TW201743587A - 透過控制器管控虛擬覆蓋網路以生成租戶虛擬網路之管控系統及其管控方法 - Google Patents

Abstract

本發明提供一種透過控制器管控虛擬覆蓋網路以生成租戶虛擬網路之管控系統及其管控方法。前述之管控系統包含多租戶虛擬網路建構與管控子系統、虛擬覆蓋網路建構子系統以及多租戶虛擬網路控制器子系統。前述之多租戶虛擬網路建構與管控子系統用於決策多租戶虛擬網路之生成並收集虛擬網路資料，而虛擬覆蓋網路建構子系統，則於網路底層環境建立通訊隧道，以提供多租戶虛擬網路上之虛擬機發送的封包可跨實體機進行溝通，前述之多租戶虛擬網路控制器子系統用於監控虛擬網路資訊，並決策多租戶虛擬網路上之虛擬機發送封包流向。

Description

透過控制器管控虛擬覆蓋網路以生成租戶虛擬網路之管控系統及其管控方法

本發明係針對雲端維運系統中之多租戶虛擬網路(Multi-Tenant Virtual Network)進行生成與管控，透過虛擬覆蓋網路建構子系統生成虛擬覆蓋網路(Virtual Overlay Network)，允許使用者或維運人員建立租戶虛擬網路，並透過虛擬網路控制器(Virtual Network Controller)集中管理虛擬機(Virtual Machine，VM)網路存取與流向，確保虛擬機在租戶虛擬網路內網路連通以及租戶間的虛擬網路完全隔離。

隨著雲端運算技術和虛擬化技術的日益成熟，雲端運算服務需求的快速發展。為了滿足雲端運算服務之彈性移動、可靠性、資訊安全性、隨需服務、高可用性等特性。網路資源與應用模式因而逐漸虛擬化而形成虛擬網路。租戶可以申租獨立虛擬網路，其租戶所屬的虛擬機得以介接在其虛擬網路之上，達成不同租戶間的網路第二層隔離，藉以達成資訊安全性並達成多種應用架構。目前所熟知一般應用於網路第二層隔離技術如下：

(１)虛擬區域網路(Virtual Local Area Network,VLAN)：虛擬區域網路是目前管理實體或虛擬網路中最常見的做法。透過虛擬區域網路可將網路細分成邏輯上的區域網路，針對網路架構中之資料鏈結層(第二層) 進行隔離，並各自給予不同的IP子網路。此方法可防止惡意的封包竊取達到網路隔離的效果，為網路管理提供更完整的資訊安全保障，亦可降低區域網內資料大量流通時，因封包過多導致網路壅塞的問題。然而，此做法卻因VLAN個數有4096上限的原因，限制可管控之網路的大小，使網路的規模無法向外擴展。更因為必須因VLAN之差異給予不同的IP子網段，造成IP資源的浪費。

(2)虛擬覆蓋網路(Virtual Overlay Network)，在虛擬機發送的封包上使用通訊隧道Tunnel技術進行封裝，常見Tunnel封裝有GRE、VxLAN、NVGRE...等等類型，在原本的第二層網路上根據Tunnel封裝的識別碼能夠將原本實體網路分成多個獨立虛擬租戶網路，達到與前述虛擬區域網路相同的第二層隔離效果，除大幅提升其4096組虛擬網路上限外，更解決需要實體交換器設備設定支援的維運瓶頸。

雖然虛擬覆蓋網路機制能改良原有之虛擬區域網路的限制，但此方法的實作必須仰賴OpenFlow規則支持，由規則訂定對特定Tunnel封裝識別碼進行特定操作，知名雲端系統OpenStack即是使用此種架構。其做法是在系統啟動之前必須決定虛擬覆蓋網路建立範圍，若需改變虛擬網路範圍，則必須手動將計算節點上的網路代理程式重啟，造成維運管理的不便，且其做法中沒有SDN控制器，而是使用計算節點上的網路代理程式在OpenFlow交換器中下達靜態規則，對OpenFlow交換器的儲存空間造成負擔。

(3)在此先前的專利技術中有提及使用SDN控制器控制虛擬機封包達成租戶網路隔離之概念，專利題目與公開號係為Virtual Network (WO/2015/000386)。此篇專利提出之虛擬化網路概念係使用SDN控制器搭配OpenFlow交換器透過控制OpenFlow table操控網路流向，SDN控制器根據虛擬機發送的封包表頭上的來源MAC與目的MAC進而判斷是否同屬一個虛擬網路，若同屬一個虛擬網路則下達OpenFlow規則至交換器給予通行，若不同則禁止。

