JP7496414B2

JP7496414B2 - ドメイン間トラフィックのグループベースのポリシー

Info

Publication number: JP7496414B2
Application number: JP2022524224A
Authority: JP
Inventors: グプタ，アヌバヴ; フェルナンド，レックス; クマールフーダ，サンジェイ; サンダーアッパラ，シャム; トリア，サミール
Original assignee: シスコテクノロジー，インコーポレイテッド
Priority date: 2019-11-26
Filing date: 2020-11-13
Publication date: 2024-06-06
Anticipated expiration: 2040-11-13
Also published as: WO2021108143A1; JP2023502578A; US11683262B2; KR20220104047A; EP4066454A1; CN114731329A; US20210160175A1; CA3157184A1; AU2020391414A1; US20230261981A1

Description

本開示は、概して、データ通信の分野に関し、より具体的には、ドメイン間トラフィックのグループに基づくポリシーの構築に関する。

エンタープライズソフトウェア定義（ＳＤ）－ワイドエリアネットワーク（ＷＡＮ）（ＳＤ－ＷＡＮ）ファブリックは、ポイントツーポイント暗号化オーバーレイトンネル（例えば、ＩＰｓｅｃ）を利用する複数の仮想プライベートネットワーク（ＶＰＮ）を備えるエッジルータで構成されている。これらのトンネルは、様々な接続方法（例えば、専用のＭＰＬＳリンク、ブロードバンドインターネット、またはセルラーネットワーク）を利用して、１つ以上のアンダーレイネットワークを通過する。ＳＤ－ＷＡＮ内のエッジルータおよび中間ルータは、データパケットがソースから宛先にルーティングされるときに、ＳＤ－ＷＡＮポリシーをデータパケットに適用する場合がある。ＳＤ－ＷＡＮポリシーは、ソースノードが属するソースグループおよび／または宛先ノードが属する宛先グループに基づいて決定され得る。

ＳＤ－ＷＡＮのアーキテクチャの一例を示す。ホストの認証手順の一例を示す。宛先エッジルータから宛先グループをフェッチするための例示的なフローを示す。ＳＤ－ＷＡＮファブリック制御プレーンから宛先グループをフェッチするための例示的なフローを示す。データパケットのポリシーの例示的な決定を示す。ＳＤ－ＷＡＮエッジルータにおいて宛先グループアイデンティティに基づいてポリシーを施行する例示的な方法を示す。例示的なコンピュータシステムを示す。

例示的な実施形態の説明
概要
本発明の態様は、独立請求項で提示され、好ましい特徴は、従属請求項で提示される。一態様の特徴は、単独で、または他の態様と組み合わせて、任意の態様に適用され得る。

特定の実施形態では、ネットワークの第１のサイトで動作するように構成された第１のネットワークノードは、第１のサイトに位置する第１のホストからデータパケットを受信し得る。データパケットは、第１のサイトとは異なり得る第２のサイトに位置する第２のホストに向けられ得る。第１のネットワークノードは、第２のホストが属する第２のグループのアイデンティティが第１のネットワークノードにおいて利用できないと判定し得る。第１のネットワークノードは、判定に応答して、第２のグループの識別子の要求を第２のネットワークノードに送信し得る。要求は、第２のホストのアドレスを含み得る。第１のネットワークノードは、第２のネットワークノードから第２のグループの識別子を含む応答を受信し得る。第１のネットワークノードは、受信した識別子に基づいて、第２のグループが宛先グループであると判定し得る。第１のネットワークノードは、宛先グループと関連付けられた１つ以上のポリシーをデータパケットに適用し得る。第１のネットワークノードは、データパケットが第２のホストにルーティングされるようにし得る。

例示的な実施形態
図１は、ＳＤ－ＷＡＮのアーキテクチャの一例を示している。特定の実施形態では、ネットワーク１００は、１つ以上のアンダーレイネットワーク１３０を介して複数のサイト間でトラフィックを運ぶトンネルに基づく仮想オーバーレイネットワークである、ソフトウェア定義（ＳＤ）－ワイドエリアネットワーク（ＷＡＮ）であり得る。図１に示す例は、第１のサイト１１０および第２のサイト１２０の、２つのサイトを示している。各サイトは、１つ以上のＷＡＮ－エッジルータを介してネットワーク１００に接続し得る。例えば、第１のサイト１１０は、エッジルータ１０１を介してネットワーク１００に接続し、第２のサイト１２０は、エッジルータ１０２を介してネットワーク１００に接続する。ネットワーク１００に接続されたサイトは、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）トンネルを介して他のサイトの各々へのデータプレーン接続を有し得る。エッジルータ１０１および１０２は、アンダーレイネットワーク１３０を介してデータプレーン接続を有し得る。アンダーレイネットワーク１３０は、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、インターネット、およびセルラーネットワークを含み得る。ＳＤ－ＷＡＮ制御プレーンは、集中ルーティングテーブルおよびデータプレーンの転送動作をプログラムするためのルーティングポリシーを維持し得る、コントローラ１０５を備え得る。コントローラ１０５は、各エッジルータへの直接制御プレーン接続を維持し得る。コントローラ１０５は、オーバーレイネットワーク全体をプロビジョニング、維持、および保護し得る。ＳＤ－ＷＡＮネットワーク１００はまた、管理／オーケストレーションプレーン１０７を含み得る。本開示は、特定の様式におけるＳＤ－ＷＡＮネットワークを説明しているが、本開示は、任意の好適な様式におけるＳＤ－ＷＡＮネットワークを企図している。

特定の実施形態では、第１のサイトは、第１のホストを含み得る。第１のホストは第１のグループに属し得る。第１のホストが接続されているスイッチは、第１のグループの識別子を学習し得る。スイッチは、第１のホストから発信されたデータパケットに、ソースグループとして第１のグループの識別子を追加し得る。特定の実施形態では、スイッチは、１つ以上の動的メカニズムのうちの１つを使用して、第１のグループの識別子を学習し得る。特定の実施形態では、第１のホストは、認証手順を実行し得る。スイッチは、第１のホストの認証手順中に第１のグループの識別子を学習し得る。

図２は、ホストの認証手順の一例を示している。限定としてではなく、一例として、図２に示すように、第１のホスト１１１が、ステップ２００で起動され得る。スイッチ２０３は、第１のホスト１１１を検出し得、「無許可」状態で第１のホスト１１１に接続されたポートを有効にし得る。「無許可」状態では、８０２．１Ｘトラフィックのみが許可され、一方、他のトラフィックはドロップされ得る。ステップ２１０で、スイッチ２０３は、ローカルネットワークセグメント上の特別なレイヤ２アドレス（０１：８０：Ｃ２：００：００：０３）に拡張認証プロトコル（ＥＡＰ）－ＲｅｑｕｅｓｔＩｄｅｎｔｉｔｙフレームを定期的に送信することによって、認証を開始し得る。第１のホスト１１１は、このアドレスをリッスンし得る。ＥＡＰ－ＲｅｑｕｅｓｔＩｄｅｎｔｉｔｙフレームを受信すると、第１のホスト１１１は、ステップ２１５で、ユーザＩＤなどの第１のホスト１１１の識別子を含むＥＡＰ－ＲｅｓｐｏｎｓｅＩｄｅｎｔｉｔｙフレームで応答し得る。ステップ２２０で、スイッチ２０３は、第１のホスト１１１から受信したＩｄｅｎｔｉｔｙ応答をＲＡＤＩＵＳＡｃｃｅｓｓ－Ｒｅｑｕｅｓｔパケットにカプセル化し、ＲＡＤＩＵＳＡｃｃｅｓｓ－Ｒｅｑｕｅｓｔパケットを認証サーバ２０５に転送し得る。ステップ２２５で、認証サーバ２０５は、応答（ＲＡＤＩＵＳＡｃｃｅｓｓ－Ｃｈａｌｌｅｎｇｅパケットにカプセル化されている）をスイッチ２０３に送信し得る。ステップ２３０で、スイッチ２０３は、ＥＡＰＲｅｑｕｅｓｔをＥＡＰＯｖｅｒＬＡＮ（ＥＡＰＯＬ）フレームにカプセル化し、ＥＡＰＯＬフレームを第１のホスト１１１に送信し得る。ステップ２３５で、第１のホスト１１１は、ＥＡＰｒｅｓｐｏｎｓｅをスイッチに送信し得る。ステップ２４０で、スイッチは、受信したＥＡＰＲｅｓｐｏｎｓｅをＲＡＤＩＵＳＡｃｃｅｓｓ－Ｒｅｑｕｅｓｔパケットにカプセル化し、ＲＡＤＩＵＳＡｃｃｅｓｓ－Ｒｅｑｕｅｓｔパケットを認証サーバ２０５に転送し得る。ステップ２４５で、認証サーバは、（ＲＡＤＩＵＳＡｃｃｅｓｓ－Ａｃｃｅｐｔパケットにカプセル化された）ＥＡＰ－Ｓｕｃｃｅｓｓメッセージのいずれかで応答し得る。ＥＡＰ－Ｓｕｃｃｅｓｓメッセージは、第１のホストが属する第１のグループの識別子を含み得る。スイッチ２０３は、ＥＡＰ－Ｓｕｃｃｅｓｓメッセージから第１のグループの識別子を学習し得る。スイッチ２０３は、ステップ２５０で、ＥＡＰ－Ｓｕｃｃｅｓｓメッセージを第１のホスト１１１に転送し得る。ＥＡＰ－Ｓｕｃｃｅｓｓを受信すると、スイッチ２０３は、ポートを「許可された」状態に設定し得、通常のトラフィックを許可し得る。スイッチ２０３は、第１のホスト１１１から発信されたデータパケットに第１のグループの識別子を追加し得る。特定の実施形態では、スイッチ２０３は、１つ以上の静的メカニズムのうちの１つを使用して、第１のグループの識別子を学習し得る。特定の実施形態では、スイッチ２０３は、ＩＰアドレスとそれらの対応するグループとの間のマッピングテーブルを維持し得る。スイッチ２０３は、第１のホスト１１１と関連付けられたＩＰアドレスに基づいて、第１のグループの識別子を学習し得る。本開示は、第１のホストが属するグループの識別子を特定の様式で学習することを説明しているが、本開示は、第１のホストが属するグループの識別子を任意の好適な様式で学習することを企図している。

