JP2024507146A - キャッシュされた構成情報およびキャッシュされない構成情報に基づいたクラウドインフラストラクチャにおけるパケットフロー - Google Patents
キャッシュされた構成情報およびキャッシュされない構成情報に基づいたクラウドインフラストラクチャにおけるパケットフロー Download PDFInfo
- Publication number
- JP2024507146A JP2024507146A JP2023548601A JP2023548601A JP2024507146A JP 2024507146 A JP2024507146 A JP 2024507146A JP 2023548601 A JP2023548601 A JP 2023548601A JP 2023548601 A JP2023548601 A JP 2023548601A JP 2024507146 A JP2024507146 A JP 2024507146A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- flow information
- network
- network interface
- vcn
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 claims abstract description 154
- 239000000758 substrate Substances 0.000 claims abstract description 38
- 238000013507 mapping Methods 0.000 claims description 29
- 238000009826 distribution Methods 0.000 abstract description 5
- 238000004891 communication Methods 0.000 description 70
- 230000008569 process Effects 0.000 description 59
- 238000012545 processing Methods 0.000 description 57
- 238000003860 storage Methods 0.000 description 53
- 230000006870 function Effects 0.000 description 47
- 238000010586 diagram Methods 0.000 description 40
- 230000006855 networking Effects 0.000 description 22
- 239000002184 metal Substances 0.000 description 19
- 238000007726 management method Methods 0.000 description 14
- 238000012986 modification Methods 0.000 description 12
- 230000004048 modification Effects 0.000 description 12
- 238000005538 encapsulation Methods 0.000 description 10
- 238000005516 engineering process Methods 0.000 description 10
- 230000007246 mechanism Effects 0.000 description 8
- 230000004044 response Effects 0.000 description 8
- 230000005540 biological transmission Effects 0.000 description 7
- 238000012544 monitoring process Methods 0.000 description 6
- 230000003287 optical effect Effects 0.000 description 6
- 238000012546 transfer Methods 0.000 description 6
- 238000013519 translation Methods 0.000 description 6
- 239000011521 glass Substances 0.000 description 5
- 230000002093 peripheral effect Effects 0.000 description 4
- 230000000295 complement effect Effects 0.000 description 3
- 230000000694 effects Effects 0.000 description 3
- 238000002955 isolation Methods 0.000 description 3
- 230000010076 replication Effects 0.000 description 3
- 235000008694 Humulus lupulus Nutrition 0.000 description 2
- 230000001133 acceleration Effects 0.000 description 2
- 230000009471 action Effects 0.000 description 2
- 230000002776 aggregation Effects 0.000 description 2
- 238000004220 aggregation Methods 0.000 description 2
- 238000013475 authorization Methods 0.000 description 2
- 230000008901 benefit Effects 0.000 description 2
- 239000003795 chemical substances by application Substances 0.000 description 2
- 238000004590 computer program Methods 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 239000004744 fabric Substances 0.000 description 2
- 230000014509 gene expression Effects 0.000 description 2
- 230000036541 health Effects 0.000 description 2
- 238000005192 partition Methods 0.000 description 2
- 238000011084 recovery Methods 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 230000009466 transformation Effects 0.000 description 2
- 238000002604 ultrasonography Methods 0.000 description 2
- 230000000007 visual effect Effects 0.000 description 2
- 241000238558 Eucarida Species 0.000 description 1
- 241000699666 Mus <mouse, genus> Species 0.000 description 1
- 241000699670 Mus sp. Species 0.000 description 1
- 238000007792 addition Methods 0.000 description 1
- 230000004931 aggregating effect Effects 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 230000000903 blocking effect Effects 0.000 description 1
- 238000002507 cathodic stripping potentiometry Methods 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000002591 computed tomography Methods 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 238000013506 data mapping Methods 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 230000001066 destructive effect Effects 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000000786 liquid-assisted grinding Methods 0.000 description 1
- 238000002595 magnetic resonance imaging Methods 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 238000010295 mobile communication Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000001902 propagating effect Effects 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 238000006722 reduction reaction Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000003325 tomography Methods 0.000 description 1
- 238000000844 transformation Methods 0.000 description 1
- 238000013024 troubleshooting Methods 0.000 description 1
- 238000010200 validation analysis Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/38—Flow based routing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/02—Topology update or discovery
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
- H04L12/4645—Details on frame tagging
- H04L12/465—Details on frame tagging wherein a single frame includes a plurality of VLAN tags
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/04—Network management architectures or arrangements
- H04L41/044—Network management architectures or arrangements comprising hierarchical management structures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0803—Configuration setting
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0803—Configuration setting
- H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/085—Retrieval of network configuration; Tracking network configuration history
- H04L41/0853—Retrieval of network configuration; Tracking network configuration history by actively collecting configuration information or by backing up configuration information
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0866—Checking the configuration
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0895—Configuration of virtualised networks or elements, e.g. virtualised network function or OpenFlow elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/58—Association of routers
- H04L45/583—Stackable routers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/74—Address processing for routing
- H04L45/742—Route cache; Operation thereof
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0272—Virtual private networks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
クラウド環境におけるパケットのフローをサポートする構成情報の分散を管理するための技術が説明される。ある例では、ネットワーク仮想化デバイスＮＶＤ上でホストされる仮想ネットワークインターフェースカード（ＶＮＩＣ）が、ＶＮＩＣに関連付けられる計算インスタンスから第１のパケットを受信する。ＶＮＩＣは、仮想ネットワーク上で第１のパケットを送信するためのフロー情報がＮＶＤのメモリから利用不可である、と判断する。ＶＮＩＣは、ＮＶＤを介して、ネットワークインターフェースサービスに第１のパケットを送信し、ネットワークインターフェースサービスは、基板ネットワーク上でパケットを送信するために構成情報を維持し、構成情報に基づいて、基板ネットワーク上で第１のパケットを送信するよう構成される。ＮＶＤは、ネットワークインターフェースサービスからフロー情報を受信し、フロー情報は、構成情報のサブセットである。ＮＶＤは、フロー情報をメモリに記憶する。
Description
関連出願の参照
この国際特許出願は、２０２１年２月１３日に提出された米国仮出願６３／１４９，２７６の利益を主張する、２０２１年４月２２日に提出された「PACKET FLOW IN A CLOUD INFRASTRUCTURE BASED ON CACHED AND NON-CACHED CONFIGURATION INFORMATION」と題される米国特許出願１７／２３７，７４５に対する優先権を主張し、その全内容は、あらゆる目的のために参照により組み込まれる。
この国際特許出願は、２０２１年２月１３日に提出された米国仮出願６３／１４９，２７６の利益を主張する、２０２１年４月２２日に提出された「PACKET FLOW IN A CLOUD INFRASTRUCTURE BASED ON CACHED AND NON-CACHED CONFIGURATION INFORMATION」と題される米国特許出願１７／２３７，７４５に対する優先権を主張し、その全内容は、あらゆる目的のために参照により組み込まれる。
背景
Oracle cloud Infrastructure（ＯＣＩ）等のクラウドインフラストラクチャは、クラウドサービスに加入しているエンティティ（例えば、企業）が、高度に利用可能なクラウドホスト環境において広範囲のアプリケーションおよびサービスを構築および実行することを可能にする、クラウドサービスのセットを提供することができる。加入エンティティは、クラウドサービスプロバイダの顧客と呼ばれる。クラウドインフラストラクチャは、物理的なアンダーレイネットワーク上で動作し、企業のオンプレミスネットワークから安全にアクセス可能な、柔軟なオーバーレイ仮想ネットワークにおいて、高性能計算、記憶、およびネットワーク能力を提供することができる。ＯＣＩ等のクラウドインフラストラクチャは、概して、顧客が顧客のオンプレミスワークロードを管理するのと同じ方法で、顧客が顧客のクラウドベースのワークロードを管理することを可能にする。したがって、組織は、組織のオンプレミスネットワークと同じ制御、隔離、セキュリティ、および予測可能な性能で、クラウドのすべての恩恵を得ることができる。
Oracle cloud Infrastructure（ＯＣＩ）等のクラウドインフラストラクチャは、クラウドサービスに加入しているエンティティ（例えば、企業）が、高度に利用可能なクラウドホスト環境において広範囲のアプリケーションおよびサービスを構築および実行することを可能にする、クラウドサービスのセットを提供することができる。加入エンティティは、クラウドサービスプロバイダの顧客と呼ばれる。クラウドインフラストラクチャは、物理的なアンダーレイネットワーク上で動作し、企業のオンプレミスネットワークから安全にアクセス可能な、柔軟なオーバーレイ仮想ネットワークにおいて、高性能計算、記憶、およびネットワーク能力を提供することができる。ＯＣＩ等のクラウドインフラストラクチャは、概して、顧客が顧客のオンプレミスワークロードを管理するのと同じ方法で、顧客が顧客のクラウドベースのワークロードを管理することを可能にする。したがって、組織は、組織のオンプレミスネットワークと同じ制御、隔離、セキュリティ、および予測可能な性能で、クラウドのすべての恩恵を得ることができる。
仮想ネットワーキングは、クラウドリソースにアクセスし、クラウドリソースに接続し、クラウドリソースをセキュアにし、クラウドリソースを修正する能力を可能にするため、仮想ネットワーキングは、クラウドインフラストラクチャおよびクラウドアプリケーションの基礎である。仮想ネットワーキングは、異なる物理位置にわたる複数のコンピュータ、仮想マシン（ＶＭ）、仮想サーバ、または他のデバイス間の通信を可能にする。物理ネットワーキングは、ケーブル配線および他のハードウェアを介してコンピュータシステムを接続するが、仮想ネットワーキングは、ソフトウェア管理を使用して、インターネットを介して異なる物理位置におけるコンピュータおよびサーバを接続する。仮想ネットワークは、ネットワークスイッチ、ルータ、およびアダプタ等の従来のネットワーク構成要素の仮想化されたバージョンを使用し、より効率的なルーティングならびにより容易なネットワーク構成および再構成を可能にする。
概要
本開示は、概して、クラウド環境におけるエンドポイント間のパケットのフローをサポートする構成情報の分散を管理することに関する。構成情報は、概して、ポリシー、ルール、マッピング、ルーティング、ならびにパケットを送信および／または受信するための他のタイプの情報を含む。分散は、メモリ使用量と帯域幅との間のバランスを最適化することができる。特に、構成情報は、仮想ネットワーク内の計算インスタンス間の接続性を集中型方式でサポートするネットワークインターフェースサービスによって記憶され得る。構成情報（本明細書ではフロー情報と呼ばれる）の関連するサブセットも、計算インスタンスの、ネットワークインターフェースサービスおよび仮想ネットワークへのインターフェースを提供する、ネットワーク仮想化デバイス上に、ローカルに記憶され得る。フロー情報が、エンドポイントへのパケットフローをサポートするように、ネットワーク仮想化デバイス上にローカルに存在しない場合、パケットは、それを処理してエンドポイントに送信するネットワークインターフェースサービスに送信され得る。そうでなければ、フロー情報は、ネットワークインターフェースサービスを介してこのパケットを送信することなく、パケットを処理してエンドポイントに送信するよう、ネットワーク仮想化デバイスにおいて使用される。このようにして、ネットワーク仮想化デバイス上に構成情報のセット全体を記憶する（これは、比較的大量のメモリを使用し、ネットワーク仮想化デバイスがサポートすることができるインターフェースの密度を制限する）のではなく、関連するサブセットのみが記憶され、パケットフローのためにローカルに使用され、それによって、メモリ空間を節約し（これは、次いで、ネットワーク仮想化デバイス上で比較的高いインターフェース密度を可能にする）、および（例えば、ネットワークインターフェースサービスを介してエンドポイントにパケットを送信しないことによって、）帯域幅を節約する。
本開示は、概して、クラウド環境におけるエンドポイント間のパケットのフローをサポートする構成情報の分散を管理することに関する。構成情報は、概して、ポリシー、ルール、マッピング、ルーティング、ならびにパケットを送信および／または受信するための他のタイプの情報を含む。分散は、メモリ使用量と帯域幅との間のバランスを最適化することができる。特に、構成情報は、仮想ネットワーク内の計算インスタンス間の接続性を集中型方式でサポートするネットワークインターフェースサービスによって記憶され得る。構成情報（本明細書ではフロー情報と呼ばれる）の関連するサブセットも、計算インスタンスの、ネットワークインターフェースサービスおよび仮想ネットワークへのインターフェースを提供する、ネットワーク仮想化デバイス上に、ローカルに記憶され得る。フロー情報が、エンドポイントへのパケットフローをサポートするように、ネットワーク仮想化デバイス上にローカルに存在しない場合、パケットは、それを処理してエンドポイントに送信するネットワークインターフェースサービスに送信され得る。そうでなければ、フロー情報は、ネットワークインターフェースサービスを介してこのパケットを送信することなく、パケットを処理してエンドポイントに送信するよう、ネットワーク仮想化デバイスにおいて使用される。このようにして、ネットワーク仮想化デバイス上に構成情報のセット全体を記憶する（これは、比較的大量のメモリを使用し、ネットワーク仮想化デバイスがサポートすることができるインターフェースの密度を制限する）のではなく、関連するサブセットのみが記憶され、パケットフローのためにローカルに使用され、それによって、メモリ空間を節約し（これは、次いで、ネットワーク仮想化デバイス上で比較的高いインターフェース密度を可能にする）、および（例えば、ネットワークインターフェースサービスを介してエンドポイントにパケットを送信しないことによって、）帯域幅を節約する。
採用された用語および表現は、限定ではなく説明の用語として使用され、そのような用語および表現の使用において、図示および説明される特徴またはその部分の任意の均等物を排除する意図はない。しかしながら、特許請求されるシステムおよび方法の範囲内で様々な修正が可能であることが認識される。したがって、本システムおよび方法は、例および任意選択肢的特徴によって具体的に開示されているが、本明細書に開示される概念の修正例および変形例は、当業者によって認識されるはずであり、そのような修正例および変形例は、特許請求の範囲によって規定される通りのシステムおよび方法の範囲内であると見なされることを理解されたい。
本概要は、特許請求される主題の主要なまたは本質的な特徴を特定することを意図するものではなく、特許請求される主題の範囲を決定するために単独で使用されることを意図するものでもない。本主題は、本開示の明細書全体、任意のまたはすべての図面、および各請求項の適切な部分を参照することによって理解されるべきである。
前述の事項は、他の特徴および実施形態とともに、以下の明細書、請求項、および付随の図面を参照すると、より明白となるであろう。
図面の簡単な説明
説明のための例が、以下の図面を参照して以下に詳細に説明される。
説明のための例が、以下の図面を参照して以下に詳細に説明される。
詳細な説明
例示的な仮想ネットワーキングアーキテクチャ
クラウドサービスという用語は、一般的に、クラウドサービスプロバイダ（ＣＳＰ）が、システムおよびインフラストラクチャ（クラウドインフラストラクチャ）を用いて、ユーザまたは顧客がオンデマンドで（例えば、サブスクリプションモデルを介して）利用できるサービスを指す。通常、ＣＳＰのインフラストラクチャを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムから離れている。したがって、顧客は、サービス用のハードウェアおよびソフトウェア資源を別途購入することなく、ＣＳＰによって提供されるクラウドサービスを利用することができる。クラウドサービスは、サービスを提供するために使用されるインフラストラクチャの調達に顧客が投資する必要がなく、アプリケーションおよび計算リソースへの容易且つ拡張可能なアクセスを加入している顧客に提供するように設計されている。
例示的な仮想ネットワーキングアーキテクチャ
クラウドサービスという用語は、一般的に、クラウドサービスプロバイダ（ＣＳＰ）が、システムおよびインフラストラクチャ（クラウドインフラストラクチャ）を用いて、ユーザまたは顧客がオンデマンドで（例えば、サブスクリプションモデルを介して）利用できるサービスを指す。通常、ＣＳＰのインフラストラクチャを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムから離れている。したがって、顧客は、サービス用のハードウェアおよびソフトウェア資源を別途購入することなく、ＣＳＰによって提供されるクラウドサービスを利用することができる。クラウドサービスは、サービスを提供するために使用されるインフラストラクチャの調達に顧客が投資する必要がなく、アプリケーションおよび計算リソースへの容易且つ拡張可能なアクセスを加入している顧客に提供するように設計されている。
様々な種類のクラウドサービスを提供するクラウドサービスプロバイダがいくつかある。クラウドサービスは、ＳａａＳ（Software-as-a-Service）、ＰａａＳ（Platform-as-a-Service）、ＩａａＳ（Infrastructure-as-a-Service）などの様々な異なる種類またはモデルを含む。
顧客は、ＣＳＰによって提供される１つ以上のクラウドサービスに加入することができる。顧客は、個人、組織、企業などの任意のエンティティであってもよい。顧客がＣＳＰによって提供されるサービスに加入または登録すると、その顧客に対してテナントまたはアカウントが作成される。その後、顧客は、このアカウントを介して、アカウントに関連付けられた１つ以上の加入済みクラウドリソースにアクセスすることができる。
上述したように、ＩａａＳ（Infrastructure as a Service）は、１つの特定種類のクラウドコンピューティングサービスである。ＩａａＳモデルにおいて、ＣＳＰは、顧客が自身のカスタマイズ可能なネットワークを構築し、顧客リソースを展開するために使用できるインフラストラクチャ（クラウドサービスプロバイダインフラストラクチャまたはＣＳＰＩと呼ばれる）を提供する。したがって、顧客のリソースおよびネットワークは、ＣＳＰによって提供されたインフラストラクチャによって分散環境にホストされる。これは、顧客のインフラストラクチャが顧客のリソースおよびネットワークをホストする従来のコンピューティングとは異なる。
ＣＳＰＩは、基板ネットワークまたはアンダーレイネットワークとも呼ばれる物理ネットワークを形成する様々なホストマシン、メモリリソース、およびネットワークリソースを含む相互接続された高性能計算リソースを備え得る。ＣＳＰＩ内のリソースは、１つ以上の地域にわたって地理的に広がり得る１つ以上のデータセンタにわたって広がり得る。仮想化ソフトウェアは、仮想化された分散環境を提供するために、これらの物理リソースによって実行され得る。仮想化は、物理ネットワーク上にオーバーレイネットワーク（ソフトウェアベースのネットワーク、ソフトウェア定義されたネットワーク、または仮想ネットワークとしても公知である）を作成する。ＣＳＰＩ物理ネットワークは、物理ネットワークの上に１つ以上のオーバーレイまたは仮想ネットワークを作成するための基礎を提供する。物理ネットワーク（または基板ネットワークもしくはアンダーレイネットワーク）は、物理スイッチ、ルータ、コンピュータおよびホストマシンなどの物理ネットワークデバイスを含む。オーバーレイネットワークは、物理的な基板ネットワーク上で動作する論理（または仮想）ネットワークである。所与の物理ネットワークが、１つ以上のオーバーレイネットワークをサポートすることができる。オーバーレイネットワークは、典型的には、カプセル化技術を使用して、異なるオーバーレイネットワークに属するトラフィック間を区別する。仮想またはオーバーレイネットワークは、仮想クラウドネットワーク（ＶＣＮ）とも呼ばれる。仮想ネットワークは、ソフトウェア仮想化技術（たとえば、ハイパーバイザ、ネットワーク仮想化デバイス（ＮＶＤ）（たとえば、スマートＮＩＣ）によって実現される仮想化機能、トップオブラック（ＴＯＲ）スイッチ、ＮＶＤによって実行される１つ以上の機能を実現するスマートＴＯＲ、および他の機構）を使用して実現され、物理ネットワークの上で実行され得るネットワーク抽象化の層を作成する。仮想ネットワークは、ピアツーピアネットワーク、ＩＰネットワーク、およびその他を含む、多くの形態をとることができる。仮想ネットワークは、典型的には、レイヤ３ ＩＰネットワークまたはレイヤ２ ＶＬＡＮのいずれかである。仮想またはオーバーレイネットワーキングのこの方法は、しばしば仮想またはオーバーレイレイヤ３ネットワーキングと呼ばれる。仮想ネットワークのために開発されたプロトコルの例は、ＩＰ－ｉｎ－ＩＰ（または汎用ルーティングカプセル化（ＧＲＥ））、仮想拡張可能ＬＡＮ（ＶＸＬＡＮ－ＩＥＴＦ ＲＦＣ７３４８）、仮想プライベートネットワーク（ＶＰＮ）（例えば、ＭＰＬＳレイヤ３仮想プライベートネットワーク（ＲＦＣ４３６４））、ＶＭｗａｒｅのＮＳＸ、ＧＥＮＥＶＥ（汎用ネットワーク仮想化カプセル化）などを含む。
ＩａａＳの場合、ＣＳＰによって提供されたインフラストラクチャ（ＣＳＰＩ）は、パブリックネットワーク（例えば、インターネット）を介して仮想化計算リソースを提供するように構成されてもよい。ＩａａＳモデルにおいて、クラウドコンピューティングサービスプロバイダは、インフラストラクチャ要素（例えば、サーバ、記憶装置、ネットワークノード（例えば、ハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）など）をホストすることができる。場合によっては、ＩａａＳプロバイダは、それらのインフラストラクチャ要素に付随する様々なサービス（例えば、課金、監視、ロギング、セキュリティ、負荷分散およびクラスタリングなど）を提供することができる。これらのサービスがポリシー駆動型であるため、ＩａａＳユーザは、負荷分散を駆動するためのポリシーを実装することによって、アプリケーションの可用性および性能を維持することができる。ＣＳＰＩは、インフラストラクチャおよび一連の補完的なクラウドサービスを提供する。これによって、顧客は、可用性の高いホスト型分散環境で幅広いアプリケーションおよびサービスを構築し、実行することができる。ＣＳＰＩは、顧客オンプレミスネットワークなどの様々なネットワーク拠点から安全にアクセスできる柔軟な仮想ネットワーク上で高性能の計算リソースおよび能力ならびに記憶容量を提供する。顧客がＣＳＰによって提供されたＩａａＳサービスに加入または登録すると、その顧客のために作成されたテナンシは、ＣＳＰＩから安全に分離されたパーティションとなり、顧客は、クラウドリソースを作成、整理、管理することができる。
顧客は、ＣＳＰＩによって提供された計算リソース、メモリリソース、およびネットワーキングリソースを使用して、独自の仮想ネットワークを構築することができる。これらの仮想ネットワーク上に、計算インスタンスなどの1つ以上の顧客リソースまたはワークロードを展開することができる。例えば、顧客は、ＣＳＰＩによって提供されたリソースを使用して、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる１つ以上のカスタマイズ可能なプライベート仮想ネットワークを構築することができる。顧客は、顧客ＶＣＮ上で１つ以上の顧客リソース、例えば計算インスタンスを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどであってもよい。したがって、ＣＳＰＩは、顧客が可用性の高い仮想ホスト環境において様々なアプリケーションおよびサービスを構築および実行することを可能にするインフラストラクチャおよび一連の相補的なクラウドサービスを提供する。顧客は、ＣＳＰＩによって提供された基礎的な物理リソースを管理または制御しないが、オペレーティングシステム、記憶、および展開されたアプリケーションを制御し、場合によっては一部のネットワーキングコンポーネント（例えば、ファイアウォール）を限定的に制御する。
ＣＳＰは、顧客およびネットワーク管理者がＣＳＰＩリソースを使用してクラウドに展開されたリソースを構成、アクセス、および管理することを可能にするコンソールを提供することができる。特定の実施形態において、コンソールは、ＣＳＰＩを利用および管理するために使用することができるウェブベースのユーザインターフェースを提供する。いくつかの実施形態において、コンソールは、ＣＳＰによって提供されたウェブベースのアプリケーションである。
ＣＳＰＩは、シングルテナンシアーキテクチャまたはマルチテナンシアーキテクチャをサポートすることができる。シングルテナンシアーキテクチャにおいて、ソフトウェア（例えば、アプリケーション、データベース）またはハードウェア要素（例えば、ホストマシンまたはサーバ）は、単一の顧客またはテナントにサービスを提供する。マルチテナンシアーキテクチャにおいて、ソフトウェアまたはハードウェア要素は、複数の顧客またはテナントにサービスを提供する。したがって、マルチテナンシアーキテクチャにおいて、ＣＳＰＩリソースは、複数の顧客またはテナントの間で共有される。マルチテナンシ環境において、各テナントのデータが分離され、他のテナントから見えないようにするために、ＣＳＰＩには予防措置および保護措置が講じられる。
物理ネットワークにおいて、ネットワークエンドポイント（エンドポイント）は、物理ネットワークに接続され、接続されているネットワークと双方向に通信するコンピューティング装置またはシステムを指す。物理ネットワークのネットワークエンドポイントは、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、または他の種類の物理ネットワークに接続されてもよい。物理ネットワークの従来のエンドポイントの例は、モデム、ハブ、ブリッジ、スイッチ、ルータ、および他のネットワーキング装置、物理コンピュータ（またはホストマシン）などを含む。物理ネットワークの各物理装置は、当該装置と通信するために使用できる固定ネットワークアドレスを有する。この固定ネットワークアドレスは、レイヤ２アドレス（例えば、ＭＡＣアドレス）、固定レイヤ３アドレス（例えば、ＩＰアドレス）などであってもよい。仮想化環境または仮想ネットワークにおいて、エンドポイントは、物理ネットワークの要素によってホストされている（例えば、物理ホストマシンによってホストされている）仮想マシンなどの様々な仮想エンドポイントを含むことができる。仮想ネットワークのこれらのエンドポイントは、オーバーレイレイヤ２アドレス（例えば、オーバーレイＭＡＣアドレス）およびオーバーレイレイヤ３アドレス（例えば、オーバーレイＩＰアドレス）などのオーバーレイアドレスによってアドレス指定される。ネットワークオーバーレイは、ネットワーク管理者がソフトウェア管理を用いて（例えば、仮想ネットワークの制御プレーンを実装するソフトウェアを介して）ネットワークエンドポイントに関連付けられたオーバーレイアドレスを移動できるようにすることによって柔軟性を実現する。したがって、物理ネットワークとは異なり、仮想ネットワークにおいて、ネットワーク管理ソフトウェアを使用して、オーバーレイアドレス（例えば、オーバーレイＩＰアドレス）を１つのエンドポイントから別のエンドポイントに移動することができる。仮想ネットワークが物理ネットワーク上に構築されているため、仮想ネットワークおよび基礎となる物理ネットワークの両方は、仮想ネットワークの要素間の通信に関与する。このような通信を容易にするために、ＣＳＰＩの各要素は、仮想ネットワークのオーバーレイアドレスを基板ネットワークの実際の物理アドレスにまたは基板ネットワークの実際の物理アドレスを仮想ネットワークのオーバーレイアドレスにマッピングするマッピングを学習および記憶するように構成されている。これらのマッピングは、通信を容易にするために使用される。仮想ネットワークのルーティングを容易にするために、顧客トラフィックは、カプセル化される。
したがって、物理アドレス（例えば、物理ＩＰアドレス）は、物理ネットワーク内の構成要素に関連付けられ、オーバーレイアドレス（例えば、オーバーレイＩＰアドレス）は、仮想またはオーバーレイネットワーク内のエンティティに関連付けられる。物理ＩＰアドレスは、基板または物理ネットワーク内の物理デバイス（例えば、ネットワークデバイス）に関連付けられるＩＰアドレスである。例えば、各ＮＶＤは、関連付けられた物理ＩＰアドレスを有する。オーバーレイＩＰアドレスは、顧客の仮想クラウドネットワーク（ＶＣＮ）内の計算インスタンスなど、オーバーレイネットワーク内のエンティティに関連付けられるオーバーレイアドレスである。各々が自身のプライベートＶＣＮを伴う、２つの異なる顧客またはテナントは、互いの知識なしに、潜在的に、それらのＶＣＮ内で同じオーバーレイＩＰアドレスを使用し得る。物理ＩＰアドレスおよびオーバーレイＩＰアドレスは共に実ＩＰアドレスの種類である。これらは仮想ＩＰアドレスとは別個である。仮想ＩＰアドレスは、典型的には、複数の実ＩＰアドレスを表すかまたは複数の実ＩＰアドレスにマッピングする単一のＩＰアドレスである。仮想ＩＰアドレスは、仮想ＩＰアドレスと複数の実ＩＰアドレスとの間の１対多マッピングを提供する。たとえば、ロードバランサが、ＶＩＰを使用して、各サーバがそれ自体の実際のＩＰアドレスを有する複数のサーバにマッピングするか、またはそれらを表してもよい。
クラウドインフラストラクチャまたはＣＳＰＩは、世界中の１つ以上の地域の１つ以上のデータセンタに物理的にホストされる。ＣＳＰＩは、物理ネットワークまたは基板ネットワークの要素と、物理ネットワーク要素上に構築された仮想ネットワークの仮想化要素（例えば、仮想ネットワーク、計算インスタンス、仮想マシン）とを含んでもよい。特定の実施形態において、ＣＳＰＩは、レルム（realm）、地域（region）、および利用可能なドメイン（domain）において編成およびホストされる。地域は、典型的には、１つ以上のデータセンタを含む局所的な地理的領域である。地域は、一般的に互いに独立しており、例えば、国または大陸を跨ぐ広大な距離によって分離されてもよい。例えば、第１の地域は、オーストラリアにあってもよく、別の地域は、日本にあってもよく、さらに別の地域は、インドにあってもよい。ＣＳＰＩリソースは、各地域が独立したＣＳＰＩリソースのサブセットを有するようにこれらの地域間で分割される。各地域は、一連のコアインフラストラクチャサービスおよびリソース、例えば、計算リソース（例えば、ベアメタルサーバ、仮想マシン、コンテナおよび関連インフラストラクチャ）、記憶リソース（例えば、ブロックボリューム記憶、ファイル記憶、オブジェクト記憶、アーカイブ記憶）、ネットワーキングリソース（例えば、仮想クラウドネットワーク（ＶＣＮ）、負荷分散リソース、オンプレミスネットワークへの接続）、データベースリソース、エッジネットワーキングリソース（例えば、ＤＮＳ）、アクセス管理および監視リソースなどを提供することができる。各地域は、一般的に、当該地域をレルム内の他の地域に接続するための複数の経路を持つ。
