JP6648892B2 - 適合ネットワーク機能チェーン - Google Patents

Description

実施形態は概して、ネットワークサービスに関する。

現在のデータネットワークには、個人用サービスを提供するものがある。ネットワークは、特性および性能保証を指定するサービスレベルアグリーメント（ＳＬＡ）支配下のクライアント間に接続を提供し得る。例えば、クライアントは、指定された専用の帯域幅を持つ仮想イーサネット（登録商標）接続を確立し得る。

これらの接続に対し、いくつかのネットワークは、例えば侵入検出、ファイアウォール、パケット検査等のネットワーク機能を適用する可能性がある。これらの機能を提供することは、データを、当該機能を提供するサーバにルーティングすべく、トラフィックフローのルーティングに対する変更を必要とする可能性がある。例えば、侵入検出システムは、ネットワーク攻撃を検出および防止すべく、一連のパケットを検査し得る。従って、トラフィックは、侵入検出機能を提供する特定のデバイスを介してルーティングされ得る。

従来のルーティングアルゴリズムは、データをルーティングするためのその近隣のリンクおよびデバイスに関する各ルータにおけるローカル情報に依存する。ルータは、このような情報をルーティングテーブルに維持している。着信パケットのデスティネーションアドレスに基づいて、ルータはそのルーティングテーブルを使用して、パケットを特定の近隣デバイスに転送する。

Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ（ソフトウェア定義のネットワーク）（ＳＤＮ）と呼ばれる技術は、制御機能および転送機能を別個のデバイスに分離する。制御デバイスは、ネットワークトポロジのグローバル知識を使用して、個々のデータフローのための転送デバイスで構成されるネットワーク中のパスを判断してよい。このように、例えば、制御デバイスは、遅延を最小化し若しくは帯域幅を最大化するパスをネットワーク中に確立してよく、または、特定のネットワーク機能を提供する特定のデバイスを介してデータフローをルーティングしてよい。

ネットワーク機能を提供する従来のアプローチは、ネットワークサービスの開始時に、機能を設定することに依存する。例えば、クライアントは、セキュリティ検査の中レベルのファイアウォール機能を含む仮想イーサネット（登録商標）接続を確立してよい。しかしながら、このアプローチは、変化するネットワーク条件に適切に応答できない可能性があり、ネットワークサービスの継続期間中にネットワーク機能を処理することによって、リソースを無駄にする可能性がある。

上記に照らし、指定された条件に基づいて、ネットワーク機能を動的に提供するためのメカニズムを提供すると有利であろう。

一実施形態において、システムはネットワークを判断し、ネットワークトラフィックフローをモニタリングし、ネットワークトラフィックフローが第１のルールの第１の基準を満たすかを判断する。当該基準は、第１の基準が満たされると、ネットワークトラフィックフローを解析または処理するためにネットワーク機能が使用されることを指定する。ネットワークトラフィックフローが第１の基準を満たすと判断されると、ネットワークは、ネットワーク機能を提供するネットワーク機能プロバイダへのネットワーク中の第１のルートを判断し、第１のルート沿いの１または複数のルータを、ネットワークトラフィックフローを解析または処理のためにネットワーク機能プロバイダに転送するように構成する。

一実施形態において、ネットワークは、ネットワークトラフィックフローを解析または処理するためのネットワーク機能の使用を開始するための開始時間を判断する。ネットワークは、ネットワーク機能を提供するネットワーク機能プロバイダへのネットワーク中の第１のルートを判断し、第１のルート沿いの１または複数のルータを、ネットワークトラフィックフローを解析または処理のためにネットワーク機能プロバイダに開始時間に転送するように構成する。

方法およびコンピュータ可読媒体の実施形態もまた開示される。

様々な実施形態に係る構造および動作に加え、さらなる実施形態および特徴点について添付図面を参照し、以下に詳細に説明する。

添付図面は本明細書に組み込まれ、本明細書の一部を形成する。図面中、同様の参照番号は概して同一または類似の要素を示す。また、概して、参照番号中の最も左の数字は、当該参照番号が最初に現れる図面を示している。

一例示的実施形態による、ネットワーク機能を動的に供給するためのネットワーク環境を表わす図を示す。

一例示的実施形態による、ネットワーク機能を動的に供給するためのネットワーク環境を表わす図を示す。

一例示的実施形態による、ネットワーク機能を動的に供給するためのコントローラの機能モジュールを表わす図を示す。

例示的実施形態による、ネットワーク機能を動的に供給する方法を表わすフローチャートである。

例示的実施形態による、指定された期間、ネットワーク機能を動的に供給する方法を表わすフローチャートである。

実施形態において、ヒューリスティック、ポリシー条件およびクライアント指定の条件に基づいて、ネットワーク機能がトラフィックフローに動的に適用される。一例において、ネットワークは、クライアント間にデータ通信を提供する。ネットワークは、例えば、帯域幅、レイテンシ、ジッタ等に関連付けられたパラメータに従い、クライアント間に通信を提供するサービスを確立する。ネットワークは、そのトラフィックをモニタリングし、指定された条件が満たされると、ネットワークは、そのサービスのトラフィックまたはそのサービスのトラフィックの一部を、ネットワーク機能を適用する処理要素を介してルーティングする。これらの条件は、性能、容量、セキュリティ等に関する特性といった任意のネットワーク特性に関連付けられてよい。これらの条件は、ユーザ定義であってよく、またはネットワーク管理者によって設定されてよい。またネットワーク機能は、スケジュールに従い適用されてもよい。別の条件が満たされた後、または指定期間の後、ネットワーク機能は解除されてよい。条件およびスケジュールに応答して、ネットワーク機能を提供することで、クライアントおよび管理者に対し、接続および性能の管理において向上した柔軟性を付与し、ネットワークリソースの消費全体を低減するのに寄与してよい。

図１Ａは、一例示的実施形態による、ネットワーク機能を動的に供給するためのネットワーク環境１００を表わす図を示す。

ネットワーク環境１００は、複数のエンドポイント間にネットワーク通信を提供するネットワーク１２０を含む。一実施形態において、ネットワーク１２０は、サービス料を取って、構成可能なデータ通信サービスを複数のエンドポイントに提供する。

