JP7355830B2 - マルチクラウド環境におけるオンデマンドフローに基づくポリシー実施のためのシステムおよび方法 - Google Patents

マルチクラウド環境におけるオンデマンドフローに基づくポリシー実施のためのシステムおよび方法 Download PDF

Info

Publication number
JP7355830B2
JP7355830B2 JP2021539103A JP2021539103A JP7355830B2 JP 7355830 B2 JP7355830 B2 JP 7355830B2 JP 2021539103 A JP2021539103 A JP 2021539103A JP 2021539103 A JP2021539103 A JP 2021539103A JP 7355830 B2 JP7355830 B2 JP 7355830B2
Authority
JP
Japan
Prior art keywords
endpoint
policy
path
nodes
cloud
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2021539103A
Other languages
English (en)
Other versions
JP2022522260A (ja
Inventor
ジャナキラマン，ラジャゴパラン
デサイ，ロナク，ケイ．
ガナパティー，シヴァクマール
ジャヴェド アスガル，モハメッド
スルマン，アジーム
アミットクマール ヴァルジバイ，パテル
Original Assignee
シスコ テクノロジー，インコーポレイテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by シスコ テクノロジー，インコーポレイテッド filed Critical シスコ テクノロジー，インコーポレイテッド
Publication of JP2022522260A publication Critical patent/JP2022522260A/ja
Application granted granted Critical
Publication of JP7355830B2 publication Critical patent/JP7355830B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H04L45/04—Interdomain routing, e.g. hierarchical routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/42—Centralised routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0894—Policy-based network configuration management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/12—Avoiding congestion; Recovering from congestion
    • H04L47/122—Avoiding congestion; Recovering from congestion by diverting traffic away from congested entities