一般的に、アプリケーションは、近くのリソースを使用することが遠くのリソースを使用することよりも速いため、最も多く使用される地域に展開される（すなわち、その地域に関連するインフラストラクチャ上に展開される）。また、アプリケーションは、大規模な気象システムまたは地震などの地域全体のイベントのリスクを軽減するための冗長性、法的管轄、税金ドメイン、および他のビジネスまたは社会的基準に対する様々な要件を満たすための冗長性など、様々な理由で異なる地域に展開されてもよい。
地域内のデータセンタは、さらに編成され、利用可能なドメイン（availability domain：ＡＤ）に細分化されてもよい。利用可能なドメインは、ある地域に配置された１つ以上のデータセンタに対応してもよい。地域は、１つ以上の利用可能なドメインから構成されてもよい。このような分散環境において、ＣＳＰＩリソースは、仮想クラウドネットワーク（ＶＣＮ）などの地域に固有なものまたは計算インスタンスなどの利用可能なドメインに固有なものである。
１つの地域内のＡＤは、フォールトトレラント（fault tolerant）になるように互いに分離され、同時に故障する可能性が非常に低くなるように構成されている。これは、１つの地域内の１つのＡＤの障害が同じ地域内の他のＡＤの可用性に影響を与えることが殆どないように、ネットワーキング、物理ケーブル、ケーブル経路、ケーブル入口などの重要なインフラストラクチャリソースを共有しないように、ＡＤを構成することによって達成される。同じ地域内のＡＤを低遅延広帯域のネットワークで互いに接続することによって、他のネットワーク（例えば、インターネット、顧客オンプレミスネットワーク）への高可用性接続を提供し、複数のＡＤにおいて高可用性および災害復旧の両方のための複製システムを構築することができる。クラウドセンアイスは、複数のＡＤを利用して、高可用性を確保すると共に、リソースの障害から保護する。ＩａａＳプロバイダによって提供されたインフラストラクチャが成長するにつれて、追加の容量と共により多くの地域およびＡＤを追加してもよい。利用可能なドメイン間のトラフィックは、通常、暗号化される。
特定の実施形態において、地域は、レルムにグループ化される。レルムは、地域の論理的な集合である。レルムは、互いに隔離されており、いかなるデータを共有しない。同じレルム内の地域は、互いに通信することができるが、異なるレルム内の地域は、通信することができない。ＣＳＰの顧客のテナンシまたはアカウントは、単一のレルムに存在し、その単一のレルムに属する１つ以上の地域を跨ることができる。典型的には、顧客がＩａａＳサービスに加入すると、レルム内の顧客指定地域（「ホーム」地域と呼ばれる）に、その顧客のテナンシまたはアカウントが作成される。顧客は、顧客のテナンシをレルム内の１つ以上の他の地域に拡張することができる。顧客は、顧客のテナンシが存在するレルム内に存在していない地域にアクセスすることができない。
ＩａａＳプロバイダは、複数のレルムを提供することができ、各レルムは、特定の組の顧客またはユーザに対応する。例えば、商用レルムは、商用顧客のために提供されてもよい。別の例として、レルムは、特定の国のためにまたはその国の顧客のために提供されてもよい。さらに別の例として、政府用レルムは、例えば政府のために提供されてもよい。例えば、政府用レルムは、特定の政府のために作成されてもよく、商用レルムよりも高いセキュリティレベルを有してもよい。例えば、オラクル（登録商標）クラウドインフラストラクチャ（ＯＣＩ）は、現在、商用領域向けのレルムと、政府クラウド領域向けの２つのレルム（例えば、ＦｅｄＲＡＭＰ認可およびＩＬ５認可）とを提供する。
特定の実施形態において、ＡＤは、１つ以上の障害ドメイン（fault domain）に細分化することができる。障害ドメインは、反親和性（anti-affinity）を提供するために、ＡＤ内のインフラストラクチャリソースをグループ化したものである。障害ドメインは、計算インスタンスを分散することができる。これによって、計算インスタンスは、１つのＡＤ内の同じ物理ハードウェア上に配置されない。これは、反親和性として知られている。障害ドメインは、１つの障害点を共有するハードウェア要素（コンピュータ、スイッチなど）の集合を指す。計算プールは、障害ドメインに論理的に分割される。このため、１つの障害ドメインに影響を与えるハードウェア障害または計算ハードウェア保守イベントは、他の障害ドメインのインスタンスに影響を与えない。実施形態によっては、各ＡＤの障害ドメインの数は、異なってもよい。例えば、特定の実施形態において、各ＡＤは、３つの障害ドメインを含む。障害ドメインは、ＡＤ内の論理データセンタとして機能する。
顧客がＩａａＳサービスに加入すると、ＣＳＰＩからのリソースは、顧客にプロビジョニングされ、顧客のテナンシに関連付けられる。顧客は、これらのプロビジョニングされたリソースを使用して、プライベートネットワークを構築し、これらのネットワーク上にリソースを展開することができる。ＣＳＰＩによってクラウド上でホストされている顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、顧客用に割り当てられたＣＳＰＩリソースを使用して、１つ以上の仮想クラウドネットワーク（ＶＣＮ）を構成することができる。ＶＣＮとは、仮想またはソフトウェア定義のプライベートネットワークである。顧客のＶＣＮに配備された顧客リソースは、計算インスタンス（例えば、仮想マシン、ベアメタルインスタンス）および他のリソースを含むことができる。これらの計算インスタンスは、アプリケーション、ロードバランサ、データベースなどの様々な顧客作業負荷を表してもよい。ＶＣＮ上に配備された計算インスタンスは、インターネットなどのパブリックネットワークを介して公的にアクセス可能なエンドポイント（パブリックエンドポイント）と通信することができ、同じＶＣＮまたは他のＶＣＮ（例えば、顧客の他のＶＣＮ、または顧客に属さないＶＣＮ）内の他のインスタンスと通信することができ、顧客オンプレミスデータセンタまたはネットワークと通信することができ、センディエンドポイントと通信することができ、および他の種類のエンドポイントと通信することができる。
ＣＳＰは、ＣＳＰＩを用いて多様なサービスを提供することができる。場合によっては、ＣＳＰＩの顧客自身は、サービスプロバイダのように振る舞い、ＣＳＰＩリソースを使用してサービスを提供することができる。サービスプロバイダは、識別情報（例えば、ＩＰアドレス、ＤＮＳ名およびポート）によって特徴付けられるサービスエンドポイントを公開することができる。顧客のリソース（例えば、計算インスタンス）は、サービスによって公開されたその特定のサービスのサービスエンドポイントにアクセスすることによって、特定のサービスを消費することができる。これらのサービスエンドポイントは、一般に、ユーザがエンドポイントに関連付けられたパブリックＩＰアドレスを使用して、インターネットなどのパブリック通信ネットワークを介して公的にアクセス可能なエンドポイントである。公的にアクセス可能なネットワークエンドポイントは、パブリックエンドポイントと呼ばれることもある。
特定の実施形態において、サービスプロバイダは、（サービスエンドポイントと呼ばれることもある）サービスのエンドポイントを介してサービスを公開することができる。サービスの顧客は、このサービスエンドポイントを使用してサービスにアクセスすることができる。特定の実施形態において、サービスのために提供されたサービスエンドポイントは、そのサービスを消費しようとする複数の顧客によってアクセスすることができる。他の実装形態において、専用のサービスエンドポイントを顧客に提供してもよい。したがって、その顧客のみは、その専用センディエンドポイントを使用してサービスにアクセスすることができる。
特定の実施形態において、ＶＣＮは、作成されると、そのＶＣＮに割り当てられたプライベートオーバーレイＩＰアドレス範囲（例えば、１０．０／１６）であるプライベートオーバーレイクラスレスドメイン間ルーティング（Classless Inter-Domain Routing：ＣＩＤＲ）アドレス空間に関連付けられる。ＶＣＮは、関連するサブネット、ルートテーブル、およびゲートウェイを含む。ＶＣＮは、単一の地域内に存在するが、地域の１つ以上または全ての利用可能なドメインに拡張することができる。ゲートウェイは、ＶＣＮ用に構成され、ＶＣＮとＶＣＮ外部の１つ以上のエンドポイントとの間のトラフィック通信を可能にする仮想インターフェースである。ＶＣＮの１つ以上の異なる種類のゲートウェイを構成することによって、異なる種類のエンドポイント間の通信を可能にすることができる。
ＶＣＮは、１つ以上のサブネットなどの１つ以上のサブネットワークに細分化されてもよい。したがって、サブネットは、ＶＣＮ内で作成され得る構成単位または区画である。ＶＣＮは、１つ以上のサブネットを持つことができる。ＶＣＮ内の各サブネットは、当該ＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間のアドレス空間サブセットを表すオーバーレイＩＰアドレス（例えば、１０．０．０．０／２４および１０．０．１．０／２４）の連続範囲に関連付けられる。
各計算インスタンスは、仮想ネットワークインターフェースカード（ＶＮＩＣ）に関連付けられる。これによって、各計算インスタンスは、ＶＣＮのサブネットに参加することができる。ＶＮＩＣは、物理ネットワークインターフェースカード（ＮＩＣ）の論理表現である。一般的に、ＶＮＩＣは、エンティティ（例えば、計算インスタンス、サービス）と仮想ネットワークとの間のインターフェースである。ＶＮＩＣは、サブネットに存在し、１つ以上の関連するＩＰアドレスと、関連するセキュリティルールまたはポリシーとを有する。ＶＮＩＣは、スイッチ上のレイヤ２ポートに相当する。ＶＮＩＣは、計算インスタンスと、ＶＣＮ内のサブネットとに接続されている。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスがＶＣＮのサブネットの一部であることを可能にし、計算インスタンスが、計算インスタンスと同じサブネット上にあるエンドポイントと、ＶＣＮ内の異なるサブネット内のエンドポイントと、またはＶＣＮ外部のエンドポイントと通信する（例えば、パケットを送信および受信する）ことを可能にする。したがって、計算インスタンスに関連するＶＮＩＣは、計算インスタンスがＶＣＮの内部および外部のエンドポイントとどのように接続しているかを判断する。計算インスタンスのＶＮＩＣは、計算インスタンスが作成され、ＶＣＮ内のサブネットに追加されるときに作成され、その計算インスタンスに関連付けられる。サブネットは、計算インスタンスのセットからなる場合、計算インスタンスのセットに対応するＶＮＩＣを含み、各ＶＮＩＣは、コンピュータインスタンスのセット内の計算インスタンスに接続されている。
計算インスタンスに関連するＶＮＩＣを介して、各計算インスタンスにはプライベートオーバーレイＩＰアドレスが割り当てられる。このプライベートオーバーレイＩＰアドレスは、計算インスタンスの作成時に計算インスタンスに関連するＶＮＩＣに割り当てられ、計算インスタンスのトラフィックをルーティングするために使用される。特定のサブネット内の全てのＶＮＩＣは、同じルートテーブル、セキュリティリスト、およびＤＨＣＰオプションを使用する。上述したように、ＶＣＮ内の各サブネットは、当該ＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間のアドレス空間サブセットを表すオーバーレイＩＰアドレス（例えば、１０．０．０．０／２４および１０．０．１．０／２４）の連続範囲に関連付けられる。ＶＣＮの特定のサブネット上のＶＮＩＣの場合、ＶＮＩＣに割り当てられたオーバーレイＩＰアドレスは、サブネットに割り当てられたオーバーレイＩＰアドレスの連続範囲からのアドレスである。
特定の実施形態において、必要に応じて、計算インスタンスには、プライベートオーバーレイＩＰアドレスに加えて、追加のオーバーレイＩＰアドレス、例えば、パブリックサブネットの場合に１つ以上のパブリックＩＰアドレスを割り当てることができる。これらの複数のアドレスは、同じＶＮＩＣ、または計算インスタンスに関連付けられた複数のＶＮＩＣに割り当てられる。しかしながら、各インスタンスは、インスタンス起動時に作成され、インスタンスに割り当てられたオーバーレイプライベートＩＰアドレスに関連付けられたプライマリＶＮＩＣを有する。このプライマリＶＮＩＣは、削除することができない。セカンダリＶＮＩＣと呼ばれる追加のＶＮＩＣは、プライマリＶＮＩＣと同じ利用可能なドメイン内の既存のインスタンスに追加することができる。全てのＶＮＩＣは、インスタンスと同じ利用可能なドメインにある。セカンダリＶＮＩＣは、プライマリＶＮＩＣと同じＶＣＮのサブネットにあってもよく、または同じＶＣＮまたは異なるＶＣＮの異なるサブネットにあってもよい。
計算インスタンスは、パブリックサブネットにある場合、オプションでパブリックＩＰアドレスを割り当てられることができる。サブネットを作成するときに、当該サブネットをパブリックサブネットまたはプライベートサブネットのいずれかとして指定することができる。プライベートサブネットとは、当該サブネット内のリソース（例えば、計算インスタンス）および関連するＶＮＩＣがパブリックオーバーレイＩＰアドレスを持つことができないことを意味する。パブリックサブネットとは、サブネット内のリソースおよび関連するＶＮＩＣがパブリックＩＰアドレスを持つことができることを意味する。顧客は、地域またはレルム内の単一の利用可能なドメインまたは複数の利用可能なドメインにわたって存在するサブネットを指定することができる。
上述したように、ＶＣＮは、１つ以上のサブネットに細分化されてもよい。特定の実施形態において、ＶＣＮのために構成された仮想ルータ（ＶＣＮ ＶＲまたは単にＶＲと呼ばれる）は、ＶＣＮのサブネット間の通信を可能にする。ＶＣＮ内のサブネットの場合、ＶＲは、サブネット（すなわち、当該サブネット上の計算インスタンス）と、ＶＣＮ内部の他のサブネット上のエンドポイントおよびＶＣＮ外部の他のエンドポイントとの通信を可能にする当該サブネットの論理ゲートウェイを表す。ＶＣＮ ＶＲは、ＶＣＮ内のＶＮＩＣと、ＶＣＮに関連する仮想ゲートウェイ（ゲートウェイ）との間のトラフィックをルーティングするように構成された論理エンティティである。ゲートウェイは、図１に関して以下でさらに説明される。ＶＣＮ ＶＲは、レイヤ３／ＩＰレイヤの概念である。一実施形態において、１つのＶＣＮに対して１つのＶＣＮ ＶＲが存在する。このＶＣＮ ＶＲは、ＩＰアドレスによってアドレス指定された無制限の数のポートを潜在的に有し、ＶＣＮの各サブネットに対して１つのポートを有する。このようにして、ＶＣＮ ＶＲは、ＶＣＮ ＶＲが接続されているＶＣＮの各サブネットに対して異なるＩＰアドレスを有する。また、ＶＲは、ＶＣＮのために構成された様々なゲートウェイに接続されている。特定の実施形態において、サブネットのオーバーレイＩＰアドレス範囲からの特定のオーバーレイＩＰアドレスは、そのサブネットのＶＣＮ ＶＲのポートに保留される。例えば、関連するアドレス範囲１０．０／１６および１０．１／１６を各々有する２つのサブネットを有するＶＣＮを考える。アドレス範囲１０．０／１６を有するＶＣＮの第１のサブネットの場合、この範囲からのアドレスは、そのサブネットのＶＣＮ ＶＲのポートに保留される。場合によっては、この範囲からの第１のＩＰアドレスは、ＶＣＮ ＶＲに保留されてもよい。例えば、オーバーレイＩＰアドレス範囲１０．０／１６を有するサブネットの場合、ＩＰアドレス１０．０．０．１は、そのサブネットのＶＣＮ ＶＲのポートに保留されてもよい。同じＶＣＮ内のアドレス範囲１０．１／１６を有する第２のサブネットの場合、ＶＣＮ ＶＲは、ＩＰアドレス１０．１．０．１を有する第２のサブネットのポートを有してもよい。ＶＣＮ ＶＲは、ＶＣＮ内の各サブネットに対して異なるＩＰアドレスを有する。
いくつかの他の実施形態において、ＶＣＮ内の各サブネットは、ＶＲに関連付けられた保留またはデフォルトＩＰアドレスを使用してサブネットによってアドレス指定可能な、それ自身に関連するＶＲを有してもよい。保留またはデフォルトＩＰアドレスは、例えば、そのサブネットに関連付けられたＩＰアドレスの範囲からの第１のＩＰアドレスであってもよい。サブネット内のＶＮＩＣは、このデフォルトまたは保留ＩＰアドレスを使用して、サブネットに関連付けられたＶＲと通信（例えば、パケットを送信および受信）することができる。このような実施形態において、ＶＲは、そのサブネットの着信／送信ポイントである。ＶＣＮ内のサブネットに関連付けられたＶＲは、ＶＣＮ内の他のサブネットに関連付けられた他のＶＲと通信することができる。また、ＶＲは、ＶＣＮに関連付けられたゲートウェイと通信することができる。サブネットのＶＲ機能は、サブネット内のＶＮＩＣのＶＮＩＣ機能を実行する１つ以上のＮＶＤ上で実行され、またはそれによって実行される。
ルートテーブル、セキュリティルール、およびＤＨＣＰオプションは、ＶＣＮのために構成されてもよい。ルートテーブルは、ＶＣＮの仮想ルートテーブルであり、ゲートウェイまたは特別に構成されたインスタンスを経由して、トラフィックをＶＣＮ内部のサブネットからＶＣＮ外部の宛先にルーティングするためのルールを含む。ＶＣＮとの間でパケットの転送/ルーティングを制御するために、ＶＣＮのルートテーブルをカスタマイズすることができる。ＤＨＣＰオプションは、インスタンスの起動時にインスタンスに自動的に提供される構成情報を指す。
ＶＣＮのために構成されたセキュリティルールは、ＶＣＮのオーバーレイファイアウォールルールを表す。セキュリティルールは、受信ルールおよび送信ルールを含むことができ、（例えば、プロトコルおよびポートに基づいて）ＶＣＮ内のインスタンスに出入りすることを許可されるトラフィックの種類を指定することができる。顧客は、特定の規則をステートフルまたはステートレスにするかを選択することができる。例えば、顧客は、送信元ＣＩＤＲ０．０．０．０／０および宛先ＴＣＰポート２２を含むステートフル受信ルールを設定することによって、任意の場所から１組のインスタンスへの着信ＳＳＨトラフィックを許可することができる。セキュリティルールは、ネットワークセキュリティグループまたはセキュリティリストを使用して実装されてもよい。ネットワークセキュリティグループは、そのグループ内のリソースのみに適用されるセキュリティルールのセットからなる。一方、セキュリティリストは、そのセキュリティリストを使用するサブネット内の全てのリソースに適用されるルールを含む。ＶＣＮは、デフォルトセキュリティルールとデフォルトセキュリティリストを含んでもよい。ＶＣＮのために構成されたＤＨＣＰオプションは、ＶＣＮ内のインスタンスが起動するときに自動的に提供される構成情報を提供する。
特定の実施形態において、ＶＣＮの構成情報は、ＶＣＮ制御プレーンによって決定され、記憶される。ＶＣＮの構成情報は、例えば、ＶＣＮに関連するアドレス範囲、ＶＣＮ内のサブネットおよび関連情報、ＶＣＮに関連する１つ以上のＶＲ、ＶＣＮ内の計算インスタンスおよび関連ＶＮＩＣ、ＶＣＮに関連する種々の仮想化ネットワーク機能（例えば、ＶＮＩＣ、ＶＲ、ゲートウェイ）を実行するＮＶＤ、ＶＣＮの状態情報、および他のＶＣＮ関連情報を含んでもよい。特定の実施形態において、ＶＣＮ配信サービスは、ＶＣＮ制御プレーンによって記憶された構成情報またはその一部をＮＶＤに公開する。配信された情報を用いて、ＮＶＤによって記憶および使用される情報（例えば、転送テーブル、ルーティングテーブルなど）を更新することによって、ＶＣＮ内のコンピュートインスタンスとの間でパケットを転送することができる。
特定の実施形態において、ＶＣＮおよびサブネットの作成は、ＶＣＮ制御プレーン（ＣＰ）によって処理され、計算インスタンスの起動は、計算制御プレーンによって処理される。計算制御プレーンは、計算インスタンスの物理リソースを割り当て、次にＶＣＮ制御プレーンを呼び出して、ＶＮＩＣを作成し、計算インスタンスに接続するように構成される。また、ＶＣＮ ＣＰは、パケットの転送およびルーティング機能を実行するように構成されたＶＣＮデータプレーンに、ＶＣＮデータマッピングを送信する。特定の実施形態において、ＶＣＮ ＣＰは、更新をＶＣＮデータプレーンに提供するように構成された配信サービスを提供する。ＶＣＮ制御プレーンの例は、図２１、図２２、図２３および図２４（参照番号、２１１６、２２１６、２３１６および２４１６を参照）に示され、以下に説明される。
顧客は、ＣＳＰＩによってホストされているリソースを用いて、１つ以上のＶＣＮを作成することができる。顧客ＶＣＮ上に展開された計算インスタンスは、異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩによってホストされているエンドポイントおよびＣＳＰＬ外部のエンドポイントを含むことができる。
ＣＳＰＩを用いてクラウドベースのサービスを実装するための様々な異なるアーキテクチャは、図１、図２、図３、図４、図５、図２１、図２２、図２３および図２５に示され、以下に説明される。図１は、特定の実施形態に従って、ＣＳＰＩによってホストされているオーバーレイＶＣＮまたは顧客ＶＣＮを示す分散環境１００のハイレベル図である。図１に示された分散環境は、オーバーレイネットワーク内の複数の要素を含む。図１に示された分散環境１００は、単なる例であり、特許請求された実施形態の範囲を不当に限定することを意図していない。多くの変形例、代替例、および修正例が可能である。例えば、いくつかの実装形態において、図１に示された分散環境は、図１に示されたものより多いまたは少ないシステムまたは要素を有してもよく、２つ以上のシステムを組み合わせてもよく、または異なるシステムの構成または配置を有してもよい。
図１の例に示されたように、分散環境１００は、顧客が加入して仮想クラウドネットワーク（ＶＣＮ）を構築するために使用することができるサービスおよびリソースを提供するＣＳＰＩ１０１を含む。特定の実施形態において、ＣＳＰＩ１０１は、加入顧客にＩａａＳサービスを提供する。ＣＳＰＩ１０１内のデータセンタは、１つ以上の地域に編成されてもよい。図１は、地域の一例である「ＵＳ地域」１０２を示す。顧客は、地域１０２に対して顧客ＶＣＮ１０４を構成している。顧客は、ＶＣＮ１０４上に様々な計算インスタンスを展開することができ、計算インスタンスは、仮想マシンまたはベアメタルインスタンスを含むことができる。インスタンスの例は、アプリケーション、データベース、ロードバランサなどを含む。
図１に示された実施形態において、顧客ＶＣＮ１０４は、２つのサブネット、すなわち、「サブネット－１」および「サブネット－２」を含み、各サブネットは、各自のＣＩＤＲ ＩＰアドレス範囲を有する。図１において、サブネット－１のオーバーレイＩＰアドレス範囲は、１０．０／１６であり、サブネット－２のアドレス範囲は、１０．１／１６である。ＶＣＮ仮想ルータ１０５は、ＶＣＮ１０４のサブネット間の通信およびＶＣＮ外部の他のエンドポイントとの通信を可能にするＶＣＮの論理ゲートウェイを表す。ＶＣＮ ＶＲ１０５は、ＶＣＮ１０４内のＶＮＩＣとＶＣＮ１０４に関連するゲートウェイとの間でトラフィックをルーティングするように構成される。ＶＣＮ ＶＲ１０５は、ＶＣＮ１０４の各サブネットにポートを提供する。例えば、ＶＲ１０５は、ＩＰアドレス１０．０．０．１を有するポートをサブネット－１に提供することができ、ＩＰアドレス１０．１．０．１を有するポートをサブネット－２に提供することができる。
各サブネット上に複数の計算インスタンスを展開することができる。この場合、計算インスタンスは、仮想マシンインスタンスおよび／またはベアメタルインスタンスであってもよい。サブネット内の計算インスタンスは、ＣＳＰＩ１０１内の１つ以上のホストマシンによってホストされてもよい。計算インスタンスは、当該計算インスタンスに関連するＶＮＩＣを介してサブネットに参加する。例えば、図１に示すように、計算インスタンスＣ１は、当該計算インスタンスに関連するＶＮＩＣを介したサブネット－１の一部である。同様に、計算インスタンスＣ２は、Ｃ２に関連するＶＮＩＣを介したサブネット－１の一部である。同様に、仮想マシンインスタンスまたはベアメタルインスタンスであり得る複数の計算インスタンスは、サブネット－１の一部であってもよい。各計算インスタンスには、関連するＶＮＩＣを介して、プライベートオーバーレイＩＰアドレスおよびＭＡＣアドレスが割り当てられる。例えば、図１において、計算インスタンスＣ１は、オーバーレイＩＰアドレス１０．０．０．２およびＭＡＣアドレスＭ１を有し、計算インスタンスＣ２は、プライベートオーバーレイＩＰアドレス１０．０．０．３およびＭＡＣアドレスＭ２を有する。計算インスタンスＣ１およびＣ２を含むサブネット－１内の各計算インスタンスは、サブネット－１のＶＣＮ ＶＲ１０５のポートのＩＰアドレスであるＩＰアドレス１０．０．０．１を使用して、ＶＣＮ ＶＲ１０５へのデフォルトルートを有する。
サブネット－２には、仮想マシンインスタンスおよび／またはベアメタルインスタンスを含む複数の計算インスタンスを展開することができる。例えば、図１に示すように、計算インスタンスＤｌおよびＤ２は、それぞれの計算インスタンスに関連するＶＮＩＣを介したサブネット－２の一部である。図１に示す実施形態において、計算インスタンスＤ１は、オーバーレイＩＰアドレス１０．１．０．２およびＭＡＣアドレスＭＭ１を有し、計算インスタンスＤ２は、プライベートオーバーレイＩＰアドレス１０．１．０．３およびＭＡＣアドレスＭＭ２を有する。計算インスタンスＤ１およびＤ２を含むサブネット－２内の各計算インスタンスは、サブネット－２のＶＣＮ ＶＲ１０５のポートのＩＰアドレスであるＩＰアドレス１０．１．０．１を使用して、ＶＣＮ ＶＲ１０５へのデフォルトルートを有する。
また、ＶＣＮ Ａ１０４は、１つ以上のロードバランサを含んでもよい。例えば、ロードバランサは、サブネットに対して提供されてもよく、サブネット上の複数の計算インスタンス間でトラフィックをロードバランスするように構成されてもよい。また、ロードバランサは、ＶＣＮ内のサブネット間でトラフィックをロードバランスするように提供されてもよい。
ＶＣＮ１０４上に展開された特定の計算インスタンスは、様々な異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ２００によってホストされているエンドポイントと、ＣＳＰＩ２００外部のエンドポイントとを含んでもよい。ＣＳＰＩ１０１によってホストされているエンドポイントは、特定の計算インスタンスと同じサブネット上のエンドポイント（例えば、サブネット－１の２つの計算インスタンス間の通信）、異なるサブネットにあるが同じＶＣＮ内のエンドポイント（例えば、サブネット－１の計算インスタンスとサブネット－２の計算インスタンスとの間の通信）、同じ地域の異なるＶＣＮ内のエンドポイント（例えば、サブネット－１の計算インスタンスと、同じ地域１０６または１１０のＶＣＮ内のエンドポイントとの間の通信、サブネット－１内の計算インスタンスと、同じ地域のサービスネットワーク１１０内のエンドポイントとの間の通信）、または異なる地域のＶＣＮ内のエンドポイント（例えば、サブネット－１の計算インスタンスと、異なる地域１０８のＶＣＮ内のエンドポイントとの間の通信）を含んでもよい。また、ＣＳＰＩ１０１によってホストされているサブネット内の計算インスタンスは、ＣＳＰＩ１０１によってホストされていない（すなわち、ＣＳＰＩ１０１の外部にある）エンドポイントと通信することができる。これらの外部のエンドポイントは、顧客オンプレミスネットワーク１１６内のエンドポイント、他のリモートクラウドホストネットワーク１１８内のエンドポイント、インターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１１４、および他のエンドポイントを含む。
同じサブネット上の計算インスタンス間の通信は、送信元計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣを使用して促進される。例えば、サブネット－１内の計算インスタンスＣ１は、サブネット－１内の計算インスタンスＣ２にパケットを送信したいことがある。送信元計算インスタンスから送信され、その宛先が同じサブネット内の別の計算インスタンスであるパケットの場合、このパケットは、まず、送信元計算インスタンスに関連するＶＮＩＣによって処理される。送信元計算インスタンスに関連するＶＮＩＣによって実行される処理は、パケットヘッダからパケットの宛先情報を決定することと、送信元計算インスタンスに関連するＶＮＩＣに対して構成された任意のポリシー（例えば、セキュリティリスト）を識別することと、パケットのネクストホップ（next hop）を決定することと、必要に応じて任意のパケットのカプセル化／カプセル除去機能を実行することと、パケットの意図した宛先への通信を容易にするためにパケットをネクストホップに転送／ルーティングすることとを含んでもよい。宛先計算インスタンスが送信元計算インスタンスと同じサブネットにある場合、送信元計算インスタンスに関連するＶＮＩＣは、宛先計算インスタンスに関連するＶＮＩＣを識別し、処理するためのパケットをそのＶＮＩＣに転送するように構成されている。次いで、宛先計算インスタンスに関連するＶＮＩＣは、実行され、パケットを宛先計算インスタンスに転送する。
サブネット内の計算インスタンスから同じＶＣＮの異なるサブネット内のエンドポイントにパケットを通信する場合、通信は、送信元計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣと、ＶＣＮ ＶＲとによって促進される。例えば、図１のサブネット－１の計算インスタンスＣ１がサブネット－２の計算インスタンスＤ１にパケットを送信したい場合、パケットは、まず、計算インスタンスＣ１に関連するＶＮＩＣによって処理される。計算インスタンスＣ１に関連するＶＮＩＣは、ＶＣＮ ＶＲのデフォルトルートまたはポート１０．０．０．１を使用して、パケットをＶＣＮ ＶＲ１０５にルーティングするように構成されている。ＶＣＮ ＶＲ１０５は、ポート１０．１．０．１を使用してパケットをサブネット－２にルーティングするように構成されている。その後、パケットは、Ｄ１に関連するＶＮＩＣによって受信および処理され、ＶＮＩＣは、パケットを計算インスタンスＤ１に転送する。
ＶＣＮ１０４内の計算インスタンスからＶＣＮ１０４の外部のエンドポイントにパケットを通信するために、通信は、送信元計算インスタンスに関連するＶＮＩＣ、ＶＣＮ ＶＲ１０５、およびＶＣＮ１０４に関連するゲートウェイによって促進される。１つ以上の種類のゲートウェイをＶＣＮ１０４に関連付けることができる。ゲートウェイは、ＶＣＮと別のエンドポイントとの間のインターフェースであり、別のエンドポイントは、ＶＣＮの外部にある。ゲートウェイは、レイヤ３／ＩＰレイヤ概念であり、ＶＣＮとＶＣＮの外部のエンドポイントとの通信を可能にする。したがって、ゲートウェイは、ＶＣＮと他のＶＣＮまたはネットワークとの間のトラフィックフローを容易にする。異なる種類のエンドポイントとの異なる種類の通信を容易にするために、様々な異なる種類のゲートウェイをＶＣＮに設定することができる。ゲートウェイによって、通信は、パブリックネットワーク（例えば、インターネット）またはプライベートネットワークを介して行われてもよい。これらの通信には、様々な通信プロトコルを使用してもよい。
例えば、計算インスタンスＣ１は、ＶＣＮ１０４の外部のエンドポイントと通信したい場合がある。パケットは、まず、送信元計算インスタンスＣ１に関連するＶＮＩＣによって処理されてもよい。ＶＮＩＣ処理は、パケットの宛先がＣｌのサブネット－１の外部にあると判断する。Ｃ１に関連するＶＮＩＣは、パケットをＶＣＮ１０４のＶＣＮ ＶＲ１０５に転送することができる。次いで、ＶＣＮ ＶＲ１０５は、パケットを処理し、処理の一部として、パケットの宛先に基づいて、ＶＣＮ１０４に関連する特定のゲートウェイをパケットのネクストホップとして決定する。その後、ＶＣＮ ＶＲ１０５は、パケットを特定のゲートウェイに転送することができる。例えば、宛先が顧客のオペプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮ ＶＲ１０５によって、ＶＣＮ１０４のために構成された動的ルーティングゲートウェイ（ＤＲＧ）１２２に転送されてもよい。その後、パケットは、ゲートウェイからネクストホップに転送され、意図した最終の宛先へのパケットの通信を容易にすることができる。
ＶＣＮのために様々な異なる種類のゲートウェイを構成してもよい。ＶＣＮのために構成され得るゲートウェイの例は、図１に示され、以下に説明される。ＶＣＮに関連するゲートウェイの例は、図２１、図２２、図２３および図２４（例えば、参照番号２１３４、２１３６、２１３８、２２３４、２２３６、２２３８、２３３４、２３３６、２３３８、２４３４、２４３６、および２４３８によって示されたゲートウェイ）にも示され、以下に説明される。図１に示された実施形態に示されるように、動的ルーティングゲートウェイ（ＤＲＧ）１２２は、顧客ＶＣＮ１０４に追加されてもよく、またはそれに関連付けられてもよい。ＤＲＧ１２２は、顧客ＶＣＮ１０４と別のエンドポイントとの間のプライベートネットワークトラフィック通信を行うための経路を提供する。別のエンドポイントは、顧客オンプレミスネットワーク１１６、ＣＳＰＩ１０１の異なる地域内のＶＣＮ１０８、またはＣＳＰＩ１０１によってホストされていない他のリモートクラウドネットワーク１１８であってもよい。顧客オンプレミスネットワーク１１６は、顧客のリソースを用いて構築された顧客ネットワークまたは顧客データセンタであってもよい。顧客オンプレミスネットワーク１１６へのアクセスは、一般的に厳しく制限される。顧客オンプレミスネットワーク１１６と、ＣＳＰＩ１０１によってクラウドに展開またはホストされる１つ以上のＶＣＮ１０４との両方を有する顧客の場合、顧客は、オンプレミスネットワーク１１６およびクラウドベースのＶＣＮ１０４が互いに通信できることを望む場合がある。これによって、顧客は、ＣＳＰＩ１０１によってホストされている顧客のＶＣＮ１０４とオンプレミスネットワーク１１６とを含む拡張ハイブリッド環境を構築することができる。ＤＲＧ１２２は、このような通信を可能にする。このような通信を可能にするために、通信チャネル１２４が設定される。この場合、通信チャネルの一方のエンドポイントは、顧客オンプレミスネットワーク１１６にあり、他方のエンドポイントは、ＣＳＰＩ１０１にあり、顧客ＶＣＮ１０４に接続されている。通信チャネル１２４は、インターネットなどのパブリック通信ネットワーク、またはプライベート通信ネットワークを経由することができる。インターネットなどのパブリック通信ネットワーク上のＩＰｓｅｃ ＶＰＮ技術、パブリックネットワークの代わりにプライベートネットワークを使用するオラクル（登録商標）のFastConnect技術などの様々な異なる通信プロトコルを使用することができる。通信チャネル１２４の１つのエンドポイントを形成する顧客オンプレミスネットワーク１１６内の装置または機器は、図１に示されたＣＰＥ１２６などの顧客構内機器（ＣＰＥ）と呼ばれる。ＣＳＰＩ１０１側のエンドポイントは、ＤＲＧ１２２を実行するホストマシンであってもよい。
特定の実施形態において、リモートピアリング接続（ＲＰＣ）をＤＲＧに追加することができる。これによって、顧客は、１つのＶＣＮを別の地域内の別のＶＣＮとピアリングすることができる。このようなＲＰＣを使用して、顧客ＶＣＮ１０４は、ＤＲＧ１２２を使用して、別の地域内のＶＣＮ１０８に接続することができる。また、ＤＲＧ１２２は、ＣＳＰＩ１０１によってホストされていない他のリモートクラウドネットワーク１１８、例えば、マイクロソフト（登録商標）Azureクラウド、アマゾン（登録商標）ＡＷＳクラウドと通信するために使用されてもよい。
図１に示すように、顧客ＶＣＮ１０４上の計算インスタンスがインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１１４と通信することを可能にするように、顧客ＶＣＮ１０４にインターネットゲートウェイ（ＩＧＷ）１２０を構成することができる。ＩＧＷ１２０は、ＶＣＮをインターネットなどのパブリックネットワークに接続するためのゲートウェイである。ＩＧＷ１２０は、ＶＣＮ１０４などのＶＣＮ内のパブリックサブネット（パブリックサブネット内のリソースは、パブリックオーバーレイＩＰアドレスを有する）がインターネットなどのパブリックネットワーク１１４上のパブリックエンドポイント１１２に直接アクセスすることを可能にする。ＩＧＷ１２０を使用して、ＶＣＮ１０４内のサブネットからまたはインターネットからの接続を開始することができる。
顧客ＶＣＮ１０４にネットワークアドレス変換（ＮＡＴ）ゲートウェイ１２８を構成することができる。ＮＡＴゲートウェイ１２８は、顧客ＶＣＮ内の専用のパブリックオーバーレイＩＰアドレスを有しないクラウドリソースを、直接着信インターネット接続（例えば、Ｌ４－Ｌ７接続）に曝すことなくインターネットにアクセスすることを可能にする。これによって、ＶＣＮ１０４のプライベートサブネット－１などのＶＣＮ内のプライベートサブネットがインターネット上のパブリックエンドポイントにプライベートアクセスすることを可能にする。ＮＡＴゲートウェイにおいて、プライベートサブネットからパブリックインターネットに接続を開始することができるが、インターネットからプライベートサブネットに接続を開始することができない。
特定の実施形態において、顧客ＶＣＮ１０４にサービスゲートウェイ（ＳＧＷ）１２６を構成することができる。ＳＧＷ１２６は、ＶＣＮ１０４とサービスネットワーク１１０にサポートされているサービスエンドポイントとの間のプライベートネットワークトラフィックの経路を提供する。特定の実施形態において、サービスネットワーク１１０は、ＣＳＰによって提供されてもよく、様々なサービスを提供することができる。このようなサービスネットワークの例は、顧客が使用できる様々なサービスを提供するオラクル（登録商標）サービスネットワークである。例えば、顧客ＶＣＮ１０４のプライベートサブネット内の計算インスタンス（例えば、データベースシステム）は、パブリックＩＰアドレスまたはインターネットへのアクセスを必要とすることなく、サービスエンドポイント（例えば、オブジェクト記憶装置）にデータをバックアップすることができる。いくつかの実施形態において、ＶＣＮは、１つのみのＳＧＷを有することができ、ＶＣＮ内のサブネットのみから接続を開始することができ、サービスネットワーク１１０から接続を開始することができない。ＶＣＮを他のＶＣＮにピアリングする場合、他のＶＣＮ内のリソースは、通常ＳＧＷにアクセスすることができない。FastConnectまたはVPN ConnectでＶＣＮに接続されているオンプレミスネットワーク内のリソースも、そのＶＣＮに構成されたサービスゲートウェイを使用することができる。
いくつかの実装形態において、ＳＧＷ１２６は、サービスクラスレスドメイン間ルーティング（ＣＩＤＲ）ラベルを使用する。ＣＩＤＲラベルは、関心のあるサービスまたはサービスのグループに対する全ての地域公開ＩＰアドレス範囲を表す文字列である。顧客は、ＳＧＷおよび関連するルーティングルールを設定する際に、サービスＣＩＤＲラベルを使用してサービスへのトラフィックを制御する。顧客は、サービスのパブリックＩＰアドレスが将来に変化する場合、セキュリティルールを調整する必要なく、セキュリティルールを設定するときにオプションとしてサービスＣＩＤＲラベルを使用することができる。