此篇專利所提出之控制器管控實屬創意難得，但其使用來源MAC與目的MAC做為OpenFlow規則過於瑣碎，同屬一個虛擬網路的兩台虛擬機會因為來源MAC不同而導致OpenFlow交換器會向SDN控制器詢問兩次，過多的詢問次數將造成SDN控制器的負擔，瑣碎且冗長OpenFlow規則存於OpenFlow交換器將消耗OpenFlow交換器的儲存空間，尤其從其存於OpenFlow交換器的OpenFlow規則只能看到來源與目的MAC資訊，無法直接由維運人員判讀其所屬虛擬網路，不利於真實上線雲端環境的維護。實非一良善之設計，而亟待加以改良。因此，針對雲端運算服務維運系統中虛擬網路資源的管理，提出適用於此系統的多租戶虛擬網路生成與管控方法，實為雲端運算服務發展的重要關鍵。

綜上所述，如何提供一種可藉由控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之技術方案乃本領域亟需解決之技術問題。

為解決前揭之問題，本發明之目的即在於提供一種方法與系統以進行雲端維運系統中之多租戶虛擬網路的生成與管控，用以達成虛擬覆蓋網路之建構，提供使用者或維運人員建立租戶虛擬網路，確保虛擬機在租戶虛擬網路內網路連通以及租戶間的虛擬網路完全隔離。同時因虛擬 覆蓋網路的特性，本發明大幅提升傳統虛擬區域網路4096組虛擬網路上限外，更解決需要實體交換器設備設定支援的維運瓶頸。透過租戶識別碼的幫助，虛擬交換器上的流向規則能夠大幅簡化，節省其存取空間的消耗。而租戶識別碼更能夠幫助維運人員判讀封包所屬租戶虛擬網路，對於真實上線雲端環境的維護上是一大助益。

本發明之次一目的係在於提供一種適用於雲端運算服務系統的虛擬化網路管理機制。係利用集中式虛擬化網路控制器，納管虛擬交換器、虛擬機以及虛擬網路資源。俾使整體雲端運算服務系統中的網路管理可支援虛擬機即時遷移(live-migration)之特點，並可跨越虛擬交換器的管理限制，使虛擬化網路安全管理機制具備網路管理設定之可攜性，消除於虛擬化網路環境常見之叢集劃分限制，達到虛擬隔離群組內虛擬機之無縫式遷移，提升虛擬網路管理之效能，彈性地管理所有虛擬交換器，且可掌握整體虛擬網路之拓樸全貌與資源，並滿足雲端運算服務之高彈性移動、資訊安全性、高可用性之特性，俾使本發明之系統成為適用於雲端運算服務系統之網路管理系統。

達成上述發明目的之管控系統。可提供管理者使用虛擬覆蓋網路建構子系統於實體機上建立虛擬覆蓋網路於實體伺服器間建立通訊隧道(Tunnel)，並在虛擬機進入虛擬網路時，利用虛擬網路控制器與虛擬交換器(Virtual Switch)來管控所有的虛擬網路資源以及虛擬機所在之網路拓樸位置。使用者或管理者可自由建立租戶虛擬網路，並將虛擬機納管進特定虛擬網路，使其虛擬機在租戶虛擬網路內網路連通以及租戶間的虛擬網路完全隔離。

本發明所提出之透過使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統包括：多租戶虛擬網路建構與管控子系統、虛擬覆蓋網路建構子系統、以及虛擬網路控制器子系統，前述各個子系統說明如下：

前述之多租戶虛擬網路建構與管控子系統包含：多租戶虛擬網路操作與呈現模組、多租戶虛擬網路資源與拓樸相依關係知識庫、多租戶虛擬網路區域生成決策單元、多租戶虛擬網路生成決策單元、多租戶虛擬網路資源綁定虛擬機決策單元、多租戶虛擬網路資源與拓樸監控收集單元、虛擬覆蓋網路建構需求傳送單元，以及多租戶虛擬網路訊息傳送單元。

前述之虛擬覆蓋網路建構子系統包含多租戶虛擬覆蓋網路建構子系統溝通單元、多租戶虛擬覆蓋網路建構決策單元、以及虛擬交換器與網路節點控制單元。

前述之虛擬網路控制器子系統包含：多租戶虛擬網路拓樸監控單元、多租戶虛擬網路控制器知識庫、多租戶虛擬網路決策單元、多租戶虛擬網路單點傳遞(unicast)單元、多租戶虛擬網路租戶識別碼綁定單元、多租戶虛擬網路多點傳遞(multicast)單元、虛擬交換器與網路節點偵測器、以及多租戶虛擬網路控制器訊息傳遞單元。