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本出願は、２０１９年２月２８日に出願された「ＳＹＳＴＥＭＳ ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＯＮ－ＤＥＭＡＮＤ ＦＬＯＷ－ＢＡＳＥＤ ＰＯＬＩＣＹ ＥＮＦＯＲＣＥＭＥＮＴ ＩＮ ＭＵＬＴＩ－ＣＬＯＵＤ ＥＮＶＩＲＯＮＭＥＮＴＳ」と題された米国非仮特許出願第１６／２８９，６４７号の利益および優先権を主張するものであり、参照によりその全体が本明細書に明示的に組み込まれる。
本技術は、クラウドコンピューティング、より具体的にはマルチクラウドポリシー実施に関する。
インターネット対応デバイスの普及により、インターネットサービスおよびコンテンツに対する膨大な需要が生まれている。ユーザーのネットワークサービスやコンテンツへの依存度が高まるコネクテッド社会になってきている。このインターネット接続革命は、サービスコンテンツプロバイダに重大な課題をもたらしており、サービスコンテンツプロバイダは、しばしば、ユーザーのパフォーマンスの期待を下回ることなく大量のユーザー要求を処理するのに困難を抱えている。例えば、クラウドプロバイダ（例えばパブリッククラウドなど）は通常、ユーザーからのネットワークとコンテンツの要求に対応するために、大規模で複雑なデータセンターを必要とする。これらのデータセンターには通常、特定のサービスをホストするように構成されたサーバーファームが備えられており、これにはデータセンタートラフィックをルーティングし、多くのポリシーを実施するようにプログラミングされた多数のスイッチとルーターが含まれる。多くの場合、特定のデータセンターにより数百万のトラフィックフローと多数のセキュリティ要件を実施することが期待される。
これらのパブリッククラウドは、マルチクラウド環境で構成できる（例えば、複数のパブリッククラウドが相互に通信する）。これらのマルチクラウド環境では、ポリシールールの規模に問題がある可能性がある。この問題は、パブリッククラウド（例えば、Ａｍａｚｏｎ Ｗｅｂ Ｓｅｒｖｉｃｅｓ（ＡＷＳ）、Ｍｉｃｒｏｓｏｆｔ Ａｚｕｒｅなど）と大規模なポリシー環境（例えば、Ｃｉｓｃｏのアプリケーションポリシーインフラストラクチャ）を統合すると、指数関数的に悪化する。その結果、クラウド環境間での異なるポリシーモデルと構成の制限により、マルチクラウド実装のポリシーのスケーラビリティと均一性が大幅に制限される可能性がある。例えば、アマゾンウェブサービス（ＡＷＳ）環境では、仮想マシン（ＶＭ）ネットワークインタフェースカード（ＮＩＣ）に適用できるポリシールールの数は、両方向（例えば、出力、入力）で３００ルールに制限されている。これは、特にＡＷＳのＶＭが外部エンドポイントと通信する必要がある場合（例えば、ＭｉｃｒｏｓｏｆｔのＡｚｕｒｅパブリッククラウドなどの別のクラウド環境またはデータセンターのＶＭ、アプリケーション中心のインフラストラクチャ（ＡＣＩ）ファブリックのエンドポイントなど）に非常に制限される可能性がある。
マルチクラウドの実装で直面するもう１つの課題は、パブリッククラウドで実行されているコンテナを実行する場合である。パブリッククラウド（例えば、ＡＷＳ、Ａｚｕｒｅなど）でネイティブに利用可能またはサポートされているポリシールールの数は、一般にパブリッククラウド内のコンテナの操作を処理するには不十分であるため、粒度のない粗いポリシールールが適用される。さらに、よりきめ細かいポリシールールがパブリッククラウドに適用されると、パブリッククラウドのリソースがすぐに過負荷になり、そのようなコンテナでサポートされるセキュリティおよびトラフィックセグメンテーション機能が大幅に制限される可能性がある。
本開示の上記および他の利点および特徴を得ることができる様式を説明するために、添付の図面に示されるその特定の実施形態を参照することにより、上記で簡単に説明した原理のより具体的な説明を行う。これらの図面が本開示の例示的な実施形態のみを描写し、したがって、その範囲を限定すると見なされるべきではないことを理解して、本明細書の原理は、以下の添付の図面を使用することにより、追加の特定事項および詳細とともに記載および説明される。
いくつかの例による、複数のパブリッククラウドを含むマルチクラウドファブリックにおけるポリシー分割のアーキテクチャの例を示す。
いくつかの例による、パブリッククラウドのランタイムテーブル容量を決定するポリシー分割の例を示す。
いくつかの例による、図１に示される例示的なアーキテクチャで構成された異なるパブリッククラウド上のエンドポイント間のフローに適用される分割ルールを示す。
いくつかの例による、マルチクラウドファブリックにおけるポリシー分割の方法の例を示す。
いくつかの例によるネットワークデバイスの例を示す。
いくつかの例による例示的なコンピューティングデバイスアーキテクチャの例を示す。
本開示の様々な実施形態について、以下で詳細に考察する。特定の実装形態について考察するが、これは例証のみを目的として行われることを理解されたい。関連技術の当業者は、本開示の趣旨および範囲から離れることなく、他の構成要素および構成を使用することができることを認識するであろう。
概要
本開示の追加の特徴および利点は、以下の説明に記載され、一部は説明から明らかであるか、または本明細書に開示された原理の実践によって学ぶことができる。本開示の特徴および利点は、添付の特許請求の範囲で特に指摘されている機器および組み合わせによって実現および取得することができる。本開示のこれらおよび他の特徴は、以下の説明および添付の特許請求の範囲からより完全に明らかになるか、または本明細書に記載の原理の実践によって学ぶことができる。
本明細書に開示されるのは、マルチクラウド環境におけるオンデマンドのフローベースのポリシーの実施、分割、および統合のためのシステム、方法、および非一時的なコンピュータ可読媒体である。いくつかの例では、システム、方法、およびコンピュータ可読媒体は、フローのパスに沿ってノード間でフローのルールとセキュリティポリシーを分散できる。少なくとも一部のノードには、１つ以上のルーティングドメイン、仮想プライベートクラウド、および／またはマルチクラウド環境のネットワークファブリック上のエンドポイントとルーター（「ポリシーエージェント」として機能できる）を含めることができる。いくつかの例では、マルチクラウド環境のルーターと仮想プライベートクラウドは、ハブアンドスポークトポロジで構成でき、マルチクラウド環境に関連付けられた１つ以上のクラウドまたはファブリックでホストできる。１つまたは複数のクラウドまたはファブリックは、例えば、パブリッククラウド、プライベートクラウド、オンプレミスサイトなどを含むことができ、マルチクラウド環境は、パブリックおよび／またはプライベートクラウドなどの複数のクラウドおよび／またはファブリックに拡張することができる。
第１のクラウド環境の第１のエンドポイント（例えば、仮想マシン、サーバー、コンテナ、ネットワークインタフェース、コンピューティングデバイスなど）から第２のクラウド環境の第２のエンドポイントまでのパスを発見することと、前記パス内のノードのサブセットに関連付けられたランタイムポリシーテーブル容量を決定することと、前記ランタイムポリシーテーブルの容量に基づいて前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックに対するポリシーの実施（例えば、ポリシーの分散と実施）を決定することと、前記パス内のノードのセット全体にポリシーを展開することと、前記第１のクラウド環境の前記第１のエンドポイントと前記第２のクラウド環境の前記第２のエンドポイントとの間で送信されるデータに前記ポリシーを適用（例えば、実施）することと、を含むことができる、ポリシーの展開および実施のためのシステム、方法、および非一時的なコンピュータ可読媒体がさらに開示される。場合によっては、前記パスの発見は、前記パスに沿った複数のノードを決定することを含み得る。ノードには、例えば、ルーター（例えば、仮想ルーター、物理ルーターなど）、スイッチ、エンドポイント（例えば、仮想マシン、コンテナ、サーバー、ネットワークインタフェースなど）、および／またはパスに沿ったネットワーキング機能を備えているその他のデバイスや要素を含めることができる。
場合によっては、ノードのポリシーテーブル容量に対してランタイムチェックを実行することにより、ポリシーテーブル容量を決定できる。さらに、いくつかの例では、ポリシーの実施および展開ポリシーの決定は、ランタイムチェックに基づくことができ、複数のノードからノードを決定して１つ以上のポリシーをインストールし、エンドポイントにつながるパスでルーティングテーブルに対して第２のエンドポイントの宛先アドレスを実行し、宛先アドレス、エンドポイントへのパス、および／またはエンドポイントに関連付けられた最も広いサブネットを決定することを含めることができる。場合によっては、ポリシーのインストールに、第１のエンドポイントと第２のエンドポイントとの間のトラフィックに関連付けられた最も広いサブネットにポリシーを関連付けることが含まれる場合がある。パスに沿ったノードに展開されるポリシーには、１つ以上のポートについての第１のエンドポイントから第２のエンドポイントへの通信を許可する１つ以上のフィルタを含めることができる。ポリシーおよび／またはフィルタは、第１のエンドポイントグループ（ＥＰＧ）および／または第１のエンドポイントに関連付けられた他のポリシー構成、および／または第２のＥＰＧおよび／または第２のエンドポイントに関連付けられた他のポリシー構成に対して構成されたコントラクトに関連付けることができる。
場合によっては、ポリシーのインストールには、最も広いサブネットのトラフィックを有効にする（例えば、許可する）ポリシーのインストールが含まれる場合がある。いくつかの例では、ポリシーは、第１のエンドポイント、第２のエンドポイント、またはパス内のノードにインストールできる。場合によっては、ポリシーの分散と実施には、第１のエンドポイントにインストールされた漏斗状の実施（例えば、粗いまたは広いポリシーの実施、きめ細かいポリシーの実施、粗いポリシーからきめ細かいポリシーへの実施、またはその逆）を含めることができる。
場合によっては、システム、方法、および非一時的なコンピュータ可読媒体は、ノードにおいて１つ以上のフィルタをインストールできる。このフィルタは、第１のエンドポイントを含む第１のエンドポイントグループと第２のエンドポイントを含む第２のエンドポイントグループとの間のコントラクトにおいて、１つ以上の指定されたポートについて第１のエンドポイントから第２のエンドポイントへのトラフィックのみを許可する。
場合によっては、システム、方法、および非一時的なコンピュータ可読媒体は、第１のエンドポイント、第２のエンドポイント、および／または１つまたは複数のノードにインストールされた１つまたは複数のポリシーの経過時間を決定することができる。ポリシーの経過時間が閾値の経過時間を超えていることに応じて、そのポリシーを削除する。
例示的な実施形態の説明
開示された技術は、マルチクラウド環境での柔軟なポリシーの実施とポリシーの統合に対する当技術分野のニーズに対応している。本明細書で説明する手法は、異なるクラウドまたはデータセンター環境全体でポリシールールを統合し、マルチクラウド環境で特定のクラウドプロバイダによって課される特定のポリシー制限にもかかわらず、異なるクラウドまたはデータセンター環境全体でのポリシーの分割または分散をサポートできる。例えば、本明細書の手法は、クラウドおよびネットワーク環境のいずれかによって設定されたアクティブなルール制限に関係なく、複数のクラウドおよびネットワーク環境にわたるトラフィックのフローのポリシーを展開および／または実施できる。したがって、本明細書の手法は、マルチクラウド環境のマルチクラウドおよびネットワーク環境全体で、ポリシーのスケーラビリティ、均一性、柔軟性、および粒度を向上させることができる。
場合によっては、本明細書の手法は、トラフィックのフローに基づいて、オンデマンドでそのようなポリシーを展開および／または実施することができる。例えば、本明細書の手法は、パケットヘッダーおよび／またはパケット情報（例えば、パケットに関連付けられた送信元アドレス、パケットに関連付けられた宛先アドレス、パケットに関連付けられたプロトコル、パケットに関連付けられた送信元ポート、パケットに関連付けられた宛先ポートなど）に基づいてポリシーを動的に展開および／または実施することができる。このように、本明細書の手法は、同様に、ポリシーと実施のスケーラビリティ、柔軟性、粒度、効率、均一性などを改善し、クラウド間の統合を改善することができる。
本技術は、以下の開示において以下のように説明される。マルチクラウド環境でのポリシーの分割、分散、および実施の概要から説明する。さらに、図１から図３に示されるように、マルチクラウド環境におけるポリシー分割、分散、および統合のためのアーキテクチャの例の説明に続く。その後、図４に示されるような、マルチクラウド環境におけるポリシー分割、分散、および統合のための例示的な方法を説明する。最後に、図５に示されるようなネットワークデバイスの例と、図６に示されるような、ネットワーキングおよびコンピューティング操作を実施するのに好適なハードウェア構成要素の例を含む、コンピューティングデバイスアーキテクチャの例を説明する。ここで、マルチクラウド環境でのポリシーの分割と管理の概要について説明する。