ローカルピアリングゲートウェイ（ＬＰＧ）１３２は、顧客ＶＣＮ１０４に追加可能なゲートウェイであり、ＶＣＮ１０４が同じ地域内の別のＶＣＮとピアリングすることを可能にするものである。ピアリングとは、トラフィックがインターネットなどのパブリックネットワークを経由することなく、または顧客オンプレミスネットワーク１１６を通してトラフィックをルーティングすることなく、ＶＣＮがプライベートＩＰアドレスを使用して通信することを意味する。好ましい実施形態において、ＶＣＮは、確立した各ピアリングに対して個別のＬＰＧを有する。ローカルピアリングまたはＶＣＮピアリングは、異なるアプリケーション間またはインフラストラクチャ管理機能間のネットワーク接続を確立するために使用される一般的な慣行である。
サービスネットワーク１１０のサービスのプロバイダなどのサービスプロバイダは、異なるアクセスモデルを使用してサービスへのアクセスを提供することができる。パブリックアクセスモデルによれば、サービスは、インターネットなどのパブリックネットワークを介して顧客ＶＣＮ内の計算インスタンスによって公的にアクセス可能なパブリックエンドポイントとして公開されてもよく、またはＳＧＷ１２６を介してプライベートにアクセスされてもよい。特定のプライベートアクセスモデルによれば、サービスは、顧客ＶＣＮ内のプライベートサブネット内のプライベートＩＰエンドポイントとしてアクセスされてもよい。これは、プライベートエンドポイント（ＰＥ）アクセスと呼ばれ、サービスプロバイダがそのサービスを顧客のプライベートネットワーク内のインスタンスとして公開することを可能にする。プライベートエンドポイントリソースは、顧客ＶＣＮ内のサービスを表す。各ＰＥは、顧客が顧客ＶＣＮ内のサブネットから選択したＶＮＩＣ（ＰＥ－ＶＮＩＣと呼ばれ、１つまたは複数のプライベートＩＰを持つ）として現れる。従って、ＰＥは、ＶＮＩＣを使用して顧客のプライベートＶＣＮサブネット内でサービスを提供する方法を提供する。エンドポイントがＶＮＩＣとして公開されるため、ＰＥ ＶＮＩＣは、ＶＮＩＣに関連する全ての機能、例えば、ルーティングルールおよびセキュリティリストなどを利用することができる。
サービスプロバイダは、サービスを登録することによって、ＰＥを介したアクセスを可能にする。プロバイダは、顧客テナントへのサービスの表示を規制するポリシーをサービスに関連付けることができる。プロバイダは、特にマルチテナントサービスの場合、単一の仮想ＩＰアドレス（ＶＩＰ）の下に複数のサービスを登録することができる。（複数のＶＣＮにおいて）同じサービスを表すプライベートエンドポイントが複数存在する場合もある。
その後、プライベートサブネット内の計算インスタンスは、ＰＥ ＶＮＩＣのプライベートＩＰアドレスまたはサービスＤＮＳ名を用いて、サービスにアクセスすることができる。顧客ＶＣＮ内の計算インスタンスは、顧客ＶＣＮ内のＰＥのプライベートＩＰアドレスにトラフィックを送信することによって、サービスにアクセスすることができる。プライベートアクセスゲートウェイ（ＰＡＧＷ）１３０は、顧客サブネットプライベートエンドポイントから／への全てのトラフィックの受信ポイント／送信ポイントとして機能するサービスプロバイダＶＣＮ（例えば、サービスネットワーク１１０内のＶＣＮ）に接続できるゲートウェイリソースである。ＰＡＧＷ１３０によって、プロバイダは、内部ＩＰアドレスリソースを利用することなく、ＰＥ接続の数を拡張することができる。プロバイダは、単一のＶＣＮに登録された任意の数のサービスに対して１つのＰＡＧＷを設定するだけでよい。プロバイダは、１人以上の顧客の複数のＶＣＮにおいて、サービスをプライバシーエンドポイントとして示すことができる。顧客の観点から、ＰＥ ＶＮＩＣは、顧客のインスタンスに接続されているのではなく、顧客が対話したいサービスに接続されているように見える。プライベートエンドポイントに向けられたトラフィックは、ＰＡＧＷ１３０を介してサービスにルーティングされる。これらは、顧客対サービスプライベート接続（Ｃ２Ｓ接続）と呼ばれる。
また、ＰＥ概念を用いて、トラフィックがFastConnect/IPsecリンクおよび顧客ＶＣＮ内のプライベートエンドポイントを通って流れることを可能にすることで、サービスのプライベートアクセスを顧客オンプレミスネットワークおよびデータセンタに拡張することもできる。また、トラフィックがＬＰＧ１３２および顧客ＶＣＮ内のＰＥ間を通って流れることを可能にすることで、サービスのプライベートアクセスを顧客ピアリングＶＣＮに拡張することもできる。
顧客は、サブネットレベルでＶＣＮのルーティングを制御することができるため、ＶＣＮ１０４などの顧客ＶＣＮにおいて各ゲートウェイを使用するサブネットを指定することができる。ＶＣＮのルートテーブルを用いて、特定のゲートウェイを介してトラフィックをＶＣＮの外部にルーティングできるか否かを判断することができる。例えば、特定の事例において、顧客ＶＣＮ１０４内のパブリックサブネットのルートテーブルは、ＩＧＷ１２０を介して非ローカルトラフィックを送信することができる。同じ顧客ＶＣＮ１０４内のプライベートサブネットのルートテーブルは、ＳＧＷ１２６を介してＣＳＰサービスへのトラフィックを送信することができる。残りの全てのトラフィックは、ＮＡＴゲートウェイ１２８を介して送信されてもよい。ルートテーブルは、ＶＣＮから出るトラフィックのみを制御する。
ＶＣＮに関連するセキュリティリストは、インバウンド接続およびゲートウェイを介してＶＣＮに入来するトラフィックを制御するために使用される。サブネット内の全てのリソースは、同じミュートテーブルおよびセキュリティリストを使用する。セキュリティリストは、ＶＣＮのサブネット内のインスタンスに出入りする特定の種類のトラフィックを制御するために使用されてもよい。セキュリティリストルールは、受信（インバウンド）ルールと、送信（アウトバウンド）ルールとを含んでもよい。例えば、受信ルールは、許可された送信元アドレス範囲を指定することができ、送信ルールは、許可された宛先アドレス範囲を指定することができる。セキュリティルールは、特定のプロトコル（例えば、ＴＣＰ、ＩＣＭＰ）、特定のポート（例えば、ＳＳＨの場合ポート２２、ウィンドウズ（登録商標）ＲＤＰの場合ポート３３８９）などを指定することができる。特定の実装形態において、インスタンスのオペレーティングシステムは、セキュリティリストルールと一致する独自のファイアウォールルールを実施することができる。ルールは、ステートフル（例えば、接続が追跡され、応答トラフィックに対する明示的なセキュリティのリストルールなしで応答が自動的に許可される）またはステートレスであってもよい。
顧客ＶＣＮ（すなわち、ＶＣＮ１０４上に展開されたリソースまたは計算インスタンス）からのアクセスは、パブリックアクセス、プライベートアクセス、または専用アクセスとして分類されることができる。パブリックアクセスは、パブリックＩＰアドレスまたはＮＡＴを用いてパブリックエンドポイントにアクセスするためのアクセスモデルを指す。プライベートアクセスは、プライベートＩＰアドレス（例えば、プライベートサブネット内のリソース）を持つＶＣＮ１０４内の顧客ワークロードが、インターネットなどのパブリックネットワークを経由することなく、サービスにアクセスすることを可能にする。特定の実施形態において、ＣＳＰＩ１０１は、プライベートＩＰアドレスを持つ顧客ＶＣＮワークロードが、サービスゲートウェイを使用して、サービスのパブリックサービスエンドポイントにアクセスすることを可能にする。したがって、サービスゲートウェイは、顧客ＶＣＮと顧客プライベートネットワークの外部に存在するサービスのパブリックエンドポイントとの間に仮想リンクを確立することによって、プライベートアクセスモデルを提供する。
さらに、ＣＳＰＩは、FastConnectパブリックピアリングなどの技術を使用する専用パブリックアクセスを提供することができる。この場合、顧客オンプレミスインスタンスは、インターネットなどのパブリックネットワークを経由することなく、FastConnect接続を用いて顧客ＶＣＮ内の１つ以上のサービスにアクセスすることができる。また、ＣＳＰＩは、FastConnectプライベートピアリングを使用する専用プライベートアクセスを提供することもできる。この場合、プライベートＩＰアドレスを持つ顧客オンプレミスインスタンスは、FastConnect接続を用いて顧客ＶＣＮワークロードにアクセスすることができる。FastConnectは、パブリックインターネットを用いて顧客オンプレミスネットワークをＣＳＰＩおよびそのサービスに接続する代わりに使用されるネットワーク接続である。FastConnectは、インターネットベースの接続と比較して、より高い帯域幅オプションと信頼性の高い一貫したネットワーキング体験を持つ専用のプライベート接続を、簡単、柔軟且つ経済的に作成する方法を提供する。
図１および上記の添付の説明は、例示的な仮想ネットワークにおける様々な仮想化要素を説明する。上述したように、仮想ネットワークは、基礎となる物理ネットワークまたは基板ネットワーク上に構築される。図２は、特定の実施形態に従って、仮想ネットワークの基盤を提供するＣＳＰＩ２００内の物理ネットワーク内の物理要素を示す簡略化アーキテクチャ図である。図示のように、ＣＳＰＩ２００は、クラウドサービスプロバイダ（ＣＳＰ）によって提供された要素およびリソース（例えば、計算リソース、メモリリソース、およびネットワーキングリソース）を含む分散環境を提供する。これらの要素およびリソースは、加入している顧客、すなわち、ＣＳＰによって提供された１つ以上のサービスに加入している顧客にクラウドサービス（例えば、ＩａａＳサービス）を提供するために使用される。顧客が加入しているサービスに基づいて、ＣＳＰＩ２００は、一部のリソース（例えば、計算リソース、メモリリソース、およびネットワーキングリソース）を顧客に提供する。その後、顧客は、ＣＳＰＩ２００によって提供された物理的な計算リソース、メモリリソース、およびネットワーキングリソースを使用して、独自のクラウドベースの（すなわち、ＣＳＰＩホスト型）カスタマイズ可能なプライベート仮想ネットワークを構築することができる。前述したように、これらの顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、これらの顧客ＶＣＮに、計算インスタンスなどの１つ以上の顧客リソースを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどであってもよい。ＣＳＰＩ２００は、顧客が高可用性のホスト環境において広範なアプリケーションおよびサービスを構築および実行することを可能にする、インフラストラクチャおよび一連の補完的なクラウドサービスを提供する。
図２に示す例示的な実施形態において、ＣＳＰＩ２００の物理要素は、１つ以上の物理ホストマシンまたは物理サーバ（例えば、２０２、２０６、２０８）、ネットワーク仮想化デバイス（ＮＶＤ）（例えば、２１０、２１２）、トップオブラック（ＴＯＲ）スイッチ（例えば、２１４、２１６）、物理ネットワーク（例えば、２１８）、および物理ネットワーク２１８内のスイッチを含む。物理ホストマシンまたはサーバは、ＶＣＮの１つ以上のサブネットに参加している様々な計算インスタンスをホストし、実行することができる。計算インスタンスは、仮想マシンインスタンスおよびベアメタルインスタンスを含んでもよい。例えば、図１に示された様々な計算インスタンスは、図２に示された物理的ホストマシンによってホストされてもよい。ＶＣＮ内の仮想マシン計算インスタンスは、１つのホストマシンによって実行されてもよく、または複数の異なるホストマシンによって実行されてもよい。また、物理ホストマシンは、仮想ホストマシン、コンテナベースのホストまたは機能などをホストすることができる。図１に示されたＶＩＣおよびＶＣＮ ＶＲは、図２に示されたＦＴＶＤによって実行されてもよい。図１に示されたゲートウェイは、図２に示されたホストマシンおよび／またはＮＶＤによって実行されてもよい。
ホストマシンまたはサーバは、ホストマシン上で仮想化環境を作成するおよび可能にするハイパーバイザ（仮想マシンモニタまたはＶＭＭとも呼ばれる）を実行することができる。仮想化または仮想化環境は、クラウドベースコンピューティングを容易にする。１つ以上の計算インスタンスは、ホストマシン上のハイパーバイザによって、ホストマシン上で作成され、実行され、管理されてもよい。ホストマシン上のハイパーバイザは、ホストマシンの物理的な計算リソース（例えば、計算リソース、メモリリソース、およびネットワーキングリソース）をホストマシン上で実行される様々な計算インスタンス間で共有させることができる。
例えば、図２に示すように、ホストマシン２０２および２０８は、ハイパーバイザ２６０および２６６をそれぞれ実行する。これらのハイパーバイザは、ソフトウェア、ファームウェア、ハードウェア、またはそれらの組み合わせを使用して実装されてもよい。典型的には、ハイパーバイザは、ホストマシンのオペレーティングシステム（ＯＳ）に常駐するプロセスまたはソフトウェア層であり、ＯＳは、ホストマシンのハードウェアプロセッサ上で実行される。ハイパーバイザは、ホストマシンの物理的な計算リソース（例えば、プロセッサ／コア、メモリリソース、ネットワーキングリソースなどの処理リソース）を、ホストマシンによって実行される様々な仮想マシン計算インスタンスの間で共有させる仮想化環境を提供する。例えば、図２において、ハイパーバイザ２６０は、ホストマシン２０２のＯＳに常駐し、ホストマシン２０２の計算リソース（例えば、処理リソース、メモリリソース、およびネットワーキングリソース）を、ホストマシン２０２によって実行されるコンピューティングインスタンス（例えば、仮想マシン）間で共有させることができる。仮想マシンは、独自のＯＳ（ゲストＯＳと呼ばれる）を持つことができる。このゲストＯＳは、ホストマシンのＯＳと同じであってもよく、異なってもよい。ホストマシンによって実行される仮想マシンのＯＳは、同じホストマシンによって実行される他の仮想マシンのＯＳと同じであってもよく、異なってもよい。したがって、ハイパーバイザは、ホストマシンの同じ計算リソースを共有させながら、複数のＯＳを並行して実行することができる。図２に示されたホストマシンは、同じ種類のハイパーバイザを有してもよく、異なる種類のハイパーバイザを有してもよい。
計算インスタンスは、仮想マシンインスタンスまたはベアメタルインスタンスであってもよい。図２において、ホストマシン２０２上の計算インスタンス２６８およびホストマシン２０８上の計算インスタンス２７４は、仮想マシンインスタンスの一例である。ホストマシン２０６は、顧客に提供されるベアメタルインスタンスの一例である。
特定の例において、ホストマシンの全体は、単一の顧客に提供されてもよく、そのホストマシンによってホストされている１つ以上の計算インスタンス（仮想マシンまたはベアメタルインスタンスのいずれか）は、全て同じ顧客に属してもよい。他の例において、ホストマシンは、複数の顧客（すなわち、複数のテナント）間で共有されてもよい。このようなマルチテナントシナリオにおいて、ホストマシンは、異なる顧客に属する仮想マシン計算インスタンスをホストすることができる。これらの計算インスタンスは、異なる顧客の異なるＶＣＮのメンバであってもよい。特定の実施形態において、ベアメタル計算インスタンスは、ハイパーバイザを設けていないベアメタルサーバによってホストされている。ベアメタル計算インスタンスが提供される場合、単一の顧客またはテナントは、ベアメタルインスタンスをホストするホストマシンの物理ＣＰＵ、メモリ、およびネットワークインターフェースの制御を維持し、ホストマシンは、他の顧客またはテナントに共有されない。
前述したように、ＶＣＮの一部である各計算インスタンスは、計算インスタンスがＶＣＮのサブネットのメンバになることを可能にするＶＮＩＣに関連付けられる。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスとの間のパケットまたはフレームの通信を容易にする。ＶＮＩＣは、計算インスタンスが作成されるときに当該計算インスタンスに関連付けられる。特定の実施形態において、ホストマシンによって実行される計算インスタンスについて、その計算インスタンスに関連付けられたＶＮＩＣは、ホストマシンに接続されたＮＶＤによって実行される。例えば、図２において、ホストマシン２０２は、ＶＮＩＣ２７６に関連付けられた仮想マシン計算インスタンス２６８を実行し、ＶＮＩＣ２７６は、ホストマシン２０２に接続されたＮＶＤ２１０によって実行される。別の例として、ホストマシン２０６によってホストされているベアメタルインスタンス２７２は、ホストマシン２０６に接続されたＮＶＤ２１２によって実行されるＶＮＩＣ２８０に関連付けられる。さらに別の例として、ＶＮＩＣ２８４は、ホストマシン２０８によって実行される計算インスタンス２７４に関連付けられ、ＶＮＩＣ２８４は、ホストマシン２０８に接続されているＮＶＤ２１２によって実行される。
ホストマシンによってホストされている計算インスタンスについて、そのホストマシンに接続されたＮＶＤは、計算インスタンスがメンバであるＶＣＮに対応するＶＣＮ ＶＲを実行する。例えば、図２に示された実施形態において、ＮＶＤ２１０は、計算インスタンス２６８がメンバであるＶＣＮに対応するＶＣＮ ＶＲ２７７を実行する。また、ＮＶＤ２１２は、ホストマシン２０６および２０８によってホストされている計算インスタンスに対応するＶＣＮに対応する１つ以上のＶＣＮ ＶＲ２８３を実行することができる。
ホストマシンは、当該ホストマシンを他の装置に接続するための１つ以上のネットワークインターフェースカード（ＮＩＣ）を含むことができる。ホストマシン上のＮＩＣは、ホストマシンを別の装置に通信可能に接続するための１つ以上のポート（またはインターフェース）を提供することができる。例えば、ホストマシンおよびＮＶＤに設けられた１つ以上のポート（またはインターフェース）を用いて、当該ホストマシンを当該ＮＶＤに接続することができる。また、ホストマシンを他のホストマシンなどの他の装置に接続することもできる。
例えば、図２において、ホストマシン２０２は、ホストマシン２０２のＮＩＣ２３２によって提供されるポート２３４とＮＶＤ２１０のポート２３６との間に延在するリンク２２０を使用してＮＶＤ２１０に接続されている。ホストマシン２０６は、ホストマシン２０６のＮＩＣ２４４によって提供されるポート２４６とＮＶＤ２１２のポート２４８との間に延在するリンク２２４を使用してＮＶＤ２１２に接続されている。ホストマシン２０８は、ホストマシン２０８のＮＩＣ２５０によって提供されるポート２５２とＮＶＤ２１２のポート２５４との間に延在するリンク２２６を使用してＮＶＤ２１２に接続されている。
同様に、ＮＶＤは、通信リンクを介して、（スイッチファブリックとも呼ばれる）物理ネットワーク２１８に接続されているトップオブラック（ＴＯＲ）スイッチに接続されている。特定の実施形態において、ホストマシンとＮＶＤとの間のリンクおよびＮＶＤとＴＯＲスイッチとの間のリンクは、イーサネット（登録商標）リンクである。例えば、図２において、ＮＶＤ２１０および２１２は、リンク２２８および２３０を介して、ＴＯＲスイッチ２１４および２１６にそれぞれ接続される。特定の実施形態において、リンク２２０、２２４、２２６、２２８、および２３０は、イーサネット（登録商標）リンクである。ＴＯＲに接続されているホストマシンおよびＮＶＤの集合体は、ラックと呼ばれることがある。
物理ネットワーク２１８は、ＴＯＲスイッチの相互通信を可能にする通信ファブリックを提供する。物理ネットワーク２１８は、多層ネットワークであってもよい。特定の実装形態において、物理ネットワーク２１８は、スイッチの多層Ｃｌｏｓネットワークであり、ＴＯＲスイッチ２１４および２１６は、多層およびマルチノード物理スイッチングネットワーク２１８のリーフレベルノードを表す。２層ネットワーク、３層ネットワーク、４層ネットワーク、５層ネットワーク、および一般に「ｎ」層ネットワークを含むがこれらに限定されない異なるＣｌｏｓネットワーク構成は、可能である。ＣＩｏｓネットワークの一例は、図５に示され、以下に説明される。
ホストマシンとＮ個のＶＤとの間には、１対１構成、多対１構成、および１対多構成などの様々な異なる接続構成が可能である。１対１構成の実装例において、各ホストマシンは、それ自体の別個のＮＶＤに接続されている。例えば、図２において、ホストマシン２０２は、ホストマシン２０２のＮＩＣ２３２を介してＮＶＤ２１０に接続されている。多対１の構成において、複数のホストマシンは、１つのＮＶＤに接続されている。例えば、図２において、ホストマシン２０６および２０８は、それぞれＮＩＣ２４４および２５０を介して同じＮＶＤ２１２に接続されている。
１対多の構成において、１つのホストマシンは、複数のＮＶＤに接続されている。図３は、ホストマシンが複数のＮＶＤに接続されているＣＳＰＩ３００内の一例を示す。図３に示すように、ホストマシン３０２は、複数のポート３０６および３０Ｓを含むネットワークインターフェースカード（ＮＩＣ）３０４を備える。ホストマシン３００は、ポート３０６およびリンク３２０を介して第１のＮＶＤ３１０に接続され、ポート３０８およびリンク３２２を介して第２のＮＶＤ３１２に接続されている。ポート３０６および３０８は、イーサネット（登録商標）ポートであってもよく、ホストマシン３０２とＮＶＤ３１０および３１２との間のリンク３２０および３２２は、イーサネット（登録商標）リンクであってもよい。ＮＶＤ３１０は、第１のＴＯＲスイッチ３１４に接続され、ＮＶＤ３１２は、第２のＴＯＲスイッチ３１６に接続されている。ＮＶＤ３１０および３１２とＴＯＲスイッチ３１４および３１６との間のリンクは、イーサネット（登録商標）リンクであってもよい。ＴＯＲスイッチ３１４および３１６は、多層物理ネットワーク３１８内の層－０スイッチング装置を表す。
図３に示す構成は、物理スイッチネットワーク３１８からホストマシン３０２への２つの別々の物理ネットワーク経路、すなわち、ＴＯＲスイッチ３１４からＮＶＤ３１０を経由してホストマシン３０２への第１の経路と、ＴＯＲスイッチ３１６からＮＶＤ３１２を経由してホストマシン３０２への第２の経路とを提供する。別々の経路は、ホストマシン３０２の強化された可用性（高可用性と呼ばれる）を提供する。経路の一方に問題がある（例えば、経路の一方のリンクが故障する）場合または装置に問題がある（例えば、特定のＮＶＤが機能していない）場合、ホストマシン３０２との間の通信に他方の経路を使用することができる。
図３に示された構成において、ホストマシンは、ホストマシンのＮＩＣによって提供された２つの異なるポートを用いて２つの異なるＮＶＤに接続されている。他の実施形態において、ホストマシンは、ホストマシンと複数のＮＶＤとの接続を可能にする複数のＮＩＣを含んでもよい。
再び図２を参照して、ＮＶＤは、１つ以上のネットワーク仮想化機能および／または記憶仮想化機能を実行する物理装置または要素である。ＮＶＤは、１つ以上の処理ユニット（例えば、ＣＰＵ、ネットワーク処理ユニット（ＮＰＵ）、ＦＰＧＡ、パケット処理パイプライン）、キャッシュを含むメモリ、およびポートを有する任意の装置であってもよい。様々な仮想化機能は、ＮＶＤの１つ以上の処理ユニットによって実行されるソフトウェア／ファームウェアによって実行されてもよい。
ＮＶＤは、様々な異なる形で実装されてもよい。例えば、特定の実施形態において、ＮＶＤは、内蔵プロセッサを搭載したスマートＮＩＣまたはインテリジェントＮＩＣと呼ばれるインターフェースカードとして実装される。スマートＮＩＣは、ホストマシン上のＮＩＣとは別個の装置である。図２において、ＮＶＤ２１０は、ホストマシン２０２に接続されているスマートＮＩＣとして実装されてもよく、ＮＶＤ２１２は、ホストマシン２０６および２０８に接続されているスマートＮＩＣとして実装されてもよい。
しかしながら、スマートＮＩＣは、ＮＶＤ実装の一例にすぎない。様々な他の実装が可能である。例えば、いくつかの他の実装例において、ＮＶＤまたはＮＶＤによって実行される１つ以上の機能は、ＣＳＰＩ２００の１つ以上のホストマシン、１つ以上のＴＯＲスイッチ、および他の要素に組み込まれてもよく、またはそれらによって実行されてもよい。例えば、ＮＶＤは、ホストマシンに統合されてもよい。この場合、ＮＶＤによって実行される機能は、ホストマシンによって実行される。別の例として、ＮＶＤは、ＴＯＲスイッチの一部であってもよく、またはＴＯＲスイッチは、ＴＯＲスイッチがパブリッククラウドに使用される様々な複雑なパケット変換を実行することを可能にするＮＶＤによって実行される機能を実行するように構成されてもよい。ＮＶＤの機能を実行するＴＯＲは、スマートＴＯＲと呼ばれることがある。ベアメタル（ＢＭ）インスタンスではなく仮想マシン（ＶＭ）インスタンスを顧客に提供するさらに他の実装形態において、ＮＶＤによって提供される機能は、ホストマシンのハイパーバイザの内部に実装されてもよい。いくつかの他の実装形態において、ＮＶＤの機能の一部は、一組のホストマシン上で動作する集中型サービスにオフロードされてもよい。
図２に示すように、スマートＮＩＣとして実装される場合などの特定の実施形態において、ＮＶＤは、当該ＮＶＤを１つ以上のホストマシンおよび１つ以上のＴＯＲスイッチに接続することを可能にする複数の物理ポートを備えてもよい。ＮＶＤ上のポートは、ホスト向きポート（「サウスポート」（south port）とも呼ばれる）またはネットワーク向きもしくはＴＯＲ向きポート（「ノースポート」（north port）とも呼ばれる）に分類することができる。ＮＶＤのホスト向きポートは、ＮＶＤをホストマシンに接続するために使用されるポートである。図２においてホスト向きポートの例は、ＮＶＤ２１０のポート２３６、およびＮＶＤ２１２のポート２４８および２５４を含む。ＮＶＤのネットワーク向きポートは、ＮＶＤをＴＯＲスイッチに接続するために使用されるポートである。図２のネットワーク向きポートの例は、ＮＶＤ２１０のポート２５６、およびＮＶＤ２１２のポート２５８を含む。図２に示すように、ＮＶＤ２１０は、ＮＶＤ２１０のポート２５６からＴＯＲスイッチ２１４まで延びるリンク２２８を介してＴＯＲスイッチ２１４に接続されている。同様に、ＮＶＤ２１２は、ＮＶＤ２１２のポート２５８からＴＯＲスイッチ２１６まで延びるリンク２３０を介してＴＯＲスイッチ２１６に接続されている。
ＮＶＤは、ホスト向きポートを介して、ホストマシンからパケットおよびフレーム（例えば、ホストマシンによってホストされている計算インスタンスによって生成されたパケットおよびフレーム）を受信し、必要なパケット処理を実行した後、ＮＶＤのネットワーク向きポートを介してパケットおよびフレームをＴＯＲスイッチに転送することができる。ＮＶＤは、ＮＶＤのネットワーク向きポートを介してＴＯＲスイッチからパケットおよびフレームを受信し、必要なパケット処理を実行した後、ＮＶＤのホスト向きポートを介してパケットおよびフレームをホストマシンに転送することができる。
特定の実施形態において、ＮＶＤとＴＯＲスイッチとの間に複数のポートおよび関連するリンクを設けてもよい。これらのポートおよびリンクを集約することによって、複数のポートまたはリンクのリンクアグリゲータグループ（ＬＡＧと称される）を形成することができる。リンクの集約は、２つのエンドポイント間（例えば、ＮＶＤとＴＯＲスイッチとの間）の複数の物理リンクを単一の論理リンクとして扱うことを可能にする。所定のＬＡＧ内の全ての物理リンクは、同じ速度で全二重モードで動作することができる。ＬＡＧは、２つのエンドポイント間の接続の帯域幅および信頼性を高めるのに役立つ。ＬＡＧ内の物理リンクのうちの１つが故障した場合、トラフィックは、ＬＡＧ内の別の物理リンクに動的かつ透過的に再割り当てられる。集約された物理リンクは、個々のリンクよりも高い帯域幅を提供する。ＬＡＧに関連付けられた複数のポートは、単一の論理ポートとして扱われる。トラフィックをＬＡＧの複数の物理リンクに負荷分散することができる。２つのエンドポイント間に１つ以上のＬＡＧを構成することができる。２つのエンドポイントは、例えば、ＮＶＤとＴＯＲスイッチとの間にあってもよく、ホストマシンとＮＶＤとの間にであってもよい。
ＮＶＤは、ネットワーク仮想化機能を実装または実行する。これらの機能は、ＮＶＤによって実行されるソフトウェア／ファームウェアによって実行される。ネットワーク仮想化機能の例は、限定されないが、パケットのカプセル化およびカプセル化解除機能、ＶＣＮネットワークを作成するための機能、ＶＣＮセキュリティリスト（ファイアウォール）機能などのネットワークポリシーを実装するための機能、ＶＣＮ内の計算インスタンスとの間のパケットのルーティングおよび転送を容易にするための機能などを含む。特定の実施形態において、パケットを受信すると、ＮＶＤは、パケットを処理し、パケットをどのように転送またはルーティングするかを判断するパケット処理パイプラインを実行するように構成されている。このパケット処理パイプラインの一部として、ＮＶＤは、ＶＣＮ内の計算インスタンスに関連するＶＮＩＣの実行、ＶＣＮに関連する仮想ルータ（ＶＲ）の実行、仮想ネットワーク内の転送またはルーティングを容易にするためのパケットのカプセル化およびカプセル解除、特定のゲートウェイ（例えば、ローカルピアリングゲートウェイ）の実行、セキュリティリストの実装、ネットワークセキュリティグループ、ネットワークアドレス変換（ＮＡＴ）機能（例えば、ホスト毎にパブリックＩＰからプライベートＩＰへの変換）、スロットリング機能、および他の機能を提供する。
いくつかの実施形態において、ＮＶＤにおけるパケット処理データ経路は、複数のパケットパイプラインを含んでもよい。各々のパケットパイプラインは、一連のパケット変換ステージから構成される。いくつかの実装形態において、パケットを受信すると、当該パケットは、解析され、単一のパイプラインに分類される。次いで、パケットは、破棄されるまたはＮＶＤのインターフェースを介して送出されるまで、線形方式でステージ毎に処理される。これらのステージは、基本機能のパケット処理ビルディングブロック（例えば、ヘッダの検証、スロットルの実行、新しいレイヤ２ヘッダの挿入、Ｌ４ファイアウォールの実行、ＶＣＮカプセル化／カプセル解除）を提供し、その結果、既存のステージを組み立てることによって新しいパイプラインを構築することができ、新しいステージを作成して既存のパイプラインに挿入することによって新しい機能を追加することができる。
ＮＶＤは、ＶＣＮの制御プレーンおよびデータプレーンに対応する制御プレーン機能およびデータプレーン機能の両方を実行することができる。ＶＣＮ制御プレーンの例は、図２１、図２２、図２３および図２４（参照番号２１１６、２２１６、２３１６および２４１６参照）に示され、以下に説明される。ＶＣＮデータプレーンの例は、図２１、図２２、図２３および図２４（参照番号２１１８、２２１８、２３１８および２４１８参照）に示され、以下に説明される。制御プレーン機能は、データをどのように転送するかを制御するためのネットワークの構成（例えば、ルートおよびルートテーブルの設定、ＶＮＩＣの構成）に使用される機能を含む。特定の実施形態において、全てのオーバーレイと基板とのマッピングを集中的に計算し、ＮＶＤおよび仮想ネットワークエッジ装置（例えば、ＤＲＧ、ＳＧＷ、ＩＧＷなどの様々なゲートウェイ）に公開するＶＣＮ制御プレーンが提供される。また、同じメカニズムを使用してファイアウォールルールを公開することができる。特定の実施形態において、ＮＶＤは、当該ＮＶＤに関連するマッピングのみを取得する。データプレーン機能は、制御プレーンを使用して設定された構成に基づいて、パケットの実際のルーティング／転送を行う機能を含む。ＶＣＮデータプレーンは、顧客のネットワークパケットが基幹ネットワークを通過する前に、当該ネットワークパケットをカプセル化することによって実装される。カプセル化／カプセル解除機能は、ＮＶＤに実装される。特定の実施形態において、ＮＶＤは、ホストマシンに出入りする全てのネットワークパケットを傍受し、ネットワーク仮想化機能を実行するように構成されている。
上述したように、ＮＶＤは、ＶＮＩＣおよびＶＣＮ ＶＲを含む様々な仮想化機能を実行する。ＮＶＤは、ＶＮＩＣに接続された１つ以上のホストマシンによってホストされている計算インスタンスに関連するＶＮＩＣを実行することができる。例えば、図２に示すように、ＮＶＤ２１０は、ＮＶＤ２１０に接続されたホストマシン２０２によってホストされている計算インスタンス２６８に関連するＶＮＩＣ２７６の機能を実行する。別の例として、ＮＶＤ２１２は、ホストマシン２０６によってホストされているベアメタル計算インスタンス２７２に関連するＶＮＩＣ２８０を実行し、ホストマシン２０８によってホストされている計算インスタンス２７４に関連するＶＮＩＣ２８４を実行する。ホストマシンは、異なる顧客に属する異なるＶＣＮに属する計算インスタンスをホストすることができる。ホストマシンに接続されたＮＶＤは、計算インスタンスに対応するＶＮＩＣを実行する（すなわち、ＶＮＩＣに関連する機能を実行する）ことができる。
また、ＮＶＤは、計算インスタンスのＶＣＮに対応するＶＣＮ仮想ルータを実行する。例えば、図２に示された実施形態において、ＮＶＤ２１０は、計算インスタンス２６８が属するＶＣＮに対応するＶＣＮ ＶＲ２７７を実行する。ＮＶＤ２１２は、ホストマシン２０６および２０８にホストされている計算インスタンスが属する１つ以上のＶＣＮに対応する１つ以上のＶＣＮ ＶＲ２８３を実行する。特定の実施形態において、ＶＣＮに対応するＶＣＮ ＶＲは、そのＶＣＮに属する少なくとも１つの計算インスタンスをホストするホストマシンに接続された全てのＮＶＤによって実行される。ホストマシンが異なるＶＣＮに属する計算インスタンスをホストする場合、そのホストマシンに接続されたＮＶＤは、異なるＶＣＮに対応するＶＣＮ ＶＲを実行することができる。
ＶＮＩＣおよびＶＣＮ ＶＲに加えて、ＮＶＤは、様々なソフトウェア（例えば、デーモン）を実行し、ＮＶＤによって実行される様々なネットワーク仮想化機能を容易にする１つ以上のハードウェア要素を含むことができる。簡略化のために、これらの様々な要素は、図２に示す「パケット処理要素」としてグループ化される。例えば、ＮＶＤ２１０は、パケット処理要素２８６を含み、ＮＶＤ２１２は、パケット処理要素２８８を含む。例えば、ＮＶＤのパケット処理要素は、ＮＶＤのポートおよびハードワーキングインターフェースと相互作用することによって、ＮＶＤを使用して受信され、通信される全てのパケットを監視し、ネットワーク情報を記憶するように構成されたパケットプロセッサを含んでもよい。ネットワーク情報は、例えば、ＮＶＤによって処理される異なるネットワークフローを特定するためのネットワークフロー情報および各フローの情報（例えば、各フローの統計情報）を含んでもよい。特定の実施形態において、ネットワークフロー情報は、ＶＮＩＣ単位で記憶されてもよい。別の例として、パケット処理要素は、ＮＶＤによって記憶された情報を１つ以上の異なる複製ターゲットストアに複製するように構成された複製エージェント（replication agent）を含むことができる。さらに別の例として、パケット処理要素は、ＮＶＤのロギング機能を実行するように構成されたロギングエージェント（logging agent）を含んでもよい。また、パケット処理要素は、ＮＶＤの性能および健全性を監視し、場合によっては、ＮＶＤに接続されている他の要素の状態および健全性を監視するためのソフトウェアを含んでもよい。
図１は、ＶＣＮと、ＶＣＮ内のサブネットと、サブネット上に展開された計算インスタンスと、計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮのＶＲと、ＶＣＮのために構成された一組のゲートウェイとを含む例示的な仮想またはオーバーレイネットワークの要素を示す。図１に示されたオーバーレイ要素は、図２に示された物理的要素のうちの１つ以上によって実行またはホストされてもよい。例えば、ＶＣＮ内の計算インスタンスは、図２に示された１つ以上のホストマシンによって実行またはホストされてもよい。ホストマシンによってホストされている計算インスタンスの場合、その計算インスタンスに関連するＶＮＩＣは、典型的には、そのホストマシンに接続されたＮＶＤによって実行される（すなわち、ＶＮＩＣ機能は、そのホストマシンに接続されたＮＶＤによって提供される）。ＶＣＮのＶＣＮ ＶＲ機能は、そのＶＣＮの一部である計算インスタンスをホストまたは実行するホストマシンに接続されている全てのＮＶＤによって実行される。ＶＣＮに関連するゲートウェイは、１つ以上の異なる種類のＮＶＤによって実行されてもよい。例えば、いくつかのゲートウェイは、スマートＮＩＣによって実行されてもよく、他のゲートウェイは、１つ以上のホストマシンまたはＮＶＤの他の実装形態によって実行されてもよい。
上述したように、顧客ＶＣＮ内の計算インスタンスは、様々な異なるエンドポイントと通信することができる。これらのエンドポイントは、送信元計算インスタンスと同じサブネットにあってもよく、異なるサブネット内であるが送信元計算インスタンスと同じＶＣＮにあってもよく、または送信元計算インスタンスのＶＣＮ外部のエンドポイントを含んでもよい。これらの通信は、計算インスタンスに関連付けられたＶＮＩＣ、ＶＣＮ ＶＲ、およびＶＣＮに関連付けられたゲートウェイを用いて促進される。
ＶＣＮ内の同じサブネット上の２つの計算インスタンス間の通信は、送信元計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣを用いて促進される。送信元計算インスタンスおよび宛先計算インスタンスは、同じホストマシンによってホストされてもよく、異なるホストマシンによってホストされてもよい。送信元計算インスタンスから発信されたパケットは、送信元計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに転送されてもよい。ＮＶＤにおいて、パケットは、パケット処理パイプラインを用いて処理され、このパイプラインは、送信元計算インスタンスに関連するＶＮＩＣの実行を含むことができる。パケットの宛先エンドポイントが同じサブネットにあるため、送信元計算インスタンスに関連付けられたＶＮＩＣの実行により、パケットは、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤに転送され、ＮＶＤは、パケットを処理し、宛先計算インスタンスに転送する。送信元計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣは、（例えば、送信元計算インスタンスと宛先計算インスタンスの両方が同じホストマシンによってホストされている場合）同じＮＶＤ上で実行されてもよく、または（例えば、送信元計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合）異なるＮＶＤ上で実行されてもよい。ＶＮＩＣは、ＮＶＤによって記憶されたルーティング／転送テーブルを使用して、パケットのネクストホップを決定することができる。
サブネット内の計算インスタンスから同じＶＣＮ内の異なるサブネット内のエンドポイントにパケットを通信する場合、送信元計算インスタンスから発信されたパケットは、送信元計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤにおいて、パケットは、１つ以上のＶＮＩＣの実行を含むことができるパケット処理パイプラインおよびＶＣＮに関連するＶＲを用いて処理される。例えば、ＮＶＤは、パケット処理パイプラインの一部として、送信元計算インスタンスに関連するＶＮＩＣに対応する機能を実行または呼び出す（ＶＮＩＣを実行するとも呼ばれる）。ＶＮＩＣによって実行される機能は、パケット上のＶＬＡＮタグを調べることを含んでもよい。パケットの宛先がサブネットの外部にあるため、ＶＣＮ ＶＲ機能は、呼び出され、ＮＶＤによって実行される。その後、ＶＣＮ ＶＲは、パケットを、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤにルーティングする。そして、宛先計算インスタンスに関連付けられたＶＮＩＣは、パケットを処理し、パケットを宛先計算インスタンスに転送する。送信元計算インスタンスおよび宛先計算インスタンスに関連するＶＮＩＣは、（例えば、送信元計算インスタンスと宛先計算インスタンスの両方が同じホストマシンによってホストされている場合）同じＮＶＤ上で実行されてもよく、（例えば、送信元計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合）異なるＮＶＤ上で実行されてもよい。
