１３３０を含むことができる。

図１３の例に図１２の方法１２００を適用すると、ＣＩ３１３３０は、ソースＣＩであり、ＶＩ３１３３４は、ソースインターフェイスである。また、ＣＩ２１３２０は、宛先ＣＩであり、ＶＩ２１３２４は、宛先インターフェイスである。ＣＩ３が宛先ＩＰアドレス（１０．０．３．３）のＩＰ対ＭＡＣマッピングを有しないと判断すると、ＣＩ３１３３０は、ＡＲＰ要求を送信する。ＡＲＰ要求は、既知のアドレスに対するものであってもよく、具体的には、ＣＩ２１３２０の既知のＩＰアドレスに対するものであってもよい。したがって、いくつかの実施形態において、ＡＲＰ要求は、１０．０．３．３に対するものであってもよい。

このＡＲＰ要求は、ＳＮ３１３３２およびＶＩ３１３３４によって受信される。ＶＩ３１３３４は、ＡＲＰ要求を複製することによって、ＶＬＡＮ１３０２内の各ＣＩのＡＲＰ要求を作成する。ＶＩ３１３３４は、各ＡＲＰ要求をカプセル化し、ＡＲＰ要求をＶＬＡＮ内の各インターフェイスに送信する。これらのカプセル化されたＡＲＰ要求は、ソースＣＩ（ＣＩ３）のＭＡＣアドレス、ソースインターフェイス（ＶＩ３）のインターフェイス識別子、および宛先ＭＡＣアドレスを特定するための情報を含むことができる。これらの要求は、矢印１３５０で示すように、ＶＬＡＮ内の各インターフェイスに送信されてもよい。ＶＬＡＮにおいて、これらの要求は、ブロードキャストＡＲＰ要求であってもよい。

ＶＬＡＮ内のインターフェイスは、カプセル化されたＡＲＰ要求を受信し、ＡＲＰ要求をデカプセル化する。ＡＲＰ要求に含まれる情報および／またはＡＲＰ要求に関連する情報に基づいて、ＶＬＡＮ内のインターフェイスは、それらのマッピングを更新する。具体的には、例えば、ＶＩ１１３１４、ＶＩ２１３２４およびＶＲＶＩ１３０４の各々は、ＣＩ３１３３０からＡＲＰ要求を受信し、ＡＲＰ要求をデカプセル化し、ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習する。ソースＣＩのインターフェイス識別子およびＭＡＣアドレスの両方は、カプセル化されたパケットに含まれる。さらに、ＶＲＶＩ１３０４は、カプセル化されたパケットに含まれる情報に基づいて、ソースＣＩのＩＰ対ＭＡＣアドレスマッピングを更新することができる。

矢印１３５２で示すように、要求されたＩＰアドレスを有するＣＩを有するＶＬＡＮ内のインターフェイスは、ＡＲＰ応答をＣＩ３１３３０に送信することができる。具体的には、図１３に示すように、ＶＩ２１３２４は、ＣＩ２１３２０のインターフェイスであり、ＡＲＰ応答を送信することができる。ＣＩ２からのＡＲＰ応答は、ＶＩ２によって受信され、カプセル化され、ＡＲＰユニキャストとして要求インターフェイス、具体的にはＶＩ３に送信される。本願で前述したように、このＡＲＰ応答の送信は、カプセル化されたＡＲＰ応答を関連するスイッチに提供することを含み、関連するスイッチは、カプセル化されたＡＲＰ応答をＶＩ３に送信することができる。

ＡＲＰ応答は、ＶＩ３によって受信されてもよく、デカプセル化されてもよい。ＶＩ３は、受信したＡＲＰ応答に基づいてＣＩ２のインターフェイス対ＭＡＣマッピングを学習することができ、学習したマッピングをＶＩ３に関連するスイッチに提供することができる。デカプセル化されたパケットは、ＣＩ３に提供されてもよい。ＣＩ３は、デカプセル化されたパケットに基づいて、ＣＩ２１３２０のＩＰ対ＭＡＣアドレスマッピングを学習することができる。ＣＩ３は、パケットをＣＩ２に送信することができる。このパケットは、ＩＰｖ４またはＩＰｖ６パケットなどのＩＰパケットであってもよい。このパケットは、ＣＩ３のＭＡＣおよびＩＰアドレスをソースアドレスとして含み、ＣＩ２のＩＰおよびＭＡＣアドレスを宛先アドレスとして含むことができる。

ＣＩ３によって送信されたパケットは、ＶＩ３によって受信されてもよい。ＶＩ３は、パケットをカプセル化し、パケットをインターフェイスＶＩ２に転送することができる。ＶＩ２は、パケットを受信することができ、パケットをデカプセル化することができ、パケットをＣＩ２に転送することができる。

ＶＬＡＮ間通信
次に図１４を参照して、図１４は、仮想Ｌ２ネットワーク内のＶＬＡＮ間通信を行うためのプロセス１４００の一実施形態を示すフローチャートである。プロセス１４００は、２つの接続されたＶＬＡＮ、例えば図８に示すように複数の接続されたＬ２ＶＬＡＮ８００の全てまたは一部によって実行されてもよい。いくつかの実施形態において、プロセス１４００は、第１のＶＬＡＮ（ソースＶＬＡＮ）内の計算インスタンス（ソースＣＩ）が第２のＶＬＡＮ（宛先ＶＬＡＮ）内の宛先計算インスタンス（宛先ＣＩ）にパケットを送信するときに実行されてもよい。いくつかの実施形態において、ソースＣＩは、宛先ＣＩのＩＰアドレスに基づいて、宛先ＣＩがソースＶＬＡＮの外部にあると判断することができる。例えば、ソースＣＩは、宛先ＩＰがソースＶＬＡＮＣＩＤＲの外部にあると判断することができる。このような場合、ソースＣＩは、ソースＶＬＡＮのＶＳＲＳを介してＩＰパケットを宛先ＣＩに送信することを決定することができる。ソースＣＩが第１のＶＬＡＮのＶＳＲＳ（ソースＶＳＲＳ）のマッピングを既に知っている場合、ソースＣＩは、パケットをソースＶＳＲＳに直接に送信することができる。ソースＣＩがソースＶＳＲＳのマッピングを知らない場合、ソースＣＩおよび関連するＶＮＩＣ（ソースインターフェイスまたはソースＶＮＩＣ）は、まずソースＶＳＲＳのマッピングを学習する。ＶＬＡＮ間通信の実施形態において、ソースＶＮＩＣと宛先ＶＮＩＣの両方は、Ｌ２ＶＮＩＣである。プロセス１４００の第１のステップ１４０２～１４１０は、ソースＶＮＩＣおよびソースＣＩによるソースＶＳＲＳマッピングの学習に関する。

プロセス１４００は、ブロック１４０２から始まる。ブロック１４０２において、宛先ＩＰアドレスを有するソースＣＩは、ＡＲＰ要求を開始する。ＡＲＰ要求を用いて、ソースＶＳＲＳのＩＰ対ＭＡＣアドレスマッピングを決定する。ソースＣＩは、ＡＲＰ要求をイーサネットブロードキャストに送信する。ＡＲＰ要求は、ソースＣＩのＩＰアドレスをソースＩＰアドレスおよびＭＡＣアドレスとして含む。

ブロック１４０４において、ソースＶＮＩＣは、ＡＲＰ要求を受信し、ＡＲＰ要求を複製する。具体的には、ソースＶＮＩＣは、ソースＣＩからＡＲＰ要求を受信し、ＶＬＡＮ上の全てのインターフェイスを特定し、ＡＲＰ要求をＶＬＡＮブロードキャストドメイン上の全てのインターフェイスに送信する。前述したように、制御プレーンは、ＶＬＡＮ上の全てのインターフェイスを知っており、その情報をＶＬＡＮ内のインターフェイスに提供するため、ソースインターフェイスは、同様に、ＶＬＡＮ内の全てのインターフェイスを知っており、ＡＲＰ要求をＶＬＡＮ内の各インターフェイスに送信することができる。このため、ソースインターフェイスは、ＡＲＰ要求を複製し、ＶＬＡＮ上の各インターフェイスのＡＲＰ要求をカプセル化する。各カプセル化されたＡＲＰ要求は、ソースＣＩのインターフェイス識別子およびソースＣＩのＩＰアドレスおよびＭＡＣアドレスをソースアドレスとして含み、宛先ＣＩのインターフェイス識別子およびＩＰアドレスを宛先アドレスとして含む。ソースＣＩインターフェイスは、シリアルユニキャストを介して、複製およびカプセル化されたＡＲＰ要求をＶＬＡＮ内の各インターフェイスに送信することにより、イーサネットブロードキャストを実現する。いくつかの実施形態において、ソースＶＮＩＣは、Ｇｅｎｅｖｅカプセル化を用いて、ＡＲＰ要求をカプセル化することができる。

ブロック１４０６において、ＶＬＡＮブロードキャストドメイン内の全てのインターフェイスは、パケットを受信し、デカプセル化する。パケットがソースＣＩのＭＡＣアドレス、ＩＰアドレスおよびソースインターフェイス識別子を特定するため、パケットを受信したＶＬＡＮブロードキャストドメイン内の各インターフェイスは、ソースＣＩのソースＶＮＩＣのインターフェイス対ＭＡＣアドレスマッピングを学習する。ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングの学習の一部として、各インターフェイスは、対応するマッピングテーブルを更新することができ、更新されたマッピングテーブルを関連するスイッチおよび／またはＣＩに提供することができる。ＶＳＲＳを除く各受信インターフェイスは、デカプセル化されたパケットを関連するＣＩに転送する。転送されたデカプセル化されたパケットを受信したＣＩ、具体的には当該ＣＩのネットワークインターフェイスは、パケットのターゲットＩＰアドレスが当該ＣＩのＩＰアドレスと一致するか否かを判断することができる。そのインターフェイスに関連するＣＩのＩＰアドレスが受信したパケットに指定された宛先ＣＩのＩＰアドレスと一致しない場合、それ以上の動作を行わない。

ソースＶＳＲＳは、ターゲットＩＰアドレスがソースＶＳＲＳのＩＰアドレスと一致すると判断した場合、ブロック１４０８に示すように、ユニキャストＡＲＰ応答であり得る応答をカプセル化し、ソースインターフェイスに送信する。この応答は、ソースＣＩのＭＡＣアドレス、ＩＰアドレス、およびソースＣＩのインターフェイス識別子を宛先アドレスとして含む。さらに、この応答は、ソースＶＳＲＳのＭＡＣアドレス、ＩＰアドレス、およびＶＳＲＳのインターフェイス識別子をソースアドレスとして含む。いくつかの実施形態において、ＡＲＰ応答のカプセル化は、Ｇｅｎｅｖｅカプセル化を含んでもよい。

ブロック１４１０において、ソースインターフェイスは、ＡＲＰ応答を受信し、デカプセル化する。また、ソースインターフェイスは、カプセル化におよび／またはカプセル化されたパケットに含まれる情報に基づいて、ソースＶＳＲＳのインターフェイス対ＭＡＣアドレスマッピングを学習することができる。いくつかの実施形態において、ソースインターフェイスは、ＡＲＰ応答をソースＣＩに転送することができる。

ブロック１４１２において、ソースＣＩは、ＡＲＰ応答を受信する。いくつかの実施形態において、ソースＣＩは、ＡＲＰ応答に含まれる情報に基づいて、具体的には、ソースＶＳＲＳのＭＡＣアドレスおよびＩＰアドレスに基づいて、マッピングテーブルを更新することができる。いくつかの実施形態において、例えば、ソースＣＩは、マッピングテーブルを更新して、ソースＶＳＲＳのＩＰ対ＭＡＣアドレスマッピングを反映することができる。次いで、ソースＣＩは、ＩＰパケット、具体的にはＩＰｖ４またはＩＰｖ６パケットを含む任意のパケットであり得るパケットをソースＶＳＲＳに送信することができる。いくつかの実施形態において、これは、宛先ＣＩのＩＰアドレスを宛先アドレスとして含むＩＰパケットを送信することを含むことができる。いくつかの実施形態において、宛先ＣＩのＩＰアドレスは、パケットのヘッダ、例えば、パケットのＬ３ヘッダに含まれてもよい。このヘッダは、パケットの別のヘッダ、例えばパケットのＬ２ヘッダ内のソースＶＳＲＳのＭＡＣアドレスをさらに含んでもよい。パケットは、ソースＣＩのＭＡＣアドレスおよびソースＣＩのＩＰアドレスを、ソースＭＡＣアドレスおよびソースＩＰアドレスとしてさらに含むことができる。

ブロック１４１４において、ソースインターフェイスは、ソースＣＩからパケットを受信することができる。ソースインターフェイスは、パケットをカプセル化することができる。ソースインターフェイスは、カプセル化パケットをソースＶＳＲＳに、具体的にはソースＶＳＲＳのＶＮＩＣに転送することができる。カプセル化されたパケットは、パケットのアドレスに加えて、ソースＣＩのＭＡＣアドレスおよびインターフェイス識別子をソースＭＡＣアドレスおよびソースインターフェイス識別子として含み、ソースＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子を宛先ＭＡＣアドレスおよび宛先インターフェイス識別子として含むことができる。

ブロック１４１６において、ソースＶＳＲＳは、カプセル化されたパケットを受信する。ソースＶＳＲＳは、パケットをデカプセル化し、ソースＶＳＲＳに関連する任意のアドレス情報（例えば、ソースＶＳＲＳのＩＰアドレス、ＭＡＣアドレスおよび／またはソースＶＳＲＳのインターフェイス識別子を含む）をパケットから除去する。ソースＶＳＲＳは、パケットの宛先ＣＩを特定する。いくつかの実施形態において、ソースＶＳＲＳは、パケットに含まれる宛先ＣＩのＩＰアドレスに基づいて、パケットの宛先ＣＩを特定する。ソースＶＳＲＳは、パケット内の宛先ＩＰアドレスのマッピングを検索する。ＩＰアドレスがＶＣＮのＩＰアドレス空間内にある場合、ソースＶＳＲＳは、ＶＣＮのＩＰアドレス空間においてパケットの宛先ＩＰアドレスのマッピングを検索する。次いで、ソースＶＳＲＳは、Ｌ３カプセル化を用いてパケットを再カプセル化する。いくつかの実施形態において、このＬ３カプセル化は、例えば、ＭＰＬＳｏＵＤＰＬ３カプセル化を含むことができる。その後、ソースＶＳＲＳは、パケットを宛先ＶＬＡＮのＶＳＲＳ（宛先ＶＳＲＳ）に転送する。いくつかの実施形態において、ソースＶＳＲＳは、宛先ＶＳＲＳがパケットのトンネルエンドポイント（ＴＥＰ）となるように、パケットを宛先ＶＳＲＳに転送することができる。Ｌ３カプセル化されたパケットは、ソースＣＩのＩＰアドレスおよびＭＡＣアドレスと、宛先ＣＩのＩＰアドレスとを含む。

ブロック１４１８において、宛先ＶＳＲＳは、パケットを受信し、パケットをデカプセル化する。いくつかの実施形態において、このデカプセル化は、Ｌ３カプセル化を除去することを含むことができる。宛先ＶＳＲＳは、宛先ＣＩのＩＰ対ＭＡＣおよびＭＡＣ対インターフェイスマッピングを知っている場合、宛先ＶＬＡＮ内の宛先ＣＩのインターフェイスおよびＭＡＣアドレスを特定する。代替的には、宛先ＶＳＲＳが宛先ＣＩのマッピングを知らない場合、プロセス１６００のステップ１６１２からステップ１６２２を実行することができる。

ブロック１４２０において、宛先ＶＳＲＳは、パケットを宛先ＣＩの宛先インターフェイスに転送する。いくつかの実施形態において、これは、Ｌ２カプセル化を用いてパケットをカプセル化することを含むことができる。いくつかの実施形態において、パケットは、ソースＣＩのＩＰアドレスおよびＭＡＣアドレス、および／または宛先ＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子を含むことができる。いくつかの実施形態において、パケットは、宛先ＣＩのＭＡＣアドレスおよびインターフェイス識別子をさらに含むことができる。

ブロック１４２２において、宛先インターフェイスは、パケットを受信し、デカプセル化する。具体的には、宛先ＶＮＩＣは、Ｌ２カプセル化を除去する。いくつかの実施形態において、宛先ＶＮＩＣは、パケットを宛先ＣＩに転送する。ブロック１４２４において、宛先ＣＩは、パケットを受信する。

図１５を参照して、図１５は、ＶＬＡＮ間通信を行うためのプロセス１４００を示す概略図１５００である。図示のように、ＶＬＡＮＡ１５０２－Ａは、１０．０．３．０／２４を持つＶＬＡＮＣＩＤＲを有する。ＶＬＡＮＡ１５０２－Ａは、１つ以上のハードウェア上でインスタンス化することができ、具体的にはサーバ群１５０６上でインスタンス化することができるＶＳＲＳＶＮＩＣＡ（ＶＲＶＩＡ）１５０４－Ａを含む。ＶＲＶＩＡ１５０４－Ａは、ＩＰアドレス１０．０．３．１を有することができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．２を有し、Ｌ２ＶＮＩＣ１（ＶＩ１）１５１４およびＬ２スイッチ１をインスタンス化することができるＮＶＤ１（ＳＮ１）１５１２に通信可能に接続された計算インスタンス１（ＣＩ１）１５１０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．３を有し、Ｌ２ＶＮＩＣ２（ＶＩ２）１５２４およびＬ２スイッチ２をインスタンス化することができるＮＶＤ２（ＳＮ２）１５２２に通信可能に接続された計算インスタンス２（ＣＩ２）１５２０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．４を有し、Ｌ２ＶＮＩＣ３（ＶＩ３）１５３４およびＬ２スイッチ３をインスタンス化することができるＮＶＤ３（ＳＮ３）１５３２に通信可能に接続された計算インスタンス３（ＣＩ３）１５３０を含むことができる。

ＶＬＡＮＢ１５０２－Ｂは、１０．０．３４．０／２４を持つＶＬＡＮＣＩＤＲを有する。ＶＬＡＮＢ１５０２－Ｂは、１つ以上のハードウェア上でインスタンス化することができ、具体的にはサーバ群１５０６上でインスタンス化することができるＶＳＲＳＶＮＩＣＢ（ＶＲＶＩＢ）１５０４－Ｂを含む。ＶＲＶＩＢ１５０４－Ｂは、ＩＰアドレス１０．０．４．１を有することができる。ＶＬＡＮは、ＩＰアドレス１０．０．４．２を有し、Ｌ２ＶＮＩＣ４（ＶＩ３）１５４４およびＬ２スイッチ４をインスタンス化することができるＮＶＤ４（ＳＮ４）１５４２に通信可能に接続された計算インスタンス４（ＣＩ４）１５４０を含むことができる。

図１５の例に図１４の方法１４００を適用すると、ＣＩ３１５３０は、ソースＣＩであり、ＶＩ３１５３４は、ソースインターフェイスである。また、ＣＩ４１５４０は、宛先ＣＩであり、ＶＩ４１５４４は、宛先インターフェイスである。ＣＩ３がＶＲＶＩＡ１５０４－ＡのＩＰ－ＭＡＣマッピングを有しないと判断すると、ＣＩ３１５３０は、ＡＲＰ要求を送信する。ＡＲＰ要求は、アドレスに対するものであってもよく、具体的には、ＶＲＶＩＡ１５０４－Ａの既知のＩＰアドレスに対するものであってもよい。したがって、いくつかの実施形態において、ＡＲＰ要求は、１０．０．３．１に対するものであってもよい。