マルチクラウド環境には、Ｃｉｓｃｏのアプリケーションセントリックインフラストラクチャ（ＡＣＩ）、ＣｉｓｃｏのＡＣＩエニウェアソリューション、ＡＷＳ仮想プライベートクラウド、Ａｚｕｒｒｅ仮想ネットワーク（ＶＮＥＴ）など、複数のクラウド、プライベートネットワーク、ファブリック、および／またはデータセンターを含めることができる。さらに、マルチ環境は、１つ以上のクラウドサイトおよび／またはオンプレミスデータセンターなど、複数のネットワーククラウド、ファブリック、および／またはデータセンターのワークロードのネットワーク、セキュリティ、およびサービスを管理できる。マルチクラウド環境では、エンドポイントおよび／またはエンドポイントに関連付けられたポリシーをエンドポイントのグループまたはコレクションにグループ化したり、さらに／あるいはエンドポイントおよび／またはエンドポイントに関連付けられたポリシーをエンドポイントグループ（ＥＰＧ）、セキュリティグループ（ＳＧ）などのポリシー構造に関連付けたり、対応するグループまたはエンドポイントのコレクション（ＥＰＧ、ＳＧなど）および／またはポリシー構造にポリシールールまたはコントラクトを適用したりすることができる。
ＥＰＧやＳＧなどのグループまたはポリシー構成には、複数のクラウド、ファブリック、および／またはオンプレミスデータセンターのエンドポイントを含めることができる。このようなグループまたはポリシー構造を使用して、パブリッククラウド、オンプレミスデータセンター、および／またはネットワークファブリックから１つ以上の異なるパブリッククラウド、オンプレミスデータセンター、および／またはネットワークファブリックへのトラフィックを含む、マルチクラウド環境全体のエンドポイントからのトラフィックにポリシールールまたはコントラクトを実施できる。ポリシールールおよびネットワーク構成は、１つ以上のクラウドコントローラなど（例えば、Ｃｉｓｃｏのアプリケーションポリシーインフラストラクチャコントローラ（ＡＰＩＣ）、マルチサイトコントローラ（ＭＳＣ）、またはマルチサイトオーケストレーター（ＭＳＯ）など）、マルチクラウド環境に関連付けられた１つ以上のクラウドコントローラによって管理することができる。
前述のように、一部のパブリッククラウドのネットワーキング構成およびポリシーには、クラウドプロバイダによって課せられる様々な制限または制限がある。このような制限には、クラウドプロバイダによってサポートまたは許可されるポリシールールの数の制限が含まれる場合がある。場合によっては、そのようなポリシールールの制限は、データセンター、ファブリック、および／または１つ以上の他のサイト、クラウド、ファブリック、および／またはデータセンターによって実装されるポリシーソリューションまたはモデルによってサポートされるポリシーの規模をはるかに下回る可能性がある。例えば、ＣｉｓｃｏのＡＣＩは数十万のポリシールールをサポートし、これには、１２．８万のコントラクトルール、６．４万のＩＰアドレス、リーフスイッチあたり０．４万のＥＰＧが含まれるが、ＡｍａｚｏｎのＡＷＳにはエンドポイントあたり３００のポリシールールの制限がある。
したがって、複数のパブリッククラウド環境がマルチクラウド環境に統合されている場合、さらに／あるいはＣｉｓｃｏのＡＣＩソリューションがＡＷＳなどの１つ以上のパブリッククラウドソリューションと統合されている場合、パブリッククラウドの制限により、マルチクラウド環境全体のポリシーのスケーラビリティを低下させ、そのパブリッククラウドに関連付けられたトラフィックについて展開および／または実施できるポリシーの量を、マルチクラウド環境内の他のネットワーク環境および／またはルーティングドメイン（例えば、データセンター、ファブリック、パブリッククラウド、仮想プライベートネットワーク、オンプレミスサイトなど）によって実装および／またはサポートされるポリシーの量よりも大幅に少なくする可能性がある。これにより、セキュリティの脆弱性と制限が発生し、トラフィックフローおよび／または通信が中断され、マルチクラウド環境でのトラフィック実施の柔軟性、粒度、およびスケーラビリティが低下する可能性がある。さらに、様々なクラウドプロバイダおよびデータセンターやファブリックソリューションが異なるポリシーモデルを実装することもよくある。異なるポリシーモデルは、マルチクラウド環境で一貫性のないポリシーモデルをもたらす可能性があり、マルチクラウド環境でのポリシーの統合と均一性を制限または防止する可能性がある。
いくつかの例では、クラウド上のポリシールールを宛先エンドポイントとレイヤ４（Ｌ４）ポートに適用できる。宛先エンドポイントは、グループ（例えば、ＥＰＧ、ＳＧなど）またはアドレス（例えば、ＩＰアドレスやプレフィックス）によって参照、割り当て、および／または分類できる。エンドポイントのグループ化はポリシールールのスケーリングに有用だが、そのようなポリシールールは、多くの場合、異なるネットワーク環境（例えば、データセンター、ファブリック、クラウド環境など）にあるエンドポイントに適用できない。さらに、マルチクラウド環境の一部のクラウドプロバイダおよびデータセンターまたはファブリックソリューションが異なるポリシーモデルおよび／または構成を実装する場合があることを考えると、異なるネットワーク環境（例えば、異なるファブリック、データセンター、クラウド、仮想プライベートネットワーク、ルーティングドメイン、仮想ルーティングおよび転送（ＶＲＦ）インスタンス、ルーティングドメインなど）に存在するエンドポイントは、同じグループおよび／またはグループのタイプ（例えば、同じＥＰＧ）に割り当てたり、グループ化したりすることができない場合があり、このこともポリシーのスケーラビリティ、統合、粒度、柔軟性、および均一性の制限となり得る。
さらに、クラウドホストインスタンスが複数のアプリケーションを実行している場合、クラウドプロバイダによって課せられたポリシールールの制限にすぐに達する可能性がある。例えば、マルチクラウド環境にＡＷＳクラウド上の仮想プライベートネットワーク（ＶＰＣ）が含まれ、ＡＷＳクラウド上のクラウドホストで実行されている５つのコンテナがあり、５つのコンテナがポートマップされているとする。ネットワークオペレーターが各コンテナとポートに関連付けられたトラフィックのポリシーを実装する場合、これらのポリシーはＡＷＳの３００ルール制限にすぐに近づく。説明のために、この例では、ホストと通信するわずか２５の外部エンドポイントまたはＩＰ（２５ ＩＰ×５ ＴＣＰ（伝送制御プロトコル）ポート×２方向）のポリシーを実装すると、ＡＷＳの３００ルール制限にすぐに到達または近づく。プレフィックスベースのルールがあると、このスケール制限には有用であるが、グループポリシーを個々のＩＰアドレス（例えば、／３２ ＩＰ）に適用する必要がある場合、このようなポリシー制限は厳しくなる。ただし、場合によっては、マイクロセグメンテーションをサポートしたり、ラベルベースのグループ化を計算したりするために／３２ ＩＰアドレスが必要になることがある。この場合、ＩＰサブネットとポリシーとは本質的に分離されている。
さらに、マルチクラウド相互接続の場合、１つ以上のパブリッククラウドがレイヤ２（Ｌ２）ストレッチを提供またはサポートしない場合がある。マルチクラウド環境（またはルーティングドメインが異なる任意のネットワーク環境）では、これは、ポリシールールをレイヤ３（Ｌ３）構造に適用する必要があることを意味し、これは、前述のように、クラウドプロバイダのリソーススケール制限によって大幅に制限される。また、クラウドプロバイダは、多くの場合、そのクラウド上のルーティングドメイン（例えば、仮想プライベートクラウドやネットワーク）で使用できるネットワークアドレスの量を制限し、そのクラウドに関連付けられたトラフィックについてのマルチクラウド環境でのポリシーおよびルーティングスケールをさらに制限できる。
特定のパブリッククラウドおよび／またはファブリックまたはデータセンターソリューションによって課せられるスケール制限を克服するために、本明細書の手法は、マルチクラウド環境のノード全体にポリシーを分割および分散し、ＡＷＳやＡｚｕｒｒｅセキュリティグループなどのクラウドネイティブ構造に制限されることなく、アドホックまたはオンデマンドベースで特定のフローにポリシーを適用できる。ポリシーは、エンドポイント、ルーター（例えば、ＣｉｓｃｏのＣＳＲ １０００ｖなどのクラウドサービスルーター（ＣＳＲ））、またはルーターなどのネットワークデバイスで実行されているポリシーエンジンまたはエージェント（ソフトウェアまたはＶＭベースのポリシーエージェントであり得る）に実装できる。本明細書で使用される、ルール、ポリシー、およびコントラクトは、互換的に使用できる。
図１は、マルチクラウドファブリックにおけるオンデマンドのフローベースのポリシーの実施、スケーリング、および統合のためのアーキテクチャ１００の例を示す。アーキテクチャ１００は、第１のパブリッククラウド１０２（例えば、サイトＡ）および第２のパブリッククラウド１０４（例えば、サイトＢ）を含むことができる。各パブリッククラウド（例えば、１０２、１０４など）は、相互接続されたプライベートネットワーク１０６、１０８、１１０Ａ、１１０Ｂ、１１０Ｃ、１１２Ａ、１１２Ｂ、１１２Ｃなどを有するか、またはホストすることができる。
アーキテクチャ１００は、パブリッククラウド１０２、１０４上のクラウドコントローラ１１６、１１８（例えば、クラウドＡＰＩＣ）およびオンプレミスサイト１４４（例えば、ＡＣＩファブリック）上のコントローラ１４６（例えば、ＡＰＩＣ）と通信するマルチサイトコントローラ１１４（例えば、マルチサイトＡＰＩＣ）を含むことができる。マルチサイトコントローラ１１４（「ＭＳＣ」）は、クラウドコントローラ１１６、１１８およびコントローラ１４６と連携して、パブリッククラウド１０２、１０４およびオンプレミスサイト１４４上のポリシーおよび構成を管理および実装する。マルチサイトコントローラ１１４は、例えば、プライベートネットワーク、プライベートクラウド、プライベートデータセンター、プライベートネットワークファブリックなどを含み得るオンプレミスサイト１４４とともに、パブリッククラウド１０２、１０４の両方に、同じポリシーモデルを実装できる。例えば、マルチサイトコントローラ１１４は、パブリッククラウド１０２、１０４およびオンプレミスサイト１４４に、ＥＰＧおよび／またはＥＰＧポリシーを実装することができる。そのようなポリシーは、マルチサイトコントローラ１１４によって、パブリッククラウド１０２、１０４内のクラウドコントローラ１１６、１１８、およびオンプレミスサイト１４４内のコントローラ１４６と調整することができる。
オンプレミスサイト１４４は、オンプレミスサイト１４４によって使用されるデータセンターまたはファブリックソリューションに基づくポリシーモデルを実装することができる。例えば、場合によっては、オンプレミスサイト１４４は、ＣｉｓｃｏのＡＣＩを実装して、オンプレミスサイト１４４のトラフィックとエンドポイントに異なるポリシーを設定、管理、および適用できる。いくつかの例では、オンプレミスサイト１４４は、オンプレミスサイト１４４内の特定のエンドポイントおよび／またはトラフィックにＥＰＧを適用することができる。場合によっては、ＥＰＧは、オンプレミスサイト１４４、マルチサイトコントローラ１１４、およびコントローラ１１６、１１８、１４６によって実装される構成であり、特定のルールを特定のトラフィックまたはエンドポイントに適用できる。ＥＰＧは、関連するトラフィックやエンドポイントのための仮想ファイアウォール、フィルタ、および／またはポリシーグループとして機能することができる。場合によっては、オンプレミスサイト１４４は、仮想ルーティングおよび転送（ＶＲＦ）インスタンスなどのプライベートネットワークをホストして、ネットワークおよび／またはトラフィックの分離を提供することができる。プライベートネットワーク（例えば、ＶＲＦ）は、それぞれのエンドポイントとアプリケーションを多数ホストでき、これらに特定のポリシーおよびアドレス情報を割り当てることができる。場合によっては、ＥＰＧは、関連付けられたトラフィックを許可するために定義された許可または認可ルールをサポートするホワイトリストモデルに従うことができる。
各パブリッククラウド（例えば、１０２、１０４）は、異なるポリシーモデルをネイティブに実装する場合もあり、マルチサイトコントローラ１１４、クラウドコントローラ１１６、１１８、コントローラ１４６、および／またはオンプレミスサイト１４４によってサポートまたは実装されるものとは異なる独自の要件セット（例えば、ポリシー要件、スケーラビリティ要件など）を持つ場合がある。パブリッククラウド１０２、１０４のポリシーモデルおよび要件は、クラウドプロバイダに依存する可能性がある。例えば、ＡＷＳはセキュリティグループを実装し、３００ルールの制限を課す場合がある。以下でさらに説明するように、本明細書の手法は、一貫したポリシーモデルを適用し、例としてのアーキテクチャ１００の実装全体のスケーラビリティを向上させるため、パブリッククラウドによって課されるポリシーモデルおよび要件を、マルチサイトコントローラ１１４、クラウドコントローラ１１６、１１８、コントローラ１４６、および／またはオンプレミスサイト１４４に関連するものと統合およびスケーリングすることができる。
パブリッククラウドは、パブリッククラウド上でホストされるプライベートルーティングドメインまたはネットワーク（例えば、仮想プライベートクラウド（ＶＰＣ）、仮想ネットワーク（ＶＮＥＴ）など）を表す、プライベートネットワーク１０６、１０８、１１０Ａ～Ｃ、１１２Ａ～Ｃを含むことができる。プライベートネットワークは、オンプレミスサイト１４４などの他のクラウドまたはネットワークで使用するために、パブリッククラウド上でアプリケーションおよびリソースをホストできる。場合によっては、プライベートネットワークは、オンプレミスサイト１４４内の仮想ルーティングおよび転送（ＶＲＦ）インスタンスを表す、対応する、または変換することができる。