パケットの宛先が送信元計算インスタンスのＶＣＮの外部にある場合、送信元計算インスタンスから発信されたパケットは、送信元計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤは、送信元計算インスタンスに関連するＶＮＩＣを実行する。パケットの宛先エンドポイントがＶＣＮの外部にあるため、パケットは、そのＶＣＮのＶＣＮ ＶＲによって処理される。ＮＶＤは、ＶＣＮ ＶＲ機能を呼び出し、その結果、パケットは、ＶＣＮに関連付けられた適切なゲートウェイを実行するＮＶＤに転送される場合がある。例えば、宛先が顧客オンプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮ ＶＲによって、ＶＣＮのために構成されたＤＲＧゲートウェイを実行するＮＶＤに転送されてもよい。ＶＣＮ ＶＲは、送信元計算インスタンスに関連するＶＮＩＣを実行するＮＶＤと同じＮＶＤ上で実行されてもよく、異なるＮＶＤによって実行されてもよい。ゲートウェイは、スマートＮＩＣ、ホストマシン、または他のＮＶＤ実装であるＮＶＤによって実行されてもよい。次いで、パケットは、ゲートウェイによって処理され、意図した宛先エンドポイントへのパケットの通信を容易にするためのネクストホップに転送される。例えば、図２に示された実施形態において、計算インスタンス２６８から発信されたパケットは、（ＮＩＣ２３２を用いて）リンク２２０を介してホストマシン２０２からＮＶＤ２１０に通信されてもよい。ＮＶＤ２１０上のＶＮＩＣ２７６は、送信元計算インスタンス２６８に関連するＶＮＩＣであるため、呼び出される。ＶＮＩＣ２７６は、パケット内のカプセル化された情報を検査し、意図した宛先エンドポイントへのパケットの通信を容易にする目的でパケットを転送するためのネクストホップを決定し、決定したネクストホップにパケットを転送するように構成されている。
ＶＣＮ上に展開された計算インスタンスは、様々な異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ２００によってホストされているエンドポイントと、ＣＳＰＩ２００外部のエンドポイントとを含んでもよい。ＣＳＰＩ２００によってホストされているエンドポイントは、（顧客ＶＣＮ、または顧客に属さないＶＣＮであり得る）同じＶＣＮまたは他のＶＣＮ内のインスタンスを含んでもよい。ＣＳＰＩ２００によってホストされているエンドポイント間の通信は、物理ネットワーク２１８を介して実行されてもよい。また、計算インスタンスは、ＣＳＰＩ２００によってホストされていないまたはＣＳＰＩ２００の外部にあるエンドポイントと通信することもできる。これらのエンドポイントの例は、顧客オンプレミスネットワークまたはデータセンタ内のエンドポイント、またはインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイントを含む。ＣＳＰＩ２００外部のエンドポイントとの通信は、様々な通信プロトコルを用いて、パブリックネットワーク（例えば、インターネット）（図２に図示せず）またはプライベートネットワーク（図２に図示せず）を介して実行されてもよい。
図２に示されたＣＳＰＩ２００のアーキテクチャは、単なる一例であり、限定することを意図していない。代替的な実施形態において、変形、代替、および修正が可能である。例えば、いくつかの実装形態において、ＣＳＰＩ２００は、図２に示されたものよりも多いまたは少ないシステムまたは要素を有してもよく、２つ以上のシステムを組み合わせてもよく、または異なるシステム構成または配置を有してもよい。図２に示されたシステム、サブシステム、および他の要素は、それぞれのシステムの１つ以上の処理ユニット（例えば、プロセッサ、コア）によって実行されるソフトウェア（例えば、コード、命令、プログラム）、ハードウェア、またはそれらの組み合わせで実装されてもよい。ソフトウェアは、非一時的な記憶媒体（例えば、メモリ装置）に記憶されてもよい。
図４は、特定の実施形態に従って、マルチテナント機能をサポートするためのＩ／Ｏ仮想化を提供するためのホストマシンとＮＶＤとの間の接続を示す図である。図４に示すように、ホストマシン４０２は、仮想化環境を提供するハイパーバイザ４０４を実行する。ホストマシン４０２は、２つの仮想マシンインスタンス、すなわち、顧客／テナント＃１に属するＶＭ１ ４０６と、顧客／テナント＃２に属するＶＭ２ ４０８とを実行する。ホストマシン４０２は、リンク４１４を介してＮＶＤ４１２に接続されている物理ＮＩＣ４１０を含む。計算インスタンスの各々は、ＮＶＤ４１２によって実行されるＶＮＩＣに接続されている。図４の実施形態において、ＶＭ１ ４０６は、ＶＮＩＣ－ＶＭ１ ４２０に接続され、ＶＭ２ ４０８は、ＶＮＩＣ－ＶＭ２ ４２２に接続されている。
図４に示すように、ＮＩＣ４１０は、２つの論理ＮＩＣ、すなわち、論理ＮＩＣ Ａ ４１６および論理ＮＩＣ Ｂ ４１８を含む。各仮想マシンは、それ自身の論理ＮＩＣに接続され、それ自身の論理ＮＩＣと共に動作するように構成される。例えば、ＶＭ１ ４０６は、論理ＮＩＣ Ａ ４１６に接続され、ＶＭ２ ４０８は、論理ＮＩＣ Ｂ ４１８に接続されている。ホストマシン４０２が複数のテナントによって共有されている１つの物理ＮＩＣ４１０のみからなるにもかかわらず、論理ＮＩＣにより、各テナントの仮想マシンは、自分自身のホストマシンおよびＮＩＣを所有していると信じている。
特定の実施形態において、各論理ＮＩＣには、それ自身のＶＬＡＮ ＩＤが割り当てられる。したがって、テナント＃１の論理ＮＩＣ Ａ ４１６には特定のＶＬＡＮ ＩＤが割り当てられ、テナント＃２の論理ＮＩＣ Ｂ ４１８には別のＶＬＡＮ ＩＤが割り当てられる。ＶＭ１ ４０６からパケットが通信されると、ハイパーバイザは、テナント＃１に割り当てられたタグをパケットに取り付けた後、リンク４１４を介してパケットをホストマシン４０２からＮＶＤ４１２に通信する。同様に、ＶＭ２ ４０８からパケットが通信されると、ハイパーバイザは、テナント＃２に割り当てられたタグをパケットに取り付けた後、リンク４１４を介してパケットをホストマシン４０２からＮＶＤ４１２に通信する。したがって、ホストマシン４０２からＮＶＤ４１２に通信されたパケット４２４は、特定のテナントおよび関連するＶＭを識別する関連タグ４２６を有する。ＮＶＤ上でホストマシン４０２からパケット４２４を受信した場合、当該パケットに関連するタグ４２６を用いて、当該パケットがＶＮＩＣ－ＶＭ１ ４２０によって処理されるべきか、ＶＮＩＣ－ＶＭ２ ４２２によって処理されるべきかを判断する。そして、パケットは、対応するＶＮＩＣによって処理される。図４に示された構成は、各テナントの計算インスタンスが、自分自身のホストマシンおよびＮＩＣを所有していると信じることを可能にする。図４に示された構成は、マルチテナント機能をサポートするためのＩ／Ｏ仮想化を提供する。
図５は、特定の実施形態に従って、物理ネットワーク５００を示す概略ブロック図である。図５に示された実施形態は、Ｃｌｏｓネットワークとして構築される。Ｃｌｏｓネットワークは、高い二分割帯域幅および最大リソース利用率を維持しながら、接続冗長性を提供するように設計された特定の種類のネットワークトポロジである。Ｃｌｏｓネットワークは、一種の非ブロッキング、多段または多層スイッチングネットワークであり、段または層の数は、２、３、４、５などであってもよい。図５に示された実施形態は、層１、２および３を含む３層ネットワークである。ＴＯＲスイッチ５０４は、Ｃｌｏｓネットワークの層－０スイッチを表す。１つ以上のＮＶＤは、ＴＯＲスイッチに接続されている。層－０スイッチは、物理ネットワークのエッジ装置とも呼ばれる。層－０スイッチは、リーフスイッチとも呼ばれる層－１スイッチに接続されている。図５に示された実施形態において、「ｎ」個の層－０ ＴＯＲスイッチは、「ｎ」個の層－１スイッチに接続され、ポッドを形成する。ポッド内の各層－０スイッチは、ポッド内の全ての層－１スイッチに相互接続されるが、ポッド間のスイッチは、接続されない。特定の実装例において、２つのポッドは、ブロックと呼ばれる。各ブロックは、「ｎ」個の層－２スイッチ（スパインスイッチとも呼ばれる）によってサービスを提供されるまたはそれに接続されている。物理ネットワークトポロジは、複数のブロックを含んでもよい。同様に、層－２スイッチは、「ｎ」個の層－３スイッチ（スーパースパインスイッチとも呼ばれる）に接続されている。物理ネットワーク５００を介したパケットの通信は、典型的には、１つ以上のレイヤ３通信プロトコルを使用して実行される。典型的には、ＴＯＲ層を除く物理ネットワークの全ての層は、ｎウェイ冗長であり、したがって高い可用性を実現することができる。ポッドおよびブロックにポリシーを指定して、物理ネットワークのスイッチの相互可視性を制御することによって、物理ネットワークを拡張することができる。
Ｃｌｏｓネットワークの特徴は、ある層－０スイッチから別の層－０スイッチに到達する（または、層－０スイッチに接続されたＮＶＤから層－０スイッチに接続された別のＮＶＤに到達する）最大ホップカウントが一定であることである。例えば、３層のＣｌｏｓネットワークにおいて、パケットが１つのＮＶＤから別のＮＶＤに到達するために最大７つのホップが必要とされる。この場合、送信元ＮＶＤおよびターゲットＮＶＤは、Ｃｌｏｓネットワークのリーフ層に接続されている。同様に、４層のＣｌｏｓネットワークにおいて、パケットが１つのＮＶＤから別のＮＶＤに到達するために最大９つのホップが必要とされる。この場合、送信元ＮＶＤおよびターゲットＮＶＤは、Ｃｌｏｓネットワークのリーフ層に接続されている。したがって、Ｃｌｏｓネットワークアーキテクチャは、データセンタ内およびデータセンタ間の通信に重要なネットワーク全体の遅延を一定に保つ。Ｃｌｏｓトポロジは、水平方向に拡張可能であり、コスト効率に優れている。各階層により多くのスイッチ（例えば、より多くのリーフスイッチおよびスパインスイッチ）を増設すること、および隣接する階層のスイッチ間にリンク数を増やすことによって、ネットワークの帯域幅／スループット容量を容易に増加させることができる。
特定の実施形態において、ＣＳＰＩ内の各リソースには、クラウド識別子（ＣＩＤ）と呼ばれる固有識別子が割り当てられる。この識別子は、リソースの情報の一部として含まれる。この識別子を用いて、例えば、コンソールまたはＡＰＩを介してリソースを管理することができる。ＣＩＤの例示的なシンタックスは、以下の通りである。
ocid1.<RESOURCE TYPE>.<REALM>.[REGION][.FUTURE USE].<UNIQUE ID>である。式中、
「ocid1」は、ＣＩＤのバージョンを示す文字列である。
「ocid1」は、ＣＩＤのバージョンを示す文字列である。
「RESOURCE TYPE」は、リソースの種類（例えば、インスタンス、ボリューム、ＶＣＮ、サブネット、ユーザ、グループ）を表す。
「REALM」は、リソースが存在する領域を表す。例示的な値として、「ｃ１」は、商業領域を表し、「ｃ２」は、政府クラウド領域を表し、または「ｃ３」は、連邦政府クラウド領域を表す。各領域は、独自のドメイン名を持つことができる。
「REGION」は、リソースが属する地域を表す。地域がリソースに適用されない場合、この部分は空白であってもよい。
「FUTURE USE」は、将来使用のために保留されていることを示す。
「UNIQUE ID」は、固有ＩＤの部分である。このフォーマットは、リソースまたはサービスの種類によって異なる場合がある。
「UNIQUE ID」は、固有ＩＤの部分である。このフォーマットは、リソースまたはサービスの種類によって異なる場合がある。
キャッシュされた構成情報およびキャッシュされない構成情報に基づくパケットフロー
図６は、ある実施形態による、キャッシュされた構成情報に基づいてパケットフローをサポートするネットワークアーキテクチャの例を示す図である。このネットワークアーキテクチャは、少なくとも部分的に、ＣＳＰのクラウドインフラストラクチャを表す。図示のように、ネットワークアーキテクチャは、ホストマシン６６０と、ＮＶＤ６７０と、基板ネットワーク６８０と、ホストマシン６９０とを含む。
図６は、ある実施形態による、キャッシュされた構成情報に基づいてパケットフローをサポートするネットワークアーキテクチャの例を示す図である。このネットワークアーキテクチャは、少なくとも部分的に、ＣＳＰのクラウドインフラストラクチャを表す。図示のように、ネットワークアーキテクチャは、ホストマシン６６０と、ＮＶＤ６７０と、基板ネットワーク６８０と、ホストマシン６９０とを含む。
一般に、ホストマシン６６０は、顧客の計算インスタンス６６２などの１つ以上の計算インスタンスをホストし、ＮＶＤ６７０に接続される。接続はイーサネット（登録商標）リンクとすることができる。ＮＶＤ６７０は、他の仮想機能の中でもとりわけ、計算インスタンス６６２にアタッチされるＶＮＩＣ６７２を含む１つ以上のＶＮＩＣをホストする。典型的には、ＶＮＩＣは、単一の計算インスタンスに関連付けることができ、仮想ネットワークインターフェース機能を計算インスタンスに提供することができる。仮想ネットワークインターフェース機能は、仮想ネットワークへのインターフェース（例えば、計算インスタンス６６２の、仮想ネットワーク６８２へのインターフェース）を提供することを含む。ＮＶＤ６７０はまた、スイッチ（例えば、イーサネット（登録商標）リンクをサポートするトップオブラック（ＴＯＲ）スイッチ）を介して基板ネットワーク６８０に接続される。基板ネットワーク６８０はまた、ホストマシン６９０と接続され、この接続は、別のＮＶＤ（簡潔にするため、図６には示されていない）を介することができる。ホストマシン６９０は、エンドポイント６９２を含む１つ以上の計算インスタンスをホストすることができる。計算インスタンス６６２は、ＶＮＩＣ６７２を介して（および同様に、やはり単純化のために図６には示されていないが、エンドポイント６９２にアタッチされたＶＮＩＣを介して、）仮想ネットワーク６８２上でパケットを送受信することなどによって、エンドポイント６９２と通信することができる。仮想ネットワーク６８２は、基板ネットワーク６８０の上にオーバーレイされるソフトウェアベースまたはソフトウェア定義済みのネットワークであり得る。破線のボックスで示されるように、顧客のＶＣＮ６００は、計算インスタンス６６２、ＶＮＩＣ６７２、およびエンドポイント６９２を含むことができる（が、エンドポイント６９２はＶＣＮ６００の一部でなくてもよいことが可能である）。
ある例では、ホストマシン６６０の計算インスタンスとの間のパケットのフローは、ＮＶＤ６７０のメモリに記憶される構成情報６７４に依存し得る。構成情報６７４は、セキュリティポリシー（例えば、インバウンドおよび／またはアウトバウンドトラフィックに対するファイアウォールルールに基づくポリシー）、ルーティングルール、オーバーレイ対基板ＩＰアドレスマッピング、ルーティングテーブル、ならびにパケットを送信および／もしくは受信するための他のタイプの情報のいずれかまたはすべてを含むことができる。ある例では、構成情報６７４は、複数のセットを含むことができ、各セットは、あるＶＮＩＣのためにキャッシュされ、対応する計算インスタンスに関連付けられ、この計算インスタンスへのアウトバウンドまたはインバウンドパケットのフローに必要とされる情報に特定である。この例では、計算インスタンス６６２がパケットを送信すると、ホストマシン６６０は、このパケットをＮＶＤ６７０に転送する。次いで、ＶＮＩＣ６７２は、適用可能な構成情報をルックアップして、パケットを処理（例えば、ルールを適用し、パケットのヘッダを更新するなど）し、処理されたパケットを仮想ネットワーク６８２上で送信する。仮想ネットワーク６８２上でパケットを送信することは、ＮＶＤ６７０が、ＶＮＩＣ６７２および計算インスタンス６６２に透過な態様で、パケットをさらに処理し、基板ネットワーク６８０上で送信することを伴う。最終的に、パケットはエンドポイント６９２によって受信される。逆に、計算インスタンス６６２に向かうパケットは、最初にＮＶＤ６７０によって受信され、適用可能な構成情報に基づいてＶＮＩＣ６７２によって処理され、次いでＮＶＤ６７０からホストマシン６６０に送信されて、計算インスタンス６６２に到達する。
本明細書において上記で説明したように、図６のネットワークアーキテクチャは、大量の構成情報がＮＶＤ６７０において記憶および維持されることを必要とし得る。さらに、ＮＶＤ６７０によってホストされるＶＮＩＣも、ＮＶＤ６７０の処理リソースおよびメモリリソースを使用する。したがって、ＮＶＤ６７０上のＶＮＩＣの密度（例えば、ＮＶＤ６７０がホストすることができるＶＮＩＣの数）は、比較的制限され得る。
図７は、ある実施形態による、キャッシュされない構成情報に基づいてパケットフローをサポートするネットワークアーキテクチャの例を示す図である。このネットワークアーキテクチャは、概して、ＮＶＤあたりのＶＮＩＣ密度を増加させることができるが、ネットワーク帯域幅に影響を及ぼし得る。ＮＶＤによって構成情報を記憶するのではなく、ＮＶＤは、（マイクロＶＮＩＣと呼ばれる）ＶＮＩＣのストリップダウンされたバージョンをホストし、構成情報は、集中型ネットワークインターフェースサービスを提供するネットワークインターフェースサービスによって記憶される。図示のように、ネットワークアーキテクチャは、ホストマシン７１０と、ＮＶＤ７２０と、サーバフリート７３０と、基板ネットワーク７４０と、ホストマシン７５０とを含む。
一般に、ホストマシン７１０は、顧客の計算インスタンス７１２などの１つ以上の計算インスタンスをホストし、ＮＶＤ７２０に接続される。接続はイーサネット（登録商標）リンクとすることができる。ＮＶＤ７２０は、他の仮想機能の中でもとりわけ、計算インスタンス７１２にアタッチされるＶＮＩＣ７２２を含む１つ以上のＶＮＩＣをホストする。図６のＮＶＤ６７０上にホストされるＶＮＩＣとは異なり、ＮＶＤ６７０上にホストされるＶＮＩＣはマイクロＶＮＩＣであり得る。典型的には、マイクロＶＮＩＣは、ＶＮＩＣよりも実現が単純であり、計算インスタンスにアタッチし、パケットを処理するために構成情報を使用しなくてもよく、代わりに、ＮＶＤ７２０を介して、計算インスタンスのアウトバウンドパケットをサーバフリート７３０上のネットワークインターフェースサービス７３２に直接送信するよう構成されてもよく、ＮＶＤ７２０を介してインバウンドパケットを計算インスタンスに直接送信するよう構成されてもよい。ＮＶＤ７２０は、サーバフリート７３０に（例えば、トンネルまたは他の何らかのピアリング機構を介して）接続される。
サーバフリート７３０は、１人以上の顧客のためにネットワークインターフェースサービス７３２をホストする、サーバもしくはホストマシンのセットまたはエンクレーブであり得る。ネットワークインターフェースサービス７３２は、計算インスタンス間の接続性のためのネットワークインターフェース機能を提供する。一例では、ネットワークインターフェースサービス７３２は、サービスとしてのＶＮＩＣ（ＶＮＩＣａａＳ）であり得る。例えば、ネットワークインターフェースサービス７３２は、マイクロＶＮＩＣ７２２に関連付けられるＶＮＩＣ７３４を含む複数のＶＮＩＣを含む。明確にするために、これらのＶＮＩＣは、（マイクロＶＮＩＣとは対照的に）サービスＶＮＩＣと呼ばれ得る。典型的には、あるサービスＶＮＩＣは、複数のマイクロＶＮＩＣに関連付けられることができ、マイクロＶＮＩＣの各々は、次いで、単一の計算インスタンスに関連付けられる。言い換えれば、あるサービスＶＮＩＣは、複数の計算インスタンスに、それらの対応するマイクロＶＮＩＣを通じて関連付けられることができ、これらの計算インスタンスに仮想ネットワークインターフェース機能を提供することができる。仮想ネットワークインターフェース機能は、計算インスタンスの、仮想ネットワークへのインターフェース（例えば、計算インスタンス７１２の、仮想ネットワーク７４２へのインターフェース）を提供することを含む。
サーバフリート７３０は、スイッチのセットを介して基板ネットワーク７４０に接続される。基板ネットワーク７４０はまた、ホストマシン７５０と接続され、接続は、別のＮＶＤ、サーバフリート７３０、および／または別のサーバフリート（簡略化のために図７に図示せず）を介することができる。ホストマシン７５０は、エンドポイント７５２を含む１つ以上の計算インスタンスをホストすることができる。計算インスタンス７１２は、マイクロＶＮＩＣ７２２およびサービスＶＮＩＣ７３４を介して（および同様に、やはり簡略化のために図７には示されていない、エンドポイント７５２にアタッチされたＶＮＩＣまたはエンドポイント７５２にアタッチされたマイクロＶＮＩＣおよびサービスＶＮＩＣのペアを介して）仮想ネットワーク７４２上でパケットを送受信することなどによって、エンドポイント７５２と通信することができる。仮想ネットワーク７４２は、基板ネットワーク７４０の上にオーバーレイされる、ソフトウェアベースの、またはソフトウェア定義された、ネットワークであり得る。破線のボックスで示されるように、顧客のＶＣＮ７６０は、計算インスタンス７１２、マイクロＶＮＩＣ７２２、サービスＶＮＩＣ７３４、およびエンドポイント７５２を含むことができる（が、エンドポイント７５２はＶＣＮ７６０の一部でなくてもよいことが可能である）。
ある例では、ホストマシン７１０の計算インスタンスとの間のパケットのフローは、ネットワークインターフェースサービス７３２によって記憶される構成情報７３６に依存し得る。構成情報７３６は、セキュリティポリシー（例えば、インバウンドおよび／またはアウトバウンドトラフィックに対するファイアウォールルールに基づくポリシー）、ルーティングルール、オーバーレイ対基板ＩＰアドレスマッピング、ルーティングテーブル、ならびにパケットを送信および／もしくは受信するための他のタイプの情報のいずれかまたはすべてを含むことができる。ある例では、構成情報７３６は、複数のセットを含むことができ、各セットは、あるサービスＶＮＩＣ、あるマイクロＶＮＩＣ、および／またはある計算インスタンスのためにキャッシュされる。この例では、計算インスタンス７１２がパケットを送信すると、ホストマシン７１０は、このパケットをＮＶＤ７２０に転送する。次いで、マイクロＶＮＩＣ７２２は、パケットを、ＮＶＤ７２０を介して、ネットワークインターフェースサービス７３２に送信する。サーバフリート７３０は、トンネルを介してＮＶＤ６７０からパケットを受信し、それをネットワークインターフェースサービス７３２に転送する。ネットワークインターフェースサービス７３２は、パケットをさらに処理するために、サービスＶＮＩＣ７３４を選択する。次いで、サービスＶＮＩＣ７３４は、適用可能な構成情報をルックアップして、パケットを処理（例えば、ルールを適用し、パケットのヘッダを更新するなど）し、処理されたパケットを仮想ネットワーク７４２上で送信する。仮想ネットワーク７４２上でパケットを送信することは、サーバフリート７３０が、サービスＶＮＩＣ７３４、マイクロＶＮＩＣ７２２、および計算インスタンス７１２に透過な態様で、基板ネットワーク７４０上でパケットを送信することを含む。最終的に、パケットはエンドポイント７５２によって受信される。逆に、計算インスタンス７１２宛のパケットは、適用可能な構成情報に基づいてサービスＶＮＩＣ７３４によって処理され、サーバフリート７３０およびＮＶＤ７２０を介してマイクロＶＮＩＣ７２２に送信され、次いで、マイクロＶＮＩＣ７２２からＮＶＤ７２０およびホストマシン７１０を介して計算インスタンス７１２に送信される。
本明細書で上述したように、図７のネットワークアーキテクチャは、ホストマシン７１０との間でパケットがネットワークインターフェースサービス７３２を通って流れることを必要とし得る。このフローは、特にパケットの量の増加に伴って、ネットワーク帯域幅に影響を与え得る。
図８は、ある実施形態による、キャッシュされたフロー情報およびキャッシュされない構成情報に基づいてパケットフローをサポートするネットワークアーキテクチャの例を示す図である。ここで、このネットワークアーキテクチャは、メモリ使用量（およびＮＶＤ上のＶＮＩＣ密度）とネットワーク帯域幅との間のバランスを最適化することができる。ある例では、ネットワークインターフェースサービスが、パケットのフローを管理するために使用可能な構成情報を維持することができる。ＮＶＤもまた、ＶＮＩＣをホストし、本明細書ではフロー情報と呼ばれる構成情報の関連サブセットのみを記憶し得る。このサブセットは、ネットワークインターフェースサービスを利用する必要なく、仮想ネットワークから直接パケットを送信および／または受信するために必要とされる、最小量または低減された量の構成情報であり得る。このサブセットが利用不可であるかまたは古い場合にのみ、パケットフローはネットワークインターフェースサービスを伴う必要がある。図示のように、ネットワークアーキテクチャは、ホストマシン８１０と、ＮＶＤ８２０と、サーバフリート８３０と、基板ネットワーク８４０と、ホストマシン８５０とを含む。
一般に、ホストマシン８１０は、顧客の計算インスタンス８１２などの１つ以上の計算インスタンスをホストし、ＮＶＤ８２０に接続される。接続はイーサネット（登録商標）リンクとすることができる。ＮＶＤ８２０は、他の仮想機能の中でもとりわけ、計算インスタンス８１２にアタッチされるＶＮＩＣ８２２を含む１つ以上のＶＮＩＣをホストする。ＮＶＤ８２０はまた、仮想ネットワーク８４２などの１つ以上の仮想ネットワーク上でパケットを送信および／または受信するためにそのようなＶＮＩＣによって使用可能なフロー情報８２４を記憶する。ＮＶＤ８２０は、サーバフリート８３０に（例えば、トンネルまたは他の何らかのピアリング機構を介して）接続される。ＮＶＤ８２０はまた、（例えば、ＴＯＲスイッチを介して）基板ネットワーク８４０に接続される。
サーバフリート８３０は、１人以上の顧客のためにネットワークインターフェースサービス８３２をホストする、サーバもしくはホストマシンのセットまたはエンクレーブであり得る。ネットワークインターフェースサービス８３２は、計算インスタンス間の接続性のためのネットワークインターフェース機能を提供する。一例では、ネットワークインターフェースサービス８３２は、ＶＮＩＣａａＳであり得る。たとえば、ネットワークインターフェースサービス８３２は、ＶＮＩＣ８２２および計算インスタンス８１２に関連付けられるサービスＶＮＩＣ８３４を含む、複数のサービスＶＮＩＣを含む。これらのサービスＶＮＩＣは、パケットを処理および送信するために、ネットワークインターフェースサービス８３２によって記憶される構成情報８３６に依拠する。
サーバフリート８３０は、スイッチのセットを介して基板ネットワーク８４０に接続される。基板ネットワーク８４０もまた、ホストマシン８５０と接続され、接続は、別のＮＶＤ、サーバフリート８３０、および／または別のサーバフリート（簡略化のために図８に図示せず）を介することができる。ホストマシン８５０は、エンドポイント８５２を含む１つ以上の計算インスタンスをホストすることができる。計算インスタンス８１２は、ＶＮＩＣ８２２および／またはサービスＶＮＩＣ８３４を介して（および同様に、やはり簡略化のために図８には示されていない、エンドポイント８５２にアタッチされるＶＮＩＣまたは他のサービスＶＮＩＣを介して）仮想ネットワーク８４２上でパケットを送受信することなどによって、エンドポイント８５２と通信することができる。仮想ネットワーク８４２は、基板ネットワーク８４０の上にオーバーレイされるソフトウェアベースの、またはソフトウェア定義されたネットワークであり得る。破線のボックスで示されるように、顧客のＶＣＮ８６０は、計算インスタンス８１２、ＶＮＩＣ８２２、サービスＶＮＩＣ８３４、およびエンドポイント８５２を含むことができる（が、エンドポイント８５２はＶＣＮ８６０の一部でなくてもよい可能性がある）。
ある例では、ホストマシン８１０の計算インスタンスとの間のパケットのフローは、ネットワークインターフェースサービス８３２によって記憶される構成情報８３６と、ＮＶＤ８２０によって記憶されるフロー情報８２４とに依存し得る。構成情報８３６は、セキュリティポリシー（例えば、インバウンドおよび／またはアウトバウンドトラフィックに対するファイアウォールルールに基づくポリシー）、ルーティングルール、オーバーレイ対基板ＩＰアドレスマッピング、ルーティングテーブル、ならびにパケットを送信および／もしくは受信するための他のタイプの情報のいずれかまたはすべてを含むことができる。比較すると、フロー情報８２４は、構成情報８３６のサブセットを含むことができ、このサブセットは、ＮＶＤ８２０を介してパケットのフローを処理および管理するために必要とされる、最小量または低減された量の構成情報である。たとえば、フロー情報８２４は、１つ以上のセキュリティポリシー、１つ以上のオーバーレイ対基板ＩＰアドレスマッピング、１つ以上のルーティングテーブル、および／もしくはそれらの１つ以上の集約のいずれかまたは組合せを含む。フロー情報８２４は、パケットタイプなどの特定の分解能にグラニュラーであり得る（たとえば、特定のパケットタイプに適用可能な再書込みルールを示すことができる）か、またはより高い分解能レベルに包括的であり得る（たとえば、複数のパケットタイプに適用され、たとえば、あるファイアウォールルールが与えられると、どのようにパケットが処理されるべきかを示すことができる）。概して、フロー情報８２４は、ＮＶＤ８２０に接続されるホストマシン８１０の１つ以上の計算インスタンスからの、および／またはそれ（ら）へのパケットのフローに特定であるため、フロー情報８２４の量は、構成情報８３６の量よりも小さく、一方、構成情報８３６は、多数のホストマシン上でホストされるはるかに多数の計算インスタンスへのパケットフローおよび／またはそれら多数の計算インスタンスからのパケットフローに適用可能である。ある例では、構成情報８３６は、複数のセットを含むことができ、各セットは、あるサービスＶＮＩＣ、ある計算インスタンスにアタッチされるあるＶＮＩＣ、および／またはその計算インスタンスのためにキャッシュされる。また、この例では、フロー情報８２４は、複数のセットを含むことができ、各セットは、ある計算インスタンスにアタッチされるあるＶＮＩＣおよび／またはその計算インスタンスのためにキャッシュされる。
例示のために、２つのシナリオを考える。第１のシナリオでは、計算インスタンス８１２は、パケットをエンドポイント８５２に送信し、フロー情報８２４は、この送信をサポートするために利用可能である。このシナリオでは、パケットは、（上側の点線で示されるように）ＶＮＩＣ８２２によって仮想ネットワーク８４２上を直接送信され、それに対応して、（下側の実線で示されるように）ＮＶＤ８２０によって基板ネットワーク８４０上を直接送信される。第２の代替シナリオでは、フロー情報８２４は利用不可である。この場合、パケットは、（下側の点線で示されるように）サービスＶＮＩＣ８３４によって処理され仮想ネットワーク８４２上を送信され、それに対応して、（上側の実線で示されるように）サーバフリート８３０によって基板ネットワーク８４０上を送信される。
第１のシナリオでは、計算インスタンス８１２がパケットを送信すると、ホストマシン８１０は、このパケットをＮＶＤ８２０に転送する。次いで、ＶＮＩＣ８２２は、適用可能なフロー情報をルックアップしてパケットを処理（例えば、ルールを適用し、パケットのヘッダを更新するなど）し、処理されたパケットを仮想ネットワーク８４２上で送信する。仮想ネットワーク８４２上でパケットを送信することは、ＮＶＤ８２０が、さらに、ＶＮＩＣ８２２および計算インスタンス８１２に透過な態様で、パケットを処理し、基板ネットワーク８４０上で送信することを伴う。最終的に、パケットはエンドポイント８５２によって受信される。
第２のシナリオでは、計算インスタンス８１２がパケットを送信すると、ホストマシン８１０は、このパケットをＮＶＤ８２０に転送する。次いで、ＶＮＩＣ８２２は、このパケットを処理するために利用可能なフロー情報はないと判断し、代わりに、ＮＶＤ８２０を介してネットワークインターフェースサービス８３２にパケットを送信する。サーバフリート８３０は、トンネルを介してＮＶＤ８２０からパケットを受信し、それをネットワークインターフェースサービス８３２に転送する。ネットワークインターフェースサービス８３２は、パケットをさらに処理するために、サービスＶＮＩＣ８３４を選択する。次いで、サービスＶＮＩＣ８３４は、適用可能な構成情報をルックアップしてパケットを処理（例えば、ルールを適用し、パケットのヘッダを更新するなど）し、処理されたパケットを仮想ネットワーク８４２上で送信する。仮想ネットワーク８４２上でパケットを送信することは、サーバフリート８３０が、サービスＶＮＩＣ８３４、ＶＮＩＣ８２２、および計算インスタンス８１２に透過な態様で、パケットを基板ネットワーク８４０上で送信することを含む。最終的に、パケットはエンドポイント８５２によって受信される。
本明細書において上記で説明したように、図６のネットワークアーキテクチャに関して、ＮＶＤ８２０は、より少量の構成情報（たとえば、フロー情報８２４）を記憶し、それによって、ＶＮＩＣの、より高い密度を可能にする。図７のネットワークアーキテクチャに対して、パケットフローは、必要に応じて（例えば、フロー情報が利用可能でないとき）のみネットワークインターフェースサービス８３２を伴い、それによって帯域幅負担を軽減する。フロー情報の生成、分散、更新、およびパケットフローの管理の局面は、次の図でさらに説明される。
本明細書で上述したように、仮想ネットワーク上のパケットのフローは、オーバーレイリソースを伴うだけでなく、オーバーレイリソースをホストするハードウェアリソースを介した基板ネットワーク上の対応するパケットフローも含む。次の図において、および明瞭さおよび簡潔さのため、仮想ネットワーク上のパケットフローを説明する際、基板ネットワーク上のパケットフローに関する詳細は省略され得、そのような詳細は、上記の説明を参照することによって暗示され得る。
図９は、ある実施形態による、キャッシュされるフロー情報をもたらすアウトバウンドパケットフローの例を示す図である。ＶＮＩＣ９１２をホストするＮＶＤ９１０は、ネットワークインターフェースサービス９２２をホストするサーバフリート９２０に接続される。まず、ＮＶＤ９１０は、ＶＮＩＣ９１２が仮想ネットワーク上で直接パケットを送信することを可能にするフロー情報を記憶していない。代わりに、パケットは、ネットワークインターフェースサービス９２２を介して（例えば、特定のサービスＶＮＩＣを介して）仮想ネットワーク上を間接的に送信される。その後、ＮＶＤ９１０は、ネットワークインターフェースサービス９２２から適用可能なフロー情報を受信して記憶し、それによって、図１０でさらに説明されるように、ＶＮＩＣ９１２がパケットをそのポイントから直接仮想ネットワーク上を送信することを可能にする。ＮＶＤ９１０、ＶＮＩＣ９１２、サーバフリート９２０、およびネットワークインターフェースサービス９２２は、それぞれ、ＮＶＤ８２０、ＶＮＩＣ８２２、サーバフリート８３０、およびネットワークインターフェースサービス８３２の例である。図９において、円内に示される数字は、イベントのシーケンスを指す。
ある例では、ＶＮＩＣ９１２は、例えば、ＶＮＩＣ９１２がアタッチされている計算インスタンスからパケットを受信し、このパケットは、仮想ネットワーク上で送信される（例えば、アウトバウンドパケットである）。パケット内のヘッダ情報が与えられると、ＶＮＩＣ９１２は、ＮＶＤ９１０のキャッシュ９１４をルックアップして、キャッシュされたフロー情報がパケットの処理に利用可能であるかどうかを判断する。このルックアップは、送信元情報、宛先情報、送信元サブネット、宛先サブネット、パケットタイプなどのｎタプルマッチを使用することができる。ルックアップの結果は、キャッシュミスである。したがって、ＶＮＩＣ９１２は、パケットをネットワークインターフェースサービス９２２に送信する。次いで、構成情報９２４が与えられると、ネットワークインターフェースサービス９２２は、パケットを処理（例えば、ルールを適用し、ヘッダ情報を書き直し、カプセル化を実行するなど）し、処理されたパケットを基板ネットワーク上で送信する。さらに、ネットワークインターフェースサービス９２２は、フロー情報と、そのフロー情報に関連付けられるバージョン情報とを含むキャッシュエントリを生成する。フロー情報は、パケットを基板番号上で送信するために使用される特定の構成情報のサブセットであり得る。例えば、フロー情報は、あるセキュリティポリシー、あるオーバーレイ対基板ＩＰアドレスマッピング、またはあるルートルールのうちの少なくとも１つを含む。バージョン情報は、フロー情報の現在のバージョンまたはフロー情報の部分の現在のバージョンを示すことができる。例えば、バージョン情報は、フロー情報の現在のバージョンのインジケータ、またはフロー情報の部分ごとの現在のバージョンのインジケータ（例えば、セキュリティポリシーの現在のバージョン、オーバーレイ対基板ＩＰアドレスマッピングの現在のバージョン、およびルートルールの現在のバージョン）である。バージョン情報は、次の図でさらに説明するように、キャッシュエントリを無効にするために使用可能である。ネットワークインターフェースサービス９２２は、キャッシュエントリをＮＶＤ９１０に送信する。次いで、ＮＶＤ９１０は、受信されたキャッシュエントリからフロー情報９１６およびバージョン情報９１８をキャッシュ９１４内にエントリとして記憶する。
図１０は、ある実施形態による、キャッシュされたフロー情報に基づくアウトバウンドパケットフローの例を示す図である。図１０の例は、図９の例に続く。ＶＮＩＣ１０１２をホストするＮＶＤ１０１０は、ネットワークインターフェースサービス１０２２をホストするサーバフリート１０２０に接続される。ＮＶＤ１０１０は、キャッシュ１０１４にフロー情報１０１６およびバージョン情報１０１８を記憶する。比較して、ネットワークインターフェースサービス１０２２は、構成情報１０２４を記憶する。ＮＶＤ１０１０、ＶＮＩＣ１０１２、キャッシュ１０１４、フロー情報１０１６、バージョン情報１０１８、サーバフリート１０２０、ネットワークインターフェースサービス１０２２、および構成情報１０２４は、それぞれ、ＮＶＤ９１０、ＶＮＩＣ９１２、キャッシュ９１４、フロー情報９１６、バージョン情報９１８、サーバフリート９２０、ネットワークインターフェースサービス９２２、および構成情報９２４の例である。
ある例では、ＶＮＩＣ１０１２は、例えば、ＶＮＩＣ１０１２がアタッチされる計算インスタンスからパケットを受信し、このパケットは、仮想ネットワーク上を送信される（例えば、アウトバウンドパケットである）。パケット内のヘッダ情報が与えられると、ＶＮＩＣ１０１２は、キャッシュされたフロー情報がパケットの処理に利用可能であるかどうかを判断するためにキャッシュ１０１４をルックアップする。ルックアップの結果、フロー情報１０１６とキャッシュヒットする。バージョン情報１０１８は、フロー情報１０１６が有効であることを示す。したがって、ＶＮＩＣ１０１２は、ネットワークインターフェースサービス１０２２を介してパケットを送信する必要なく、仮想ネットワーク上で直接パケットを送信する。