特定の実施形態では、第１のネットワークノード１０１は、第１のサイト１１０に位置する第１のホスト１１１からデータパケットを受信し得る。データパケットは、第２のサイト１２０に位置する第２のホスト１２１に向けられ得る。第１のサイト１１０は、第２のサイト１２０から離れていてもよい。第１のサイト１１０および第２のサイト１２０は、ＳＤ－ＷＡＮネットワーク１００を介して接続され得る。第１のホスト１１１に接続されたスイッチ２０３は、ソースグループとして第１のグループの識別子をデータパケットに追加し得、したがって、データパケットは、第１のグループの識別子を含み得る。第１のネットワークノード１０１は、第１のホスト１１１のＩＰアドレスおよびデータパケット内の第１のグループの識別子のマッピングにより、ローカルデータベースを更新し得る。限定としてではなく、一例として、第１のサイト１１０に位置する第１のホスト１１１は、企業内のＨＲグループに属し得る。ＨＲグループのグループ識別子は１０００であり得る。第１のホスト１１１は、第２のサイト１２０に位置する第２のホスト１２１にデータパケットを送信し得る。第２のホスト１２１は、企業内のエンジニアリンググループに属し得る。エンジニアリンググループのグループ識別子は２０００であり得る。第１のホスト１１１に接続されたスイッチ２０３は、グループ識別子１０００をデータパケットに追加し得る。データパケットは、第１のサイト１１０をＳＤ－ＷＡＮネットワーク１００に接続するソースエッジルータ１０１に到着し得る。ソースエッジルータ１０１は、第１のホスト１１１のＩＰアドレスおよびＨＲグループのグループ識別子１０００のマッピングにより、ローカルデータベースを更新し得る。本開示は、特定の様式でソースグループ識別子を含むデータパケットを受信することを説明しているが、本開示は、任意の好適な様式でソースグループ識別子を含むデータパケットを受信することを企図している。

特定の実施形態では、第１のネットワークノード１０１は、第２のグループのアイデンティティが第１のネットワークノード１０１において利用できないと判定し得、ここで、第２のグループは、第２のホスト１２１が属するグループである。特定の実施形態では、第１のネットワークノード１０１は、第１のネットワークノード１０１においてローカルデータベースを検索することによって、第２のグループのアイデンティティが第１のネットワークノード１０１で利用可能であるかどうかを判定し得る。限定としてではなく、一例として、前述の例を続けると、ソースエッジルータ１０１は、第１のホスト１１１から第２のホスト１２１へのデータパケットを受信すると、第２のグループの識別子を判定しようと試み得る。ソースエッジルータ１０１は、第２のグループの識別子を識別するために、第２のホスト１２１のＩＰアドレスを検索し得る。ソースエッジルータ１０１は、第２のホストのＩＰアドレスのレコードがローカルデータベースに存在しない場合、第２のグループの識別子が利用できないと判定し得る。本開示は、データパケットの宛先グループの識別子がソースエッジルータにおいて利用できないことを、特定の様式で判定することを説明しているが、本開示は、データパケットの宛先グループの識別子がソースエッジルータにおいて利用できないことを、任意の好適な様式で判定することを企図している。

特定の実施形態では、第１のネットワークノード１０１は、判定に応答して、第２のグループの識別子についての要求を第２のネットワークノードに送信し得る。要求は、第２のホストのアドレスを含み得る。本開示は、宛先グループの識別子についての要求を特定の様式で送信することを説明しているが、本開示は、宛先グループの識別子についての要求を任意の好適な様式で送信することを企図している。

図３は、宛先エッジルータから宛先グループをフェッチするための例示的なフローを示している。図３に示す例では、第１のホスト１１１は、データパケットを第２のホスト１２１に送信し得る。第１のホスト１１１は、第１のサイト１１０に位置し得る。第２のホスト１２１は、第２のサイト１２０に位置し得る。第１のホスト１１１は、企業内のＨＲグループに属し得る。ＨＲグループのグループ識別子は１０００であり得る。第２のホスト１２１は、企業内のエンジニアリンググループに属し得る。エンジニアリンググループのグループ識別子は２０００であり得る。ステップ３１０で、データパケットは、第１のホスト１１１に接続されているスイッチ２０３に転送され得る。スイッチ２０３は、ＨＲグループの識別子１０００をデータパケットに追加し得る。スイッチ２０３は、第１のホスト１１１の認証手順中にＨＲグループの識別子を学習した可能性がある。ステップ３２０で、スイッチ２０３は、データパケットを、第１のサイト１１０をＳＤ－ＷＡＮネットワーク１００に接続しているソースエッジルータ１０１に転送し得る。データパケットは、ＨＲグループの識別子１０００を含み得る。

特定の実施形態では、第２のネットワークノードは、第２のサイト１２０で動作するように構成されたＷＡＮ－エッジルータ１０２であり得る。第２のネットワークノードは、第２のサイト１２０と関連付けられたローカルファブリック制御プレーン３０７と通信することによって、第２のグループの識別子を判定し得る。ソースエッジルータ１０１は、第２のエッジルータ１０２から第２のグループの識別子を含む応答を受信し得る。ソースエッジルータ１０１は、受信した識別子に基づいて、第２のグループが宛先グループであると判定し得る。限定としてではなく、一例として、図３に示す前述の例を続けると、ソースエッジルータ１０１は、制御メッセージを宛先側ＷＡＮ－エッジルータ１０２に送信し得る。制御メッセージは、ステップ３３０において、データパケットの宛先ＩＰアドレスを含み得る。宛先エッジルータ１０２は、そのローカルデータベースを検索して、第２のホスト１２１が属する宛先グループのアイデンティティを見つけ得る。宛先グループがローカルデータベースにおいて利用できない場合、宛先エッジルータ１０２は、ステップ３４０で、ローカルファブリック制御プレーンコントローラ３０７に問い合わせ得る。ローカルファブリック制御プレーンコントローラ３０７は、第２のサイト１２０に位置する認証サーバ３０５から、エンジニアリンググループの宛先グループ識別子２０００を学習した可能性がある。ステップ３５０で、ローカルファブリック制御プレーンコントローラ２０７は、宛先エッジルータ１０２に応答を送信し得る。ステップ３６０で、宛先エッジルータは、制御メッセージをソースエッジルータ１０１に送信し得、ここで、制御メッセージは、エンジニアリンググループの識別子２０００を含み得る。制御メッセージを受信すると、ソースエッジルータ１０１は、エンジニアリンググループが宛先グループであると判定し得る。ソースエッジルータ１０１は、ソースグループアイデンティティおよび宛先グループアイデンティティの両方を知っているため、ソースエッジルータ１０１は、１つ以上の適切なポリシーをデータパケットに適用し得る。ソースエッジルータ１０１は、アンダーレイネットワーク１３０を介してデータパケットを宛先エッジルータ１０２に転送し得る。宛先エッジルータ１０２は、ステップ３８０で、第２のホスト１２１に接続されたスイッチ３０３にデータパケットを転送し得る。スイッチ３０３は、ステップ３９０で、データパケットを第２のホスト１２１に転送し得る。本開示は、宛先エッジルータから宛先グループ識別子を特定の様式でフェッチすることを説明しているが、本開示は、宛先エッジルータから宛先グループ識別子を任意の好適な様式でフェッチすることを企図している。