例示的なエンドポイント１１０および１１２は、ネットワーク１２０のサービスを利用する１または複数のクライアントコンピューティングデバイスであってよい。例示的に、エンドポイント１１０および１１２は、ローカルエリアネットワーク（ＬＡＮ）、コンピュータ、モバイルデバイス、サーバ、クラスタ等であってよい。一例において、エンドポイント１１０および１１２はそれ自体がネットワークであってもよく、ネットワーク１２０をエンドポイント１１０および１１２が互いに通信するためのトランジットネットワークとして使用してもよい。

ネットワーク１２０は、複数のルータ１２２ａ〜ｆ、１または複数のデータセンタ１２４ａ〜ｂおよび１または複数のコントローラ１２６を含む。

ネットワーク１２０は、例えばパーソナルコンピュータ、サーバ、モバイルデバイス、ローカルエリアネットワーク（ＬＡＮ）等といったクライアントコンピューティングデバイス間でデータを送信するように構成されたネットワークであってよい。一実施形態において、ネットワーク１２０は、ワイドエリアネットワーク（ＷＡＮ）またはメトロポリタンエリアネットワーク（ＭＡＮ）である。一実施形態において、ネットワーク１２０は、例えば、仮想イーサネット（登録商標）接続、仮想ローカルエリアネットワーク（ＶＬＡＮ）、仮想プライベートネットワーク（ＶＰＮ）等といった仮想ネットワークサービスを提供する。例えば、ネットワーク１２０は、遠隔地のクライアント間でデータ通信するための専用の帯域幅を備えた仮想回路を提供できる。ネットワーク１２０は、任意のポイントツーポイント、ポイントツーマルチポイントまたはマルチポイントツーマルチポイントのネットワークプロトコルを利用してもよい。使用されるネットワークアクセスプロトコルとしては、例えば、イーサネット（登録商標）、非同期転送モード（ＡＴＭ）、ハイレベルデータリンク制御（ＨＤＬＣ）、フレームリレー、同期型光ネットワーク（ＳＯＮＥＴ）／同期デジタルハイアラーキ（ＳＤＨ）、インターネットプロトコル（ＩＰ）、伝送制御プロトコル（ＴＣＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）等が含まれてよい。

例示的なルータ１２２ａ〜ｆは、エンドポイント間でデータをルーティングするように構成されている。ルータ１２２ａ〜ｆは、例えば、仮想イーサネット（登録商標）接続、ＭＰＬＳトンネリング、ＶＬＡＮルーティング、サービスレベルアグリーメント（ＳＬＡ）等といった接続サービスを提供するように構成されてよい。本明細書で適用される「ルータ」という用語には、ネットワークレイヤルータおよびデータリンクレイヤスイッチの両方が含まれる。接続サービスは、特定のレベルの帯域幅、レイテンシまたはジッタといった特定のレベルのサービスで少なくとも２つの地理的に異なるコンピュータからの接続を提供してよい。

当該レベルのサービスを提供するために、ルータ１２２ａ〜ｆは、接続のための帯域幅を予約してよい。予約には、特定の帯域幅とユーザとの関連付けが含まれてよい。帯域幅を予約したままの間、ネットワークはオーバーサブスクライブされる可能性がある。つまり、すべてのユーザがユーザに関連付けられた帯域幅を使用している場合、ネットワークは、不十分な容量を有することになる。専用のネットワーク接続は、１ユーザへのプライベート接続とみなし得る。このような専用のネットワーク接続はポイントツーポイントであってよく、この場合、当該接続はネットワーク上の２つのポイントを接続する。専用のネットワーク接続は、パブリックまたはプライベートであってよい。他方で、接続はまたマルチポイントツーマルチポイントであってもよく、この場合、ネットワーク上の１または複数のポイントのセットが、１または複数のネットワークポイントの第２のセットへ接続される。スイッチイングデバイスは、特定のポートで、特定のネットワーク接続のためのトラフィックを受信してよい。

図１Ａは、エンドポイント１１０および１１２を接続するネットワーク接続サービスを示す。当該接続サービスは、ルータ１２２ａを含むパスに沿ってデータをルーティングしてよく、ルータ１２２ａはエンドポイント１１０およびルータ１２２ｂに接続され、ルータ１２２ｂは、ルータ１２２ａおよびエンドポイント１１２に接続されている。このように、エンドポイント１１０からエンドポイント１１２へアドレス指定されたデータは、まずルータ１２２ａに送信されてよい。ルータ１２２ａはデータをルータ１２２ｂに転送してよい。そして、ルータ１２２ｂはデータをエンドポイント１１２に転送してよい。一実施形態において、このパスは、ネットワーク１２０のトポロジに関するグローバル知識を有するコントローラ１２６によって設定されてよい。別の実施形態においては、このパスは、ルータ１２２ａ〜ｅの各々によって確立されてよく、ルータ１２２ａ〜ｅは、自身の接続性を伝えるべく、ルーティング情報をその近隣のルータと交換する。

例示的なデータセンタ１２４ａ〜ｂは、ネットワークトラフィックまたはサービスに適用するためのネットワーク機能を提供してよい。データセンタは、例えば、侵入検出、ファイアウォール、パケット検査、データ圧縮、ＷＡＮ加速化、ＴＣＰプロキシ、ネットワーク管理機能等といったネットワーク機能を提供するように構成されてよい。ネットワーク機能は、ネットワークサービスプロバイダによって、またはサードパーティによって提供されてよい。

実施形態において、図１Ｂに図示の通り、データはネットワーク機能を適用するために、データセンタへと動的にルート変更されてよい。一実施形態において、ユーザは、ネットワーク機能が将来のどこかの期間で適用されるように指定できる。具体的には、ユーザは、ネットワーク機能がネットワーク接続サービス上のデータの一部または全部に対し、将来のある期間において適用されるように指定できる。当該期間が開始すると、ネットワーク１２０は、ネットワーク接続サービス上のデータを、ネットワーク機能を適用するデータセンタにルーティングするように構成されている。当該期間が終了すると、ネットワーク１２０は、ネットワーク接続サービス上のデータを、ネットワーク機能を適用するデータセンタに到達させずに、デスティネーションへとルーティングするように構成されている。

