JP7323636B2 - クラウドネットワーク到達可能性解析 - Google Patents

Description

技術分野
本開示は、クラウドネットワークの到達可能性解析に関する。

背景
バーチャルプライベートクラウド（ＶＰＣ）は、パブリッククラウド環境内に割り当てられた共有のコンピューティングリソースのオンデマンドで構成可能なプールである。ＶＰＣは、ユーザに対して他のクラウドユーザからの独立性を提供する。ＶＰＣは、バーチャルプライベートネットワーク（ＶＰＮ）を介してユーザのオンプレミスネットワークまたは他のリモートリソースと通信し得る１つまたは複数のバーチャルマシン（ＶＭ）を実行してもよい。多数のＶＭ、ネットワークゲートウェイ、ロードバランサなどを含み得るＶＰＣの潜在的規模および複雑さのために、ＶＰＣを動作させて維持するためには相当なネットワーク構成が必要であることが多い。

概要
本開示の一局面は、クラウドネットワーク到達可能性解析を提供するための方法を提供する。上記方法は、データ処理ハードウェアにおいて、ターゲットの到達可能性ステータスを要求する到達可能性クエリを受信するステップを含む。上記到達可能性クエリは、データパケットに関連付けられたパケットヘッダを含む。上記パケットヘッダは、上記データパケットの送信元に関連付けられた送信元インターネットプロトコル（ＩＰ）アドレスと、上記データパケットの送信先に関連付けられた送信先ＩＰアドレスとを含む。上記解析は、上記データ処理ハードウェアが、データプレーンモデルを使用して、上記パケットヘッダに基づいて上記データパケットの１つまたは複数のシミュレーションされた転送経路を生成するステップも含む。各々のシミュレーションされた転送経路は、対応するネットワーク構成情報を含む。上記方法は、上記データ処理ハードウェアが、上記１つまたは複数のシミュレーションされた転送経路に基づいて上記ターゲットの上記到達可能性ステータスを特定するステップも含む。上記方法は、上記データ処理ハードウェアが、上記特定された到達可能性ステータスおよび上記１つまたは複数のシミュレーションされた転送経路を、上記到達可能性クエリに関連付けられたユーザデバイスに提供するステップも含む。上記１つまたは複数のシミュレーションされた転送経路は、上記ユーザデバイスによって受信されると、上記ユーザデバイスに、各々のシミュレーションされた転送経路の上記ネットワーク構成情報を提示させる。

本開示の実現例は、以下の任意の特徴のうちの１つまたは複数を含んでもよい。いくつかの実現例において、上記１つまたは複数のシミュレーションされた転送経路の上記到達可能性ステータスを特定するステップは、ネットワーク抽象状態マシンを使用するステップを含む。上記ユーザデバイスは、ローカルに通知されたルートを使用してリモートネットワークから上記データパケットを送信するように構成されてもよい。いくつかの例において、上記ネットワーク構成情報は、バーチャルプライベートクラウド（ＶＰＣ）ネットワーク内で上記データパケットを導くためのポート／インターフェイス、ＶＰＣネットワーク間で上記データパケットを導くためのポート／インターフェイス、ＶＰＣネットワークと非ＶＰＣネットワークとの間で上記データパケットを導くためのポート／インターフェイス、上記対応するシミュレーションされた転送経路に沿った各ステップにおいて上記データパケットに適用されるファイアウォールルール、または上記対応するシミュレーションされた転送経路に沿った各ステップに関連付けられたネットワーク構成、のうちの少なくとも１つを含む。

任意に、上記方法は、上記データ処理ハードウェアが、上記対応するネットワーク構成情報に基づいて、上記１つまたは複数のシミュレーションされた転送経路の各々に対してネットワーク到達可能性解析を実行するステップを含む。上記ネットワーク到達可能性解析は、上記対応するシミュレーションされた転送経路に沿って上記データパケットの到達可能性の最終状態を特定すること、上記対応するシミュレーションされた転送経路に沿って１つまたは複数の不良構成を発見すること、または上記対応するシミュレーションされた転送経路に沿って不整合構成または廃止された構成を発見すること、のうちの少なくとも１つを実行するように構成されてもよい。

いくつかの実現例において、上記到達可能性の最終状態は、上記データパケットが上記送信先に送達されることを示す送達状態、上記データパケットが、不明の構成を有する別のネットワークに転送されることを示す転送状態、構成チェックポイントの失敗または構成の欠落により上記データパケットが削除されることを示す削除状態、または重要な構成の欠落により上記ネットワーク到達可能性解析が不可能であることを示すアボート状態、のうちのいずれか１つを含む。上記ネットワーク到達可能性解析を実行するステップは、オンデマンドモード、連続モード、プレサブミットモードまたはポストサブミットモードのうちの少なくとも１つのモードで上記ネットワーク到達可能性解析を実行するステップを含んでもよい。

いくつかの例において、上記パケットヘッダはさらに、上記データパケットに関連付けられたプロトコルと、上記データパケットに関連付けられた送信元ポートと、上記データパケットに関連付けられた送信先ポートとを含む。上記データパケットの上記送信元は、第１のネットワークにおいて実行される第１のインスタンスを含んでもよく、上記データパケットの上記送信先は、上記第１のネットワークとは異なる第２のネットワークにおいて実行される第２のインスタンスを含んでもよい。いくつかの実現例において、上記第１のネットワークは、ＶＰＣネットワークを含み、上記第２のネットワークは、オンプレミスネットワークを含む。上記第１のネットワークおよび上記第２のネットワークは、それぞれのＶＰＣネットワークを含んでもよい。

上記データパケットの上記送信元は、第１のインスタンスを含んでもよく、上記データパケットの上記送信先は、第２のインスタンスを含んでもよい。上記第１のインスタンスも上記第２のインスタンスも、同一のＶＰＣネットワークにおいて実行される。上記データパケットの上記送信元は、外部ネットワークに位置し、上記データパケットの上記送信先は、ＶＰＣネットワークにおいて実行されるグローバルＨＴＴＰＳロードバランサを含んでもよい。上記グローバルＨＴＴＰＳロードバランサは、上記データパケットを複数の異なるバックエンドのうちの１つにルーティングするように構成される。上記データパケットの１つまたは複数のシミュレーションされた転送経路を生成するステップは、上記グローバルＨＴＴＰＳロードバランサから上記複数の異なるバックエンドのうちの各々への対応するシミュレーションされた転送経路を生成するステップを含んでもよい。

本開示の別の局面は、クラウド到達可能性解析を提供するためのシステムを提供する。上記システムは、データ処理ハードウェアと、上記データ処理ハードウェアと通信するメモリハードウェアとを含む。上記メモリハードウェアは、命令を格納し、上記命令は、上記データ処理ハードウェア上で実行されると、上記データ処理ハードウェアに動作を実行させる。上記動作は、ターゲットの到達可能性ステータスを要求する到達可能性クエリを受信するステップを含む。上記到達可能性クエリは、データパケットに関連付けられたパケットヘッダを含む。上記パケットヘッダは、上記データパケットの送信元に関連付けられた送信元インターネットプロトコル（ＩＰ）アドレスと、上記データパケットの送信先に関連付けられた送信先ＩＰアドレスとを含む。上記解析は、データプレーンモデルを使用して、上記パケットヘッダに基づいて上記データパケットの１つまたは複数のシミュレーションされた転送経路を生成するステップも含む。各々のシミュレーションされた転送経路は、対応するネットワーク構成情報を含む。上記動作は、上記１つまたは複数のシミュレーションされた転送経路に基づいて上記ターゲットの上記到達可能性ステータスを特定するステップも含む。上記動作は、上記特定された到達可能性ステータスおよび上記１つまたは複数のシミュレーションされた転送経路を、上記到達可能性クエリに関連付けられたユーザデバイスに提供するステップも含む。上記１つまたは複数のシミュレーションされた転送経路は、上記ユーザデバイスによって受信されると、上記ユーザデバイスに、各々のシミュレーションされた転送経路の上記ネットワーク構成情報を提示させる。

この局面は、以下の任意の特徴のうちの１つまたは複数を含んでもよい、いくつかの実現例において、上記１つまたは複数のシミュレーションされた転送経路の上記到達可能性ステータスを特定するステップは、ネットワーク抽象状態マシンを使用するステップを含む。上記ユーザデバイスは、ローカルに通知されたルートを使用してリモートネットワークから上記データパケットを送信するように構成されてもよい。いくつかの例において、上記ネットワーク構成情報は、バーチャルプライベートクラウド（ＶＰＣ）ネットワーク内で上記データパケットを導くためのポート／インターフェイス、ＶＰＣネットワーク間で上記データパケットを導くためのポート／インターフェイス、ＶＰＣネットワークと非ＶＰＣネットワークとの間で上記データパケットを導くためのポート／インターフェイス、上記対応するシミュレーションされた転送経路に沿った各ステップにおいて上記データパケットに適用されるファイアウォールルール、または上記対応するシミュレーションされた転送経路に沿った各ステップに関連付けられたネットワーク構成、のうちの少なくとも１つを含む。

任意に、上記動作は、上記対応するネットワーク構成情報に基づいて、上記１つまたは複数のシミュレーションされた転送経路の各々に対してネットワーク到達可能性解析を実行するステップを含む。上記ネットワーク到達可能性解析は、上記対応するシミュレーションされた転送経路に沿って上記データパケットの到達可能性の最終状態を特定すること、上記対応するシミュレーションされた転送経路に沿って１つまたは複数の不良構成を発見すること、または上記対応するシミュレーションされた転送経路に沿って不整合構成または廃止された構成を発見すること、のうちの少なくとも１つを実行するように構成されてもよい。

いくつかの実現例において、上記到達可能性の最終状態は、上記データパケットが上記送信先に送達されることを示す送達状態、上記データパケットが、不明の構成を有する別のネットワークに転送されることを示す転送状態、構成チェックポイントの失敗または構成の欠落により上記データパケットが削除されることを示す削除状態、または重要な構成の欠落により上記ネットワーク到達可能性解析が不可能であることを示すアボート状態、のうちのいずれか１つを含む。上記ネットワーク到達可能性解析を実行するステップは、オンデマンドモード、連続モード、プレサブミットモードまたはポストサブミットモードのうちの少なくとも１つのモードで上記ネットワーク到達可能性解析を実行するステップを含んでもよい。