特定の実施形態では、ステップ３３０で送信される要求およびステップ３６０で送信される応答は、秩序ある管理プロトコル（ＯＭＰ）を介して送信される制御メッセージであり得る。ＯＭＰは、オーバーレイネットワークの心臓部を形成する新しく導入されたプロトコルである。ＯＭＰは、エッジルータと制御プレーンコントローラとの間に形成された、トランスポート層セキュリティ（ＴＬＳ）トンネルまたはデータグラムトランスポート層セキュリティ（ＤＴＬＳ）トンネル内で実行されるプロトコルである。ＯＭＰは、オーバーレイネットワーク内のコントローラとエッジルータとの間で、ルーティング、ポリシー、および管理情報を交換するために使用される制御プロトコルである。本開示は、制御メッセージを特定の様式で送信することを説明しているが、本開示は、制御メッセージを任意の好適切な様式で送信することを企図している。

特定の実施形態では、ステップ３３０で送信される要求およびステップ３６０で送信される応答は、ウェブソケットを介して送信される制御メッセージであり得る。ウェブソケットは通信プロトコルであり、単一のＴＣＰ接続を介して全二重通信チャネルを提供する。ウェブソケットは、ＴＣＰ上でメッセージのストリームを有効にする。ＴＣＰ単独で、メッセージの固有の概念を有さないバイトのストリームを処理する。本開示は、制御メッセージを特定の様式で送信することを説明しているが、本開示は、制御メッセージを任意の好適な様式で送信することを企図している。

特定の実施形態では、第２のネットワークノードは、ＳＤ－ＷＡＮファブリック制御プレーンコントローラ１０５であり得る。第２のネットワークノードは、ネットワーク内のホストと関連付けられたグループ識別子を維持し得る。第１のネットワークノード１０１は、第２のネットワークノードから第２のグループの識別子を含む応答を受信し得る。図４は、ＳＤ－ＷＡＮファブリック制御プレーンから宛先グループをフェッチするための例示的なフローを示している。限定としてではなく、一例として、図４に示すように、ＳＤ－ＷＡＮファブリック制御プレーン内のコントローラ１０５は、第１のホスト１１１が認証手順を実行するとき、第１のホスト１１１と関連付けられた第１のグループの識別子と関連付けられた情報を、第１のサイト１１０の認証サーバ２０５から受信し得る。コントローラ１０５は、第２のホスト１２１が認証手順を実行するとき、第２のホスト１２１と関連付けられた第２のグループの識別子と関連付けられた情報を、第２のサイト１２０の認証サーバ３０５から受信し得る。第１のホスト１１１がデータパケットを第２のホスト１２１に送信するとき、データパケットは、ステップ４１０において、第１のホスト１１１に接続されたスイッチ２０３に転送され得る。スイッチ２０３は、ソースグループとして第１のグループの識別子をデータパケットに追加し、ステップ４２０で、データパケットをソースエッジルータ１０１に転送し得る。ソースエッジルータ１０１は、ローカルデータベース内の第２のホスト１２１、宛先ホストのＩＰアドレスを検索することによって、宛先グループの識別子を判定しようと試み得る。ソースエッジルータ１０１が第２のホスト１２１のＩＰアドレスのレコードを見つけることができない場合、ソースエッジルータ１０１は、ステップ４３０で、ＳＤ－ＷＡＮファブリック制御プレーン内のコントローラ１０５に要求を送信し得る。要求は、宛先ホスト、すなわち第２のホスト１２１のＩＰアドレスを含み得る。コントローラ１０５は、それ自体のデータベースから第２のグループの識別子を見つけ得る。コントローラ１０５は、ステップ４４０で、第２のグループの識別子をソースエッジルータ１０１に応答し得る。ステップ４３０およびステップ４４０での要求および応答は、制御プレーンメッセージであり得る。ソースエッジルータ１０１は、受信した識別子に基づいて、第２のグループが宛先グループであると判定し得る。ソースエッジルータ１０１は、宛先グループアイデンティティに基づいて、データパケットに対応するポリシーを決定し得る。特定の実施形態では、ソースエッジルータ１０１は、第１のグループアイデンティティに基づいて、データパケットに対応するポリシーを決定し得る。ソースエッジルータ１０１は、決定されたポリシーをデータパケットに適用し得る。ステップ４５０で、ソースエッジルータ１０１は、データパケットが、アンダーレイネットワーク１３０を介して宛先エッジルータ１０２に配信されるようにし得る。宛先エッジルータ１０２は、宛先ホスト、すなわち、そのローカルデータベース内の第２のホスト１２１のＩＰアドレスを検索することによって、宛先グループアイデンティティを判定しようと試み得る。宛先エッジルータ１０２がローカルデータベース内の宛先ＩＰアドレスを検索できない場合、宛先エッジルータ１０２は、コントローラ１０５に、図４に示されない要求を送信し得る。宛先エッジルータ１０２は、宛先グループアイデンティティに基づいて、データパケットに対応するポリシーを決定し得る。特定の実施形態では、宛先エッジルータ１０２は、ソースグループアイデンティティに基づいて、データパケットに対応するポリシーを決定し得る。宛先エッジルータ１０２は、ポリシーをデータパケットに適用し得る。ステップ４６０で、宛先エッジルータ１０２は、データパケットを第２のホスト１２１に接続されたスイッチ３０３に転送し得る。ステップ４７０で、スイッチは、データパケットを第２のホスト１２１に転送し得る。本開示は、ＳＤ－ＷＡＮファブリック制御プレーンから宛先グループ識別子を特定の様式でフェッチすることを説明しているが、本開示は、ＳＤ－ＷＡＮファブリック制御プレーンから宛先グループ識別子を任意の好適な様式でフェッチすることを企図している。

特定の実施形態では、第１のネットワークノード１０１は、データパケットに対応する１つ以上のポリシーを決定し得る。特定の実施形態では、１つ以上のポリシーは、宛先グループと関連付けられ得る。特定の実施形態では、１つ以上のポリシーは、ソースグループと関連付けられ得る。第１のネットワークノード１０１は、１つ以上のポリシーをデータパケットに適用し得る。図５は、データパケットのポリシーの例示的な決定を示している。限定としてではなく、一例として、図５に示すように、ソースエッジルータ１０１は、ポリシーエンジン５０１を利用して、データパケットに対応する１つ以上のポリシーを決定し得る。特定の実施形態では、ポリシーエンジン５０１は、ソースエッジルータ１０１内にあり得る。特定の実施形態では、ポリシーエンジン５０１は、ソースエッジルータ１０１から離れた場所に位置し得る。ソースエッジルータ１０１は、データパケットに対応するソースグループの識別子をポリシーエンジン５０１に入力として提供し得る。ソースエッジルータ１０１は、データパケットに対応する宛先グループの識別子をポリシーエンジン５０１に入力として提供し得る。ポリシーエンジン５０１は、データパケットに対応する１つ以上のポリシーを生成し得る。１つ以上のポリシーは、アドミッション制御、ルーティングパス選択、セキュリティポリシー、サービス品質（ＱｏＳ）サービス、およびトラフィックポリシングを含み得る。ソースエッジルータ１０１は、決定された１つ以上のポリシーをデータパケットに適用し得る。ＳＤ－ＷＡＮネットワーク１００内のルーティングパス中の任意のルータは、データパケットに対応する１つ以上のポリシーを決定し、１つ以上のポリシーをデータパケットに適用し得る。本開示は、特定の様式で、データパケットに対応する１つ以上のポリシーを決定し、ポリシーをデータパケットに適用することを説明しているが、本開示は、任意の好適な様式で、データパケットに対応する１つ以上のポリシーを決定し、ポリシーをデータパケットに適用することを企図している。