パブリッククラウド１０２、１０４上のプライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃは、プライベートネットワーク１０６、１０８を介して（例えば、互いに、他のパブリッククラウドに、オンプレミスサイト１４４などに）相互接続することができる。この例では、プライベートネットワーク１０６、１１０Ａ～Ｃは、ハブアンドスポークトポロジで構成され、プライベートネットワーク１０６はハブとして機能し、プライベートネットワーク１１０Ａ～Ｃはスポークとして機能する。他の相互接続およびトポロジも可能であり、本明細書で企図されている。
プライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃは、プライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃをそれぞれプライベートネットワーク１０６、１０８と相互接続し、トラフィックをプライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃに出入りさせるそれぞれの仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃを含むことができる。場合によっては、仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃは、例えば、パブリッククラウド上、より具体的には、ＷＡＮまたはネットワークゲートウェイサービスなどそれぞれのネットワークサービスを実行するプライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃのそれぞれに展開されるＶＭであり得る。他の例では、仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃは、クラウドサービスルーター（ＣＳＲ）または任意の他のタイプのルーティングデバイスまたは構成要素である可能性がある。プライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃはまた、プライベートネットワーク１０６、１０８など、それぞれのプライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃの外部のデバイスおよびアプリケーションと通信するために、それぞれの仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃに接続するそれぞれのエンドポイント１３２～１４２をホストすることができる。プライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃのそれぞれは、任意の数のエンドポイントをホストすることができ、特定のプライベートネットワーク上の複数のエンドポイントは、類似または異なる属性を有することができる。
この例では、プライベートネットワーク１１０Ａ上のエンドポイント（ＥＰ）１３２は、セキュリティグループ１２０Ａに関連付けられている（他のＥＰは、図示されていない１つまたは複数の他のセキュリティグループに関連付けることができる）。セキュリティグループは、そのセキュリティグループに関連付けられたトラフィックおよび／またはエンドポイントに特定のルールを適用できるようにするパブリッククラウド１０２、１０４によって実装されるセキュリティ構造にすることができる。場合によっては、セキュリティグループは、関連するトラフィックやエンドポイントのための仮想ファイアウォール、フィルタ、および／またはポリシーグループとして機能できる。場合によっては、エンドポイント１３２～１４２および／またはセキュリティグループ１２０Ａ～Ｃ、１２２Ａ～Ｃは、関連付けられたトラフィックを許可するために定義された許可または認可ルールをサポートするホワイトリストモデルに従うことができる。
プライベートネットワーク１０６、１０８（例えば、ハブ）は、１つまたは複数のルーター１２４Ａ～Ｃ、１２６Ａ～Ｃを含むことができる。ルーター１２４Ａ～Ｃ、１２６Ａ～Ｃは、例えば、クラウドサービスルーター（ＣＲＳ）であり得、ポリシーを格納および実施して本明細書に記載される他の機能を実行するように構成されたポリシーエージェントまたはエンジンを実装することができる。ルーター１２４Ａ～Ｃ、１２６Ａ～Ｃは、プライベートネットワーク１１０Ａ～Ｃ、１１２Ａ～Ｃ上の仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃに（直接的または間接的に）接続して、プライベートネットワーク１０６、１０８とそれぞれプライベートネットワーク１１０Ａ～Ｃ、１２２Ａ～Ｃとの間のトラフィックをルーティングすることができる。ルーター１２４Ａ～Ｃ、１２６Ａ～Ｃのそれぞれは、仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃのそれぞれへのルートを持つことができ、したがって、それぞれ、仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃと通信することができる。しかしながら、場合によっては、ルーター１２４Ａ～Ｃ、１２６Ａ～Ｃのそれぞれは、スケーラビリティを向上させるために特定のルーターがどの仮想ゲートウェイにサービスを提供するか（例えば、通信する、トラフィックをルーティングするなど）を制限するために、仮想ゲートウェイ１２８Ａ～Ｃ、１３０Ａ～Ｃのサブセットにルートマップをアドバタイズすることのみができる。
場合によっては、ルーターはパブリッククラウドのＶＭに展開された仮想ルーターである可能性がある。さらに、ルーターには、以下でさらに説明するように、クラウドネイティブオブジェクトまたはセキュリティグループなどの構造に必ずしも依存することなく、また、パブリッククラウドに関連付けられたクラウドプロバイダによって課される特定の要件または制限によって制限されることなく、ルーターがプライベートネットワーク（１０６、１０８、１１０Ａ～Ｃ、１１２Ａ～Ｃなど）に関連付けられたトラフィックにポリシーを適用できるようにするポリシーエンジンまたはソフトウェアを含めることができる。場合によっては、ルーターに、特定のトラフィックおよび／またはアドレス（例えば、ＩＰアドレスやプレフィックス）に特定のポリシーを適用するように構成されたソフトウェアまたはＶＭベースのポリシーエンジンを含めることができる。したがって、ルーターは、ルーター兼ポリシーエージェントとしても機能する。
ルーター１２４Ａ～Ｃ、１２６Ａ～Ｃは、複数の要因に基づいて柔軟にまたは動的にスケーラブルであるように構成することができる。例えば、ルーターは、個々のクラウドエンドポイント（ＥＰ１３２～１４２など）またはエンドポイントのグループのポリシースケールおよび帯域幅要件に基づいて、柔軟にスケーラブルにすることができる。別の例として、ルーターは、ルーティングドメイン（例えば、ＶＲＦ、ＶＰＣ、ＶＮＥＴなど）、ルーターの帯域幅の可用性などによってスケーリングできる。
多くの場合、パブリッククラウドではランタイムポリシーの数を制限できる。例えば、パブリッククラウドＡＷＳには３００ポリシーの制限がある。つまり、パブリックＡＷＳクラウドには、同時にアクティブにできるポリシーの数に設定された制限がある。これらの制限は、あるパブリッククラウドのエンドポイント（例えば、仮想マシン）が別のパブリッククラウド（またはプライベートクラウド）および／またはオンプレミスサイトの外部エンドポイント（例えば、仮想マシン）と通信する必要がある場合、非常に制限される可能性がある。いくつかの例では、これらの制限に対抗するために、ポリシールールを、図１～図３に示すように、異なるネットワーク（例えば、パブリッククラウド１０２、パブリッククラウド１０４、オンプレミスサイト１４４など）上のエンドポイント間のパス内のノード間で分割できる。
図１に示されるように、第１のパブリッククラウド１０２内のエンドポイント（例えば、１３２～１３６）が、第２のパブリッククラウド１０４内のエンドポイント（例えば、１３８～１４２）（および／またはオンプレミスサイト１４４内のエンドポイント）と通信したい場合、パブリッククラウド（および／またはオンプレミスサイト１４４）間のパス１４０を最初に発見することができる。いくつかの例では、パス１４０は、オンデマンドで、またはフローに基づいて（例えば、パケットヘッダーに基づいて）動的にフローについて発見され得、本明細書に記載されているように、ポリシールールおよびフローの実施を分割する場所および／または方法を決定するために使用され得る。パス１４０は、パブリッククラウドおよび／またはオンプレミスサイト１４４内の１つまたは複数のノード、例えば、ルーター１２４Ａ～Ｃ、１２６Ａ～Ｃの一部での出力エンドポイント（例えば、仮想マシン１３２）および入力エンドポイント（例えば、１３８）を含むことができる。パス１４０は、一般に、ネットワーク１５０（例えば、インターネット、トンネルなど）を通過する。いくつかの例では、出力エンドポイントから入力エンドポイントまで複数のノードが存在する可能性がある。
図２は、マルチサイトファブリック（例えば、１００）におけるポリシー分割およびランタイムポリシーテーブル容量を決定するための実装２００の例を示す。説明を簡単にするために、これに限定されるものではないが、図２は、（図１に示されるように）発見されたパス１４０のノード（例えば、１２４Ａ、１２６Ａ）とともに、出口エンドポイント１３２および入口エンドポイント１３８の例を示す。パス１４０が決定されると、対応するノードとともに、そのノードについてのランタイムポリシーテーブル容量を決定することができる。ランタイムポリシーテーブルの容量は、ノードがポリシーをアクティブ化または実装するために必要な容量である（例えば、アクティブなポリシー、ポリシーを格納または実装するためのノードの容量、新しいポリシーまたは未割り当てのポリシーなどに基づく）。
この例では、ＥＰ１３２は、そのランタイムポリシーテーブルの容量をコントローラ１１６に報告する（２０５）。いくつかの例では、仮想ゲートウェイ１２８Ａは、ランタイムポリシーテーブル容量をコントローラ１１６に直接送信することができる。他の例では、仮想ゲートウェイ１２８Ａは、プライベートネットワーク１０６（例えば、ハブ／スポークモデル）を介してランタイムポリシーテーブル容量を送信することができる。ルーター１２４Ａは、ランタイムポリシーテーブル容量をコントローラ１１６に直接報告することができる（２１０）。ＥＰ１３８は、そのランタイムポリシーテーブル容量をコントローラ１１８に報告する（２１５）。いくつかの例では、仮想ゲートウェイ１３０Ａは、ランタイムポリシーテーブル容量をコントローラ１１８に直接送信することができる。他の例では、仮想ゲートウェイ１３０Ａは、プライベートネットワーク１０８（例えば、ハブ／スポークモデル）を介してランタイムポリシーテーブル容量を送信することができる。ルーター１２６Ａは、ランタイムポリシーテーブル容量をコントローラ１１８に直接報告することができる（２２０）。
パス１４０内のノードからランタイムポリシーテーブル容量を受信することに応答して、コントローラ１１６、１１８は、ランタイムポリシーテーブル容量をＭＳＣ１１４に送信することができる。場合によっては、ランタイムポリシーテーブル容量を定期的にＭＳＣに送信できる。次に、ＭＳＣ１１４は、ＥＰ１３２からＥＰ１３８へのトラフィックのためのポリシールールをインストールまたは実装する能力を有するパス１４０内のノードを決定することができる。例えば、ＥＰ１３２と１３８の間に設定されたポリシーには、ＥＰ１３２に関連付けられたエンドポイントグループとＥＰ１３８に関連付けられたエンドポイントグループ間のトラフィックのルールを定義するコントラクトを含めることができる。
受信したランタイムポリシーテーブル容量に基づいて、ＭＳＣ１１４は、パス１４０内の異なるノードにわたるＥＰ１３２とＥＰ１３８との間のトラフィックに適用されるポリシールールを分割することができる。一例では、ルーター１２４Ａ～Ｃは、（特定の数のポリシールールをインストールおよび／またはアクティブ化するために）異なるレベルの容量を持つことができる。ＭＳＣ１１４は、ルーター１２４Ｂ、１２４Ｃがルーター１２４Ａよりも頻繁に使用されている、さらに／あるいはルーター１２４Ａよりも新しいポリシーのための現在または将来の容量が少ないと判断でき、ルーター１２４Ａを介した、またはルーター１２４Ａ上のＥＰ１３２からＥＰ１３８へのトラフィックのためのポリシールール（例えば、コントラクト）の少なくとも一部を分散またはインストールできる。ルーター１２４Ｂ、１２４Ｃとルーター１２４Ａの間の容量の違いを考えると、この例では、ＭＳＣ１１４は、ルーター１２４Ｂおよび／またはルーター１２４Ｃよりも多くのポリシーをルーター１２４Ａにインストールまたはアクティブ化することを選択してもよいし、代わりに、ルーター１２４Ｂおよび／またはルーター１２４Ｃ上のポリシーはインストールもアクティブ化もせず、ルーター１２４Ａおよびパス１４０上の１つまたは複数のノードにわたってその特定のフローに対するすべてのポリシーを分散させることを決定してもよい。