このＡＲＰ要求は、ＳＮ３１５３２およびＶＩ３１５３４によって受信される。ＶＩ３１５３４は、ＡＲＰ要求を複製することによって、ＶＬＡＮ１５０２－Ａ内の各ＣＩのＡＲＰ要求を作成する。ＶＩ３１５３４は、Ｌ２カプセル化を用いて各ＡＲＰ要求をカプセル化し、ＡＲＰ要求をＶＬＡＮ内の各インターフェイスに送信する。これらのカプセル化されたＡＲＰ要求は、ソースＣＩ（ＣＩ３）のＭＡＣアドレスおよびＩＰアドレス、ソースインターフェイス（ＶＩ３）のインターフェイス識別子、およびターゲットＩＰアドレスを特定するための情報を含むことができる。これらの要求は、矢印１５５０で示すように、ＶＬＡＮ内の各インターフェイスに送信されてもよく、具体的には、ＶＬＡＮ内の各インターフェイスがＡＲＰ要求を受信するように、シリアルユニキャストとして送信されてもよい。

ＶＬＡＮ内のインターフェイスは、カプセル化されたＡＲＰ要求を受信し、ＡＲＰ要求をデカプセル化する。ＡＲＰ要求に含まれる情報および／またはＡＲＰ要求に関連する情報に基づいて、ＶＬＡＮ内のインターフェイスは、それらのマッピングを更新する。具体的には、例えば、ＶＩ１１５１４、ＶＩ２１５２４およびＶＲＶＩＡ１５０４－Ａの各々は、ＣＩ３１５３０からユニキャストＡＲＰ要求を受信し、ユニキャストＡＲＰ要求をデカプセル化し、ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習する。インターフェイス識別子およびＭＡＣアドレスの両方は、カプセル化されたパケットに含まれる。

矢印１５５２で示すように、ＶＲＶＩＡ１５０４－Ａは、そのＩＰアドレスが要求されたＩＰアドレスに一致すると判断すると、ＡＲＰ応答をＣＩ３１５３０に送信する。例えば、ＶＲＶＩＡ１５０４－Ａは、Ｌ２カプセル化を用いてＶＲＶＩＡ１５０４－ＡからのＡＲＰ応答をカプセル化することができ、ＡＲＰユニキャストとして要求インターフェイスに、具体的にはＶＩ３に送信することができる。本願で前述したように、このＡＲＰ応答の送信は、カプセル化されたＡＲＰ応答をＶＲＶＩＡ１５０４－Ａに関連するスイッチに提供することを含むことができ、関連するスイッチは、カプセル化されたＡＲＰ応答をＶＩ３に送信することができる。

ＡＲＰ応答は、ＶＩ３によって受信されてもよく、デカプセル化されてもよい。ＶＩ３は、受信したＡＲＰ応答に基づいてＶＲＶＩＡ１５０４－Ａのインターフェイス対ＭＡＣマッピングを学習することができ、学習したマッピングをＶＩ３に関連するスイッチに提供することができる。デカプセル化されたパケットは、ＣＩ３に提供されてもよい。ＣＩ３は、ＶＲＶＩＡ１５０４－ＡのＩＰ対ＭＡＣアドレスマッピングを学習することができ、パケットを送信することができる。このパケットは、ＩＰｖ４またはＩＰｖ６パケットなどのＩＰパケットであってもよい。このパケットは、ＣＩ３のＭＡＣアドレスおよびＩＰアドレスをソースアドレスとして含むことができる。このパケットはさらに、宛先ＣＩ（ＣＩ４１５４０）のＩＰアドレスを宛先アドレスとして含むことができ、ＶＲＶＩＡ１５０４－ＡのＭＡＣアドレスおよびＩＰアドレスを含むことができる。

ＶＩ３は、ＣＩ３によって送信されたパケットを受信することができ、ＶＩ３は、パケットをカプセル化し、パケットをＶＲＶＩＡ１５０４－Ａに転送することができる。ＶＲＶＩＡ１５０４－Ａは、パケットを受信し、パケットをデカプセル化し、パケットの宛先ＩＰアドレス（ＣＩ４のＩＰアドレス）のマッピングを検索することができる。いくつかの実施形態において、パケットのデカプセル化は、パケットからＬ２ヘッダを除去すること、言い換えれば、ヘッダからＶＬＡＮＡ１５０２－Ａに関連する情報除去することを含むことができる。除去された情報は、例えば、ＣＩ３のＭＡＣアドレス、インターフェイスＶＩ３のインターフェイス識別子、および／またはＶＲＶＩＡ１５０４－ＡのＭＡＣアドレスおよびインターフェイス識別子を含むことができる。いくつかの実施形態において、ＶＳＲＳ、したがってＶＲＶＩＡ１５０４－Ａは、Ｌ２ネットワークおよびＬ３ネットワークの両方に常駐することができる。Ｌ２ネットワーク、したがってＶＬＡＮにおいて、ＶＳＲＳは、Ｌ２通信プロトコルを利用することができるが、Ｌ３ネットワークと通信するときにＬ３通信プロトコルを利用することができる。ＶＬＡＮにおいて行われた学習とは対照的に、ＶＳＲＳは、制御プレーンからＬ３ネットワーク内のエンドポイントのマッピングを学習することができる。いくつかの実施形態において、例えば、制御プレーンは、Ｌ３ネットワーク内のインスタンスのＩＰアドレスおよび／またはＭＡＣアドレスのマッピング情報を提供することができる。

ＶＲＶＩＡ１５０４－Ａは、パケットに含まれるＩＰ宛先アドレスのマッピングを検索することができ、言い換えれば、宛先ＣＩのＩＰアドレスのマッピングを検索することができる。いくつかの実施形態において、このマッピングを検索することは、ＶＲＶＩＢ１５０４－ＢをＶＬＡＮＢ１５０２－ＢのＶＳＲＳとして特定することを含むことができる。ＶＲＶＩＡ１５０４－Ａは、パケットをカプセル化し、カプセル化されたパケットをＶＲＶＩＢ１５０４－Ｂに転送することができる。ＶＲＶＩＢ１５０４－Ｂは、宛先ＶＬＡＮおよび／または宛先インターフェイスのトンネルエンドポイント（ＴＥＰ）であってもよい。このカプセル化されたパケットの転送は、ブロック１５５６によって示される。この転送されたパケットは、ソースＣＩ（ＣＩ３）のＩＰアドレスをソースアドレスとして含み、宛先ＣＩ（ＣＩ４）のＩＰアドレスを宛先アドレスとして含むことができる。

ＶＲＶＩＢ１５０４－Ｂは、パケットを受信し、デカプセル化することができる。ＶＲＶＩＢ１５０４－Ｂはさらに、宛先ＩＰアドレスに対応するＶＬＡＮＢ１５０２－Ｂ内のインターフェイスを特定することができる。ＶＲＶＩＢ１５０４－Ｂは、パケットをカプセル化し、ＶＬＡＮＢ１５０４－Ｂ内にトンネリングするためにＬ２ヘッダを追加することができる。次いで、ＶＲＶＩＢ１５０４－Ｂは、パケットを宛先ＣＩに転送することができる。宛先インターフェイスＶＩ４１５４４は、パケットを受信し、デカプセル化した後、イーサネット（登録商標）フレームまたはパケットを宛先ＣＩ１５４０に転送することができる。

受信パケットフロー
図１６を参照して、図１６は、受信パケットフローを行うためのプロセス１６００の一実施形態を示すフローチャートである。具体的には、図１６は、サブネットからパケットを受信するためのプロセス１６００の一実施形態を示す。このプロセスは、システム６００の全部または一部によって実行されてもよく、具体的には、ＶＬＡＮのエンティティ、および（ＶＬＡＮに対して）外部のソースＣＩによって実行されてもよい。外部のソースＣＩは、Ｌ３サブネットに常駐することができる。

プロセス１６００は、ブロック１６０２から始まる。ブロック１６０２において、ソースＬ３ＣＩは、パケットを宛先ＣＩに、具体的にはＶＬＡＮ内の宛先ＩＰアドレスに送信することを決定する。ソースＬ３ＣＩは、マッピングを知らないため、ソースＬ３ＣＩを含むサブネットの仮想ルータのＭＡＣアドレスのためのＡＲＰ要求を送信する。いくつかの実施形態において、このＡＲＰ要求の送信は、ＡＲＰ要求をイーサネットブロードキャストに送信することを含むことができる。ブロック１６０４において、ソースＬ３ＣＩのソースインターフェイスは、ＶＲのＭＡＣアドレスでＡＲＰ要求に応答する。いくつかの実施形態において、ソースインターフェイスは、ソースインターフェイスによってアクセスされるマッピング情報に基づいて、ＶＲのＭＡＣアドレスを決定することができる。

ソースインターフェイスからＡＲＰ応答を受信すると、ブロック１６０６に示すように、ソースＬ３Ｃ１は、ＩＰパケットをＶＲに送信する。いくつかの実施形態において、これは、ソースＬ３ＣＩがパケットを送信することと、ソースＬ３インターフェイスがこのパケットを受信し、カプセル化し、転送することとを含むことができる。いくつかの実施形態において、ソースＬ３インターフェイスは、Ｌ３カプセル化を用いてパケットをカプセル化することができる。Ｌ３カプセル化は、Ｌ３ヘッダから始まる元のパケットを含む。ソースＬ３インターフェイスは、パケットをＶＲに転送することができる。このＩＰパケットは、ＶＲＭＡＣアドレスおよびＶＲインターフェイスに送信されてもよく、ソースＬ３ＣＩのＭＡＣアドレスをＭＡＣアドレスとして含み、ソースＬ３ＣＩのインターフェイス識別子をソースインターフェイス識別子として含むことができる。

ＶＲは、パケットを受信し、デカプセル化する。次いで、ＶＲは、パケット内の宛先ＩＰアドレスのＶＮＩＣマッピングを検索することができる。ＶＲは、パケットがＶＬＡＮＣＩＤＲ内にあると判断することができ、次いで、パケットをカプセル化し、カプセル化されたパケットを、宛先ＣＩを含むＶＬＡＮのＶＳＲＳに転送することができる。いくつかの実施形態において、ＶＲは、Ｌ３カプセル化を用いてパケットをカプセル化することができる。カプセル化されたパケットは、ＶＳＲＳの宛先ＩＰアドレス、ＭＡＣアドレスおよびインターフェイス識別子と、ソースＩＰアドレスとを含むことができる。

ブロック１６１０に示すように、ＶＳＲＳは、パケットを受信し、デカプセル化する。ＶＳＲＳは、宛先ＣＩのマッピング、具体的には受信パケットにおける宛先ＩＰアドレスのマッピングを知っている場合、宛先ＩＰアドレスに対応するＣＩのＴＥＰにＩＰパケットを転送する。これは、宛先ＣＩのＭＡＣアドレスに対応する宛先ＭＡＣと、宛先インターフェイスに対応する宛先インターフェイス識別子とを有するＬ２パケットを生成し、カプセル化することを含むことができる。受信パケットフローの実施形態において、宛先インターフェイスは、Ｌ２ＶＮＩＣである。

ＶＳＲＳが宛先ＣＩマッピングを知らない場合、プロセス１６００は、ブロック１６１２に進み、ＶＳＲＳは、ＩＰパケットを受信し、デカプセル化する。

ＶＳＲＳは、宛先ＭＡＣアドレス対ＶＮＩＣマッピングを知らない場合、インターフェイス対ＭＡＣアドレス学習プロセスを実行することができる。これは、ＶＳＲＳがパケットをＶＬＡＮ内の全てのインターフェイスに送信することを含むことができる。いくつかの実施形態において、このパケットは、ブロードキャストを介して、ＶＬＡＮ内の全てのインターフェイスに送信されてもよい。このパケットは、宛先ＭＡＣおよびＩＰアドレスと、ＶＳＲＳのインターフェイス識別子およびＭＡＣアドレスと、ソースＣＩのＩＰアドレスとを含むことができる。ＶＬＡＮ内の各ＶＮＩＣは、このパケットを受信することができ、ＶＳＲＳのインターフェイス対ＭＡＣアドレスマッピングを学習することができる。

各受信ＶＮＩＣはさらに、パケットをデカプセル化し、デカプセル化されたパケットを関連するＣＩに転送することができる。各ＣＩは、転送されたパケットを評価することができるネットワークインターフェイスを含むことができる。転送されたパケットを受信したＣＩが宛先ＭＡＣおよび／またはＩＰアドレスと一致しないとネットワークインターフェイスが判断した場合、パケットは、破棄される。転送されたパケットを受信したＣＩが宛先ＭＡＣおよび／またはＩＰアドレスと一致するとネットワークインターフェイスが判断した場合、パケットは、ＣＩによって受信される。いくつかの実施形態において、パケットの宛先ＭＡＣおよび／またはＩＰアドレスと一致するＭＡＣおよび／またはＩＰアドレスを有するＣＩは、応答をＶＳＲＳに送信することができる。これによって、ＶＳＲＳは、宛先ＣＩのインターフェイス対ＭＡＣアドレスマッピングおよびＩＰ対ＭＡＣアドレスマッピングを学習することができる。

代替的には、ＶＳＲＳは、宛先ＣＩマッピングを知らない場合、具体的には宛先ＩＰアドレス対ＭＡＣアドレスマッピングを知らない場合、ＩＰパケットを保留する。次いで、ＶＳＲＳは、ＶＬＡＮブロードキャストドメイン内のＶＳＲＳの全てのインターフェイスに宛先ＩＰアドレスに対するＡＲＰ要求を生成する。このＡＲＰ要求は、ＶＳＲＳＭＡＣをソースＭＡＣとして含み、ＶＳＲＳインターフェイスのインターフェイス識別子をソースインターフェイスとして含み、宛先ＩＰアドレスをターゲットＩＰアドレスとして含む。いくつかの実施形態において、このＡＲＰ要求は、ＶＬＡＮ内の全てのインターフェイスにブロードキャストすることができる。

ブロック１６１４において、ＶＬＡＮブロードキャストドメイン内の全てのインターフェイスは、パケットを受信し、デカプセル化する。パケットがＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子を特定するため、パケットを受信したＶＬＡＮブロードキャストドメイン内の各インターフェイスは、ＶＳＲＳのインターフェイス対ＭＡＣアドレスマッピングを学習する。ＶＳＲＳのインターフェイス対ＭＡＣアドレスマッピングを学習することの一部として、各インターフェイスは、マッピングテーブルを更新することができ、更新したマッピングテーブルを関連するスイッチおよび／またはＣＩに提供することができる。

各受信インターフェイスは、デカプセル化されたパケットを関連するＣＩに転送することができる。転送されたデカプセル化されたパケットを受信したＣＩ、具体的には当該ＣＩのネットワークインターフェイスは、パケットの宛先ＩＰアドレスが当該ＣＩのＩＰアドレスと一致するか否かを判断することができる。インターフェイスに関連するＣＩのＩＰアドレスが受信したパケットに指定された宛先ＣＩのＩＰアドレスと一致しない場合、それ以上の動作を行わない。

受信したパケットに指定された宛先ＣＩのＩＰアドレスが受信インターフェイス（宛先ＣＩ）に関連するＣＩのＩＰアドレスと一致すると判断された場合、ブロック１６１６に示すように、宛先ＣＩは、ユニキャストＡＲＰ応答であり得る応答をソースインターフェイスに送信する。この応答は、宛先ＣＩのＭＡＣアドレスおよびＩＰアドレスと、ＶＳＲＳのＭＡＣアドレスおよびＩＰアドレスとを含む。ブロック１６１８に示すように、この応答は、ユニキャストＡＲＰ応答をカプセル化する宛先インターフェイスによって受信される。宛先インターフェイスは、宛先スイッチを介して、カプセル化されたパケットをＶＳＲＳに転送することができる。カプセル化されたパケットは、宛先ＣＩのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子と、ＶＳＲＳのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子とを含む。

ブロック１６２０において、ＶＳＲＳ、具体的にはＶＳＲＳインターフェイスは、ＡＲＰ応答を受信し、デカプセル化する。ＶＳＲＳ、具体的にはＶＳＲＳインターフェイスはさらに、カプセル化におよび／またはカプセル化されたパケットに含まれた情報に基づいて、宛先ＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習することができる。

ブロック１６２２において、ＶＳＲＳは、Ｌ２ヘッダをカプセル化し、以前に保留されたＩＰパケットに追加することができ、その後、以前に保留されたＩＰパケットを宛先ＣＩに、具体的には宛先インターフェイスに転送することができる。宛先インターフェイスは、パケットをデカプセル化し、デカプセル化されたパケットを宛先ＣＩに提供することができる。ＶＳＲＳによって転送されたこのパケットは、ＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子をソースＭＡＣアドレスおよびソースインターフェイス識別子として含み、宛先ＣＩのＭＡＣアドレスおよびインターフェイス識別子を宛先ＭＡＣアドレスおよび宛先インターフェイス識別子として含むことができる。このパケットは、宛先ＣＩのＩＰアドレスおよびソースＣＩのＩＰアドレスをさらに含むことができる。

宛先インターフェイスは、ＶＳＲＳからパケットを受信し、パケットをデカプセル化する。このデカプセル化は、ＶＳＲＳによって追加されたヘッダを除去することを含むことができる。ヘッダは、ＶＣＮヘッダであってもよい。次いで、宛先インターフェイスは、パケットを宛先ＣＩに転送することができ、宛先ＣＩは、宛先インターフェイスからパケットを受信することができる。

図１７を参照して、図１７は、受信通信を行うためのプロセス１６００を示す概略図１７００である。図示のように、ＶＬＡＮＡ１５０２－Ａは、１０．０．３．０／２４を持つＶＬＡＮＣＩＤＲを有する。ＶＬＡＮＡ１５０２－Ａは、１つ以上のハードウェア上でインスタンス化することができ、具体的にはサーバ群１５０６上でインスタンス化することができるＶＳＲＳＶＮＩＣＡ（ＶＲＶＩＡ）１５０４－Ａを含む。ＶＲＶＩＡ１５０４－Ａは、ＩＰアドレス１０．０．３．１を有することができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．２を有し、Ｌ２ＶＮＩＣ１（ＶＩ１）１５１４およびＬ２スイッチ１をインスタンス化することができるＮＶＤ１（ＳＮ１）１５１２に通信可能に接続された計算インスタンス１（ＣＩ１）１５１０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．３を有し、Ｌ２ＶＮＩＣ２（ＶＩ２）１５２４およびＬ２スイッチ２をインスタンス化することができるＮＶＤ２（ＳＮ２）１５２２に通信可能に接続された計算インスタンス２（ＣＩ２）１５２０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．４を有し、Ｌ２ＶＮＩＣ３（ＶＩ３）１５３４およびＬ２スイッチ３をインスタンス化することができるＮＶＤ３（ＳＮ３）１５３２に通信可能に接続された計算インスタンス３（ＣＩ３）１５３０を含むことができる。

Ｌ３計算インスタンス４（ＣＩ４）１７４４であり得る計算インスタンスは、ＶＬＡＮＡ１７０２－Ａの外部のサブネット１７３９上に常駐することができる。ＣＩ４は、ＩＰアドレス１０．０．４．４を有することができ、Ｌ３ＶＮＩＣ４（ＶＩ４）１７４４をインスタンス化することができるＮＶＤ４（ＳＮ４）１７４２と通信可能に接続することができる。

図１７の例に図１６の方法１６００を適用すると、ＣＩ４１７４０は、ソースＣＩであり、ＶＩ４１７４４は、ソースインターフェイスである。また、ＣＩ３１７３０は、宛先ＣＩであり、ＶＩ３１７３４は、宛先インターフェイスである。ＣＩ４は、パケットをＣＩ３に送信するマッピングを知らないと判断する。したがって、ＣＩ４は、サブネット仮想ルータのＩＰアドレスに対してＡＲＰ要求を送信する。この要求に応答して、いくつかの実施形態において、サブネット仮想ルータのインスタンスを含むＮＶＤ上に存在し得るＶＩ４は、ＶＲのＩＰアドレスを用いてＣＩ４に直接に応答する。ＣＩ４は、ＶＲのＩＰアドレスを学習し、パケットをＶＲに送信する。ＶＲは、パケットを受信し、マッピング情報に基づいて、パケットをカプセル化し、矢印１７４８で示すように、パケットをＶＳＲＳに転送する。