特定の実施形態では、１つ以上のポリシーは、アドミッション制御を含み得る。ネットワーク１００は、ソースグループアイデンティティに基づいて、宛先グループアイデンティティに基づいて、またはソースグループと宛先グループとの組み合わせに基づいて、ネットワークにアクセスするためのトラフィックを制限し得る。限定としてではなく、一例として、ポリシーエンジン５０１は、判定されたソースグループアイデンティティおよび／または判定された宛先グループアイデンティティに基づいて、データパケットがＳＤ－ＷＡＮネットワーク１００を介してルーティングされることを拒否し得る。次に、ソースルータ１０１は、データパケットをＳＤ－ＷＡＮネットワーク１００を介してルーティングさせることなく、データパケットをドロップし得る。本開示は、データパケットにアドミッション制御ポリシーを特定の様式で施行することを説明しているが、本開示は、データパケットにアドミッション制御ポリシーを任意の好適な様式で施行することを企図している。

特定の実施形態では、１つ以上のポリシーは、ルーティングパス選択を含み得る。ルーティングパス選択は、宛先グループアイデンティティに基づいて実行され得る。特定の実施形態では、ルーティングパス選択は、ソースグループアイデンティティに基づいて実行され得る。動的ルーティングは、ＳＤ－ＷＡＮの主要な特性のうちの１つであり得る。第１のネットワークノード１０１は、ソースグループアイデンティティおよび／または宛先グループアイデンティティに基づいて、複数の利用可能なルーティングパスのうちの１つを介してデータパケットをルーティングし得る。限定としてではなく、一例として、ポリシーエンジン５０１は、ソースグループアイデンティティおよび／または宛先グループアイデンティティに基づいて、データパケットのルーティングパスを生成し得る。ソースエッジルータ１０１は、データパケットが、生成されたルーティングパスを介して、宛先エッジルータ１０２に向かってルーティングされるようにし得る。本開示は、特定の様式で少なくとも宛先グループアイデンティティに基づいてルーティングパス選択を施行することを説明しているが、本開示は、任意の好適切な様式で少なくとも宛先グループアイデンティティに基づいてルーティングパス選択を施行することを企図している。

特定の実施形態では、１つ以上のポリシーは、セキュリティポリシーを含み得る。セキュリティポリシーは、宛先グループアイデンティティに基づいて決定され得る。特定の実施形態では、セキュリティポリシーは、ソースグループアイデンティティに基づいて決定され得る。限定としてではなく、一例として、ポリシーエンジン５０１は、ソースグループアイデンティティおよび／または宛先グループアイデンティティに基づいて、データパケットのためのファイアウォールルールのセットを生成し得る。ソースエッジルータ１０１は、生成されたファイアウォールルールをデータパケットに適用し得る。特定の実施形態では、データパケットが生成されたファイアウォールルールを満たさない場合、ソースエッジルータ１０１はデータパケットをドロップし得る。本開示は、特定の様式で少なくとも宛先グループアイデンティティに基づいてデータパケットにセキュリティポリシーを施行することを説明しているが、本開示は、任意の好適な様式で少なくとも宛先グループアイデンティティに基づいてデータパケットにセキュリティポリシーを施行することを企図している。

特定の実施形態では、１つ以上のポリシーは、サービス品質（ＱｏＳ）ポリシーを含み得る。ＱｏＳポリシーは、宛先グループアイデンティティに基づいて決定され得る。特定の実施形態では、ＱｏＳポリシーは、ソースグループアイデンティティに基づいて決定され得る。データパケットのＱｏＳクラスに基づいて、複数のＱｏＳパラメータが判定され得る。ＱｏＳクラスは、ソースグループアイデンティティおよび／または宛先グループアイデンティティに基づいて判定され得る。限定としてではなく、一例として、ポリシーエンジン５０１は、データパケットがソースグループアイデンティティおよび／または宛先グループアイデンティティに基づいて、ベストエフォートクラスのトラフィックであると判定し得る。ソースエッジルータ１０１は、ベストエフォートクラスのトラフィックと関連付けられた複数のＱｏＳパラメータをデータパケットに適用し得る。本開示は、特定の様式で少なくとも宛先グループアイデンティティに基づいてＱｏＳポリシーを施行することを説明しているが、本開示は、任意の好適な様式で少なくとも宛先グループアイデンティティに基づいてＱｏＳポリシーを施行することを企図している。

特定の実施形態では、１つ以上のポリシーは、所定の最大データレートを施行し得るトラフィックポリシングを含み得る。所定の最大データレートは、宛先グループアイデンティティに基づいて決定され得る。特定の実施形態では、所定の最大データレートは、ソースグループアイデンティティに基づいて決定され得る。限定としてではなく、一例として、ポリシーエンジン５０１は、第１のグループから第２のグループへのトラフィックの最大データレートが１００Ｍｂｐｓであると決定し得る。ソースエッジルータ１０１は、第１のホスト１１１から第２のホスト１２１へのトラフィックに対して決定された最大データレートを施行し得る。本開示は、特定の様式で少なくとも宛先グループアイデンティティに基づいて最大データレートを施行することを説明しているが、本開示は、任意の好適な様式で少なくとも宛先グループアイデンティティに基づいて最大データレートを施行することを企図している。

特定の実施形態では、第１のネットワークノード１０１は、データパケットを第２のホスト１２１にルーティングさせ得る。限定としてではなく、一例として、ソースエッジルータ１０１は、データパケットを、アンダーレイネットワーク１３０を介するソースエッジルータ１０１と宛先エッジルータ１０２との間の１つ以上のＩＰＳｅｃトンネルのうちの１つを介して宛先エッジルータ１０２にルーティングさせ得る。データパケットを受信すると、宛先エッジルータ１０２は、第２のサイト１２０のローカルルーティングポリシーに基づいて、データパケットを第２のホスト１２１に向けてルーティングし得る。本開示は、データパケットを特定の様式で宛先ホストにルーティングさせることを説明しているが、本開示は、データパケットを任意の好適な様式で宛先ホストにルーティングさせることを企図している。

特定の実施形態では、第１のネットワークノード１０１は、第２のホスト１２１から第１のホスト１１１に向けた第２のデータパケットを受信し得る。第１のネットワークノード１０１は、第２のデータパケット内のソースグループ識別子フィールドに基づいてソースグループ識別子を識別し得る。特定の実施形態では、第１のネットワークノード１０１は、ソースグループ識別子がレコード内の第２のグループ識別子と同一ではないと判定し得る。判定に応答して、第１のネットワークノード１０１は、レコード内の第２のグループの識別子をソースグループ識別子で更新し得る。限定としてではなく、一例として、第１のホスト１１１から第１のデータパケットを受信すると、第２のホスト１２１は、第２のデータパケットで第１のホスト１１１に応答し得る。第２のデータパケットは、第１のサイト１１０内の第１のエッジルータ１０１に到着し得る。第１のエッジルータ１０１は、第２のデータパケットにファイルされたソースグループ識別子に基づいて、第２のデータパケットのソースグループ識別子を判定し得る。第１のエッジルータ１０１は、第２のデータパケットのソースグループ識別子を、ローカルデータベース内の第２のホスト１２１に対応する第２のグループ識別子と比較し得る。ソースグループ識別子がローカルデータベース内の第２のグループ識別子と一致しない場合、第１のエッジルータ１０１は、ローカルデータベース内の第２のグループ識別子を第２のデータパケットのソースグループ識別子で更新し得る。本開示は、特定の様式でリモートホストから発信されたデータパケットに基づいてリモートホストのグループ識別子を更新することを説明しているが、本開示は、任意の好適な様式でリモートホストから発信されたデータパケットに基づいてリモートホストのグループ識別子を更新することを企図している。