図３Ａ、図３Ｂの環境３００、３５０に示されるように、ＭＳＣ１１４は、アクティブ化されるべきポリシールールをクラウドコントローラ１１６、１１８に送信することができる（３３５、３４０）。場合によっては、ＭＳＣ１１４は、アクティブ化されるべきポリシールールをコントローラ１４６に送信することもできる。次に、クラウドコントローラ１１６は、前述のようにネットワーク構成に応じて、ＥＰ１３２へのパス内の選択されたノード（例えば、１２４Ａ、１３２）に１つまたは複数のポリシールールを送信することができる（３４５、３５０）。クラウドコントローラ１１８は、前述のようにネットワーク構成に応じて、ＥＰ１３８へのパス内の選択されたノード（例えば、１２６Ａ、１３８）に１つまたは複数のポリシールールを送信することができる（３５５、３６０）。ポリシールールは、漏斗状（例えば、きめ細かいものから粗いものへ、またはその逆）、ＶＲＦまたはプライベートネットワークベースの分散、帯域幅ベースの分散、ノード容量などの１つまたは複数の分割スキームに基づいて、プライベートネットワーク１０６、１１０Ａ、１０８、１１２Ａおよび／またはオンプレミスサイト１４４内の特定のノードに分散することができる。
ポリシー分割は、特定のフローのパス上のノードのランタイムポリシーテーブル容量に基づいて実行できる。例えば、図３に示すように、図３Ｂに示されるように、ＥＰ１３２がＥＰ１３８およびＥＰ１４０の両方と通信している場合、ＥＰ間の共通のポリシー（例えば、セキュアシェルなど）は、ハブまたはインフラプライベートネットワーク（複数可）（例えば、１０６、１０８）に展開され得る。これは、ハブまたはインフラプライベートネットワークが、最も共通する公分母ポリシーを実装できるためである。いくつかの例では、粗いポリシーを入力プライベートネットワーク（例えば、１０８）にインストールでき、よりきめ細かい（例えば、デルタ）ポリシーを、さらにパスに沿って、例えば漏斗状にインストールできる。例えば、図３Ａを参照すると、ＥＰ１３２からＥＰ１３８へのトラフィック、およびプライベートネットワーク１１２Ａに存在する、さらに／あるいはＳＧ１２２Ａに対応するＥＰＧに関連付けられる追加のエンドポイント（図示せず）の場合、粗いポリシーをＥＰＧに関連付け、ＥＰ１３８と追加のエンドポイントとの間のトラフィックを処理することができるプライベートネットワーク１０８内のルーター１２６Ａにインストールすることができる。
同様の例において、図３Ｂを参照して、ＥＰ１３２からＥＰ１３８および１４０へのトラフィックについては、ＥＰ１３８および１４０がそのプライベートネットワーク１０８内の異なるルーター１２６Ａ、１２６Ｂによってサービス提供されるため、粗いポリシーをプライベートネットワーク１０８内のルーター１２６Ａおよび１２６Ｂにインストールすることができる。いくつかの例では、コース（または共通）ルールおよび／またはデルタルールをルーター１２６Ａ、１２６Ｂにインストールして、フローをそれぞれＥＰ１３８およびＥＰ１４０に（例えば、漏斗状に）ルーティングする（および適用可能なポリシーを実施する）ことができる。他の例では、コースルールをルーター１２６Ａ、１２６Ｂにインストールしてもよく、ＥＰ１３８および１４０のためのデルタルールを仮想ゲートウェイ１３０Ａ、１３０Ｂおよび／またはＥＰ１３８、１４０にインストールすることができる。いくつかの例では、粗いポリシールールは、そのルールに関連付けられた宛先エンドポイントのアドレスを含む最も広いサブネットまたはプレフィックス境界に適用可能または関連付けられたルールである可能性がある。いくつかの例では、デルタポリシールールは、より狭いサブネット（粗いポリシールールからの可能な限り広いサブネットまたはプレフィックスよりも）または個々のエンドポイントに適用可能または関連付けられ、トラフィックおよび／またはデルタポリシールールに関連付けられたエンドポイントに適用できるルールである可能性がある。
適用される分割ポリシールールには、タイマーを関連付けることもできる。このタイマーには、分割ポリシールールをエージングおよびクリーンアップ（例えば、削除）できる閾値時間を関連付けることができる。ＡＷＳやＡｚｕｒｅなどのパブリッククラウドにはポリシー制限があるため、新しいポリシーを有効にできるように、古いポリシールールを確実に削除することが有利である。
本明細書に示すように、これらの手法により、エンドポイントからのパス内のノード間でポリシーを分割できるため、ＡＷＳの３００ルール制限などのネイティブクラウドリソースの制限を回避できる。開示されたスキームは、エンドポイントでのルールの数への最小限の追加でこれを達成することができる一方で、パス上の他のノード（例えば、ルーター１２４、１２６、１２８、１３０）を通してより大きなスケーラビリティを提供する。
場合によっては、ノード１２６Ａ、１２６Ｂ、１２６Ｃのポリシールールは、プライベートネットワーク１０８のＣＩＤＲ内のトラフィックのためのＥＰＧルールを処理または含めることができ、ＥＰ１３８、１４０にインストールされたポリシールールには、ＥＰ１３８および１４０に関連付けられたトラフィックのためのより少ないセットのルールを含めることができる。一部のルールは、ポリシーをそれらのポリシーに関連付けられた集約ルート（例えば、最も広いプレフィックス）にマッピングするルート集約スキームに基づいて分割または分散できる。
例示的なシステムおよび概念を説明してきたので、本開示は、次に、図４に示される例示的方法４００に移る。本明細書に概説されるステップは例示であり、それらの任意の組み合わせで実装することができ、特定のステップを除外、追加、または変更する組み合わせを含む。
ステップ４０５で、方法は、第１のパブリッククラウド（例えば、１０２）の第１のエンドポイント（例えば、仮想マシンなど）から第２のパブリッククラウド（例えば、１０４）の第２のエンドポイント（例えば、仮想マシンなど）までのパスを発見する。パスには、ルートに沿ったエンドポイントやルーターなど、パス間に１つ以上のノードを含めることができる。いくつかの例では、第１のクラウド（例えば、サイトＡ）の第１の仮想マシンが、第２のクラウド（例えば、サイトＢ）の第２の仮想マシンとの通信を開始できる。仮想マシン間のパスは、第１の仮想マシンから、スポーク仮想プライベートネットワーク（例えば、１１０）の仮想ゲートウェイ（例えば、１２８）およびハブ仮想プライベートネットワーク（例えば、１２６）のルーター（例えば、１２６）を介して、ハブプライベートネットワーク（例えば、１２６）に接続されたスポーク仮想プライベートネットワーク（例えば、１１２）の仮想ゲートウェイ（例えば、１３０）に、さらには第２のパブリッククラウド（例えば、１０４）の第２の仮想マシンに接続する。
ステップ４１０で、発見されたパス内のノードは、それぞれのランタイムポリシーテーブル容量を提供することができる。例えば、パス内の仮想マシン、ルーターなどは、それぞれのクラウドコントローラにランタイムポリシーテーブルの容量を送信できる。例えば、ルーターは、ポリシールールをインストールまたは実装するための合計容量および／または残りの容量を、関連付けられたクラウドコントローラに送信できる。説明のために、特定のルーターは、Ｙ個のルールの容量（例えば、３００ルールの制限）に達する前にＸ個のルールを実装する容量を持っている場合がある。この例では、ルーターは、Ｙ個のルールの合計容量および／またはＸ個のルールの残りの容量（ルーターにすでにインストールまたは実装されているものに加えて）があることを、関連付けられたクラウドコントローラに報告できる。次に、（各パブリッククラウドからの）クラウドコントローラは、各ノードのランタイムポリシーテーブルの容量をＭＳＣ１１４に送信できる。
ステップ４１５で、パスのポリシー実施を、各ノードのランタイムポリシーテーブルの容量に基づいて分割することができる。パス内のノードのランタイムポリシーテーブルの容量を受信すると、ＭＳＣ１１４は、第１および第２のエンドポイント（および／または関連するＥＰＧ）に関連するトラフィックのフローのためにどのノードがポリシーをインストールまたは実装すべきかを決定することができる。ＭＳＣ１１４はまた、どのポリシーおよび／またはいくつのポリシー（もしあれば）が各ノードに展開または実装されるべきかを決定することができる。したがって、第１および第２のエンドポイントに関連付けられたフローのポリシールールは、フローのポリシールールを実装するために利用可能な容量があると判断されたノード全体に分散させることができる。さらに、ポリシーは、それらがインストールされているノードに基づいて構成できる。場合によっては、ポリシーの実施は入力または出力のいずれかである。ポリシー分割を使用する他の例では、ポリシーの実施は、上記のように、利用可能なリソースに基づいて入力パスと出力パスに分散される。
分割ポリシールールの各展開中に必ずしも実行されるとは限らないオプションのステップ４２０では、ポリシーをエージングし、クリーンアップすることができる。例えば、ポリシールールの閾値期間（例えば、５分など）がアクティブ化された後、ポリシールールをノードから削除できる。他の例では、ポリシールールは、使用中または非アクティブのポリシーの閾値期間の後に削除できる。
方法４００のいくつかの実装形態では、ＭＳＣ１１４は、エンドポイントを特定のＥＰＧにマッピング（および／または分類）するためのポリシーまたはロジックを管理し、対応するルールを管理して、例えば、他のＥＰＧおよび外部エンドポイントへの通信を制限することができる。例えば、ＶＭまたは関連するネットワークインタフェースなどのエンドポイントがアクティブになるか、またはパブリッククラウド１０２に展開されると、パブリッククラウド１０２上のコントローラ１１６は、ＶＭを検出し、それを１つまたは複数のＥＰＧに関連付けることができる。場合によっては、ルールをＶＭにプッシュする代わりに、コントローラ１１６は、ＶＭ上のインタフェースのフローロギングを有効にすることができる。
ＶＭが別のＶＭへのフローを開始すると、コントローラ１１６は、本明細書で説明されるオンデマンドのフローベースのポリシー分割および実施をトリガーする。トリガーには、フローの宛先アドレスを含むフローの詳細を含めることができる。コントローラ１１６は、コントローラ１１６に関連付けられたクラウドサイト（例えば、１０２）内の宛先ＶＭを検索することができ、宛先ＶＭを見つけると、コントローラ１１６は、宛先ＶＭに関連付けられた１つまたは複数のＥＰＧに対応するセキュリティグループ（例えば、１２０）をフェッチすることができる。宛先ＶＭがクラウドサイトにない場合、コントローラ１１６は、ＭＳＣ１１４を階層的に検索し、これは、マルチクラウド環境内の他のコントローラ（例えば、１１８、１４６）に要求を中継することができる。エンドポイントが他のサイトのいずれかのＥＰＧの背後にある場合、コントローラは対応するＥＰＧをフェッチできる。次に、コントローラは、起点と宛先のエンドポイントに関連付けられたＥＰＧ間のコントラクトルールを検索し、ＥＰＧに関連付けられたルールに基づいてエンドポイントのルールを作成する。
場合によっては、コントローラは、起点と宛先のエンドポイントに関連付けられたフローのエージングキャッシュを作成し、フローログ情報に基づいてそれを更新できる。キャッシュがエージングする、さらに／あるいはエージング閾値に達すると、コントローラは、ルールがインストールされているノードからそのルールを削除できる。
いくつかの実装形態では、方法４００は、フローにラベルを割り当て、エンドポイント間のフローに基づいて、ルートおよび／またはＥＰＧを集約することができる。例えば、ラベルを各コンシューマー／プロバイダフローに割り当てることができる。コントローラ（例えば、１１４、１１６、１１８、１４６）は、ラベルとラベルごとに割り当てられたルールをチェックし、ラベル全体で共通のルールと特定のルールを見つけることができる。コントローラは、共通のルールを集約ラベルおよび／またはルールに抽出し、集約ラベルおよび特定のラベルに基づいて、およびここで説明するポリシー配置手法に基づいてルールを実施できる。
例えば、コントローラは、特定のルールをアウトバウンドルールとしての入力エンドポイントとインバウンドルールとしての出力エンドポイントに分割し、ハブまたはインフラプライベートネットワーク１０６、１０８のルーター１２４、１２６などの中間ノードまたはトランジットノードに共通のルールをオフロードできる。集約ラベルは、関連するポリシーグループ（例えば、ＥＰＧ）をフェッチするために、ルーターのルックアップで実施できる。場合によっては、ルーターのアドレス（例えば、ＩＰ）からＳＧＴ（セキュリティグループタグ）へのマッピングに基づいてルックアップを行うことができる。他の例では、パケットヘッダーの詳細に基づくルックアップなど、他のタイプのルックアップを実装できる。ルックアップは、特定のフローおよび／または通信エンドポイントに対応するオンプレミスサイト１４４内のＥＰＧを特定することができる。場合によっては、トンネリングヘッダー（例えば、ｉ－ＶｘＬＡＮ、ＶｘＬＡＮ－ＧＰＯ）がサポートしている場合、グループおよび／またはトラフィックラベル（例えば、ＥＰＧラベル、フローラベル）をパケットフレームで送信できる。場合によっては、パケット内のＥＰＧラベルは、ＥＰＧ分類および／またはフローのパスに共通のルールを持つ同様のＥＰＧのグループ化の関数になる可能性がある。