いくつかの例において、上記パケットヘッダはさらに、上記データパケットに関連付けられたプロトコルと、上記データパケットに関連付けられた送信元ポートと、上記データパケットに関連付けられた送信先ポートとを含む。上記データパケットの上記送信元は、第１のネットワークにおいて実行される第１のインスタンスを含んでもよく、上記データパケットの上記送信先は、上記第１のネットワークとは異なる第２のネットワークにおいて実行される第２のインスタンスを含んでもよい。いくつかの実現例において、上記第１のネットワークは、ＶＰＣネットワークを含み、上記第２のネットワークは、オンプレミスネットワークを含む。上記第１のネットワークおよび上記第２のネットワークは、それぞれのＶＰＣネットワークを含んでもよい。

上記データパケットの上記送信元は、第１のインスタンスを含んでもよく、上記データパケットの上記送信先は、第２のインスタンスを含んでもよい。上記第１のインスタンスも上記第２のインスタンスも、同一のＶＰＣネットワークにおいて実行される。上記データパケットの上記送信元は、外部ネットワークに位置し、上記データパケットの上記送信先は、ＶＰＣネットワークにおいて実行されるグローバルＨＴＴＰＳロードバランサを含んでもよい。上記グローバルＨＴＴＰＳロードバランサは、上記データパケットを複数の異なるバックエンドのうちの１つにルーティングするように構成される。上記データパケットの１つまたは複数のシミュレーションされた転送経路を生成するステップは、上記グローバルＨＴＴＰＳロードバランサから上記複数の異なるバックエンドのうちの各々への対応するシミュレーションされた転送経路を生成するステップを含んでもよい。

本開示の１つまたは複数の実現例の詳細は、添付の図面および以下の説明に記載されている。他の局面、特徴および利点は、説明および図面および特許請求の範囲から明らかであろう。

クラウドネットワーク到達可能性解析を実行するための例示的なシステムの概略図である。 図１のシステムのバーチャルマシンの例示的な構成要素の概略図である。 図１のシステムのネットワーク抽象状態マシンを含む例示的な構成要素の概略図である。 シミュレーションされた転送経路の特定された到達可能性ステータスを示す例示的なレポートの概略図である。 図３のネットワーク抽象状態マシンの概略図である。 バーチャルマシンと別のバーチャルマシンとの間の転送経路をシミュレーションするためのネットワーク抽象状態マシンの状態図の概略図である。 バーチャルマシンとロードバランサとの間の転送経路をシミュレーションするためのネットワーク抽象状態マシンの状態図の概略図である。 バーチャルマシンとオンプレミスネットワークとの間の転送経路をシミュレーションするためのネットワーク抽象状態マシンの状態図の概略図である。 インターネットとバーチャルマシンとの間の転送経路をシミュレーションするためのネットワーク抽象状態マシンの状態図の概略図である。 オンプレミスネットワークバーチャルマシンとバーチャルプライベートクラウドバーチャルマシンとの間の転送経路をシミュレーションするためのネットワーク抽象状態マシンの状態図の概略図である。 シミュレーションされたデータパケットの最終到達可能性状態の原因の表である。 シミュレーションされたデータパケットの最終到達可能性状態の原因の表である。 ロードバランサを介した外部ホストとバーチャルプライベートクラウドバーチャルマシンとの間のシミュレーションされた転送経路の概略図である。 クラウドネットワーク到達可能性解析を実行する方法のための動作の例示的な構成のフローチャートである。 本明細書に記載されているシステムおよび方法を実現するために使用され得る例示的なコンピューティングデバイスの概略図である。

さまざまな図面における同様の参照符号は、同様の要素を示す。
詳細な説明
バーチャルプライベートクラウド（ＶＰＣ）は、ユーザに対して他のクラウドユーザからの独立性を提供するためにパブリッククラウド環境内に割り当てられた共有のコンピューティングリソースのオンデマンドで構成可能なプールである。この独立（分離）は、プライベートインターネットプロトコル（ＩＰ）サブネットおよび／またはバーチャル通信構成体を割り当てることによって行われてもよい。ＶＰＣは、ＶＰＣ環境への安全性の高いアクセスを確実にするために、バーチャルプライベートネットワーク（ＶＰＮ）を介してユーザのオンプレミスネットワークまたは他のリモートリソースと通信し得る１つまたは複数のバーチャルマシン（ＶＭ）を実行してもよい。ＶＰＣ環境の中には、規模が非常に大きくて（すなわち、多数のＶＭ、ネットワークゲートウェイ、ロードバランサなどを含む）非常に複雑であるものもあるので、ＶＰＣネットワークを動作させて維持するためには相当なネットワーク構成が必要であることが多い。

本明細書における実現例は、ユーザが、複数のフィールド（たとえば、送信元アドレスおよび送信先アドレス、プロトコル、送信元ポートおよび送信先ポートなど）を有するパケットヘッダを指定して、ＶＰＣネットワーク、ピアリングＶＰＣネットワーク、ＶＰＮトンネルを介したおよび／またはユーザのオンプレミスネットワークへのデータパケットの少なくとも１つの予想される転送経路を（パケットヘッダを使用して）シミュレーションすることを可能にするクラウド到達可能性解析部に向けられる。クラウド到達可能性解析部は、各々のシミュレーションされた経路に対して、たとえばルートおよびファイアウォールルールを含む構成情報を提供する。転送経路の状態を実際に検証する（すなわち、データパケットを実際に送信する）こととは対照的に、クラウド到達可能性解析部は、その代わりに、ＶＰＣネットワークのアクティブな構成に基づいて解析を実行する。これは、「インテントベースの」パケットトレーシングと称されることもある。

すなわち、クラウド到達可能性解析部は、ＶＰＣ内またはＶＰＣネットワークと非ＶＰＣネットワーク（たとえば、オンプレミスネットワーク）との間のネットワーク到達可能性の構成ベースの静的な解析を提供する。ユーザは、パケットヘッダの１つまたは複数のパラメータを指定してもよく、クラウド到達可能性解析部は、パケット転送経路を生成してシミュレーションする。クラウド到達可能性解析部は、各々のシミュレーションされた経路の各ステップについて、一致する構成（たとえば、ファイアウォールルール、ルートなど）を提供する。したがって、クラウド到達可能性解析部は、ユーザがネットワーク構成を用いて所期の到達可能性を検証することを可能にし、不整合構成、廃止された構成または正しく構成されていない構成を発見することを手助けする。また、クラウド到達可能性解析部は、新たな構成変更からエラーを確認して検出し、提案されている構成変更によるネットワーク接続性の影響を解析する。

図１を参照して、いくつかの実現例において、例示的なシステム１００は、ユーザデバイス１０を含み、ユーザデバイス１０は、それぞれのユーザ１２に関連付けられて、ネットワーク６０（たとえば、インターネット）およびオンプレミスネットワーク７０（すなわち、ユーザデバイス１０がネットワーク６０に接続するために使用するローカルネットワーク）を介してリモートシステム１４０と通信する。オンプレミスネットワーク７０は、オンプレミスネットワーク７０のための転送ホストの役割を果たすネットワークゲートウェイ７２（たとえば、ルータ）を含む。ユーザデバイス１０は、デスクトップワークステーション、ラップトップワークステーションまたはモバイルデバイス（すなわち、スマートフォン）などの任意のコンピューティングデバイスに対応してもよい。ユーザデバイス１０は、コンピューティングリソース１８（たとえば、データ処理ハードウェア）および／またはストレージリソース１６（たとえば、メモリハードウェア）を含む。

リモートシステム１４０は、コンピューティングリソース１４４（たとえば、データ処理ハードウェア）を含むスケーラブルな／弾力性のあるリソース１４２、および／または、ストレージリソース１４６（たとえば、メモリハードウェア）を有する単一のコンピュータ、複数のコンピュータ、または分散型システム（たとえば、クラウド環境）であってもよい。クライアントまたはコンピューティングリソース１４４のうちの１つまたは複数によるストレージリソース１４６のスケーラブルな使用を可能にするために、ストレージリソース１４６上にデータストア（すなわち、リモートストレージデバイス）を配置してもよい。リモートシステム１４０は、１つまたは複数のバーチャルマシン（ＶＭ）２５０，２５０ａ～ｎを実装して実行するように構成される。ＶＭのうちの１つまたは複数は、ユーザ１２に関連付けられるかまたはユーザ１２によって操作されるバーチャルプライベートクラウド（ＶＰＣ）環境またはＶＰＣネットワーク１４８において、セキュリティ上安全に実行される。ＶＰＣネットワーク１４８は、ロードバランサ、ゲートウェイ、フロントエンドおよびバックエンドなどのさまざまな他のネットワーク要素を含んでもよい。

図２に示されている例において、分散型システム１４０は、リソース１１０（たとえば、ハードウェアリソース１１０ｈ）のコレクション２１０と、バーチャルマシンモニタ（ＶＭＭ）２２０と、ＶＭ２５０のうちの１つまたは複数を実行するＶＭレイヤ２４０と、アプリケーションレイヤ２６０とを含む。各ハードウェアリソース１１０ｈは、１つまたは複数の物理的中央処理装置（ｐＣＰＵ）１４４（「物理的なプロセッサ１４４」）と、メモリハードウェア１４６とを含んでもよい。各ハードウェアリソース１１０ｈは、単一の物理的なプロセッサ１４４を有するように示されているが、いずれのハードウェアリソース１１０ｈも複数の物理的なプロセッサ１４４を含んでもよい。オペレーティングシステム２１２は、リソース１１０のコレクション２１０上で実行されてもよい。

