JP6211062B2 - 仮想オーバーレイ・ネットワーク・トラフィックにサービスを提供する方法、システム、およびコンピュータ・プログラム。 - Google Patents

Description

本発明は、データ・センタ・インフラストラクチャに関し、特に、本発明は、データ・センタにおける仮想オーバーレイ・ネットワーク・トラフィックに、ディープ・パケット・インスペクション・サービスを提供することに関する。

データ・センタ・インフラストラクチャの伸縮性（ｅｌａｓｔｉｃｉｔｙ）が必要であることについては、詳細な議論がなされてきており、業界では、データ・センタの機敏性を高める方法について複数の有力な見解が既に考え出されているが、セキュリティおよびサービスの仮想化については、あまり重視されてこなかった。いくつかのセキュリティ機能を挙げると、ファイアウォール、侵入防止システム（ＩＰＳ：ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ）、侵入検出システム（ＩＤＳ：ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ）などがあり、いくつかのサービスを挙げると、アクセラレータ、仮想プライベート・ネットワーク（ＶＰＮ：ｖｉｒｔｕａｌ ｐｒｉｖａｔｅ ｎｅｔｗｏｒｋ）終端、ロード・バランシング、トラフィック圧縮、インテリジェント・シェーピング、転送速度制限などがある。複数のアプリケーションおよびクライアントでインフラストラクチャを共有することは、サーバ仮想化および分散アプリケーション・アーキテクチャによりますます一般的になりつつあり、最近の傾向からは、アプリケーションの分散性が高まっていくにつれて、サーバ対サーバ通信（データ・センタにおける東西トラフィックと呼ばれる）が指数関数的に増加する可能性が高いことが示唆されている。

例えば仮想拡張ローカル・エリア・ネットワーク（ＶＸＬＡＮ：ｖｉｒｔｕａｌ ｅｘｔｅｎｓｉｂｌｅ ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）その他の仮想オーバーレイ・ネットワークは、位置の透過性をもたらすために、元のネットワーク・パケットを覆うパケットにカプセル化されるプロトコル・ヘッダを使用する。この追加のカプセル化プロトコル・ヘッダが原因で、特に物理インフラストラクチャのルータおよびスイッチなど、既存またはレガシのインターネットワーキング構成要素（ＩＮＥ：Ｉｎｔｅｒ−Ｎｅｔｗｏｒｋｉｎｇ Ｅｌｅｍｅｎｔ）は、元のパケットの中から情報を判断することができない。これは、レガシＩＮＥにとっては、オーバーレイ・プロトコル・ヘッダの内側にある元のパケットが、従来のデータ・ペイロードとしてカプセル化されているためである。さらに、このように元のパケットの可視性が欠如していることで、ＩＮＥが高度なネットワーク・セキュリティおよびサービスを実施することが妨げられる。仮想拡張ローカル・エリア・ネットワーク（ＶＸＬＡＮ）のようなプロトコルは、ユーザ・データグラム・プロトコル／インターネット・プロトコル（ＵＤＰ／ＩＰ：Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を使用して、複数の物理ネットワークにわたる伝送のために元のイーサネット（Ｒ）パケットをカプセル化する。元のイーサネット・パケットは、発信元から、最も近いＶＸＬＡＮゲートウェイまで、ネットワークをトンネリングされる。ＶＸＬＡＮゲートウェイは、仮想ネットワークを非仮想ネットワーク（物理コンポーネントを有するレガシ・ネットワーク）に接続する。ＶＸＬＡＮゲートウェイは、ＶＸＬＡＮプロトコルおよびトンネルを認識する（かつ処理できる）ので、カプセル化されたパケットを識別する能力を有する。しかしながら、現在、これらのゲートウェイは、その中を流れるトラフィックに対してサービスまたはセキュリティを適用できない。

一実施形態では、システムは、オーバーレイ・ネットワーク・デバイス（ｏｖｅｒｌａｙ ｎｅｔｗｏｒｋ ｄｅｖｉｃｅ）を含み、オーバーレイ・ネットワーク・デバイスは、仮想オーバーレイ・ネットワーク（ＶＯＮ：ｖｉｒｔｕａｌ ｏｖｅｒｌａｙ ｎｅｔｗｏｒｋ）ゲートウェイと電気通信するようになっているインターフェースと、ＶＯＮゲートウェイから複数のパケットを受信する手段（手段は実施例における論理、回路、モジュールに相当）と、複数のパケットがオーバーレイ・ヘッダ（ｏｖｅｒｌａｙ ｈｅａｄｅｒ）を含むかどうかを判断する手段と、オーバーレイ・ヘッダを含むパケットの内部パケット（ｉｎｎｅｒ ｐａｃｋｅｔ）をカプセル化解除する（ｄｅ−ｅｎｃａｐｓｕｌａｔｅ）手段と、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行する手段と、サービスを受けた内部パケットまたはサービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットをＶＯＮゲートウェイへ送信する手段、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずにＶＯＮゲートウェイへ送信する手段とを含む。

別の実施形態では、仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックにサービスを提供する方法は、複数のパケットを含むネットワーク・トラフィックを受信するステップと、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断するステップと、トンネルを終了し（ｔｅｒｍｉｎａｔｅ）、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除するステップと、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行するステップと、トンネルを開始し（ｏｒｉｇｉｎａｔｅ）、サービスを受けた内部パケットまたはサービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットを送信するステップ、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずに送信するステップとを含む。

さらに別の実施形態では、仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックにサービスを提供するためのコンピュータ・プログラム製品は、コンピュータ可読ストレージ媒体を用いて具現化されたコンピュータ可読プログラム・コードを有するコンピュータ可読ストレージ媒体を含み、コンピュータ可読プログラム・コードは、複数のパケットを含むネットワーク・トラフィックをＶＯＮゲートウェイから受信するよう構成されたコンピュータ可読プログラム・コードと、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断するよう構成されたコンピュータ可読プログラム・コードと、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除するよう構成されたコンピュータ可読プログラム・コードと、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行するよう構成されたコンピュータ可読プログラム・コードと、内部パケットまたは複数のパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットをＶＯＮゲートウェイへ送信すること、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずにＶＯＮゲートウェイへ送信することを、択一的に行うよう構成されたコンピュータ可読プログラム・コードとを含む。

別の実施形態によれば、システムは、１つ以上の仮想ネットワークおよび１つ以上の非仮想ネットワークと電気通信するようになっている１つ以上のインターフェースと、複数のパケットを含むネットワーク・トラフィックを受信する手段と、パケットがオーバーレイ・ヘッダを含むかどうかを判断する手段と、トンネルを終了し、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除する手段と、パケットに対してサービスが実行されることを判断し、パケットに対してサービスを実行する手段と、トンネルを開始し、サービスを受けたパケットを、オーバーレイ・ヘッダを用いてカプセル化して、カプセル化された、サービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングする手段、またはサービスを受けたパケットを、オーバーレイ・ヘッダを用いてパケットをカプセル化せずに非仮想ネットワーク内の宛先アドレスへスイッチングする手段とを含む。