別の実施形態においては、ユーザは、特定の利用条件が満たされると、ネットワーク機能が適用されるように指定できる。具体的には、ユーザは、データが特定の条件を満たすと、ネットワーク機能がネットワーク接続サービス上のデータの一部または全部に対し適用されるように指定できる。当該条件は、ネットワーク接続サービスについての集約データに基づいてよい。例えば、当該条件は、利用される帯域幅、レイテンシ、パケット損失、またはネットワーク接続サービス上のネットワークルート、またはネットワーク機能の稼働率レベルに基づいて、ネットワーク機能を実行するために、データがデータセンタにルーティングされることを指定してよい。他の例においては、当該条件は、パケットが特定の条件（例えば、特定のソース／デスティネーションアドレスまたは特定のパターンに合致するポート若しくはペイロードデータ）を満たすと、ネットワーク機能の実行のために、特定のフローがデータセンタにルーティングされることを指定してよい。当該条件が満たされると、ネットワーク１２０は、ネットワーク接続サービス上のデータを、ネットワーク機能を適用するデータセンタにルーティングするように構成されている。当該条件がもはや満たされなくなると、ネットワーク１２０は、ネットワーク接続サービス上のデータを、ネットワーク機能を適用するデータセンタに到達させることなく、デスティネーションにルーティングするように構成されている。

図１Ｂに示される例においては、イーサネット（登録商標）接続ネットワークサービスが、エンドポイント１１０とエンドポイント１１２との間に構成されてよい。当該サービスは、エンドポイント１１０からエンドポイント１１２へ移動するトラフィックにファイアウォール機能を適用することによって強化されてよい。ファイアウォール機能を適用するには、エンドポイント１１０からエンドポイント１１２へ宛てられたトラフィックは、ルータ１２２ａからルータ１２２ｃへルーティングされてよい。その後、ルータ１２２ｃは、トラフィックを検査し、ファイアウォール機能を適用可能なデータセンタ１２４ａにトラフィックを送信できる。その後、トラフィックはルータ１２２ｂに送信された後、エンドポイント１１２へ送信され得る。

コントローラ１２６は、ルータ１２２ａ〜ｆおよびデータセンタ１２４ａ〜ｂを、ネットワークサービスおよびネットワーク機能を作成、維持および解除するように構成および管理してよい。コントローラ１２６は、ネットワークに接続された１または複数のデバイスに実装されてよい。

コントローラ１２６は、ルータ１２２ａ〜ｆのルーティングテーブルを、ネットワークサービスを作成するように構成してよい。例えば、エンドポイント１１０とエンドポイント１１２との間に仮想イーサネット（登録商標）接続を作成するために、コントローラ１２６は、ルータ１２２ａおよび１２２ｂのルーティングテーブルへエントリを追加することによって、ネットワークパスを作成してよい。コントローラ１２６は、ファイアウォール等のネットワーク機能を、エンドポイント１１０とエンドポイント１１２との間の仮想イーサネット（登録商標）接続に後から追加してもよい。ファイアウォールを追加すべく、コントローラ１２６は、ルータ１２２ａ、１２２ｂおよび１２２ｃのルーティングテーブルを、データセンタ１２４ａを介してトラフィックを転送するサービスのトラフィックにＭＰＬＳラベルを追加するように構成してよい。ファイアウォールを処理するためのデータセンタのリソースの利用可能性を検証し、且つファイアウォール機能を実行するようにデータセンタ１２４ａを構成すべく、コントローラ１２６はデータセンタ１２４ａと通信してもよい。コントローラ１２６の機能について、図２を参照しつつ以下に詳述する。

図２は、一例示的実施形態による、コントローラ１２６の機能モジュールを表わすブロック図である。説明を簡単にするために、モジュールは、単一のコントローラエンティティの一部を形成するものとして記載されているものの、様々なコンポーネントが、任意の組み合わせにおける１または複数の別個のデバイスの一部を形成してよい。さらに、特定のモジュールが様々な機能を実行するように記載されているが、説明を簡単にするために、モジュールの境界は恣意的に定義されている。

コントローラ１２６は、ユーザポータルモジュール２１０、サービスインベントリモジュール２１２、サービスルーティングモジュール２１４、サービス供給モジュール２１６、課金モジュール２１８、データ収集モジュール２２０、ルールデータベース２２１および解析モジュール２２２を含む。

ユーザポータルモジュール２１０は、ネットワーク１２０のクライアントに、ネットワークサービスおよび機能を構成するためのユーザインタフェースを提供してよい。ユーザは、新しいネットワークサービスを要求し、または既存のネットワークサービスを修正するために、ユーザポータルモジュール２１０と対話してよい。例えば、ユーザは、エンドポイント１１０とエンドポイント１１２との間に１０Ｍｂ／帯域幅を持つ新しい仮想イーサネット（登録商標）接続を確立してよい。ユーザポータルモジュール２１０は、要求されたサービスの利用可用性およびコスト情報をクライアントに伝達してよい。

ユーザポータルモジュール２１０を使用することで、ユーザはまた、ネットワーク機能を開始するための条件およびルールを確立してよい。例えば、ユーザは、特定の条件が真である場合、すべてのＴＣＰトラフィックが侵入検出システムによって解析されるように指定してよい。条件には、複数の要因および任意のネットワーク特性、接続特性またはサービス特性に関する解析が含まれてよい。例えば、ユーザは、仮想イーサネット（登録商標）接続上のＴＣＰトラフィックがその平均ＴＣＰトラフィックから標準偏差２だけ増加すると常に、ネットワークはファイアウォールをアクティブ化し、次の３０分間ＴＣＰパケットダンプを開始することを指定してよい。別の実施形態においては、条件は、ネットワーク機能を適用する将来における期間を指定してよい。当該期間は、定期的な間隔（例えば、毎週、毎月等）で繰り返してもよい。ユーザポータル２１０がいったん作成されると、ユーザポータル２１０は図２にルール２５０と示されるようにルール、およびルールデータベース２２１を作成する。