いくつかの例において、ＶＭＭ２２０は、ＶＭ２５０を作成して実行するように構成されたソフトウェア、ファームウェアまたはハードウェアのうちの少なくとも１つを含むハイパーバイザ２２０（たとえば、Compute Engine）に対応する。１つまたは複数のＶＭ２５０を実行するＶＭＭ２２０に関連付けられたコンピュータ（すなわち、データ処理ハードウェア１４４）は、ホストマシンと称されることもあるのに対して、各ＶＭ２５０は、ゲストマシンと称されることもある。ここで、ＶＭＭ２２０またはハイパーバイザは、バーチャルオペレーティングプラットフォームを有する対応するゲストオペレーティングシステム（ＯＳ）２１２ｇを各ＶＭ２５０に提供して、ＶＭ２５０上での対応するゲストＯＳ２１２ｇの実行を管理するように構成される。本明細書において使用される各ＶＭ２５０は、「インスタンス」または「ＶＭインスタンス」と称されることもある。いくつかの例において、さまざまなオペレーティングシステムの複数のインスタンスは、仮想化されたリソースを共有してもよい。たとえば、Ｌｉｎｕｘ（商標）オペレーティングシステムの第１のＶＭ２５０、Ｗｉｎｄｏｗｓ（商標）オペレーティングシステムの第２のＶＭ２５０、およびＯＳ Ｘ（商標）オペレーティングシステムの第３のＶＭ２５０は全て、単一の物理的なｘ８６マシン上で動作してもよい。

ＶＭレイヤ２４０は、１つまたは複数のバーチャルマシン２５０を含む。分散型システム１４０は、ユーザ１２がオンデマンドでＶＭ２５０を起動することを可能にする。ＶＭ２５０は、実際のコンピュータシステムをエミュレートして、専用のハードウェア、ソフトウェアまたはそれらの組み合わせを含み得る実際のコンピュータシステムまたは仮想のコンピュータシステムのコンピュータアーキテクチャおよび機能に基づいて動作する。いくつかの例において、分散型システム１４０は、１つまたは複数のＶＭ２５０を起動する前にユーザ１２を認可して認証する。ソフトウェアのインスタンス、または単純にインスタンスとは、分散型システム１４０のデータ処理ハードウェア１４４上で提供される（実行される）ＶＭ２５０のことである。

各ＶＭ２５０は、１つまたは複数のバーチャル中央処理装置（ｖＣＰＵ）２５２（「バーチャルプロセッサ」）を含んでもよい。示されている例において、第１のバーチャルマシン２５０ａは、１つまたは複数のバーチャルプロセッサ２５２の第１のセット２５２ａを含み、第２のバーチャルマシン２５０ｂは、１つまたは複数のバーチャルプロセッサ２５２の第２のセット２５２ｂを含む。第２のセット２５２ｂはバーチャルプロセッサ２５２を１つだけ含むものとして示されているが、いかなる数のバーチャルプロセッサ２５２を含むことも可能である。各バーチャルプロセッサ２５２は、１つまたは複数の物理的なプロセッサ１４４をエミュレートする。たとえば、１つまたは複数のバーチャルプロセッサ２５２の第１のセット２５２ａは、１つまたは複数の物理的なプロセッサ１４４の第１のセット１１３ａをエミュレートし、１つまたは複数のバーチャルプロセッサ２５２の第２のセット２５２ｂは、１つまたは複数の物理的なプロセッサ１４４の第２のセット１１３ｂをエミュレートする。アプリケーションレイヤ２６０は、バーチャルマシン２５０上で実行され得るソフトウェアリソース１１０ｓ，１１０ｓａ，１１０ｓｂ（ソフトウェアアプリケーション）を含む。

一般に、ソフトウェアの各インスタンス（たとえば、バーチャルマシン２５０）は、物理的なメモリハードウェア１４６上でのサービスのために揮発性および不揮発性記憶容量を提供する少なくとも１つのバーチャルストレージデバイス２６２を含む。たとえば、物理的なメモリハードウェア１４６上の記憶容量は、永続ディスク（ＰＤ）を含み得て、永続ディスク（ＰＤ）は、揮発性メモリを提供するために、メモリハードウェア１４６またはランダムアクセスメモリ（ＲＡＭ）のいくつかの物理的なディスク（たとえば、メモリ領域１１６（図１３））にわたってユーザ１２のためにデータを格納する。より具体的には、対応するＶＭ２５０の各バーチャルストレージデバイス２６２は、不揮発性ストレージを提供するために、メモリハードウェア１４６上の関連付けられた物理的なブロックストレージボリュームＶに、バイトまたはビット（ブロック）のシーケンスの状態でデータを移動させる。したがって、対応するＶＭインスタンス２５０のバーチャルストレージデバイス２６２は、メモリハードウェア１４６上で対応する物理的なブロックストレージボリュームＶにマッピングする記憶容量を提供する。いくつかの例において、バーチャルストレージデバイス２６２は、メモリハードウェア１４６上のデータへのランダムアクセスをサポートし、一般にバッファリングされたＩ／Ｏを使用する。例としては、ハードディスク、ＣＤ－ＲＯＭドライブおよびフラッシュドライブが挙げられる。同様に、物理的なメモリハードウェア１４６の揮発性メモリ（たとえば、ＲＡＭ）の一部は、バーチャルストレージデバイス２６２にわたって分配されてもよい。

ゲストオペレーティングシステム２１２ｇ内には、ゲストカーネル２１４ｇがある。カーネルは、ＯＳに対するアクセスおよび制御が十分なオペレーティングシステムのコアであるコンピュータプログラムである。すなわち、カーネルは、ホストマシンのアプリケーション１１０ｓとハードウェアリソース１１０ｈとの間の仲介役である。最も最近のコンピューティングシステムは、バーチャルメモリを保護されたカーネル空間およびユーザ空間２１６ｇに分離する。一般に、カーネルは、保護されたカーネル空間内の揮発性メモリにとどまり、ユーザ空間２１６ｇから分離されている。安全性および信頼性を向上させるために、アプリケーション１１０ｓおよび他のソフトウェアサービスは、一般的には、ゲストユーザ空間２１６ｇにおいて実行され、保護されたカーネル空間と対話するのに必要な特権を有していない。

図１に戻って、リモートシステム１４０は、ＶＰＣネットワーク１４８および／またはオンプレミスネットワーク７０間または内で１つまたは複数のネットワーク転送経路８０，８０ａ～ｎを解析するためのクラウド到達可能性解析部１５０を実行して、各ネットワーク転送経路８０に関する到達可能性ステータス１７２および／またはネットワーク構成情報１６２を特定する。

クラウド到達可能性解析部１５０は、ターゲットの到達可能性ステータス１７２を要求する到達可能性クエリ２０をユーザデバイス１０から受信する。このターゲットは、オンプレミスネットワークゲートウェイ７２、１つまたは複数のＶＭ２５０、ファイアウォールルール、および／または、ロードバランサ（図１１）などのＶＣＰネットワーク１４８の他の構成要素を含んでもよい。ターゲットがファイアウォールルールである場合、到達可能性ステータス１７２は、ＶＰＣネットワーク１４８に送達されて構成の中の特定のルールにヒットし得るパケットが存在するか否かによって決まる。到達可能性クエリ２０は、データパケット２４に関連付けられたパケットヘッダ２２（たとえば、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）またはＩＰバージョン６（ＩＰｖ６）パケットヘッダ）を含む。いくつかの例では、到達可能性クエリ２０は、データパケット２４と、関連付けられたパケットヘッダ２２とを含むが、他の例では、クラウド到達可能性解析部１５０は、パケットヘッダ２２を受信して対応するデータパケット２４を生成する。パケットヘッダ２２は、複数のデータパケットパラメータ２５，２５ａ～ｎを含む。たとえば、パケットヘッダ２２は、送信元インターネットプロトコル（ＩＰ）アドレス２５ａと、送信先ＩＰアドレス２５ｂとを含む。任意に、パケットヘッダ２２は、プロトコルタイプ２５ｃ、送信元ポート２５ｄおよび／または送信先ポート２５ｅなどの他のパラメータ２５を含む。

クラウド到達可能性解析部１５０は、関連付けられたパケットヘッダ２２を有するデータパケット２４を受信または取得する経路生成部１６０を含む。経路生成部１６０は、データプレーンモデル１６４を使用して、パケットヘッダ２２に基づいてデータパケット２４の１つまたは複数のシミュレーションされた転送経路８０（本明細書では、トレースとも称される）を生成する。各々のシミュレーションされた転送経路８０は、対応するネットワーク構成情報１６２を含む。データプレーンモデル１６４は、ＶＰＣネットワーク１４８のネットワーク構成要素からネットワーク構成情報１６２を取得し、たとえば、ＶＰＣネットワーク１４８内でデータパケット２４を導くためのポート／インターフェイス、異なるＶＰＣネットワーク１４８間でデータパケット２４を導くためのポート／インターフェイス、ＶＰＣネットワーク１４８と非ＶＰＣネットワーク（たとえば、オンプレミスネットワーク７０）との間でデータパケット２４を導くためのポート／インターフェイス、対応するシミュレーションされた転送経路８０に沿った各ステップにおいてデータパケット２４に適用されるファイアウォールルール、および／または、対応するシミュレーションされた転送経路８０に沿った各ステップに関連付けられたネットワーク構成を含む。本明細書において使用されるシミュレーションされた転送経路８０に沿った各ステップとは、送信元インスタンスと送信先インスタンスとの間の中間デバイス（たとえば、ゲートウェイ、ロードバランサなど）のことである。

いくつかの実現例において、データプレーンモデル１６４は、ネットワーク構成情報１６２からインスタンスを導き出すことによってネットワーク１４８のデータプレーンをモデル化する理想的なデータプレーンモデルである。いくつかの例において、ネットワーク構成情報１６２は、ＶＰＣネットワーク１４８に関連付けられたプロジェクト構成に格納される。データプレーンモデル１６４は、導き出されたインスタンスを解析して、到達可能性特性を特定して検証する。すなわち、データプレーンモデル１６４は、到達可能性解析のために関連するネットワーク構成を抽象化する。ネットワーク構成情報１６２は、ＶＰＣネットワーク構成情報、ネットワークサービス情報（たとえば、ロードバランサ）、ハイブリッドクラウド構成、ＶＭ構成および／またはプラットフォーム構成（たとえば、コンテナ化されたアプリケーションのためのプラットフォーム）を含んでもよい。