ＶＳＲＳは、パケットを受信し、ＶＳＲＳが宛先ＣＩへのマッピング、具体的にはＩＰ対ＭＡＣアドレスマッピングを知らない場合、ＶＳＲＳは、パケットを保留し、ＡＲＰ要求をＶＬＡＮＡ１７０４－Ａの全てのインターフェイスに送信する。このＡＲＰ要求は、ＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子を含む。ＶＬＡＮＡ１７０４－Ａ内の各受信インターフェイスは、ＡＲＰ要求に基づいて、ＶＳＲＳのマッピングを学習する。同様に、各インターフェイスは、パケットをデカプセル化し、パケットをそのＣＩに送信する。デカプセル化されたパケットを受信すると、ＣＩ３は、それがパケットに指定されたＣＩであると判断し、そのＭＡＣアドレスで応答するＡＲＰ応答を生成する。ＶＩ３は、ＡＲＰ応答を受信してカプセル化し、カプセル化されたＡＲＰ応答をＶＳＲＳに転送する。カプセル化されたＡＲＰ応答は、ＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子と、ＣＩ３のインターフェイスのＭＡＣアドレスおよびインターフェイス識別子とを含む。

ＶＳＲＳは、ＡＲＰ応答を受信し、ＣＩ３のＩＰアドレス対ＭＡＣアドレスマッピングおよびＭＡＣアドレス対インターフェイスマッピングを学習する。次いで、ＶＳＲＳは、以前に保留されたパケットをＣＩ３に転送する。このパケットは、ＶＩ３によって受信され、デカプセル化され、ＣＩ３に転送される。

送信パケットフロー
次に図１８を参照して、図１８は、ＶＬＡＮからの送信パケットフローを行うためのプロセス１８００の一実施形態を示すフローチャートである。いくつかの実施形態において、パケットは、ＶＬＡＮから、別のＶＬＡＮに、サブネットに、または別のネットワークに送信することができる。プロセス１８００は、システム６００の全てまたは一部によって実行されてもよく、具体的には、ＶＬＡＮのエンティティによって実行されてもよい。いくつかの実施形態において、プロセスの一部は、（ＶＬＡＮに対して）外部のソースＣＩによって実行されてもよい。外部のソースＣＩは、Ｌ３サブネットに常駐することができる。

いくつかの実施形態において、プロセス１８００は、ＶＬＡＮ（ソースＶＬＡＮ）内の計算インスタンス（ソースＣＩ）がＶＬＡＮの外部の宛先計算インスタンス（宛先ＣＩ）にパケットを送信するときに実行されてもよい。ソースＣＩは、第１のＶＬＡＮのＶＳＲＳ（ソースＶＳＲＳ）のマッピングを既に知っている場合、パケットをソースＶＳＲＳに直接に送信することができる。ソースＣＩがソースＶＳＲＳのマッピングを知らない場合、ソースＣＩおよび関連するＶＮＩＣ（ソースインターフェイスまたはソースＶＮＩＣ）は、まずソースＶＳＲＳのマッピング、具体的にはソースＶＳＲＳのＩＰ対ＭＡＣアドレスマッピングを学習する。Ｌ２ＶＬＡＮからの送信パケットフローの実施形態において、ソースＶＮＩＣは、Ｌ２ＶＮＩＣである。プロセス１８００の第１のステップ１８０２～１８１０は、ソースＶＮＩＣおよびソースＣＩによるソースＶＳＲＳマッピングの学習に関する。

プロセス１８００は、ブロック１８０２から始まる。ブロック１８０２において、ソースＣＩは、ＡＲＰ要求を開始する。ＡＲＰ要求は、ソースＶＳＲＳのＩＰ対ＭＡＣアドレスマッピングを決定するために使用される。ＡＲＰ要求は、ソースＣＩによってイーサネットブロードキャストに送信される。ＡＲＰ要求は、ソースＣＩのＭＡＣアドレス、ＩＰアドレスおよびインターフェイス識別子をソースアドレスおよびソースインターフェイス識別子として含む。ＡＲＰ要求はさらに、ソースＶＳＲＳのＩＰアドレスを含む。

ブロック１８０４において、ソースＶＮＩＣは、ＡＲＰ要求を受信し、ＡＲＰ要求を複製する。具体的には、ソースＶＮＩＣは、ソースＣＩからＡＲＰ要求を受信し、ＶＬＡＮ上の全てのインターフェイスを特定し、ＡＲＰ要求をＶＬＡＮブロードキャストドメイン上の全てのインターフェイスに送信する。前述したように、制御プレーンは、ＶＬＡＮ上のインターフェイスの全てを知り、その情報をＶＬＡＮ内のインターフェイスに提供するため、ソースインターフェイスは、同様に、ＶＬＡＮ内のインターフェイスの全てを知り、ＶＬＡＮ内の各インターフェイスにＡＲＰ要求を送信することができる。これを行うために、ソースインターフェイスは、ＡＲＰ要求を複製し、ＶＬＡＮ上の各インターフェイスのために、ＡＲＰ要求のうちの１つをカプセル化する。各カプセル化されたＡＲＰ要求は、ソースＣＩのインターフェイス識別子およびソースＣＩのＭＡＣおよび／またはＩＰアドレスをソースアドレスとして含み、宛先ＣＩインターフェイス識別子を宛先アドレスとして含む。ソースＣＩのインターフェイスは、シリアルユニキャストを介して複製およびカプセル化されたＡＲＰ要求を送信することによって、イーサネットブロードキャストを複製する。いくつかの実施形態において、ソースＶＮＩＣは、Ｇｅｎｅｖｅカプセル化を用いてＡＲＰ要求をカプセル化することができる。

ブロック１８０６において、ＶＬＡＮブロードキャストドメイン内の全てのインターフェイスは、パケットを受信し、デカプセル化する。パケットがソースＣＩのＭＡＣアドレスおよびインターフェイス識別子を特定するため、パケットを受信したＶＬＡＮブロードキャストドメイン内の各インターフェイスは、ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習する。これに加えて、ＶＳＲＳは、ソースＣＩのＩＰ対ＭＡＣアドレスマッピングを学習する。ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習することの一部として、各インターフェイスは、マッピングテーブルを更新することができ、更新されたマッピングテーブルを関連するスイッチおよび／またはＣＩに提供することができる。ＶＳＲＳを除く各受信インターフェイスは、デカプセル化されたパケットを関連するＣＩに転送することができる。転送されたデカプセル化されたパケットを受信したＣＩ、具体的には当該ＣＩのネットワークインターフェイスは、パケットの宛先ＩＰアドレスがＣＩのＩＰアドレスと一致するか否かを判断することができる。インターフェイスに関連するＣＩのＩＰアドレスが受信したパケットに指定された宛先ＣＩのＩＰアドレスと一致しない場合、それ以上の動作を行わない。

ソースＶＳＲＳは、宛先ＩＰアドレスがソースＶＳＲＳのＩＰアドレスと一致すると判断する場合、ブロック１８０８に示すように、ユニキャストＡＲＰ応答であり得る応答をカプセル化し、ソースインターフェイスに送信する。この応答は、ソースＣＩのＭＡＣアドレスおよびＩＰアドレスを宛先アドレスとして含み、ソースＣＩのインターフェイス識別子を宛先インターフェイス識別子として含む。この応答はさらに、ソースＶＳＲＳのＭＡＣアドレスおよびＩＰアドレスをソースアドレスとして含み、ソースＶＳＲＳのインターフェイス識別子をソースインターフェイス識別子として含む。

ブロック１８１０において、ソースインターフェイスは、ＡＲＰ応答を受信し、デカプセル化する。ソースインターフェイスはさらに、カプセル化におよび／またはカプセル化されたパケットに含まれる情報に基づいて、ソースＶＳＲＳのインターフェイス対ＭＡＣアドレスマッピングを学習することができる。いくつかの実施形態において、ソースインターフェイスは、ＡＲＰ応答をソースＣＩに転送することができる。

ブロック１８１２において、ソースＣＩは、ＡＲＰ応答を受信する。いくつかの実施形態において、ソースＣＩは、ＡＲＰ応答に含まれる情報に基づいて、具体的には、ソースＶＳＲＳのＭＡＣアドレスおよびソースＶＳＲＳのＩＰアドレスに基づいて、マッピングテーブルを更新することができる。次いで、ソースＣＩは、ＩＰパケット、具体的にはＩＰｖ４またはＩＰｖ６パケットを含む任意のパケットであり得るパケットをソースＶＳＲＳに送信することができる。いくつかの実施形態において、これは、ソースＶＳＲＳのＭＡＣアドレスおよびソースＶＳＲＳのＩＰアドレスの宛先アドレスを有するＩＰパケットを送信することを含むことができる。パケットは、ソースＣＩのＭＡＣアドレスおよびＩＰアドレスをソースアドレスとしてさらに含むことができる。

ブロック１８１４において、ソースインターフェイスは、ソースＣＩからパケットを受信する。ソースインターフェイスは、パケットをカプセル化する。ソースインターフェイスは、カプセル化されたパケットをソースＶＳＲＳに、具体的にはソースＶＳＲＳのＶＮＩＣに転送することができる。カプセル化されたパケットは、ソースＣＩのＭＡＣアドレスおよびインターフェイス識別子をソースＭＡＣアドレスおよびソースインターフェイス識別子として含み、ソースＶＳＲＳのＭＡＣアドレスおよびインターフェイス識別子を宛先ＭＡＣアドレスおよび宛先インターフェイス識別子として含むことができる。カプセル化されたパケットは、ソースＣＩのＩＰアドレスおよびソースＶＳＲＳのＩＰアドレスをさらに含むことができる。

ブロック１８１６において、ソースＶＳＲＳは、カプセル化されたパケットを受信する。ソースＶＳＲＳは、パケットの宛先ＣＩを特定する。いくつかの実施形態において、ソースＶＳＲＳは、パケットに含まれる宛先ＣＩのＩＰアドレスに基づいて、パケットの宛先ＣＩを特定する。ソースＶＳＲＳは、パケットの宛先ＩＰアドレスのマッピングを検索する。ＩＰアドレスがＶＣＮのＩＰアドレス空間内にある場合、ソースＶＳＲＳは、ＶＣＮのＩＰアドレス空間においてパケットの宛先ＩＰアドレスのマッピングを検索する。次いで、ソースＶＳＲＳは、Ｌ３カプセル化を用いてパケットを再カプセル化する。

次いで、ソースＶＳＲＳは、パケットを宛先ＣＩに転送する。いくつかの実施形態において、これは、宛先ＣＩを含むサブネットに関連するＶＲにカプセル化されたパケットを転送すること、および／またはパケットがＶＣＮから出ることを可能にするようにパケットをゲートウェイに転送することを含むことができる。いくつかの実施形態において、パケットを宛先ＣＩに転送することは、宛先ＣＩに関連するＴＥＰにパケットを転送することを含むことができる。Ｌ３カプセル化されたパケットは、ソースＣＩのＩＰアドレスをソースアドレスとして含み、宛先ＣＩのＩＰアドレスを宛先アドレスとして含む。

ブロック１８２０において、宛先インターフェイスは、パケットを受信し、デカプセル化する。いくつかの実施形態において、宛先ＶＮＩＣは、パケットを宛先ＣＩに転送する。ブロック１８２２において、宛先ＣＩは、パケットを受信する。

図１９を参照して、図１９は、送信パケットフローを行うためのプロセス１８００を示す概略図１９００である。図示のように、ＶＬＡＮＡ１５０２－Ａは、１０．０．３．０／２４を持つＶＬＡＮＣＩＤＲを有する。ＶＬＡＮＡ１５０２－Ａは、１つ以上のハードウェア上でインスタンス化することができ、具体的にはサーバ群１５０６上でインスタンス化することができるＶＳＲＳＶＮＩＣＡ（ＶＲＶＩＡ）１５０４－Ａを含む。ＶＲＶＩＡ１５０４－Ａは、ＩＰアドレス１０．０．３．１を有することができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．２を有し、Ｌ２ＶＮＩＣ１（ＶＩ１）１５１４およびＬ２スイッチ１をインスタンス化することができるＮＶＤ１（ＳＮ１）１５１２に通信可能に接続された計算インスタンス１（ＣＩ１）１５１０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．３を有し、Ｌ２ＶＮＩＣ２（ＶＩ２）１５２４およびＬ２スイッチ２をインスタンス化することができるＮＶＤ２（ＳＮ２）１５２２に通信可能に接続された計算インスタンス２（ＣＩ２）１５２０を含むことができる。ＶＬＡＮは、ＩＰアドレス１０．０．３．４を有し、Ｌ２ＶＮＩＣ３（ＶＩ３）１５３４およびＬ２スイッチ３をインスタンス化することができるＮＶＤ３（ＳＮ３）１５３２に通信可能に接続された計算インスタンス３（ＣＩ３）１５３０を含むことができる。

Ｌ３計算インスタンス４（ＣＩ４）１９４４であり得る計算インスタンスは、ＶＬＡＮＡ１９０２－Ａの外部のサブネット１９３９上に常駐することができる。ＣＩ４は、ＩＰアドレス１０．０．４．４を有することができ、Ｌ３ＶＮＩＣ４（ＶＩ４）１９４４をインスタンス化することができるＮＶＤ４（ＳＮ４）１９４２と通信可能に接続することができる。サブネット１９３９は、仮想ルータ（ＶＲ）１９４８を含むことができる。ＶＲ１９４８は、ＩＰアドレス１０．０．４．１を有することができる。ＶＲ１９４８は、例えば、スマートＮＩＣ、サーバ、サーバ群上でインスタンス化されてもよい。

図１９の例に図１８の方法１８００を適用すると、ＣＩ３１９３０は、ソースＣＩであり、ＶＩ３１９３４は、ソースインターフェイスである。また、ＣＩ４１９４０は、宛先ＣＩであり、ＶＩ４１９４４は、宛先インターフェイスである。ＣＩ３がＶＲＶＩＡ１９０４－ＡのＩＰ対ＭＡＣマッピングを有しないと判断すると、ＣＩ３１９３０は、ＡＲＰ要求を送信する。ＡＲＰ要求は、既知のアドレスに対するものであってもよく、具体的には、ＶＲＶＩＡ１９０４－Ａの既知のＩＰアドレスに対するものであってもよい。したがって、いくつかの実施形態において、ＡＲＰ要求は、１０．０．３．１に対するものであってもよい。

このＡＲＰ要求は、ＳＮ３１９３２およびＶＩ３１９３４によって受信される。ＶＩ３１９３４は、ＡＲＰ要求を複製することによって、ＶＬＡＮ１９０２－Ａ内の各ＣＩのＡＲＰ要求を作成する。ＶＩ３１９３４は、Ｌ２カプセル化を用いて各ＡＲＰ要求をカプセル化し、ＡＲＰ要求をＶＬＡＮ内の各インターフェイスに送信する。これらのカプセル化されたＡＲＰ要求は、ソースＣＩ（ＣＩ３）のＭＡＣアドレス、ソースインターフェイス識別子ＶＩ３、およびターゲットＩＰアドレスを特定するための情報を含むことができる。これらの要求は、矢印１９５０で示すように、ＶＬＡＮ内の各インターフェイスに送信されてもよく、具体的には、ＶＬＡＮ内の各インターフェイスがＡＲＰ要求を受信するようにブロードキャストされてもよい。

ＶＬＡＮ内のインターフェイスは、カプセル化されたＡＲＰ要求を受信し、ＡＲＰ要求をデカプセル化する。ＡＲＰ要求に含まれる情報および／またはＡＲＰ要求に関連する情報に基づいて、ＶＬＡＮ内のインターフェイスは、それらのマッピングを更新する。具体的には、例えば、ＶＩ１１９１４、ＶＩ２１９２４およびＶＲＶＩＡ１９０４－Ａの各々は、ＣＩ３１９３０からユニキャストＡＲＰ要求を受信し、ユニキャストＡＲＰ要求をデカプセル化し、ソースＣＩのインターフェイス対ＭＡＣアドレスマッピングを学習する。インターフェイス識別子およびＭＡＣアドレスの両方は、カプセル化されたパケットに含まれる。

矢印１９５２で示すように、ＶＲＶＩＡ１９０４－Ａは、そのＩＰアドレスが要求されたＩＰアドレスに一致すると判断し、ＡＲＰ応答をＣＩ３１９３０に送信する。ＶＲＶＩＡ１９０４－ＡからのＡＲＰ応答は、例えば、ＶＲＶＩＡ１９０４－Ａによってカプセル化されてもよく、ＡＲＰユニキャストとして要求インターフェイスに、具体的にはＶＩ３に送信されてもよい。本願で前述したように、このＡＲＰ応答の送信は、カプセル化されたＡＲＰ応答をＶＲＶＩＡ１９０４－Ａに関連するスイッチに提供することを含むことができ、関連するスイッチは、カプセル化されたＡＲＰ応答をＶＩ３に送信することができる。

ＡＲＰ応答は、ＶＩ３によって受信されてもよく、デカプセル化されてもよい。ＶＩ３は、受信したＡＲＰ応答に基づいてＶＲＶＩＡ１９０４－Ａのインターフェイス対ＭＡＣマッピングを学習することができ、学習したマッピングをＶＩ３に関連するスイッチに提供することができる。デカプセル化されたパケットは、ＣＩ３に提供されてもよい。ＣＩ３は、受信したパケットに基づいて、ＩＰ対ＭＡＣアドレスマッピングを学習することができる。ＣＩ３は、パケットを送信することができ、このパケットは、ＩＰｖ４またはＩＰｖ６パケットなどのＩＰパケットであってもよい。このパケットは、ＣＩ３のＭＡＣアドレスおよびＩＰアドレスをソースアドレスとして含むことができ、宛先ＣＩ（ＣＩ４１９４０）のＩＰアドレスを宛先アドレスとして含むことができる。いくつかの実施形態において、宛先アドレスは、ＶＲＶＩＡ１９０４－ＡのＭＡＣアドレスをさらに含むことができる。

ＣＩ３によって送信されたパケットは、ＶＩ３によって受信することができ、ＶＩ３は、パケットをカプセル化し、パケットをＶＲＶＩＡ１９０４－Ａに転送することができる。ＶＲＶＩＡ１９０４－Ａは、パケットを受信し、パケットをデカプセル化し、パケットの宛先ＩＰアドレス（ＣＩ４のＩＰアドレス）のマッピングを検索することができる。いくつかの実施形態において、ＶＳＲＳ、したがってＶＲＶＩＡ１９０４－Ａは、Ｌ２ネットワークおよびＬ３ネットワークの両方に常駐することができる。Ｌ２ネットワーク、したがってＶＬＡＮにおいて、ＶＳＲＳは、Ｌ２通信プロトコルを利用することができるが、Ｌ３ネットワークと通信するときにＬ３通信プロトコルを利用することができる。ＶＬＡＮにおいて行われた学習とは対照的に、ＶＳＲＳは、Ｌ３制御プレーンからＬ３ネットワーク内のエンドポイントのマッピングを学習することができる。いくつかの実施形態において、例えば、Ｌ３制御プレーンは、Ｌ３ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および／またはインターフェイス識別子をマッピングする情報を提供することができる。

ＶＲＶＩＡ１９０４－Ａは、パケットに含まれるＩＰ宛先アドレスのマッピングを検索することができ、言い換えれば、宛先ＣＩのＩＰアドレスのマッピングを検索することができる。いくつかの実施形態において、このマッピングを検索することは、ＣＩ４１９４０が常駐するサブネット１９３９を特定すること、および／またはＣＩ４が常駐するサブネット１９３９に関連するＶＲを特定することを含むことができる。ＶＲＶＩＡ１９０４－Ａは、パケットをカプセル化し、カプセル化されたパケットをＶＲ１９４８に転送することができる。ＶＲ１９４８は、サブネット１９３９および／または宛先ＣＩ１９４０のトンネルエンドポイント（ＴＥＰ）であってもよい。このカプセル化されたパケットの転送は、ブロック１９５６によって示される。