本発明の他の側面および実施形態が、以下の詳細な説明から明らかになる。詳細な説明は、図面と併せて理解されると、本発明の原理の例示となる。

一実施形態によるネットワーク・アーキテクチャを示す。 一実施形態による、図１のサーバもしくはクライアントまたはその両方に関連し得る典型的なハードウェア環境を示す。 一実施形態による、仮想化されたデータ・センタの略図である。 従来技術による、仮想ネットワーク（単数または複数）と、非仮想ネットワーク（単数または複数）との間の接続性の略図である。 一実施形態による、仮想ネットワーク（単数または複数）と、非仮想ネットワーク（単数または複数）との間の単純化した接続性を示す。 一実施形態による、仮想オーバーレイ・ネットワーク・ゲートウェイ中の単純化したフローを示す。 一実施形態による、オーバーレイ・ネットワーク・デバイス中の単純化したフローを示す。 一実施形態による方法のフローチャートである。 一実施形態による方法のフローチャートである。

以下の説明は、本発明の一般的な原理を示すように構成されており、本願において特許請求される発明概念を限定することは意図されていない。さらに、本願明細書に記載される特定の特徴は、様々な可能な組み合わせおよび置換のそれぞれにおいて、記載されている他の特徴と組み合わせて使用可能である。

本願明細書で明確に別途定義されない限り、すべての用語には、当業者により理解される意味もしくは辞書、論文などで定義されている意味、またはその両方のみならず、明細書が示唆する意味をも含む、最大限広範な解釈が与えられるものとする。

さらに、明細書および添付の特許請求の範囲で使用される単数形の「ある」（ａ、ａｎ）および「該」（ｔｈｅ）は、別途指定がない限り、複数の指示対象を含むことに留意されたい。

一手法において、仮想ローカル・エリア・ネットワーク（ＶＬＡＮ：ｖｉｒｔｕａｌ ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）ゲートウェイおよびインターネットワーク構成要素（ＩＮＥ）は、仮想オーバーレイ・ネットワーク・トラフィックを転送する間、内部パケットのネイティブな（ｎａｔｉｖｅ）可視性の欠如を克服するために、ディープ・パケット・インスペクション・サービスを提供するデバイスを利用してもよい。

一般的な一実施形態では、システムは、オーバーレイ・ネットワーク・デバイスを含み、オーバーレイ・ネットワーク・デバイスは、仮想オーバーレイ・ネットワーク（ＶＯＮ）ゲートウェイと電気通信するようになっているインターフェースと、ＶＯＮゲートウェイから複数のパケットを受信する手段と、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断する手段と、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除する手段と、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行する手段と、サービスを受けた内部パケットまたはサービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットをＶＯＮゲートウェイへ送信する手段、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずにＶＯＮゲートウェイへ送信する手段とを含む。

別の一般的な実施形態では、仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックにサービスを提供する方法は、複数のパケットを含むネットワーク・トラフィックを受信するステップと、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断するステップと、トンネルを終了し、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除するステップと、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行するステップと、トンネルを開始し、サービスを受けた内部パケットまたはサービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットを送信するステップ、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずに送信するステップとを含む。

さらに別の一般的な実施形態では、仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックにサービスを提供するためのコンピュータ・プログラム製品は、コンピュータ可読ストレージ媒体を用いて具現化されたコンピュータ可読プログラム・コードを有するコンピュータ可読ストレージ媒体を含み、コンピュータ可読プログラム・コードは、複数のパケットを含むネットワーク・トラフィックをＶＯＮゲートウェイから受信するよう構成されたコンピュータ可読プログラム・コードと、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断するよう構成されたコンピュータ可読プログラム・コードと、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除するよう構成されたコンピュータ可読プログラム・コードと、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行するよう構成されたコンピュータ可読プログラム・コードと、内部パケットまたは複数のパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットをＶＯＮゲートウェイへ送信すること、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずにＶＯＮゲートウェイへ送信することを、択一的に行うよう構成されたコンピュータ可読プログラム・コードとを含む。

別の一般的な実施形態によれば、システムは、１つ以上の仮想ネットワークおよび１つ以上の非仮想ネットワークと電気通信するようになっている１つ以上のインターフェースと、複数のパケットを含むネットワーク・トラフィックを受信する手段と、パケットがオーバーレイ・ヘッダを含むかどうかを判断する手段と、トンネルを終了し、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除する手段と、パケットに対してサービスが実行されることを判断し、パケットに対してサービスを実行する手段と、トンネルを開始し、サービスを受けたパケットを、オーバーレイ・ヘッダを用いてカプセル化して、カプセル化された、サービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングする手段、またはサービスを受けたパケットを、オーバーレイ・ヘッダを用いてパケットをカプセル化せずに非仮想ネットワーク内の宛先アドレスへスイッチングする手段とを含む。

当業者であれば当然のことであるが、本発明の各側面は、システム、方法、またはコンピュータ・プログラム製品として具現化され得る。したがって、本発明の各側面は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）、または本願明細書においてすべて概して「論理」、「回路」、「モジュール」、もしくは「システム」と呼ばれ得る、ソフトウェアおよびハードウェアの側面を兼ね備えた実施形態の形態をとり得る。さらに、本発明の各側面は、コンピュータ可読プログラム・コードが具現化された１つ以上のコンピュータ可読媒体（単数または複数）において具現化された、コンピュータ・プログラム製品の形態をとることもできる。

１つ以上のコンピュータ可読媒体（単数または複数）の任意の組み合わせが利用され得る。コンピュータ可読媒体は、コンピュータ可読信号媒体または非一時的コンピュータ可読ストレージ媒体とされ得る。非一時的コンピュータ可読ストレージ媒体は、例えば、電子、磁気、光学、電磁気、赤外線、もしくは半導体のシステム、装置、もしくはデバイス、または前述のものの任意の適切な組み合わせとされ得るが、これらに限定はされない。非一時的コンピュータ可読ストレージ媒体のより具体的な例（包括的でないリスト）には、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、読み取り専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）もしくはフラッシュ・メモリ）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ−ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、Ｂｌｕ−Ｒａｙ（Ｒ）ディスク読み取り専用メモリ（ＢＤ−ＲＯＭ：Ｂｌｕ−Ｒａｙ ｄｉｓｃ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、光学式ストレージ・デバイス、磁気ストレージ・デバイス、または前述のものの任意の適切な組み合わせが含まれる。この文書の文脈では、非一時的コンピュータ可読ストレージ媒体は、命令実行システム、装置、もしくはデバイスによって、またはそれに関連して使用されるプログラムまたはアプリケーションを含むこと、または格納することができる任意の有形の媒体とされ得る。

コンピュータ可読信号媒体は、例えば、ベースバンドに、または搬送波の一部としてコンピュータ可読プログラム・コードが具現化された、伝搬データ信号を含み得る。そのような伝搬信号は、電磁気、光学、またはその任意の適切な組み合わせを含むがこれらに限定はされない、様々な形態のいずれかをとってよい。コンピュータ可読信号媒体は、１つ以上のワイヤを有する電気的接続、光ファイバなど、非一時的コンピュータ可読ストレージ媒体でなく、かつ命令実行システム、装置、もしくはデバイスによって、またはそれに関連して使用されるプログラムの伝達、伝搬、または搬送をすることができる、任意のコンピュータ可読媒体としてよい。

コンピュータ可読媒体上に具現化されたプログラム・コードは、無線、有線、光ファイバ・ケーブル、無線周波数（ＲＦ：ｒａｄｉｏ ｆｒｅｑｕｅｎｃｙ）など、または前述のものの任意の適切な組み合わせを含むがこれらに限定はされない、任意の適切な媒体を使用して伝送され得る。