シミュレーションされた転送経路８０は、ＶＰＣネットワーク１４８内および／またはＶＰＣネットワーク１４８とオンプレミスネットワーク７０との間のデータパケット２４の転送経路を表す。たとえば、１つのシミュレーションされた転送経路８０は、第１のインスタンス（たとえば、ＶＭ２５０ａ）から第２のインスタンス（たとえば、ＶＭ２５０ｂ）への転送経路を表し、第１のインスタンスも第２のインスタンスも同一のＶＰＣネットワーク１４８において実行される。任意に、１つのシミュレーションされた転送経路８０についてのデータパケットの送信元は、ＶＰＣネットワーク１４８である第１のネットワークにおいて実行されるインスタンス（たとえば、ＶＭ２５０）であり、送信先は、第１のネットワークとは異なるＶＰＣネットワーク１４８である第２のネットワークにおいて実行される第２のインスタンス（たとえば、異なるＶＭ２５０）である。

別の例において、１つのシミュレーションされた転送経路８０は、１つのＶＭ２５０から外部ネットワーク（たとえば、インターネット６０）への転送経路８０を表す。すなわち、データパケット２４の送信元（すなわち、送信元ＩＰアドレス２５ａ）は、第１のネットワークにおいて実行される第１のインスタンス（たとえば、ＶＰＣネットワーク１４８におけるＶＭ２５０）を含み、データパケット２４の送信先（すなわち、送信先ＩＰアドレス２５ｂ）は、第１のネットワークとは異なる第２のネットワーク（たとえば、オンプレミスネットワーク７０）において実行される第２のインスタンスを含む。さらに他の例において、シミュレーションされた転送経路８０は、ＶＭ２５０からロードバランサ１１１０（図１１）へ、および／または、（たとえば、バーチャルプライベートネットワーク（ＶＰＮ）トンネルを介して）ＶＭ２５０からオンプレミスネットワーク７０のネットワークゲートウェイ７２へを表す。これらの例の各々は、方向が逆にされてもよい。すなわち、シミュレーションされた転送経路８０のうちの１つは、インターネット６０からＶＭ２５０またはロードバランサ１１１０へ、および／または、オンプレミスネットワークゲートウェイ７２からＶＭ２５０へを含んでもよい。ユーザデバイス１０は、ローカルに通知されたルートを使用してリモートネットワーク（たとえば、オンプレミスネットワーク７０）からデータパケット２４を送信するように構成されてもよい。すなわち、クラウド到達可能性解析部１５０は、オンプレミスネットワーク７０のネットワーク構成情報１６２へのアクセスを有することができないので、クラウド到達可能性解析部１５０は、オンプレミスネットワーク７０から発生するデータパケット２４に対して正しいルートおよびファイアウォールルールが構成されるか否かを確認することができない。しかし、クラウド到達可能性解析部１５０は、ＶＰＣネットワーク１４８からの構成がデータパケット２４を意図された送信先に送達することを可能にするか否かを確認することができる。クラウド到達可能性解析部１５０によって確認される最も重要な構成は、通知されたルートおよびイングレスファイアウォールルールを含む。

別の例として、データパケット２４の送信元は、外部ネットワーク（たとえば、オンプレミスネットワーク７０）に位置し、データパケット２４の送信先は、ＶＰＣネットワーク１４８において実行されるグローバルＨＴＴＰＳロードバランサ１１１０を含む。グローバルＨＴＴＰＳロードバランサ１１１０は、データパケット２４を複数の異なるバックエンドＶＭ２５０（図１１）のうちの１つにルーティングするように構成されてもよい。経路生成部１６０は、グローバルＨＴＴＰＳロードバランサから複数の異なるバックエンドＶＭ２５０のうちの各々への対応するシミュレーションされた転送経路８０を生成してもよい。

本明細書に記載されている例示的な経路８０は、例示に過ぎず、限定的であるよう意図されたものではない。すなわち、クラウド到達可能性解析部１５０は、他の転送経路８０も解析またはシミュレーションしてもよい。たとえば、クラウド到達可能性解析部１５０は、他のネットワーク（たとえば、オンプレミスネットワーク７０またはピアリングＶＰＣネットワーク）のネットワーク構成情報１６２を（たとえば、ユーザ１２から）受信または取得し、これらのネットワークを介したシミュレーションされた経路８０を含んでもよい。言い換えれば、クラウド到達可能性解析部１５０は、クラウド到達可能性解析部１５０がネットワーク構成情報１６２を取得する任意のネットワークおよび関連付けられたネットワーク構成要素（たとえば、ゲートウェイ、ロードバランサ、フロントエンド、バックエンドなど）を介した転送経路８０を解析してもよい。いくつかの例において、クラウド到達可能性解析部１５０は、ネットワーク構成情報１６２が入手できなくなった時点で（たとえば、オンプレミスゲートウェイ７２において）解析を停止する。

経路生成部１６０は、経路８０および対応するネットワーク構成情報１６２を経路解析部１７０に渡し、経路解析部１７０は、１つまたは複数のシミュレーションされた転送経路８０に基づいて到達可能性クエリ２０のターゲットの到達可能性ステータス１７２を特定する。いくつかの例において、経路解析部１７０は、対応するネットワーク構成情報１６２に基づいて、１つまたは複数のシミュレーションされた転送経路８０の各々に対してネットワーク到達可能性解析を実行する。経路解析部１７０は、オンデマンドモード、連続モード、プレサブミットモードまたはポストサブミットモードのうちの少なくとも１つのモードでネットワーク到達可能性解析を実行してもよい。たとえば、到達可能性クエリ２０は、ユーザデバイス１０がクラウド到達可能性解析部１５０に停止するよう指示するまでの（または、他の閾値が満たされるまでの、たとえばある時間が経過するまでの）、単一のシミュレーションまたは連続的なシミュレーションの要求を示してもよい。いくつかの実現例において、経路解析部１７０は、対応するシミュレーションされた転送経路８０に沿って１つまたは複数の不良構成を発見することによって、または、対応するシミュレーションされた転送経路８０に沿って不整合構成または廃止された構成を発見することによって、対応するシミュレーションされた転送経路８０に沿ったデータパケット２４の到達可能性の最終状態１７２（本明細書では、到達可能性ステータス１７２とも称される）を特定する。

クラウド到達可能性解析部１５０は、特定された到達可能性ステータス１７２および１つまたは複数のシミュレーションされた転送経路８０を、到達可能性クエリ２０に関連付けられたユーザデバイス１０に提供する。以下でより詳細に説明するように、１つまたは複数のシミュレーションされた転送経路８０は、ユーザデバイス１０によって受信されると、ユーザデバイス１０に、各々のシミュレーションされた転送経路８０のネットワーク構成情報１６２をユーザ１２に対して提示させる。

ここで図３Ａを参照して、いくつかの実現例において、経路解析部１７０は、１つまたは複数のシミュレーションされた転送経路８０を生成するためのネットワーク抽象状態マシン（ＮＡＭ）４００を含む。ＮＡＭ４００は、ＶＰＣネットワーク１４８がどのようにしてデータパケットを処理するかについての理想的なモデルであってもよい。いくつかの例において、ＮＡＭ４００は、抽象であるため、ＶＰＣネットワーク１４８の実際の実装からは独立している。任意に、ＮＡＭ４００は、データパケット２４の到達可能性の最終状態１７２を特定し、到達可能性の最終状態１７２は、データパケット２４が送信先に送達されることを示す送達状態１７４ａ、データパケット２４が、不明の構成を有する別のネットワークに転送されることを示す転送状態１７４ｂ、構成チェックポイントの失敗または構成の欠落によりデータパケット２４が削除されることを示す削除状態１７４ｃ、または重要な構成の欠落によりネットワーク到達可能性解析が不可能であることを示すアボート状態１７４ｄのうちのいずれか１つを含む。ＮＡＭ４００は、状態が複数の後継状態を有し得るという点において非決定的であってもよい。たとえば、同一のＩＰマスクおよび優先順位を有するいくつかのルートがデータパケットに適用される場合、不特定のハッシュ関数に基づいてそれらの中からルートが選択される。これは、基本的には決定的なプロセスであるが、ルートのうちの１つを非決定的に選択することによってよりよくモデル化される。なぜなら、ハッシュ関数は、変更される可能性がある内部実装であるからである。

ここで図３Ｂを参照して、クラウド到達可能性解析部１５０は、各々のシミュレーションされた転送経路８０の特定された到達可能性ステータス１７２をユーザデバイス１０に提供する。これは、ユーザデバイスに、各々のシミュレーションされた転送経路８０のネットワーク構成情報１６２をユーザ１２に対して提示させる。たとえば、レポート３００は、生成されたデータパケット２４（たとえば、パケットヘッダ２２）に関する詳細をユーザ１２に示してもよい。レポート３００は、トレースまたはシミュレーションされた転送経路８０に沿った各ステップ３１０，３１０ａ～ｎまたはホップに関連する情報を示してもよい。示されている例において、データパケット２４は、ステップ３１０ａ（すなわち、ステップ０）において送信元インスタンスから出発し、ステップ３１０ｂ（すなわち、ステップ１）においてエグレスファイアウォールルールが適用され、ステップ３１０ｃ（すなわち、ステップ２）においてデータパケットがルーティングされ、ステップ３１０ｄ（すなわち、ステップ３）において送信先インスタンスに到達し、ステップ３１０ｅ（すなわち、ステップ４）においてイングレスファイアウォールルールが適用され、ステップ３１０ｆ（すなわち、ステップ５）において送信先インスタンスに送達される。これらのステップ３１０の各々は、関連するネットワーク構成情報１６２を含む。