ＶＲ１９４８は、パケットを受信し、デカプセル化することができる。ＶＲ１９４８はさらに、宛先ＩＰアドレスに対応するサブネット１９３９内のインターフェイスを特定することができる。いくつかの実施形態において、ＶＲ１９４８は、宛先インターフェイスＶＩ４１９４４と同じＮＶＤ上に配置されてもよい。したがって、ＶＲ１９４８は、パケットを宛先ＣＩに、具体的にはブロック１９５８によって示されるようにＣＩ４１９４０に直接に転送することができる。

インターフェイスベースのアクセス制御リストフィルタリング
ＶＳＲＳは、インターフェイスベースのアクセス制御リスト（ＡＣＬ）フィルタリングを提供することができる。これは、ＶＬＡＮの受信セキュリティポリシーを評価することを含むことができる。これはまた、ＶＳＲＳが受信パケットをどこに送信すべきかを判断するときに、学習したＶＬＡＮのインターフェイス対ＭＡＣアドレスおよびＩＰアドレスのマッピングに基づいて、ＶＳＲＳの送信者の送信セキュリティポリシーを評価することを含むことができる。これは、ＡＣＬの分類の遅延をもたらし得る。

いくつかの実施形態において、ＡＣＬは、システム内のオブジェクトに関連する許可リストを含むことができる。これらのオブジェクトは、物理ネットワーク内のハードウェアを含むことができ、このハードウェアは、例えば、１つ以上のサーバ、スマートＮＩＣ、ホストマシンなどを含むことができる。これらのオブジェクトは、仮想ネットワーク内の１つ以上の仮想オブジェクトを含むことができる。これらの仮想オブジェクトは、例えば、１つ以上のインターフェイス、計算インスタンス、ＩＰアドレスおよび／またはＭＡＣアドレスなどのアドレスを含むことができる。いくつかの実施形態において、ＡＣＬは、オブジェクトへのアクセスを許可されたユーザ、オブジェクトおよび／またはシステムプロセス、および／または所定のオブジェクトに対して許可された動作を指定することができる。

ＡＣＬは、１つ以上のＣＩに対して固有であってもよい。したがって、いくつかの実施形態において、ＣＩの一部または全ては、固有のＡＣＬを持つことができ、および／または固有のＡＣＬを保持することができる。いくつかの実施形態において、ＣＩのＡＣＬは、ＣＩがパケットを送信できるインターフェイスおよび／またはアドレス（ＭＡＣアドレスまたはＩＰアドレスのいずれか）、ＣＩがパケットを送信できないインターフェイスおよび／またはアドレス（ＭＡＣアドレスまたはＩＰアドレスのいずれか）、ＣＩが１種以上のパケットを送信できる１つ以上のインターフェイスおよび／またはアドレス、および／またはＣＩが１種以上のパケットを送信できない１つ以上のインターフェイスを指定することができる。いくつかの実施形態において、ＣＩのＡＣＬは、ＡＣＬを実施できる１つ以上のＶＲまたはＶＳＲＳなどの他のエンティティを含む、ネットワーク内の他のエンティティによってアクセス可能な場所に格納されてもよい。

例えば、ＶＬＡＮ内の１つ以上の意図された受信者のためにＩＰネットワークから通信を受信するとき、ＶＳＲＳは、その通信の送信者のＡＣＬに基づいて、通信のフィルタリングおよび／または配信制限を決定し、適用することができる。いくつかの実施形態において、これは、例えば、（１）ＶＳＲＳが送信者のＡＣＬのコピーにアクセスすることに基づいて通信決定を行うことによって、または（２）ＶＳＲＳが受信した通信のパケットメタデータに符号化された情報に基づいて通信決定を行うことによって、達成することができる。

図２０を参照して、図２０は、遅延アクセス制御リスト（ＡＣＬ）分類を行うためのプロセス２０００の一実施形態を示すフローチャートである。プロセス２０００は、システム６００の全てまたは一部によって実行されてもよく、具体的には、ＶＳＲＳ６２４、６３４によって実行されてもよい。

プロセス２０００は、ブロック２００２から始まる。ブロック２００２において、ソースＣＩは、パケットを宛先ＭＡＣまたはＩＰアドレスに送信する。いくつかの実施形態において、ソースＣＩは、パケットが送信される宛先ＭＡＣアドレスまたはＩＰアドレスを含むＶＬＡＮの外部にあってもよい。

ブロック２００６において、宛先ＭＡＣまたはＩＰアドレスを含むＶＬＡＮのＶＳＲＳは、パケットを受信する。いくつかの実施形態において、パケットは、Ｌ２カプセル化を用いてカプセル化されてもよく、いくつかの実施形態において、パケットは、Ｌ３カプセル化を用いてカプセル化されてもよい。ブロック２００８に示すように、ＶＳＲＳは、パケットをデカプセル化し、ソースＣＩを特定することができる。ソースＣＩを特定すると、ＶＳＲＳは、ソースＣＩのＡＣＬを入手することができる。いくつかの実施形態において、例えば、ソースＣＩのＡＣＬは、ＶＳＲＳによってアクセス可能な場所に格納されてもよい。いくつかの実施形態において、ソースＣＩのＡＣＬにアクセスすることは、ソースＣＩのＡＣＬ内の情報を取得することを含むことができる。この情報は、例えば、パケットの配信に対する１つ以上の制限を特定することができる。いくつかの実施形態において、この情報は、１つ以上のＩＰアドレス、ＭＡＣアドレス、ソースおよび宛先のＴＣＰおよび／またはＵＤＰポート、イーサタイプなどに基づく１つ以上のルールを含むことができる。

ブロック２０１０において、ＶＳＲＳは、パケットの宛先インターフェイスを特定する。ＶＳＲＳが宛先アドレスのマッピングを有しない実施形態において、ＶＳＲＳは、図１６のプロセス１６００のステップ１６１２から１６２０を参照して上述したように、マッピング情報を決定することができる。以前にマッピングを学習した実施形態、またはプロセス１６００のステップ１６１２から１６２０のうちの一部または全てを実行することによってマッピングを学習した実施形態において、ＶＳＲＳは、ＶＬＡＮ内のＶＳＲＳのインターフェイスとの通信を介してＶＳＲＳが学習したマッピングに基づいて、宛先インターフェイスを特定することができる。いくつかの実施形態において、宛先インターフェイスを特定することは、宛先アドレス、具体的にはパケットの宛先ＩＰアドレスおよび／またはＭＡＣアドレスに基づいて、宛先インターフェイスを検索することを含むことができる。

ブロック２０１２において、ＶＳＲＳは、ソースＣＩのＡＣＬを宛先インターフェイスに適用する。これは、ソースＣＩのＡＣＬの任意の部分が宛先インターフェイスに関連するか否かを判断することと、関連がある場合、その部分のソースＣＩのＡＣＬを適用することとを含むことができる。ブロック２０１４において、宛先インターフェイスがソースＣＩのＡＣＬに準拠する場合、言い換えれば、ソースＣＩのＡＣＬがソースＣＩから宛先インターフェイスへのパケットの送信を許可する場合、ＶＳＲＳは、パケットを宛先インターフェイスに転送する。いくつかの実施形態において、このパケットの転送は、パケットをカプセル化することを含むことができる。いくつかの実施形態において、パケットは、例えば、Ｌ２Ｇｅｎｅｖｅカプセル化などのＬ２カプセル化に従ってカプセル化されてもよい。ＶＳＲＳは、パケットを宛先インターフェイスに、より具体的には、宛先インターフェイスをＴＥＰとして有する宛先ＣＩに転送することができる。宛先インターフェイスは、パケットを受信し、パケットをデカプセル化し、パケットを宛先ＣＩに転送することができる。

代替的には、ブロック２０１６において、宛先インターフェイスがソースＣＩのＡＣＬに準拠しない場合、言い換えれば、ソースＣＩのＡＣＬがソースＣＩから宛先インターフェイスへのパケットの送信を許可しない場合、ＶＳＲＳは、パケットを破棄する。いくつかの実施形態において、ＶＳＲＳは、パケットの破棄を示したソースＣＩ、および／またはパケットの破棄の理由を示したソースＣＩに応答することができる。いくつかの実施形態において、ＶＳＲＳは、ＡＣＬ決定を反映するために、送信インターフェイスに関連する動作メトリック／統計を更新することができる。

図２１を参照して、図２１は、ＡＣＬを早期分類し、その分類をメタデータに組み込むためのプロセス２１００の一実施形態を示すフローチャートである。プロセス２１００は、システム６００の全てまたは一部によって実行されてもよく、具体的には、ソースＣ１およびＶＳＲＳ６２４、６３４によって実行されてもよい。

ブロック２１０２において、ソースＣＩは、パケットを宛先ＣＩに送信することを決定する。いくつかの実施形態において、これは、ソースＣＩが宛先ＣＩのＭＡＣアドレスおよび／またはＩＰアドレスにパケットを送信することを決定することを含むことができる。ソースＶＮＩＣは、ブロック２１０４に示すようにパケットを送信することができる。ソースＶＮＩＣは、パケットを受信することができ、パケットのＡＣＬを評価することができ、パケットに関連するＡＣＬ情報をパケットの一部に埋め込むことができる。いくつかの実施形態において、この情報は、１つ以上のＩＰアドレス、ＭＡＣアドレス、ソースおよび宛先のＴＣＰおよび／またはＵＤＰポート、イーサタイプなどに基づく１つ以上のルールを含むことができる。ソースＶＮＩＣはさらに、パケットをカプセル化することができる。いくつかの実施形態において、ＡＣＬは、メタデータとしてカプセル化されたパケットに格納されてもよく、具体的には、パケットのヘッダに格納されてもよい。いくつかの実施形態において、ソースＣＩは、パケットが送信される宛先ＣＩを含むＶＬＡＮの外部にあってもよい。

ブロック２１０６において、宛先ＭＡＣまたはＩＰアドレスを含むＶＬＡＮのＶＳＲＳは、パケットを受信する。いくつかの実施形態において、パケットは、Ｌ２カプセル化を用いてカプセル化することができ、いくつかの実施形態において、パケットは、Ｌ３カプセル化を用いてカプセル化されてもよい。ＶＳＲＳは、パケットをデカプセル化することができる。いくつかの実施形態において、ＶＳＲＳは、パケットから、パケットの宛先を特定する情報、具体的には宛先ＩＰアドレスを特定する情報を抽出することができる。

ブロック２１０８において、ＶＳＲＳは、パケットの宛先インターフェイスを特定する。ＶＳＲＳが宛先アドレスのマッピングを有しない実施形態において、ＶＳＲＳは、図１６のプロセス１６００のステップ１６１２から１６２０を参照して上述したように、マッピング情報を決定することができる。以前にマッピングを学習した実施形態、またはプロセス１６００のステップ１６１２から１６２０のうちの一部または全てを実行することによってマッピングを学習した実施形態において、ＶＳＲＳは、ＶＬＡＮ内のＶＳＲＳのインターフェイスとの通信を介してＶＳＲＳによって学習されたマッピングに基づいて、宛先インターフェイスを特定することができる。したがって、いくつかの実施形態において、ＶＳＲＳは、宛先アドレスのマッピング情報を有することを決定し、このマッピング情報に基づいて宛先インターフェイスを特定することができる。いくつかの実施形態において、宛先インターフェイスを特定することは、宛先アドレス、具体的にはパケットの宛先ＩＰアドレスおよび／またはＭＡＣアドレスに基づいて、宛先インターフェイスを検索することを含むことができる。

ブロック２１１０において、ＶＳＲＳは、パケットの一部に含まれるＡＣＬ情報を入手する。いくつかの実施形態において、これは、パケットからメタデータを抽出すること、具体的には、パケットヘッダからメタデータを抽出することを含むことができる。いくつかの実施形態において、これは、パケットヘッダのパケットメタデータに符号化された情報を復号することを含むことができる。

ブロック２１１２において、ＶＳＲＳは、パケットの一部から取り出されたＡＣＬ情報を適用する。具体的には、これは、符号化されたセキュリティ情報を宛先インターフェイスに適用することを含むことができる。これは、宛先インターフェイスに関連するＡＣＬ情報の任意の部分を判断することと、関連がある場合、その部分のＡＣＬ情報を適用することとを含むことができる。ブロック２１１４において、宛先インターフェイスがＡＣＬ情報および／またはＡＣＬ情報の１つ以上のルールに準拠する場合、言い換えれば、ＡＣＬ情報がパケットをソースＣＩから宛先インターフェイスに送信することを許可する場合、ＶＳＲＳは、パケットを宛先インターフェイスに転送する。いくつかの実施形態において、このパケットの転送は、パケットをカプセル化することを含むことができる。いくつかの実施形態において、パケットは、例えば、Ｌ２Ｇｅｎｅｖｅカプセル化などのＬ２カプセル化に従ってカプセル化されてもよい。ＶＳＲＳは、パケットを宛先インターフェイスに、より具体的には、宛先インターフェイスをＴＥＰとして有する宛先ＣＩに転送することができる。宛先インターフェイスは、パケットを受信し、パケットをデカプセル化し、パケットを宛先ＣＩに転送することができる。

代替的には、ブロック２１１６において、宛先インターフェイスがＡＣＬ情報に準拠しない場合、言い換えれば、ＡＣＬ情報がパケットをソースＣＩから宛先インターフェイスに送信することを許可しない場合、ＶＳＲＳは、パケットを破棄する。いくつかの実施形態において、ＶＳＲＳは、パケットの破棄を示したソースＣＩ、および／またはパケットの破棄の理由を示したソースＣＩに応答することができる。

ネクストホップルーティング
ＶＳＲＳのいくつかの実施形態は、ネクストホップルーティングを容易にすることができ、具体的には、ＶＳＲＳが通信を受信するまでネクストホップの評価を遅延させることができる。ＶＬＡＮ外部の通信の送信者は、ＶＬＡＮ内のインスタンスの更新された仮想ＩＰアドレスを知らないことがあるため、ＶＬＡＮ外部の送信者は、ネクストホップルーティングを正確に指定することができない。

いくつかの実施形態において、ＶＳＲＳは、ネクストホップルーティング仕様を容易にすることができる。いくつかの実施形態において、これは、例えば、（１）送信者が通信を行うためのネクストホップルーティングの初期指定を行い、ＶＳＲＳが通信を受信すると、ネクストホップ指定を再評価すること、または（２）ＶＳＲＳが通信を受信するまでネクストホップ指定を遅延させることによって達成することができる。

図２２を参照して、図２２は、送信者ベースのネクストホップルーティングを行うためのプロセス２２００の一実施形態を示すフローチャートである。いくつかの実施形態において、これは、ネクストホップルートの評価とネクストホップルートの仕様とを分離することを含むことができる。これは、ソースＣＩがルートポリシーを評価し、ネクストホップルートを通信の仮想パケットヘッダのパケットメタデータに符号化することをもたらすことができる。このような実施形態において、パケットは、ネクストホップ宛先の意図した仮想ＩＰアドレスを含むことができ、ネクストホップルートは、パケットメタデータに符号化することができる。

この通信は、ＶＳＲＳによって受信され、ＶＳＲＳは、パケットメタデータ内に符号化されたネクストホップルートを使用して、通信を受信するＶＬＡＮ内のインスタンスと、当該インスタンスの宛先仮想ＩＰアドレスとを決定する。ＶＳＲＳによって生成および／またはキュレート（curate）されたテーブルを用いて、具体的には、仮想ＩＰアドレス、ＭＡＣアドレス、および／または仮想インターフェイスＩＤをリンクするテーブルを用いて、このインスタンスを決定することができる。これらのテーブルを用いて、ＶＳＲＳは、意図されたネクストホップ宛先のＭＡＣアドレスおよび／または仮想インターフェイスＩＤに対応する仮想ＩＰアドレスを特定することができる。いくつかの実施形態において、ＶＳＲＳがパケットメタデータに含まれる符号化されたネクストホップルートに基づく受信者インスタンスを特定することは、ＶＳＲＳが、パケット内の仮想ＩＰアドレスによって示され、パケットの送信者によって指定されたネクストホップ宛先とは異なる宛先仮想ＩＰアドレスに通信を送信することをもたらすことができる。

プロセス２２００は、システム６００の全てまたは一部によって実行されてもよく、具体的には、ソースＣＩおよびＶＳＲＳ６２４、６３４によって実行されてもよい。

プロセスは、ブロック２２０２から始まる。ブロック２２０２において、ソースＣＩは、パケットを送信することができる。いくつかの実施形態において、ソースＣＩは、パケットが送信される宛先ＭＡＣアドレスまたはＩＰアドレスを含むＶＬＡＮの外部にあってもよい。

ブロック２２０４において、ソースＶＮＩＣは、１つ以上のルーティングルールに基づいて、ルーティング決定を行うことができる。いくつかの実施形態において、これは、ソースＶＮＩＣが１つ以上のルーティングルールを検索および／または入手し、これらのルーティングルールに基づいてルーティング決定を行うことを含むことができる。いくつかの実施形態において、このルーティング決定は、パケットのネクストホップルーティング決定であってもよい。いくつかの実施形態において、これらのルーティングルールは、例えば、ソースＣＩのネットワーク内のルートテーブルに格納することができる。いくつかの実施形態において、これは、例えば、サブネットルートテーブルを含むことができる。

ブロック２２０６において、ソースＶＮＩＣは、ルーティング決定をパケットの一部に埋め込むことができる。いくつかの実施形態において、これは、パケットをカプセル化することと、ルーティング決定をパケットのメタデータに埋め込むこととを含むことができる。メタデータは、例えば、パケットのヘッダに符号化されてもよい。パケットをカプセル化し、ルーティング決定をカプセル化されたパケットに埋め込んだ後、ソースＶＮＩＣは、カプセル化されたパケットをＶＳＲＳに転送することができる。

ブロック２２０８において、宛先ＭＡＣアドレスまたはＩＰアドレスを含むＶＬＡＮ内のＶＳＲＳは、パケットを受信する。いくつかの実施形態において、パケットは、Ｌ２カプセル化を用いてカプセル化されてもよく、いくつかの実施形態において、パケットは、Ｌ３カプセル化を用いてカプセル化されてもよい。いくつかの実施形態において、ＶＳＲＳがパケットを受信することは、パケットをデカプセル化することを含むことができる。いくつかの実施形態において、ＶＳＲＳがパケットを受信することは、パケットの一部に埋め込まれたルーティング決定を抽出することを含むことができる。いくつかの実施形態において、これは、ルーティング決定を含む符号化されたメタデータを復号することを含むことができる。

ブロック２２１０において、ＶＳＲＳは、ルーティング決定をＶＳＲＳルーティング情報に適用することによって、パケットの宛先インターフェイスを決定する。いくつかの実施形態において、これは、復号されたルーティング決定をＶＳＲＳルーティング情報に適用することによって、ルーティング情報に対応するＶＬＡＮ内の宛先ＣＩを決定することを含むことができる。ブロック２２１２において、ＶＳＲＳは、パケットを決定されたＶＬＡＮ内のＣＩに送信する。いくつかの実施形態において、これは、ＶＳＲＳがパケットを宛先インターフェイスに転送することを含むことができる。いくつかの実施形態において、このパケットの転送は、パケットをカプセル化することを含むことができ、カプセル化は、例えば、Ｌ２Ｇｅｎｅｖｅカプセル化などのＬ２カプセル化に従って行われてもよい。ＶＳＲＳは、パケットを宛先インターフェイスに、より具体的には、宛先インターフェイスをＴＥＰとして有する宛先ＣＩに転送することができる。宛先インターフェイスは、パケットを受信し、パケットをデカプセル化し、パケットを宛先ＣＩに転送することができる。