図６は、ＳＤ－ＷＡＮエッジルータにおいて宛先グループアイデンティティに基づいてポリシーを施行するための例示的な方法６００を示している。この方法は、ステップ６１０で開始し得、ここで、ネットワークの第１のサイトで動作するように構成された第１のネットワークノードは、第１のサイトに位置する第１のホストから第２のサイトに位置する第２のホストに向けたデータパケットを受信し得る。第１のサイトと第２のサイトは、異なり得る。ステップ６２０で、第１のネットワークノードは、第２のホストが属する第２のグループのアイデンティティが第１のネットワークノードで利用可能であるかどうかを判定し得る。ステップ６３０で、第１のネットワークノードは、判定に応答して、第２のグループの識別子の要求を第２のネットワークノードに送信し得る。要求は、第２のホストのアドレスを含み得る。ステップ６４０で、第１のネットワークノードは、第２のネットワークノードから第２のグループの識別子を含む応答を受信し得る。第１のネットワークノードは、受信した識別子に基づいて、第２のグループが宛先グループであると判定し得る。ステップ６５０で、第１のネットワークノードは、宛先グループと関連付けられた１つ以上のポリシーをデータパケットに適用し得る。ステップ６６０で、第１のネットワークノードは、データパケットが第２のホストにルーティングされるようにし得る。特定の実施形態は、適切な場合、図６の方法の１つ以上のステップを繰り返し得る。本開示は、図６の方法の特定のステップを、特定の順序で発生するものとして説明および図示しているが、本開示は、図６の方法の任意の好適なステップは任意の好適切な順序で発生するものとして企図している。さらに、本開示は、図６の方法の特定のステップを含む、ＳＤ－ＷＡＮエッジルータにおける宛先グループアイデンティティに基づいてポリシーを施行するための例示的な方法を説明および図示しているが、本開示は、適切な場合、図６の方法のステップのすべて、一部を含む、またはすべてを含まない場合を含み得る、任意の好適なステップを含む、ＳＤ－ＷＡＮエッジルータにおける宛先グループアイデンティティに基づいてポリシーを施行するための任意の好適な方法を企図している。さらに、本開示は、図６の方法の特定のステップを実行する特定の構成要素、デバイス、またはシステムを説明および図示しているが、本開示は、図６の方法の任意の好適なステップを実行する任意の好適な構成要素、デバイス、またはシステムの任意の好適な組み合わせを企図している。

システムおよび方法
図７は、例示的なコンピュータシステム７００を示している。特定の実施形態では、１つ以上のコンピュータシステム７００は、本明細書に記載または例解されている１つ以上の方法の１つ以上のステップを実行する。特定の実施形態では、１つ以上のコンピュータシステム７００は、本明細書で記載または例解されている機能を提供する。特定の実施形態では、１つ以上のコンピュータシステム７００上で実行されるソフトウェアは、本明細書に記載もしくは例解されている１つ以上の方法の１つ以上のステップを実行するか、または本明細書に記載もしくは例解されている機能を提供する。特定の実施形態は、１つ以上のコンピュータシステム７００の１つ以上の部分を含む。本明細書では、コンピュータシステムへの言及は、適切な場合、コンピューティングデバイスを包含し得、逆もまた同様である。さらに、コンピュータシステムへの言及は、適切な場合、１つ以上のコンピュータシステムを包含し得る。

本開示は、任意の好適な数のコンピュータシステム７００を企図している。本開示は、任意の好適な物理的形態を採るコンピュータシステム７００を企図している。限定としてではなく、例として、コンピュータシステム７００は、組み込みコンピュータシステム、システムオンチップ（ＳＯＣ）、シングルボードコンピュータシステム（ＳＢＣ）（例えば、コンピュータオンモジュール（ＣＯＭ）またはシステムオンモジュール（ＳＯＭ）など）、デスクトップコンピュータシステム、ラップトップもしくはノートブックコンピュータシステム、インタラクティブキオスク、メインフレーム、コンピュータシステムのメッシュ、携帯電話、パーソナルデジタルアシスタント（ＰＤＡ）、サーバ、タブレットコンピュータシステム、拡張／仮想現実デバイス、またはこれらのうちの２つ以上の組み合わせであり得る。適切な場合、コンピュータシステム７００は、１つ以上のコンピュータシステム７００を含むか、単一もしくは分散であるか、複数の場所にまたがるか、複数のマシンにまたがるか、複数のデータセンターにまたがるか、または１つ以上のネットワーク内に１つ以上のクラウド構成要素を含み得るクラウド内に存在し得る。適切な場合、１つ以上のコンピュータシステム７００は、実質的な空間的または時間的制限なしに、本明細書に記載または例解されている１つ以上の方法の１つ以上のステップを実行し得る。限定としてではなく、一例として、１つ以上のコンピュータシステム７００は、本明細書に記載または例解されている１つ以上の方法の１つ以上のステップをリアルタイムまたはバッチモードで実行し得る。１つ以上のコンピュータシステム７００は、適切な場合、本明細書に記載または例解されている１つ以上の方法の１つ以上のステップを、異なる時間または異なる場所において実行し得る。

特定の実施形態では、コンピュータシステム７００は、プロセッサ７０２、メモリ７０４、ストレージ７０６、入力／出力（Ｉ／Ｏ）インターフェース７０８、通信インターフェース７１０、およびバス７１２を含む。本開示は、特定の配置で特定の数の特定の構成要素を有する特定のコンピュータシステムを説明および図示するが、本開示は、任意の好適な配置で任意の好適な数の任意の好適な構成要素を有する任意の好適なコンピュータシステムを企図する。

特定の実施形態では、プロセッサ７０２は、コンピュータプログラムを構成するものなどの命令を実行するためのハードウェアを含む。限定としてではなく、一例として、命令を実行するために、プロセッサ７０２は、内部レジスタ、内部キャッシュ、メモリ７０４、またはストレージ７０６から命令を取り出し（またはフェッチし）、それらをデコードして実行し、次に、１つ以上の結果を、内部レジスタ、内部キャッシュ、メモリ７０４、またはストレージ７０６に書き込み得る。特定の実施形態では、プロセッサ７０２は、データ、命令、またはアドレスのための１つ以上の内部キャッシュを含み得る。本開示は、適切な場合、任意の好適な数の任意の好適な内部キャッシュを含むプロセッサ７０２を企図する。限定としてではなく、一例として、プロセッサ７０２は、１つ以上の命令キャッシュ、１つ以上のデータキャッシュ、および１つ以上のトランスレーション・ルックアサイド・バッファ（ＴＬＢ）を含み得る。命令キャッシュ内の命令は、メモリ７０４またはストレージ７０６内の命令のコピーであり得、命令キャッシュは、プロセッサ７０２によるそれらの命令の取り出しを高速化し得る。データキャッシュ内のデータは、プロセッサ７０２において実行される命令が動作するためのメモリ７０４またはストレージ７０６内のデータのコピーであるか、プロセッサ７０２において実行される後続の命令によるアクセスのために、またはメモリ７０４もしくはストレージ７０６への書き込みのために、プロセッサ７０２において実行された前の命令の結果であるか、あるいは他の好適なデータであり得る。データキャッシュは、プロセッサ７０２による読み取りまたは書き込み動作を高速化し得る。ＴＬＢは、プロセッサ７０２の仮想アドレス変換を高速化し得る。特定の実施形態では、プロセッサ７０２は、データ、命令、またはアドレスのための１つ以上の内部レジスタを含み得る。本開示は、適切な場合、任意の好適な数の任意の好適な内部レジスタを含むプロセッサ７０２を企図する。適切な場合、プロセッサ７０２は、１つ以上の算術論理ユニット（ＡＬＵ）を含むか、マルチコアプロセッサであるか、または１つ以上のプロセッサ７０２を含み得る。本開示は、特定のプロセッサを説明および図示するが、本開示は、任意の好適なプロセッサを企図している。