図１１は、ある実施形態による、キャッシュされるフロー情報をもたらすインバウンドパケットフローの例を示す図である。図９は、アウトバウンドトラフィックのフローに基づいてフロー情報を生成およびキャッシュすることを説明するが、図１１の例は、インバウンドトラフィックのフローに基づいてこのプロセスを説明する。ＶＮＩＣ１１１２をホストするＮＶＤ１１１０は、ネットワークインターフェースサービス１１２２をホストするサーバフリート１１２０に接続される。まず、ＮＶＤ１１１０は、図１２でさらに説明されるように、ＶＮＩＣ１１１２が仮想ネットワークから直接パケットを受信することを可能にするフロー情報を記憶していない。代わりに、パケットは、ネットワークインターフェースサービス１１２２によって（例えば、特定のサービスＶＮＩＣを介して）さらに処理される。その後、ＮＶＤ１１１０は、ネットワークインターフェースサービス１１２２から処理されたパケットを受信し、適用可能なフロー情報を記憶し、それによって、ＶＮＩＣ１１１２が仮想ネットワーク上で直接パケットを送信することを可能にする。ＮＶＤ１１１０、ＶＮＩＣ１１１２、サーバフリート１１２０、およびネットワークインターフェースサービス１１２２は、それぞれ、ＮＶＤ８２０、ＶＮＩＣ８２２、サーバフリート８３０、およびネットワークインターフェースサービス８３２の例である。
ある例では、ＶＮＩＣ１１１２は、仮想ネットワーク上でインバウンドパケットを受信する。パケット内のヘッダ情報が与えられると、ＶＮＩＣ１１１２は、ＮＶＤ１１１０のキャッシュ１１１４をルックアップして、キャッシュされたフロー情報がパケットの処理に利用可能であるかどうかを判断する。ルックアップの結果は、キャッシュミスである。したがって、ＶＮＩＣ１１１２は、パケットをネットワークインターフェースサービス１１２２に送信する。次いで、構成情報１１２４を所与として、ネットワークインターフェースサービス１１２２は、パケットを処理（例えば、ルールを適用し、ヘッダ情報を書き直し、カプセル化を実行するなど）し、処理されたパケットをＶＮＩＣ１１１２に送り返し、次いで、ＶＮＩＣ１１１２は、パケットを、ＶＮＩＣ１１１２がアタッチされている計算インスタンスに送る。加えて、ネットワークインターフェースサービス１１２２は、フロー情報とそのフロー情報に関連付けられるバージョン情報とを含むキャッシュエントリを生成する。フロー情報は、基板ネットワーク上でパケットを送信するために使用される特定の構成情報のサブセットであり得る。例えば、フロー情報は、あるセキュリティポリシー、あるオーバーレイ対基板ＩＰアドレスマッピング、またはあるルートルールのうちの少なくとも１つを含む。バージョン情報は、フロー情報の現在のバージョンまたはフロー情報の部分の現在のバージョンを示すことができる。例えば、バージョン情報は、フロー情報の現在のバージョンのインジケータ、またはフロー情報の部分ごとの現在のバージョンのインジケータ（例えば、セキュリティポリシーの現在のバージョン、オーバーレイ対基板ＩＰアドレスマッピングの現在のバージョン、およびルートルールの現在のバージョン）である。バージョン情報は、次の図でさらに説明するように、キャッシュエントリを無効にするために使用可能である。ネットワークインターフェースサービス１１２２は、キャッシュエントリをＮＶＤ１１１０に送信する。次いで、ＮＶＤ１１１０は、受信されたキャッシュエントリからフロー情報１１１６およびバージョン情報１１１８をキャッシュ１１１４内にエントリとして記憶する。
図１１に関連して上で説明されたように、受信側ＮＶＤ（たとえば、ＮＶＤ１１１０）は、インバウンドトラフィックに基づいてフロー情報をキャッシュする。変形例が存在し得る。例えば、ＶＮＩＣからパケットを受信すると、ネットワークインターフェースサービスは、受信側ＮＶＤおよび送信側ＮＶＤの両方に、そこでのキャッシュのために、関連フロー情報を送信する。例えば、図９および図１１を再び参照すると、送信側ＮＶＤがＮＶＤ９１０であり、受信側ＮＶＤがＮＶＤ１１１０であると仮定する。ＶＮＩＣ９１２が（例えば、送信側ＮＶＤ９１０を介して）パケットを送信すると、ネットワークインターフェースサービス（例えば、ネットワークインターフェースサービス９２２または１１２２）は、送信側ＮＶＤ９１０および受信側ＮＶＤ１１１０の両方を更新する。
さらに、図９および図１１に関連して説明したように、キャッシュミス時に、パケットが、ネットワークインターフェースサービスに送信され、必要なフロー情報を含むキャッシュエントリを送信するよう、そのネットワークインターフェースサービスをトリガする。ここでの変形例も存在し得る。たとえば、フロー情報は、ネットワークインターフェースサービスによってＮＶＤに送信されるパケットのヘッダ中、または送信側ＮＶＤから受信側ＮＶＤに送信されるパケットのヘッダ中に含まれ得る。ネットワークインターフェースサービスが受信側ＮＶＤと送信側ＮＶＤの両方を更新する状況では、様々なフロー情報を異なるパケットに含めることができる（例えば、フロー情報は、受信側ＮＶＤに送信されるパケットに含まれ、フロー情報は、送信側ＮＶＤに送信される応答パケットに含まれる）。１つの例示的な変形例では、送信側ＮＶＤは、受信側ＮＶＤによるその後の使用のために、フロー情報を受信側ＮＶＤのヘッダに含める。この例では、受信側ＮＶＤは、入来セキュリティポリシーを有さない場合がある。代わりに、署名がヘッダに含まれ、フロー情報が承認されたエンティティによって送信されたことを認証するために受信側ＮＶＤによって使用され得る。
図１２は、ある実施形態による、キャッシュされたフロー情報に基づくインバウンドパケットフローの例を示す図である。図１２の例は、図１１の例に続く。ＶＮＩＣ１２１２をホストするＮＶＤ１２１０は、ネットワークインターフェースサービス１２２２をホストするサーバフリート１２２０に接続される。ＮＶＤ１２１０は、キャッシュ１２１４にフロー情報１２１６およびバージョン情報１２１８を記憶する。比較して、ネットワークインターフェースサービス１２２２は、構成情報１２２４を記憶する。ＮＶＤ１２１０、ＶＮＩＣ１２１２、キャッシュ１２１４、フロー情報１２１６、バージョン情報１２１８、サーバフリート１２２０、ネットワークインターフェースサービス１２２２、および構成情報１２２４は、それぞれ、ＮＶＤ１１１０、ＶＮＩＣ１１１２、キャッシュ１１１４、フロー情報１１１６、バージョン情報１１１８、サーバフリート１１２０、ネットワークインターフェースサービス１１２２、および構成情報１１２４の例である。
ある例では、ＶＮＩＣ１２１２は、仮想ネットワーク上でインバウンドパケットを受信する。パケット内のヘッダ情報が与えられると、ＶＮＩＣ１２１２は、キャッシュされたフロー情報がパケットの処理に利用可能であるかどうかを判断するためにキャッシュ１２１４をルックアップする。ルックアップの結果、フロー情報１２１６とキャッシュヒットする。バージョン情報１２１８は、フロー情報１２１６が有効であることを示す。したがって、ＶＮＩＣ１２１２は、さらなる処理のためにこのパケットをネットワークインターフェースサービス１２２２に送信する必要なしに、ＶＮＩＣ１２１２がアタッチされている計算インスタンスにパケットを送信する。
図１３は、ある実施形態による、キャッシュされたフロー情報を無効化および更新する例を示す。この例では、無効化はネットワークインターフェースサービスによって管理することができ、更新はプロアクティブ戦略に従うことができる（例えば、プッシュ機構を実現することによって、更新されたフロー情報が、関連するＶＮＩＣに送信される）。代替的に、更新は受動的戦略に従うことができる（例えば、プル機構を実現することによって、更新されたフロー情報が、ＶＮＩＣからの更新要求時に、ＶＮＩＣに送信される）。ＶＮＩＣ１３１２をホストするＮＶＤ１３１０は、ネットワークインターフェースサービス１３２２をホストするサーバフリート１３２０に接続される。ネットワークインターフェースサービス１３２２は、制御プレーン１３３０と接続される。顧客のコンピューティングデバイス（図１３には図示せず）は、制御プレーン１３３０（例えば、アプリケーションプログラミングインターフェース（ＡＰＩ）コール）に接続し、顧客のＶＣＮの構成を更新することができる。更新は、パケットのフローを管理するために使用可能な構成情報に対する変更をもたらすことができる。
ある例では、ネットワークインターフェースサービス１３２２は、構成情報１３２４と構成情報１３２４に関連付けられるバージョン情報１３２６とを記憶する。構成情報１３２４は、複数の部分（例えば、セキュリティポリシー、オーバーレイ対基板ＩＰアドレスマッピング、ルートルール）を含むことができる。バージョン情報１３２６は、構成情報１３２４全体の現在のバージョンのインジケータおよび／または構成情報１３２４の部分ごとの現在のバージョンのインジケータ（例えば、セキュリティポリシーの現在のバージョン、オーバーレイ対基板ＩＰアドレスマッピングの現在のバージョン、およびルートルールの現在のバージョン）を含むことができる。説明を明確にするために、次の段落では、構成情報１３２４の部分ごとにバージョンインジケータを使用することを説明する。しかしながら、本プロセスは、１つのバージョンインジケータが構成情報１３２４全体に使用された場合にも同様に適用される。
ネットワークインターフェースサービス１３２２は、構成情報１３２４に対する更新を要求する更新要求を制御プレーン１３３０に送信する。たとえば、更新要求は、バージョンインジケータがポピュレートされたベクトルクロックを含み得る。制御プレーン１３３０は、バージョンインジケータのうちのどれが古いかを判断する。それらのいずれも古くなっていない場合、構成情報１３２４に対する更新は必要とされない。そうではなく、あるバージョンインジケータが古い場合、構成情報１３２４の対応する部分は古く、制御プレーン１３３０は、置換構成情報部分を、更新されたバージョンインジケータとともに、送信する。たとえば、セキュリティポリシーのバージョンインジケータは、それがまだ最新のバージョンであることを示すが、オーバーレイ対基板ＩＰアドレスマッピングのバージョンインジケータが古い場合、制御プレーン１３３０は、更新されたオーバーレイ対基板ＩＰアドレスマッピングおよびそれの更新されたバージョンインジケータを送信するだけである。
次いで、ネットワークインターフェースサービス１３２２は、制御プレーン１３３０からその更新を受信する。ネットワークインターフェースサービス１３２２は、古い構成情報部分に対応するフロー情報部分を使用するＶＮＩＣを追跡し、更新されたフロー情報部分および対応するバージョンインジケータを生成し、更新されたフロー情報部分および対応するバージョンインジケータを、当該ＶＮＩＣをホストするＮＶＤにプッシュする。たとえば、ＮＶＤ１３１０は、更新されたフロー情報１３１６および更新されたバージョン情報１３１８を受信し、ＶＮＩＣ１３１２による使用のためにそのキャッシュ１３１４に記憶する。
本明細書で上述したように、代わりに受動的戦略を使用することができる。ここで、ＮＶＤに更新をプッシュするのではなく、ネットワークインターフェースサービス１３２２は、影響を受けるＶＮＩＣに、それらのフロー情報（またはその部分）が古いことを通知し、要求時にのみ更新を送信する。たとえば、フロー情報１３１６（またはその部分）が古くなったという通知を受信すると、ＶＮＩＣ１３１２は、それに対する更新をネットワークインターフェースサービス１３２２に要求することができる。それに応答して、ネットワークインターフェースサービス１３２２は、更新されたフロー情報（またはその部分）および対応するバージョン情報を送信する。
図１４は、ある実施形態による、キャッシュされたフロー情報を無効化および更新する別の例を示す。この例では、無効化はＮＶＤによって管理することができ、更新は、（例えば、フロー情報が適用されるパケットを受信する前に更新を要求することによって、）プロアクティブ戦略に従うことができる。代替的に、更新は（例えば、さらなる処理のためにネットワークインターフェースサービスにパケットを送信し、その後、更新されたフロー情報を受信することによって、）受動的戦略に従うことができる。ＶＮＩＣ１４１２をホストするＮＶＤ１４１０は、ネットワークインターフェースサービス１４２２をホストするサーバフリート１４２０に接続される。ネットワークインターフェースサービス１４２２は、制御プレーン１４３０と接続される。顧客のコンピューティングデバイス（図１４には図示せず）は、制御プレーン１４３０に接続し、顧客のＶＣＮの構成を更新することができる。更新は、パケットのフローを管理するために使用可能な構成情報に対する変更をもたらすことができる。
ある例では、ＮＶＤ１４１０は、キャッシュ１４１４に、フロー情報１４１６と、フロー情報１４１６に関連付けられるバージョン情報１４１８とを記憶する。フロー情報１４１６は、複数の部分（例えば、セキュリティポリシー、オーバーレイ対基板ＩＰアドレスマッピング、ルートルール）を含むことができる。バージョン情報１４１８は、フロー情報１４１６全体の現在のバージョンのインジケータおよび／またはフロー情報１４１６の部分ごとの現在のバージョンのインジケータ（例えば、セキュリティポリシーの現在のバージョン、オーバーレイ対基板ＩＰアドレスマッピングの現在のバージョン、およびルートルールの現在のバージョン）を含むことができる。説明を明確にするために、次の段落では、フロー情報１４１６の部分ごとにバージョンインジケータを使用することを説明する。しかしながら、本プロセスは、フロー情報１４１６全体に対して１つのバージョンインジケータが使用された場合にも同様に適用される。
ＮＶＤ１４１０は、フロー情報１４１６に対する更新を要求する更新要求を制御プレーン１４３０に送信する。たとえば、更新要求は、バージョンインジケータがポピュレートされたベクトルクロックを含み得る。制御プレーン１４３０は、バージョンインジケータのうちのどれが古いかを判断する。それらのいずれも古くなっていない場合、フロー情報１４１６に対する更新は必要とされない。そうではなく、あるバージョンインジケータが古い場合、フロー情報１４１６の対応する部分は古く、制御プレーン１４３０は、更新が利用可能であることを示す通知をＮＶＤ１４１０に送信する。この通知は、フロー情報１４１６のどの部分が古いかを示すことができる。
受動的戦略では、ＮＶＤ１４１０は、フロー情報１４１６を直ちに更新しない。代わりに、ＶＮＩＣ１４１２は、パケットを受信し、（たとえば、キャッシュヒットに基づいて）フロー情報１４１６がそれに適用される、と判断する。ＶＮＩＣはまた、バージョン情報１４１８が古い（例えば、フロー情報１４１６の一部は、制御プレーン１４３０からの通知に従って、古くなっている）と判断する。代替として、通知を受信すると、ＮＶＤ１４１０は、キャッシュルックアップが実行されると、ルックアップの結果がキャッシュミスとなるように、キャッシュされたフロー情報１４１６を無効化する。両方の場合において、ＶＮＩＣ１４１２は、さらなる処理のために、パケットをネットワークインターフェースサービス１４２２に送信する。このパケット送信は、受動的更新要求を表す。ネットワークインターフェースサービス１４２２は、最新バージョン情報１４２６（これは、図１３と同様の方法で制御プレーン１４３０から更新されることができる）を有する構成情報１４２４を使用してパケットを処理する。さらに、ネットワークインターフェースサービス１４２２は、更新をＮＶＤ１４１０に送信し、更新は、更新されたフロー情報（例えば、フロー情報全体であって、その部分ではない）および対応するバージョンインジケータを含む。次いで、ＮＶＤ１４１０は、既存のフロー情報１４１６（またはその古い部分）およびバージョン情報１４１８（または古いバージョンインジケータ）を、更新されたフロー情報部分および対応するバージョンインジケータで置き換える。
例えば、オーバーレイ対基板ＩＰマッピングのみがフロー情報１４１６において古い。ＮＶＤ１４１０は、対応するバージョンインジケータが古いことを示す通知を制御プレーン１４３０から受信する。次に、ＶＮＩＣ１４１２は、そうでなければ仮想ネットワーク上で直接送信されたであろうパケットをネットワークインターフェースサービス１４２２に送信する。これに応答して、ネットワークインターフェースサービス１４２２は、更新されたフロー情報および対応するバージョンインジケータを送信する。ＮＶＤ１４１０は、フロー情報１４１６における古いオーバーレイ対基板ＩＰアドレスマッピングおよびバージョン情報１４１８における対応するバージョンインジケータを、更新されたオーバーレイ対基板ＩＰアドレスマッピングおよび対応するバージョンインジケータにそれぞれ置き換える。
本明細書において上述したように、代わりにプロアクティブ戦略を使用することができる。ここで、ネットワークインターフェースサービス１４２２にパケットを送信し、次いで更新を受信し戻すのではなく、ＮＶＤ１４１０は、ネットワークインターフェースサービス１４２２に更新要求を自動的に送信することができる。この要求は、フロー情報１４１６のどの部分が古いかを示すことができ、ネットワークインターフェースサービス１４２２は、更新された部分のみを送信してもよい。代替として、そのような指示はなされず、ネットワークインターフェースサービス１４２２は、フロー情報全体を送信してもよい。
図１５～図２０は、構成情報を分散し、パケットフローを管理するための方法の例を示す。これらの方法の動作は、ＮＶＤおよび／またはネットワークサービスインターフェースを含むシステムによって実行され得る。動作を実行するための命令のいくつかまたはすべては、ハードウェア回路として実現され、および／またはシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、回路またはシステムのプロセッサによって実行可能なコードを含むモジュールを表す。そのような命令の使用は、本明細書で説明される特定の動作を実行するようにシステムを構成する。関連するプロセッサと組み合わせた各回路またはコードは、それぞれの動作を実行するための手段を表す。動作は特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、並列に実行され、および／または並べ替えられ得ることを理解されたい。
図１５は、ある実施形態による、キャッシュされるフロー情報をもたらす、パケットを送信するための方法の例を示す図である。ここで、パケットは、仮想ネットワーク上で送信されるアウトバウンドパケットである。ある例では、本方法は、ＮＶＤ上でホストされるＶＮＩＣがパケットを受信する動作１５０２を含む。パケットは、ＶＮＩＣがアタッチされる計算インスタンスから送信され得る。動作１５０４において、ＶＮＩＣは、パケットを処理するためにフロー情報がＮＶＤのメモリから利用可能であるかどうかを判断する。例えば、ＶＮＩＣは、パケットのヘッダからの情報に基づいてキャッシュルックアップを実行する。ルックアップがキャッシュヒットをもたらす場合、フロー情報は利用可能である。この場合、動作１５１０が、動作１５０４に続く。そうでない場合、動作１５２０が動作１５０４に続く。動作１５１０において、ＶＮＩＣは、仮想ネットワーク上でパケットを直接送信する。たとえば、ＶＮＩＣは、フロー情報に従ってパケットを処理し、次いで、処理されたパケットを、（たとえば、更新されたヘッダ情報とともに、）仮想ネットワーク上で送信する。仮想ネットワーク上で送信することは、ＮＶＤが、さらに、下層の基板ネットワーク上で送信するために、パケットを処理することを含むことができる。動作１５２０においては、ＮＶＤにおいてパケットをローカルに処理するために利用可能なフロー情報はない（たとえば、キャッシュされていない）。代わりに、ＶＮＩＣは、パケットを処理するために使用可能な構成情報を記憶するネットワークインターフェースサービスにパケットを送信する。動作１５２２において、ＮＶＤはフロー情報を受信する。このフロー情報は、パケットを処理し仮想ネットワーク上で送信するためにネットワークインターフェースサービスによって（例えば、そこでホストされるサービスＶＮＩＣによって）使用された構成情報のサブセットであり得る。加えて、フロー情報に関連付けられるバージョン情報が受信され得る。動作１５２４において、ＮＶＤは、フロー情報および該当する場合はバージョン情報をメモリに（たとえばキャッシュエントリとして）記憶する。フローは、仮想ネットワーク上で追加のパケットを送信するために繰り返すことができ、追加のパケットは、計算インスタンスから受信される。
図１６は、ある実施形態による、キャッシュされるフロー情報をもたらす、パケットを受信するための方法の例を示す図である。ここで、パケットは、仮想ネットワーク上で受信されるインバウンドパケットである。ある例では、本方法は、ＮＶＤ上でホストされるＶＮＩＣがパケットを受信する動作１６０２を含む。パケットは、仮想ネットワーク上のエンドポイントから送信されることができ、ＶＮＩＣがアタッチされる計算インスタンスに宛てられる。動作１６０４において、ＶＮＩＣは、パケットを処理するためにフロー情報がＮＶＤのメモリから利用可能であるかどうかを判断する。例えば、ＶＮＩＣは、パケットのヘッダからの情報に基づいてキャッシュルックアップを実行する。ルックアップがキャッシュヒットをもたらす場合、フロー情報は利用可能である。この場合、動作１６１０が、動作１６０４に続く。そうでない場合、動作１６２０が動作１６０４に続く。動作１６１０において、ＶＮＩＣは、計算インスタンス上で直接パケットを送信する。たとえば、ＶＮＩＣは、フロー情報に従ってパケットを処理し、次いで、処理されたパケットを、（たとえば、更新されたヘッダ情報とともに、）ＮＶＤおよび計算インスタンスのホストマシンを介して計算インスタンスに送信する。動作１６２０においては、ＮＶＤにおいてパケットをローカルに処理するために利用可能なフロー情報はない（たとえば、キャッシュされていない）。代わりに、ＶＮＩＣは、パケットを処理するために使用可能な構成情報を記憶するネットワークインターフェースサービスにパケットを送信する。動作１６２２において、ＮＶＤは、ネットワークインターフェースサービスによって処理されたパケットと、フロー情報とを受信する。このフロー情報は、パケットを処理するためにネットワークインターフェースサービスによって（例えば、そこでホストされるサービスＶＮＩＣによって）使用された構成情報のサブセットであり得る。加えて、フロー情報に関連付けられるバージョン情報が受信され得る。動作１６２４において、ＮＶＤは、フロー情報および該当する場合はバージョン情報をメモリに（たとえばキャッシュエントリとして）記憶する。受信されたパケットはまた、動作１６２４から動作１６１０へのループで示されるように、計算インスタンスに直接送信される。フローは、追加のパケットを計算インスタンスに送信するために繰り返され得、追加のパケットは仮想ネットワーク上で受信される。
図１７は、ある実施形態による、フロー情報を生成および送信するための方法の例を示す図である。ここで、本方法は、ネットワークインターフェースサービスによって実現することができる。ある例では、本方法は、ネットワークインターフェースサービスがパケットを受信する動作１７０２を含む。ある例では、パケットは、計算インスタンスから発生し、仮想ネットワーク上で送信されるアウトバウンドパケットである。別の例では、パケットは、仮想ネットワーク上で受信され、計算インスタンスに向かうインバウンドパケットである。両方の例において、ネットワークインターフェースサービスは、ＶＮＩＣから、そのＶＮＩＣをホストするＮＶＤを介して、パケットを受信することができ、ＮＶＤは、ＶＮＩＣがパケットを処理することを可能にする（キャッシュされた）フロー情報を記憶していない。動作１７０４において、ネットワークインターフェースサービス（例えば、そこでホストされるサービスＶＮＩＣ）は、パケットを処理するべく構成情報を判断する。この判断は、パケットのヘッダ情報に基づくことができる。動作１７０６において、ネットワークインターフェースサービス（たとえば、サービスＶＮＩＣ）は、構成情報に基づいてパケットを送信する。第１の例に戻って参照すると、サービスＶＮＩＣは、構成情報に従ってパケットを処理し、処理されたパケットを仮想ネットワーク上で送信する。第２の例でも、サービスＶＮＩＣは、構成情報に従ってパケットを処理するが、処理されたパケットをＮＶＤのＶＮＩＣに送信する。動作１７０８において、ネットワークインターフェースサービスは、フロー情報を生成する。たとえば、フロー情報は、構成情報のサブセットであり、ＮＶＤのＶＮＩＣが同じタイプのパケットまたは同様のパケットをローカルに処理することを可能にする。このフロー情報は、最新の構成情報に対応することができ、バージョン情報に関連付けられることができる。動作１７１０において、ネットワークインターフェースサービスは、フロー情報をＮＶＤに送信する。さらに、バージョン情報をＮＶＤに送ることができる。
図１８は、ある実施形態による、キャッシュされたフロー情報を無効化および更新するための方法の例を示す。ここで、本方法は、ＶＮＩＣをホストするＮＶＤによって実現され得る。ある例では、本方法は、ＶＮＩＣがパケットを受信する動作１８０２を含む。ある例では、パケットは、計算インスタンスから発生し、仮想ネットワーク上で送信されるアウトバウンドパケットである。別の例では、パケットは、仮想ネットワーク上で受信され、計算インスタンスに向かうインバウンドパケットである。動作１８０４において、ＶＮＩＣは、フロー情報が古いかどうかを判断し、ここで、フロー情報は、パケットを処理するためにＮＶＤのメモリから利用可能である。例えば、ＶＮＩＣは、フロー情報のバージョン情報が古い（か、またはフロー情報の一部のバージョンインジケータが古い）かどうかを判断する。この判断は、ベクトルクロックを制御プレーンに送信することと、更新されたバージョン情報に関する通知を受信することとを含み得る。動作１８０４は、動作１８０２に続くものとして示されているが、動作１８０４は、動作１８０４とは独立して実行され得、キャッシュされたフロー情報は、パケットを受信する前に無効化される。フロー情報が古くなっていない場合、動作１８１０が動作１８０４に続く。そうでない場合、動作１８２０が動作１８０４に続く。動作１８１０において、ＶＮＩＣは、アウトバウンドトラフィックの場合、仮想ネットワーク上で直接、またはインバウンドトラフィックの場合、計算インスタンスに直接、パケットを送信する。動作１８２０においては、ＮＶＤにおいてローカルにパケットを処理するために有効なフロー情報は利用可能ではない。代わりに、ＶＮＩＣは、パケットを処理するために使用可能な構成情報を記憶するネットワークインターフェースサービスにパケットを送信する。動作１８２２において、ＮＶＤは、フロー情報（および、インバウンドトラフィックの場合、パケット）を受信する。このフロー情報は、パケットを処理し、オーバーレイ基板上でＶＮＩＣに送り返すためにネットワークインターフェースサービスによって（例えば、そこでホストされるサービスＶＮＩＣによって）使用された構成情報のサブセットであり得る。加えて、フロー情報に関連付けられるバージョン情報が受信され得る。動作１８２４において、ＮＶＤは、フロー情報および該当する場合はバージョン情報をメモリに（たとえばキャッシュエントリとして）記憶する。フローは、追加のパケットを送信するために繰り返され得、追加のパケットは、計算インスタンスから、または仮想ネットワークから、受信される。
図１９は、ある実施形態による、キャッシュされたフロー情報を無効化および更新するための方法の別の例を示す。ここで、本方法は、ネットワークインターフェースサービスによって実現することができる。ある例では、本方法は、ネットワークインターフェースサービスが、構成情報が古い、と判断する動作１９０２を含む。例えば、ネットワークインターフェースサービスは、構成情報のバージョン情報が古い（または、フロー情報の一部のバージョンインジケータが古い）と判断する。この判断は、ベクトルクロックを制御プレーンに送信すること、更新されたバージョン情報についての通知を受信すること、および／または更新された構成情報（もしくはその更新された部分）を受信することを含み得る。動作１９０４において、ネットワークインターフェースサービスは、制御プレーンからの更新に基づいて更新される必要があるＶＮＩＣを判断する。たとえば、ネットワークインターフェースサービスは、ＮＶＤ上のＶＮＩＣごとに、対応する構成情報およびそれに関連付けられるバージョン情報を追跡する。更新がＶＮＩＣのために使用される構成情報に影響を及ぼす場合、ネットワークインターフェースサービスは、このＶＮＩＣは更新されるべきである、と判断する。動作１９０６において、ネットワークインターフェースサービスは、更新されたフロー情報、および任意選択でバージョン情報を、影響を受けるＶＮＩＣに送信する。更新されたフロー情報は、更新された構成情報からサブセットとして生成され得る。更新されたフロー情報全体をプッシュすることができ、または、代替的に、それの更新された部分のみを最新バージョンインジケータとともにプッシュすることができる。
図２０は、ある実施形態による、キャッシュされたフロー情報を無効化および更新するための方法の別の例を示す。ここで、本方法は、ネットワークインターフェースサービスによって実現することができ、受動的戦略に従って更新を完了する。ある例では、本方法は動作２００２を含み、ネットワークインターフェースサービスは、動作１９０２と同様に、構成情報は古い、と判断する。動作２００４において、ネットワークインターフェースサービスは、動作１９０４と同様に、更新される必要があるＶＮＩＣを判断する。動作２００６において、ネットワークインターフェースサービスは、ＶＮＩＣに、そのフロー情報が古い（またはその一部が古い）ことを示す。例えば、対応するキャッシュされたエントリの無効化をもたらす通知を送信することができる。動作２００８において、ネットワークインターフェースサービスは、ＶＮＩＣからパケットを受信する。パケットは、インバウンドパケットまたはアウトバウンドパケットであり得る。動作２０１０において、ネットワークインターフェースサービスは、更新された構成情報を使用して、パケットを処理し、送信する。アウトバウンドトラフィックの場合、パケットは、仮想ネットワーク上で（たとえば、サービスＶＮＩＣを介して）送信される。インバウンドトラフィックの場合、パケットはＶＮＩＣに送り返される。動作２０１２において、ネットワークインターフェースサービスは、更新されたフロー情報および任意選択でバージョン情報をＶＮＩＣに送信する。更新されたフロー情報は、更新された構成情報からサブセットとして生成され得る。更新されたフロー情報全体を送信することができ、または代替的に、それの更新された部分のみを最新バージョンインジケータと共に送信することができる。
例示的なサービスとしてのインフラストラクチャのアーキテクチャ
上述したように、ＩａａＳ（Infrastructure as a Service）は、１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（例えば、インターネット）を介して仮想化計算リソースを提供するように構成されてもよい。ＩａａＳモデルにおいて、クラウドコンピューティングプロバイダは、インフラストラクチャ要素（例えば、サーバ、記憶装置、ネットワークノード（例えば、ハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）など）をホストすることができる。場合によっては、ＩａａＳプロバイダは、インフラストラクチャ要素に付随する様々なサービス（例えば、課金、監視、ロギング、セキュリティ、負荷分散およびクラスタリングなど）を提供することができる。したがって、これらのサービスがポリシー駆動型であり得るため、ＩａａＳユーザは、アプリケーションの可用性および性能を維持するために、負荷分散を駆動するためのポリシーを実装することができる。
上述したように、ＩａａＳ（Infrastructure as a Service）は、１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（例えば、インターネット）を介して仮想化計算リソースを提供するように構成されてもよい。ＩａａＳモデルにおいて、クラウドコンピューティングプロバイダは、インフラストラクチャ要素（例えば、サーバ、記憶装置、ネットワークノード（例えば、ハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）など）をホストすることができる。場合によっては、ＩａａＳプロバイダは、インフラストラクチャ要素に付随する様々なサービス（例えば、課金、監視、ロギング、セキュリティ、負荷分散およびクラスタリングなど）を提供することができる。したがって、これらのサービスがポリシー駆動型であり得るため、ＩａａＳユーザは、アプリケーションの可用性および性能を維持するために、負荷分散を駆動するためのポリシーを実装することができる。
いくつかの例において、ＩａａＳ顧客は、インターネットなどの広域ネットワーク（ＷＡＮ）を介してリソースおよびサービスにアクセスすることができ、クラウドプロバイダのサービスを使用してアプリケーションスタックの残りの要素をインストールすることができる。例えば、ユーザは、ＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）を作成し、各ＶＭにオペレーティングシステム（ＯＳ）をインストールし、データベースなどのミドルウェアを展開し、ワークロードおよびバックアップの記憶バケットを作成し、ＶＭに企業ソフトウェアをインストールすることができる。顧客は、プロバイダのサービスを使用して、ネットワークトラフィックのバランシング、アプリケーションのトラブルシューティング、パフォーマンスの監視、災害復旧の管理などを含む様々な機能を実行することができる。
殆どの場合、クラウドコンピューティングモデルは、クラウドプロバイダの参加を必要とする。クラウドプロバイダは、ＩａａＳの提供（例えば、オファー、レンタル、販売）に特化した第３者サービスであってもよいが、その必要はない。また、企業は、プライベートクラウドを配置し、インフラストラクチャサービスを提供するプロバイダになることもできる。
いくつかの例において、ＩａａＳの配置は、用意したアプリケーションサーバなどに新しいアプリケーションまたは新しいバージョンのアプリケーションを配置するプロセスである。ＩａａＳの配置は、サーバを用意する（例えば、ライブラリ、デーモンなどをインストールする）プロセスを含んでもよい。ＩａａＳの配置は、多くの場合、クラウドプロバイダによって、ハイパーバイザ層（例えば、サーバ、記憶装置、ネットワークハードウェア、および仮想化）の下で管理される。したがって、顧客は、ＯＳ、ミドルウェア、および／またはアプリケーションの展開（例えば、セルフサービス仮想マシン（例えば、オンデマンドでスピンアップできるもの）などを行うことができる。
いくつかの例において、ＩａａＳのプロビジョニングは、使用されるコンピュータまたは仮想ホストを取得すること、およびコンピュータまたは仮想ホスト上に必要なライブラリまたはサービスをインストールすることを含んでもよい。殆どの場合、配置は、プロビジョニングを含まず、まずプロビジョニングを実行する必要がある。
場合によっては、ＩａａＳのプロビジョニングには２つの異なる課題がある。第１に、何かを実行する前に、インフラストラクチャの初期セットをプロビジョニングするという課題がある。第２に、全てのものをプロビジョニングした後に、既存のインフラストラクチャを進化させる（例えば、新しいサービスの追加、サービスの変更、サービスの削除）という課題がある。場合によっては、インフラストラクチャの構成を宣言的に定義することを可能にすることによって、これらの２つの課題に対処することができる。言い換えれば、インフラストラクチャ（例えば、どの要素が必要とされるか、およびこれらの要素がどのように相互作用するか）は、１つ以上の構成ファイルによって定義されてもよい。したがって、インフラストラクチャの全体的なトポロジ（例えば、どのリソースがどれに依存し、どのように連携するか）は、宣言的に記述することができる。いくつかの例において、トポロジが定義されると、構成ファイルに記述された異なる要素を作成および／または管理するためのワークフローを生成することができる。
いくつかの例において、インフラストラクチャは、多くの相互接続された要素を含むことができる。例えば、コアネットワークとしても知られている１つ以上の仮想プライベートクラウド（ＶＰＣ）（例えば、構成可能な計算リソースおよび／または共有されている計算リソースの潜在的なオンデマンドプール）が存在してもよい。いくつかの例において、ネットワークのセキュリティがどのように設定されるかを定義するためにプロビジョニングされる１つ以上のセキュリティグループルールと、１つ以上の仮想マシン（ＶＭ）とが存在する可能性がある。ロードバランサ、データベースなどの他のインフラストラクチャ要素もプロビジョニングされてもよい。ますます多くのインフラストラクチャ要素が望まれるおよび／または追加されるにつれて、インフラストラクチャは、漸進的に進化することができる。
いくつかの例において、様々な仮想コンピューティング環境にわたってインフラストラクチャコードの展開を可能にするために、連続展開技法を採用してもよい。また、記載された技法は、これらの環境内のインフラストラクチャ管理を可能にすることができる。いくつかの例において、サービスチームは、１つ以上の、通常多くの異なる生産環境（例えば、時には全世界に及ぶ種々の異なる地理的場所にわたって）に展開されることが望まれるコードを書き込むことができる。しかしながら、いくつかの例において、コードを展開するためのインフラストラクチャを最初に設定しなければならない。いくつかの例において、プロビジョニングは、手動で行うことができ、プロビジョニングツールを用いてリソースをプロビジョニングすることができ、および／またはインフラストラクチャをプロビジョニングした後に、展開ツールを用いてコードを展開することができる。
図２１は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図２１００である。サービスオペレータ２１０２は、仮想クラウドネットワーク（ＶＣＮ）２１０６およびセキュアホストサブネット２１０８を含み得るセキュアホストテナンシ２１０４に通信可能に結合されてもよい。いくつかの例において、サービスオペレータ２１０２は、１つ以上のクライアントコンピューティング装置を使用することができる。１つ以上のクライアントコンピューティング装置は、例えば、Microsoft Windows Mobile（登録商標）のようなソフトウェア、および／またはｉＯＳ、Windowsフォン、アンドロイド（登録商標）、ブラックベリー８およびパームＯＳなどのさまざまなモバイルオペレーティングシステムを実行することができ、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、ブラックベリー（登録商標）または他の通信プロトコルが有効化された手持ち式携帯装置（例えば、iPhone（登録商標）、携帯電話、Ipad（登録商標）、タブレット、携帯情報端末（ＰＤＡ）またはウェアラブル装置（Google（登録商標）Glass（登録商標）ヘッドマウントディスプレイ）であってもよい。クライアントコンピューティング装置は、例示として、Microsoft Windows（登録商標）オペレーティングシステム、Apple Macintosh（登録商標）オペレーティングシステムおよび／またはLinux（登録商標）オペレーティングシステムのさまざまなバージョンを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用のパーソナルコンピュータであってもよい。代替的には、クライアントコンピューティング装置は、例えば、さまざまなGNU/Linuxオペレーティングシステム、例えば、Google Chrome（登録商標）ＯＳを含むがこれに限定されない市販のUNIX（登録商標）またはUNIXに類似するさまざまなオペレーティングシステムを実行するワークステーションコンピュータであってもよい。代替的にまたは追加的には、クライアントコンピューティング装置は、ＶＣＮ２１０６および／またはインターネットにアクセスできるネットワークを介して通信可能な他の電子機器、例えば、シンクライアントコンピュータ、インターネット対応のゲームシステム（例えば、Kinect（登録商標）ジェスチャ入力装置を備えるまたは備えないMicrosoft Xbox（登録商標）ゲームコンソール）、および／またはパーソナルメッセージング装置であってもよい。