サービスインベントリモジュール２１２は、ネットワーク１２０が供給するサービスのインベントリを維持する。インベントリは、サービスのタイプ、サービスの当事者、サービスのパラメータ、ＳＬＡ等を含む、各サービスのエントリを含んでよい。例えば、エントリは、エンドポイント１１０とエンドポイント１１２との間の仮想イーサネット（登録商標）接続を指定してよい。エントリはさらに、当該接続が１０Ｍｂ／ｓ帯域幅および１０ｍｓの最大レイテンシを提供する必要があり、すべてのトラフィックは侵入検出機能によって検査される必要があることを指定してよい。

サービスルーティングモジュール２１４は、サービスインベントリモジュール２１０で、サービスのためのネットワークルートを判断する。サービスルーティングモジュール２１４は、サービスおよびサービスに関連付けられる要件、ＳＬＡまたは条件を解析する。サービスルーティングモジュール２１４は、ネットワークのトポロジの知識および供給されるサービスの合計およびサービスの要件に基づいて解析を実行し、各サービスのための適切なルートを判断してよい。例えば、より高い帯域幅を要求するサービスに対しては、サービスルーティングモジュール２１４は、１つの高帯域幅のルートを選択してよく、より低いレイテンシを要求するサービスに対しては、サービスルーティングモジュール２１４はより短いルートを選択してよい。このように、サービスルーティングモジュール２１４は、各サービスに関連付けられたＳＬＡを実装する。

サービス供給モジュール２１６は、各ネットワークデバイス（例えば、ルータ、スイッチ等）を、サービスルーティングモジュール２１４およびネットワーク機能オーケストレーションモジュール２１５によって判断されたルートを実装するように構成する。サービス供給モジュール２１６は、各ルータのルーティングテーブル、ＭＰＬＳトンネリング構成等を、判断されたルートに従い、サービスの転送をさせるように構成してよい。実装されるルートは、ネットワーク機能の適用をトリガするためのヘッダをサービス内のパケットに追加することを含んでよい。ユーザは、ユーザポータルモジュール２１０を介して、サービスインベントリモジュール２１２内に、上記説明の通り、図２中にサービス２５２と示されるサービスを作成してよい。ネットワーク管理者はまた、データ収集モジュールおよび解析モジュールに関し後述される通り、管理者インタフェースを介して、またはネットワークサービスおよびネットワーク機能を開始するルール、条件および解析を設定することによって、サービスを作成してもよい。

ルールデータベース２２１は、ネットワーク機能を開始するように、または終了するように評価される基準、条件または構成に関連付けられたルールを維持する。ルールは、ネットワークサービスに関連付けられたユーザ指定の構成によって提供されてよく、またはユーザ指定の構成から導かれてよい。ネットワーク管理者はまた、所望のネットワーク管理または性能目標に基づいて、ルールを提供してよい。ネットワーク機能オーケストレーションモジュール２１５は、特定の条件発生時にルールデータベース２２１内のルールを評価し、１または複数のネットワーク機能の適用をトリガし、ネットワーク機能の適用を終了する期間または条件を判断してよい。

データ収集モジュール２２０は、ネットワークリンク、要素およびサービスをモニタリングし、ネットワーク性能統計情報および他のフロー情報を含む、利用状況データ２５４を収集する。一実施形態において、データ収集モジュール２２０は、各ネットワーク要素によって収集された統計情報を集約する。データ収集モジュール２２０はまた、周期的報告またはイベントドリブンの報告をネットワーク要素において構成してよい。例えば、ルータがルールで指定された特定タイプのデータを受信すると、ルータはデータ収集モジュール２２０に通知してよい。

解析モジュール２２２は、データ収集モジュール２２０によって収集された利用状況データ２５４の解析を実行する。ネットワークリソースが現在および将来の需要に対し利用可能であることを保証することによって、解析を使用してＳＬＡに準拠してよい。解析モジュール２２２は、利用状況データ２５２をルールデータベース２２１の複数の条件と比較してよい。複数の条件のうちの１つが満たされると、解析モジュール２２２は、ルールデータベース内のそのルールに対しどのネットワーク機能が指定されているかを判断する。次に、解析モジュール２２２は、図２中ネットワーク機能２５６として示されるネットワーク機能を、ネットワーク機能オーケストレーションモジュール２１５にシグナリングしてよい。

ネットワーク機能オーケストレーションモジュール２１５は、ネットワークサービスに適用されるべきネットワーク機能の供給を判断および管理する。ネットワーク機能オーケストレーションモジュール２１５は、ネットワーク機能のためのリソースおよびルートを供給するためのネットワークトポロジ、リンク容量、ルータ容量、データセンタ容量等に関する情報を格納してよい。ネットワーク機能オーケストレーションモジュール２１５は、ネットワーク機能がネットワークサービスに適用されることを示す情報またはコマンドを受信してよい。この情報に基づいて、ネットワーク機能オーケストレーションモジュールは、ネットワーク機能のためにどのデータセンタを使用するかを判断する。

一例において、解析モジュール２２２は、リンクの稼働率が最大容量に近づきつつあることを示す信号をネットワーク機能オーケストレーションモジュール２１５に送信してよく、このネットワーク機能オーケストレーションモジュール２１５に基づいて、解析モジュール２２２は、圧縮機能がリンクを移動中のサービスに適用されるべきであることを判断してよい。別の例においては、ユーザまたはネットワーク管理者が、ネットワーク機能の開始をトリガし、サービスインベントリモジュール２１２は、ネットワーク機能を供給するための信号をネットワーク機能オーケストレーションモジュール２１５に送信する。

ネットワーク機能を供給すべく、ネットワーク機能オーケストレーションモジュール２１５は、ネットワーク１２０の内部または外部にある、当該機能を処理できる利用可能なデータセンタ１２４を判断してよい。利用可能なデータセンタ１２４が見つかると、ネットワーク機能オーケストレーションモジュール２１５は、そのデータセンタにあるリソースを予約し且つサービスを当該データセンタに適切にルーティングする方法を判断してよい。ネットワーク機能オーケストレーションモジュール２１５は、例えば、処理、スレッド、または仮想マシンをデータセンタ１２４または予約プールされたリソースでインスタンス化してよい。その後、ネットワーク機能オーケストレーションモジュール２１５は、当該処理およびルートのリンクを共有可能な他の処理のためのＳＬＡを満たすルートを判断してよい。