いくつかの実装形態では、ポリシーは、フローに関連付けられた（例えば、送信元アドレス、宛先アドレスなどに関連付けられた）一連のルールの統合に基づいて、関連付けられたフローのパス内の特定のノード（複数可）にグループ化でき、リソースを節約する。例えば、ＤＮＳ（ダイナミックネーミングシステム）などの共有サービスを利用するために、異なるサイトに複数のエンドポイントを持つことができるＤＮＳ ＥＰＧからのコントラクトを利用する多くのＥＰＧが存在する場合がある。この例では、ＤＮＳ ＥＰＧをパス内の１つ以上のクラウドルーターに固定し、他のすべてのＥＰＧに１セットのルールを通過させてＤＮＳ ＥＰＧと通信させる方が効率的である。ルーティングは、ＤＮＳ ＥＰＧエンドポイントへのトラフィックが最終的に終了するか、パス上の特定のノードを介してルーティングされるように操作できる。同様に、特定のポート（例えば、ＴＣＰポート）の１つのルーティングドメイン（例えば、ＶＲＦ、ＶＰＣ）内で任意のＥＰＧが他の任意のＥＰＧと通信できることを指定するルールなど、スコープ全体のルールがある場合、このスコープルールは、１つ以上のノードにおいて統合できる。
方法４００を第１のパブリッククラウドと第２のパブリッククラウドとの間の通信（および関連するポリシーの実施）に関して説明してきたが、方法４００（および／または方法４００の任意のステップ）は、マルチファブリックまたはマルチクラウド環境（例えば、１００）の任意のタイプのクラウド、データセンター、ファブリック、および／またはネットワーク間の通信（および関連するポリシーの実施）にも同様に適用できることを理解されたい。例えば、方法４００（および／または方法４００の任意のステップ）は、オンプレミスサイト（例えば、１４４）と１つまたは複数のパブリッククラウド（例えば、１０２、１０４）の間、または任意の数のクラウド（プライベートおよび／またはパブリック）、オンプレミスサイト、ファブリック、データセンターなどの間の通信（および関連するポリシーの実施）にも同様に適用可能である。方法４００で説明されている第１のパブリッククラウドと第２のパブリッククラウドは、説明の目的で、非限定的な例として提供される。
次に本開示は、スイッチ、ルーター、クライアントデバイスなどのネットワークデバイスおよびコンピューティングデバイスの例を示す図５および図６に移る。
図５は、ポリシー分割および実施の操作、ならびにスイッチング、ルーティング、および他のネットワーク操作を実装するのに適した例示的なネットワークデバイス５００を示している。ネットワークデバイス５００は、中央処理装置（ＣＰＵ）５０４、インタフェース５０２、および接続部５１０（例えば、ＰＣＩバス）を含む。適切なソフトウェアまたはファームウェアの制御下で動作する場合、ＣＰＵ５０４は、パケット管理、エラー検出、および／またはルーティング関数を実行する責任を負う。ＣＰＵ５０４は、好ましくは、オペレーティングシステムおよび任意の適切なアプリケーションソフトウェアを含むソフトウェアの制御下でこれらすべての機能を達成する。ＣＰＵ５０４は、マイクロプロセッサのＩＮＴＥＬ Ｘ８６ファミリからのプロセッサなどの１つ以上のプロセッサ５０８を含み得る。場合によっては、プロセッサ５０８は、ネットワークデバイス５００の操作を制御するために特別に設計されたハードウェアであり得る。場合によっては、メモリ５０６（例えば、不揮発性ＲＡＭ、ＲＯＭなど）はまた、ＣＰＵ５０４の一部を形成する。ただし、メモリをシステムに結合することができる多くの異なる方式がある。
インタフェース５０２は、典型的に、モジュラーインタフェースカード（「ラインカード」と称されることもある）として提供される。一般に、それらはネットワークを介したデータパケットの送受信を制御し、ネットワークデバイス５００で使用される他の周辺機器をサポートする場合がある。提供され得るインタフェースの中には、イーサネットインタフェース、フレームリレーインタフェース、ケーブルインタフェース、ＤＳＬインタフェース、トークンリングインタフェースなどがある。加えて、高速トークンリングインタフェース、ワイヤレスインタフェース、イーサネットインタフェース、ギガビットイーサネットインタフェース、ＡＴＭインタフェース、ＨＳＳＩインタフェース、ＰＯＳインタフェース、ＦＤＤＩインタフェース、ＷＩＦＩインタフェース、３Ｇ／４Ｇ／５Ｇセルラーインタフェース、ＣＡＮ ＢＵＳ、ＬｏＲＡなど、様々な非常に高速なインタフェースが提供される場合がある。一般に、これらのインタフェースには、適切な媒体との通信に適したポートが含まれている場合がある。場合によっては、独立したプロセッサと、場合によっては揮発性ＲＡＭも含まれることがある。独立したプロセッサは、パケット交換、媒体制御、信号処理、暗号処理、管理などの通信集約型タスクを制御することができる。通信集約型タスクのために別個のプロセッサを提供することにより、これらのインタフェースは、マスターマイクロプロセッサ５０４がルーティング計算、ネットワーク診断、セキュリティ機能などを効率的に実行することを可能にする。
図５に示されるシステムは、本技術の１つの特定のネットワークデバイスであるが、本技術が実装され得る唯一のネットワークデバイスアーキテクチャであることを意味するものではない。例えば、通信ならびにルーティング計算などを処理する単一のプロセッサを備えるアーキテクチャがよく使用される。さらに、他のタイプのインタフェースおよび媒体もまた、ネットワークデバイス５００とともに使用され得る。
ネットワークデバイス１１０の構成に関係なく、本明細書で説明するローミング、ルート最適化、およびルーティング関数のための汎用ネットワーク操作およびメカニズムのためのプログラム命令を格納するように構成された１つ以上のメモリまたはメモリモジュール（メモリ５０６を含む）を使用し得る。プログラム命令は、例えば、オペレーティングシステムおよび／または１つ以上のアプリケーションの操作を制御することができる。また、１つのメモリまたは複数のメモリは、モビリティバインディング、登録、および関連付けテーブルなどのテーブルを格納するように構成され得る。さらに、メモリ５０６は、様々なソフトウェアコンテナおよび仮想化実行環境およびデータを保持することができる。
ネットワークデバイス５００はまた、ルーティングおよび／またはスイッチング操作を実施するように構成され得る特定用途向け集積回路（ＡＳＩＣ）を含むことができる。ＡＳＩＣは、接続部５１０を介してネットワークデバイス５００内の他の構成要素と通信して、データおよび信号を交換し、例えば、ルーティング、スイッチング、および／またはデータ格納操作などのネットワークデバイス５００による様々なタイプの操作を連携することができる。
図６は、システムの構成要素が、バスなどの接続部６０５を使用して互いに電気的に通信するコンピューティングシステムアーキテクチャ６００を示す。例示的なシステム６００は、処理ユニット（ＣＰＵまたはプロセッサ）６１０と、読み出し専用メモリ（ＲＯＭ）６２０およびランダムアクセスメモリ（ＲＡＭ）６２５などのシステムメモリ６１５を含む様々なシステム構成要素をプロセッサ６１０に結合するシステム接続部６０５とを含む。システム６００は、プロセッサ６１０に直接接続されているか、近接しているか、またはプロセッサ６１０の一部分として統合された高速メモリのキャッシュを含むことができる。システム６００は、プロセッサ６１０による高速アクセスのために、メモリ６１５および／または記憶デバイス６３０からキャッシュ６１２にデータをコピーすることができる。このようにして、キャッシュは、データを待機している間のプロセッサ６１０の遅延を回避するという性能向上を提供することができる。これらおよび他のモジュールは、プロセッサ６１０を制御するか、または制御するように構成して、様々なアクションを実行することができる。他のシステムメモリ６１５も同様に利用可能であり得る。メモリ６１５は、異なる性能特性を有する複数の異なるタイプのメモリを含むことができる。プロセッサ６１０は、任意の汎用プロセッサと、プロセッサ６１０を制御するように構成された記憶デバイス６３０に格納されたサービス１ ６３２、サービス２ ６３４、およびサービス３ ６３６のようなハードウェアまたはソフトウェアサービスと、ならびに、ソフトウェア命令が実際のプロセッサ設計に組み込まれている特別目的プロセッサとを含むことができる。プロセッサ６１０は、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを含む完全に自己完結型のコンピューティングシステムであり得る。マルチコアプロセッサは、対称または非対称であり得る。
コンピューティングデバイス６００とのユーザーインタラクションを可能にするために、入力デバイス６４５は、音声用マイク、ジェスチャまたはグラフィック入力用のタッチスクリーン、キーボード、マウス、モーション入力、音声などの任意の数の入力メカニズムを表すことができる。出力デバイス６３５はまた、当業者に知られている出力メカニズムのうちの１つ以上とすることができる。場合によっては、マルチモーダルシステムは、ユーザーがコンピューティングデバイス６００と通信するために複数のタイプの入力を提供することを可能にすることができる。通信インタフェース６４０は、一般に、ユーザー入力およびシステム出力を統御および管理することができる。特定のハードウェア構成での操作に制限はないため、ここでの基本機能は、開発時に改善されたハードウェアまたはファームウェア構成に簡単に置き換えることができる。
記憶デバイス６３０は、不揮発性メモリであり、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ（ＲＡＭ）６２５、読み取り専用メモリ（ＲＯＭ）６２０、およびそれらのハイブリッドなど、コンピュータがアクセス可能なデータを格納することができるハードディスクまたは他のタイプのコンピュータ可読媒体とすることができる。
記憶デバイス６３０は、プロセッサ６１０を制御するためのサービス６３２、６３４、６３６を含むことができる。他のハードウェアまたはソフトウェアモジュールが企図される。記憶デバイス６３０は、システム接続部６０５に接続することができる。一態様において、特定の機能を実行するハードウェアモジュールは、その機能を実行するために、プロセッサ６１０、接続部６０５、出力デバイス６３５などの必要なハードウェア構成要素に関連して、コンピュータ可読媒体に格納されたソフトウェア構成要素を含むことができる。
説明を明確にするために、場合によっては、本技術は、ソフトウェアで具体化される方法におけるデバイス、デバイス構成要素、ステップもしくはルーチン、またはハードウェアとソフトウェアの組み合わせを含む機能ブロックを含む個々の機能ブロックを含むものとして提示され得る。
いくつかの実施形態では、コンピュータ可読記憶デバイス、媒体、およびメモリは、ビットストリームなどを含むケーブルまたは無線信号を含むことができる。しかしながら、言及される場合、非一時的コンピュータ可読記憶媒体は、エネルギー、搬送波信号、電磁波、および信号自体などの媒体を明示的に除外する。
上記の例による方法は、コンピュータ可読媒体に格納されているか、他の方法でそれから利用可能であるコンピュータ実行可能命令を使用して実装することができる。そのような命令は、例えば、特定の機能または機能のグループを実行するために、汎用コンピュータ、専用コンピュータ、または専用処理デバイスを引き起こすか、あるいは構成する命令およびデータを含むことができる。使用されるコンピュータリソースの部分は、ネットワーク経由でアクセス可能であり得る。コンピュータの実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令であり得る。命令、使用される情報、および／または説明された例による方法中に作成された情報を格納するために使用され得るコンピュータ可読媒体の例には、磁気ディスクまたは光ディスク、フラッシュメモリ、不揮発性メモリを備えたＵＳＢデバイス、ネットワークストレージデバイスなどが含まれる。
これらの開示による方法を実装するデバイスは、ハードウェア、ファームウェア、および／またはソフトウェアを含むことができ、様々なフォームファクタのいずれかを取ることができる。このようなフォームファクタの典型的な例には、ラップトップ、スマートフォン、スモールフォームファクタのパーソナルコンピュータ、携帯情報端末、ラックマウントデバイス、スタンドアロンデバイスなどが挙げられる。本明細書で説明される機能はまた、周辺機器またはアドインカードで具体化され得る。このような機能は、さらなる例として、単一のデバイスで実行される異なるチップまたは異なるプロセスの間の回路基板上に実装することもできる。
命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、およびそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。
添付の特許請求の範囲の範疇の態様を説明するために、様々な例および他の情報を使用したが、当業者であれば、多種多様な実装形態を導出するために、これらの例を使用することができるように、かかる例における特定の特徴または構成に基づいて、特許請求の範囲のいかなる制限も示唆されるべきではない。さらに、一部の主題は、構造的特徴および／または方法ステップの例に固有の言語で記載されている場合があるが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの記載された特徴または行為に限定されないことを理解されたい。例えば、かかる機能は、ここで特定されている構成要素以外の構成要素で、異なって分散し、または実行することができる。むしろ、記載された特徴およびステップは、添付の特許請求の範囲の範疇のシステムおよび方法の構成要素の例として開示される。
「少なくとも１つ」のセットと記載される特許請求項の文言は、セットの１つのメンバーまたはセットの複数のメンバーが特許請求項を満たしていることを示す。例えば、「ＡおよびＢのうちの少なくとも１つ」と記載される特許請求項の文言は、Ａ、Ｂ、またはＡおよびＢを意味する。