レポート３００は、各々のシミュレーションされた転送経路８０の特定された到達可能性ステータス１７２の理由または根拠（たとえば、パケットは、ファイアウォールルールによって拒否されたので削除された）を示してもよく、その目的は、トラブルシューティングを手助けし、および／もしくは、不整合構成および無効な構成によって引き起こされるネットワーク接続を検出するためであり、または、新たなもしくは変更された構成を確認するためである。いくつかの例において、クラウド到達可能性解析部１５０は、構成変更影響解析を提供する。シミュレーションされた転送経路８０の各々は、アプリケーション（たとえば、ウェブブラウザ）の一部としてユーザデバイス上のグラフィカルユーザインターフェイス（ＧＵＩ）の一部として提示されてもよい。示されている例は、１つだけの転送経路８０（すなわち、トレース１）に関する詳細を提供しているが、シミュレーションされた各転送経路８０（すなわち、複数のトレース）が提供されてもよい。いくつかの例において、レポート３００は、データパケット２４の特定された到達可能性ステータス１７２を示す概要セクション３２０を含む。

ここで図４を参照して、いくつかの実現例において、ＮＡＭ４００は、エグレスチェック４１０と、イングレスチェック４２０と、経路に特有のチェック４３０とを含む。いくつかの例において、エグレスチェック４１０は、エグレスファイアウォールチェック４１２と、一致ルート４１４とを含む。エグレスファイアウォールチェックは、（たとえば、ネットワーク構成情報１６２内で）一致するエグレスファイアウォールルールを探し出す。エグレスファイアウォールルールは、送信元インスタンス（たとえば、ＶＭ２５０）に適用されるファイアウォールルールである。一致ルート４１４は、シミュレーションされた転送経路８０にとっての適切なルートを探し出して適用してもよい。また、一致ルート４１４は、送信元インスタンスがＶＭ２５０である場合、送信先ＩＰアドレス２５ｂについて一致するルートがあるか否かを判断してもよい。一致するルートがない場合、ＮＡＭ４００は、ルートを、インターネットゲートウェイとして次のホップを有するデフォルトルートと一致させてもよい。イングレスファイアウォールチェック４２２は、エグレスファイアウォールチェック４１２のように、一致するイングレスファイアウォールルール（すなわち、送信先インスタンスに適用されるファイアウォールルール）を探し出して適用する。

経路に特有のチェック４３０は、ＮＡＭ４００が評価しているシミュレーションされた転送経路８０のタイプに基づく。すなわち、経路に特有のチェック４３０は、シミュレーションされた転送経路８０の送信元インスタンスおよび送信先インスタンスに左右される。たとえば、送信先インスタンスがＶＰＮトンネル４３４を介したＶＰＮゲートウェイ４３２である場合、特定の状態（図７）がＮＡＭ４００による評価に含まれる。同様に、送信先インスタンスが転送ルール４３６を有するロードバランサである場合、異なる状態（図６および図８）が評価される。送信先インスタンスがピアリングネットワークゲートウェイ４３８である場合、さらに他の状態がＮＡＭ４００の状態マシンにおいて評価される。

図５～図９は、データパケット２４のさまざまなシミュレーションされた転送経路８０を解析する際のＮＡＭ４００を表す例示的な状態マシン５００，６００，７００，８００，９００を示す図である。たとえば、図５は、第１のＶＭ２５０と第２のＶＭ２５０との間または第１のＶＭ２５０からインターネット６０へのシミュレーションされた転送経路８０を解析する際のＮＡＭ４００の状態マシン５００を示す。状態マシン５００は、送信元ＶＭ２５０に対応するインスタンス状態５１０から開始する。そこから、状態マシン５００は、アボート状態５１２（たとえばネットワーク構成情報１６２の欠落により解析が続行できない）、エグレスファイアウォールルールを適用５１４、または、ＶＭ２５０が外部ＩＰ（Foreign IP）を有するデータパケットを送受信することを許可されるスプーフィングチェック５１８状態に遷移する。削除状態５１６において、データパケット２４は、ネットワーク構成チェックの失敗またはネットワーク構成情報１６２の欠落により削除されてもよい。状態５２０において、適切なルートが探し出されて適用され、状態５２２において、データパケット２４はＶＭインスタンスに到達してもよく、状態５２８において、データパケット２４は構成が不明である（したがって、解析が停止する）別のネットワークに転送されてもよく、状態５２６において、ネットワークアドレス変換（ＮＡＴ）によりパケットヘッダ２２を修正してもよく、または、状態５２４において、イングレスファイアウォールルールを適用してもよい。状態５３０において、データパケット２４は、パケットヘッダ２２に指定された送信先に送達される。

ここで図６を参照して、状態マシン６００は、ＶＭ２５０とロードバランサ１１１０（図１１）との間のシミュレーションされた転送経路８０を解析する際のＮＡＭ４００を表す。状態マシン６００は、送信元ＶＭ２５０に対応するインスタンス状態６１０から開始する。そこから、状態マシン６００は、アボート状態６１２（たとえばネットワーク構成情報１６２の欠落により解析が続行できない）、エグレスファイアウォールルールを適用６１４、または、ＶＭ２５０が外部ＩＰを有するデータパケットを送受信することを許可されるスプーフィングチェック６１８状態に遷移する。削除状態６１６において、データパケット２４は、ネットワーク構成チェックの失敗またはネットワーク構成情報１６２の欠落により削除されてもよい。状態６２０において、適切なルートが探し出されて適用され、状態６２２において、構成が不明である（したがって、解析が停止する）別のネットワークに転送されてもよい。状態６２４において、ＮＡＭ４００は、適切な転送ルールを適用し、状態６２６において、内部または外部ロードバランサ１１１０に到達する。そこから、データパケット２４は、１つまたは複数のバックエンド６２８，６２８ａ～ｎに転送されてもよく、データパケットは、状態６３０において削除されるか、または状態６３２において送達される。

ここで図７を参照して、状態マシン７００は、ＶＰＮを介したＶＭ２５０とオンプレミスネットワーク７０との間のシミュレーションされた転送経路８０を解析する際のＮＡＭ４００を表す。状態マシン７００は、送信元ＶＭ２５０に対応するインスタンス状態７１０から開始する。そこから、状態マシン６００は、アボート状態７１２（たとえばネットワーク構成情報１６２の欠落により解析が続行できない）、エグレスファイアウォールルールを適用７１４、または、ＶＭ２５０が外部ＩＰを有するデータパケットを送受信することを許可されるスプーフィングチェック７１８状態に遷移する。削除状態７１６において、データパケット２４は、ネットワーク構成チェックの失敗またはネットワーク構成情報１６２の欠落により削除されてもよい。状態７２０において、適切なルートが探し出されて適用され、状態７２２において、構成が不明である（したがって、解析が停止する）別のネットワークに転送され、その後、１つまたは複数のオンプレミスバックエンド７２８，７２８ａ～ｎに転送される。状態７２４において、データパケット２４は、ＶＰＮトンネルのローカル側に到達し、状態７２６において、データパケット２４は、ＶＰＮゲートウェイに到達して、１つまたは複数のＶＣＰバックエンド６２８に転送されてもよい。

ここで図８を参照して、状態マシン８００は、インターネット６０とＶＭ２５０との間またはインターネット６０とロードバランサ１１１０との間のシミュレーションされた転送経路８０を解析する際のＮＡＭ４００を表す。状態マシン８００は、インターネット６０から発生するデータパケット２４のインターネット状態８１０から開始する。そこから、状態マシン８００は、状態８１６に進んでもよく、状態８１６において、データパケット２４は、ネットワーク構成チェックの失敗またはネットワーク構成情報１６２の欠落により削除される。また、状態マシン８００は、状態８１２に進んで、ＮＡＴによりパケットヘッダ２２を修正してもよい。ＮＡＴ状態８１２から、データパケット２４は、８１８においてＶＭインスタンスに到達し、状態８２０において削除されるか、または状態８２２において送達される。また、状態マシン８００は、状態８１４に進んでもよく、状態８１４において、送信先がロードバランサ１１１０である場合、適切な転送ルールを適用する。そこから、状態マシン８００は、状態８２４に進み、状態８２４において、データパケット２４は、外部ロードバランサに到達する。次に、状態マシン８００は、プロキシ接続状態８２６に遷移し、プロキシ接続状態８２６において、以前の接続が新たな接続にプロキシされ、ＮＡＭ４００は、後続のトレースまたはシミュレーションのために新たなデータパケット２４を生成する。そうでなければ、状態マシン８００は、データパケット２４を１つまたは複数のバックエンド６２８に転送することをシミュレーションし、データパケットは、状態８２８において削除されるか、または状態８３０において送達される。

ここで図９を参照して、状態マシン９００は、オンプレミスネットワーク７０（たとえば、オンプレミスネットワーク７０内に位置するＶＭ）とＶＣＰ ＶＭ２５０との間のシミュレーションされた転送経路８０を解析する際のＮＡＭ４００を表す。ここで、状態マシン９００は、データパケット２４がプライベートネットワーク（たとえば、オンプレミスネットワーク７０）から発生する状態９１０から開始する。そこから、状態マシン９００は、状態９１２に遷移して、適切なルートを適用する。次に、状態マシン９００は、状態９１４において、ネットワーク構成チェックの失敗またはネットワーク構成情報１６２の欠落によりパケットを削除するか、または状態９１６においてインスタンスへの到達に進む。そこから、ＮＡＭ４００は、状態９１８においてイングレスファイアウォールルールを適用し、状態９２０においてデータパケットを送達する。

いくつかの例において、クラウド到達可能性解析部１５０は、ＶＰＣネットワーク１４８によって通知されたルートをオンプレミスネットワーク７０に逆方向に追跡することによって転送経路８０をシミュレーションする。クラウド到達可能性解析部１５０は、一般に、オンプレミスネットワーク構成へのアクセスを持たないが、クラウド到達可能性解析部１５０は、たとえばＶＰＮを介したオンプレミスネットワーク７０への静的および動的なルートの構成へのアクセスを有する。したがって、クラウド到達可能性解析部は、動的なルートのためにオンプレミスネットワーク７０が構成または受信すべきであったＶＰＣネットワーク１４８のルートをシミュレーションしてもよい。データパケット２４が（ＶＰＮ関連ルートから導き出された）オンプレミスネットワーク範囲から調達される場合、クラウド到達可能性解析部１５０は、「推測された」ルートをパケット上で適用してもよい。