図２３を参照して、遅延ネクストホップルーティングを行うためのプロセス２３００の一実施形態を示すフローチャートが示されている。プロセス２３００は、システム６００の全てまたは一部によって実行されてもよく、具体的には、ソースＶＮＩＣおよびＶＳＲＳ６２４、６３４によって実行されてもよい。

いくつかの実施形態において、例えば、ソースＶＮＩＣは、ルーティングテーブルに含まれ得るルーティングルールに基づいて、ＶＬＡＮを通過する通信のルーティング決定を行うことができる。この通信は、ＶＳＲＳによって受信され、このＶＳＲＳは、ネクストホップ仕様を再評価することができ、同じルーティングテーブルのコピーに照会することによってルーティングルールを特定することができる。このルーティングルールに基づいて、ＶＳＲＳは、ルーティングルールに対応するＶＬＡＮ内のインスタンスおよび当該インスタンスの仮想ＩＰアドレスを決定し、通信を当該インスタンスに送信する。ルーティングルールに対応するインスタンスの決定は、ＶＳＲＳが仮想ＩＰアドレス、ＭＡＣアドレス、および／または仮想インターフェイスＩＤをリンクするテーブルから情報を取得することと、意図したネクストホップ宛先である仮想インターフェイスおよび／またはインスタンスに関連する仮想ＩＰアドレスを決定することとを含むことができる。

プロセス２３００は、ブロック２３０２から始まる。ブロック２３０２において、ソースＣＩは、パケットを送信することができる。いくつかの実施形態において、これは、ソースＣＩがパケットを宛先ＣＩのＭＡＣアドレスおよび／またはＩＰアドレスに送信することを含むことができる。いくつかの実施形態において、ソースＣＩは、パケットが送信される宛先ＭＡＣアドレスまたはＩＰアドレスを含むＶＬＡＮの外部にあってもよい。

ブロック２２０４において、ソースＶＮＩＣは、パケットを受信することができる。次いで、ソースＶＮＩＣは、１つ以上のルーティングルールに基づいてルーティング決定を行うことができる。いくつかの実施形態において、これは、ソースＶＮＩＣが１つ以上のルーティングルールを検索および／または入手し、それらのルーティングルールに基づいてルーティング決定を行うことを含むことができる。いくつかの実施形態において、このルーティング決定は、パケットのネクストホップルーティング決定であってもよい。いくつかの実施形態において、これらのルーティングルールは、例えば、ソースＣＩのネットワーク内のルートテーブルに格納することができる。いくつかの実施形態において、これは、例えば、サブネットルートテーブルを含むことができる。ソースＶＮＩＣは、パケットをカプセル化することができ、パケットをＶＳＲＳに送信することができる。

ブロック２２０６において、宛先ＭＡＣまたはＩＰアドレスを含むＶＬＡＮ内のＶＳＲＳは、パケットを受信する。いくつかの実施形態において、パケットは、Ｌ２カプセル化を用いてカプセル化されてもよく、いくつかの実施形態において、パケットは、Ｌ３カプセル化を用いてカプセル化されてもよい。いくつかの実施形態において、ＶＳＲＳがパケットを受信することは、パケットをデカプセル化することを含むことができる。

ブロック２３０８において、ＶＳＲＳは、パケットに関連するルーティング情報を取得する。いくつかの実施形態において、これは、ルーティングテーブルおよび／または受信したパケットに関連するルーティングテーブルの一部を取得することを含むことができる。いくつかの実施形態において、このルーティングテーブルは、例えば、制御プレーンから受信することができる。ルーティング情報を受信すると、ＶＳＲＳは、受信したパケットに関連するルーティングルールを特定する。

ブロック２３１０において、ＶＳＲＳは、ルーティングルールをＶＳＲＳルーティング情報に適用することによって、パケットのＶＬＡＮの宛先インターフェイスを決定する。いくつかの実施形態において、これは、ルーティングルールをＶＳＲＳルーティング情報に適用することによって、ルーティング情報に対応するＶＬＡＮの宛先ＣＩを決定することを含むことができる。ブロック２３１２において、ＶＳＲＳは、決定されたＶＬＡＮのＣＩにパケットを送信する。いくつかの実施形態において、これは、ＶＳＲＳがパケットを宛先インターフェイスに転送することを含むことができる。いくつかの実施形態において、このパケットの転送は、パケットをカプセル化することを含むことができ、カプセル化は、例えば、Ｌ２Ｇｅｎｅｖｅカプセル化などのＬ２カプセル化に従って行われてもよい。ＶＳＲＳは、パケットを宛先インターフェイスに、より具体的には、宛先インターフェイスをＴＥＰとして有する宛先ＣＩに転送することができる。宛先インターフェイスは、パケットを受信し、パケットをデカプセル化し、パケットを宛先ＣＩに転送することができる。

例示的な実装
上述したように、ＩａａＳ（Infrastructure as a Service）は、１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（例えば、インターネット）を介して仮想化計算リソースを提供するように構成されてもよい。ＩａａＳモデルにおいて、クラウドコンピューティングプロバイダは、インフラストラクチャ要素（例えば、サーバ、記憶装置、ネットワークノード（例えば、ハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）など）をホストすることができる。場合によっては、ＩａａＳプロバイダは、インフラストラクチャ要素に付随する様々なサービス（例えば、課金、監視、ロギング、負荷分散およびクラスタリングなど）を提供することができる。したがって、これらのサービスがポリシー駆動型であり得るため、ＩａａＳユーザは、アプリケーションの可用性および性能を維持するために、負荷分散を駆動するためのポリシーを実装することができる。

いくつかの例において、ＩａａＳ顧客は、インターネットなどの広域ネットワーク（ＷＡＮ）を介してリソースおよびサービスにアクセスすることができ、クラウドプロバイダのサービスを使用してアプリケーションスタックの残りの要素をインストールすることができる。例えば、ユーザは、ＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）を作成し、各ＶＭにオペレーティングシステム（ＯＳ）をインストールし、データベースなどのミドルウエアを展開し、ワークロードおよびバックアップの記憶バケットを作成し、ＶＭに企業ソフトウェアをインストールすることができる。顧客は、プロバイダのサービスを使用して、ネットワークトラフィックのバランシング、アプリケーションのトラブルシューティング、パフォーマンスの監視、災害復旧の管理などを含む様々な機能を実行することができる。

殆どの場合、クラウドコンピューティングモデルは、クラウドプロバイダの参加を必要とする。クラウドプロバイダは、ＩａａＳの提供（例えば、オファー、レンタル、販売）に特化した第３者サービスであってもよいが、その必要はない。また、企業は、プライベートクラウドを配置し、インフラストラクチャサービスを提供するプロバイダになることもできる。

いくつかの例において、ＩａａＳの配置は、用意したアプリケーションサーバなどに新しいアプリケーションまたは新しいバージョンのアプリケーションを配置するプロセスである。ＩａａＳの配置は、サーバを用意する（例えば、ライブラリ、デーモンなどをインストールする）プロセスを含んでもよい。ＩａａＳの配置は、多くの場合、クラウドプロバイダによって、ハイパーバイザ層（例えば、サーバ、記憶装置、ネットワークハードウェア、および仮想化）の下で管理される。したがって、顧客は、ＯＳ、ミドルウエア、および／またはアプリケーションの展開（例えば、セルフサービス仮想マシン（例えば、オンデマンドでスピンアップできるもの）などを行うことができる。

いくつかの例において、ＩａａＳのプロビジョニングは、使用されるコンピュータまたは仮想ホストを取得すること、およびコンピュータまたは仮想ホスト上に必要なライブラリまたはサービスをインストールすることを含んでもよい。殆どの場合、配置は、プロビジョニングを含まず、まずプロビジョニングを実行する必要がある。

場合によっては、ＩａａＳのプロビジョニングには２つの異なる課題がある。第１に、何かを実行する前に、インフラストラクチャの初期セットをプロビジョニングするという課題がある。第２に、全てのものをプロビジョニングした後に、既存のインフラストラクチャを進化させる（例えば、新しいサービスの追加、サービスの変更、サービスの削除）という課題がある。場合によっては、インフラストラクチャの構成を宣言的に定義することを可能にすることによって、これらの２つの課題に対処することができる。言い換えれば、インフラストラクチャ（例えば、どの要素が必要とされるか、およびこれらの要素がどのように相互作用するか）は、１つ以上の構成ファイルによって定義されてもよい。したがって、インフラストラクチャの全体的なトポロジ（例えば、どのリソースがどれに依存し、どのように連携するか）は、宣言的に記述することができる。いくつかの例において、トポロジが定義されると、構成ファイルに記述された異なる要素を作成および／または管理するためのワークフローを生成することができる。

いくつかの例において、インフラストラクチャは、多くの相互接続された要素を含むことができる。例えば、コアネットワークとしても知られている１つ以上の仮想プライベートクラウド（ＶＰＣ）（例えば、構成可能な計算リソースおよび／または共有されている計算リソースの潜在的なオンデマンドプール）が存在してもよい。いくつかの例において、ネットワークのインバウンドトラフィックおよび／またはアウトバウンドトラフィックをどのように設定するかを定義するためにプロビジョニングされる１つ以上のインバウンドトラフィックおよび／またはアウトバウンドトラフィックグループルールと、１つ以上の仮想マシン（ＶＭ）とが存在する可能性がある。ロードバランサ、データベースなどの他のインフラストラクチャ要素もプロビジョニングされてもよい。ますます多くのインフラストラクチャ要素が望まれるおよび／または追加されるにつれて、インフラストラクチャは、漸進的に進化することができる。

いくつかの例において、様々な仮想コンピューティング環境にわたってインフラストラクチャコードの展開を可能にするために、連続展開技法を採用してもよい。また、記載された技法は、これらの環境内のインフラストラクチャ管理を可能にすることができる。いくつかの例において、サービスチームは、１つ以上の、通常多くの異なる生産環境（例えば、時には全世界に及ぶ種々の異なる地理的場所にわたって）に展開されることが望まれるコードを書き込むことができる。しかしながら、いくつかの例において、コードを展開するためのインフラストラクチャを最初に設定しなければならない。いくつかの例において、プロビジョニングは、手動で行うことができ、プロビジョニングツールを用いてリソースをプロビジョニングすることができ、および／またはインフラストラクチャをプロビジョニングした後に、展開ツールを用いてコードを展開することができる。

図２４は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図２４００である。サービスオペレータ２４０２は、仮想クラウドネットワーク（ＶＣＮ）２４０６およびセキュアホストサブネット２４０８を含み得るセキュアホストテナンシ２４０４に通信可能に接続されてもよい。いくつかの例において、サービスオペレータ２４０２は、１つ以上のクライアントコンピューティング装置を使用することができる。１つ以上のクライアントコンピューティング装置は、例えば、Microsoft Windows Mobile（登録商標）のようなソフトウェア、および／またはｉＯＳ、Windowsフォン、アンドロイド（登録商標）、ブラックベリー８およびパームＯＳなどのさまざまなモバイルオペレーティングシステムを実行することができ、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、ブラックベリー（登録商標）または他の通信プロトコルが有効化された手持ち式携帯装置（例えば、iPhone（登録商標）、携帯電話、iPad（登録商標）、タブレット、携帯情報端末（ＰＤＡ）またはウエアラブル装置（Google（登録商標）Glass（登録商標）ヘッドマウントディスプレイ）であってもよい。クライアントコンピューティング装置は、例示として、Microsoft Windows（登録商標）オペレーティングシステム、Apple Macintosh（登録商標）オペレーティングシステムおよび／またはLinux（登録商標）オペレーティングシステムのさまざまなバージョンを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用のパーソナルコンピュータであってもよい。代替的には、クライアントコンピューティング装置は、例えば、さまざまなGNU/Linuxオペレーティングシステム、例えば、Google Chrome（登録商標）ＯＳを含むがこれに限定されない市販のUNIX（登録商標）またはUNIXに類似するさまざまなオペレーティングシステムを実行するワークステーションコンピュータであってもよい。代替的にまたは追加的には、クライアントコンピューティング装置は、ＶＣＮ２４０６および／またはインターネットにアクセスできるネットワークを介して通信可能な他の電子機器、例えば、シンクライアントコンピュータ、インターネット対応のゲームシステム（例えば、Kinect（登録商標）ジェスチャ入力装置を備えるまたは備えないMicrosoft Xbox（登録商標）ゲームコンソール）、および／またはパーソナルメッセージング装置であってもよい。

ＶＣＮ２４０６は、ＳＳＨＶＣＮ２４１２に含まれるＬＰＧ２４１０を介して、セキュアシェル（ＳＳＨ）ＶＣＮ２４１２に通信可能に接続できるローカルピアリングゲートウェイ（ＬＰＧ）２４１０を含むことができる。ＳＳＨＶＣＮ２４１２は、ＳＳＨサブネット２４１４を含むことができ、ＳＳＨＶＣＮ２４１２は、制御プレーンＶＣＮ２４１６に含まれるＬＰＧ２４１０を介して、制御プレーンＶＣＮ２４１６に通信可能に接続されてもよい。また、ＳＳＨＶＣＮ２４１２は、ＬＰＧ２４１０を介して、データプレーンＶＣＮ２４１８に通信可能に接続されてもよい。制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８は、ＩａａＳプロバイダによって所有および／または運営され得るサービステナンシ２４１９に含まれてもよい。

制御プレーンＶＣＮ２４１６は、境界ネットワーク（例えば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）として機能する制御プレーンＤＭＺ（demilitarized zone）層２４２０を含むことができる。ＤＭＺベースのサーバは、特定の信頼性を有し、セキュリティ侵害を封じ込めることができる。さらに、ＤＭＺ層２４２０は、１つ以上のロードバランサ（ＬＢ）サブネット２４２２と、アプリサブネット２４２６を含むことができる制御プレーンアプリ層２４２４と、データベース（ＤＢ）サブネット２４３０（例えば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含むことができる制御プレーンデータ層２４２８とを含むことができる。制御プレーンＤＭＺ層２４２０に含まれたＬＢサブネット２４２２は、制御プレーンアプリ層２４２４に含まれるアプリサブネット２４２６と制御プレーンＶＣＮ２４１６に含まれ得るインターネットゲートウェイ２４３４とに通信可能に接続されてもよく、アプリサブリ２４２６は、制御プレーンデータ層２４２８に含まれるＤＢサブネット２４３０と、サービスゲートウェイ２４３６と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ２４３８とに通信可能に接続されてもよい。制御プレーンＶＣＮ２４１６は、サービスゲートウェイ２４３６およびＮＡＴゲートウェイ２４３８を含むことができる。

制御プレーンＶＣＮ２４１６は、データプレーンミラーアプリ層２４４０を含むことができ、データプレーンミラーアプリ層２４４０は、アプリサブネット２４２６を含むことができる。データプレーンミラーアプリ層２４４０に含まれたアプリサブネット２４２６は、計算インスタンス２４４４を実行することができる仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）２４４２を含むことができる。計算インスタンス２４４４は、データプレーンミラーアプリ層２４４０のアプリサブネット２４２６を、データプレーンアプリ層２４４６に含まれ得るアプリサブネット２４２６に通信可能に接続することができる。

データプレーンＶＣＮ２４１８は、データプレーンアプリ層２４４６と、データプレーンＤＭＺ層２４４８と、データプレーンデータ層２４５０とを含むことができる。データプレーンＤＭＺ層２４４８は、データプレーンアプリ層２４４６のアプリサブネット２４２６およびデータプレーンＶＣＮ２４１８のインターネットゲートウェイ２４３４に通信可能に接続され得るＬＢサブネット２４２２を含むことができる。アプリサブネット２４２６は、データプレーンＶＣＮ２４１８のサービスゲートウェイ２４３６およびデータプレーンＶＣＮ２４１８のＮＡＴゲートウェイ２４３８に通信可能に接続されてもよい。また、データプレーンデータ層２４５０は、データプレーンアプリ層２４４６のアプリサブネット２４２６に通信可能に接続され得るＤＢサブネット２４３０を含むことができる。

制御プレーンＶＣＮ２４１６のインターネットゲートウェイ２４３４およびデータプレーンＶＣＮ２４１８のインターネットゲートウェイ２４３４は、パブリックインターネット２４５４に通信可能に接続され得るメタデータ管理サービス２４５２に通信可能に接続されてもよい。パブリックインターネット２４５４は、制御プレーンＶＣＮ２４１６のＮＡＴゲートウェイ２４３８およびデータプレーンＶＣＮ２４１８のＮＡＴゲートウェイ２４３８に通信可能に接続されてもよい。制御プレーンＶＣＮ２４１６のサービスゲートウェイ２４３６およびデータプレーンＶＣＮ２４１８のサービスゲートウェイ２４３６は、クラウドサービス２４５６に通信可能に接続されてもよい。

いくつかの例において、制御プレーンＶＣＮ２４１６またはデータプレーンＶＣＮ２４１８のサービスゲートウェイ２４３６は、パブリックインターネット２４５４を経由することなく、クラウドサービス２４５６へのアプリケーションプログラミングインターフェイス（ＡＰＩ）呼び出しを行うことができる。サービスゲートウェイ２４３６からのクラウドサービス２４５６へのＡＰＩ呼び出しは、一方向であり得る。サービスゲートウェイ２４３６は、クラウドサービス２４５６へのＡＰＩ呼び出しを行うことができ、クラウドサービス２４５６は、要求データをサービスゲートウェイ２４３６に送信することができる。しかしながら、クラウドサービス２４５６は、サービスゲートウェイ２４３６へのＡＰＩ呼び出しを開始しないことがある。

いくつかの例において、セキュアホストテナンシ２４０４は、孤立であり得るサービステナンシ２４１９に直接に接続されてもよい。セキュアホストサブネット２４０８は、孤立のシステムとの双方向通信を可能にするＬＰＧ２４１０を介して、ＳＳＨサブネット２４１４と通信することができる。セキュアホストサブネット２４０８をＳＳＨサブネット２４１４に接続することによって、セキュアホストサブネット２４０８は、サービステナンシ２４１９内の他のエンティティにアクセスすることができる。

制御プレーンＶＣＮ２４１６は、サービステナンシ２４１９のユーザが所望のリソースを設定またはプロビジョニングすることを可能にする。制御プレーンＶＣＮ２４１６においてプロビジョニングされた所望のリソースは、データプレーンＶＣＮ２４１８において展開または使用されてもよい。いくつかの例において、制御プレーンＶＣＮ２４１６は、データプレーンＶＣＮ２４１８から隔離されてもよく、制御プレーンＶＣＮ２４１６のデータプレーンミラーアプリ層２４４０は、データプレーンミラーアプリ層２４４０およびデータプレーンアプリ層２４４６に含まれ得るＶＮＩＣ２４４２を介して、データプレーンＶＣＮ２４１８のデータプレーンアプリ層２４４６と通信することができる。

いくつかの例において、システムのユーザまたは顧客は、要求をメタデータ管理サービス２４５２に通信することができるパブリックインターネット２４５４を介して、例えば、作成、読み取り、更新、または削除（ＣＲＵＤ）操作などの要求を行うことができる。メタデータ管理サービス２４５２は、インターネットゲートウェイ２４３４を介して、要求を制御プレーンＶＣＮ２４１６に通信することができる。要求は、制御プレーンＤＭＺ層２４２０に含まれるＬＢサブネット２４２２によって受信されてもよい。ＬＢサブネット２４２２は、要求が有効であると判断することができ、この判断に応答して、ＬＢサブネット２４２２は、要求を制御プレーンアプリ層２４２４に含まれるアプリサブネット２４２６に送信することができる。要求が検証され、パブリックインターネット２４５４への呼び出しを必要とする場合、パブリックインターネット２４５４への呼び出しを、パブリックインターネット２４５４への呼び出しを行うことができるＮＡＴゲートウェイ２４３８に送信することができる。要求を記憶するためのメモリは、ＤＢサブネット２４３０に格納されてもよい。