本発明の各側面の動作を実行するコンピュータ・プログラム・コードは、Ｊａｖａ（Ｒ）、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋、または同様のものなどのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは同様のプログラミング言語などの従来の手続きプログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで書かれていてよい。プログラム・コードは、完全にユーザのコンピュータ上で実行されても、部分的にユーザのコンピュータ上で実行されても、スタンド・アロン・ソフトウェア・パッケージとして実行されても、部分的にユーザのコンピュータ上で、かつ部分的に遠隔コンピュータ上で実行されても、または完全に遠隔コンピュータもしくはサーバ上で実行されてもよい。後者のシナリオでは、ローカル・エリア・ネットワーク（ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ ）、ストレージ・エリア・ネットワーク（ＳＡＮ：ｓｔｏｒａｇｅ ａｒｅａ ｎｅｔｗｏｒｋ）、もしくは広域ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）、またはそのいずれかの組み合わせを含む任意のタイプのネットワーク、任意の仮想ネットワークを介して遠隔コンピュータまたはサーバがユーザのコンピュータに接続されてもよく、または、例えばインターネット・サービス・プロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）を使用しインターネットを介して外部コンピュータに接続されてもよい。

本発明の各側面について、本発明の様々な実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図もしくはブロック図またはその両方を参照して本願明細書に記載する。当然のことながら、フローチャート図もしくはブロック図またはその両方の各ブロック、およびフローチャート図もしくはブロック図またはその両方の複数ブロックの組み合わせは、コンピュータ・プログラム命令により実施され得る。マシンを生じるよう、こうしたコンピュータ・プログラム命令が、汎用コンピュータ、専用コンピュータ、またはその他のプログラム可能データ処理装置のプロセッサに提供されて、この命令が、コンピュータまたはその他のプログラム可能データ処理装置のプロセッサにより実行されて、フローチャートもしくはブロック図またはその両方の１つもしくは複数のブロックにおいて指定された機能／動作を実施する手段を作り出すようにすることもできる。

さらに、特定の形で機能するようコンピュータ、その他のプログラム可能データ処理装置、またはその他のデバイスに指示することができるこうしたコンピュータ・プログラム命令は、コンピュータ可読媒体に格納されて、コンピュータ可読媒体に格納されたこの命令が、フローチャートもしくはブロック図またはその両方の１つもしくは複数のブロックにおいて指定された機能／動作を実施する命令を含む製品を生じるようにすることもできる。

さらに、コンピュータ・プログラム命令は、コンピュータ、その他のプログラム可能データ処理装置、またはその他のデバイスにロードされて、コンピュータ、その他のプログラム可能装置、またはその他のデバイス上で一連の動作ステップが実行されるようにしてコンピュータで実施されるプロセスを生じさせ、コンピュータまたはその他のプログラム可能装置上で実行されるこの命令が、フローチャートもしくはブロック図またはその両方の１つもしくは複数のブロックにおいて指定された機能／動作を実施するためのプロセスを提供するようにすることもできる。

図１は、一実施形態によるネットワーク・アーキテクチャ１００を示す。図１に示されているように、第１の遠隔ネットワーク１０４および第２の遠隔ネットワーク１０６を含む、複数の遠隔ネットワーク１０２が提供される。ゲートウェイ１０１が、遠隔ネットワーク１０２と、近接ネットワーク１０８との間に連結されてもよい。本ネットワーク・アーキテクチャ１００との関連では、ネットワーク１０４、１０６は、それぞれ、ＬＡＮ、ＶＬＡＮ、インターネットなどのＷＡＮ、公衆交換電話網（ＰＳＴＮ：ｐｕｂｌｉｃ ｓｗｉｔｃｈｅｄ ｔｅｌｅｐｈｏｎｅ ｎｅｔｗｏｒｋ）、内部電話網などを含むがこれらに限定はされない、任意の形態をとってよい。

使用中、ゲートウェイ１０１は、遠隔ネットワーク１０２から近接ネットワーク１０８への入口点としての機能を果たす。よって、ゲートウェイ１０１は、ゲートウェイ１０１に到着する所与のデータのパケットを誘導できるルータ、および所与のパケットに対してゲートウェイ１０１に出入りする実経路を提供するスイッチとして機能し得る。

さらに、近接ネットワーク１０８に連結された少なくとも１つのデータ・サーバ１１４が含まれており、データ・サーバ１１４には、遠隔ネットワーク１０２からゲートウェイ１０１を介してアクセス可能である。なお、データ・サーバ（単数または複数）１１４は、任意のタイプのコンピューティング・デバイス／グループウェアを含み得る。各データ・サーバ１１４には、複数のユーザ・デバイス１１６が連結されている。そのようなユーザ・デバイス１１６には、デスクトップ・コンピュータ、ラップトップ・コンピュータ、ハンドヘルド・コンピュータ、プリンタ、もしくはその他任意のタイプの論理を含むデバイス（ｌｏｇｉｃ−ｃｏｎｔａｉｎｉｎｇ ｄｅｖｉｃｅ）、またはそのいずれかの組み合わせが含まれ得る。なお、一部の実施形態では、ユーザ・デバイス１１１が、ネットワークのいずれかに直接連結されることもできる。

例えば、ファクシミリ装置、プリンタ、スキャナ、ハード・ディスク・ドライブ、ネットワーク接続された、もしくはローカルの、またはその両方のストレージ・ユニットもしくはストレージ・システムなど、１つの周辺機器１２０または一連の周辺機器１２０が、ネットワーク１０４、１０６、１０８の１つ以上に連結されてもよい。なお、データベースもしくは追加のコンポーネントまたはその両方が、ネットワーク１０４、１０６、１０８に連結された任意のタイプのネットワーク構成要素とともに利用されても、またはネットワーク構成要素に統合されてもよい。本記載の文脈では、ネットワーク構成要素は、ネットワークの任意のコンポーネントを指し得る。

一部の手法によれば、本願明細書に記載された方法およびシステムは、ＩＢＭ（ＩＢＭ社の登録商標）ｚ／ＯＳ（ＩＢＭ社の登録商標）環境をエミュレートするＵｎｉｘ（Ｒ）システム、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（Ｒ）環境を仮想ホストするＵＮＩＸ（Ｒ）システム、ＩＢＭ（ＩＢＭ社の登録商標）ｚ／ＯＳ（ＩＢＭ社の登録商標）環境をエミュレートするＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（Ｒ）システムなど、仮想システムもしくは１つ以上の他のシステムをエミュレートするシステム、またはその両方のシステムを用いた実装、もしくは該システム上での実装、またはその両方が可能である。この仮想化もしくはエミュレーションまたはその両方は、一部の実施形態では、ＶＭＷＡＲＥソフトウェアを用いて強化され得る。

さらなる手法では、１つ以上のネットワーク１０４、１０６、１０８は、一般的に「クラウド」と呼ばれる複数のシステムのクラスタを表し得る。クラウド・コンピューティングでは、処理能力、周辺機器、ソフトウェア、データ、サーバなどの共有リソースが、オンデマンドの関係でクラウド内の任意のシステムに提供され、それによって、多数のコンピューティング・システムにわたるサービスのアクセスおよび配分が可能になる。クラウド・コンピューティングは、典型的には、クラウド内で動作するシステム間のインターネット接続を伴うが、従来技術で周知の通り、システムを接続する他の技術も使用され得る。