特定の実施形態では、メモリ７０４は、プロセッサ７０２が実行するための命令、またはプロセッサ７０２が動作するためのデータを記憶するためのメインメモリを含む。限定としてではなく、一例として、コンピュータシステム７００は、ストレージ７０６または別のソース（例えば、別のコンピュータシステム７００など）からメモリ７０４に命令をロードし得る。次に、プロセッサ７０２は、メモリ７０４から内部レジスタまたは内部キャッシュに命令をロードし得る。命令を実行するために、プロセッサ７０２は、内部レジスタまたは内部キャッシュから命令を取り出し、それらをデコードし得る。命令の実行中または実行後に、プロセッサ７０２は、（中間または最終結果であり得る）１つ以上の結果を内部レジスタまたは内部キャッシュに書き込み得る。次に、プロセッサ７０２は、それらの結果のうちの１つ以上をメモリ７０４に書き込み得る。特定の実施形態では、プロセッサ７０２は、（ストレージ７０６または他の場所とは対照的に）１つ以上の内部レジスタもしくは内部キャッシュまたはメモリ７０４内の命令のみを実行し、（ストレージ７０６または他の場所とは対照的に）１つ以上の内部レジスタもしくは内部キャッシュまたはメモリ７０４内のデータのみに対して動作する。（各々がアドレスバスおよびデータバスを含み得る）１つ以上のメモリバスは、プロセッサ７０２をメモリ７０４に結合し得る。バス７１２は、以下に説明するように、１つ以上のメモリバスを含み得る。特定の実施形態では、１つ以上のメモリ管理ユニット（ＭＭＵ）が、プロセッサ７０２とメモリ７０４との間に存在し、プロセッサ７０２によって要求されるメモリ７０４へのアクセスを容易にする。特定の実施形態では、メモリ７０４は、ランダムアクセスメモリ（ＲＡＭ）を含む。このＲＡＭは、適切な場合、揮発性メモリであり得る。適切な場合、このＲＡＭは、ダイナミックＲＡＭ（ＤＲＡＭ）またはスタティックＲＡＭ（ＳＲＡＭ）であり得る。さらに、適切な場合、このＲＡＭは、シングルポートまたはマルチポートのＲＡＭであり得る。本開示は、任意の好適なＲＡＭを企図している。メモリ７０４は、適切な場合、１つ以上のメモリ７０４を含み得る。本開示は、特定のメモリを説明および図示するが、本開示は、任意の好適なメモリを企図している。

特定の実施形態では、ストレージ７０６は、データまたは命令のための大容量ストレージを含む。限定としてではなく、一例として、ストレージ７０６は、ハードディスクドライブ（ＨＤＤ）、フロッピーディスクドライブ、フラッシュメモリ、光ディスク、磁気光学ディスク、磁気テープ、もしくはユニバーサルシリアルバス（ＵＳＢ）ドライブ、またはこれらのうちの２つ以上の組み合わせを含み得る。ストレージ７０６は、適切な場合、取り外し可能または取り外し不可能な（もしくは固定された）媒体を含み得る。ストレージ７０６は、適切な場合、コンピュータシステム７００の内部または外部にあってもよい。特定の実施形態では、ストレージ７０６は、不揮発性のソリッドステートメモリである。特定の実施形態では、ストレージ７０６は、読み取り専用メモリ（ＲＯＭ）を含む。適切な場合、このＲＯＭは、マスクプログラムＲＯＭ、プログラム可能ＲＯＭ（ＰＲＯＭ）、消去可能ＰＲＯＭ（ＥＰＲＯＭ）、電気的消去可能ＰＲＯＭ（ＥＥＰＲＯＭ）、電気的変更可能ＲＯＭ（ＥＡＲＯＭ）、もしくはフラッシュメモリ、またはこれらのうちの２つ以上の組み合わせであり得る。本開示は、任意の好適な物理的形態を採る大容量ストレージ７０６を企図している。ストレージ７０６は、適切な場合、プロセッサ７０２とストレージ７０６との間の通信を容易にする１つ以上のストレージ制御ユニットを含み得る。適切な場合、ストレージ７０６は、１つ以上のストレージ７０６を含み得る。本開示は、特定のストレージを説明および図示するが、本開示は、任意の好適なストレージを企図している。

特定の実施形態では、Ｉ／Ｏインターフェース７０８は、ハードウェア、ソフトウェア、またはそれらの両方を含み、コンピュータシステム７００と１つ以上のＩ／Ｏデバイスとの間の通信のための１つ以上のインターフェースを提供する。コンピュータシステム７００は、適切な場合、これらのＩ／Ｏデバイスのうちの１つ以上を含み得る。これらのＩ／Ｏデバイスのうちの１つ以上は、人とコンピュータシステム７００との間の通信を可能にし得る。限定としてではなく、一例として、Ｉ／Ｏデバイスは、キーボード、キーパッド、マイクロフォン、モニタ、マウス、プリンタ、スキャナ、スピーカ、スチルカメラ、スタイラス、タブレット、タッチスクリーン、トラックボール、ビデオカメラ、別の好適なＩ／Ｏデバイス、またはこれらのうちの２つ以上の組み合わせを含み得る。Ｉ／Ｏデバイスは、１つ以上のセンサを含み得る。本開示は、任意の好適なＩ／Ｏデバイス、およびそれらのための任意の好適なＩ／Ｏインターフェース７０８を企図している。適切な場合、Ｉ／Ｏインターフェース７０８は、プロセッサ７０２がこれらのＩ／Ｏデバイスのうちの１つ以上を駆動することを可能にする、１つ以上のデバイスまたはソフトウェアドライバを含み得る。Ｉ／Ｏインターフェース７０８は、適切な場合、１つ以上のＩ／Ｏインターフェース７０８を含み得る。本開示は、特定のＩ／Ｏインターフェースを説明および図示するが、本開示は、任意の好適なＩ／Ｏインターフェースを企図している。

特定の実施形態では、通信インターフェース７１０は、コンピュータシステム７００と、１つ以上の他のコンピュータシステム７００または１つ以上のネットワークとの間の通信（例えば、パケットベースの通信など）のための１つ以上のインターフェースを提供するハードウェア、ソフトウェア、またはそれらの両方を含む。限定としてではなく、一例として、通信インターフェース７１０は、イーサネットもしくは他の有線ベースのネットワークと通信するためのネットワークインターフェースコントローラ（ＮＩＣ）もしくはネットワークアダプタ、またはＷＩ－ＦＩネットワークなどの無線ネットワークと通信するための無線ＮＩＣ（ＷＮＩＣ）もしくは無線アダプタを含み得る。本開示は、任意の好適なネットワーク、およびそれのための任意の適切な通信インターフェース７１０を企図している。限定としてではなく、一例として、コンピュータシステム７００は、アドホックネットワーク、パーソナルエリアネットワーク（ＰＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、もしくはインターネットの１つ以上の部分、またはこれらのうちの２つ以上の組み合わせと通信し得る。これらのネットワークのうちの１つ以上の１つ以上の部分は、有線または無線であり得る。一例として、コンピュータシステム７００は、無線ＰＡＮ（ＷＰＡＮ）（例えば、ＢＬＵＥＴＯＯＴＨＷＰＡＮなど）、ＷＩ－ＦＩネットワーク、ＷＩ－ＭＡＸネットワーク、携帯電話ネットワーク（例えば、グローバルシステムフォーモバイルコミュニケーションズ（ＧＳＭ）ネットワーク、ロングタームエボリューション（ＬＴＥ）ネットワーク、もしくは５Ｇネットワークなど）、または他の好適な無線ネットワーク、あるいはこれらのうちの２つ以上の組み合わせと通信し得る。コンピュータシステム７００は、適切な場合、これらのネットワークのいずれかのための任意の好適な通信インターフェース７１０を含み得る。通信インターフェース７１０は、適切な場合、１つ以上の通信インターフェース７１０を含み得る。本開示は、特定の通信インターフェースを説明および図示するが、本開示は、任意の好適な通信インターフェースを企図している。

特定の実施形態では、バス７１２は、コンピュータシステム７００の構成要素を互いに結合するハードウェア、ソフトウェア、またはそれらの両方を含む。限定としてではなく、一例として、バス７１２は、アクセラレーテッドグラフィックスポート（ＡＧＰ）もしくは他のグラフィックスバス、拡張業界標準アーキテクチャ（ＥＩＳＡ）バス、フロントサイドバス（ＦＳＢ）、ＨＹＰＥＲＴＲＡＮＳＰＯＲＴ（ＨＴ）相互接続、業界標準アーキテクチャ（ＩＳＡ）バス、ＩＮＦＩＮＩＢＡＮＤ相互接続、低ピンカウント（ＬＰＣ）バス、メモリバス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、周辺構成要素相互接続（ＰＣＩ）バス、ＰＣＩ－Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バス、シリアルアドバンストテクノロジーアタッチメント（ＳＡＴＡ）バス、ビデオ電子装置標準化協会ローカル（ＶＬＢ）バス、または別の好適なバス、あるいはこれらのうちの２つ以上の組み合わせを含み得る。バス７１２は、適切な場合、１つ以上のバス７１２を含み得る。本開示は、特定のバスを説明および図示するが、本開示は、任意の好適なバスまたは相互接続を企図している。