いくつかの例において、データプレーンミラーアプリ層２４４０は、制御プレーンＶＣＮ２４１６とデータプレーンＶＣＮ２４１８との間の直接通信を容易にすることができる。例えば、構成に対する変更、更新、または他の適切な修正は、データプレーンＶＣＮ２４１８に含まれるリソースに適用されることが望ましい場合がある。制御プレーンＶＣＮ２４１６は、ＶＮＩＣ２４４２を介してデータプレーンＶＣＮ２４１８に含まれるリソースと直接に通信することができるため、構成に対する変更、更新、または他の適切な修正を実行することができる。

いくつかの実施形態において、制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８は、サービステナンシ２４１９に含まれてもよい。この場合、システムのユーザまたは顧客は、制御プレーンＶＣＮ２４１６またはデータプレーンＶＣＮ２４１８のいずれかを所有または操作しなくてもよい。代わりに、ＩａａＳプロバイダは、制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８を所有または操作してもよく、これらの両方は、サービステナンシ２４１９に含まれてもよい。この実施形態は、ネットワークの隔離を可能にすることによって、ユーザまたは顧客が他のユーザのリソースまたは他の顧客のリソースと対話することを防止できる。また、この実施形態は、システムのユーザまたは顧客が、記憶するための所望のレベルの脅威防止を有しない可能性のあるパブリックインターネット２４５４に依存する必要なく、データベースをプライベートに記憶することを可能にすることができる。

他の実施形態において、制御プレーンＶＣＮ２４１６に含まれるＬＢサブネット２４２２は、サービスゲートウェイ２４３６から信号を受信するように構成されてもよい。この実施形態において、制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８は、パブリックインターネット２４５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成されてもよい。顧客が使用するデータベースは、ＩａａＳプロバイダによって制御され、パブリックインターネット２４５４から隔離され得るサービステナンシ２４１９に格納され得るため、ＩａａＳプロバイダの顧客は、この実施形態を望む場合がある。

図２５は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの別の例示的なパラメータを示すブロック図２５００である。サービスオペレータ２５０２（例えば、図２４のサービスオペレータ２４０２）は、仮想クラウドネットワーク（ＶＣＮ）２５０６（例えば、図２４のＶＣＮ２４０６）およびセキュアホストサブネット２５０８（例えば、図２４のセキュアホストサブネット２４０８）を含み得るセキュアホストテナンシ２５０４（例えば、図２４のセキュアホストテナンシ２４０４）に通信可能に接続されてもよい。ＶＣＮ２５０６は、ＳＳＨＶＣＮ２５１２に含まれるＬＰＧ２４１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ２５１２（例えば、図２４のＳＳＨＶＣＮ２４１２）に通信可能に接続され得るローカルピアリングゲートウェイ（ＬＰＧ）２５１０（例えば、図２４のＬＰＧ２４１０）を含むことができる。ＳＳＨＶＣＮ２５１２は、ＳＳＨサブネット２５１４（例えば、図２４のＳＳＨサブネット２４１４）を含むことができ、ＳＳＨＶＣＮ２５１２は、制御プレーンＶＣＮ２５１６に含まれるＬＰＧ２５１０を介して制御プレーンＶＣＮ２５２４（例えば、図２４の制御プレーンＶＣＮ２４１６）に通信可能に接続することができる。制御プレーンＶＣＮ２５２４は、サービステナンシ２５１９（例えば、図２４のサービステナンシ２４１９）に含まれてもよく、データプレーンＶＣＮ２５１８（例えば、図２４のデータプレーンＶＣＮ２４１８）は、システムのユーザまたは顧客によって所有または運営され得る顧客テナンシ２５２１に含まれてもよい。

制御プレーンＶＣＮ２５１６は、ＬＢサブネット２５２２（例えば、図２４のＬＢサブネット２４２２）を含むことができる制御プレーンＤＭＺ層２５２０（例えば、図２４の制御プレーンＤＭＺ層２４２０）と、アプリサブネット２５２６（例えば、図２４のアプリサブネット２４２６）を含むことができる制御プレーンアプリ層２５１６（例えば、図２４の制御プレーンアプリ層２４２４）と、データベース（ＤＢ）サブネット２５３０（例えば、図２４のＤＢサブネット２４３０と同様）を含むことができる制御プレーンデータ層２５２８（例えば、図２４の制御プレーンデータ層２４２８）とを含むことができる。制御プレーンＤＭＺ層２５２０に含まれるＬＢサブネット２５２２は、制御プレーンアプリ層２５１６に含まれるアプリサブネット２５２６と、制御プレーンＶＣＮ２５１６に含まれ得るインターネットゲートウェイ２５３４（例えば、図２４のインターネットゲートウェイ２４３４）とに通信可能に接続されてもよい。アプリサブネット２５２６は、制御プレーンデータ層２５２８に含まれるＤＢサブネット２５３０、サービスゲートウェイ２５３６（例えば、図２４のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２５３８（例えば、図２４のＮＡＴゲートウェイ２４３８）に通信可能に接続されてもよい。制御プレーンＶＣＮ２５１６は、サービスゲートウェイ２５３６およびＮＡＴゲートウェイ２５３８を含むことができる。

制御プレーンＶＣＮ２５１６は、アプリサブネット２５２６を含むことができるデータプレーンミラーアプリ層２５４０（例えば、図２４のデータプレーンミラーアプリ層２４４０）を含むことができる。データプレーンミラーアプリ層２５４０に含まれるアプリサブネット２５２６は、（例えば、図２４の計算インスタンス２４４４と同様の）計算インスタンス２５４４を実行することができる仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）２５４２（例えば、ＶＮＩＣ２４４２）を含むことができる。計算インスタンス２５４４は、データプレーンミラーアプリ層２５４０に含まれるＶＮＩＣ２５４２およびデータプレーンアプリ層２５４６に含まれるＶＮＩＣ２５４２を介して、データプレーンミラーアプリ層２５４０のアプリサブネット２５２６と、データプレーンアプリ層２５４６（例えば、図２４のデータプレーンアプリ層２４４６）に含まれ得るアプリサブネット２５２６との間の通信を促進することができる。

制御プレーンＶＣＮ２５１６に含まれるインターネットゲートウェイ２５３４は、パブリックインターネット２５５４（例えば、図２４のパブリックインターネット２４５４）に通信可能に接続され得るメタデータ管理サービス２５５２（例えば、図２４のメタデータ管理サービス２４５２）に通信可能に接続されてもよい。パブリックインターネット２５５４は、制御プレーンＶＣＮ２５１６に含まれるＮＡＴゲートウェイ２５３８に通信可能に接続されてもよい。制御プレーンＶＣＮ２５１６に含まれるサービスゲートウェイ２５３６は、クラウドサービス２５５６（例えば、図２４のクラウドサービス２４５６）に通信可能に接続されてもよい。

いくつかの例において、データプレーンＶＣＮ２５１８は、顧客テナンシ２５２１に含まれてもよい。この場合、ＩａａＳプロバイダは、顧客ごとに制御プレーンＶＣＮ２５１６を提供することができ、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ２５１９に含まれる固有の計算インスタンス２５４４を構成することができる。各計算インスタンス２５４４は、サービステナンシ２５１９に含まれる制御プレーンＶＣＮ２５１６と、顧客テナンシ２５２１に含まれるデータプレーンＶＣＮ２５１８との間の通信を許可することができる。計算インスタンス２５４４は、サービステナンシ２５１９に含まれる制御プレーンＶＣＮ２５１６においてプロビジョニングされるリソースを、顧客テナンシ２５２１に含まれるデータプレーンＶＣＮ２５１８に展開することまたは使用することを許可することができる。

他の例において、ＩａａＳプロバイダの顧客は、顧客テナンシ２５２１に存在するデータベースを有することができる。この例において、制御プレーンＶＣＮ２５１６は、アプリサブネット２５２６を含むことができるデータプレーンマイナーアプリ層２５４０を含むことができる。データプレーンミラーアプリ層２５４０は、データプレーンＶＣＮ２５１８に存在してもよいが、データプレーンミラーアプリ層２５４０は、データプレーンＶＣＮ２５１８に存在しなくてもよい。すなわち、データプレーンミラーアプリ層２５４０は、顧客テナンシ２５２１にアクセスすることができるが、データプレーンミラーアプリ層２５４０は、データプレーンＶＣＮ２５１８に存在しなくてもよく、ＩａａＳプロバイダの顧客によって所有または運営されなくてもよい。データプレーンミラーアプリ層２５４０は、データプレーンＶＣＮ２５１８への呼び出しを行うように構成されてもよいが、制御プレーンＶＣＮ２５１６に含まれる任意のエンティティへの呼び出しを行うように構成されなくてもよい。顧客は、制御プレーンＶＣＮ２５１６にプロビジョニングされたデータプレーンＶＣＮ２５１８内のリソースを展開することまたは使用することを望むことができ、データプレーンミラーアプリケーション階層２５４０は、顧客のリソースの所望の展開または他の使用を促進することができる。

いくつかの実施形態において、ＩａａＳプロバイダの顧客は、フィルタをデータプレーンＶＣＮ２５１８に適用することができる。この実施形態において、顧客は、データプレーンＶＣＮ２５１８がアクセスできるものを決定することができ、顧客は、データプレーンＶＣＮ２５１８からのパブリックインターネット２５５４へのアクセスを制限することができる。ＩａａＳプロバイダは、データプレーンＶＣＮ２５１８から任意の外部ネットワークまたはデータベースへのアクセスにフィルタを適用するまたは制御することができない場合がある。顧客が顧客テナンシ２５２１に含まれるデータプレーンＶＣＮ２５１８にフィルタおよび制御を適用することは、データプレーンＶＣＮ２５１８を他の顧客およびパブリックインターネット２５５４から隔離することを支援することができる。

いくつかの実施形態において、クラウドサービス２５５６は、サービスゲートウェイ２５３６によって呼び出されて、パブリックインターネット２５５４上に、制御プレーンＶＣＮ２５１６上に、またはデータプレーンＶＣＮ２５１８上に存在していない可能性があるサービスにアクセスすることができる。クラウドサービス２５５６と制御プレーンＶＣＮ２５１６またはデータプレーンＶＣＮ２５１８との間の接続は、ライブまたは連続的でなくてもよい。クラウドサービス２５５６は、ＩａａＳプロバイダによって所有または運営されている別のネットワーク上に存在してもよい。クラウドサービス２５５６は、サービスゲートウェイ２５３６から呼び出しを受信するように構成されてもよく、パブリックインターネット２５５４から呼び出しを受信しないように構成されてもよい。いくつかのクラウドサービス２５５６は、他のクラウドサービス２５５６から隔離されてもよく、制御プレーンＶＣＮ２５１６は、制御プレーンＶＣＮ２５１６と同じ地域に配置していない可能性があるクラウドサービス２５５６から隔離されてもよい。例えば、制御プレーンＶＣＮ２５１６は、「地域１」に配置されてもよく、クラウドサービス「展開２４」は、「地域１」および「地域２」に配置されてもよい。展開２４への呼び出しが地域１に配置された制御プレーンＶＣＮ２５１６に含まれるサービスゲートウェイ２５３６によって行われる場合、この呼び出しは、地域１内の展開２４に送信されてもよい。この例において、制御プレーンＶＣＮ２５１６または地域１の展開２４は、地域２の展開２４と通信可能に接続されなくてもよい。

図２６は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図２６００である。サービスオペレータ２６０２（例えば、図２４のサービスオペレータ２４０２）は、仮想クラウドネットワーク（ＶＣＮ）２６０６（例えば、図２４のＶＣＮ２４０６）およびセキュアホストサブネット２６０８（例えば、図２４のセキュアホストサブネット２４０８）を含み得るセキュアホストテナンシ２６０４（例えば、図２４のセキュアホストテナンシ２４０４）に通信可能に接続されてもよい。ＶＣＮ２６０６は、ＳＳＨＶＣＮ２６１２に含まれるＬＰＧ２６１０を介してＳＳＨＶＣＮ２６１２（例えば、図２４のＳＳＨＶＣＮ２４１２）に通信可能に接続され得るＬＰＧ２６１０（例えば、図２４のＬＰＧ２４１０）を含むことができる。ＳＳＨＶＣＮ２６１２は、ＳＳＨサブネット２６１４（例えば、図２４のＳＳＨサブネット２４１４）を含むことができ、ＳＳＨＶＣＮ２６１２は、制御プレーンＶＣＮ２６１６に含まれるＬＰＧ２６１０を介して制御プレーンＶＣＮ２６１６（例えば、図２４の制御プレーンＶＣＮ２４１６）に通信可能に接続されてもよく、データプレーンＶＣＮ２６１８に含まれるＬＰＧ２６１０を介してデータプレーンＶＣＮ２６１８（例えば、図２４のデータプレーン２４１８）に通信可能に接続されてもよい。制御プレーンＶＣＮ２６１６およびデータプレーンＶＣＮ２６１８は、サービステナンシ２６１９（例えば、図２４のサービステナント２４１９）に含まれてもよい。

制御プレーンＶＣＮ２６１６は、ロードバランサ（ＬＢ）サブネット２６２２（例えば、図２４のＬＢサブネット２４２２）を含むことができる制御プレーンＤＭＺ層２６２０（例えば、図２４の制御プレーンＤＭＺ層２４２０）と、アプリサブネット２６２６（例えば、図２４のアプリサブネット２４２６と同様）を含むことができる制御プレーンアプリ層２６２４（例えば、図２４の制御プレーンアプリ層２４２４）と、ＤＢサブネット２６３０を含むことができる制御プレーンデータ層２６２８（例えば、図２４の制御プレーンデータ層２４２８）とを含むことができる。制御プレーンＤＭＺ層２６２０に含まれるＬＢサブネット２６２２は、制御プレーンアプリ層２６２４に含まれるアプリサブネット２６２６と、制御プレーンＶＣＮ２６１６に含まれ得るインターネットゲートウェイ２６３４（例えば、図２４のインターネットゲートウェイ２４３４）とに通信可能に接続されてもよい。アプリサブネット２６２６は、制御プレーンデータ層２６２８に含まれるＤＢサブネット２６３０と、サービスゲートウェイ２６３６（例えば、図２４のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２６３８（例えば、図２４のＮＡＴゲートウェイ２４３８）とに通信可能に接続されてもよい。制御プレーンＶＣＮ２６１６は、サービスゲートウェイ２６３６およびＮＡＴゲートウェイ２６３８を含むことができる。

データプレーンＶＣＮ２６１８は、データプレーンアプリ層２６４６（例えば、図２４のデータプレーンアプリ層２４４６）と、データプレーンＤＭＺ層２６４８（例えば、図２４のデータプレーンＤＭＺ層２４４８）と、データプレーンデータ層２６５０（例えば、図２４のデータプレーンデータ階層２４５０）とを含むことができる。データプレーンＤＭＺ層２６４８は、データプレーンＶＣＮ２６１８に含まれるデータプレーンアプリ層２６４６およびインターネットゲートウェイ２６３４の信頼できるアプリサブネット２６６０および信頼できないアプリサブネット２６６２に通信可能に接続され得るＬＢサブネット２６２２を含むことができる。信頼できるアプリサブネット２６６０は、データプレーンＶＣＮ２６１８に含まれるサービスゲートウェイ２６３６、データプレーンＶＣＮ２６１８に含まれるＮＡＴゲートウェイ２６３８、およびデータプレーンデータ層２６５０に含まれるＤＢサブネット２６３０に通信可能に接続されてもよい。信頼できないアプリサブネット２６６２は、データプレーンＶＣＮ２６１８に含まれるサービスゲートウェイ２６３６、およびデータプレーンデータ層２６５０に含まれるＤＢサブネット２６３０に通信可能に接続されてもよい。データプレーンデータ層２６５０は、データプレーンＶＣＮ２６１８に含まれるサービスゲートウェイ２６３６に通信可能に接続され得るＤＢサブネット２６３０を含むことができる。

信頼できないアプリサブネット２６６２は、テナント仮想マシン（ＶＭ）２６６６（１）～（Ｎ）に通信可能に接続され得る１つ以上のプライマリＶＮＩＣ２６６４（１）～（Ｎ）を含むことができる。各テナントＶＭ２６６６（１）～（Ｎ）は、それぞれの顧客テナンシ２６７０（１）～（Ｎ）に含まれ得るそれぞれのコンテナ送信ＶＣＮ２６６８（１）～（Ｎ）に含まれ得るそれぞれのアプリサブネット２６６７（１）～（Ｎ）に通信可能に接続されてもよい。それぞれのセカンダリＶＮＩＣ２６７２（１）～（Ｎ）は、データプレーンＶＣＮ２６１８に含まれる信頼できないアプリサブネット２６６２と、コンテナ送信ＶＣＮ２６６８（１）～（Ｎ）に含まれるアプリサブネットとの間の通信を促進することができる。各コンテナ送信ＶＣＮ２６６８（１）～（Ｎ）は、パブリックインターネット２６５４（例えば、図２４のパブリックインターネット２４５４）に通信可能に接続され得るＮＡＴゲートウェイ２６３８を含むことができる。

制御プレーンＶＣＮ２６１６に含まれるインターネットゲートウェイ２６３４およびデータプレーンＶＣＮ２６１８に含まれるインターネットゲートウェイ２６３４は、パブリックインターネット２６５４に通信可能に接続され得るメタデータ管理サービス２６５２（例えば、図２４のメタデータ管理システム２４５２）に通信可能に接続されてもよい。パブリックインターネット２６５４は、制御プレーンＶＣＮ２６１６に含まれるＮＡＴゲートウェイ２６３８およびデータプレーンＶＣＮ２６１８に含まれるＮＡＴゲートウェイ２６３８に通信可能に接続されてもよい。制御プレーンＶＣＮ２６１６に含まれるサービスゲートウェイ２６３６およびデータプレーンＶＣＮ２６１８に含まれるサービスゲートウェイ２６３６は、クラウドサービス２６５６に通信可能に接続されてもよい。

いくつかの実施形態において、データプレーンＶＣＮ２６１８は、顧客テナンシ２６７０に統合されてもよい。この統合は、コードを実行するときにサポートを望む場合がある場合などのいくつかの場合において、ＩａａＳプロバイダの顧客にとって有用または望ましい場合がある。顧客は、実行すると、破壊的であり得る、他の顧客リソースと通信し得る、または望ましくない影響を引き起こし得るコードを提供することがある。従って、ＩａａＳプロバイダは、顧客がＩａａＳプロバイダに提供したコードを実行するか否かを判断することができる。

いくつかの例において、ＩａａＳプロバイダの顧客は、一時的なネットワークアクセスをＩａａＳプロバイダに許可することができ、データプレーンアプリ層２６４６に追加する機能を要求することができる。機能を実行するためのコードは、ＶＭ２６６６（１）～（Ｎ）で実行されてもよいが、データプレーンＶＣＮ２６１８上の他の場所で実行されるように構成されることができない。各ＶＭ２６６６（１）～（Ｎ）は、１つの顧客テナンシ２６７０に接続されてもよい。ＶＭ２６６６（１）～（Ｎ）に含まれるそれぞれのコンテナ２６７１（１）～（Ｎ）は、コードを実行するように構成されてもよい。この場合、二重の隔離（例えば、コンテナ２６７１（１）～（Ｎ）は、コードを実行し、コンテナ２６７１（１）～（Ｎ）は、少なくとも、信頼できないアプリサブネット２６６２に含まれるＶＭ２６６６（１）～（Ｎ）に含まれ得る）が存在してもよく、これは、誤ったコードまたは望ましくないコードがＩａａＳプロバイダのネットワークに損傷を与えること、または異なる顧客のネットワークに損傷を与えることを防止することを支援することができる。コンテナ２６７１（１）～（Ｎ）は、顧客テナンシ２６７０に通信可能に接続されてもよく、顧客テナンシ２６７０からデータを送信または受信するように構成されてもよい。コンテナ２６７１（１）～（Ｎ）は、データプレーンＶＣＮ２６１８内の任意の他のエンティティからデータを送信または受信するように構成されなくてもよい。コードの実行が完了すると、ＩａａＳ提供者は、コンテナ２６７１（Ｉ）～（Ｎ）をキルするまたは廃棄することができる。