図２は、一実施形態による、図１のユーザ・デバイス１１６もしくはサーバ１１４またはその両方に関連する典型的なハードウェア環境を示す。図２は、いくつかの実施形態による、マイクロプロセッサなどの中央処理ユニット（ＣＰＵ：ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）２１０、およびその他、ローカル・バス、パラレル・バス、シリアル・バスなど、様々なタイプとされ得る１つ以上のバス２１２を介して相互接続されたいくつかのユニットを有する、ワークステーションの典型的なハードウェア構成を示す。

図２に示されたワークステーションは、ランダム・アクセス・メモリ（ＲＡＭ）２１４と、読み取り専用メモリ（ＲＯＭ）２１６と、ディスク・ストレージ・ユニット２２０などの周辺デバイスを１つ以上のバス２１２に接続するためのＩ／Ｏアダプタ２１８と、キーボード２２４、マウス２２６、スピーカ２２８、マイクロフォン２３２、もしくはタッチ・スクリーン、デジタル・カメラ（図示せず）などの他のユーザ・インターフェース・デバイス、またはそのいずれかの組み合わせを１つ以上のバス２１２に接続するためのユーザ・インターフェース・アダプタ２２２と、ワークステーションを通信ネットワーク２３５（例えばデータ処理ネットワーク）に接続するための通信アダプタ２３４と、１つ以上のバス２１２をディスプレイ・デバイス２３８に接続するためのディスプレイ・アダプタ２３６とを含む。

ワークステーション上には、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（Ｒ）オペレーティング・システム（ＯＳ：Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、ＭＡＣ ＯＳ、ＵＮＩＸ（Ｒ）ＯＳなどのオペレーティング・システムが常駐していてもよい。当然のことながら、好適な実施形態は、言及されたもの以外のプラットフォームおよびオペレーティング・システム上でも実施され得る。好適な実施形態は、オブジェクト指向プログラミング手法とともに、ＪＡＶＡ（Ｒ）、ＸＭＬ、Ｃ、もしくはＣ＋＋言語、またはそのいずれかの組み合わせ、またはその他のプログラミング言語を使用して書かれてもよい。複雑なアプリケーションを開発するために使用されることが増加してきた、オブジェクト指向プログラミング（ＯＯＰ：Ｏｂｊｅｃｔ ｏｒｉｅｎｔｅｄ ｐｒｏｇｒａｍｍｉｎｇ）が使用されてもよい。

以下、図３を参照する。一実施形態による、オーバーレイ・ネットワーク３００の概念的ビューが示されている。ネットワーク・サービスを仮想化するために、単純にデバイス間のファブリック・パス（接続性）を提供するほかに、非仮想ネットワーク（単数または複数）３１２と、仮想ネットワークＡ３０４および仮想ネットワークＢ３０６との間を移動するパケットのルーティングおよびフォワーディングを提供するゲートウェイ３１４中をパケットが進むときに、パケットにサービスが提供されてもよい。１つ以上の仮想ネットワーク３０４、３０６は、物理（実）ネットワーク・インフラストラクチャ３０２内に存在する。ネットワーク・インフラストラクチャ３０２は、当業者には周知のように、スイッチ、コネクタ、ワイヤ、回路、ケーブル、サーバ、ホスト、ストレージ媒体、オペレーティング・システム、アプリケーション、ポート、Ｉ／Ｏなどを含むがこれらに限定はされない、典型的にネットワーク・インフラストラクチャに関連する、もしくはネットワーク・インフラストラクチャにおいて使用される、またはその両方の、任意のコンポーネント、ハードウェア、ソフトウェア、もしくは機能性、またはそのいずれかの組み合わせを含んでもよい。このネットワーク・インフラストラクチャ３０２は、レガシ・ネットワークであってもよい少なくとも１つの非仮想ネットワーク３１２をサポートする。

各仮想ネットワーク３０４、３０６は、任意数の仮想マシン（ＶＭ：ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ）３０８、３１０を使用し得る。一実施形態では、仮想ネットワークＡ３０４は、１つ以上のＶＭ３０８を含み、仮想ネットワークＢ３０６は、１つ以上のＶＭ３１０を含む。図３に示されているように、ＶＭ３０８、３１０は、仮想ネットワーク３０４、３０６によって共有されずに、常時１つのみの仮想ネットワーク３０４、３０６に排他的に含まれる。

一実施形態によれば、オーバーレイ・ネットワーク３００は、１つ以上の分散ライン・カード（ＤＬＣ：ｄｉｓｔｒｉｂｕｔｅｄ ｌｉｎｅ ｃａｒｄ）と相互接続された１つ以上のセル交換ドメイン・スケーラブル・ファイブリック・コンポーネント（ＳＦＣ：ｓｃａｌａｂｌｅ ｆａｂｒｉｃ ｃｏｍｐｏｎｅｎｔ）を含んでもよい。

「フラット・スイッチ」アーキテクチャを有することにより、複数のＶＭは、アーキテクチャを横断してデータを容易かつ効率的に移動させることができる。一般に、ＶＭが、１つのサブネットから別のサブネットへ、インターネット・プロトコル（ＩＰ）サブネットからＩＰサブネットへなど、レイヤ３ドメインを横断することは非常に困難である。しかし、アーキテクチャが、超大型レイヤ２ドメインにおける大型フラット・スイッチに類似していれば、アーキテクチャを横断してデータを移動させようと試行するＶＭの支援になる。

図４は、従来技術による、従来の仮想ネットワーク３０４、３０６から非仮想ネットワーク３１２への接続性を示す。図のように、ＶＯＮゲートウェイ４００は、仮想ネットワーク３０４、３０６から開始されたトンネルから非仮想ネットワーク３１２へ向かってトラフィックをルーティングするために使用されてもよく、トンネル終端点としての機能を果たす。さらに、ゲートウェイ４００は、仮想ネットワーク３０４と仮想ネットワーク３０６との間のトンネルを介してトラフィックをルーティングするために使用され得る。これを達成するために、ゲートウェイ４００は、イーサネット（Ｒ）、ファイバ・チャネル、またはその他任意の接続方式などを介して、物理的接続を使用して仮想ネットワーク３０４、３０６および非仮想ネットワーク３１２に接続される。しかしながら、ゲートウェイ４００は、オーバーレイ・パケットのペイロード内にあるかもしれない任意のパケットに関して、トンネルを介して到着するトラフィックを検査できない。したがって、ゲートウェイ４００が、オーバーレイ・パケット内のパケットに対してサービスを提供する方法がない。

以下、図５を参照する。一実施形態による、仮想ネットワーク３０４、３０６と、非仮想ネットワーク（単数または複数）３１２との間の接続性が示されている。図のように、仮想拡張ローカル・エリア・ネットワーク（ＶＸＬＡＮ）ゲートウェイなどの仮想オーバーレイ・ネットワーク（ＶＯＮ）ゲートウェイ５０２が、仮想ネットワークまたは非仮想ネットワークへの、または該ネットワークからの、ゲートウェイを通過する任意のトラフィックに対して、ルーティング機能を提供し得る。さらに、ゲートウェイ５０２は、トラフィックをオーバーレイ・ネットワーク・デバイス５００へ誘導することができる。

ゲートウェイ５０２は、中央処理ユニット、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ：ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ）、集積回路（ＩＣ：ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）、特定用途向け集積回路（ＡＳＩＣ：ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）、または当該技術分野で周知の他の何らかの適切なプロセッサなどの、論理を実行するプロセッサを含んでもよい。