要約すると、一実施形態では、方法は、第１のサイトに位置する第１のホストから、データパケットを受信することであって、データパケットは、第１のサイトと異なり得る第２のサイトに位置する第２のホストに向けたものであり得る、受信することと、第２のネットワーク装置に、第２のグループの識別子の要求を送信することであって、要求は、第２のホストのアドレスを含み得る、送信することと、第２のネットワーク装置から、第２のグループの識別子を含む応答を受信することと、第２のグループが宛先グループであると判定することと、データパケットに、宛先グループと関連付けられた１つ以上のポリシーを適用することと、データパケットが第２のホストにルーティングされるようにすることと、を含む。

本明細書では、１つ以上のコンピュータ可読非一時的記憶媒体は、適切な場合、１つ以上の半導体ベースもしくは他の集積回路（ＩＣ）（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または特定用途向けＩＣ（ＡＳＩＣ）など）、ハードディスクドライブ（ＨＤＤ）、ハイブリッドハードドライブ（ＨＨＤ）、光ディスク、光ディスクドライブ（ＯＤＤ）、磁気光学ディスク、磁気光学ドライブ、フロッピーディスケット、フロッピーディスクドライブ（ＦＤＤ）、磁気テープ、ソリッドステートドライブ（ＳＳＤ）、ＲＡＭドライブ、ＳＥＣＵＲＥＤＩＧＩＴＡＬカードもしくはドライブ、任意の他の好適なコンピュータ可読非一時的記憶媒体、またはこれらのうちの２つ以上の任意の好適な組み合わせを含み得る。コンピュータ可読非一時的記憶媒体は、適切な場合、揮発性、不揮発性、または揮発性と不揮発性の組み合わせであり得る。

本明細書では、「または」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、包括的であり、排他的ではない。したがって、本明細書において、「ＡまたはＢ」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、「Ａ、Ｂ、またはその両方」を意味する。さらに、「および」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、一緒および個別の両方である。したがって、本明細書において、「ＡおよびＢ」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、「連帯的または個別的に、ＡおよびＢ」を意味する。

本開示の範囲は、当業者が理解するであろう、本明細書で説明または図示された例示的な実施形態に対するすべての変更、置換、変形、改変、および修正を包含する。本開示の範囲は、本明細書で説明または図示された例示的な実施形態に限定されない。さらに、本開示は、本明細書のそれぞれの実施形態が特定の構成要素、要素、特徴、機能、動作、またはステップを含むものとして説明および図示するが、これらの実施形態のいずれも、当業者であれば理解するであろう、本明細書のどこかで説明または図示する構成要素、要素、特徴、機能、動作、またはステップのいずれかの任意の組み合わせまたは置換を含むことができる。さらに、特定の機能を実施するように適合される、配置される、可能にする、構成されている、有効にする、動作可能である、または動作する装置またはシステムまたは装置の構成要素もしくはシステムに対する添付の特許請求の範囲における言及は、その装置、システム、または構成要素がそのように適合される、配置される、可能にする、構成されている、有効にする、動作可能である、または動作する限り、その特定の機能が起動する、作動する、または解除されているかどうかにかかわらず、その装置、システム、構成要素を包含する。さらに、本開示は、特定の実施形態を、特定の利点を提供するものとして記載または例解しているが、特定の実施形態は、これらの利点を全く提供しないか、またはそれらの一部、もしくはすべてを提供する場合がある。