ここで図１０Ａおよび図１０Ｂを参照して、表１０００ａ，１０００ｂは、ＮＡＭ４００におけるデータパケットの考えられる最終到達可能性状態１７２（すなわち、削除１７４ａ、転送１７４ｂ、送達１７４ｃまたはアボート１７４ｄ）、最終状態より前のＮＡＭ４００の状態（図５～図９）、および最終状態の関連付けられた原因を示す。すなわち、表１０００ａ，１０００ｂは、状態マシン５００，６００，７００，８００，９００において最終状態１７４ａ～ｄに遷移する原因の例を提供する。

ここで図１１を参照して、例示的な転送経路８０ｃは、外部ホスト（たとえば、ユーザデバイス１０）から開始し、インターネット６０を介してＶＰＣネットワーク１４８内のロードバランサ１１１０に進む。ロードバランサ１１１０は、データパケットをフロントエンドサーバ１０２０に転送し、フロントエンドサーバ１０２０は、データパケットを１つまたは複数のバックエンドまたはＶＭ２５０に分配する。このシナリオでは、転送経路８０ｃは、一般的なネットワークレベルのロードバランサよりも複雑である。この例では、クラウド到達可能性解析部１５０は、外部ホスト（たとえば、ユーザデバイス１０）からロードバランサ１１１０（たとえば、グローバルＨＴＴＰＳロードバランサ）にデータパケット２４をトレースする。いくつかの例において、ロードバランサは、プロキシロードバランサであるため、ＴＣＰ接続は、フロントエンドサーバ１０２０において終了し、フロントエンドサーバ１０２０は、１つまたは複数のバックエンドＶＭ２５０との新たなＴＣＰ接続を開始する。クラウド到達可能性解析部は、ＮＡＭ４００を使用してこの挙動をシミュレーションする。実際のデータプレーンにおいては、ロードバランシングアルゴリズムは、各接続についてＶＭを選択してもよいが、クラウド到達可能性解析部１５０は、データプレーン経路を予測しないが、その代わりにいかなる構成問題も識別して、予想される挙動へのさらなる可視性をユーザに提供する静的構成解析ツールであってもよい。したがって、この場合、クラウド到達可能性解析部１５０は、各々の考えられる経路についてトレースを提供する（たとえば、ＶＭ２５０ａに対して第１のトレース、ＶＭ２５０ｂに対して第２のトレース、およびＶＭ２５０ｂに対して第３のトレース）。

図１２は、クラウドネットワーク到達可能性解析を実行する方法１２００のための動作の例示的な構成のフローチャートである。方法１２００は、動作１２０２において、データ処理ハードウェア１４４において、ターゲット７０，２５０，１１１０の到達可能性ステータス１７２を要求する到達可能性クエリ２０を受信するステップを含む。到達可能性クエリ２０は、データパケット２４に関連付けられたパケットヘッダ２２を含み、パケットヘッダ２２は、データパケット２４の送信元に関連付けられた送信元ＩＰアドレス２５ａと、データパケット２４の送信先に関連付けられた送信先ＩＰアドレス２５ｂとを含む。

動作１２０４において、方法１２００は、データ処理ハードウェア１４４が、データプレーンモデル１６４を使用して、パケットヘッダ２２に基づいてデータパケット２４の１つまたは複数のシミュレーションされた転送経路８０を生成するステップを含む。シミュレーションされた転送経路８０の各々は、対応するネットワーク構成情報１６２を含む。動作１２０６において、方法１２００は、データ処理ハードウェア１４４が、１つまたは複数のシミュレーションされた転送経路８０に基づいてターゲット７０，２５０，１１１０の到達可能性ステータス１７２を特定するステップを含む。動作１２０８において、方法１２００は、データ処理ハードウェア１４４が、特定された到達可能性ステータス１７２および１つまたは複数のシミュレーションされた転送経路８０を、到達可能性クエリ２０に関連付けられたユーザデバイス１０に提供するステップを含む。１つまたは複数のシミュレーションされた転送経路８０は、ユーザデバイス１０によって受信されると、ユーザデバイス１０に、各々のシミュレーションされた転送経路８０のネットワーク構成情報１６２を提示させる。

図１３は、本明細書に記載されているシステムおよび方法を実現するために使用され得る例示的なコンピューティングデバイス１３００の概略図である。コンピューティングデバイス１３００は、ラップトップ、デスクトップ、ワークステーション、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、メインフレームおよび他の適切なコンピュータなどのさまざまな形態のデジタルコンピュータを表すよう意図されている。ここに示されている構成要素、それらの接続および関係、ならびにそれらの機能は、例示に過ぎないよう意図されており、本明細書に記載されているおよび／またはクレームされている本発明の実現例を限定するよう意図されたものではない。

コンピューティングデバイス１３００は、プロセッサ１３１０と、メモリ１３２０と、ストレージデバイス１３３０と、メモリ１３２０および高速拡張ポート１３５０に接続する高速インターフェイス／コントローラ１３４０と、低速バス１３７０およびストレージデバイス１３３０に接続する低速インターフェイス／コントローラ１３６０とを含む。構成要素１３１０，１３２０，１３３０，１３４０，１３５０および１３６０の各々は、さまざまなバスを使用して相互接続されており、共通のマザーボード上にまたは他の態様で適宜搭載されてもよい。プロセッサ１３１０は、コンピューティングデバイス１３００内で実行するための命令を処理することができ、これらの命令は、高速インターフェイス１３４０に結合されたディスプレイ１３８０などの外部入力／出力デバイス上でグラフィカルユーザインターフェイス（ＧＵＩ）のためのグラフィカル情報を表示するための、メモリ１３２０内またはストレージデバイス１３３０上に格納された命令を含む。他の実現例では、複数のメモリおよび複数のタイプのメモリとともに、複数のプロセッサおよび／または複数のバスが適宜使用されてもよい。また、複数のコンピューティングデバイス１３００が接続されてもよく、各デバイスは、（たとえば、サーババンク、ブレードサーバの群、またはマルチプロセッサシステムとして）必要な動作の一部を提供する。

メモリ１３２０は、コンピューティングデバイス１３００内に情報を非一時的に格納する。メモリ１３２０は、コンピュータ読取可能媒体、揮発性メモリユニットまたは不揮発性メモリユニットであってもよい。非一時的なメモリ１３２０は、コンピューティングデバイス１３００による使用のためにプログラム（たとえば、命令のシーケンス）またはデータ（たとえば、プログラム状態情報）を一時的にまたは永久的に格納するために使用される物理的なデバイスであってもよい。不揮発性メモリの例としては、フラッシュメモリおよびリードオンリメモリ（ＲＯＭ）／プログラマブルリードオンリメモリ（ＰＲＯＭ）／消去可能なプログラマブルリードオンリメモリ（ＥＰＲＯＭ）／電子的に消去可能なプログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）（たとえば、一般に、ブートプログラムなどのファームウェアで使用される）が挙げられるが、これらに限定されるものではない。揮発性メモリの例としては、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）およびディスクまたはテープが挙げられるが、これらに限定されるものではない。

ストレージデバイス１３３０は、コンピューティングデバイス１３００に対してマスストレージを提供することができる。いくつかの実現例において、ストレージデバイス１３３０は、コンピュータ読取可能媒体である。さまざまな異なる実現例において、ストレージデバイス１３３０は、ストレージエリアネットワークまたは他の構成におけるデバイスを含む、フロッピー（登録商標）ディスクデバイス、ハードディスクデバイス、光ディスクデバイス、またはテープデバイス、フラッシュメモリもしくは他の同様のソリッドステートメモリデバイス、またはデバイスのアレイであってもよい。さらなる実現例において、コンピュータプログラム製品は、情報担体において有形に具体化される。コンピュータプログラム製品は、実行されると上記の方法などの１つまたは複数の方法を実行する命令を含む。情報担体は、メモリ１３２０、ストレージデバイス１３３０またはメモリオンプロセッサ１３１０などのコンピュータまたは機械読取可能媒体である。

高速コントローラ１３４０は、コンピューティングデバイス１３００のための帯域幅集約型動作を管理する一方、低速コントローラ１３６０は、より低い帯域幅集約型動作を管理する。このような役割の割り当ては、例示に過ぎない。いくつかの実現例において、高速コントローラ１３４０は、メモリ１３２０、ディスプレイ１３８０（たとえば、グラフィックスプロセッサまたはアクセラレータを介する）、およびさまざまな拡張カード（図示せず）を受け付け得る高速拡張ポート１３５０に結合される。いくつかの実現例において、低速コントローラ１３６０は、ストレージデバイス１３３０および低速拡張ポート１３９０に結合される。さまざまな通信ポート（たとえば、ＵＳＢ、ブルートゥース（登録商標）、イーサネット（登録商標）、ワイヤレスイーサネット）を含み得る低速拡張ポート１３９０は、たとえばネットワークアダプタを介して、１つまたは複数の入力／出力デバイス（キーボード、ポインティングデバイス、スキャナなど）またはネットワーキングデバイス（スイッチもしくはルータなど）に結合されてもよい。

コンピューティングデバイス１３００は、図面に示されているように、多数の異なる形態で実現されてもよい。たとえば、それは、標準的なサーバ１３００ａとして実現されてもよく、またはこのようなサーバ１３００ａの群で複数回実現されてもよく、またはラップトップコンピュータ１３００ｂとして実現されてもよく、またはラックサーバシステム１３００ｃの一部として実現されてもよい。

本明細書に記載されているシステムおよび技術のさまざまな実現例は、デジタル電子および／もしくは光回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、ならびに／または、それらの組み合わせで実現することができる。これらのさまざまな実現例は、少なくとも１つのプログラマブルプロセッサを含むプログラマブルシステム上で実行可能および／または解釈可能な１つまたは複数のコンピュータプログラムでの実現例を含むことができ、少なくとも１つのプログラマブルプロセッサは、特別目的プロセッサまたは汎用プロセッサであってもよく、ストレージシステム、少なくとも１つの入力デバイスおよび少なくとも１つの出力デバイスとの間でデータおよび命令を送受信するように結合されている。