本發明所提出之系統更進一步地考量虛擬化網路環境中虛擬機即時遷移(live-migration)之特點，在系統機制之設計上增加虛擬隔離群組之網路設定的可攜性。係透過前述子系統對於整體虛擬化網路資源的持續監控與收集，以及虛擬化網路流向的集中管控機制，使本系統所涵蓋之虛擬化網路中的虛擬隔離群組之設定具有可攜性，並可使虛擬隔離群組無 限制於虛擬化環境常見之叢集劃分，可達到虛擬隔離群組內虛擬機之無縫式遷移，提升維運人員管控虛擬化網路之效率。

綜合以上所述，本發明之管控系統提高虛擬化網路中的網路安全，並提供虛擬化網路維運人員一個俱備可攜性與彈性之虛擬隔離群組系統，提升維運人員在管控虛擬化環境之效率。

100‧‧‧實體例概要圖

110‧‧‧虛擬化網路範疇

111‧‧‧虛擬交換器

111-a‧‧‧虛擬交換器-a

111-b‧‧‧虛擬交換器-b

111-c‧‧‧虛擬交換器-c

112‧‧‧虛擬機

112-a~112-k‧‧‧虛擬機-a~虛擬機-k

113‧‧‧多租戶虛擬網路區域

113-a~113-b‧‧‧多租戶虛擬網路區域-a-多租戶虛擬網路區域-b

114‧‧‧多租戶虛擬網路

114-a~114-b‧‧‧多租戶虛擬網路-a~多租戶虛擬網路-b

120‧‧‧實體網路與實體機範疇

121‧‧‧實體機

121-a~121-c‧‧‧實體機-a~實體機-c

123‧‧‧實體交換器

124‧‧‧網際網路

200‧‧‧透過控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統

210‧‧‧多租戶虛擬網路建構與管控子系統

211‧‧‧多租戶虛擬網路操作與呈現模組

212‧‧‧多租戶虛擬網路資源與拓樸相依關係知識庫

213‧‧‧多租戶虛擬網路區域生成決策單元

214‧‧‧多租戶虛擬網路生成決策單元

215‧‧‧多租戶虛擬網路資源綁定虛擬機決策單元

216‧‧‧多租戶虛擬網路資源與拓樸監控收集單元

217‧‧‧虛擬覆蓋網路建構需求傳送單元

218‧‧‧多租戶虛擬網路訊息傳送單元

220‧‧‧虛擬覆蓋網路建構子系統

221‧‧‧多租戶虛擬覆蓋網路建構子系統溝通單元

222‧‧‧多租戶虛擬覆蓋網路建構決策單元

223‧‧‧虛擬交換器與網路節點控制單元

230‧‧‧多租戶虛擬網路控制器子系統

231‧‧‧多租戶虛擬網路拓樸監控單元

232‧‧‧多租戶虛擬網路控制器知識庫

233‧‧‧多租戶虛擬網路決策單元

234‧‧‧多租戶虛擬網路單點傳遞(unicast)單元

235‧‧‧多租戶虛擬網路租戶識別碼綁定單元

236‧‧‧多租戶虛擬網路多點傳遞(multicast)單元

237‧‧‧虛擬交換器與網路節點偵測器

238‧‧‧多租戶虛擬網路控制器訊息傳遞單元

300‧‧‧多租戶虛擬網路建構與管控子系統運作流程圖

圖1係為本發明第一實施例使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統方塊圖

圖2係為本發明多租戶虛擬網路建構與管控子系統之內部方塊圖。

圖3係為本發明虛擬覆蓋網路建構子系統之內部方塊圖。

圖4係為本發明多租戶虛擬網路控制器子系統內部方塊圖。

圖5係為本發明多租戶虛擬網路建構與管控子系統運作流程圖。

圖6係為本發明多租戶虛擬化網路控制器子系統運作流程圖。

圖7多租戶虛擬網路控制器子系統決策以及建構多租戶網路之流程圖。

圖8係為本發明之系統實施例概要圖。

圖9係為本發明之系統實施例架構圖。

以下將描述具體之實施例以說明本發明之實施態樣，惟其並非用以限制本發明所欲保護之範疇。

本發明係使用虛擬覆蓋網路建構子系統於實體機上建立虛擬覆蓋網路於實體伺服器間建立通訊隧道(Tunnel)，並在虛擬機進入虛擬網 路時，利用虛擬網路控制器與虛擬交換器(Virtual Switch)來管控所有的虛擬網路資源以及虛擬機所在之網路拓樸位置。使用者或管理者可自由建立租戶虛擬網路，並將虛擬機納管進特定虛擬網路，使其虛擬機在租戶虛擬網路內網路連通以及租戶間的虛擬網路完全隔離。為了更進一步闡述本發明之詳細運作過程，此處利用實施例之標的詳加說明。然而說明本身並非意圖限制此專利。反之，發明人已經考慮所主張的標的亦可以其他方式體現、包括不同的步驟或與此文件中所述的步驟相似的步驟結合、與其他現有或未來的技術之結合。