ＶＣＮ２１０６は、ＳＳＨ ＶＣＮ２１１２に含まれるＬＰＧ２１１０を介して、セキュアシェル（ＳＳＨ）ＶＣＮ２１１２に通信可能に結合できるローカルピアリングゲートウェイ（ＬＰＧ）２１１０を含むことができる。ＳＳＨ ＶＣＮ２１１２は、ＳＳＨサブネット２１１４を含むことができ、ＳＳＨ ＶＣＮ２１１２は、制御プレーンＶＣＮ２１１６に含まれるＬＰＧ２１１０を介して、制御プレーンＶＣＮ２１１６に通信可能に結合されることができる。また、ＳＳＨ ＶＣＮ２１１２は、ＬＰＧ２１１０を介して、データプレーンＶＣＮ２１１８に通信可能に結合されることができる。制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８は、ＩａａＳプロバイダによって所有および／または運営され得るサービステナンシ２１１９に含まれてもよい。
制御プレーンＶＣＮ２１１６は、境界ネットワーク（例えば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）として機能する制御プレーンＤＭＺ（demilitarized zone）層２１２０を含むことができる。ＤＭＺベースのサーバは、特定の信頼性を有し、セキュリティ侵害を封じ込めることができる。さらに、ＤＭＺ層２１２０は、１つ以上のロードバランサ（ＬＢ）サブネット２１２２と、アプリサブネット２１２６を含むことができる制御プレーンアプリ層２１２４と、データベース（ＤＢ）サブネット２１３０（例えば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含むことができる制御プレーンデータ層２１２８とを含むことができる。制御プレーンＤＭＺ層２１２０に含まれたＬＢサブネット２１２２は、制御プレーンアプリ層２１２４に含まれるアプリサブネット２１２６と制御プレーンＶＣＮ２１１６に含まれ得るインターネットゲートウェイ２１３４とに通信可能に結合されてもよく、アプリサブリ２１２６は、制御プレーンデータ層２１２８に含まれるＤＢサブネット２１３０と、サービスゲートウェイ２１３６と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ２１３８とに通信可能に結合されてもよい。制御プレーンＶＣＮ２１１６は、サービスゲートウェイ２１３６およびＮＡＴゲートウェイ２１３８を含むことができる。
制御プレーンＶＣＮ２１１６は、データプレーンミラーアプリ層２１４０を含むことができ、データプレーンミラーアプリ層２１４０は、アプリサブネット２１２６を含むことができる。データプレーンミラーアプリ層２１４０に含まれたアプリサブネット２１２６は、計算インスタンス２１４４を実行することができる仮想ネットワークインターフェースコントローラ（ＶＮＩＣ）２１４２を含むことができる。計算インスタンス２１４４は、データプレーンミラーアプリ層２１４０のアプリサブネット２１２６を、データプレーンアプリ層２１４６に含まれ得るアプリサブネット２１２６に通信可能に結合することができる。
データプレーンＶＣＮ２１１８は、データプレーンアプリ層２１４６と、データプレーンＤＭＺ層２１４８と、データプレーンデータ層２１５０とを含むことができる。データプレーンＤＭＺ層２１４８は、データプレーンアプリ層２１４６のアプリサブネット２１２６およびデータプレーンＶＣＮ２１１８のインターネットゲートウェイ２１３４に通信可能に結合され得るＬＢサブネット２１２２を含むことができる。アプリサブネット２１２６は、データプレーンＶＣＮ２１１８のサービスゲートウェイ２１３６およびデータプレーンＶＣＮ２１１８のＮＡＴゲートウェイ２１３８に通信可能に結合されてもよい。また、データプレーンデータ層２１５０は、データプレーンアプリ層２１４６のアプリサブネット２１２６に通信可能に結合され得るＤＢサブネット２１３０を含むことができる。
制御プレーンＶＣＮ２１１６のインターネットゲートウェイ２１３４およびデータプレーンＶＣＮ２１１８のインターネットゲートウェイ２１３４は、パブリックインターネット２１５４に通信可能に結合され得るメタデータ管理サービス２１５２に通信可能に結合されてもよい。パブリックインターネット２１５４は、制御プレーンＶＣＮ２１１６のＮＡＴゲートウェイ２１３８およびデータプレーンＶＣＮ２１１８のＮＡＴゲートウェイ２１３８に通信可能に結合されてもよい。制御プレーンＶＣＮ２１１６のサービスゲートウェイ２１３６およびデータプレーンＶＣＮ２１１８のサービスゲートウェイ２１３６は、クラウドサービス２１５６に通信可能に結合されてもよい。
いくつかの例において、制御プレーンＶＣＮ２１１６またはデータプレーンＶＣＮ２１１８のサービスゲートウェイ２１３６は、パブリックインターネット２１５４を経由することなく、クラウドサービス２１５６へのアプリケーションプログラミングインターフェース（ＡＰＩ）呼び出しを行うことができる。サービスゲートウェイ２１３６からのクラウドサービス２１５６へのＡＰＩ呼び出しは、一方向であり得る。サービスゲートウェイ２１３６は、クラウドサービス２１５６へのＡＰＩ呼び出しを行うことができ、クラウドサービス２１５６は、要求データをサービスゲートウェイ２１３６に送信することができる。しかしながら、クラウドサービス２１５６は、サービスゲートウェイ２１３６へのＡＰＩ呼び出しを開始しないことがある。
いくつかの例において、セキュアホストテナンシ２１０４は、孤立であり得るサービステナンシ２１１９に直接に接続されてもよい。セキュアホストサブネット２１０８は、孤立のシステムとの双方向通信を可能にするＬＰＧ２１１０を介して、ＳＳＨサブネット２１１４と通信することができる。セキュアホストサブネット２１０８をＳＳＨサブネット２１１４に接続することによって、セキュアホストサブネット２１０８は、サービステナンシ２１１９内の他のエンティティにアクセスすることができる。
制御プレーンＶＣＮ２１１６は、サービステナンシ２１１９のユーザが所望のリソースを設定またはプロビジョニングすることを可能にする。制御プレーンＶＣＮ２１１６においてプロビジョニングされた所望のリソースは、データプレーンＶＣＮ２１１８において展開または使用されてもよい。いくつかの例において、制御プレーンＶＣＮ２１１６は、データプレーンＶＣＮ２１１８から隔離されてもよく、制御プレーンＶＣＮ２１１６のデータプレーンミラーアプリ層２１４０は、データプレーンミラーアプリ層２１４０およびデータプレーンアプリ層２１４６に含まれ得るＶＮＩＣ２１４２を介して、データプレーンＶＣＮ２１１８のデータプレーンアプリ層２１４６と通信することができる。
いくつかの例において、システムのユーザまたは顧客は、要求をメタデータ管理サービス２１５２に通信することができるパブリックインターネット２１５４を介して、例えば、作成、読み取り、更新、または削除（ＣＲＵＤ）操作などの要求を行うことができる。メタデータ管理サービス２１５２は、インターネットゲートウェイ２１３４を介して、要求を制御プレーンＶＣＮ２１１６に通信することができる。要求は、制御プレーンＤＭＺ層２１２０に含まれるＬＢサブネット２１２２によって受信されてもよい。ＬＢサブネット２１２２は、要求が有効であると判断することができ、この判断に応答して、ＬＢサブネット２１２２は、要求を制御プレーンアプリ層２１２４に含まれるアプリサブネット２１２６に送信することができる。要求が検証され、パブリックインターネット２１５４への呼び出しを必要とする場合、パブリックインターネット２１５４への呼び出しを、パブリックインターネット２１５４への呼び出しを行うことができるＮＡＴゲートウェイ２１３８に送信することができる。要求を記憶するためのメモリは、ＤＢサブネット２１３０に格納されてもよい。
いくつかの例において、データプレーンミラーアプリ層２１４０は、制御プレーンＶＣＮ２１１６とデータプレーンＶＣＮ２１１８との間の直接通信を容易にすることができる。例えば、構成に対する変更、更新、または他の適切な修正は、データプレーンＶＣＮ２１１８に含まれるリソースに適用されることが望ましい場合がある。制御プレーンＶＣＮ２１１６は、ＶＮＩＣ２１４２を介してデータプレーンＶＣＮ２１１８に含まれるリソースと直接に通信することができるため、構成に対する変更、更新、または他の適切な修正を実行することができる。
いくつかの実施形態において、制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８は、サービステナンシ２１１９に含まれてもよい。この場合、システムのユーザまたは顧客は、制御プレーンＶＣＮ２１１６またはデータプレーンＶＣＮ２１１８のいずれかを所有または操作しなくてもよい。代わりに、ＩａａＳプロバイダは、制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８を所有または操作してもよく、これらの両方は、サービステナンシ２１１９に含まれてもよい。この実施形態は、ネットワークの隔離を可能にすることによって、ユーザまたは顧客が他のユーザのリソースまたは他の顧客のリソースと対話することを防止できる。また、この実施形態は、システムのユーザまたは顧客が、記憶するための所望のレベルのセキュリティを有しない可能性のあるパブリックインターネット２１５４に依存する必要なく、データベースをプライベートに記憶することを可能にすることができる。
他の実施形態において、制御プレーンＶＣＮ２１１６に含まれるＬＢサブネット２１２２は、サービスゲートウェイ２１３６から信号を受信するように構成されてもよい。この実施形態において、制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８は、パブリックインターネット２１５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成されてもよい。顧客が使用するデータベースは、ＩａａＳプロバイダによって制御され、パブリックインターネット２１５４から隔離され得るサービステナンシ２１１９に格納され得るため、ＩａａＳプロバイダの顧客は、この実施形態を望む場合がある。
図２２は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの別の例示的なパラメータを示すブロック図２２００である。サービスオペレータ２２０２（例えば、図２１のサービスオペレータ２１０２）は、仮想クラウドネットワーク（ＶＣＮ）２２０６（例えば、図２１のＶＣＮ２１０６）およびセキュアホストサブネット２２０８（例えば、図２１のセキュアホストサブネット２１０８）を含み得るセキュアホストテナンシ２２０４（例えば、図２１のセキュアホストテナンシ２１０４）に通信可能に結合されてもよい。ＶＣＮ２２０６は、ＳＳＨ ＶＣＮ２２１２に含まれるＬＰＧ２１１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ２２１２（例えば、図２１のＳＳＨ ＶＣＮ２１１２）に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ）２２１０（例えば、図２１のＬＰＧ２１１０）を含むことができる。ＳＳＨ ＶＣＮ２２１２は、ＳＳＨサブネット２２１４（例えば、図２１のＳＳＨサブネット２１１４）を含むことができ、ＳＳＨ ＶＣＮ２２１２は、制御プレーンＶＣＮ２２１６に含まれるＬＰＧ２２１０を介して制御プレーンＶＣＮ２２１６（例えば、図２１の制御プレーンＶＣＮ２１１６）に通信可能に結合することができる。制御プレーンＶＣＮ２２１６は、サービステナンシ２２１９（例えば、図２１のサービステナンシ２１１９）に含まれてもよく、データプレーンＶＣＮ２２１８（例えば、図２１のデータプレーンＶＣＮ２１１８）は、システムのユーザまたは顧客によって所有または運営され得る顧客テナンシ２２２１に含まれてもよい。
制御プレーンＶＣＮ２２１６は、ＬＢサブネット２２２２（例えば、図２１のＬＢサブネット２１２２）を含むことができる制御プレーンＤＭＺティア２２２０（例えば、図２１の制御プレーンＤＭＺ層２１２０）と、アプリサブネット２２２６（例えば、図２１のアプリサブネット２１２６）を含むことができる制御プレーンアプリ層２２２４（例えば、図２１の制御プレーンアプリ層２１２４）と、データベース（ＤＢ）サブネット２２３０（例えば、図２１のＤＢサブネット２１３０と同様）を含むことができる制御プレーンデータティア２２２８（例えば、図２１の制御プレーンデータ層２１２８）とを含むことができる。制御プレーンＤＭＺ層２２２０に含まれるＬＢサブネット２２２２は、制御プレーンアプリ層２２２４に含まれるアプリサブネット２２２６と、制御プレーンＶＣＮ２２１６に含まれ得るインターネットゲートウェイ２２３４（例えば、図２１のインターネットゲートウェイ２１３４）とに通信可能に結合されてもよい。アプリサブネット２２２６は、制御プレーンデータ層２２２８に含まれるＤＢサブネット２２３０、サービスゲートウェイ２２３６（例えば、図２１のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２２３８（例えば、図２１のＮＡＴゲートウェイ２１３８）に通信可能に結合されてもよい。制御プレーンＶＣＮ２２１６は、サービスゲートウェイ２２３６およびＮＡＴゲートウェイ２２３８を含むことができる。
制御プレーンＶＣＮ２２１６は、アプリサブネット２２２６を含むことができるデータプレーンミラーアプリ層２２４０（例えば、図２１のデータプレーンミラーアプリ層２１４０）を含むことができる。データプレーンミラーアプリ層２２４０に含まれるアプリサブネット２２２６は、（例えば、図２１の計算インスタンス２１４４と同様の）計算インスタンス２２４４を実行することができる仮想ネットワークインターフェースコントローラ（ＶＮＩＣ）２２４２（例えば、ＶＮＩＣ２１４２）を含むことができる。計算インスタンス２２４４は、データプレーンミラーアプリ層２２４０に含まれるＶＮＩＣ２２４２およびデータプレーンアプリ層２２４６に含まれるＶＮＩＣ２２４２を介して、データプレーンミラーアプリ層２２４０のアプリサブネット２２２６と、データプレーンアプリ層２２４６（例えば、図２１のデータプレーンアプリ層２１４６）に含まれ得るアプリサブネット２２２６との間の通信を促進することができる。
制御プレーンＶＣＮ２２１６に含まれるインターネットゲートウェイ２２３４は、パブリックインターネット２２５４（例えば、図２１のパブリックインターネット２１５４）に通信可能に結合され得るメタデータ管理サービス２２５２（例えば、図２１のメタデータ管理サービス２１５２）に通信可能に結合されてもよい。パブリックインターネット２２５４は、制御プレーンＶＣＮ２２１６に含まれるＮＡＴゲートウェイ２２３８に通信可能に結合されてもよい。制御プレーンＶＣＮ２２１６に含まれるサービスゲートウェイ２２３６は、クラウドサービス２２５６（例えば、図２１のクラウドサービス２１５６）に通信可能に結合されてもよい。
いくつかの例において、データプレーンＶＣＮ２２１８は、顧客テナンシ２２２１に含まれてもよい。この場合、ＩａａＳプロバイダは、顧客ごとに制御プレーンＶＣＮ２２１６を提供することができ、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ２２１９に含まれる固有の計算インスタンス２２４４を構成することができる。各計算インスタンス２２４４は、サービステナンシ２２１９に含まれる制御プレーンＶＣＮ２２１６と、顧客テナンシ２２２１に含まれるデータプレーンＶＣＮ２２１８との間の通信を許可することができる。計算インスタンス２２４４は、サービステナンシ２２１９に含まれる制御プレーンＶＣＮ２２１６においてプロビジョニングされるリソースを、顧客テナンシ２２２１に含まれるデータプレーンＶＣＮ２２１８に展開することまたは使用することを許可することができる。
他の例において、ＩａａＳプロバイダの顧客は、顧客テナンシ２２２１に存在するデータベースを有することができる。この例において、制御プレーンＶＣＮ２２１６は、アプリサブネット２２２６を含むことができるデータプレーンマイナーアプリ層２２４０を含むことができる。データプレーンミラーアプリ層２２４０は、データプレーンＶＣＮ２２１８に存在してもよいが、データプレーンミラーアプリ層２２４０は、データプレーンＶＣＮ２２１８に存在しなくてもよい。すなわち、データプレーンミラーアプリ層２２４０は、顧客テナンシ２２２１にアクセスすることができるが、データプレーンミラーアプリ層２２４０は、データプレーンＶＣＮ２２１８に存在しなくてもよく、ＩａａＳプロバイダの顧客によって所有または運営されなくてもよい。データプレーンミラーアプリ層２２４０は、データプレーンＶＣＮ２２１８への呼び出しを行うように構成されてもよいが、制御プレーンＶＣＮ２２１６に含まれる任意のエンティティへの呼び出しを行うように構成されなくてもよい。顧客は、制御プレーンＶＣＮ２２１６にプロビジョニングされたデータプレーンＶＣＮ２２１８内のリソースを展開することまたは使用することを望むことができ、データプレーンミラーアプリケーション階層２２４０は、顧客のリソースの所望の展開または他の使用を促進することができる。
いくつかの実施形態において、ＩａａＳプロバイダの顧客は、フィルタをデータプレーンＶＣＮ２２１８に適用することができる。この実施形態において、顧客は、データプレーンＶＣＮ２２１８がアクセスできるものを決定することができ、顧客は、データプレーンＶＣＮ２２１８からのパブリックインターネット２２５４へのアクセスを制限することができる。ＩａａＳプロバイダは、データプレーンＶＣＮ２２１８から任意の外部ネットワークまたはデータベースへのアクセスにフィルタを適用するまたは制御することができない場合がある。顧客が顧客テナンシ２２２１に含まれるデータプレーンＶＣＮ２２１８にフィルタおよび制御を適用することは、データプレーンＶＣＮ２２１８を他の顧客およびパブリックインターネット２２５４から隔離することを支援することができる。
いくつかの実施形態において、クラウドサービス２２５６は、サービスゲートウェイ２２３６によって呼び出されて、パブリックインターネット２２５４上に、制御プレーンＶＣＮ２２１６上に、またはデータプレーンＶＣＮ２２１８上に存在していない可能性があるサービスにアクセスすることができる。クラウドサービス２２５６と制御プレーンＶＣＮ２２１６またはデータプレーンＶＣＮ２２１８との間の接続は、ライブまたは連続的でなくてもよい。クラウドサービス２２５６は、ＩａａＳプロバイダによって所有または運営されている別のネットワーク上に存在してもよい。クラウドサービス２２５６は、サービスゲートウェイ２２３６から呼び出しを受信するように構成されてもよく、パブリックインターネット２２５４から呼び出しを受信しないように構成されてもよい。いくつかのクラウドサービス２２５６は、他のクラウドサービス２２５６から隔離されてもよく、制御プレーンＶＣＮ２２１６は、制御プレーンＶＣＮ２２１６と同じ地域に配置していない可能性があるクラウドサービス２２５６から隔離されてもよい。例えば、制御プレーンＶＣＮ２２１６は、「地域１」に配置されてもよく、クラウドサービス「展開２１」は、「地域１」および「地域２」に配置されてもよい。展開２１への呼び出しが地域１に配置された制御プレーンＶＣＮ２２１６に含まれるサービスゲートウェイ２２３６によって行われる場合、この呼び出しは、地域１内の展開２１に送信されてもよい。この例において、制御プレーンＶＣＮ２２１６または地域１の展開２１は、地域２の展開２１と通信可能に結合されなくてもよい。
図２３は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図２３００である。サービスオペレータ２３０２（例えば、図２１のサービスオペレータ２１０２）は、仮想クラウドネットワーク（ＶＣＮ）２３０６（例えば、図２１のＶＣＮ２１０６）およびセキュアホストサブネット２３０８（例えば、図２１のセキュアホストサブネット２１０８）を含み得るセキュアホストテナンシ２３０４（例えば、図２１のセキュアホストテナンシ２１０４）に通信可能に結合されてもよい。ＶＣＮ２３０６は、ＳＳＨ ＶＣＮ２３１２に含まれるＬＰＧ２３１０を介してＳＳＨ ＶＣＮ２３１２（例えば、図２１のＳＳＨ ＶＣＮ２１１２）に通信可能に結合され得るＬＰＧ２３１０（例えば、図２１のＬＰＧ２１１０）を含むことができる。ＳＳＨ ＶＣＮ２３１２は、ＳＳＨサブネット２３１４（例えば、図２１のＳＳＨサブネット２１１４）を含むことができ、ＳＳＨ ＶＣＮ２３１２は、制御プレーンＶＣＮ２３１６に含まれるＬＰＧ２３１０を介して制御プレーンＶＣＮ２３１６（例えば、図２１の制御プレーンＶＣＮ２１１６）に通信可能に結合されてもよく、データプレーンＶＣＮ２３１８に含まれるＬＰＧ２３１０を介してデータプレーンＶＣＮ２３１８（例えば、図２１のデータプレーン２１１８）に通信可能に結合されてもよい。制御プレーンＶＣＮ２３１６およびデータプレーンＶＣＮ２３１８は、サービステナンシ２３１９（例えば、図２１のサービステナント２１１９）に含まれてもよい。
制御プレーンＶＣＮ２３１６は、ロードバランサ（ＬＢ）サブネット２３２２（例えば、図２１のＬＢサブネット２１２２）を含むことができる制御プレーンＤＭＺ層２３２０（例えば、図２１の制御プレーンＤＭＺ層２１２０）と、アプリサブネット２３２６（例えば、図２１のアプリサブネット２１２６と同様）を含むことができる制御プレーンアプリ層２３２４（例えば、図２１の制御プレーンアプリ層２１２４）と、ＤＢサブネット２３３０を含むことができる制御プレーンデータ層２３２８（例えば、図２１の制御プレーンデータ層２１２８）とを含むことができる。制御プレーンＤＭＺ層２３２０に含まれるＬＢサブネット２３２２は、制御プレーンアプリ層２３２４に含まれるアプリサブネット２３２６と、制御プレーンＶＣＮ２３１６に含まれ得るインターネットゲートウェイ２３３４（例えば、図２１のインターネットゲートウェイ２１３４）とに通信可能に結合されてもよい。アプリサブネット２３２６は、制御プレーンデータ層２３２８に含まれるＤＢサブネット２３３０と、サービスゲートウェイ２３３６（例えば、図２１のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２３３８（例えば、図２１のＮＡＴゲートウェイ２１３８）とに通信可能に結合されてもよい。制御プレーンＶＣＮ２３１６は、サービスゲートウェイ２３３６およびＮＡＴゲートウェイ２３３８を含むことができる。
データプレーンＶＣＮ２３１８は、データプレーンアプリ層２３４６（例えば、図２１のデータプレーンアプリ層２１４６）と、データプレーンＤＭＺ層２３４８（例えば、図２１のデータプレーンＤＭＺ層２１４８）と、データプレーンデータ層２３５０（例えば、図２１のデータプレーンデータ階層２１５０）とを含むことができる。データプレーンＤＭＺ層２３４８は、データプレーンＶＣＮ２３１８に含まれるデータプレーンアプリ層２３４６およびインターネットゲートウェイ２３３４の信頼できるアプリサブネット２３６０および信頼できないアプリサブネット２３６２に通信可能に結合され得るＬＢサブネット２３２２を含むことができる。信頼できるアプリサブネット２３６０は、データプレーンＶＣＮ２３１８に含まれるサービスゲートウェイ２３３６、データプレーンＶＣＮ２３１８に含まれるＮＡＴゲートウェイ２３３８、およびデータプレーンデータ層２３５０に含まれるＤＢサブネット２３３０に通信可能に結合されてもよい。信頼できないアプリサブネット２３６２は、データプレーンＶＣＮ２３１８に含まれるサービスゲートウェイ２３３６、およびデータプレーンデータ層２３５０に含まれるＤＢサブネット２３３０に通信可能に結合されてもよい。データプレーンデータ層２３５０は、データプレーンＶＣＮ２３１８に含まれるサービスゲートウェイ２３３６に通信可能に結合され得るＤＢサブネット２３３０を含むことができる。
信頼できないアプリサブネット２３６２は、テナント仮想マシン（ＶＭ）２３６６（１）～（Ｎ）に通信可能に結合され得る１つ以上のプライマリＶＮＩＣ２３６４（１）～（Ｎ）を含むことができる。各テナントＶＭ２３６６（１）～（Ｎ）は、それぞれの顧客テナンシ２３７０（１）～（Ｎ）に含まれ得るそれぞれのコンテナ送信ＶＣＮ２３６８（１）～（Ｎ）に含まれ得るそれぞれのアプリサブネット２３６７（１）～（Ｎ）に通信可能に結合されてもよい。それぞれのセカンダリＶＮＩＣ２３７２（１）～（Ｎ）は、データプレーンＶＣＮ２３１８に含まれる信頼できないアプリサブネット２３６２と、コンテナ送信ＶＣＮ２３６８（１）～（Ｎ）に含まれるアプリサブネットとの間の通信を促進することができる。各コンテナ送信ＶＣＮ２３６８（１）～（Ｎ）は、パブリックインターネット２３５４（例えば、図２１のパブリックインターネット２１５４）に通信可能に結合され得るＮＡＴゲートウェイ２３３８を含むことができる。
制御プレーンＶＣＮ２３１６に含まれるインターネットゲートウェイ２３３４およびデータプレーンＶＣＮ２３１８に含まれるインターネットゲートウェイ２３３４は、パブリックインターネット２３５４に通信可能に結合され得るメタデータ管理サービス２３５２（例えば、図２１のメタデータ管理システム２１５２）に通信可能に結合されてもよい。パブリックインターネット２３５４は、制御プレーンＶＣＮ２３１６に含まれるＮＡＴゲートウェイ２３３８およびデータプレーンＶＣＮ２３１８に含まれるＮＡＴゲートウェイ２３３８に通信可能に結合されてもよい。制御プレーンＶＣＮ２３１６に含まれるサービスゲートウェイ２３３６およびデータプレーンＶＣＮ２３１８に含まれるサービスゲートウェイ２３３６は、クラウドサービス２３５６に通信可能に結合されてもよい。
いくつかの実施形態において、データプレーンＶＣＮ２３１８は、顧客テナンシ２３７０に統合されてもよい。この統合は、コードを実行するときにサポートを望む場合がある場合などのいくつかの場合において、ＩａａＳプロバイダの顧客にとって有用または望ましい場合がある。顧客は、実行すると、破壊的であり得る、他の顧客リソースと通信し得る、または望ましくない影響を引き起こし得るコードを提供することがある。従って、ＩａａＳプロバイダは、顧客がＩａａＳプロバイダに提供したコードを実行するか否かを判断することができる。
いくつかの例において、ＩａａＳプロバイダの顧客は、一時的なネットワークアクセスをＩａａＳプロバイダに許可することができ、データプレーンアプリ層２３４６に追加する機能を要求することができる。機能を実行するためのコードは、ＶＭ２３６６（１）～（Ｎ）で実行されてもよいが、データプレーンＶＣＮ２３１８上の他の場所で実行されるように構成されることができない。各ＶＭ２３６６（１）～（Ｎ）は、１つの顧客テナンシ２３７０に接続されてもよい。ＶＭ２３６６（１）～（Ｎ）に含まれるそれぞれのコンテナ２３７１（１）～（Ｎ）は、コードを実行するように構成されてもよい。この場合、二重の隔離（例えば、コンテナ２３７１（１）～（Ｎ）は、コードを実行し、コンテナ２３７１（１）～（Ｎ）は、少なくとも、信頼できないアプリサブネット２３６２に含まれるＶＭ２３６６（１）～（Ｎ）に含まれ得る）が存在してもよく、これは、誤ったコードまたは望ましくないコードがＩａａＳプロバイダのネットワークに損傷を与えること、または異なる顧客のネットワークに損傷を与えることを防止することを支援することができる。コンテナ２３７１（１）～（Ｎ）は、顧客テナンシ２３７０に通信可能に結合されてもよく、顧客テナンシ２３７０からデータを送信または受信するように構成されてもよい。コンテナ２３７１（１）～（Ｎ）は、データプレーンＶＣＮ２３１８内の任意の他のエンティティからデータを送信または受信するように構成されなくてもよい。コードの実行が完了すると、ＩａａＳ提供者は、コンテナ２３７１（Ｉ）～（Ｎ）をキルするまたは廃棄することができる。
いくつかの実施形態において、信頼できるアプリサブネット２３６０は、ＩａａＳプロバイダによって所有または運営され得るコードを実行することができる。この実施形態において、信頼できるアプリサブネット２３６０は、ＤＢサブネット２３３０に通信可能に結合され、ＤＢサブネット２３３０においてＣＲＵＤ操作を実行するように構成されてもよい。信頼できないアプリサブネット２３６２は、ＤＢサブネット２３３０に通信可能に結合され得るが、この実施形態において、信頼できないアプリサブネットは、ＤＢサブネット２３３０内で読み取り操作を実行するように構成されてもよい。各顧客のＶＭ２３６６（１）～（Ｎ）に含まれ、顧客からのコードを実行することができるコンテナ２３７１（１）～（Ｎ）は、ＤＢサブネット２３３０と通信可能に結合されなくてもよい。
他の実施形態において、制御プレーンＶＣＮ２３１６およびデータプレーンＶＣＮ２３１８は、通信可能に直接に結合されなくてもよい。この実施形態において、制御プレーンＶＣＮ２３１６とデータプレーンＶＣＮ２３１８との間に直接的な通信は、存在しないことがある。しかしながら、少なくとも１つの方法による間接的な通信は、存在してもよい。制御プレーンＶＣＮ２３１６とデータプレーンＶＣＮ２３１８との間の通信を容易にすることができるＬＰＧ２３１０が、ＩａａＳプロバイダによって確立されてもよい。別の例において、制御プレーンＶＣＮ２３１６またはデータプレーンＶＣＮ２３１８は、サービスゲートウェイ２３３６を介してクラウドサービス２３５６への呼び出しを行うことができる。例えば、制御プレーンＶＣＮ２３１６からクラウドサービス２３５６への呼び出しは、データプレーンＶＣＮ２３１８と通信することができるサービスの要求を含むことができる。
図２４は、少なくとも１つの実施形態に従って、ＩａａＳアーキテクチャの別の例示的なパラメータを示すブロック図２４００である。サービスオペレータ２４０２（例えば、図２１のサービスオペレータ２１０２）は、仮想クラウドネットワーク（ＶＣＮ）２４０６（例えば、図２１のＶＣＮ２１０６）およびセキュアホストサブネット－２４０８（例えば、図２１のセキュアホストサブネット２１０８）を含み得るセキュアホストテナンシ２４０４（例えば、図２１のセキュアホストテナンシ２１０４）に通信可能に結合されてもよい。ＶＣＮ２４０６は、ＳＳＨ ＶＣＮ２４１２に含まれるＬＰＧ２４１０を介してＳＳＨ ＶＣＮ２４１２（例えば、図２１のＳＳＨ ＶＣＮ２１１２）に通信可能に結合され得るＬＰＧ２４１０（例えば、図２１のＬＰＧ２１１０）を含むことができる。ＳＳＨ ＶＣＮ２４１２は、ＳＳＨサブネット－２４１４（例えば、図２１のＳＳＨサブネット２１１４）を含むことができ、ＳＳＨ ＶＣＮ２４１２は、制御プレーンＶＣＮ２４１６に含まれるＬＰＧ２４１０を介して制御プレーンＶＣＮ２４１６（例えば、図２１の制御プレーンＶＣＮ２１１６）に通信可能に結合されてもよく、データプレーンＶＣＮ２４１８に含まれるＬＰＧ２４１０を介してデータプレーンＶＣＮ２４１８（例えば、図２１のデータプレーン２１１８）に通信可能に結合されてもよい。制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８は、サービステナンシ２４１９（例えば、図２１のサービステナンシ２１１９）に含まれてもよい。
制御プレーンＶＣＮ２４１６は、ＬＢサブネット２４２２（例えば、図２１のＬＢサブネット２１２２）を含み得る制御プレーンＤＭＺ層２４２０（例えば、図２１の制御プレーンＤＭＺ層２１２０）、アプリサブネット２４２６（例えば、図２１のアプリサブネット２１２６）を含み得る制御プレーンアプリ層２４２４（例えば、図２１の制御プレーンアプリ層２１２４）、ＤＢサブネット２４３０（例えば、図２３のＤＢサブネット２３３０）を含み得る制御プレーンデータティア２４２８（例えば、図２１の制御プレーンデータティア２１２８）を含むことができる。制御プレーンＤＭＺ層２４２０に含まれるＬＢサブネット２４２２は、制御プレーンアプリ層２４２４に含まれるアプリサブネット２４２６と、制御プレーンＶＣＮ２４１６に含まれ得るインターネットゲートウェイ２４３４（例えば、図２１のインターネットゲートウェイ２１３４）とに通信可能に結合されてもよい。アプリサブネット２４２６は、制御プレーンデータ層２４２８に含まれるＤＢサブネット２４３０と、サービスゲートウェイ２４３６（例えば、図２１のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２４３８（例えば、図２１のＮＡＴゲートウェイ２１３８）とに通信可能に結合されてもよい。制御プレーンＶＣＮ２４１６は、サービスゲートウェイ２４３６およびＮＡＴゲートウェイ２４３８を含むことができる。
データプレーンＶＣＮ２４１８は、データプレーンアプリ層２４４６（例えば、図２１のデータプレーンアプリ層２１４６）、データプレーンＤＭＺ層２４４８（例えば、図２１のデータプレーンＤＭＺ層２１４８）、およびデータプレーンデータ層２４５０（例えば、図２１のデータプレーンデータ層２１５０）を含むことができる。データプレーンＤＭＺ層２４４８は、データプレーンアプリ層２４４６の信頼できるアプリサブネット２４６０（例えば、図２３の信頼できるアプリサブネット２３６０）および信頼できないアプリサブネット２４６２（例えば、図２３の信頼できないアプリサブネット２３６２）およびデータプレーンＶＣＮ２４１８に含まれるインターネットゲートウェイ２４３４に通信可能に結合され得るＬＢサブネット２４２２を含むことができる。信頼できるアプリサブネット２４６０は、データプレーンＶＣＮ２４１８に含まれるサービスゲートウェイ２４３６、データプレーンＶＣＮ２４１８に含まれるＮＡＴゲートウェイ２４３８、およびデータプレーンデータ層２４５０に含まれるＤＢサブネット２４３０に通信可能に結合されてもよい。信頼できないアプリサブネット２４６２は、データプレーンＶＣＮ２４１８に含まれるサービスゲートウェイ２４３６、およびデータプレーンデータ層２４５０に含まれるＤＢサブネット２４３０に通信可能に結合されてもよい。データプレーンデータ層２４５０は、データプレーンＶＣＮ２４１８に含まれるサービスゲートウェイ２４３６に通信可能に結合され得るＤＢサブケット２４３０を含むことができる。
信頼できないアプリサブネット２４６２は、信頼できないアプリサブネット２４６２に常駐するテナント仮想マシン（ＶＭ）２４６６（１）～（Ｎ）に通信可能に結合され得るプライマリＹＮＩＣ２４６４（１）～（Ｎ）を含むことができる。各テナントＶＭ２４６６（１）～（Ｎ）は、それぞれのコンテナ２４６７（１）～（Ｎ）においてコードを実行することができ、コンテナ送信ＶＣＮ２４６８に含まれ得るデータプレーンアプリ層２４４６に含まれ得るアプリサブネット２４２６に通信可能に結合されてもよい。各セカンダリＶＮＩＣ２４７２（１）～（Ｎ）は、データプレーンＶＣＮ２４１８に含まれる信頼できないアプリサブネット２４６２とコンテナ送信ＶＣＮ２４６８に含まれるアプリサブネットとの間の通信を促進することができる。コンテナ送信ＶＣＮは、パブリックインターネット２４５４（例えば、図２１のパブリックインターネット２１５４）に通信可能に結合することができるＮＡＴゲートウェイ２４３８を含むことができる。
制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８に含まれるインターネットゲートウェイ２４３４は、パブリックインターネット２４５４に通信可能に結合され得るメタデータ管理サービス２４５２（例えば、図２１のメタデータ管理システム２１５２）に通信可能に結合されてもよい。パブリックインターネット２４５４は、制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８に含まれるＮＡＴゲートウェイ２４３８に通信可能に結合されてもよい。制御プレーンＶＣＮ２４１６およびデータプレーンＶＣＮ２４１８に含まれるサービスゲートウェイ２４３６は、クラウドサービス２４５６に通信可能に結合されてもよい。
いくつかの例において、図２４のブロック図２４００のアーキテクチャによって示されたパターンは、図２３のブロック図２３００のアーキテクチャによって示されたパターンの例外と考えられ、ＩａａＳプロバイダが顧客と直接に通信できない（例えば、非接続地域）場合、ＩａａＳプロバイダの顧客にとって望ましいことがある。顧客は、各顧客のＶＭ２４６６（１）～（Ｎ）に含まれるそれぞれのコンテナ２４６７（１）～（Ｎ）にリアルタイムでアクセスすることができる。コンテナ２４６７（１）～（Ｎ）は、コンテナ送信ＶＣＮ２４６８に含まれ得るデータプレーンアプリ層２４４６のアプリサブネット２４２６に含まれるそれぞれのセカンダリＶＮＩＣ２４７２（１）～（Ｎ）を呼び出すように構成されてもよい。セカンダリＶＮＩＣ２４７２（１）～（Ｎ）は、パブリックインターネット２４５４に呼び出しを送信することができるＮＡＴゲートウェイ２４３８に呼び出しを送信することができる。この例において、顧客がリアルタイムでアクセスできるコンテナ２４６７（１）～（Ｎ）は、制御プレーンＶＣＮ２４１６から隔離されてもよく、データプレーンＶＣＮ２４１８に含まれる他のエンティティから隔離されてもよい。また、コンテナ２４６７（１）～（Ｎ）は、他の顧客のリソースから隔離されてもよい。
他の例において、顧客は、コンテナ２４６７（１）～（Ｎ）を使用して、クラウドサービス２４５６を呼び出すことができる。この例では、顧客は、コンテナ２４６７（１）～（Ｎ）において、クラウドサービス２４５６からサービスを要求するコードを実行することができる。コンテナ２４６７（１）～（Ｎ）は、要求をパブリックインターネット２４５４に送信することができるＮＡＴゲートウェイに要求を送信することができるセカンダリＶＮＩＣ２４７２（１）～（Ｎ）にこの要求を送信することができる。パブリックインターネット２４５４は、インターネットゲートウェイ２４３４を介して、制御プレーンＶＣＮ２４１６に含まれるＬＢサブネット２４２２にこの要求を送信することができる。要求が有効であるとの判断に応答して、ＬＢサブネットは、この要求をアプリサブネット２４２６に送信することができ、アプリサブネット２４２６は、サービスゲートウェイ２４３６を介して、この要求をクラウドサービス２４５６に要求を送信することができる。
なお、図示されたＩａａＳアーキテクチャ２１００、２２００、２３００および２４００は、図示されたもの以外の要素を含んでもよい。また、図示された実施形態は、本開示の実施形態を組み込むことができるクラウドインフラストラクチャシステムの一部の例に過ぎない。他のいくつかの実施形態において、ＩａａＳシステムは、図示されたものよりも多いまたは少ない要素を有してよく、２つ以上の要素を組み合わせてよく、または要素の異なる構成または配置を有してよい。
特定の実施形態において、本明細書に記載されたＩａａＳシステムは、セルフサービス、サブスクリプションベース、柔軟な拡張可能性、信頼性、高可用性、および安全な方法で顧客に提供されるアプリケーション、ミドルウェア、およびデータベースサービスのスイートを含むことができる。このようなＩａａＳシステムの一例は、本出願人によって提供されたオラクル（登録商標）クラウドインフラストラクチャ（ＯＣＩ）である。
図２５は、様々な実施形態が実装され得る例示的なコンピュータシステム２５００を示す。システム２５００は、上述したコンピュータシステムのいずれかを実装するために使用されてもよい。図示のように、コンピュータシステム２５００は、バスサブシステム２５０２を介して多数の周辺サブシステムと通信する処理ユニット２５０４を含む。これらの周辺サブシステムは、処理加速ユニット２５０６、Ｉ／Ｏサブシステム２５０８、記憶サブシステム２５１８、および通信サブシステム２５２４を含んでもよい。記憶サブシステム２５１８は、有形のコンピュータ可読記憶媒体２５２２およびシステムメモリ２５１０を含む。