ソフトウェアアプリケーション（すなわち、ソフトウェアリソース）とは、コンピューティングデバイスにタスクを実行させるコンピュータソフトウェアのことであってもよい。いくつかの例において、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」または「プログラム」と称されることもある。アプリケーションの例としては、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、ワードプロセッシングアプリケーション、スプレッドシートアプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲーミングアプリケーションが挙げられるが、これらに限定されるものではない。

これらのコンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーションまたはコードとしても知られている）は、プログラマブルプロセッサのための機械命令を含み、高レベル手続き言語および／もしくはオブジェクト指向プログラミング言語で、ならびに／または、アセンブリ／機械言語で実現することができる。本明細書において使用される「機械読取可能媒体」および「コンピュータ読取可能媒体」という語は、機械読取可能な信号として機械命令を受信する機械読取可能媒体を含む、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される任意のコンピュータプログラム製品、非一時的なコンピュータ読取可能媒体、装置および／またはデバイス（たとえば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を指す。「機械読取可能な信号」という語は、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される任意の信号を指す。

本明細書に記載されているプロセスおよび論理フローは、データ処理ハードウェアとも称される１つまたは複数のプログラマブルプロセッサによって実行することができ、これらの１つまたは複数のプログラマブルプロセッサは、入力データ上で動作して出力を生成することによって機能を実行するように１つまたは複数のコンピュータプログラムを実行する。また、プロセスおよび論理フローは、特別目的論理回路（たとえば、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路））によって実行することもできる。コンピュータプログラムの実行に適したプロセッサは、一例として、汎用マイクロプロセッサも特別目的マイクロプロセッサも含み、任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサを含む。一般に、プロセッサは、リードオンリメモリまたはランダムアクセスメモリまたはそれら両方から命令およびデータを受信する。コンピュータの必須の要素は、命令を実行するためのプロセッサと、命令およびデータを格納するための１つまたは複数のメモリデバイスとである。一般に、コンピュータは、データを格納するための１つまたは複数のマスストレージデバイス（たとえば、磁気、光磁気ディスクまたは光ディスク）も含み、または、１つまたは複数のマスストレージデバイスとの間でデータを受信したり送信したり送受信したりするように動作可能に結合される。しかし、コンピュータは、このようなデバイスを有していなくてもよい。コンピュータプログラム命令およびデータを格納するのに適したコンピュータ読取可能媒体は、全ての形態の不揮発性メモリ、媒体およびメモリデバイスを含み、一例として、半導体メモリデバイス（たとえば、ＥＰＲＯＭ、ＥＥＰＲＯＭおよびフラッシュメモリデバイス）、磁気ディスク（たとえば、内部ハードディスクまたはリムーバブルディスク）、光磁気ディスク、ならびにＣＤ ＲＯＭおよびＤＶＤ－ＲＯＭディスクを含む。プロセッサおよびメモリは、特別目的論理回路によって補完されることができ、または特別目的論理回路に組み込まれることができる。

ユーザとの対話を提供するために、本開示の１つまたは複数の局面は、ユーザに情報を表示するためのディスプレイデバイス（たとえば、ＣＲＴ（陰極線管）、ＬＣＤ（液晶ディスプレイ）モニタまたはタッチスクリーン）と、任意にユーザがコンピュータに入力を提供することができるキーボードおよびポインティングデバイス（たとえば、マウスまたはトラックボール）とを有するコンピュータ上で実現することができる。他の種類のデバイスを使用してユーザとの対話を提供することもでき、たとえば、ユーザに提供されるフィードバックは、任意の形態の感覚フィードバック（たとえば、視覚フィードバック、聴覚フィードバックまたは触覚フィードバック）であってもよく、ユーザからの入力は、音響入力、音声入力または触覚入力を含む任意の形態で受信することができる。また、コンピュータは、ユーザが使用するデバイスとの間でドキュメントを送受信することによって、たとえばウェブブラウザから受信された要求に応答してユーザのクライアントデバイス上のウェブブラウザにウェブページを送信することによって、ユーザと対話することができる。

いくつかの実現例について説明してきた。しかし、本開示の精神および範囲から逸脱することなくさまざまな変更がなされてもよいということが理解されるであろう。したがって、他の実現例は、以下の特許請求の範囲の範囲内である。

Claims (29)