Claims (20)

  1. システムであって、
    １つ以上のプロセッサと、
    命令を記憶した少なくとも１つのコンピュータ可読記憶媒体であって、前記１つ以上のプロセッサによって実行されると、前記命令は前記システムに、
    第１のクラウドの第１のエンドポイントから第２のクラウドの第２のエンドポイントへのパスを発見させ、
    前記パス内のノードに関連付けられているランタイムポリシーテーブル容量を決定させ、
    前記パス内の前記ノードに関連付けられている前記ランタイムポリシーテーブル容量に基づいて、前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックのためのポリシーの分散および実施を決定させ、
    前記ポリシーの分散および実施に基づいて、前記パス内の前記ノードのセットにポリシーをインストールさせ、
    前記ポリシーを、前記第１のクラウドの前記第１のエンドポイントから前記第２のクラウドの前記第２のエンドポイントに送信されるデータに適用させる、
    システム。
  2. 前記パスを発見することは、前記パス内の複数のノードを決定することをさらに含む、請求項１に記載のシステム。
  3. 前記ランタイムポリシーテーブル容量および前記ポリシーの分散および実施を決定することは、
    前記パス内の前記複数のノードからのノードのサブセットのそれぞれのポリシーテーブル容量に基づいて、前記ポリシーの少なくとも一部をインストールする前記ノードのサブセットから少なくとも１つのノードを決定することと、
    前記ノードにつながる前記パス内の１つ以上のルーティングテーブルに対して前記第２のエンドポイントの宛先アドレスを実行することと、
    前記ノードのそれぞれのアドレスを含む前記パス内で最も広いサブネットを決定することと、
    を含む、請求項２に記載のシステム。
  4. ポリシーをインストールすることは、前記最も広いサブネットのトラフィックを可能にするポリシーをインストールすることを含み、前記ポリシーは、前記第１のエンドポイント、前記第２のエンドポイント、または前記パス内の前記ノードの１つにインストールされる、請求項３に記載のシステム。
  5. 前記少なくとも１つのコンピュータ可読記憶媒体に記憶された追加の命令をさらに含み、前記１つ以上のプロセッサによって実行されると、前記命令は前記システムに、
    前記ノードに、前記第１のエンドポイントを含む第１のエンドポイントグループと前記第２のエンドポイントを含む第２のエンドポイントグループとの間のコントラクトで、１つ以上の指定されたポートの前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックのみを許可する１つ以上のフィルタをインストールさせる、請求項３または４に記載のシステム。
  6. 前記ポリシーの分散および実施は、前記第１のエンドポイントにインストールされた漏斗状の実施を含む、請求項１から５のいずれかに記載のシステム。
  7. 前記少なくとも１つのコンピュータ可読記憶媒体に記憶された追加の命令をさらに含み、前記１つ以上のプロセッサによって実行されると、前記命令は前記システムに、
    前記第１のエンドポイント、前記第２のエンドポイント、および前記パス内の１つ以上の前記ノードの少なくとも１つにインストールされている１つ以上のポリシーの経過時間を決定させ、
    ポリシーの前記経過時間が閾値の経過時間を超えていることに応じて、当該ポリシーを削除させる、
    請求項１から６のいずれかに記載のシステム。
  8. 命令を記憶した非一時的コンピュータ可読記憶媒体であって、
    １つ以上のプロセッサによって実行されると、前記命令は前記１つ以上のプロセッサに、
    第１のクラウドの第１のエンドポイントから第２のクラウドの第２のエンドポイントへのパスを発見させ、
    前記パス内のノードに関連付けられているランタイムポリシーテーブル容量を取得させ、
    前記ランタイムポリシーテーブル容量に基づいて、前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックのためのポリシー分散および実施を決定させ、
    前記パス内の前記決定されたポリシーの分散および実施に基づいて、前記パス内の前記ノードのセットに、前記第１のエンドポイントから前記第２のエンドポイントへの前記トラフィックに関連付けられているポリシーのセットをインストールさせ、
    前記ポリシーのセットを、前記第１のクラウドの前記第１のエンドポイントから前記第２のクラウドの前記第２のエンドポイントへのトラフィックに適用させる、
    非一時的なコンピュータ可読記憶媒体。
  9. 前記パスを発見することは、前記パス内の複数のノードを特定することを含む、請求項８に記載の非一時的なコンピュータ可読記憶媒体。
  10. 追加の命令を記憶し、前記１つ以上のプロセッサによって実行されると、前記命令は前記１つ以上のプロセッサに、
    前記パス内の前記複数のノードのノードのサブセットのそれぞれのポリシーテーブル容量に基づいて、前記ポリシーのセットの少なくとも一部をインストールする前記ノードのサブセットから少なくとも１つのノードを決定させ、
    前記ノードにつながる前記パス内のルーティングテーブルに対して前記第２のエンドポイントの宛先アドレスを実行させ、
    前記ノードの少なくとも１つおよび前記ノードに関連付けられているアドレスを含む前記パス内で最も広いサブネットを決定させる、
    請求項９に記載の非一時的なコンピュータ可読記憶媒体。
  11. 前記ポリシーのセットをインストールすることは、前記第１のエンドポイントで最も広いサブネットのトラフィックを可能にするポリシーをインストールすることを含む、請求項１０に記載の非一時的なコンピュータ可読記憶媒体。
  12. 追加の命令を記憶し、前記１つ以上のプロセッサによって実行されると、前記命令は前記１つ以上のプロセッサに、
    前記ノードに、前記第１のエンドポイントを含む第１のエンドポイントグループと前記第２のエンドポイントを含む第２のエンドポイントグループとの間のコントラクトで、１つ以上の指定されたポートの前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックのみを許可する１つ以上のフィルタをインストールさせる、請求項１０または１１に記載の非一時的なコンピュータ可読記憶媒体。
  13. 前記ポリシーの分散および実施は、前記第１のエンドポイントにインストールされた漏斗状の実施を含む、請求項８から１２のいずれかに記載の非一時的なコンピュータ可読記憶媒体。
  14. 追加の命令を記憶し、前記１つ以上のプロセッサによって実行されると、前記命令は前記１つ以上のプロセッサに、
    前記第１のエンドポイント、前記第２のエンドポイント、および前記パス内の前記ノードのセットの少なくとも１つにインストールされている１つ以上のポリシーの経過時間を決定させ、
    ポリシーの前記経過時間が閾値の経過時間を超えていることに応じて、当該ポリシーを削除させる、
    請求項８から１３のいずれかに記載の非一時的なコンピュータ可読記憶媒体。
  15. 方法であって、
    第１のクラウドの第１のエンドポイントから第２のクラウドの第２のエンドポイントへのパスを発見することと、
    前記パス内のノードに関連付けられているランタイムポリシーテーブル容量を決定することと、
    前記ランタイムポリシーテーブル容量に基づいて、ポリシーの分散および実施を決定することと、
    前記ポリシーの分散および実施に基づいて、前記パス内のノードのセットにわたる前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックのためのポリシーのセットをインストールすることと、
    前記ポリシーのセットを、前記第１のクラウドの前記第１のエンドポイントから前記第２のクラウドの前記第２のエンドポイントへのトラフィックに適用することと、
    を含む方法。
  16. 前記パスを発見することは、前記パス内の複数のノードを決定することを含む、請求項１５に記載の方法。
  17. 前記パス内の前記複数のノードのノードのサブセットのそれぞれのポリシーテーブル容量に基づいて、前記ポリシーのセットをインストールする前記複数のノードの少なくとも１つのノードを決定することと、
    前記ノードにつながる前記パス内のルーティングテーブルに対して前記第２のエンドポイントの宛先アドレスを実行することと、
    前記ノードの少なくとも１つおよび前記ノードに関連付けられているアドレスを含む前記パス内で最も広いサブネットを決定することと、
    をさらに含む、請求項１６に記載の方法。
  18. 前記ポリシーのセットをインストールすることは、前記最も広いサブネットのトラフィックを可能にするポリシーをインストールすることを含み、前記ポリシーは、前記第１のエンドポイント、前記第２のエンドポイント、および前記パス内の前記ノードの１つにインストールされる、請求項１７に記載の方法。
  19. 前記ノードに、前記第１のエンドポイントを含む第１のエンドポイントグループと前記第２のエンドポイントを含む第２のエンドポイントグループとの間のコントラクトで、１つ以上の指定されたポートの前記第１のエンドポイントから前記第２のエンドポイントへのトラフィックのみを許可する１つ以上のフィルタをインストールすることをさらに含む、請求項１８に記載の方法。
  20. 前記第１のエンドポイント、前記第２のエンドポイント、および前記ノードのセットの少なくとも１つにインストールされている１つ以上のポリシーの経過時間を決定することと、
    ポリシーの前記経過時間が閾値の経過時間を超えていること応じて、当該ポリシーを削除することと、
    をさらに含む、請求項１５から１９のいずれかに記載の方法。
JP2021539103A 2019-02-28 2020-02-20 マルチクラウド環境におけるオンデマンドフローに基づくポリシー実施のためのシステムおよび方法 Active JP7355830B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/289,647 2019-02-28
US16/289,647 US11165828B2 (en) 2019-02-28 2019-02-28 Systems and methods for on-demand flow-based policy enforcement in multi-cloud environments
PCT/US2020/019005 WO2020176325A1 (en) 2019-02-28 2020-02-20 Systems and methods for on-demand flow-based policy enforcement in multi-cloud environments