バスサブシステム２５０２は、コンピュータシステム２５００の様々な構成要素およびサブシステムを意図したように相互に通信させるための機構を提供する。バスサブシステム２５０２は、単一のバスとして概略的に示されているが、バスサブシステムの代替的な実施形態は、複数のバスを利用してもよい。バスサブシステム２５０２は、メモリバスまたはメモリコントローラ、周辺バス、および様々なバスアーキテクチャのいずれかを使用するローカルバスを含む、いくつかの種類のバス構造のいずれかであってもよい。例えば、このようなアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）、バス拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオ電子標準協会（ＶＥＳＡ）ローカルバス、およびＩＥＥＥ Ｐ１３８６．１標準に準拠して製造されたメザニンバスとして実装できる周辺機器相互接続（ＰＣＩ）バスなどを含むことができる。
１つ以上の集積回路（例えば、従来のマイクロプロセッサまたはマイクロコントローラ）として実装され得る処理ユニット２５０４は、コンピュータシステム２５００の動作を制御する。処理ユニット２５０４は、１つ以上のプロセッサを含んでもよい。これらのプロセッサは、シングルコアまたはマルチコアプロセッサを含んでもよい。いくつかの実施形態において、処理ユニット２５０４は、各処理ユニットに含まれるシングルコアまたはマルチコアプロセッサを有する１つ以上の独立した処理ユニット２５３２および／または２５３４として実装されてもよい。他の実施形態において、処理ユニット２５０４は、２つのデュアルコアプロセッサを単一のチップに統合することによって形成されたクワッドコア（quad-core）処理ユニットとして実装されてもよい。
様々な実施形態において、処理ユニット２５０４は、プログラムコードに応答して様々なプログラムを実行することができ、同時に実行する複数のプログラムまたはプロセスを維持することができる。任意の時点で、実行されるプログラムコードの一部または全部は、プロセッサ２５０４および／または記憶サブシステム２５１８に常駐することができる。プロセッサ２５０４は、適切なプログラミングを通して、上述した様々な機能性を提供することができる。コンピュータシステム２５００は、デジタル信号プロセッサ（ＤＳＰ）、専用プロセッサおよび／または同種のものを含むことができる処理加速ユニット２５０６をさらに含んでもよい。
Ｉ／Ｏサブシステム２５０８は、ユーザインターフェース入力装置と、ユーザインターフェース出力装置とを含むことができる。ユーザインターフェース入力装置は、キーボード、マウスまたはトラックボールなどのポインティング装置、ディスプレイに組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声命令認識システムを備える音声入力装置、マイクロフォン、および他の種類の入力装置を含んでもよい。また、ユーザインターフェース入力装置は、例えば、Microsoft Kinect（登録商標）モーションセンサのようなモーション検知および／またはジェスチャ認識装置を含んでもよい。Microsoft Kinect（登録商標）モーションセンサは、ジェスチャおよび音声命令を利用する自然ユーザインターフェース（NUI）を介して、Microsoft Xbox（登録商標）３６０ゲームコントローラなどの入力装置を制御することができ、それと対話することができる。また、ユーザインターフェース入力装置は、Google Glass（登録商標）瞬き検出器のような眼球ジェスチャ認識装置を含むことができる。Google Glass（登録商標）瞬き検出器は、ユーザの眼球活動（例えば、写真を撮るときおよび／またはメニューを選択するときの「瞬き」）を検出し、眼球活動を入力装置（例えば、Google Glass（登録商標））に入力する入力に変換する。さらに、ユーザインターフェース入力装置は、音声命令を介してユーザと音声認識システム（例えば、Siri（登録商標）ナビゲータ）との対話を可能にする音声認識検出装置を含んでもよい。
また、ユーザインターフェース入力装置は、三次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッド、グラフィックタブレット、スピーカなどのオーディオ／ビジュアル装置、デジタルカメラ、デジタルビデオカメラ、ポータブルメディアプレーヤ、ウェブカメラ、イメージスキャナ、指紋スキャナ、バーコードリーダ、３Ｄスキャナ、３Ｄプリンタ、レーザ距離計、および視線追跡装置を含むがこれらに限定されない。さらに、ユーザインターフェース入力装置は、例えば、コンピュータ断層撮影装置、磁気共鳴像装置、超音波放射断層撮影装置、または医療用超音波装置などのような医用画像入力装置を含んでもよい。また、ユーザインターフェース入力装置は、例えば、ＭＩＤＩキーボードおよび電子楽器などの音声入力装置を含んでもよい。
ユーザインターフェース出力装置は、ディスプレイサブシステム、インジケータライト、またはオーディオ出力装置などの非視覚ディスプレイを含んでもよい。ディスプレイサブシステムは、例えば、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを使用するフラットパネル装置、投射装置またはタッチスクリーンであってもよい。一般に、「出力装置」という用語を使用する場合、コンピュータシステム２５００から情報をユーザまたは他のコンピュータに出力するためのすべての可能な種類の装置および機構を含むことを意図している。例えば、ユーザインターフェース出力装置は、文字、画像およびオーディオ／ビデオ情報を視覚的に伝達するさまざまな表示装置、例えば、モニタ、プリンタ、スピーカ、ヘッドフォン、カーナビゲーションシステム、プロッタ、音声出力装置、およびモデムを含むがこれらに限定されない。
コンピュータシステム２５００は、記憶サブシステム２５１８を含むことができる。記憶サブシステム２５１８は、ソフトウェア要素を備え、図示では、これらのソフトウェア要素は、システムメモリ２５１０内に配置されている。システムメモリ２５１０は、処理ユニット２５０４にロード可能かつ実行可能なプログラム命令、およびこれらのプログラムの実行により生成されたデータを記憶することができる。
コンピュータシステム２５００の構成およびタイプに応じて、システムメモリ２５１０は、揮発性メモリ（例えば、ランダムアクセスメモリ（random access memory：ＲＡＭ））であってもよく、および／または、不揮発性メモリ（例えば、読取り専用メモリ（read-only memory：ＲＯＭ）、フラッシュメモリ）であってもよい。一般に、ＲＡＭは、処理ユニット２５０４がすぐにアクセス可能なデータおよび／またはプログラムモジュール、および／または、処理ユニット２５０４によって現在操作および実行されているデータおよび／またはプログラムモジュールを収容する。いくつかの実現例では、システムメモリ２５１０は、スタティックランダムアクセスメモリ（static random access memory：ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（dynamic random access memory：ＤＲＡＭ）などの複数の異なるタイプのメモリを含み得る。いくつかの実現例では、始動中などにコンピュータシステム２５００内の要素間で情報を転送することを助ける基本ルーチンを含む基本入力／出力システム（basic input/output system：ＢＩＯＳ）が、一般にＲＯＭに格納され得る。一例としておよび非限定的に、システムメモリ２５１０は、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（relational database management system：ＲＤＢＭＳ）などを含み得るアプリケーションプログラム２５１２、プログラムデータ２５１４およびオペレーティングシステム２５１６も示す。一例として、オペレーティングシステム２５１６は、マイクロソフトウィンドウズ（登録商標）、Apple Macintosh（登録商標）および／もしくはＬｉｎｕｘ（登録商標）オペレーティングシステムのさまざまなバージョン、さまざまな市販のＵＮＩＸ（登録商標）もしくはＵＮＩＸライクオペレーティングシステム（さまざまなＧＮＵ／Ｌｉｎｕｘオペレーティングシステム、Google Chrome（登録商標）ＯＳなどを含むが、これらに限定されるものではない）、および／または、ｉＯＳ、Windows（登録商標）フォン、アンドロイド（登録商標）ＯＳ、ブラックベリー（登録商標）２５ ＯＳおよびパーム（登録商標）ＯＳオペレーティングシステムなどのモバイルオペレーティングシステムを含み得る。
また、記憶サブシステム２５１８は、いくつかの実施例の機能を提供する基本的なプログラミングおよびデータ構造を格納するための有形のコンピュータ可読記憶媒体を提供することができる。プロセッサによって実行されたときに上記の機能を提供するソフトウェア（プログラム、コードモジュール、命令）は、記憶サブシステム２５１８に記憶されてもよい。これらのソフトウェアモジュールまたは命令は、処理ユニット２５０４によって実行されてもよい。また、記憶サブシステム２５１８は、本開示に従って使用されるデータを記憶するためのリポジトリを提供することができる。
また、記憶サブシステム２５００は、コンピュータ可読記憶媒体２５２２にさらに接続可能なコンピュータ可読記憶媒体リーダ２５２０を含むことができる。コンピュータ可読記憶媒体２５２２は、システムメモリ２５１０とともに、または必要に応じてシステムメモリ２５１０と組み合わせて、コンピュータ可読情報を一時的におよび／または永久に収容、格納、送信および検索するための記憶媒体に加えて、リモート記憶装置、ローカル記憶装置、固定的な記憶装置および／または取外し可能な記憶装置を包括的に表すことができる。
また、コードまたはコードの一部を含むコンピュータ可読記憶媒体２５２２は、当該技術分野において公知のまたは使用される任意の適切な媒体を含んでもよい。当該媒体は、情報の格納および／または送信のための任意の方法または技術において実現される揮発性および不揮発性の、取外し可能および取外し不可能な媒体などであるが、これらに限定されるものではない記憶媒体および通信媒体を含む。これは、ＲＡＭ、ＲＯＭ、電子的消去・プログラム可能ＲＯＭ（electronically erasable programmable ROM：ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（digital versatile disk：ＤＶＤ）、または他の光学式記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または他の有形のコンピュータ可読媒体などの有形のコンピュータ可読記憶媒体を含むことができる。また、これは、データ信号、データ送信などの無形のコンピュータ可読媒体、または、所望の情報を送信するために使用可能であり且つコンピュータシステム２５００によってアクセス可能なその他の媒体を含むことができる。
一例として、コンピュータ可読記憶媒体２５２２は、取外し不可能な不揮発性磁気媒体から読取るまたは当該媒体に書込むハードディスクドライブ、取外し可能な不揮発性磁気ディスクから読取るまたは当該ディスクに書込む磁気ディスクドライブ、ならびに、ＣＤ ＲＯＭ、ＤＶＤおよびブルーレイ（登録商標）ディスクまたは他の光学式媒体などの取外し可能な不揮発性光学ディスクから読取るまたは当該ディスクに書込む光学式ディスクドライブを含んでもよい。コンピュータ可読記憶媒体２５２２は、ジップ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（universal serial bus：ＵＳＢ）フラッシュドライブ、セキュアデジタル（secure digital：ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得るが、これらに限定されるものではない。また、コンピュータ可読記憶媒体２５２２は、フラッシュメモリベースのＳＳＤ、企業向けフラッシュドライブ、ソリッドステートＲＯＭなどの不揮発性メモリに基づくソリッドステートドライブ（solid-state drive：ＳＳＤ）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭなどの揮発性メモリに基づくＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（magnetoresistive RAM：ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭとフラッシュメモリベースのＳＳＤとの組み合わせを使用するハイブリッドＳＳＤを含んでもよい。ディスクドライブおよびそれらの関連のコンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュールおよび他のデータの不揮発性記憶装置をコンピュータシステム２５００に提供することができる。
通信サブシステム２５２４は、他のコンピュータシステムおよびネットワークとのインターフェースを提供する。通信サブシステム２５２４は、他のシステムからデータを受信したり、コンピュータシステム２５００から他のシステムにデータを送信するためのインターフェースの役割を果たす。例えば、通信サブシステム２５２４は、コンピュータシステム２５００がインターネットを介して１つ以上の装置に接続することを可能にし得る。いくつかの実施例では、通信サブシステム２５２４は、（例えば３Ｇ、４ＧまたはＥＤＧＥ（enhanced data rates for global evolution）などの携帯電話技術、高度データネットワーク技術を用いて）無線音声および／またはデータネットワークにアクセスするための無線周波数（radio frequency：ＲＦ）トランシーバ構成要素、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリ標準または他のモバイル通信技術またはそれらの任意の組み合わせ）、全地球測位システム（global positioning system：ＧＰＳ）レシーバ構成要素、および／または、他の構成要素を含んでもよい。いくつかの実施例では、通信サブシステム２５２４は、無線インターフェースに加えて、または無線インターフェースの代わりに、有線ネットワーク接続（例えばイーサネット）を提供することができる。
また、いくつかの実施例において、通信サブシステム２５２４は、コンピュータシステム２５００を使用し得る１人以上のユーザを代表して、構造化されたおよび／または構造化されていないデータフィード２５２６、イベントストリーム２５２８、イベント更新２５３０などの形態で入力通信を受信することができる。
一例として、通信サブシステム２５２４は、ツイッター（登録商標）フィード、フェースブック（登録商標）更新、リッチ・サイト・サマリ（Rich Site Summary：ＲＳＳ）フィードなどのウェブフィードなどのデータフィード２５２６をリアルタイムでソーシャルネットワークおよび／または他の通信サービスのユーザから受信し、および／または、１つ以上の第三者情報源からリアルタイム更新を受信するように構成されてもよい。
また、通信サブシステム２５２４は、連続的なデータストリームの形態でデータを受信するように構成され得て、当該データは、連続的である場合もあれば本質的に明確な端部を持たない状態で境界がない場合もあるリアルタイムイベントのイベントストリーム２５２８および／またはイベント更新２５３０を含んでもよい。連続的なデータを生成するアプリケーションの例としては、例えばセンサデータアプリケーション、金融ティッカ、ネットワーク性能測定ツール（例えばネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通モニタリングなどを含んでもよい。
また、通信サブシステム２５２４は、構造化されたおよび／または構造化されていないデータフィード２５２６、イベントストリーム２５２８、イベント更新２５３０などを、コンピュータシステム２５００に結合された１つ以上のストリーミングデータソースコンピュータと通信し得る１つ以上のデータベースに出力するように構成されてもよい。
コンピュータシステム２５００は、手持ち式携帯機器（例えば、iPhone（登録商標）携帯電話、Ipad（登録商標）計算タブレット、ＰＤＡ）、ウェアラブル装置（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラックまたはその他のデータ処理システムを含む様々な種類のうちの１つであってもよい。
前述の説明において、説明の目的で、本開示の実施例を完全に理解できるようにするために、具体的な詳細を記載する。しかしながら、これらの具体的な詳細がなくても、様々な実施例を実施できることは明らかであろう。以下の説明は、例のみを提供し、本開示の範囲、適用性、または構成を制限することを意図していない。むしろ、実施例の以下の説明は、実施例を実施するための可能な説明を当業者に提供するものである。添付の特許請求の範囲に規定される本開示の精神及び範囲から逸脱することなく、要素の機能および配置に様々な変更を加えることができることを理解されたい。図面および説明は、制限的であることを意図していない。回路、システム、ネットワーク、プロセス、および他の構成要素は、不必要な詳細で実施例を不明瞭にしないために、ブロック図の形態で構成要素として示されてもよい。他の実施例では、周知の回路、プロセス、アルゴリズム、構造、および技術は、実施例を不明瞭にしないために、不必要な詳細なしに示されてもよい。本開示の教示は、モバイルアプリケーション、非モバイルアプリケーション、デスクトップアプリケーション、ウェブアプリケーション、エンタープライズアプリケーションなどの様々な種類のアプリケーションに適用することもできる。また、本開示の教示は、特定の動作環境（例えば、オペレーティングシステム、デバイス、プラットフォームなど）に限定されるものではなく、複数の異なる動作環境に適用することができる。
また、留意すべきことは、各々の実施例は、フローチャート、フロー図、データフロー図、構造図、またはブロック図として示された処理として説明されていることである。フローチャートは、操作を順次処理として説明しているが、多くの操作は、並行でまたは同時に実行することができる。さらに、操作の順序を再配置してもよい。処理は、その操作が完了した時点で終了するが、図に示されていない追加のステップを含んでもよい。処理は、メソッド、関数、プロシージャ、サブルーチン、サブプログラムなどに対応することができる。処理が関数に対応する場合、その終了は、呼び出し関数またはメイン関数の戻りに対応することができる。
「例」および「例示的」という用語は、本明細書において、「例、事例、または例示として役立つ」という意味で使用される。本明細書において「例示的」または「例」として説明された任意の実施形態または設計は、必ずしも他の実施形態または設計よりも好ましいまたは有利であると解釈されるべきではない。
「機械可読記憶媒体」または「コンピュータ可読記憶媒体」という用語は、携帯型または非携帯型の記憶装置、光記憶装置、ならびに命令および／またはデータを記憶、格納、または搬送することができる様々な他の媒体を含むが、これらに限定されない。機械可読記憶媒体またはコンピュータ可読記憶媒体は、データを記憶することができ、無線または有線接続を介して伝搬する搬送波および／または一時的な電子信号を含まない非一時的な媒体を含んでもよい。非一時的な媒体の例は、磁気ディスクまたはテープ、コンパクトディスク（ＣＤ）またはデジタル多用途ディスク（ＤＶＤ）などの光記憶媒体、フラッシュメモリ、メモリまたはメモリ装置を含み得るが、これらに限定されない。コンピュータプログラム製品は、プロシージャ、関数、サブプログラム、プログラム、ルーチン、サブルーチン、モジュール、ソフトウェアパッケージ、クラス、命令、データ構造、またはプログラム文の任意の組み合わせを表し得るコードおよび／または機械実行可能命令を含んでもよい。コードセグメントは、情報、データ、引数、パラメータ、またはメモリ内容を転送および／または受取ることによって、別のコードセグメントまたはハードウェア回路に結合されてもよい。情報、引数、パラメータおよびデータなどは、メモリ共有、メッセージ転送、トークン転送、ネットワーク送信などの任意の適切な手段を介して、伝達され、転送され、または送信されてもよい。
さらに、実施形態は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語、またはそれらの任意の組み合わせによって実施されてもよい。ソフトウェア、ファームウェア、ミドルウェアまたはマイクロコードに実施される場合、必要な作業を実行するプログラムコードまたはコードセグメント（たとえばコンピュータプログラム製品）は、機械可読媒体に記憶されてもよい。プロセッサは、必要な作業を実行することができる。一部の図面に示されたシステムは、様々な構成で提供されてもよい。いくつかの例において、システムは、システムの１つ以上の要素がクラウドコンピューティングシステム内の１つ以上のネットワークにわたって分散される分散システムとして構成されてもよい。要素が特定の動作を実行するように「構成されている」として説明される場合、このような構成は、例えば、動作を実行するように電子回路または他のハードウェアを設計することによって、動作を実行するように電子回路（例えば、マイクロプロセッサまたは他の適切な電子回路）をプログラミングまたは制御することによって、またはそれらの任意の組み合わせによって達成されてもよい。
本開示の特定の実施形態を説明してきたが、さまざまな変更、改変、代替構成、および同等物も本開示の範囲内に包含される。本開示の実施形態は、特定のデータ処理環境内で動作するのに限定されず、複数のデータ処理環境内で自由に動作することができる。さらに、一連の特定の処置およびステップを用いて本開示の実施形態を説明してきたが、本開示の範囲が説明された一連の処置およびステップに限定されないことは、当業者にとって明らかであろう。上述した実施形態のさまざまな特徴および態様は、個別にまたは共同で使用することができる。
さらに、ハードウェアおよびソフトウェアの特定の組み合わせを用いて本開示の実施形態を説明してきたが、ハードウェアおよびソフトウェアの他の組み合わせも本開示の範囲内に含まれることを認識すべきである。ハードウェアのみ、ソフトウェアのみ、またはそれらの組み合わせを用いて、本開示の実施形態を実現することができる。本開示に記載されたさまざまなプロセスは、同一のプロセッサまたは任意の組み合わせの異なるプロセッサ上で実行することができる。したがって、特定の処理を実行するように構成要素またはモジュールを構成すると説明する場合、その構成は、例えば、その処理を実行するように電子回路を設計することによって、その処理を実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの組み合わせによって実現することができる。プロセスは、プロセス間の通信を行う従来技術を含むがこれに限定されないさまざまな技術を用いて通信を行うことができる。異なる対のプロセスは、異なる技術を使用することができ、または同一対のプロセスは、異なる時間で異なる技術を使用することができる。
したがって、明細書および図面は、限定的な意味ではなく例示的な意味であるとみなすべきである。しかしながら、特許請求の範囲により定められた幅広い主旨および範囲から逸脱することなく、追加、削減、削除および他の修飾および変更を行ってもよいことは、明らかであろう。したがって、本開示の特定の実施形態を説明したが、これらの実施形態は、限定することを意図していない。さまざまな変更およびその等価物は、添付の特許請求の範囲に含まれる。
本開示を説明する文脈に（特に特許請求の範囲の文脈に）使用された不定冠詞「a」／「an」、定冠詞「the」および同様の参照は、本明細書に特に明記しない限りまたは内容上明らかに他の意味を示す場合を除き、単数および複数の両方を含むように解釈すべきである。用語「含む（comprising）」、「有する（having）」、「含む（including）」、および「含有する（containing）」は、特に明記しない限り、非限定的な用語（すなわち、「含むがこれに限定されない」という意味）として解釈されるべきである。「接続されている」という用語は、たとえ何かが介在していても、その一部または全部が内部に含まれている、取り付けられている、または一緒に結合されていると解釈されるべきである。本明細書において、値の範囲の列挙は、単にその範囲内に含まれる各個別の値を各々言及する速記方法として意図され、本明細書に特に明記しない限り、各個別の値は、本明細書に個別に記載されるように、本明細書に組み込まれる。本明細書に特に明記しない限りまたは内容上明らかに他の意味を示す場合を除き、本明細書に記載の全ての方法は、任意の適切な順序で行うことができる。本明細書において、任意の例および全ての例または例示的な言語（例えば、「～のような」）の使用は、本開示の実施形態をより明瞭にするよう意図されており、特に明記しない限り、本開示の範囲を限定するものではない。明細書内の用語は、本開示の実施に不可欠な任意の非請求要素を示すものと解釈すべきではない。
句「Ｘ、Ｙ、またはＺの少なくとも１つ」というフレーズのような選言的言語は、特に断らない限り、項目、用語などがＸ、ＹもしくはＺ、またはそれらの任意の組み合わせ（例えば、Ｘ、Ｙ、および／またはＺ）のいずれかであってもよいことを示すために一般的に用いられるものとして文脈内で理解されることを意図している。したがって、このような選言的言語は、特定の実施形態が、Ｘの少なくとも１つ、Ｙの少なくとも１つ、またはＺの少なくとも１つが存在することを必要とすることを一般に意図しておらず、また、それを暗示していない。
本開示の実施形態の例は、以下の項に照らして説明することができる：
項１．方法であって、ネットワーク仮想化デバイス上でホストされる仮想ネットワークインターフェースカードが、上記仮想ネットワークインターフェースカードと関連付けられる計算インスタンスから第１のパケットを受信することと、上記仮想ネットワークインターフェースカードが、仮想ネットワーク上で上記第１のパケットを送信するためのフロー情報が上記ネットワーク仮想化デバイスのメモリから利用不可である、と判断することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、ネットワークインターフェースサービスに上記第１のパケットを送信することとを含み、上記ネットワークインターフェースサービスは、上記仮想ネットワーク上でパケットを送信するための構成情報を維持し、上記構成情報に基づいて、上記仮想ネットワーク上で上記第１のパケットを送信するよう構成され、上記方法はさらに、上記ネットワーク仮想化デバイスが、上記ネットワークインターフェースサービスから上記フロー情報を受信することを含み、上記フロー情報は上記構成情報のサブセットであり、上記方法はさらに、上記ネットワーク仮想化デバイスが、上記フロー情報を上記メモリに記憶することを含む、方法。
項１．方法であって、ネットワーク仮想化デバイス上でホストされる仮想ネットワークインターフェースカードが、上記仮想ネットワークインターフェースカードと関連付けられる計算インスタンスから第１のパケットを受信することと、上記仮想ネットワークインターフェースカードが、仮想ネットワーク上で上記第１のパケットを送信するためのフロー情報が上記ネットワーク仮想化デバイスのメモリから利用不可である、と判断することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、ネットワークインターフェースサービスに上記第１のパケットを送信することとを含み、上記ネットワークインターフェースサービスは、上記仮想ネットワーク上でパケットを送信するための構成情報を維持し、上記構成情報に基づいて、上記仮想ネットワーク上で上記第１のパケットを送信するよう構成され、上記方法はさらに、上記ネットワーク仮想化デバイスが、上記ネットワークインターフェースサービスから上記フロー情報を受信することを含み、上記フロー情報は上記構成情報のサブセットであり、上記方法はさらに、上記ネットワーク仮想化デバイスが、上記フロー情報を上記メモリに記憶することを含む、方法。
項２．上記仮想ネットワークインターフェースカードが、上記計算インスタンスから第２のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記フロー情報が上記仮想ネットワーク上で上記第２のパケットを送信するために上記メモリから利用可能である、と判断することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記フロー情報に基づいて上記仮想ネットワーク上で上記第２のパケットを送信することとをさらに含む、項１に記載の方法。
項３．上記構成情報は、１つ以上のパケットフローのためのセキュリティポリシー、オーバーレイ対基板インターネットプロトコル（ＩＰ）アドレスマッピング、およびルートルールを含み、上記フロー情報は、あるセキュリティポリシー、あるオーバーレイ対基板ＩＰアドレスマッピング、またはあるルートルールのうちの少なくとも１つを含む、項１および２のいずれか１項に記載の方法。
項４．上記フロー情報は、キャッシュエントリとして受信され、上記仮想ネットワークインターフェースカードに関連付けられるキャッシュに記憶され、上記フロー情報は、キャッシュミスに基づいて利用不可である、と判断される、項１～３のいずれか１項に記載の方法。
項５．上記ネットワーク仮想化デバイスが上記ネットワークインターフェースサービスから、上記フロー情報のバージョンのインジケータを受信することと、上記ネットワーク仮想化デバイスが、上記インジケータを上記キャッシュに記憶することとをさらに含む、項４に記載の方法。
項６．上記フロー情報は複数の部分を含み、上記方法はさらに、上記ネットワーク仮想化デバイスが上記ネットワークインターフェースサービスから、上記フロー情報の部分ごとにバージョンのインジケータを受信することと、上記ネットワーク仮想化デバイスが、上記インジケータを上記キャッシュに記憶することとを含む、項４に記載の方法。
項７．上記方法はさらに、上記ネットワーク仮想化デバイスが、上記フロー情報に関連付けられるバージョン情報を記憶することを含み、上記バージョン情報は上記メモリに記憶され、上記方法はさらに、上記仮想ネットワークインターフェースカードが、上記計算インスタンスから第２のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記フロー情報が上記仮想ネットワーク上で上記第２のパケットを送信するために利用可能である、と判断することと、上記仮想ネットワークインターフェースカードが、上記バージョン情報に基づいて、上記フロー情報の少なくとも一部は古い、と判断することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記第２のパケットを上記ネットワークインターフェースサービスに送信することとを含む、項１～６のいずれか１項に記載の方法。
項８．上記方法はさらに、上記ネットワーク仮想化デバイスが、更新されたフロー情報および更新されたバージョン情報を受信することを含み、上記更新されたフロー情報は、上記フロー情報の少なくとも上記一部を置き換える更新を含み、上記方法はさらに、上記ネットワーク仮想化デバイスが、上記更新されたフロー情報および上記更新されたバージョン情報を上記メモリに記憶することと、上記仮想ネットワークインターフェースカードが、上記計算インスタンスから第３のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記更新されたフロー情報および上記更新されたバージョン情報に基づいて、上記仮想ネットワーク上で上記第３のパケットを送信することとをさらに含む、項７に記載の方法。
項９．上記方法はさらに、上記ネットワーク仮想化デバイスが、上記フロー情報に関連付けられるバージョン情報を記憶することを含み、上記バージョン情報は上記メモリに記憶され、上記方法はさらに、上記仮想ネットワークインターフェースカードが、上記フロー情報が適用可能な第２のパケットを受信する前に、上記バージョン情報に基づいて、上記フロー情報の少なくとも一部は古い、と判断することと、上記ネットワーク仮想化デバイスが、上記第２のパケットを受信する前に、更新されたフロー情報を要求することと、上記ネットワーク仮想化デバイスが、上記更新されたフロー情報および更新されたバージョン情報を受信することとを含み、上記更新されたフロー情報は、上記フロー情報の少なくとも上記一部を置き換える更新を含み、上記方法はさらに、上記仮想ネットワークインターフェースカードが、上記計算インスタンスから上記第２のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記更新されたフロー情報および上記更新されたバージョン情報に基づいて、上記仮想ネットワーク上で上記第２のパケットを送信することとを含む、項１～６のいずれか１項に記載の方法。
項１０．上記方法はさらに、上記ネットワーク仮想化デバイスが上記ネットワークインターフェースサービスから、上記フロー情報の少なくとも一部は古いという指示を受信することと、上記仮想ネットワークインターフェースカードが、上記フロー情報が適用可能な第２のパケットを受信する前に、更新されたフロー情報を受信することと、上記ネットワーク仮想化デバイスが、上記更新されたフロー情報を上記メモリに記憶することとを含み、上記更新されたフロー情報は、上記フロー情報の少なくとも上記一部を置き換える更新を含み、上記方法はさらに、上記仮想ネットワークインターフェースカードが、上記計算インスタンスから上記第２のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記更新されたフロー情報に基づいて上記仮想ネットワーク上で上記第２のパケットを送信することとを含む、項１～６のいずれか１項に記載の方法。
項１１．上記ネットワーク仮想化デバイスが上記ネットワークインターフェースサービスから、上記フロー情報の少なくとも一部は古いという指示を受信することと、上記仮想ネットワークインターフェースカードが、上記フロー情報が適用可能な第２のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記第２のパケットを上記ネットワークインターフェースサービスに送信することと、上記ネットワーク仮想化デバイスが、更新されたフロー情報を受信することと、上記ネットワーク仮想化デバイスが、上記更新されたフロー情報を上記メモリに記憶することと、上記仮想ネットワークインターフェースカードが、上記計算インスタンスから第３のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記更新されたフロー情報に基づいて上記仮想ネットワーク上で上記第３のパケットを送信することとをさらに含む、項１～６のいずれか１項に記載の方法。
項１２．上記方法はさらに、上記仮想ネットワークインターフェースカードが上記仮想ネットワークから、上記計算インスタンス宛ての第２のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記第２のパケットを上記計算インスタンスに送信するための第２のフロー情報が上記ネットワーク仮想化デバイスの上記メモリから利用不可である、と判断することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して、上記第２のパケットを上記ネットワークインターフェースサービスに送信することと、上記仮想ネットワークインターフェースカードが、上記ネットワークインターフェースサービスから上記ネットワーク仮想化デバイスを介して、上記計算インスタンス宛ての第３のパケットを受信することとを含み、上記第３のパケットは、上記構成情報の第２のサブセットに基づく上記第２のパケットの更新されたバージョンに対応し、上記方法はさらに、上記仮想ネットワークインターフェースカードが、上記第３のパケットを上記計算インスタンスに送信することを含む、項１～６のいずれか１項に記載の方法。
項１３．上記方法はさらに、上記ネットワーク仮想化デバイスが、上記第２のフロー情報を受信することを含み、上記第２のフロー情報は、上記構成情報の上記第２のサブセットであり、上記方法はさらに、上記ネットワーク仮想化デバイスが、上記第２のフロー情報を上記メモリに記憶することと、上記仮想ネットワークインターフェースカードが、上記ネットワーク仮想化デバイスを介して上記仮想ネットワークから上記計算インスタンス宛の第４のパケットを受信することと、上記仮想ネットワークインターフェースカードが、上記第４のパケットを上記計算インスタンスに送信するために上記第２のフロー情報が上記メモリから利用可能である、と判断することと、上記仮想ネットワークインターフェースカードが、上記第２のフロー情報に基づいて上記計算インスタンス上で上記第４のパケットを送信することとを含む、項１２に記載の方法。
項１４．システムであって、仮想ネットワークインターフェースカードをホストし、基板ネットワークに接続されるネットワーク仮想化デバイスと、上記ネットワーク仮想化デバイスに接続され、計算インスタンスをホストするホストマシンと、基板ネットワークに接続され、ネットワークインターフェースサービスをホストするサーバのセットとを備え、上記仮想ネットワークインターフェースカードは、上記計算インスタンスから第１のパケットを受信するよう構成され、仮想ネットワーク上で上記第１のパケットを送信するためのフロー情報が上記ネットワーク仮想化デバイスのメモリから利用不可である、と判断するよう構成され、上記仮想ネットワークは、上記基板ネットワーク上のオーバーレイであり、上記仮想ネットワークインターフェースカードはさらに、上記ネットワーク仮想化デバイスを介して、上記第１のパケットを上記ネットワークインターフェースサービスに送信するよう構成され、上記ネットワークインターフェースサービスは、上記仮想ネットワーク上でパケットを送信するための構成情報を保持するよう構成され、上記構成情報に基づいて上記仮想ネットワーク上で上記第１のパケットを送信するよう構成され、上記構成情報に基づいて上記フロー情報を生成するよう構成され、上記ネットワーク仮想化デバイスは、上記ネットワークインターフェースサービスから上記フロー情報を受信するよう構成され、上記フロー情報を上記メモリに記憶するよう構成される、システム。
項１５．上記構成情報を維持することは、上記ネットワーク仮想化デバイス上でホストされる仮想ネットワークインターフェースカードごとに、構成情報および上記構成情報もしくは上記構成情報の部分に関連付けられるバージョン情報を追跡することを含む、項１４に記載のシステム。
項１６．上記仮想ネットワークインターフェースカードは、さらに、上記計算インスタンスから第２のパケットを受信するよう構成され、上記フロー情報が上記仮想ネットワーク上で上記第２のパケットを送信するために利用可能である、と判断するよう構成され、上記フロー情報に関連付けられ、上記ネットワーク仮想化デバイスの上記メモリに記憶されるバージョン情報に基づいて、上記フロー情報の少なくとも一部は古い、と判断するよう構成され、上記ネットワーク仮想化デバイスを介して、上記第２のパケットを上記ネットワークインターフェースサービスに送信するよう構成される、項１４および１５のいずれか１項に記載のシステム。
項１７．上記ネットワーク仮想化デバイスはさらに、更新されたフロー情報および更新されたバージョン情報を受信するよう構成され、上記更新されたフロー情報は、上記フロー情報の少なくとも上記一部を置き換える更新を含み、上記ネットワーク仮想化デバイスはさらに、上記更新されたフロー情報および上記更新されたバージョン情報を上記メモリに記憶するよう構成され、上記仮想ネットワークインターフェースカードから、上記計算インスタンスの第３のパケットを受信するよう構成され、上記更新されたフロー情報および上記更新されたバージョン情報に基づいて、上記仮想ネットワーク上で上記第３のパケットを送信するよう構成される、項１４～１６のいずれか１項に記載のシステム。