いくつかの実施形態において、信頼できるアプリサブネット２６６０は、ＩａａＳプロバイダによって所有または運営され得るコードを実行することができる。この実施形態において、信頼できるアプリサブネット２６６０は、ＤＢサブネット２６３０に通信可能に接続され、ＤＢサブネット２６３０においてＣＲＵＤ操作を実行するように構成されてもよい。信頼できないアプリサブネット２６６２は、ＤＢサブネット２６３０に通信可能に接続され得るが、この実施形態において、信頼できないアプリサブネットは、ＤＢサブネット２６３０内で読み取り操作を実行するように構成されてもよい。各顧客のＶＭ２６６６（１）～（Ｎ）に含まれ、顧客からのコードを実行することができるコンテナ２６７１（１）～（Ｎ）は、ＤＢサブネット２６３０と通信可能に接続されなくてもよい。

他の実施形態において、制御プレーンＶＣＮ２６１６およびデータプレーンＶＣＮ２６１８は、通信可能に直接に結合されなくてもよい。この実施形態において、制御プレーンＶＣＮ２６１６とデータプレーンＶＣＮ２６１８との間に直接的な通信は、存在しないことがある。しかしながら、少なくとも１つの方法による間接的な通信は、存在してもよい。制御プレーンＶＣＮ２６１６とデータプレーンＶＣＮ２６１８との間の通信を容易にすることができるＬＰＧ２６１０が、ＩａａＳプロバイダによって確立されてもよい。別の例において、制御プレーンＶＣＮ２６１６またはデータプレーンＶＣＮ２６１８は、サービスゲートウェイ２６３６を介してクラウドサービス２６５６への呼び出しを行うことができる。例えば、制御プレーンＶＣＮ２６１６からクラウドサービス２６５６への呼び出しは、データプレーンＶＣＮ２６１８と通信することができるサービスの要求を含むことができる。

図２７は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの別の例示的なパラメータを示すブロック図２７００である。サービスオペレータ２７０２（例えば、図２４のサービスオペレータ２４０２）は、仮想クラウドネットワーク（ＶＣＮ）２７０６（例えば、図２４のＶＣＮ２４０６）およびセキュアホストサブネット２７０８（例えば、図２４のセキュアホストサブネット２４０８）を含み得るセキュアホストテナンシ２７０４（例えば、図２４のセキュアホストテナンシ２４０４）に通信可能に接続されてもよい。ＶＣＮ２７０６は、ＳＳＨＶＣＮ２７１２に含まれるＬＰＧ２７１０を介してＳＳＨＶＣＮ２７１２（例えば、図２４のＳＳＨＶＣＮ２４１２）に通信可能に接続され得るＬＰＧ２７１０（例えば、図２４のＬＰＧ２４１０）を含むことができる。ＳＳＨＶＣＮ２７１２は、ＳＳＨサブネット２７１４（例えば、図２４のＳＳＨサブネット２４１４）を含むことができ、ＳＳＨＶＣＮ２７１２は、制御プレーンＶＣＮ２７１６に含まれるＬＰＧ２７１０を介して制御プレーンＶＣＮ２７１６（例えば、図２４の制御プレーンＶＣＮ２４１６）に通信可能に接続されてもよく、データプレーンＶＣＮ２７１８に含まれるＬＰＧ２７１０を介してデータプレーンＶＣＮ２７１８（例えば、図２４のデータプレーン２４１８）に通信可能に接続されてもよい。制御プレーンＶＣＮ２７１６およびデータプレーンＶＣＮ２７１８は、サービステナンシ２７１９（例えば、図２４のサービステナンシ２４１９）に含まれてもよい。

制御プレーンＶＣＮ２７１６は、ＬＢサブネット２７２２（例えば、図２４のＬＢサブネット２４２２）を含み得る制御プレーンＤＭＺ層２７２０（例えば、図２４の制御プレーンＤＭＺ層２４２０）、アプリサブネット２７２６（例えば、図２４のアプリサブネット２４２６）を含み得る制御プレーンアプリ層２７２４（例えば、図２４の制御プレーンアプリ層２４２４）、ＤＢサブネット２７３０（例えば、図２６のＤＢサブネット２６３０）を含み得る制御プレーンデータ層２７２８（例えば、図２４の制御プレーンデータ層２４２８）を含むことができる。制御プレーンＤＭＺ層２７２０に含まれるＬＢサブネット２７２２は、制御プレーンアプリ層２７２４に含まれるアプリサブネット２７２６と、制御プレーンＶＣＮ２７１６に含まれ得るインターネットゲートウェイ２７３４（例えば、図２４のインターネットゲートウェイ２４３４）とに通信可能に接続されてもよい。アプリサブネット２７２６は、制御プレーンデータ層２７２８に含まれるＤＢサブネット２７３０と、サービスゲートウェイ２７３６（例えば、図２４のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２７３８（例えば、図２４のＮＡＴゲートウェイ２４３８）とに通信可能に接続されてもよい。制御プレーンＶＣＮ２７１６は、サービスゲートウェイ２７３６およびＮＡＴゲートウェイ２７３８を含むことができる。

データプレーンＶＣＮ２７１８は、データプレーンアプリ層２７４６（例えば、図２４のデータプレーンアプリ層２４４６）、データプレーンＤＭＺ層２７４８（例えば、図２４のデータプレーンＤＭＺ層２４４８）、およびデータプレーンデータ層２７５０（例えば、図２４のデータプレーンデータ層２４５０）を含むことができる。データプレーンＤＭＺ層２７４８は、データプレーンアプリ層２７４６の信頼できるアプリサブネット２７６０（例えば、図２６の信頼できるアプリサブネット２６６０）および信頼できないアプリサブネット２７６２（例えば、図２６の信頼できないアプリサブネット２６６２）およびデータプレーンＶＣＮ２７１８に含まれるインターネットゲートウェイ２７３４に通信可能に接続され得るＬＢサブネット２７２２を含むことができる。信頼できるアプリサブネット２７６０は、データプレーンＶＣＮ２７１８に含まれるサービスゲートウェイ２７３６、データプレーンＶＣＮ２７１８に含まれるＮＡＴゲートウェイ２７３８、およびデータプレーンデータ層２７５０に含まれるＤＢサブネット２７３０に通信可能に接続されてもよい。信頼できないアプリサブネット２７６２は、データプレーンＶＣＮ２７１８に含まれるサービスゲートウェイ２７３６、およびデータプレーンデータ層２７５０に含まれるＤＢサブネット２７３０に通信可能に接続されてもよい。データプレーンデータ層２７５０は、データプレーンＶＣＮ２７１８に含まれるサービスゲートウェイ２７３６に通信可能に接続され得るＤＢサブケット２７３０を含むことができる。

信頼できないアプリサブネット２７６２は、信頼できないアプリサブネット２７６２に常駐するテナント仮想マシン（ＶＭ）２７６６（１）～（Ｎ）に通信可能に接続され得るプライマリＹＮＩＣ２７６４（１）～（Ｎ）を含むことができる。各テナントＶＭ２７６６（１）～（Ｎ）は、それぞれのコンテナ２７６７（１）～（Ｎ）においてコードを実行することができ、コンテナ送信ＶＣＮ２７６８に含まれ得るデータプレーンアプリ層２７４６に含まれ得るアプリサブネット２７２６に通信可能に接続されてもよい。各セカンダリＶＮＩＣ２７７２（１）～（Ｎ）は、データプレーンＶＣＮ２７１８に含まれる信頼できないアプリサブネット２７６２とコンテナ送信ＶＣＮ２７６８に含まれるアプリサブネットとの間の通信を促進することができる。コンテナ送信ＶＣＮは、パブリックインターネット２７５４（例えば、図２４のパブリックインターネット２４５４）に通信可能に接続することができるＮＡＴゲートウェイ２７３８を含むことができる。

制御プレーンＶＣＮ２７１６に含まれるインターネットゲートウェイ２７３４およびデータプレーンＶＣＮ２７１８に含まれるインターネットゲートウェイ２７３４は、パブリックインターネット２７５４に通信可能に接続され得るメタデータ管理サービス２７５２（例えば、図２４のメタデータ管理システム２４５２）に通信可能に接続されてもよい。パブリックインターネット２７５４は、制御プレーンＶＣＮ２７１６に含まれるインターネットゲートウェイ２７３４およびデータプレーンＶＣＮ２７１８に含まれるＮＡＴゲートウェイ２７３８に通信可能に接続されてもよい。制御プレーンＶＣＮ２７１６に含まれるインターネットゲートウェイ２７３４およびデータプレーンＶＣＮ２７１８に含まれるサービスゲートウェイ２７３６は、クラウドサービス２７５６に通信可能に接続されてもよい。

いくつかの例において、図２７のブロック図２７００のアーキテクチャによって示されたパターンは、図２６のブロック図２６００のアーキテクチャによって示されたパターンの例外と考えられ、ＩａａＳプロバイダが顧客と直接に通信できない（例えば、非接続地域）場合、ＩａａＳプロバイダの顧客にとって望ましいことがある。顧客は、各顧客のＶＭ２７６６（１）～（Ｎ）に含まれるそれぞれのコンテナ２７６７（１）～（Ｎ）にリアルタイムでアクセスすることができる。コンテナ２７６７（１）～（Ｎ）は、コンテナ送信ＶＣＮ２７６８に含まれ得るデータプレーンアプリ層２７４６のアプリサブネット２７２６に含まれるそれぞれのセカンダリＶＮＩＣ２７７２（１）～（Ｎ）を呼び出すように構成されてもよい。セカンダリＶＮＩＣ２７７２（１）～（Ｎ）は、パブリックインターネット２７５４に呼び出しを送信することができるＮＡＴゲートウェイ２７３８に呼び出しを送信することができる。この例において、顧客がリアルタイムでアクセスできるコンテナ２７６７（１）～（Ｎ）は、制御プレーンＶＣＮ２７１６から隔離されてもよく、データプレーンＶＣＮ２７１８に含まれる他のエンティティから隔離されてもよい。また、コンテナ２７６７（１）～（Ｎ）は、他の顧客のリソースから隔離されてもよい。

他の例において、顧客は、コンテナ２７６７（１）～（Ｎ）を使用して、クラウドサービス２７５６を呼び出すことができる。この例では、顧客は、コンテナ２７６７（１）～（Ｎ）において、クラウドサービス２７５６からサービスを要求するコードを実行することができる。コンテナ２７６７（１）～（Ｎ）は、要求をパブリックインターネット２７５４に送信することができるＮＡＴゲートウェイに要求を送信することができるセカンダリＶＮＩＣ２７７２（１）～（Ｎ）にこの要求を送信することができる。パブリックインターネット２７５４は、インターネットゲートウェイ２７３４を介して、制御プレーンＶＣＮ２７１６に含まれるＬＢサブネット２７２２にこの要求を送信することができる。要求が有効であるとの判断に応答して、ＬＢサブネットは、この要求をアプリサブネット２７２６に送信することができ、アプリサブネット２７２６は、サービスゲートウェイ２７３６を介して、この要求をクラウドサービス２７５６に要求を送信することができる。

なお、図示されたＩａａＳアーキテクチャ２４００、２５００、２６００および２７００は、図示されたもの以外の要素を含んでもよい。また、図示された実施形態は、本開示の実施形態を組み込むことができるクラウドインフラストラクチャシステムの一部の例に過ぎない。他のいくつかの実施形態において、ＩａａＳシステムは、図示されたものよりも多いまたは少ない要素を有してよく、２つ以上の要素を組み合わせてよく、または要素の異なる構成または配置を有してよい。

特定の実施形態において、本開示に記載されたＩａａＳシステムは、セルフサービス、サブスクリプションベース、柔軟な拡張可能性、信頼性、高可用性、および安全な方法で顧客に提供されるアプリケーション、ミドルウエア、およびデータベースサービスのスイートを含むことができる。このようなＩａａＳシステムの一例は、本出願人によって提供されたオラクル（登録商標）クラウドインフラストラクチャ（ＯＣＩ）である。

図２８は、様々な実施形態が実装され得る例示的なコンピュータシステム２８００を示す。システム２８００は、上述したコンピュータシステムのいずれかを実装するために使用されてもよい。図示のように、コンピュータシステム２８００は、バスサブシステム２８０２を介して多数の周辺サブシステムと通信する処理ユニット２８０４を含む。これらの周辺サブシステムは、処理加速ユニット２８０６、Ｉ／Ｏサブシステム２８０８、記憶サブシステム２８１８、および通信サブシステム２８２４を含んでもよい。記憶サブシステム２８１８は、有形のコンピュータ可読記憶媒体２８２２およびシステムメモリ２８１０を含む。

バスサブシステム２８０２は、コンピュータシステム２８００の様々な構成要素およびサブシステムを意図したように相互に通信させるための機構を提供する。バスサブシステム２８０２は、単一のバスとして概略的に示されているが、バスサブシステムの代替的な実施形態は、複数のバスを利用してもよい。バスサブシステム２８０２は、メモリバスまたはメモリコントローラ、周辺バス、および様々なバスアーキテクチャのいずれかを使用するローカルバスを含む、いくつかの種類のバス構造のいずれかであってもよい。例えば、このようなアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）、バス拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオ電子標準協会（ＶＥＳＡ）ローカルバス、およびＩＥＥＥＰ１３８６．１標準に準拠して製造されたメザニンバスとして実装できる周辺機器相互接続（ＰＣＩ）バスなどを含むことができる。

１つ以上の集積回路（例えば、従来のマイクロプロセッサまたはマイクロコントローラ）として実装され得る処理ユニット２８０４は、コンピュータシステム２８００の動作を制御する。処理ユニット２８０４は、１つ以上のプロセッサを含んでもよい。これらのプロセッサは、シングルコアまたはマルチコアプロセッサを含んでもよい。いくつかの実施形態において、処理ユニット２８０４は、各処理ユニットに含まれるシングルコアまたはマルチコアプロセッサを有する１つ以上の独立した処理ユニット２８３２および／または２８３４として実装されてもよい。他の実施形態において、処理ユニット２８０４は、２つのデュアルコアプロセッサを単一のチップに統合することによって形成されたクワッドコア（quad-core）処理ユニットとして実装されてもよい。

様々な実施形態において、処理ユニット２８０４は、プログラムコードに応答して様々なプログラムを実行することができ、同時に実行する複数のプログラムまたはプロセスを維持することができる。任意の時点で、実行されるプログラムコードの一部または全部は、プロセッサ２８０４および／または記憶サブシステム２８１８に常駐することができる。プロセッサ２８０４は、適切なプログラミングを通して、上述した様々な機能性を提供することができる。コンピュータシステム２８００は、デジタル信号プロセッサ（ＤＳＰ）、専用プロセッサおよび／または同種のものを含むことができる処理加速ユニット２８０６をさらに含んでもよい。

Ｉ／Ｏサブシステム２８０８は、ユーザインターフェイス入力装置と、ユーザインターフェイス出力装置とを含むことができる。ユーザインターフェイス入力装置は、キーボード、マウスまたはトラックボールなどのポインティング装置、ディスプレイに組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声命令認識システムを備える音声入力装置、マイクロフォン、および他の種類の入力装置を含んでもよい。また、ユーザインターフェイス入力装置は、例えば、Microsoft Kinect（登録商標）モーションセンサのようなモーション検知および／またはジェスチャ認識装置を含んでもよい。Microsoft Kinect（登録商標）モーションセンサは、ジェスチャおよび音声命令を利用する自然ユーザインターフェイス（NUI）を介して、Microsoft Xbox（登録商標）３６０ゲームコントローラなどの入力装置を制御することができ、それと対話することができる。また、ユーザインターフェイス入力装置は、Google Glass（登録商標）瞬き検出器のような眼球ジェスチャ認識装置を含むことができる。Google Glass（登録商標）瞬き検出器は、ユーザの眼球活動（例えば、写真を撮るときおよび／またはメニューを選択するときの「瞬き」）を検出し、眼球活動を入力装置（例えば、Google Glass（登録商標））に入力する入力に変換する。さらに、ユーザインターフェイス入力装置は、音声命令を介してユーザと音声認識システム（例えば、Siri（登録商標）ナビゲータ）との対話を可能にする音声認識検出装置を含んでもよい。

また、ユーザインターフェイス入力装置は、三次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッド、グラフィックタブレット、スピーカなどのオーディオ／ビジュアル装置、デジタルカメラ、デジタルビデオカメラ、ポータブルメディアプレーヤ、ウェブカメラ、イメージスキャナ、指紋スキャナ、バーコードリーダ、３Ｄスキャナ、３Ｄプリンタ、レーザ距離計、および視線追跡装置を含むがこれらに限定されない。さらに、ユーザインターフェイス入力装置は、例えば、コンピュータ断層撮影装置、磁気共鳴像装置、超音波放射断層撮影装置、および医療用超音波装置などのような医用画像入力装置を含んでもよい。また、ユーザインターフェイス入力装置は、例えば、ＭＩＤＩキーボードおよび電子楽器などの音声入力装置を含んでもよい。

ユーザインターフェイス出力装置は、ディスプレイサブシステム、インジケータライト、またはオーディオ出力装置などの非視覚ディスプレイを含んでもよい。ディスプレイサブシステムは、例えば、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを使用するフラットパネル装置、投射装置またはタッチスクリーンであってもよい。一般的に、「出力装置」という用語を使用する場合、コンピュータシステム２８００から情報をユーザまたは他のコンピュータに出力するための全ての可能な種類の装置および機構を含むことを意図している。例えば、ユーザインターフェイス出力装置は、文字、画像およびオーディオ／ビデオ情報を視覚的に伝達するさまざまな表示装置、例えば、モニタ、プリンタ、スピーカ、ヘッドフォン、カーナビゲーションシステム、プロッタ、音声出力装置、およびモデムを含むがこれらに限定されない。

コンピュータシステム２８００は、記憶サブシステム２８１８を含むことができる。記憶サブシステム２８１８は、ソフトウェア要素を備え、図示では、これらのソフトウェア要素は、システムメモリ２８１０内に配置されている。システムメモリ２８１０は、処理ユニット２８０４にロード可能かつ実行可能なプログラム命令、およびこれらのプログラムの実行により生成されたデータを記憶することができる。

コンピュータシステム２８００の構成およびタイプに応じて、システムメモリ２８１０は、揮発性メモリ（例えば、ランダムアクセスメモリ（random access memory：ＲＡＭ））であってもよく、および／または、不揮発性メモリ（例えば、読取り専用メモリ（read-only memory：ＲＯＭ）、フラッシュメモリ）であってもよい。一般的に、ＲＡＭは、処理ユニット２８０４がすぐにアクセス可能なデータおよび／またはプログラムモジュール、および／または、処理ユニット２８０４によって現在操作および実行されているデータおよび／またはプログラムモジュールを収容する。いくつかの実現例では、システムメモリ２８１０は、スタティックランダムアクセスメモリ（static random access memory：ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（dynamic random access memory：ＤＲＡＭ）などの複数の異なるタイプのメモリを含み得る。いくつかの実現例では、始動中などにコンピュータシステム２８００内の要素間で情報を転送することを助ける基本ルーチンを含む基本入力／出力システム（basic input/output system：ＢＩＯＳ）が、一般的にＲＯＭに格納され得る。一例としておよび非限定的に、システムメモリ２８１０は、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（relational database management system：ＲＤＢＭＳ）などを含み得るアプリケーションプログラム２８１２、プログラムデータ２８１４およびオペレーティングシステム２８１６も示す。一例として、オペレーティングシステム２８１６は、マイクロソフトウィンドウズ（登録商標）、Apple Macintosh（登録商標）および／もしくはＬｉｎｕｘ（登録商標）オペレーティングシステムのさまざまなバージョン、さまざまな市販のＵＮＩＸ（登録商標）もしくはＵＮＩＸライクオペレーティングシステム（さまざまなＧＮＵ／Ｌｉｎｕｘオペレーティングシステム、Google Chrome（登録商標）ＯＳなどを含むが、これらに限定されるものではない）、および／または、ｉＯＳ、Windows（登録商標）フォン、アンドロイド（登録商標）ＯＳ、ブラックベリー（登録商標）１０ＯＳおよびパーム（登録商標）ＯＳオペレーティングシステムなどのモバイルオペレーティングシステムを含み得る。