Publications (2)

Publication Number Publication Date
JP2022522260A JP2022522260A (ja) 2022-04-15
JP7355830B2 true JP7355830B2 (ja) 2023-10-03

Family

ID=69811976

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021539103A Active JP7355830B2 (ja) 2019-02-28 2020-02-20 マルチクラウド環境におけるオンデマンドフローに基づくポリシー実施のためのシステムおよび方法

Country Status (7)

Country Link
US (1) US11165828B2 (ja)
EP (1) EP3932022B1 (ja)
JP (1) JP7355830B2 (ja)
CN (1) CN113574835B (ja)
AU (1) AU2020227664B2 (ja)
CA (1) CA3126722A1 (ja)
WO (1) WO2020176325A1 (ja)

Families Citing this family (50)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10454714B2 (en) 2013-07-10 2019-10-22 Nicira, Inc. Method and system of overlay flow control
US10749711B2 (en) 2013-07-10 2020-08-18 Nicira, Inc. Network-link method useful for a last-mile connectivity in an edge-gateway multipath system
US10135789B2 (en) 2015-04-13 2018-11-20 Nicira, Inc. Method and system of establishing a virtual private network in a cloud service for branch networking
US10425382B2 (en) 2015-04-13 2019-09-24 Nicira, Inc. Method and system of a cloud-based multipath routing protocol
US10498652B2 (en) 2015-04-13 2019-12-03 Nicira, Inc. Method and system of application-aware routing with crowdsourcing
US11706127B2 (en) 2017-01-31 2023-07-18 Vmware, Inc. High performance software-defined core network
US11252079B2 (en) 2017-01-31 2022-02-15 Vmware, Inc. High performance software-defined core network
US10992568B2 (en) 2017-01-31 2021-04-27 Vmware, Inc. High performance software-defined core network
US20200036624A1 (en) 2017-01-31 2020-01-30 The Mode Group High performance software-defined core network
US20180219765A1 (en) 2017-01-31 2018-08-02 Waltz Networks Method and Apparatus for Network Traffic Control Optimization
US11121962B2 (en) 2017-01-31 2021-09-14 Vmware, Inc. High performance software-defined core network
US10778528B2 (en) 2017-02-11 2020-09-15 Nicira, Inc. Method and system of connecting to a multipath hub in a cluster
US10523539B2 (en) 2017-06-22 2019-12-31 Nicira, Inc. Method and system of resiliency in cloud-delivered SD-WAN
US10999100B2 (en) 2017-10-02 2021-05-04 Vmware, Inc. Identifying multiple nodes in a virtual network defined over a set of public clouds to connect to an external SAAS provider
US11089111B2 (en) 2017-10-02 2021-08-10 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US11115480B2 (en) 2017-10-02 2021-09-07 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US11005684B2 (en) 2017-10-02 2021-05-11 Vmware, Inc. Creating virtual networks spanning multiple public clouds
US11223514B2 (en) 2017-11-09 2022-01-11 Nicira, Inc. Method and system of a dynamic high-availability mode based on current wide area network connectivity
US11171885B2 (en) 2019-08-27 2021-11-09 Vmware, Inc. Providing recommendations for implementing virtual networks
US11044190B2 (en) 2019-10-28 2021-06-22 Vmware, Inc. Managing forwarding elements at edge nodes connected to a virtual network
US11489783B2 (en) 2019-12-12 2022-11-01 Vmware, Inc. Performing deep packet inspection in a software defined wide area network
US11394640B2 (en) 2019-12-12 2022-07-19 Vmware, Inc. Collecting and analyzing data regarding flows associated with DPI parameters
US12041479B2 (en) 2020-01-24 2024-07-16 VMware LLC Accurate traffic steering between links through sub-path path quality metrics
US11245641B2 (en) 2020-07-02 2022-02-08 Vmware, Inc. Methods and apparatus for application aware hub clustering techniques for a hyper scale SD-WAN
US11709710B2 (en) 2020-07-30 2023-07-25 Vmware, Inc. Memory allocator for I/O operations
US11575591B2 (en) 2020-11-17 2023-02-07 Vmware, Inc. Autonomous distributed forwarding plane traceability based anomaly detection in application traffic for hyper-scale SD-WAN
US11575600B2 (en) 2020-11-24 2023-02-07 Vmware, Inc. Tunnel-less SD-WAN
US11601356B2 (en) 2020-12-29 2023-03-07 Vmware, Inc. Emulating packet flows to assess network links for SD-WAN
US11792127B2 (en) 2021-01-18 2023-10-17 Vmware, Inc. Network-aware load balancing
US11979325B2 (en) 2021-01-28 2024-05-07 VMware LLC Dynamic SD-WAN hub cluster scaling with machine learning
WO2022177830A1 (en) * 2021-02-17 2022-08-25 Aviatrix Systems, Inc. Cloud-based egress filtering system
EP4295545A1 (en) * 2021-02-22 2023-12-27 Aviatrix Systems, Inc. System and method for increased throughput and scalability
US20220294818A1 (en) * 2021-03-11 2022-09-15 Virtustream Ip Holding Company Llc Management of multi-cloud workloads using relative risk ranking of cloud assets
US11411833B1 (en) * 2021-04-23 2022-08-09 Vmware, Inc. Methods and apparatus to model and verify a hybrid network
US11570109B2 (en) 2021-04-28 2023-01-31 Cisco Technology, Inc. Software-defined service insertion for network fabrics
US11637768B2 (en) 2021-05-03 2023-04-25 Vmware, Inc. On demand routing mesh for routing packets through SD-WAN edge forwarding nodes in an SD-WAN
US12009987B2 (en) 2021-05-03 2024-06-11 VMware LLC Methods to support dynamic transit paths through hub clustering across branches in SD-WAN
US11729065B2 (en) 2021-05-06 2023-08-15 Vmware, Inc. Methods for application defined virtual network service among multiple transport in SD-WAN
US12015536B2 (en) 2021-06-18 2024-06-18 VMware LLC Method and apparatus for deploying tenant deployable elements across public clouds based on harvested performance metrics of types of resource elements in the public clouds
US11489720B1 (en) 2021-06-18 2022-11-01 Vmware, Inc. Method and apparatus to evaluate resource elements and public clouds for deploying tenant deployable elements based on harvested performance metrics
US12047282B2 (en) 2021-07-22 2024-07-23 VMware LLC Methods for smart bandwidth aggregation based dynamic overlay selection among preferred exits in SD-WAN
US20230025586A1 (en) * 2021-07-24 2023-01-26 Vmware, Inc. Network management services in a secure access service edge application
US11375005B1 (en) 2021-07-24 2022-06-28 Vmware, Inc. High availability solutions for a secure access service edge application
US20230033818A1 (en) * 2021-07-30 2023-02-02 International Business Machines Corporation Edge function-guided artifical intelligence request routing
US11929917B2 (en) * 2021-07-30 2024-03-12 Cisco Technology, Inc. Systems and methods for determining problematic paths between interest points in a multi-cloud environment
US11943146B2 (en) 2021-10-01 2024-03-26 VMware LLC Traffic prioritization in SD-WAN
US11909815B2 (en) 2022-06-06 2024-02-20 VMware LLC Routing based on geolocation costs
US20240214424A1 (en) * 2022-12-27 2024-06-27 Cisco Technology, Inc. Using an end-to-end policy controller to split policies between enforcement points in a network
US12057993B1 (en) 2023-03-27 2024-08-06 VMware LLC Identifying and remediating anomalies in a self-healing network
US12034587B1 (en) 2023-03-27 2024-07-09 VMware LLC Identifying and remediating anomalies in a self-healing network

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009105716A (ja) 2007-10-24 2009-05-14 Hitachi Ltd ネットワークシステム、管理計算機、及びフィルタ再構成方法
US20150237013A1 (en) 2014-02-20 2015-08-20 Nicira, Inc. Specifying point of enforcement in a firewall rule
JP2015156624A (ja) 2014-02-20 2015-08-27 ニシラ， インコーポレイテッド ファイアウォール規則における実施ポイントの指定
US20160156591A1 (en) 2014-12-02 2016-06-02 Nicira, Inc. Context-aware distributed firewall
JP2017017527A (ja) 2015-07-01 2017-01-19 アラクサラネットワークス株式会社 ネットワークシステム及びスイッチ
US20180026885A1 (en) 2016-07-21 2018-01-25 Cisco Technology, Inc. System and method of providing segment routing as a service

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101133385B (zh) * 2005-03-04 2014-05-07 苹果公司 手持电子设备、手持设备及其操作方法
US8787174B2 (en) * 2009-12-31 2014-07-22 Tekelec, Inc. Methods, systems, and computer readable media for condition-triggered policies
US9569233B2 (en) * 2012-12-31 2017-02-14 F5 Networks, Inc. Elastic offload of prebuilt traffic management system component virtual machines
US9191282B2 (en) * 2013-11-29 2015-11-17 Verizon Patent And Licensing Inc. Service level agreement (SLA) based provisioning and management
AU2015245935B2 (en) * 2014-04-08 2019-05-16 Qoria Holdings Pty Ltd A device management system
US10171507B2 (en) * 2016-05-19 2019-01-01 Cisco Technology, Inc. Microsegmentation in heterogeneous software defined networking environments
US10404546B2 (en) * 2017-02-17 2019-09-03 At&T Intellectual Property I, L.P. Multi-tier fault tolerant network design with quality of service considerations
US10986516B2 (en) * 2017-03-10 2021-04-20 Huawei Technologies Co., Ltd. System and method of network policy optimization
US10868742B2 (en) * 2017-03-29 2020-12-15 Juniper Networks, Inc. Multi-cluster dashboard for distributed virtualization infrastructure element monitoring and policy control
CN109120525B (zh) 2017-06-26 2021-02-09 中国电信股份有限公司 用于sdn的路径确定方法、装置、sdn控制器及网络
CN108566408A (zh) * 2018-01-18 2018-09-21 咪咕文化科技有限公司 一种业务处理方法、装置及存储介质

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009105716A (ja) 2007-10-24 2009-05-14 Hitachi Ltd ネットワークシステム、管理計算機、及びフィルタ再構成方法
US20150237013A1 (en) 2014-02-20 2015-08-20 Nicira, Inc. Specifying point of enforcement in a firewall rule
JP2015156624A (ja) 2014-02-20 2015-08-27 ニシラ， インコーポレイテッド ファイアウォール規則における実施ポイントの指定
US20160156591A1 (en) 2014-12-02 2016-06-02 Nicira, Inc. Context-aware distributed firewall
JP2017017527A (ja) 2015-07-01 2017-01-19 アラクサラネットワークス株式会社 ネットワークシステム及びスイッチ
US20180026885A1 (en) 2016-07-21 2018-01-25 Cisco Technology, Inc. System and method of providing segment routing as a service

Also Published As

Publication number Publication date
US20200280587A1 (en) 2020-09-03
CN113574835A (zh) 2021-10-29
US11165828B2 (en) 2021-11-02
AU2020227664B2 (en) 2024-09-19
CA3126722A1 (en) 2020-09-03
WO2020176325A1 (en) 2020-09-03
JP2022522260A (ja) 2022-04-15
EP3932022B1 (en) 2023-09-13
CN113574835B (zh) 2023-05-26
EP3932022A1 (en) 2022-01-05
AU2020227664A1 (en) 2021-07-29

Similar Documents

Publication Publication Date Title
JP7355830B2 (ja) マルチクラウド環境におけるオンデマンドフローに基づくポリシー実施のためのシステムおよび方法
US11838325B2 (en) Elastic policy scaling in multi-cloud fabrics
EP3932041B1 (en) Remote smart nic-based service acceleration
US20210344692A1 (en) Providing a virtual security appliance architecture to a virtual cloud infrastructure
CN112470436B (zh) 用于提供多云连通性的系统、方法、以及计算机可读介质
US8923294B2 (en) Dynamically provisioning middleboxes
US9755959B2 (en) Dynamic service path creation
EP3821589A1 (en) Session management in a forwarding plane
WO2023164429A1 (en) Secured advertisement of autoconfigured internet protocol prefixes in a cloud environment

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220502

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230421

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230516

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230727

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230901

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20230921

R150 Certificate of patent or registration of utility model

Ref document number: 7355830

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150