項１８．システム上で実行されると、上記システムに動作を実行させる、１つ以上の非一時的コンピュータ可読命令であって、上記動作は、ネットワークインターフェースサービスによって、仮想ネットワーク上でパケットを送信するために構成情報のセットを維持することと、上記ネットワークインターフェースサービスによって、計算インスタンスの第１のパケットを受信することとを含み、上記第１のパケットは、ネットワーク仮想化デバイス上でホストされ、上記計算インスタンスと関連付けられる仮想ネットワークインターフェースカードから受信され、上記動作はさらに、上記ネットワークインターフェースサービスによって、上記セットから、上記仮想ネットワーク上で上記第１のパケットを送信するための構成情報を判断することと、上記ネットワークインターフェースサービスによって、上記構成情報に基づいて上記仮想ネットワーク上で上記第１のパケットを送信することと、上記ネットワークインターフェースサービスによって、フロー情報を上記ネットワーク仮想化デバイスに送信することとを含み、上記フロー情報は、上記構成情報のサブセットであり、上記仮想ネットワークインターフェースカードによって、上記仮想ネットワーク上で、上記計算インスタンスから受信された追加のパケットを送信することを可能にする、１つ以上の非一時的コンピュータ可読命令。
項１９．上記動作はさらに、上記フロー情報に関連付けられるバージョン情報に基づいて、上記フロー情報の少なくとも一部は古い、と判断することと、上記ネットワーク仮想化デバイスに、上記フロー情報の少なくとも上記一部は古いという指示を送信することと、上記フロー情報の少なくとも上記一部に対する更新を上記ネットワーク仮想化デバイスにプッシュすることとを含む、項１８に記載の１つ以上の非一時的コンピュータ可読命令。
項２０．上記動作はさらに、上記フロー情報に関連付けられるバージョン情報に基づいて、上記フロー情報の少なくとも一部は古い、と判断することと、上記ネットワーク仮想化デバイスに、上記フロー情報の少なくとも上記一部は古いという指示を送信することと、上記フロー情報が適用される第２のパケットを、上記ネットワーク仮想化デバイスを介して上記仮想ネットワークインターフェースカードから受信することと、上記仮想ネットワーク上で上記第２のパケットを送信することと、上記ネットワーク仮想化デバイスに、上記フロー情報の少なくとも上記一部に対する更新を送信することとを含む、項１８に記載の１つ以上の非一時的コンピュータ可読命令。
本開示を実施するために知られている最良の形態を含み、本開示の好ましい実施形態が本明細書に記載されている。これらの好ましい実施形態の変形形態は、前述の説明を読めば当業者には明らかになるであろう。当業者は、適宜、このような変形例を採用することができ、本開示は、本明細書に具体的に記載されている以外の方法で実施されてもよい。したがって、本開示は、適用される法律によって許可され、本明細書に添付された請求項に記載された主題の全ての変形および等価物を含む。さらに、その全ての可能な変形における上記の要素の任意の組み合わせは、本明細書において別段の指示がない限り、本開示に包含される。
本明細書に引用された刊行物、特許出願、および特許を含む全ての参考文献は、各文献が参照により組み込まれることが個別にかつ明確に示され、その全体が本明細書に記載された場合と同じ程度に、参照により組み込まれるものとする。
前述の明細書において、本開示の態様は、その特定の実施形態を参照して説明されているが、当業者は、本開示がそれに限定されないことを認識するであろう。上述の開示の様々な特徴および態様は、個々にまたは共同で使用されてもよい。さらに、実施形態は、本明細書のより広い精神および範囲から逸脱することなく、本明細書に説明されるものを超える任意の数の環境および用途において利用されることができる。したがって、明細書および図面は、限定的ではなく例示的であると見なされるべきである。
Claims (20)
- 方法であって、
ネットワーク仮想化デバイス上でホストされる仮想ネットワークインターフェースカードが、前記仮想ネットワークインターフェースカードと関連付けられる計算インスタンスから第１のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、仮想ネットワーク上で前記第１のパケットを送信するためのフロー情報が前記ネットワーク仮想化デバイスのメモリから利用不可である、と判断することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、ネットワークインターフェースサービスに前記第１のパケットを送信することとを含み、前記ネットワークインターフェースサービスは、前記仮想ネットワーク上でパケットを送信するための構成情報を維持し、前記構成情報に基づいて、前記仮想ネットワーク上で前記第１のパケットを送信するよう構成され、前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記ネットワークインターフェースサービスから前記フロー情報を受信することを含み、前記フロー情報は前記構成情報のサブセットであり、前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記フロー情報を前記メモリに記憶することを含む、方法。 - 前記仮想ネットワークインターフェースカードが、前記計算インスタンスから第２のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記フロー情報が前記仮想ネットワーク上で前記第２のパケットを送信するために前記メモリから利用可能である、と判断することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記フロー情報に基づいて前記仮想ネットワーク上で前記第２のパケットを送信することとをさらに含む、請求項１に記載の方法。 - 前記構成情報は、１つ以上のパケットフローのためのセキュリティポリシー、オーバーレイ対基板インターネットプロトコル（ＩＰ）アドレスマッピング、およびルートルールを含み、前記フロー情報は、あるセキュリティポリシー、あるオーバーレイ対基板ＩＰアドレスマッピング、またはあるルートルールのうちの少なくとも１つを含む、請求項１に記載の方法。
- 前記フロー情報は、キャッシュエントリとして受信され、前記仮想ネットワークインターフェースカードに関連付けられるキャッシュに記憶され、前記フロー情報は、キャッシュミスに基づいて利用不可である、と判断される、請求項１に記載の方法。
- 前記ネットワーク仮想化デバイスが前記ネットワークインターフェースサービスから、前記フロー情報のバージョンのインジケータを受信することと、
前記ネットワーク仮想化デバイスが、前記インジケータを前記キャッシュに記憶することとをさらに含む、請求項４に記載の方法。 - 前記フロー情報は複数の部分を含み、前記方法はさらに、
前記ネットワーク仮想化デバイスが前記ネットワークインターフェースサービスから、前記フロー情報の部分ごとにバージョンのインジケータを受信することと、
前記ネットワーク仮想化デバイスが、前記インジケータを前記キャッシュに記憶することとを含む、請求項４に記載の方法。 - 前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記フロー情報に関連付けられるバージョン情報を記憶することを含み、前記バージョン情報は前記メモリに記憶され、前記方法はさらに、
前記仮想ネットワークインターフェースカードが、前記計算インスタンスから第２のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記フロー情報が前記仮想ネットワーク上で前記第２のパケットを送信するために利用可能である、と判断することと、
前記仮想ネットワークインターフェースカードが、前記バージョン情報に基づいて、前記フロー情報の少なくとも一部は古い、と判断することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記第２のパケットを前記ネットワークインターフェースサービスに送信することとを含む、請求項１に記載の方法。 - 前記方法はさらに、
前記ネットワーク仮想化デバイスが、更新されたフロー情報および更新されたバージョン情報を受信することを含み、前記更新されたフロー情報は、前記フロー情報の少なくとも前記一部を置き換える更新を含み、前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記更新されたフロー情報および前記更新されたバージョン情報を前記メモリに記憶することと、
前記仮想ネットワークインターフェースカードが、前記計算インスタンスから第３のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記更新されたフロー情報および前記更新されたバージョン情報に基づいて、前記仮想ネットワーク上で前記第３のパケットを送信することとを含む、請求項７に記載の方法。 - 前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記フロー情報に関連付けられるバージョン情報を記憶することを含み、前記バージョン情報は前記メモリに記憶され、前記方法はさらに、
前記仮想ネットワークインターフェースカードが、前記フロー情報が適用可能な第２のパケットを受信する前に、前記バージョン情報に基づいて、前記フロー情報の少なくとも一部は古い、と判断することと、
前記ネットワーク仮想化デバイスが、前記第２のパケットを受信する前に、更新されたフロー情報を要求することと、
前記ネットワーク仮想化デバイスが、前記更新されたフロー情報および更新されたバージョン情報を受信することとを含み、前記更新されたフロー情報は、前記フロー情報の少なくとも前記一部を置き換える更新を含み、前記方法はさらに、
前記仮想ネットワークインターフェースカードが、前記計算インスタンスから前記第２のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記更新されたフロー情報および前記更新されたバージョン情報に基づいて、前記仮想ネットワーク上で前記第２のパケットを送信することとを含む、請求項１に記載の方法。 - 前記方法はさらに、
前記ネットワーク仮想化デバイスが前記ネットワークインターフェースサービスから、前記フロー情報の少なくとも一部は古いという指示を受信することと、
前記仮想ネットワークインターフェースカードが、前記フロー情報が適用可能な第２のパケットを受信する前に、更新されたフロー情報を受信することと、
前記ネットワーク仮想化デバイスが、前記更新されたフロー情報を前記メモリに記憶することとを含み、前記更新されたフロー情報は、前記フロー情報の少なくとも前記一部を置き換える更新を含み、前記方法はさらに、
前記仮想ネットワークインターフェースカードが、前記計算インスタンスから前記第２のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記更新されたフロー情報に基づいて前記仮想ネットワーク上で前記第２のパケットを送信することとを含む、請求項１に記載の方法。 - 前記ネットワーク仮想化デバイスが前記ネットワークインターフェースサービスから、前記フロー情報の少なくとも一部は古いという指示を受信することと、
前記仮想ネットワークインターフェースカードが、前記フロー情報が適用可能な第２のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記第２のパケットを前記ネットワークインターフェースサービスに送信することと、
前記ネットワーク仮想化デバイスが、更新されたフロー情報を受信することと、
前記ネットワーク仮想化デバイスが、前記更新されたフロー情報を前記メモリに記憶することと、
前記仮想ネットワークインターフェースカードが、前記計算インスタンスから第３のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記更新されたフロー情報に基づいて前記仮想ネットワーク上で前記第３のパケットを送信することとをさらに含む、請求項１に記載の方法。 - 前記方法はさらに、
前記仮想ネットワークインターフェースカードが前記仮想ネットワークから、前記計算インスタンス宛ての第２のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記第２のパケットを前記計算インスタンスに送信するための第２のフロー情報が前記ネットワーク仮想化デバイスの前記メモリから利用不可である、と判断することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して、前記第２のパケットを前記ネットワークインターフェースサービスに送信することと、
前記仮想ネットワークインターフェースカードが、前記ネットワークインターフェースサービスから前記ネットワーク仮想化デバイスを介して、前記計算インスタンス宛ての第３のパケットを受信することとを含み、前記第３のパケットは、前記構成情報の第２のサブセットに基づく前記第２のパケットの更新されたバージョンに対応し、前記方法はさらに、
前記仮想ネットワークインターフェースカードが、前記第３のパケットを前記計算インスタンスに送信することを含む、請求項１に記載の方法。 - 前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記第２のフロー情報を受信することを含み、前記第２のフロー情報は、前記構成情報の前記第２のサブセットであり、前記方法はさらに、
前記ネットワーク仮想化デバイスが、前記第２のフロー情報を前記メモリに記憶することと、
前記仮想ネットワークインターフェースカードが、前記ネットワーク仮想化デバイスを介して前記仮想ネットワークから前記計算インスタンス宛の第４のパケットを受信することと、
前記仮想ネットワークインターフェースカードが、前記第４のパケットを前記計算インスタンスに送信するために前記第２のフロー情報が前記メモリから利用可能である、と判断することと、
前記仮想ネットワークインターフェースカードが、前記第２のフロー情報に基づいて前記計算インスタンス上で前記第４のパケットを送信することとを含む、請求項１２に記載の方法。 - システムであって、
仮想ネットワークインターフェースカードをホストし、基板ネットワークに接続されるネットワーク仮想化デバイスと、
前記ネットワーク仮想化デバイスに接続され、計算インスタンスをホストするホストマシンと、
基板ネットワークに接続され、ネットワークインターフェースサービスをホストするサーバのセットとを備え、
前記仮想ネットワークインターフェースカードは、
前記計算インスタンスから第１のパケットを受信するよう構成され、
仮想ネットワーク上で前記第１のパケットを送信するためのフロー情報が前記ネットワーク仮想化デバイスのメモリから利用不可である、と判断するよう構成され、前記仮想ネットワークは、前記基板ネットワーク上のオーバーレイであり、前記仮想ネットワークインターフェースカードはさらに、
前記ネットワーク仮想化デバイスを介して、前記第１のパケットを前記ネットワークインターフェースサービスに送信するよう構成され、
前記ネットワークインターフェースサービスは、
前記仮想ネットワーク上でパケットを送信するための構成情報を保持するよう構成され、
前記構成情報に基づいて前記仮想ネットワーク上で前記第１のパケットを送信するよう構成され、
前記構成情報に基づいて前記フロー情報を生成するよう構成され、
前記ネットワーク仮想化デバイスは、
前記ネットワークインターフェースサービスから前記フロー情報を受信するよう構成され、
前記フロー情報を前記メモリに記憶するよう構成される、システム。 - 前記構成情報を維持することは、前記ネットワーク仮想化デバイス上でホストされる仮想ネットワークインターフェースカードごとに、構成情報および前記構成情報もしくは前記構成情報の部分に関連付けられるバージョン情報を追跡することを含む、請求項１４に記載のシステム。
- 前記仮想ネットワークインターフェースカードは、さらに、
前記計算インスタンスから第２のパケットを受信するよう構成され、
前記フロー情報が前記仮想ネットワーク上で前記第２のパケットを送信するために利用可能である、と判断するよう構成され、
前記フロー情報に関連付けられ、前記ネットワーク仮想化デバイスの前記メモリに記憶されるバージョン情報に基づいて、前記フロー情報の少なくとも一部は古い、と判断するよう構成され、
前記ネットワーク仮想化デバイスを介して、前記第２のパケットを前記ネットワークインターフェースサービスに送信するよう構成される、請求項１４に記載のシステム。 - 前記ネットワーク仮想化デバイスはさらに、
更新されたフロー情報および更新されたバージョン情報を受信するよう構成され、前記更新されたフロー情報は、前記フロー情報の少なくとも前記一部を置き換える更新を含み、前記ネットワーク仮想化デバイスはさらに、
前記更新されたフロー情報および前記更新されたバージョン情報を前記メモリに記憶するよう構成され、
前記仮想ネットワークインターフェースカードから、前記計算インスタンスの第３のパケットを受信するよう構成され、
前記更新されたフロー情報および前記更新されたバージョン情報に基づいて、前記仮想ネットワーク上で前記第３のパケットを送信するよう構成される、請求項１６に記載のシステム。 - システム上で実行されると、前記システムに動作を実行させる、１つ以上の非一時的コンピュータ可読命令であって、前記動作は、
ネットワークインターフェースサービスによって、仮想ネットワーク上でパケットを送信するために構成情報のセットを維持することと、
前記ネットワークインターフェースサービスによって、計算インスタンスの第１のパケットを受信することとを含み、前記第１のパケットは、ネットワーク仮想化デバイス上でホストされ、前記計算インスタンスと関連付けられる仮想ネットワークインターフェースカードから受信され、前記動作はさらに、
前記ネットワークインターフェースサービスによって、前記セットから、前記仮想ネットワーク上で前記第１のパケットを送信するための構成情報を判断することと、
前記ネットワークインターフェースサービスによって、前記構成情報に基づいて前記仮想ネットワーク上で前記第１のパケットを送信することと、
前記ネットワークインターフェースサービスによって、フロー情報を前記ネットワーク仮想化デバイスに送信することとを含み、前記フロー情報は、前記構成情報のサブセットであり、前記仮想ネットワークインターフェースカードによって、前記仮想ネットワーク上で、前記計算インスタンスから受信された追加のパケットを送信することを可能にする、１つ以上の非一時的コンピュータ可読命令。 - 前記動作はさらに、
前記フロー情報に関連付けられるバージョン情報に基づいて、前記フロー情報の少なくとも一部は古い、と判断することと、
前記ネットワーク仮想化デバイスに、前記フロー情報の少なくとも前記一部は古いという指示を送信することと、
前記フロー情報の少なくとも前記一部に対する更新を前記ネットワーク仮想化デバイスにプッシュすることとを含む、請求項１８に記載の１つ以上の非一時的コンピュータ可読命令。 - 前記動作はさらに、
前記フロー情報に関連付けられるバージョン情報に基づいて、前記フロー情報の少なくとも一部は古い、と判断することと、
前記ネットワーク仮想化デバイスに、前記フロー情報の少なくとも前記一部は古いという指示を送信することと、
前記フロー情報が適用される第２のパケットを、前記ネットワーク仮想化デバイスを介して前記仮想ネットワークインターフェースカードから受信することと、
前記仮想ネットワーク上で前記第２のパケットを送信することと、
前記ネットワーク仮想化デバイスに、前記フロー情報の少なくとも前記一部に対する更新を送信することとを含む、請求項１８に記載の１つ以上の非一時的コンピュータ可読命令。
Applications Claiming Priority (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US202163149276P | 2021-02-13 | 2021-02-13 | |
| US63/149,276 | 2021-02-13 | ||
| US17/237,745 | 2021-04-22 | ||
| US17/237,745 US20220263754A1 (en) | 2021-02-13 | 2021-04-22 | Packet flow in a cloud infrastructure based on cached and non-cached configuration information |
| PCT/US2022/012529 WO2022173554A1 (en) | 2021-02-13 | 2022-01-14 | Packet flow in a cloud infrastructure based on cached and non-cached configuration information |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2024507146A true JP2024507146A (ja) | 2024-02-16 |
| JPWO2022173554A5 JPWO2022173554A5 (ja) | 2024-09-05 |
Family
ID=82800608
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2023548601A Pending JP2024507146A (ja) | 2021-02-13 | 2022-01-14 | キャッシュされた構成情報およびキャッシュされない構成情報に基づいたクラウドインフラストラクチャにおけるパケットフロー |
Country Status (4)
| Country | Link |
|---|---|
| US (2) | US11637770B2 (ja) |
| EP (1) | EP4292251A1 (ja) |
| JP (1) | JP2024507146A (ja) |
| CN (1) | CN116982295A (ja) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2022173555A1 (en) * | 2021-02-13 | 2022-08-18 | Oracle International Corporation | Invalidating cached flow information in a cloud infrastructure |
| US11936621B2 (en) * | 2021-11-19 | 2024-03-19 | The Bank Of New York Mellon | Firewall drift monitoring and detection |
| US12015539B2 (en) * | 2022-04-21 | 2024-06-18 | VMware LLC | Mitigating oversubscription of traffic to edge nodes in a data center |
| US20240022539A1 (en) * | 2022-07-14 | 2024-01-18 | Vmware, Inc. | Two tier dns |
| WO2024136240A1 (en) * | 2022-12-21 | 2024-06-27 | Samsung Electronics Co., Ltd. | Method and apparatus for orchestrating microservice-based networks |
Family Cites Families (27)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1926039A4 (en) * | 2005-09-15 | 2010-01-20 | Panasonic Corp | CONTENT MANAGEMENT SYSTEM AND CONTENT MANAGEMENT DEVICE |
| JP5029373B2 (ja) * | 2008-01-11 | 2012-09-19 | 日本電気株式会社 | ノード、経路制御方法および経路制御プログラム |
| US9154327B1 (en) * | 2011-05-27 | 2015-10-06 | Cisco Technology, Inc. | User-configured on-demand virtual layer-2 network for infrastructure-as-a-service (IaaS) on a hybrid cloud network |
| US8856518B2 (en) * | 2011-09-07 | 2014-10-07 | Microsoft Corporation | Secure and efficient offloading of network policies to network interface cards |
| US8660129B1 (en) * | 2012-02-02 | 2014-02-25 | Cisco Technology, Inc. | Fully distributed routing over a user-configured on-demand virtual network for infrastructure-as-a-service (IaaS) on hybrid cloud networks |
| US9262242B2 (en) * | 2012-12-31 | 2016-02-16 | Verizon Patent And Licensing Inc. | Machine-to-machine (“M2M”) device client systems, methods, and interfaces |
| US9304793B2 (en) * | 2013-01-16 | 2016-04-05 | Vce Company, Llc | Master automation service |
| US9648125B2 (en) * | 2013-10-04 | 2017-05-09 | Akamai Technologies, Inc. | Systems and methods for caching content with notification-based invalidation |
| JP6721166B2 (ja) * | 2014-10-14 | 2020-07-08 | ミド ホールディングス リミテッド | 仮想ネットワークにおける分散型フロー状態ｐ２ｐ設定のためのシステムおよび方法 |
| EP3255839B1 (en) * | 2015-02-03 | 2024-04-24 | Nec Corporation | Virtual network system, virtual network control method, virtual network function database, integrated control device, control device, and control method and control program therefor |
| US10013306B2 (en) * | 2015-03-18 | 2018-07-03 | OSNEXUS Corporation | Data recovery agent and search service for repairing bit rot |
| US10101981B2 (en) * | 2015-05-08 | 2018-10-16 | Citrix Systems, Inc. | Auto discovery and configuration of services in a load balancing appliance |
| US10749808B1 (en) | 2015-06-10 | 2020-08-18 | Amazon Technologies, Inc. | Network flow management for isolated virtual networks |
| US10374956B1 (en) * | 2015-09-25 | 2019-08-06 | Amazon Technologies, Inc. | Managing a hierarchical network |
| JP2017108231A (ja) * | 2015-12-08 | 2017-06-15 | 富士通株式会社 | 通信制御プログラム、通信制御方法及び情報処理装置 |
| EP3449669B1 (en) * | 2016-04-25 | 2020-09-02 | Telefonaktiebolaget LM Ericsson (publ) | System information configuration update in a wireless communication network |
| US10341371B2 (en) * | 2016-08-31 | 2019-07-02 | Nicira, Inc. | Identifying and handling threats to data compute nodes in public cloud |
| US10389628B2 (en) * | 2016-09-02 | 2019-08-20 | Oracle International Corporation | Exposing a subset of hosts on an overlay network to components external to the overlay network without exposing another subset of hosts on the overlay network |
| US10462013B2 (en) * | 2017-02-13 | 2019-10-29 | Oracle International Corporation | Implementing a single-addressable virtual topology element in a virtual topology |
| US10623433B1 (en) * | 2017-09-25 | 2020-04-14 | Amazon Technologies, Inc. | Configurable event-based compute instance security assessments |
| US11190440B2 (en) * | 2018-01-19 | 2021-11-30 | Vmware, Inc. | Methods and apparatus to configure and manage network resources for use in network-based computing |
| US10834044B2 (en) | 2018-09-19 | 2020-11-10 | Amazon Technologies, Inc. | Domain name system operations implemented using scalable virtual traffic hub |
| US10862816B2 (en) * | 2018-10-08 | 2020-12-08 | Oracle International Corporation | Cloud computing cluster isolation with authentication and automatic configuration deployment |
| JP7290997B2 (ja) * | 2019-05-30 | 2023-06-14 | 株式会社日立製作所 | クラウド利用支援装置、及びクラウド利用支援方法 |
| US11129023B2 (en) * | 2019-06-06 | 2021-09-21 | Cisco Technology, Inc. | Systems and methods for distributing SD-WAN policies |
| US11606310B2 (en) * | 2020-09-28 | 2023-03-14 | Vmware, Inc. | Flow processing offload using virtual port identifiers |
| US11856097B2 (en) * | 2020-12-23 | 2023-12-26 | Oracle International Corporation | Mechanism to provide customer VCN network encryption using customer-managed keys in network virtualization device |
-
2021
- 2021-04-22 US US17/237,750 patent/US11637770B2/en active Active
- 2021-04-22 US US17/237,745 patent/US20220263754A1/en active Pending
-
2022
- 2022-01-14 JP JP2023548601A patent/JP2024507146A/ja active Pending
- 2022-01-14 CN CN202280014532.3A patent/CN116982295A/zh active Pending
- 2022-01-14 EP EP22708638.6A patent/EP4292251A1/en active Pending
Also Published As
| Publication number | Publication date |
|---|---|
| US11637770B2 (en) | 2023-04-25 |
| US20220263754A1 (en) | 2022-08-18 |
| CN116982295A (zh) | 2023-10-31 |
| US20220263713A1 (en) | 2022-08-18 |
| EP4292251A1 (en) | 2023-12-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2024503321A (ja) | 仮想化されたクラウド環境におけるレイヤ２ネットワークのインターネットグループ管理プロトコル（ｉｇｍｐ） | |
| US11777897B2 (en) | Cloud infrastructure resources for connecting a service provider private network to a customer private network | |
| US12074791B2 (en) | Packet flow control in a header of a packet | |
| US11637770B2 (en) | Invalidating cached flow information in a cloud infrastructure | |
| US11929976B2 (en) | Virtual network routing gateway that supports address translation for dataplane as well as dynamic routing protocols (control plane) | |
| US11876710B2 (en) | Dynamic IP routing in a cloud environment | |
| JP2024503600A (ja) | 仮想化されたクラウド環境におけるレイヤ２ネットワーキングスパンポート | |
| US20230396579A1 (en) | Cloud infrastructure resources for connecting a service provider private network to a customer private network | |
| JP2024507143A (ja) | オーバーレイネットワークにおけるｉｐアドレスのスケーリング | |
| JP2024503322A (ja) | 仮想化されたクラウド環境におけるレイヤ２ネットワーキングストーム制御 | |
| JP2024503318A (ja) | 仮想化されたクラウド環境においてアクセス制御リストを使用するレイヤ２ネットワーキング | |
| US20240126581A1 (en) | Implementing communications within a container environment | |
| US20230224223A1 (en) | Publishing physical topology network locality for general workloads | |
| KR20240132079A (ko) | 그래픽 프로세싱 유닛 워크로드들에 대한 물리적 토폴로지 네트워크 지역성 퍼블리싱 | |
| CN116897527A (zh) | 用于将服务提供商私有网络连接到客户私有网络的云基础设施资源 | |
| US20230246956A1 (en) | Invalidating cached flow information in a cloud infrastructure | |
| US12086625B2 (en) | Multiple top-of-rack (TOR) switches connected to a network virtualization device | |
| WO2022173554A1 (en) | Packet flow in a cloud infrastructure based on cached and non-cached configuration information | |
| CN116848827A (zh) | 使云基础设施中高速缓存的流信息失效 | |
| JP2024503599A (ja) | 高度に利用可能なフローのための通信チャネル状態情報の同期 | |
| KR20240154533A (ko) | 일반적인 워크로드들에 대한 물리적 토폴로지 네트워크 지역성 퍼블리싱 | |
| WO2024039521A1 (en) | Providing fault-resistance services in a dedicated region cloud at customer | |
| JP2024503319A (ja) | 仮想化されたクラウド環境におけるレイヤ２ネットワーキング情報 | |
| WO2024039522A1 (en) | Network architecture for dedicated region cloud at customer | |
| WO2024039520A1 (en) | Dual top-of-rack switch implementation for dedicated region cloud at customer |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20240828 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20240828 |