一実施形態によれば、着信するＶＯＮカプセル化パケットをオーバーレイ・ネットワーク・デバイス５００にパント（ｐｕｎｔ）するために、アクセス制御リスト（ＡＣＬ：ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｌｉｓｔ）がインターネットワーキング構成要素（ＩＮＥ）および仮想オーバーレイ・ネットワーク（ＶＯＮ）ゲートウェイ５０２ポートに適用されてもよい。そのようなＡＣＬをポートに対してアクティブ化すると、ＡＣＬアクティブ化ポート上で受信される任意のパケットは、オーバーレイ・ネットワーク・デバイス５００にパントされることになる。続いて、オーバーレイ・ネットワーク・デバイス５００は、サービスのチェーンを実施する。当業者には周知のように、数ある可能性の中でも特に、ファイアウォール・サービス、侵入防止システム（ＩＰＳ）サービス、侵入検出システム（ＩＤＳ）、ＩＰＳ／ＩＤＳサービス、サーバ・ロード・バランシング・サービス、ＬＡＮ最適化サービス、ＶＰＮサービス、ビデオ最適化サービス、ネットワーク・アドレス変換（ＮＡＴ：ｎｅｔｗｏｒｋ ａｄｄｒｅｓｓ ｔｒａｎｓｌａｔｉｏｎ）サービス、暗号化サービス、復号サービスなど、当該技術分野で周知の任意のサービスが、トラフィックに対して適用され得る。これらのサービスはそれぞれ、オーバーレイ・ネットワーク・デバイス５００を起動すると、システム管理者の要望通りに、個々にアクティブ化されても、個々にバイパスされても、または手動で選択されてもよい。

オーバーレイ・ネットワーク・デバイス５００は、中央処理ユニット（ＣＰＵ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、集積回路（ＩＣ）、および特定用途向け集積回路（ＡＳＩＣ）、または当該技術分野で周知の他の何らかの適切なプロセッサなどの、論理を実行するプロセッサを含んでもよく、該プロセッサとして具現化されてもよい。別の実施形態では、オーバーレイ・ネットワーク・デバイス５００は、ゲートウェイまたはＩＮＥ５０２に搭載されたプロセッサであってもよく、ゲートウェイもしくはＩＮＥ５０２のプロセッサにおいて構成された論理であってもよく、またはその他、ゲートウェイもしくはＩＮＥ５０２の外部に位置する何らかの適切なデバイス内にあってもよい。

仮想オーバーレイ・ネットワーク（仮想ネットワークＡ３０４、仮想ネットワークＢ３０６など）から非仮想化レガシ・ネットワーク（非仮想ネットワーク３１２など）に到着する、レイヤ３ユーザ・データグラム・プロトコル／インターネット・プロトコル（ＵＤＰ／ＩＰ）カプセル化トラフィックに関して、オーバーレイ・ネットワーク・デバイス５００は、宛先アドレスがＩＮＥ仮想トンネル・エンド・ポイント（ＶＴＥＰ：Ｖｉｒｔｕａｌ Ｔｕｎｎｅｌ Ｅｎｄ Ｐｏｉｎｔ）アドレスであるフローを終了させ、内部パケットをカプセル化解除し、内部パケットにサービスを提供できるオーバーレイ・ネットワーク・デバイス・サービス・チェーンに内部パケットを渡す。パケットは、オーバーレイ・ネットワーク・デバイス５００内部に構成されアクティブ化されているサービスのチェーンを経由する。チェーンの終わりに、パケットの最終宛先アドレスに基づいて、パケットをオーバーレイ・フォーマットへとカプセル化して（宛先アドレスが仮想ネットワーク・アドレス空間にある場合）それをトンネル上で渡すか、またはパケットをそのままで渡す（宛先アドレスが非仮想ネットワークにある場合）かが決定され、パケットは、ＩＮＥに再度入れられる。

オーバーレイ・ネットワーク・デバイス５００からＩＮＥまたはＶＯＮゲートウェイ５０２に到来するパケットは、ＩＮＥ５０２内のあらゆるトンネル管理論理をバイパスし、ＩＮＥ５０２内の「ルックアップ・フォワード」論理のみを経由して、エグレス経路を発見し、その経路を介して、パケット内の宛先アドレスに基づいて仮想ネットワーク（３０４、３０６）または非仮想ネットワーク３１２のいずれかに入る。

同じく、非仮想ネットワーク（単数または複数）３１２から仮想ネットワーク（単数または複数）３０４、３０６に到来するトラフィックに関して、パケットは、イングレス・ポートに適用されたＡＣＬに基づいて、オーバーレイ・ネットワーク・デバイス５００に渡される。パケットは、オーバーレイ・ネットワーク・デバイス５００に到着すると、オーバーレイ・ネットワーク・デバイス５００内部に構成されたサービスのチェーンに通される。チェーンの終わりに、パケットの最終宛先アドレスに基づいて、パケットをオーバーレイ・フォーマットへとカプセル化して（宛先アドレスが仮想ネットワーク・アドレス空間にある場合）それをトンネル上で渡すか、またはパケットをそのままで渡す（宛先アドレスが非仮想ネットワークにある場合）かが決定され、パケットは、ＩＮＥ５０２に再度入れられる。オーバーレイ・ネットワーク・デバイス５００からＩＮＥまたはＶＯＮゲートウェイ５０２に到来するパケットは、ＩＮＥ５０２内のトンネル管理論理をバイパスし、「ルックアップ・フォワード」論理のみを経由して、エグレス経路を発見し、その経路を介して、パケット内の宛先アドレスに基づいて仮想オーバーレイ・ネットワーク３０４、３０６または非仮想レガシ・ネットワーク（単数または複数）３１２のいずれかに入る。

オーバーレイ・ネットワーク・デバイス・サービスは、仮想アプライアンスにおいて実施されても、市販（ＣＯＴＳ：ｃｏｍｍｅｒｃｉａｌ ｏｆｆ ｔｈｅ ｓｈｅｌｆ）サーバなどの任意のタイプのサーバ上で実施されても、ＶＸＬＡＮゲートウェイなどのＩＮＥまたはＶＯＮゲートウェイ５０２に搭載された専用チップセットとして実施されても、または本記載を読むと当業者には分かるであろう他の任意のシステム、デバイス、もしくはプロセッサにおいて実施されてもよい。

オーバーレイ・ネットワーク・デバイス５００の管理論理は、例えばイーサネット（Ｒ）、ペリフェラル・コンポーネント・インターコネクト・エクスプレス（ＰＣＩｅ：ｐｅｒｉｐｈｅｒａｌ ｃｏｍｐｏｎｅｎｔ ｉｎｔｅｒｃｏｎｎｅｃｔ ｅｘｐｒｅｓｓ）オーバ・イーサネット、ファイバ・チャネル（ＦＣ：ｆｉｂｅｒ ｃｈａｎｎｅｌ）オーバ・イーサネット（ＦＣｏＥ：ＦＣ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ）などのパケット転送プロトコルに関係なく、着信データ・パケットおよび発信データ・パケットを処理するよう構成されることもできる。

一手法では、着信データ・パケットを処理する過程でシステムが実行するとよい１つ以上のサービスを判断するために、着信データ・パケットが分析されてもよい。さらに、この、システムが実行するとよいサービスは、着信データ・パケットを処理する過程でデータ・パケットが通ることになる処理経路の全部または一部を定義する。

例えば、特定のサービスがネットワーク・トラフィックのサブセットのみに対して実行される一実施形態では、それらのサービスを必要とするデータ・パケットは、目的のサービスを受けるために、それらのサービスを必要とするものとして識別されなければならない。したがって、一実施形態において、処理経路の少なくとも一部は、サービスが実行されるか否かの判断を含み、処理経路を一部定義する。