また、記憶サブシステム２８１８は、いくつかの実施例の機能を提供する基本的なプログラミングおよびデータ構造を格納するための有形のコンピュータ可読記憶媒体を提供することができる。プロセッサによって実行されたときに上記の機能を提供するソフトウェア（プログラム、コードモジュール、命令）は、記憶サブシステム２８１８に記憶されてもよい。これらのソフトウェアモジュールまたは命令は、処理ユニット２８０４によって実行されてもよい。また、記憶サブシステム２８１８は、本開示に従って使用されるデータを記憶するためのリポジトリを提供することができる。

また、記憶サブシステム２８１０は、コンピュータ可読記憶媒体２８２２にさらに接続可能なコンピュータ可読記憶媒体リーダ２８２８を含むことができる。コンピュータ可読記憶媒体２８２２は、システムメモリ２８１０と共に、または必要に応じてシステムメモリ２８１０と組み合わせて、コンピュータ可読情報を一時的におよび／または永久に収容、格納、送信および検索するための記憶媒体に加えて、リモート記憶装置、ローカル記憶装置、固定的な記憶装置および／または取外し可能な記憶装置を包括的に表すことができる。

また、コードまたはコードの一部を含むコンピュータ可読記憶媒体２８２２は、当該技術分野において公知のまたは使用される任意の適切な媒体を含んでもよい。当該媒体は、情報の格納および／または送信のための任意の方法または技術において実現される揮発性および不揮発性の、取外し可能および取外し不可能な媒体などであるが、これらに限定されるものではない記憶媒体および通信媒体を含む。これは、ＲＡＭ、ＲＯＭ、電子的消去・プログラム可能ＲＯＭ（electronically erasable programmable ROM：ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（digital versatile disk：ＤＶＤ）、または他の光学式記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または他の有形のコンピュータ可読媒体などの有形のコンピュータ可読記憶媒体を含むことができる。また、これは、データ信号、データ送信などの無形のコンピュータ可読媒体、または、所望の情報を送信するために使用可能であり且つコンピュータシステム２８００によってアクセス可能なその他の媒体を含むことができる。

一例として、コンピュータ可読記憶媒体２８２２は、取外し不可能な不揮発性磁気媒体から読取るまたは当該媒体に書込むハードディスクドライブ、取外し可能な不揮発性磁気ディスクから読取るまたは当該ディスクに書込む磁気ディスクドライブ、ならびに、ＣＤＲＯＭ、ＤＶＤおよびブルーレイ（登録商標）ディスクまたは他の光学式媒体などの取外し可能な不揮発性光学ディスクから読取るまたは当該ディスクに書込む光学式ディスクドライブを含んでもよい。コンピュータ可読記憶媒体２８２２は、ジップ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（universal serial bus：ＵＳＢ）フラッシュドライブ、セキュアデジタル（secure digital：ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得るが、これらに限定されるものではない。また、コンピュータ可読記憶媒体２８２２は、フラッシュメモリベースのＳＳＤ、企業向けフラッシュドライブ、ソリッドステートＲＯＭなどの不揮発性メモリに基づくソリッドステートドライブ（solid-state drive：ＳＳＤ）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭなどの揮発性メモリに基づくＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（magnetoresistive RAM：ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭとフラッシュメモリベースのＳＳＤとの組み合わせを使用するハイブリッドＳＳＤを含んでもよい。ディスクドライブおよびそれらの関連のコンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュールおよび他のデータの不揮発性記憶装置をコンピュータシステム２８００に提供することができる。

通信サブシステム２８２４は、他のコンピュータシステムおよびネットワークとのインターフェイスを提供する。通信サブシステム２８２４は、他のシステムからデータを受信し、コンピュータシステム２８００から他のシステムにデータを送信するためのインターフェイスの役割を果たす。例えば、通信サブシステム２８２４は、コンピュータシステム２８００がインターネットを介して１つ以上の装置に接続することを可能にし得る。いくつかの実施例では、通信サブシステム２８２４は、（例えば３Ｇ、４ＧまたはＥＤＧＥ（enhanced data rates for global evolution）などの携帯電話技術、高度データネットワーク技術を用いて）無線音声および／またはデータネットワークにアクセスするための無線周波数（radio frequency：ＲＦ）トランシーバ構成要素、ＷｉＦｉ（ＩＥＥＥ１６０２．１１ファミリ標準または他のモバイル通信技術またはそれらの任意の組み合わせ）、全地球測位システム（global positioning system：ＧＰＳ）レシーバ構成要素、および／または、他の構成要素を含んでもよい。いくつかの実施例では、通信サブシステム２８２４は、無線インターフェイスに加えて、または無線インターフェイスの代わりに、有線ネットワーク接続（例えばイーサネット）を提供することができる。

また、いくつかの実施例において、通信サブシステム２８２４は、コンピュータシステム２８００を使用し得る１人以上のユーザを代表して、構造化されたおよび／または構造化されていないデータフィード２８２６、イベントストリーム２８２８、イベント更新２８３０などの形態で入力通信を受信することができる。

一例として、通信サブシステム２８２４は、ツイッター（登録商標）フィード、フェースブック（登録商標）更新、リッチ・サイト・サマリ（Rich Site Summary：ＲＳＳ）フィードなどのウェブフィードなどのデータフィード２８２６をリアルタイムでソーシャルネットワークおよび／または他の通信サービスのユーザから受信し、および／または、１つ以上の第三者情報源からリアルタイム更新を受信するように構成されてもよい。

また、通信サブシステム２８２４は、連続的なデータストリームの形態でデータを受信するように構成され得て、当該データは、連続的である場合もあれば本質的に明確な端部を持たない状態で境界がない場合もあるリアルタイムイベントのイベントストリーム２８２８および／またはイベント更新２８３０を含んでもよい。連続的なデータを生成するアプリケーションの例としては、例えばセンサデータアプリケーション、金融ティッカ、ネットワーク性能測定ツール（例えばネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通モニタリングなどを含んでもよい。

また、通信サブシステム２８２４は、構造化されたおよび／または構造化されていないデータフィード２８２６、イベントストリーム２８２８、イベント更新２８３０などを、コンピュータシステム２８００に結合された１つ以上のストリーミングデータソースコンピュータと通信し得る１つ以上のデータベースに出力するように構成されてもよい。

コンピュータシステム２８００は、手持ち式携帯機器（例えば、iPhone（登録商標）携帯電話、iPad（登録商標）計算タブレット、ＰＤＡ）、ウエアラブル装置（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラックまたはその他のデータ処理システムを含む様々な種類のうちの１つであってもよい。

コンピュータおよびネットワークが絶え間なく進化し続けるため、図示されたコンピュータシステム２８００の説明は、特定の例として意図されているにすぎない。図示されたシステムよりも多くのまたは少ない数の構成要素を有する多くの他の構成も可能である。例えば、ハードウェア、ファームウエア、（アプレットを含む）ソフトウェア、または組み合わせにおいて、カスタマイズされたハードウェアも使用されてもよく、および／または、特定の要素が実装されてもよい。さらに、ネットワーク入力／出力装置などの他の計算装置への接続が利用されてもよい。本開示において提供される開示および教示に基づいて、当業者は、様々な実施例を実現するための他の手段および／または方法を理解するであろう。

本開示の特定の実施形態を説明してきたが、さまざまな変更、改変、代替構成、および同等物も本開示の範囲内に包含される。本開示の実施形態は、特定のデータ処理環境内で動作するのに限定されず、複数のデータ処理環境内で自由に動作することができる。さらに、一連の特定の処置およびステップを用いて本開示の実施形態を説明してきたが、本開示の範囲が説明された一連の処置およびステップに限定されないことは、当業者にとって明らかであろう。上述した実施形態のさまざまな特徴および態様は、個別にまたは共同で使用することができる。

さらに、ハードウェアおよびソフトウェアの特定の組み合わせを用いて本開示の実施形態を説明してきたが、ハードウェアおよびソフトウェアの他の組み合わせも本開示の範囲内に含まれることを認識すべきである。ハードウェアのみ、ソフトウェアのみ、またはそれらの組み合わせを用いて、本開示の実施形態を実現することができる。本開示に記載されたさまざまなプロセスは、同一のプロセッサまたは任意の組み合わせの異なるプロセッサ上で実行することができる。したがって、特定の処理を実行するように構成要素またはモジュールを構成すると説明する場合、その構成は、例えば、その処理を実行するように電子回路を設計することによって、その処理を実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの組み合わせによって実現することができる。プロセスは、プロセス間の通信を行う従来技術を含むがこれに限定されないさまざまな技術を用いて通信を行うことができる。異なる対のプロセスは、異なる技術を使用することができ、または同一対のプロセスは、異なる時間で異なる技術を使用することができる。

したがって、明細書および図面は、限定的な意味ではなく例示的な意味であるとみなすべきである。しかしながら、特許請求の範囲により定められた幅広い主旨および範囲から逸脱することなく、追加、削減、削除および他の修飾および変更を行ってもよいことは、明らかであろう。したがって、本開示の特定の実施形態を説明したが、これらの実施形態は、限定することを意図していない。さまざまな変更およびその等価物は、添付の特許請求の範囲に含まれる。

本開示を説明する文脈に（特に特許請求の範囲の文脈に）使用された不定冠詞「a」／「an」、定冠詞「the」および同様の参照は、本開示に特に明記しない限りまたは内容上明らかに他の意味を示す場合を除き、単数および複数の両方を含むように解釈すべきである。用語「含む（comprising）」、「有する（having）」、「含む（including）」、および「含有する（containing）」は、特に明記しない限り、非限定的な用語（すなわち、「含むがこれに限定されない」という意味）として解釈されるべきである。「接続されている」という用語は、たとえ何かが介在していても、その一部または全部が内部に含まれている、取り付けられている、または一緒に結合されていると解釈されるべきである。本開示において、値の範囲の列挙は、単にその範囲内に含まれる各個別の値を各々言及する速記方法として意図され、本開示に特に明記しない限り、各個別の値は、本開示に個別に記載されるように、本開示に組み込まれる。本開示に特に明記しない限りまたは内容上明らかに他の意味を示す場合を除き、本開示に記載の全ての方法は、任意の適切な順序で行うことができる。本開示において、任意の例および全ての例または例示的な言語（例えば、「～のような」）の使用は、本開示の実施形態をより明瞭にするよう意図されており、特に明記しない限り、本開示の範囲を限定するものではない。明細書内の用語は、本開示の実施に不可欠な任意の非請求要素を示すものと解釈すべきではない。

句「Ｘ、Ｙ、またはＺの少なくとも１つ」というフレーズのような選言的言語は、特に断らない限り、項目、用語などがＸ、ＹもしくはＺ、またはそれらの任意の組み合わせ（例えば、Ｘ、Ｙ、および／またはＺ）のいずれかであってもよいことを示すために一般的に用いられるものとして文脈内で理解されることを意図している。したがって、このような選言的言語は、特定の実施形態が、Ｘの少なくとも１つ、Ｙの少なくとも１つ、またはＺの少なくとも１つが存在することを必要とすることを一般的に意図しておらず、また、それを暗示していない。

本開示を実施するために知られている最良の形態を含み、本開示の好ましい実施形態が本明細書に記載されている。これらの好ましい実施形態の変形形態は、前述の説明を読めば当業者には明らかになるであろう。当業者は、適宜、このような変形例を採用することができ、本開示は、本明細書に具体的に記載されている以外の方法で実施されてもよい。したがって、本開示は、適用される法律によって許可され、本明細書に添付された請求項に記載された主題の全ての変形および等価物を含む。さらに、その全ての可能な変形における上記の要素の任意の組み合わせは、本明細書において別段の指示がない限り、本開示に包含される。

本明細書に引用された刊行物、特許出願、および特許を含む全ての参考文献は、各文献が参照により組み込まれることが個別にかつ明確に示され、その全体が本明細書に記載された場合と同じ程度に、参照により組み込まれるものとする。

前述の明細書において、本開示の態様は、その特定の実施形態を参照して説明されているが、当業者は、本開示がそれに限定されないことを認識するであろう。上述の開示の様々な特徴および態様は、個々にまたは共同で使用されてもよい。さらに、実施形態は、本明細書のより広い精神および範囲から逸脱することなく、本明細書に説明されるものを超える任意の数の環境および用途において利用されることができる。したがって、明細書および図面は、限定的ではなく例示的であると見なされるべきである。

Claims

方法であって、
ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）のインスタンスのためのテーブルを生成することを含み、前記ＶＳＲＳは、第１の仮想レイヤ２ネットワーク（ＶＬＡＮ）を第２のネットワークに接続し、前記テーブルは、前記仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含み、
前記ＶＳＲＳを用いて、前記仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信することと、
前記ＶＳＲＳを用いて、前記パケットと共に受信した情報および前記テーブルに含まれた情報に基づいて、前記パケットを配信するための前記仮想レイヤ２ネットワーク内の前記第２のインスタンスを特定することと、
特定された前記第２のインスタンスに前記パケットを配信することとを含む、方法。
前記第１の仮想レイヤ２ネットワークは、複数のインスタンスを含む、請求項１に記載の方法。
前記ＶＬＡＮは、複数のＬ２仮想ネットワークインターフェイスカード（ＶＮＩＣ）と、複数のスイッチとを備え、
前記複数のインスタンスの各々は、固有のＬ２仮想ネットワークインターフェイスカード（ＶＮＩＣ）と固有のスイッチとを含むペアに通信可能に接続されている、請求項２に記載の方法。
前記ＶＳＲＳを用いて、前記パケットと共に受信した情報および前記テーブルに含まれた情報に基づいて、前記パケットを配信するための前記仮想レイヤ２ネットワーク内の前記第２のインスタンスを特定することは、
前記ＶＳＲＳを用いて、前記テーブルが前記第２のインスタンスのマッピング情報を含まないと判断することと、
前記ＶＳＲＳを用いて、前記パケットの配信を保留することと、
前記ＶＳＲＳを用いて、ＡＲＰ要求を前記ＶＬＡＮ内のＶＮＩＣにブロードキャストすることとを含み、前記ＡＲＰ要求は、前記第２のインスタンスのＩＰアドレスを含み、
前記ＶＳＲＳを用いて、前記第２のインスタンスの前記ＶＮＩＣからＡＲＰ応答を受信することを含む、請求項１から３のいずれか一項に記載の方法。
前記受信したＡＲＰ応答に基づいて、前記テーブルを更新することをさらに含む、請求項４に記載の方法。
前記第１のインスタンスは、前記仮想レイヤ２ネットワークの外部に配置され、前記第２のネットワークの内部に配置される、請求項２または３に記載の方法。
前記第２のネットワークは、Ｌ３ネットワークを含む、請求項６に記載の方法。
前記第２のネットワークは、第２の仮想レイヤ２ネットワークを含む、請求項６に記載の方法。
前記テーブルは、前記ＶＳＲＳによって受信された情報に基づいて生成される、請求項２または３に記載の方法。
前記ＶＳＲＳを複数のハードウェアノード上のサービスとしてインスタンス化することをさらに含む、請求項９に記載の方法。
前記ハードウェアノードの間に前記テーブルを配布することをさらに含む、請求項１０に記載の方法。
前記ハードウェアノードの間に配布された前記テーブルは、別のＶＳＲＳインスタンス化によって入手可能である、請求項１１に記載の方法。
前記第１のインスタンスは、前記第１の仮想レイヤ２ネットワークの内部にある、請求項１から３のいずれか一項に記載の方法。
前記ＶＳＲＳを用いて、前記仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することをさらに含み、前記パケットは、前記仮想レイヤ２ネットワークの外部の第４のインスタンスに配信され、
前記パケットを前記第４のインスタンスに転送することをさらに含む、請求項１から１３のいずれか一項に記載の方法。
前記ＶＳＲＳを用いて、前記仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することをさらに含み、
前記パケットは、前記仮想レイヤ２ネットワーク内の前記第３のインスタンスによって使用されるサービスに配信される、請求項１から１３のいずれか一項に記載の方法。
前記サービスは、ＤＨＣＰ、ＮＴＰ、およびＤＮＳのうちの少なくとも１つを含む、請求項１５に記載の方法。
前記ＶＳＲＳを用いて、１つの仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することをさらに含み、
前記パケットは、第２の仮想レイヤ２ネットワーク内の第４のインスタンスに配信される、請求項１から１３のいずれか一項に記載の方法。
高い信頼性および高い拡張性のＶＳＲＳインスタンス化を提供するために、レイヤ２およびレイヤ３ネットワーク情報を有する前記ＶＳＲＳの前記インスタンスのための前記テーブルを複数のサービスノードにわたって配布することをさらに含む、請求項１から９のいずれか一項に記載の方法。
前記ＶＳＲＳを用いて、前記第１の仮想レイヤ２ネットワーク内の第３のインスタンスからパケットを受信することと、
前記ＶＳＲＳを用いて、前記第３のインスタンスのマッピングを学習することとをさらに含む、請求項１に記載の方法。
システムであって、
少なくとも１つのプロセッサと、ネットワーク仮想化装置とを含む物理ネットワークを備え、
前記少なくとも１つのプロセッサは、以下の動作を実行するように構成され、
前記動作は、
ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）のインスタンスをインスタンス化することを含み、前記ＶＳＲＳは、第１の仮想レイヤ２ネットワークを第２のネットワークに接続し、
前記ＶＳＲＳの前記インスタンスのためのテーブルを生成することを含み、前記テーブルは、前記仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含み、
前記ＶＳＲＳを用いて、前記仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信することと、
前記ＶＳＲＳを用いて、前記パケットと共に受信した情報および前記テーブルに含まれた情報に基づいて、前記パケットを配信するための前記仮想レイヤ２ネットワーク内の前記第２のインスタンスを特定することと、
特定された前記第２のインスタンスに前記パケットを配信することとを含む、システム。
１つ以上のプロセッサによって実行可能な複数の命令を記憶するための非一時的なコンピュータ可読記憶媒体であって、前記複数の命令は、前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに以下の動作を実行させ、
前記動作は、
ＶＬＡＮスイッチングおよびルーティングサービス（ＶＳＲＳ）のインスタンスをインスタンス化することを含み、前記ＶＳＲＳは、第１の仮想レイヤ２ネットワークを第２のネットワークに接続し、
前記ＶＳＲＳの前記インスタンスのためのテーブルを生成することを含み、前記テーブルは、前記仮想レイヤ２ネットワーク内のインスタンスのＩＰアドレス、ＭＡＣアドレス、および仮想インターフェイス識別子を特定するための情報を含み、
前記ＶＳＲＳを用いて、前記仮想レイヤ２ネットワーク内の第１のインスタンスから第２のインスタンスに配信されるパケットを受信することと、
前記ＶＳＲＳを用いて、前記パケットと共に受信した情報および前記テーブルに含まれた情報に基づいて、前記パケットを配信するための前記仮想レイヤ２ネットワーク内の前記第２のインスタンスを特定することと、
特定された前記第２のインスタンスに前記パケットを配信することとを含む、非一時的なコンピュータ可読記憶媒体。