機能データを供給すべく、ネットワーク機能オーケストレーションモジュール２１５は、当該機能を提供するデータセンタに、機能供給命令２５８を送信してよい。機能供給命令２５８は、当該機能が適用されるべきネットワークサービス、当該機能が開始および終了されるべき時間、および当該機能の任意のパラメータを指定してよい。新しいルートを供給すべく、ネットワーク機能オーケストレーションモジュール２１５は、ルートのそれぞれのルータに、ルーティング命令２６０を、ソースからデータセンタへ、および可能であればデータセンタからデスティネーションへ、送信してよい。ルーティング命令２６０は、ルーティングテーブルエントリ、ＭＰＬＳルーティングエントリ等を指定してよい。

課金モジュール２１８は、ネットワークサービスおよびネットワーク機能についてクライアントにいくら課金するかを判断すべく、サービスインベントリモジュール２１２およびネットワーク機能オーケストレーションモジュール２１５と通信する。一実施形態において、ユーザは、ネットワーク機能がネットワークサービスに適用される時間で課金されてよい。

例えば、ネットワーク１２０がエンドポイント１１０とエンドポイント１１２との間に仮想イーサネット（登録商標）サービスを提供し、ルータ１２２ａおよび１２２ｂを介してサービスをルーティングすると想定する。この例では、解析モジュール２２２が、エンドポイント１１０とエンドポイント１１２との間のレイテンシは５ｍｓであり、サービスのためのＳＬＡは、１０ｍｓの最大レイテンシを要求することを最初に検出してよい。後で、解析モジュール１２０は、レイテンシが７ｍｓに増加したことを検出してよい。解析モジュール２２２は独立して、またはレイテンシの増加に応答して、エンドポイント１１０とエンドポイント１１２との間のルートを検査し、ルータ１２２ａとルータ１２２ｂとの間のリンクの稼働率は８０％であることを検出する。解析モジュール２２２は、ルールデータベースモジュール２２１内のルールまたは指定された条件に基づいて、８０％はこのリンクの稼働率閾値を超えていることを判断してよく、ネットワーク機能オーケストレーションモジュール２１５に改善措置を取るための信号を送信できる。ネットワーク機能オーケストレーションモジュール２１５は、リンク稼働率を下げるべく、エンドポイント１１０からエンドポイント１１２へ流れる仮想イーサネット（登録商標）サービストラフィックに圧縮機能が適用可能であることを判断してよい。ネットワーク機能オーケストレーションモジュールは、ネットワークトポロジおよびデータセンタの位置情報を使用して、ルートおよび機能を適用可能な適切なデータセンタを判断してよい。例えば、ネットワーク機能オーケストレーションモジュール２１５は、データセンタ１２４ａおよびデータセンタ１２４ｂの各々において、仮想マシンを開始することによって、データセンタ１２４ａに圧縮機能を、データセンタ１２４ｂに解凍機能を供給してよい。次に、ネットワーク機能オーケストレーションモジュール２１５は、サービス供給モジュール２１６に対し、サービストラフィックのための新しいルートを伝達してよい。これは、ルータ１１０でエンドポイント１１０からサービスパケットを受信し、当該サービスパケットをルータ１２２ｃに転送し、次に圧縮のためにデータセンタ１２４ａに転送し、圧縮されたサービスパケットをルータ１２２ｃに送信し直し、次にルータ１２２ａに送信した後、ルータ１２２ｂに送信し、次に解凍のためにデータセンタ１２４ｂに送信し、ルータ１２２ｂに送信し直し、最終的にエンドポイント１１２に送信することが含まれる。サービス供給モジュール２１６は、ルータ１２２ａ、１２２ｂおよび１２２ｃの各々を、ルートを実装するように構成するであろう。

図３は、例示的実施形態による、ネットワーク機能を動的に供給する方法３００を示すフローチャートである。

段階３０２で、ネットワークは、ネットワーク条件をモニタリングし、ネットワークサービスまたはネットワーク機能を適用するためのルールおよび他の構成情報を受信または判断する。ネットワークユーザまたは管理者は、当該ルールおよび構成情報を入力してよい。例えば、ネットワークは、ネットワークユーザに、ネットワークサービスおよびネットワーク機能に加入し、当該ネットワークサービスおよびネットワーク機能を管理および構成するためのポータルユーザインタフェースを提供してよい。ユーザは、ネットワークサービスにネットワーク機能を適用するためのルール、条件またはスケジュールを構成してよい。例えば、ネットワークユーザは、２つのエンドポイントＬＡＮ間の接続を提供する仮想イーサネット（登録商標）サービスに加入すべく、および当該サービスのための任意のＳＬＡ要件を入力すべく、ポータルを使用してよい。次にユーザは、ポータルで仮想イーサネット（登録商標）サービス関連のオプションを構成してよい。これには例えば、仮想イーサネット（登録商標）接続のトラフィックが平均から標準偏差２より多く増加した場合、ネットワークは当該接続にファイアウォールを設定し、且つ、トラフィックスパイクの継続期間中、パケットダンプを開始する必要があることを指定するルールを構成することが挙げられる。ユーザは、仮想イーサネット（登録商標）サービスが設定される時点、またはイーサネット（登録商標）サービスの実行後、これらのルールを設定してよい。ユーザはまたこの構成を変更してよく、後で異なるルールまたは機能をサービスに追加してよい。

また、ルールおよび構成情報はネットワークリンク、ネットワーク要素または他のネットワーク特性全般とも関連付けられてよい。例えば、構成は、ネットワークリンクが複数のサービスからのトラフィックによって過剰利用になった場合、取るべき措置を指定してよい。

段階３０４において、ネットワークは、ルールおよび構成に関連付けられた条件をモニタリングする。例えば、トラフィックが平均から標準偏差２を超えると、パケットダンプが実行される必要があることをサービスに関連付けられたルールが指定する場合、ネットワークは、サービスの平均トラフィックおよびその標準偏差の履歴を管理してよい。