様々な実施形態によれば、パケットに対して実行され得るサービスには、当業者には周知のように、数ある可能性の中でも特に、ファイアウォール・サービス、侵入防止システム（ＩＰＳ）サービス、侵入検出システム（ＩＤＳ）、ＩＰＳ／ＩＤＳサービス、サーバ・ロード・バランシング・サービス、ＬＡＮ最適化サービス、ＶＰＮサービス、ビデオ最適化サービス、ネットワーク・アドレス変換（ＮＡＴ）サービス、暗号化サービス、復号サービスなどが含まれるが、これらに限定はされない。

一実施形態では、ＶＸＬＡＮフレーム・フォーマットは以下の通りであってもよい。

このフレーム・フォーマットは、パケットが内部パケットに関して検査されるべきかどうかを判断するために、いくつかの異なる方法で使用され得る。そのような方法の１つでは、宛先ポート（Ｄｅｓｔポート）が判断されてもよい。例として、上記で示したフレーム・フォーマットでは、宛先ポートはＶＸＬＡＮポートであり、これは、パケットがオーバーレイ・ヘッダを有することを示す。したがって、このパケットは、内部パケットが何を含むか、さらに続いてサービスが内部パケットに対して実行されるべきかどうかを判断するために、カプセル化解除されてもよい。当然、当業者に周知であり本願明細書に記載されるように、サービスが内部パケットに対して実行されるべきかどうか、およびパケットが内部パケットを含むかどうかを判断する、他の方法が使用されてもよい。

以下、図８を参照する。一実施形態による、方法８００のフローチャートが示されている。方法８００は、様々な実施形態において、特に図１〜図７に示した環境のいずれかの中で、本発明に従って実行され得る。当然、本記載を読むと当業者には分かるように、図８に具体的に記載される動作よりも多い、または少ない動作が方法８００に含まれてもよい。

方法８００のステップはそれぞれ、動作環境の任意の適切なコンポーネントによって実行され得る。例えば一実施形態では、方法８００は様々な手法で、部分的または全体的に、オーバーレイ・ネットワーク・デバイス、プロセッサ（ＣＰＵ、ＡＳＩＣ、ＦＰＧＡなど）、ＶＯＮゲートウェイ、またはＩＮＥによって実行され得る。

図８に示されているように、方法８００は、動作８０２から開始するとよく、複数のパケットを含むネットワーク・トラフィックが受信される。一手法では、ネットワーク・トラフィックは、より詳細に本願明細書に記載されるように、ネットワーク・ゲートウェイにて受信されてもよく、ネットワーク・ゲートウェイからオーバーレイ・ネットワーク・デバイスへ送信されてもよい。

動作８０４において、パケットがオーバーレイ・ヘッダを含むかどうかが判断される。これは、外部ＵＤＰヘッダの宛先ポートを判断することによって達成されてもよい。宛先ポートがＶＸＬＡＮポートなどの仮想ＬＡＮポートであれば、パケットはオーバーレイ・ヘッダを含むと見なされてもよい。

オプションとしての動作８０６では、パケットが仮想ネットワークから受信されたものである場合、パケットが受信されたトンネルが終了されてもよい。このように、ゲートウェイ、ＩＮＥ、またはオーバーレイ・ネットワーク・デバイスのいずれかが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。好適な一手法では、オーバーレイ・ネットワーク・デバイスが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。

動作８０８では、オーバーレイ・ヘッダを含むパケットの内部パケットがカプセル化解除され、それによって、内部パケットの可視性が提供される。内部パケットは、Ｉ／Ｏパケット（例えばファイバ・チャネル・オーバ・イーサネット（ＦＣｏＥ）パケット）、制御パケット、ＩＰパケット、ボイス・パケットなど、当該技術分野で周知の任意のタイプであってよい。

動作８１０において、パケット（例えば内部パケットおよび非仮想ネットワークからのパケット）に対してサービスが実行されることが判断され、パケットに対してサービスが実行される。

様々な実施形態によれば、サービスが実行されることを判断する方法は多数ある。パケットが受信されたポートが、実行されるサービスを決定すること、パケットの宛先ポートが、実行されるサービスを決定すること、パケットのタイプが、実行されるサービスを決定することなどがあり得る。

一実施形態では、パケットに対してサービスが実行されることを判断することは、ＡＣＬを複数のパケットに対して適用して、サービスを実行されるパケットと、サービスを実行されないパケットとを区別することを含んでもよい。

さらなる実施形態において、サービスを実行されるパケットのタイプは、異なる１つまたは複数のＡＣＬを複数のパケットに対して適用することによって、変更、改変、指定などがなされてもよい。ＡＣＬは、サービスを実行されるパケットを捕捉する。本記載を読むと当業者には分かるように、システム管理者またはその他何らかの権限付与されたユーザが、サービスを受けるパケットの様々なタイプを多数指定するために、複数のＡＣＬを指定し得る。

いくつかの実施形態によれば、サービスは、数ある可能性の中でも特に、ファイアウォール・サービス、ＩＰＳ、ＩＤＳ、サーバ・ロード・バランシング・サービス、ＶＰＮサービス、ビデオ最適化サービス、もしくはＷＡＮ最適化サービス、またはそのいずれかの組み合わせのうちの１つ以上を含んでもよい。一手法では、サービスは、上記に列挙したサービスのうちの３つ以上を含んでもよい。

オプションとしての動作８１２において、仮想ネットワーク内の宛先アドレスを有するパケットのためにトンネルが開始されるとよい。これは、当業者に周知の任意の方法を使用して実行され得る。このように、ゲートウェイ、ＩＮＥ、またはオーバーレイ・ネットワーク・デバイスのいずれかが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。好適な一手法では、オーバーレイ・ネットワーク・デバイスが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。

送出されるパケットのタイプに応じて、方法８００は、動作８１４（仮想ネットワーク宛てのパケットの場合）または動作８１６（非仮想ネットワーク宛てのパケットの場合）のいずれかに進む。

動作８１４では、サービスを受けたパケットが、オーバーレイ・ヘッダを用いてカプセル化され、仮想ネットワーク内の宛先アドレスへスイッチングされる。これは、様々な実施形態において、オーバーレイ・ネットワーク・デバイスまたはゲートウェイのいずれかによって実行され得る。当然、一部の手法では、オーバーレイ・ネットワーク・デバイスは、ゲートウェイに組み込まれたチップセットまたはプロセッサであってもよい。

動作８１６では、サービスを受けたパケットは、オーバーレイ・ヘッダを用いてパケットをカプセル化せずに、非仮想ネットワーク内の宛先アドレスへスイッチングされる。

方法８００は、図８に記載された動作の全部または一部を含む様々な実施形態において、コンピュータ・プログラム製品、他の方法、論理、およびシステムで実行され得る。

そのような実施形態の１つでは、システムは、オーバーレイ・ネットワーク・デバイスを含み、オーバーレイ・ネットワーク・デバイスは、ＶＯＮゲートウェイと電気通信するようになっているインターフェースと、ＶＯＮゲートウェイから複数のパケットを受信する手段と、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断する手段と、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除する手段と、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行する手段と、サービスを受けた内部パケットまたはサービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットをＶＯＮゲートウェイへ送信すること、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずにＶＯＮゲートウェイへ送信することのいずれかをする手段とを含む。