1. クラウドネットワーク到達可能性解析の方法（１２００）であって、
   データ処理ハードウェア（１４４）において、ネットワークを介してターゲット（７０，２５０，１１１０）の到達可能性ステータス（１７２）を要求する到達可能性クエリ（２０）を受信するステップを備え、前記到達可能性クエリ（２０）は、データパケット（２４）に関連付けられたパケットヘッダ（２２）を備え、前記パケットヘッダ（２２）は、
   前記データパケット（２４）の送信元に関連付けられた送信元インターネットプロトコル（ＩＰ）アドレス（２５ａ）と、
   前記データパケット（２４）の送信先に関連付けられた送信先ＩＰアドレス（２５ｂ）とを備え、
   前記方法（１２００）はさらに、
   前記データ処理ハードウェア（１４４）において、データプレーンモデル（１６４）を使用して、前記パケットヘッダ（２２）に基づいて前記データパケット（２４）の１つまたは複数のシミュレーションされた転送経路（８０）を生成するステップを備え、各々のシミュレーションされた転送経路（８０）は、前記ネットワークに関連付けられた対応するネットワーク構成情報（１６２）を備え、前記方法（１２００）はさらに、
   前記１つまたは複数のシミュレーションされた転送経路（８０）のそれぞれのシミュレーションされた転送経路において：
   データ処理ハードウェア（１４４）において、前記対応するネットワーク構成情報（１６２）から、前記それぞれのシミュレーションされた転送経路に適用される第１のインスタンスの少なくとも１つのエグレスファイアウォールルールを決定するステップと、
   データ処理ハードウェア（１４４）において、前記対応するネットワーク構成情報（１６２）から、それぞれのシミュレーションされた転送経路に適用される第２のインスタンスの少なくとも１つのイングレスファイアウォールルールを決定するステップと、
   前記データ処理ハードウェア（１４４）において、前記対応するネットワーク構成情報（１６２）から、前記第１のインスタンス及び前記第２のインスタンスに基づくそれぞれのシミュレーションされた転送経路の種類に基づく経路に特有のチェックを決定するステップと、
   前記データ処理ハードウェア（１４４）において、前記経路に特有のチェックを使用して、前記少なくとも１つのエグレスファイアウォールルールおよび前記少なくとも１つのイングレスファイアウォールルールに基づいて前記ターゲット（７０，２５０，１１１０）の前記到達可能性ステータス（１７２）を特定するステップと、
   前記データ処理ハードウェア（１４４）において、それぞれの特定された到達可能性ステータス（１７２）および前記１つまたは複数のシミュレーションされた転送経路（８０）を、前記到達可能性クエリ（２０）に関連付けられた前記送信元に提供するステップとを備え、前記１つまたは複数のシミュレーションされた転送経路（８０）は、前記送信元によって受信されると、前記送信元に、各々のシミュレーションされた転送経路（８０）の前記対応するネットワーク構成情報（１６２）を提示させ、
   前記提示されたネットワーク構成情報（１６２）は、
   前記第１のインスタンスの前記少なくとも１つのエグレスファイアウォールルールと、
   前記第２のインスタンスの前記少なくとも１つのイングレスファイアウォールルールとを含む、方法（１２００）。
2. 前記１つまたは複数のシミュレーションされた転送経路（８０）の前記到達可能性ステータス（１７２）を特定するステップは、ネットワーク抽象状態マシン（４００）を使用するステップを備える、請求項１に記載の方法（１２００）。
3. 前記送信元は、ローカルに通知されたルートを使用してリモートネットワークから前記データパケット（２４）を送信するように構成される、請求項１または請求項２に記載の方法（１２００）。
4. 前記ネットワーク構成情報（１６２）は、
   バーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）内で前記データパケット（２４）を導くためのポート／インターフェイス、または、
   ＶＰＣネットワーク（１４８）間で前記データパケット（２４）を導くためのポート／インターフェイス、
   ＶＰＣネットワーク（１４８）と非ＶＰＣネットワーク（７０）との間で前記データパケット（２４）を導くためのポート／インターフェイス、のうちの少なくとも１つを備える、請求項１から請求項３のいずれか１項に記載の方法（１２００）。
5. 前記データ処理ハードウェア（１４４）において、前記対応するネットワーク構成情報（１６２）に基づいて、前記１つまたは複数のシミュレーションされた転送経路（８０）の各々に対してネットワーク到達可能性解析を実行するステップをさらに備える、請求項１から請求項４のいずれか１項に記載の方法（１２００）。
6. 前記ネットワーク到達可能性解析は、
   前記対応するシミュレーションされた転送経路（８０）に沿って前記データパケット（２４）の到達可能性の最終状態を特定すること、
   前記対応するシミュレーションされた転送経路（８０）に沿って１つまたは複数の不良構成を発見すること、または
   前記対応するシミュレーションされた転送経路（８０）に沿って不整合構成または廃止された構成を発見すること、のうちの少なくとも１つを実行するように構成される、請求項５に記載の方法（１２００）。
7. 前記到達可能性の最終状態は、
   前記データパケット（２４）が前記送信先に送達されることを示す送達状態（１７４ａ）、
   前記データパケット（２４）が、不明の構成を有する別のネットワークに転送されることを示す転送状態（１７４ｂ）、
   構成チェックポイントの失敗または構成の欠落により前記データパケット（２４）が削除されることを示す削除状態（１７４ｃ）、または
   重要な構成の欠落により前記ネットワーク到達可能性解析が不可能であることを示すアボート状態（１７４ｄ）、のうちのいずれか１つを備える、請求項６に記載の方法（１２００）。
8. 前記パケットヘッダ（２２）はさらに、
   前記データパケット（２４）に関連付けられたプロトコル（２５ｃ）と、
   前記データパケット（２４）に関連付けられた送信元ポート（２５ｄ）と、
   前記データパケット（２４）に関連付けられた送信先ポート（２５ｅ）とを備える、請求項１から請求項７のいずれか１項に記載の方法（１２００）。
9. 前記データパケット（２４）の前記送信元は、第１のネットワークにおいて実行される前記第１のインスタンスを備え、前記データパケット（２４）の前記送信先は、前記第１のネットワークとは異なる第２のネットワークにおいて実行される前記第２のインスタンスを備える、請求項１から請求項８のいずれか１項に記載の方法（１２００）。
10. 前記第１のネットワークは、バーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）を備え、前記第２のネットワークは、オンプレミスネットワーク（７０）を備える、請求項９に記載の方法（１２００）。
11. 前記第１のネットワークおよび前記第２のネットワークは、それぞれのバーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）を備える、請求項９に記載の方法（１２００）。
12. 前記データパケット（２４）の前記送信元は、前記第１のインスタンスを備え、前記データパケット（２４）の前記送信先は、前記第２のインスタンスを備え、前記第１のインスタンスも前記第２のインスタンスも、同一のバーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）において実行される、請求項１から請求項８のいずれか１項に記載の方法（１２００）。
13. 前記データパケット（２４）の前記送信元は、外部ネットワークに位置し、前記データパケット（２４）の前記送信先は、バーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）において実行されるグローバルＨＴＴＰＳロードバランサ（１１１０）を備え、前記グローバルＨＴＴＰＳロードバランサ（１１１０）は、前記データパケット（２４）を複数の異なるバックエンドバーチャルマシン（ＶＭ）（２５０）のうちの１つにルーティングするように構成される、請求項１から請求項１２のいずれか１項に記載の方法（１２００）。
14. 前記データパケット（２４）の１つまたは複数のシミュレーションされた転送経路（８０）を生成するステップは、前記グローバルＨＴＴＰＳロードバランサ（１１１０）から前記複数の異なるバックエンドＶＭ（２５０）のうちの各々への対応するシミュレーションされた転送経路（８０）を生成するステップを備える、請求項１３に記載の方法（１２００）。
15. システム（１００）であって、
    データ処理ハードウェアと、
    前記データ処理ハードウェアと通信するメモリハードウェアとを備え、前記メモリハードウェアは、命令を格納し、前記命令は、前記データ処理ハードウェア上で実行されると、前記データ処理ハードウェアに動作を実行させ、前記動作は、
    ネットワークを介してターゲット（７０，２５０，１１１０）の到達可能性ステータス（１７２）を要求する到達可能性クエリ（２０）を受信するステップを備え、前記到達可能性クエリ（２０）は、データパケット（２４）に関連付けられたパケットヘッダ（２２）を備え、前記パケットヘッダ（２２）は、
    前記データパケット（２４）の送信元に関連付けられた送信元インターネットプロトコル（ＩＰ）アドレス（２５ａ）と、
    前記データパケット（２４）の送信先に関連付けられた送信先ＩＰアドレス（２５ｂ）とを備え、
    前記動作はさらに、
    データプレーンモデル（１６４）を使用して、前記パケットヘッダ（２２）に基づいて前記データパケット（２４）の１つまたは複数のシミュレーションされた転送経路（８０）を生成するステップを備え、各々のシミュレーションされた転送経路（８０）は、前記ネットワークに関連付けられた対応するネットワーク構成情報（１６２）を備え、前記動作はさらに、
    前記１つまたは複数のシミュレーションされた転送経路（８０）のそれぞれのシミュレーションされた転送経路において：
    前記対応するネットワーク構成情報（１６２）から、前記それぞれのシミュレーションされた転送経路に適用される第１のインスタンスの少なくとも１つのエグレスファイアウォールルールを決定するステップと、
    前記対応するネットワーク構成情報（１６２）から、それぞれのシミュレーションされた転送経路に適用される第２のインスタンスの少なくとも１つのイングレスファイアウォールルールを決定するステップと、
    前記対応するネットワーク構成情報（１６２）から、前記第１のインスタンス及び前記第２のインスタンスに基づくそれぞれのシミュレーションされた転送経路の種類に基づく経路に特有のチェックを決定するステップと、
    前記１つまたは複数のシミュレーションされた転送経路（８０）に基づいて前記ターゲット（７０，２５０，１１１０）の前記到達可能性ステータス（１７２）を特定するステップと、
    前記特定された到達可能性ステータス（１７２）および前記１つまたは複数のシミュレーションされた転送経路（８０）を、前記到達可能性クエリ（２０）に関連付けられた送信元に提供するステップとを備え、前記１つまたは複数のシミュレーションされた転送経路（８０）は、前記送信元によって受信されると、前記送信元に、各々のシミュレーションされた転送経路（８０）の前記対応するネットワーク構成情報（１６２）を提示させ、
    提示されたネットワーク構成情報は、
    前記第１のインスタンスの前記少なくとも１つのエグレスファイアウォールルールと、
    前記第２のインスタンスの前記少なくとも１つのイングレスファイアウォールルールとを含む、システム（１００）。
16. 前記１つまたは複数のシミュレーションされた転送経路（８０）の前記到達可能性ステータス（１７２）を特定するステップは、ネットワーク抽象状態マシン（４００）を使用するステップを備える、請求項１５に記載のシステム（１００）。
17. 前記送信元は、ローカルに通知されたルートを使用してリモートネットワークから前記データパケット（２４）を送信するように構成される、請求項１５または請求項１６に記載のシステム（１００）。
18. 前記ネットワーク構成情報（１６２）は、
    バーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）内で前記データパケット（２４）を導くためのポート／インターフェイス、
    ＶＰＣネットワーク（１４８）間で前記データパケット（２４）を導くためのポート／インターフェイス、または、
    ＶＰＣネットワーク（１４８）と非ＶＰＣネットワーク（７０）との間で前記データパケット（２４）を導くためのポート／インターフェイス、のうちの少なくとも１つを備える、請求項１５から請求項１７のいずれか１項に記載のシステム（１００）。
19. 前記動作はさらに、前記対応するネットワーク構成情報（１６２）に基づいて、前記１つまたは複数のシミュレーションされた転送経路（８０）の各々に対してネットワーク到達可能性解析を実行するステップを備える、請求項１５から請求項１８のいずれか１項に記載のシステム（１００）。
20. 前記ネットワーク到達可能性解析は、
    前記対応するシミュレーションされた転送経路（８０）に沿って前記データパケット（２４）の到達可能性の最終状態を特定すること、
    前記対応するシミュレーションされた転送経路（８０）に沿って１つまたは複数の不良構成を発見すること、または
    前記対応するシミュレーションされた転送経路（８０）に沿って不整合構成または廃止された構成を発見すること、のうちの少なくとも１つを実行するように構成される、請求項１９に記載のシステム（１００）。
21. 前記到達可能性の最終状態は、
    前記データパケット（２４）が前記送信先に送達されることを示す送達状態（１７４ａ）、
    前記データパケット（２４）が、不明の構成を有する別のネットワークに転送されることを示す転送状態（１７４ｂ）、
    構成チェックポイントの失敗または構成の欠落により前記データパケット（２４）が削除されることを示す削除状態（１７４ｃ）、または
    重要な構成の欠落により前記ネットワーク到達可能性解析が不可能であることを示すアボート状態（１７４ｄ）、のうちのいずれか１つを備える、請求項２０に記載のシステム（１００）。
22. 前記パケットヘッダ（２２）はさらに、
    前記データパケット（２４）に関連付けられたプロトコル（２５ｃ）と、
    前記データパケット（２４）に関連付けられた送信元ポート（２５ｄ）と、
    前記データパケット（２４）に関連付けられた送信先ポート（２５ｅ）とを備える、請求項１５から請求項２１のいずれか１項に記載のシステム（１００）。
23. 前記データパケット（２４）の前記送信元は、第１のネットワークにおいて実行される前記第１のインスタンスを備え、前記データパケット（２４）の前記送信先は、前記第１のネットワークとは異なる第２のネットワークにおいて実行される前記第２のインスタンスを備える、請求項１５から請求項２２のいずれか１項に記載のシステム（１００）。
24. 前記第１のネットワークは、バーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）を備え、前記第２のネットワークは、オンプレミスネットワーク（７０）を備える、請求項２３に記載のシステム（１００）。
25. 前記第１のネットワークおよび前記第２のネットワークは、それぞれのバーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）を備える、請求項２３に記載のシステム（１００）。
26. 前記データパケット（２４）の前記送信元は、前記第１のインスタンスを備え、前記データパケット（２４）の前記送信先は、前記第２のインスタンスを備え、前記第１のインスタンスも前記第２のインスタンスも、同一のバーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）において実行される、請求項１５から請求項２２のいずれか１項に記載のシステム（１００）。
27. 前記データパケット（２４）の前記送信元は、外部ネットワークに位置し、前記データパケット（２４）の前記送信先は、バーチャルプライベートクラウド（ＶＰＣ）ネットワーク（１４８）において実行されるグローバルＨＴＴＰＳロードバランサ（１１１０）を備え、前記グローバルＨＴＴＰＳロードバランサ（１１１０）は、前記データパケット（２４）を複数の異なるバックエンドバーチャルマシン（ＶＭ）（２５０）のうちの１つにルーティングするように構成される、請求項１５から請求項２６のいずれか１項に記載のシステム（１００）。
28. 前記データパケット（２４）の１つまたは複数のシミュレーションされた転送経路（８０）を生成するステップは、前記グローバルＨＴＴＰＳロードバランサ（１１１０）から前記複数の異なるバックエンドＶＭ（２５０）のうちの各々への対応するシミュレーションされた転送経路（８０）を生成するステップを備える、請求項２７に記載のシステム（１００）。
29. 請求項１から請求項１４のいずれか１項に記載の方法をコンピューターに実行させるための、プログラム。

Images