段階３０６において、ネットワークは、何らかのモニタリングされたネットワーク条件がルールまたはネットワーク若しくはサービスに関連付けられたイベントをトリガするかを判断する。ネットワーク条件が、任意の構成またはルールによって確立された基準を満たす場合、ネットワークは段階３０８に進み、適用されるべきネットワーク機能を判断する。

段階３０８において、ネットワークは、適用されるべきネットワーク機能を判断する。当該ネットワーク機能は、ルール若しくは構成によって指定され、または利用可能なネットワークリソースに基づいて選択されてよい。例えば、ネットワークが例外的なトラフィックを検出した場合、ネットワークはパケットダンプを実行し、中レベルのセキュリティファイアウォールを開始することを選択してよい。次にネットワークは、トラフィックを解析し、より高いセキュリティ侵入検出機能等の適用すべき異なるネットワーク機能を選択してよい。

段階３１０において、ネットワークがネットワーク機能を選択すると、ネットワークは、当該ネットワーク機能を提供するための適切なリソースおよびルートを判断する。例えば、ネットワークは、当該機能を処理するために利用可能なリソースを十分備え、且つ当該機能が適用されるべきサービス（複数可）の任意のＳＬＡ要件を満たすルート内に存在するデータセンタを判断してよい。ネットワークは、中央の場所にある利用可能なトポロジおよびルーティング情報を使用してよく、リソースの利用可能性を判断するためにデータセンタにクエリを実行してよい。

段階３１２において、ネットワークは、例えば、ルータ、スイッチ、データセンタ等のネットワーク要素を、当該ネットワーク機能を提供するように構成する。ネットワークは、例えば、ＭＰＬＳトンネルを、データセンタを介してサービストラフィックをルーティングするように構成してよい。ルータは、当該サービスのパケットにＭＰＬＳラベルを追加するように構成されてよく、データセンタは、該当するＭＰＬＳラベルを含むパケットに当該機能を適用するように構成されてよい。

一実施形態において、ネットワークは、ネットワーク条件のモニタリングを継続し、該当するルールを評価することによって、ネットワーク機能の適用を変更または解除してよい。例えば、ルールが、トラフィックスパイク中、サービスのトラフィックがファイアウォールされるべきであることを指定する場合、ネットワークは当該トラフィックをモニタリングし、スパイクが終了したことを判断した後、その時点でそのファイアウォール機能を解除してよい。一実施形態において、ユーザは、ルールの一部として、当該機能が適用されるべき時間を指定してよい。このように、ネットワークはイベントに反応および適合し、該当する場合、機能を動的に提供することで、強化機能を提供しつつ、リソースの節約を行う。

図４は、例示的実施形態による、指定された期間ネットワーク機能を動的に供給する方法４００を示すフローチャートである。

段階４０２において、ネットワークはネットワーク条件をモニタリングし、指定された期間ネットワークサービスまたは機能を適用するためのルールおよび他の構成情報を受信する。ネットワークユーザまたは管理者は、ネットワーク機能の適用をスケジュールする、またはネットワーク機能が適用されるべき時間を示すルールおよび構成情報を入力してよい。例えば、ネットワークユーザは、ポータルを使用して、２つのエンドポイントＬＡＮ間に接続を提供する仮想イーサネット（登録商標）サービスに加入し、当該サービスのための任意のＳＬＡ要件を入力してよい。ユーザは、仮想イーサネット（登録商標）サービスを通るＴＣＰトラフィックが午後２時から午後４時にわたり、毎日著しく増加することを観測してよい。次にユーザは、ネットワークが午後２時から午後４時にわたり、毎日パケットダンプを実行し、侵入検出機能をアクティブ化することを指定するルールを構成してよい。

段階４０４および段階４０６に示される通り、スケジュールされた機能の開始時間において、または当該開始時間の前に、ネットワークは、開始時間を判断し、ネットワークはネットワーク機能を提供するための適切なリソースおよびルートを判断する。例えば、ネットワークは、当該機能を処理するために利用可能なリソースを十分備え、且つ当該機能が適用されるべきサービス（複数化）の任意のＳＬＡ要件を満たすルート内に存在するデータセンタを判断してよい。ネットワークは、中央の場所にある利用可能なトポロジおよびルーティング情報を使用してよく、リソースの利用可能性を判断するためにデータセンタにクエリを実行してよい。

段階４０８において、ネットワークは、例えば、ルータ、スイッチ、データセンタ等のネットワーク要素を、当該ネットワーク機能を提供するように構成する。ネットワークは、例えば、ＭＰＬＳトンネルを、データセンタを介してサービストラフィックをルーティングするように構成してよい。ルータは、当該サービスのパケットにＭＰＬＳラベルを追加するように構成されてよく、データセンタは、該当するＭＰＬＳラベルを含むパケットに当該機能を適用するように構成されてよい。

指定された期間が期限切れになると、ネットワークは、段階４１０および４１２に示される通り、ネットワーク要素およびデータセンタを再度構成することによって、適用するネットワーク機能を解除する。

［結論］
ルールデータベースモジュール２２１は、永続メモリを含む、任意の格納タイプの構造化メモリであってよい。例示において、データベースはリレーショナルデータベースまたはファイルシステムとして実装されてよい。

図１および図２中のブロックおよびモジュールの各々は、ハードウェア、ソフトウェア、ファームウェアまたはそれらの任意の組み合わせにおいて実装されてよい。

図１および図２中のブロックおよびモジュールの各々は、同一または異なるコンピューティングデバイス上に実装されてよい。このようなコンピューティングデバイスとしては、限定はされないが、パーソナルコンピュータ、携帯電話等のモバイルデバイス、ワークステーション、埋め込みシステム、ゲームコンソール、テレビ、セットトップボックス、または任意の他のコンピューティングデバイスが含まれ得る。さらに、コンピューティングデバイスには、限定はされないが、命令を実行および格納するための非一時的メモリを含むプロセッサおよびメモリを有するデバイスが含まれ得る。メモリは、データおよびプログラム命令を有形に具現化してよい。ソフトウェアには、１または複数のアプリケーションおよびオペレーティングシステムが含まれてよい。ハードウェアには、限定はされないが、プロセッサ、メモリおよびグラフィカルユーザインタフェースディスプレイが含まれ得る。コンピューティングデバイスはまた、複数のプロセッサおよび複数の共有または個別のメモリコンポーネントを有してもよい。例えば、コンピューティングデバイスは、クラスタ化コンピューティング環境またはサーバファームの一部またはその全体であってよい。