いくつかのさらなる実施形態では、システムは、１つ以上の仮想ネットワークおよび１つ以上の非仮想ネットワークに接続されたＶＯＮゲートウェイをさらに含んでもよい。これらの実施形態では、ＶＯＮゲートウェイは、ネットワーク・トラフィック（本願明細書に記載されるように、仮想ネットワークもしくは非仮想ネットワークまたはその両方から受信されるパケットなど）に対してルーティング機能を実行する手段と、ネットワーク・トラフィックの複数のパケットをオーバーレイ・ネットワーク・デバイスへルーティングする手段と、オーバーレイ・ネットワーク・デバイスから複数のパケットを再受信する手段とを含んでもよい。

さらなる実施形態では、ＶＯＮゲートウェイは、特定の受信パケットに対してサービスを実行するために、ＶＯＮゲートウェイのポート上で受信されるネットワーク・トラフィックに対してＡＣＬを適用して、該パケットをオーバーレイ・ネットワーク・デバイスへ誘導するようになっていてもよい。さらに、ＶＯＮゲートウェイに、そのポート上で受信されるネットワーク・トラフィックに対して別のＡＣＬを適用させることによって、サービスを実行されるパケットのタイプが変更されてもよい。

別の実施形態では、オーバーレイ・ネットワーク・デバイスは、オーバーレイ・ヘッダを含むパケットのためのトンネルを終了する手段と、仮想ネットワーク内の宛先アドレスへスイッチングされるパケットのためのトンネルを開始する手段とをさらに含んでもよい。このように、一部の手法では、オーバーレイ・ネットワーク・デバイスは、仮想ネットワークのいずれかへ／からのトンネルの開始点および終端点としての機能を果たし、ＶＯＮゲートウェイからこの機能性を取り除いてもよい。

ＶＯＮゲートウェイ、オーバーレイ・ネットワーク・デバイスなど、本願明細書に記載された任意のシステムは、１つ以上の仮想ネットワークおよび１つ以上の非仮想ネットワークと電気通信するようになっている１つ以上のインターフェースを含んでもよい。

以下、図９を参照する。一実施形態による、方法９００のフローチャートが示されている。方法９００は、様々な実施形態において、特に図１〜図７に示した環境のいずれかの中で、本発明に従って実行され得る。当然、本記載を読むと当業者には分かるように、図９に具体的に記載される動作よりも多い、または少ない動作が方法９００に含まれてもよい。

方法９００のステップはそれぞれ、動作環境の任意の適切なコンポーネントによって実行され得る。例えば一実施形態では、方法９００は様々な手法で、部分的または全体的に、オーバーレイ・ネットワーク・デバイス、プロセッサ（ＣＰＵ、ＡＳＩＣ、ＦＰＧＡなど）、ＶＯＮゲートウェイ、またはＩＮＥによって実行され得る。

図９に示されているように、方法９００は、動作９０２から開始するとよく、複数のパケットを含むネットワーク・トラフィックが受信される。一手法では、ネットワーク・トラフィックは、より詳細に本願明細書に記載されるように、ネットワーク・ゲートウェイにて受信されてもよく、ネットワーク・ゲートウェイからオーバーレイ・ネットワーク・デバイスへ送信されてもよい。

動作９０４において、パケットがオーバーレイ・ヘッダを含むかどうかが判断される。これは、外部ＵＤＰヘッダの宛先ポートを判断することによって達成されてもよい。宛先ポートがＶＸＬＡＮポートなどの仮想ＬＡＮポートであれば、パケットはオーバーレイ・ヘッダを含むと見なされてもよい。

動作９０６では、パケットが仮想ネットワークから受信されたものである場合、パケットが受信されたトンネルが終了され、オーバーレイ・ヘッダを含むパケットの内部パケットがカプセル化解除され、それによって、内部パケットの可視性が提供される。このように、ＶＯＮゲートウェイ、ＩＮＥ、またはオーバーレイ・ネットワーク・デバイスのいずれかが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。好適な一手法では、オーバーレイ・ネットワーク・デバイスが、ＶＯＮゲートウェイに組み込まれてもよく、ＶＯＮゲートウェイが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。内部パケットは、Ｉ／Ｏパケット（例えばファイバ・チャネル・オーバ・イーサネット（ＦＣｏＥ）パケット）、制御パケット、ＩＰパケット、ボイス・パケットなど、当該技術分野で周知の任意のタイプであってよい。

動作９０８において、複数のパケットまたはカプセル化解除された内部パケットに対してサービスが実行される。様々な実施形態によれば、どのサービスが実行されるかを判断する方法は多数ある。パケットが受信されたポートが、実行されるサービスを決定すること、パケットの宛先ポートが、実行されるサービスを決定すること、パケットのタイプが、実行されるサービスを決定することなどがあり得る。

一実施形態では、どのサービスがパケットに対して実行されるかを判断することは、ＡＣＬを複数のパケットに対して適用して、サービスを実行されるパケットと、サービスを実行されないパケットとを区別することを含んでもよい。

さらなる実施形態において、サービスを実行されるパケットのタイプは、異なる１つまたは複数のＡＣＬを複数のパケットに対して適用することによって、変更、改変、指定などがなされてもよい。ＡＣＬは、サービスを実行されるパケットを捕捉する。本記載を読むと当業者には分かるように、システム管理者またはその他何らかの権限付与されたユーザが、サービスを受けるパケットの様々なタイプを多数指定するために、複数のＡＣＬを指定し得る。

いくつかの実施形態によれば、サービスは、数ある可能性の中でも特に、ファイアウォール・サービス、ＩＰＳ、ＩＤＳ、サーバ・ロード・バランシング・サービス、ＶＰＮサービス、ビデオ最適化サービス、もしくはＷＡＮ最適化サービス、またはそのいずれかの組み合わせのうちの１つ以上を含んでもよい。一手法では、サービスは、上記に列挙したサービスのうちの３つ以上を含んでもよい。

動作９１０では、仮想ネットワーク内の宛先アドレスを有するパケットのために、トンネルが開始され、サービスを受けた内部パケットまたはサービスを受けたパケットが、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化され、カプセル化されたパケットが仮想ネットワーク内の宛先アドレスへ送信される。

この動作は、当業者に周知の任意の方法を使用して実行され得る。このように、ＶＯＮゲートウェイ、ＩＮＥ、またはオーバーレイ・ネットワーク・デバイスのいずれかが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。好適な一手法では、オーバーレイ・ネットワーク・デバイスが、ＶＯＮゲートウェイに組み込まれてもよく、ＶＯＮゲートウェイが、任意の仮想ネットワークへ／からのトンネルの終端点および開始点としての機能を果たしてもよい。

さらに、動作９１２では、非仮想ネットワークへスイッチングされる任意のパケットが、オーバーレイ・ヘッダを用いてパケットをカプセル化せずに、非仮想ネットワークへ送信される。

別の実施形態によれば、仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックに対してサービスを提供するコンピュータ・プログラム製品は、コンピュータ可読ストレージ媒体を用いて具現化されたコンピュータ可読プログラム・コードを有する、（非一時的媒体を含む、本願明細書に記載された、または当業者に周知のタイプの）コンピュータ可読ストレージ媒体を含んでもよい。コンピュータ可読プログラム・コードは、複数のパケットを含むネットワーク・トラフィックを受信するよう構成されたコンピュータ可読プログラム・コードと、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断するよう構成されたコンピュータ可読プログラム・コードと、トンネルを終了し、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除するよう構成されたコンピュータ可読プログラム・コードと、複数のパケットまたはカプセル化解除された内部パケットに対してサービスを実行するよう構成されたコンピュータ可読プログラム・コードと、トンネルを開始し、内部パケットまたは複数のパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、カプセル化されたパケットをＶＯＮゲートウェイへ送信すること、またはサービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてパケットをカプセル化せずにＶＯＮゲートウェイへ送信することを択一的に行うよう構成されたコンピュータ可読プログラム・コードとを含む。