Claims

ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置による、方法であって、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、を含み、
前記データパケットが、ソースグループとして前記第１のグループの前記識別子を含み、前記１つ以上のポリシーが、前記ソースグループと関連付けられ、
前記第１のホストに接続されたスイッチが、前記第１のグループの前記識別子を前記データパケットに追加し、前記第１のホストに接続された前記スイッチが、前記第１のホストの認証プロセス中に前記第１のグループの前記識別子を学習する、
方法。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置による、方法であって、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、を含み、
前記第２のネットワーク装置が、前記第２のサイトで動作するように構成されたＷＡＮ－エッジルータであり、
前記第２のネットワーク装置が、前記第２のサイトと関連付けられたローカルファブリック制御プレーンと通信することによって、前記第２のグループの前記識別子を判定する、方法。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置による、方法であって、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、
前記第２のホストから、前記第１のホストに向けた第２のデータパケットを受信することと、
前記第２のデータパケットのソースグループ識別子フィールドに基づいて、ソースグループ識別子を識別することと、
前記ソースグループ識別子がレコード内の前記第２のグループの前記識別子と同一ではないと判定することと、
前記判定に応答して、前記レコード内の前記第２のグループの前記識別子を前記ソースグループ識別子で更新することと、を含む、
方法。
前記第１のネットワーク装置が、前記ネットワークに接続されたワイドエリアネットワーク（ＷＡＮ）－エッジルータであり、前記ネットワークが、複数のサイトを含むソフトウェア定義（ＳＤ）－ＷＡＮである、請求項１～３のいずれか一項に記載の方法。
前記データパケットが、ソースグループとして前記第１のグループの前記識別子を含み、前記１つ以上のポリシーが、前記ソースグループと関連付けられている、請求項２または３に記載の方法。
前記第１のホストに接続されたスイッチが、前記第１のグループの前記識別子を前記データパケットに追加し、前記第１のホストに接続された前記スイッチが、前記第１のホストの認証プロセス中に前記第１のグループの前記識別子を学習する、請求項５に記載の方法。
前記１つ以上のポリシーが、アドミッション制御、ルーティングパス選択、セキュリティポリシー、またはサービス品質（ＱｏＳ）ポリシーのうちの少なくとも１つを含む、請求項１～６のいずれか一項に記載の方法。
前記１つ以上のポリシーが、トラフィックポリシングを含み、所定の最大データレートが施行される、請求項１～７のいずれか一項に記載の方法。
前記第２のグループの前記識別子が、前記第１のネットワーク装置において利用できないと判定することをさらに含む、請求項１～８のいずれか一項に記載の方法。
前記第２のグループの前記識別子が利用できないと判定することが、前記第１のネットワーク装置においてローカルデータベースを検索することを含む、請求項９に記載の方法。
前記要求が、ＯＭＰ（OverlayManagement Protocol）を介して送信された制御メッセージである、請求項１～１０のいずれか一項に記載の方法。
前記要求が、ウェブソケットを介して送信された制御メッセージである、請求項１～１０のいずれか一項に記載の方法。
前記第２のネットワーク装置が、ＷＡＮファブリック制御プレーンであり、前記第２のネットワーク装置が、前記ネットワーク内のホストと関連付けられたグループ識別子を維持する、請求項１～１２のいずれか一項に記載の方法。
前記第２のネットワーク装置が、前記第２のサイトで動作するように構成されたＷＡＮ－エッジルータである、請求項１、３～１２のいずれか一項に記載の方法。
前記第２のネットワーク装置が、前記第２のサイトと関連付けられたローカルファブリック制御プレーンと通信することによって、前記第２のグループの前記識別子を判定する、請求項１４に記載の方法。
前記第２のホストから、前記第１のホストに向けた第２のデータパケットを受信することと、
前記第２のデータパケットのソースグループ識別子フィールドに基づいて、ソースグループ識別子を識別することと、
前記ソースグループ識別子がレコード内の前記第２のグループの前記識別子と同一ではないと判定することと、
前記判定に応答して、前記レコード内の前記第２のグループの前記識別子を前記ソースグループ識別子で更新することと、をさらに含む、請求項１、２、４～１５のいずれか一項に記載の方法。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置であって、
１つ以上のプロセッサと、
前記プロセッサのうちの１つ以上に結合され、かつ命令を含む１つ以上のコンピュータ可読非一時的記憶媒体と、を備え、前記命令が、前記プロセッサのうちの１つ以上によって実行されたときに、システムに、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、をさせるように動作可能であり、
前記データパケットが、ソースグループとして前記第１のグループの前記識別子を含み、前記１つ以上のポリシーが、前記ソースグループと関連付けられ、
前記第１のホストに接続されたスイッチが、前記第１のグループの前記識別子を前記データパケットに追加し、前記第１のホストに接続された前記スイッチが、前記第１のホストの認証プロセス中に前記第１のグループの前記識別子を学習する、
第１のネットワーク装置。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置であって、
１つ以上のプロセッサと、
前記プロセッサのうちの１つ以上に結合され、かつ命令を含む１つ以上のコンピュータ可読非一時的記憶媒体と、を備え、前記命令が、前記プロセッサのうちの１つ以上によって実行されたときに、システムに、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、をさせるように動作可能であり、
前記第２のネットワーク装置が、前記第２のサイトで動作するように構成されたＷＡＮ－エッジルータであり、
前記第２のネットワーク装置が、前記第２のサイトと関連付けられたローカルファブリック制御プレーンと通信することによって、前記第２のグループの前記識別子を判定する、
第１のネットワーク装置。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置であって、
１つ以上のプロセッサと、
前記プロセッサのうちの１つ以上に結合され、かつ命令を含む１つ以上のコンピュータ可読非一時的記憶媒体と、を備え、前記命令が、前記プロセッサのうちの１つ以上によって実行されたときに、システムに、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、
前記第２のホストから、前記第１のホストに向けた第２のデータパケットを受信することと、
前記第２のデータパケットのソースグループ識別子フィールドに基づいて、ソースグループ識別子を識別することと、
前記ソースグループ識別子がレコード内の前記第２のグループの前記識別子と同一ではないと判定することと、
前記判定に応答して、前記レコード内の前記第２のグループの前記識別子を前記ソースグループ識別子で更新することと、を含む、をさせるように動作可能である、
第１のネットワーク装置。
前記第１のネットワーク装置が、前記ネットワークに接続されたＷＡＮ－エッジルータであり、前記ネットワークが、複数のサイトを含むＳＤ－ＷＡＮである、請求項１７～１９のいずれか一項に記載の第１のネットワーク装置。
前記１つ以上のポリシーが、アドミッション制御、ルーティングパス選択、セキュリティポリシー、またはサービス品質（ＱｏＳ）ポリシーのうちの少なくとも１つを含む、請求項１７～２０のいずれか一項に記載の第１のネットワーク装置。
前記プロセッサのうちの１つ以上が、前記命令を実行するときにさらに動作可能であり、前記命令が、
前記第２のホストから、前記第１のホストに向けた第２のデータパケットを受信することと、
前記第２のデータパケットのソースグループ識別子フィールドに基づいて、ソースグループ識別子を識別することと、
前記ソースグループ識別子がレコード内の前記第２のグループの前記識別子と同一ではないと判定することと、
前記判定に応答して、前記レコード内の前記第２のグループの前記識別子を前記ソースグループ識別子で更新することと、である、請求項１７、１８、２０～２１のいずれか一項に記載の第１のネットワーク装置。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置上で動作可能なソフトウェアを具体化する１つ以上のコンピュータ可読非一時的記憶媒体であって、前記ソフトウェアが、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、が実行されたときに動作可能であり、
前記データパケットが、ソースグループとして前記第１のグループの前記識別子を含み、前記１つ以上のポリシーが、前記ソースグループと関連付けられ、
前記第１のホストに接続されたスイッチが、前記第１のグループの前記識別子を前記データパケットに追加し、前記第１のホストに接続された前記スイッチが、前記第１のホストの認証プロセス中に前記第１のグループの前記識別子を学習する、
１つ以上のコンピュータ可読非一時的記憶媒体。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置上で動作可能なソフトウェアを具体化する１つ以上のコンピュータ可読非一時的記憶媒体であって、前記ソフトウェアが、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、が実行されたときに動作可能であり、
前記第２のネットワーク装置が、前記第２のサイトで動作するように構成されたＷＡＮ－エッジルータであり、
前記第２のネットワーク装置が、前記第２のサイトと関連付けられたローカルファブリック制御プレーンと通信することによって、前記第２のグループの前記識別子を判定する、
１つ以上のコンピュータ可読非一時的記憶媒体。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置上で動作可能なソフトウェアを具体化する１つ以上のコンピュータ可読非一時的記憶媒体であって、前記ソフトウェアが、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信することであって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定されることと、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信することであって、前記要求が、前記第２のホストのアドレスを含むことと、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信することと、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定することと、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用することと、
前記データパケットが前記第２のホストにルーティングされるようにすることと、
前記第２のホストから、前記第１のホストに向けた第２のデータパケットを受信することと、
前記第２のデータパケットのソースグループ識別子フィールドに基づいて、ソースグループ識別子を識別することと、
前記ソースグループ識別子がレコード内の前記第２のグループの前記識別子と同一ではないと判定することと、
前記判定に応答して、前記レコード内の前記第２のグループの前記識別子を前記ソースグループ識別子で更新することと、が実行されたときに動作可能である、
１つ以上のコンピュータ可読非一時的記憶媒体。
前記第１のネットワーク装置が、前記ネットワークに接続されたＷＡＮ－エッジルータであり、前記ネットワークが、複数のサイトを含むＳＤ－ＷＡＮである、請求項２３～２５のいずれか一項に記載の媒体。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置であって、前記動作が、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信する手段であって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定される、受信する手段と、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信する手段であって、前記要求が、前記第２のホストのアドレスを含む、送信する手段と、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信する手段と、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定する手段と、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用する手段と、
前記データパケットが前記第２のホストにルーティングされるようにする手段と、であり、
前記データパケットが、ソースグループとして前記第１のグループの前記識別子を含み、前記１つ以上のポリシーが、前記ソースグループと関連付けられ、
前記第１のホストに接続されたスイッチが、前記第１のグループの前記識別子を前記データパケットに追加し、前記第１のホストに接続された前記スイッチが、前記第１のホストの認証プロセス中に前記第１のグループの前記識別子を学習する、
第１のネットワーク装置。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置であって、前記動作が、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信する手段であって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定される、受信する手段と、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信する手段であって、前記要求が、前記第２のホストのアドレスを含む、送信する手段と、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信する手段と、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定する手段と、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用する手段と、
前記データパケットが前記第２のホストにルーティングされるようにする手段と、であり、
前記第２のネットワーク装置が、前記第２のサイトで動作するように構成されたＷＡＮ－エッジルータであり、
前記第２のネットワーク装置が、前記第２のサイトと関連付けられたローカルファブリック制御プレーンと通信することによって、前記第２のグループの前記識別子を判定する、
第１のネットワーク装置。
ネットワークの第１のサイトで動作するように構成された第１のネットワーク装置であって、前記動作が、
前記第１のサイトに位置する第１のホストから、第２のサイトに位置する第２のホストに向けたデータパケットを受信する手段であって、前記第１のサイトと前記第２のサイトとが異なり、前記データパケットが前記第１のホストが属する第１のグループの識別子を含み、前記第１のグループの前記識別子は、前記第１のホストの認証プロセスに基づいて決定される、受信する手段と、
第２のネットワーク装置に、前記第２のホストが属する第２のグループの識別子の要求を送信する手段であって、前記要求が、前記第２のホストのアドレスを含む、送信する手段と、
前記第２のグループの前記識別子の要求を送信することに応答して、前記第２のネットワーク装置から、前記第２のグループの前記識別子を含む応答を受信する手段と、
前記受信した識別子に基づいて、前記第２のグループが宛先グループであると判定する手段と、
前記データパケットに、前記宛先グループと関連付けられた１つ以上のポリシーを適用する手段と、
前記データパケットが前記第２のホストにルーティングされるようにする手段と、
前記第２のホストから、前記第１のホストに向けた第２のデータパケットを受信する手段と、
前記第２のデータパケットのソースグループ識別子フィールドに基づいて、ソースグループ識別子を識別する手段と、
前記ソースグループ識別子がレコード内の前記第２のグループの前記識別子と同一ではないと判定する手段と、
前記判定に応答して、前記レコード内の前記第２のグループの前記識別子を前記ソースグループ識別子で更新する手段とである、
第１のネットワーク装置。
請求項４～１６のいずれか一項に記載の方法を実装するための手段をさらに備える、請求項２７～２９のいずれか一項に記載の第１のネットワーク装置。
コンピュータによって実行されたときに、前記コンピュータに、請求項１～１６のいずれか一項に記載の方法のステップを実行させるための命令を含む、コンピュータプログラム、またはコンピュータ可読媒体。