「（ａ）」、「（ｂ）」、「（ｉ）」、「（ｉｉ）」等の識別子が異なる要素または段階に対し使用されることがある。これらの識別子は明確さのために使用されており、要素または段階の順序を必ずしも指定していない。

本発明は、指定された機能の実装およびそれらの関係を示す機能構築ブロックの補助を用いて上記されている。本明細書においては、説明の便宜上、これらの機能構築ブロックの境界は恣意的に定義されている。指定された機能およびそれらの関係が適切に実行される限り、代替の境界が定義可能である。

特定の実施形態に関する上記の説明は、本発明の一般的性質を十分開示しているので、当該技術分野における知識を適用することで、過度の実験をすることなく、本発明の一般概念から逸脱することなく、容易に当該特定の実施形態に対する修正および／または様々な応用を適合することができる。従って、このような適合および修正は、本明細書に示された教示および指針に基づき、開示された実施形態の均等の意味および範囲に属することが意図されている。本明細書における文言または用語は、説明のためのものであり、限定の意図はなく、結果として、本明細書の文言または用語は、当該教示および指針に照らし当業者に解釈されることになることを理解されたい。

本実施形態に係る広さおよび範囲は、上記例示によって限定されるべきではなく、以下の特許請求の範囲およびその均等内容によってのみ画されるべきである。

Claims (23)