さらなる実施形態では、コンピュータ・プログラム製品は、複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断する前に、ＡＣＬをネットワーク・トラフィックに対して適用して、複数のパケットに対してサービスが実行されることを判断するよう構成されたコンピュータ可読プログラム・コードを含んでもよい。別のさらなる手法では、サービスを実行されるパケットのタイプが、ネットワーク・トラフィックに対して適用する別のＡＣＬを指定することによって変更されてもよい。

様々な実施形態を上記に記載したが、当然のことながら、それらは限定ではなく単なる例として提示された。したがって、本発明の実施形態の幅および範囲は、上記の例示の実施形態のいずれによっても限定されてはならず、以下の特許請求の範囲およびその等価物に従ってのみ定義されるべきである。

Claims (12)

1. １つ以上の仮想ネットワークおよび１つ以上の非仮想ネットワークと電気通信するようになっている１つ以上のインターフェースと、
   複数のパケットを含むネットワーク・トラフィックを受信する手段と、
   前記パケットがオーバーレイ・ヘッダを含むかどうかを判断する手段と、
   オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除する手段と、
   アクセス制御リスト（ＡＣＬ）を前記パケットに対して適用することにより、前記パケットに対してサービスを実行する手段であって、サービスを実行されるパケットのタイプが、別のＡＣＬを前記パケットに対して適用することによって変更される、手段と、
   前記サービスを受けたパケットを、オーバーレイ・ヘッダを用いてカプセル化する手段であって、前記カプセル化された、サービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングする、前記カプセル化する手段、または
   前記サービスを受けたパケットを、オーバーレイ・ヘッダを用いて前記パケットをカプセル化せずに非仮想ネットワーク内の宛先アドレスへスイッチングする手段と
   を含むシステム。
2. 前記サービスは、
   ファイアウォール・サービスと、
   侵入防止サービス（ＩＰＳ）と、
   侵入検出サービス（ＩＤＳ）と、
   サーバ・ロード・バランシング・サービスと、
   仮想プライベート・ネットワーク（ＶＰＮ）サービスと、
   ビデオ最適化サービスと、
   広域ネットワーク（ＷＡＮ）最適化サービスと
   のうちの２つ以上を含む、請求項１に記載のシステム。
3. 請求項１に記載のシステムを含むオーバーレイ・ネットワーク・デバイスであって、前記１つ以上のインターフェースは、
   仮想オーバーレイ・ネットワーク（ＶＯＮ）ゲートウェイと電気通信するインターフェースを含み、前記受信する手段は、
   前記ＶＯＮゲートウェイから複数のパケットを受信する手段を含み、前記カプセル化する手段は、
   前記サービスを受けた内部パケットまたは前記サービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、前記カプセル化されたパケットを前記ＶＯＮゲートウェイへ送信する手段を含み、前記スイッチングする手段は、
   前記サービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いて前記パケットをカプセル化せずに前記ＶＯＮゲートウェイへ送信する手段を含む、オーバーレイ・ネットワーク・デバイス。
4. 前記システムは、１つ以上の仮想ネットワークおよび１つ以上の非仮想ネットワークに接続された前記ＶＯＮゲートウェイをさらに含み、前記ＶＯＮゲートウェイは、
   ネットワーク・トラフィックに対してルーティング機能を実行する手段と、
   前記ネットワーク・トラフィックの複数のパケットを前記オーバーレイ・ネットワーク・デバイスへルーティングする手段と、
   前記オーバーレイ・ネットワーク・デバイスから前記複数のパケットを再受信する手段と
   を含む、請求項３に記載のシステム。
5. 前記ＶＯＮゲートウェイは、特定の受信パケットに対してサービスを実行するために、前記ＶＯＮゲートウェイのポート上で受信されるネットワーク・トラフィックに対してアクセス制御リスト（ＡＣＬ）を適用して、前記特定の受信パケットを前記オーバーレイ・ネットワーク・デバイスへ誘導するようになっている、請求項４に記載のシステム。
6. サービスを実行されるパケットのタイプは、前記ＶＯＮゲートウェイに、前記ＶＯＮゲートウェイのポート上で受信される前記ネットワーク・トラフィックに対して別のＡＣＬを適用させることによって変更される、請求項５に記載のシステム。
7. オーバーレイ・ヘッダを含むパケットのためのトンネルを終了する手段と、
   仮想ネットワーク内の宛先アドレスへスイッチングされるパケットのためのトンネルを開始する手段と
   をさらに含む、請求項３に記載のシステム。
8. 前記サービスは、
   ファイアウォール・サービスと、
   侵入防止サービス（ＩＰＳ）と、
   侵入検出サービス（ＩＤＳ）と、
   サーバ・ロード・バランシング・サービスと、
   仮想プライベート・ネットワーク（ＶＰＮ）サービスと、
   ビデオ最適化サービスと、
   広域ネットワーク（ＷＡＮ）最適化サービスと
   のうちの少なくとも１つを含む、請求項３に記載のシステム。
9. 仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックにサービスを提供する方法であって、前記方法は、
   複数のパケットを含むネットワーク・トラフィックを受信するステップと、
   アクセス制御リスト（ＡＣＬ）を前記ネットワーク・トラフィックに対して適用して、前記複数のパケットに対してサービスが実行されることを判断するステップであって、 サービスを実行されるパケットのタイプが、前記ネットワーク・トラフィックに対して適用する別のＡＣＬを指定することによって変更される、ステップと、
   前記複数のパケットがオーバーレイ・ヘッダを含むかどうかを判断するステップと、
   トンネルを終了し、オーバーレイ・ヘッダを含むパケットの内部パケットをカプセル化解除するステップと、
   前記複数のパケットまたは前記カプセル化解除された内部パケットに対してサービスを実行するステップと、
   トンネルを開始し、前記サービスを受けた内部パケットまたは前記サービスを受けたパケットを、仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いてカプセル化し、前記カプセル化されたパケットを送信するステップ、または
   前記サービスを受けたパケットを、非仮想ネットワーク内の宛先アドレスへスイッチングされるよう、オーバーレイ・ヘッダを用いて前記パケットをカプセル化せずに送信するステップと
   を含む方法。
10. 前記サービスは、
    ファイアウォール・サービスと、
    侵入防止サービス（ＩＰＳ）と、
    侵入検出サービス（ＩＤＳ）と、
    サーバ・ロード・バランシング・サービスと、
    仮想プライベート・ネットワーク（ＶＰＮ）サービスと、
    ビデオ最適化サービスと、
    広域ネットワーク（ＷＡＮ）最適化サービスと
    のうちの少なくとも１つを含む、請求項９に記載の方法。
11. 仮想オーバーレイ・ネットワーク上のネットワーク・トラフィックにサービスを提供するためのコンピュータ・プログラムであって、請求項９〜１０の何れか１項に記載の方法の各ステップをコンピュータに実行させる、コンピュータ・プログラム。
12. 請求項１１に記載の前記コンピュータ・プログラムをコンピュータ可読記録媒体に記録した、記録媒体。
    

Images