1. ネットワーク内でネットワーク機能を動的に供給するコンピュータ実装方法であって、
   前記ネットワーク中をルーティングされる少なくとも１つのパケットを含むネットワークトラフィックフローをモニタリングし、前記ネットワークトラフィックフローが第１のルールの第１の基準を満たすかを判断する段階であって、前記第１のルールは、前記第１の基準が満たされると、前記ネットワークトラフィックフローを解析または処理するためにネットワーク機能が使用されることを指定する、判断する段階と、
   前記ネットワークトラフィックフローが前記第１の基準を満たすと判断されると、
   前記ネットワーク機能を提供するネットワーク機能プロバイダへの前記ネットワーク中の第１のルートを判断する段階と、
   前記第１のルート沿いの１または複数のルータを判断する段階と、
   前記第１のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを解析または処理のために前記ネットワーク機能プロバイダに転送するように構成する段階と、
   前記ネットワーク機能が適用される間、前記ネットワークトラフィックフローをモニタリングし、前記ネットワークトラフィックフローが第２のルールの第２の基準を満たすことを判断する段階と、
   前記ネットワークトラフィックフローが前記第２の基準を満たすという前記判断に応答して、
   第２のルートが、トラフィックを前記ネットワーク機能プロバイダに到達させることなく、前記ネットワークトラフィックフローのデスティネーションに送信するように、前記ネットワーク中の前記第２のルートを判断する段階と、
   前記第２のルート沿いの１または複数のルータを判断する段階と、
   前記第２のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを転送するように構成する段階と、を備える、方法。
2. 前記ネットワークトラフィックフローが前記第１の基準を満たすかを判断する前記段階は、前記ネットワークトラフィックフローに関連付けられたネットワークリンクの特性が閾値を超えることを判断する段階を含む、請求項１に記載の方法。
3. 前記第１のルートを判断する前記段階は、前記第１のルートが、前記ネットワークトラフィックフローに関連付けられたネットワークサービスのサービスレベルアグリーメントを満たすことを判断する段階を含む、請求項１または２に記載の方法。
4. 前記第１のルートを判断する前記段階は、
   前記ネットワーク機能プロバイダが前記ネットワークトラフィックフローを解析または処理するための利用可能なリソースを有するかを判断する段階と、
   前記ネットワーク機能プロバイダが十分なリソースを有するかに応じて、前記ネットワーク機能プロバイダへの前記第１のルートを判断する段階と、を含む、請求項１から３のいずれか一項に記載の方法。
5. 前記ネットワークトラフィックフローが第１の基準を満たすことを判断する前記段階は、ネットワークサービスの特性が、前記ネットワークサービスに関連付けられたサービスレベルアグリーメントの閾値を超えることを判断する段階を含む、請求項１から４のいずれか一項に記載の方法。
6. 前記ネットワークのユーザから特定量の時間の指標を受信する段階と、
   前記特定量の時間にわたり、前記ネットワーク機能を適用する段階と、をさらに備える、請求項１から５のいずれか一項に記載の方法。
7. 前記ネットワーク機能が使用される時間に基づいて、前記ネットワークトラフィックフローに関連付けられたネットワーククライアントに課金する段階をさらに備える、請求項１から６のいずれか一項に記載の方法。
8. 前記第１の基準は、ネットワークサービスのクライアントによって指定される、請求項１から７のいずれか一項に記載の方法。
9. ネットワーク内でネットワーク機能を動的に供給するシステムであって、
   コンピューティングデバイスと、
   前記コンピューティングデバイスに実装される解析モジュールと、
   前記コンピューティングデバイスに実装されるネットワーク機能オーケストレーションモジュールと、
   前記コンピューティングデバイスに実装されるサービス供給モジュールと、を備え、
   前記解析モジュールは、前記ネットワーク中をルーティングされる少なくとも１つのパケットを含むネットワークトラフィックフローをモニタリングし、前記ネットワークトラフィックフローが第１のルールの第１の基準を満たすかを判断するように構成され、前記第１のルールは、前記第１の基準が満たされると、前記ネットワークトラフィックフローを解析または処理するためにネットワーク機能が使用されることを指定し、
   前記ネットワーク機能オーケストレーションモジュールは、前記ネットワークトラフィックフローが前記第１の基準を満たすと判断されると、前記ネットワーク機能を提供するネットワーク機能プロバイダへの前記ネットワーク中の第１のルートを判断し、および前記第１のルート沿いの１または複数のルータを判断するように構成され、
   前記サービス供給モジュールは、前記第１のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを解析または処理のために前記ネットワーク機能プロバイダに転送するように構成するように構成され、
   前記システムは、さらに、
   前記ネットワーク機能が適用される間、前記ネットワークトラフィックフローをモニタリングし、前記ネットワークトラフィックフローが第２のルールの第２の基準を満たすことを判断する、
   前記ネットワークトラフィックフローが前記第２の基準を満たすという前記判断に応答して、
   第２のルートが、トラフィックを前記ネットワーク機能プロバイダに到達させることなく、前記ネットワークトラフィックフローのデスティネーションに送信するように、前記ネットワーク中の前記第２のルートを判断する、
   前記第２のルート沿いの１または複数のルータを判断する、および
   前記第２のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを転送するように構成する、ように構成されている、システム。
10. 前記ネットワークトラフィックフローが前記第１の基準を満たすことを判断することは、前記ネットワークトラフィックフローに関連付けられたネットワークリンクの特性が閾値を超えることを判断することを含む、請求項９に記載のシステム。
11. 前記第１のルートを判断することは、
    前記ネットワーク機能プロバイダが前記ネットワークトラフィックフローを解析または処理するための利用可能なリソースを有するかを判断することと、
    前記ネットワーク機能プロバイダが十分なリソースを有するかに応じて、前記ネットワーク機能プロバイダへの前記第１のルートを判断することと、を含む、請求項９または１０に記載のシステム。
12. 前記ネットワークトラフィックフローが第１の基準を満たすことを判断することは、ネットワークサービスの特性が、前記ネットワークサービスに関連付けられたサービスレベルアグリーメントの閾値を超えることを判断することを含む、請求項９から１１のいずれか一項に記載のシステム。
13. 前記システムは、さらに、
    前記ネットワークのユーザから特定量の時間の指標を受信する、および
    前記特定量の時間にわたり、前記ネットワーク機能を適用する、ように構成されている、
    請求項９から１２のいずれか一項に記載のシステム。
14. 前記ネットワーク機能が使用される時間に基づいて、前記ネットワークトラフィックフローに関連付けられたネットワーククライアントに課金することをさらに備える、請求項１３に記載のシステム。
15. 前記第１の基準は、ネットワークサービスのクライアントによって指定される、請求項９から１４のいずれか一項に記載のシステム。
16. 少なくとも１つのコンピューティングデバイスによる実行時に、前記少なくとも１つのコンピューティングデバイスに、ネットワーク内でネットワーク機能を動的に供給するための手順を実行させるための命令を有するコンピュータプログラムであって、前記手順は、
    前記ネットワーク中をルーティングされる少なくとも１つのパケットを含むネットワークトラフィックフローをモニタリングし、前記ネットワークトラフィックフローが第１のルールの第１の基準を満たすかを判断する手順であって、前記第１のルールは、前記第１の基準が満たされると、前記ネットワークトラフィックフローを解析または処理するためにネットワーク機能が使用されることを指定する、判断する手順と、
    前記ネットワークトラフィックフローが前記第１の基準を満たすと判断されると、
    前記ネットワーク機能を提供するネットワーク機能プロバイダへの前記ネットワーク中の第１のルートを判断する手順と、
    前記第１のルート沿いの１または複数のルータを判断する手順と、
    前記第１のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを解析または処理のために前記ネットワーク機能プロバイダに転送するように構成する手順と、
    前記ネットワーク機能が適用される間、前記ネットワークトラフィックフローをモニタリングし、前記ネットワークトラフィックフローが第２のルールの第２の基準を満たすことを判断する手順と、
    前記ネットワークトラフィックフローが前記第２の基準を満たすという前記判断に応答して、
    第２のルートが、トラフィックを前記ネットワーク機能プロバイダに到達させることなく、前記ネットワークトラフィックフローのデスティネーションに送信するように、前記ネットワーク中の前記第２のルートを判断する手順と、
    前記第２のルート沿いの１または複数のルータを判断する手順と、
    前記第２のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを転送するように構成する手順と、を含む、コンピュータプログラム。
17. 前記第１のルートを判断する前記手順は、前記第１のルートが、前記ネットワークトラフィックフローに関連付けられたネットワークサービスのサービスレベルアグリーメントを満たすことを判断する手順を含む、請求項１６に記載のコンピュータプログラム。
18. 前記ネットワークトラフィックフローが第１の基準を満たすことを判断する前記手順は、ネットワークサービスの特性が、前記ネットワークサービスに関連付けられたサービスレベルアグリーメントの閾値を超えることを判断する手順を含む、請求項１６または１７に記載のコンピュータプログラム。
19. 前記第１のルートを判断する前記手順は、前記ネットワーク機能プロバイダが前記ネットワークトラフィックフローを解析または処理するための利用可能なリソースを有するかを判断する手順を含む、請求項１６から１８のいずれか一項に記載のコンピュータプログラム。
20. 前記ネットワークのユーザから特定量の時間の指標を受信する手順と、
    前記特定量の時間にわたり、前記ネットワーク機能を適用する手順と、をさらに実行させるための請求項１６から１９のいずれか一項に記載のコンピュータプログラム。
21. 前記ネットワーク機能が使用される時間に基づいて、前記ネットワークトラフィックフローに関連付けられたネットワーククライアントに課金する手順をさらに実行させるための請求項１６から２０のいずれか一項に記載のコンピュータプログラム。
22. 前記第１の基準は、ネットワークサービスのクライアントによって指定される、請求項１６から２１のいずれか一項に記載のコンピュータプログラム。
23. ネットワーク内でネットワーク機能を動的に供給するコンピュータ実装方法であって、
    ネットワークトラフィックフローを解析または処理するためのネットワーク機能が開始時間に適用されることを示すルールを受信する段階と、
    前記ネットワーク機能を提供するネットワーク機能プロバイダへの前記ネットワーク中の第１のルートを判断する段階と、
    前記第１のルート沿いの１または複数のルータを判断する段階と、
    前記第１のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを解析または処理のために前記ネットワーク機能プロバイダに転送するように構成する段階と、
    前記ネットワーク中の第２のルートを判断する段階と、
    前記第２のルート沿いの１または複数のルータを判断する段階と、
    前記第２のルート沿いの前記１または複数のルータを、前記ネットワークトラフィックフローを終了時間に転送するように構成する段階と、を備える、方法。

Images