本發明的實施例關注於更進一步解釋本發明所包含的系統以及相關子系統，並使用詳細流程圖的呈現，闡明本發明的重要技術與系統流程。並透過實施例概要圖說明本發明的應用範疇與使用場景。

請參閱圖1，其為本發明第一實施例使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統方塊圖。前述之使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統200進一步包含下列之軟體模組：多租戶虛擬網路建構與管控子系統210、虛擬覆蓋網路建構子系統220、以及多租戶虛擬網路控制器子系統230。前述之軟體模組可透過呼叫程序進行連接。

前述之多租戶虛擬網路建構與管控子系統210係為系統整體運作之控制決策者，主要之功能為決策多租戶虛擬網路的生成並收集虛擬網路之資料。前述之虛擬覆蓋網路建構子系統220，負責視需求為底層環境建立通訊隧道，以供多租戶虛擬網路上的虛擬機發送的封包能夠跨實體機進行溝通。另外，多租戶虛擬網路控制器子系統230用於監控虛擬網路資訊 並決定多租戶虛擬網路上的虛擬機發送的封包流向，可視為整體運作行為之執行者。原則上，前述三子系統各自獨立運作，且透過溝通管道即時傳遞彼此運作所需條件與資訊。

請參閱圖2，其為前述多租戶虛擬網路建構與管控子系統210之內部方塊圖，此子系統最主要之目的為達到動態決策、建立並管理多租戶虛擬網路，作為整體系統架構之管控決策處。多租戶虛擬網路建構與管控子系統進一步包含：多租戶虛擬網路操作與呈現模組211、多租戶虛擬網路資源與拓樸相依關係知識庫212、多租戶虛擬網路區域生成決策單元213、多租戶虛擬網路生成決策單元214、多租戶虛擬網路資源綁定虛擬機決策單元215、多租戶虛擬網路資源與拓樸監控收集單元216、虛擬覆蓋網路建構需求傳送單元217、以及多租戶虛擬網路訊息傳送單元218。

前述之多租戶虛擬網路操作與呈現模組211用於提供管理者或虛擬化網路維運人員使用介面，提供查詢與管控設定之功能，包括總覽虛擬隔離群組之整體概況，並可無限制於虛擬化環境常見之叢集劃分，任意查詢虛擬網路隔離情況，適時地調度虛擬網路之虛擬機成員。

多租戶虛擬網路區域生成決策單元213、多租戶虛擬網路生成決策單元214、以及多租戶虛擬網路資源綁定虛擬機決策單元215係接收來自多租戶虛擬網路操作與呈現模組211之指令，分別判斷管理者對虛擬網路區域、虛擬網路、虛擬網卡操作的合法性。多租戶虛擬網路資源與拓樸監控收集單元216在多租戶虛擬網路建構與管控子系統210執行期間，主動監控虛擬化網路環境，並透過多租戶虛擬網路控制器子系統230收集網路資源與拓樸訊息。即時將訊息更新進多租戶虛擬網路資源與拓樸相依關係知 識庫212。

虛擬覆蓋網路建構需求傳送單元217與多租戶虛擬網路訊息傳送單元218，分別用於連接虛擬覆蓋網路建構子系統220及虛擬網路控制器子系統230。

請參閱圖3，其為虛擬覆蓋網路建構子系統220之內部方塊圖。多租戶虛擬覆蓋網路建構子系統溝通單元221負責接收來自多租戶虛擬網路建構與管控子系統210之操作訊息，並將此訊息傳送至多租戶虛擬覆蓋網路建構決策單元222分析多租戶虛擬網路區域操作訊息並轉換成建立或刪除通訊隧道所需的訊息，並透過虛擬交換器與網路節點控制單元223向實體機上的虛擬交換器進行操作以建立或刪除通訊隧道。

請參閱圖4，其為多租戶虛擬網路控制器子系統230內部方塊圖。多租戶虛擬網路控制器子系統230用於管理虛擬化網路之流向與拓樸，並依據多租戶虛擬網路建構與管控子系統210所決策之多租戶虛擬網路區域、多租戶虛擬網路、多租戶虛擬網路資源綁定虛擬機，透過控制虛擬交換器與網路流向之方式，動態建構多租戶虛擬網路。

多租戶虛擬網路控制器子系統230包含多租戶虛擬網路拓樸監控單元231、多租戶虛擬網路控制器知識庫232、多租戶虛擬網路決策單元233、多租戶虛擬網路單點傳遞單元234、多租戶虛擬網路租戶識別碼綁定單元235、多租戶虛擬網路多點傳遞單元236、虛擬交換器與網路節點偵測器237、以及多租戶虛擬網路控制器訊息傳遞單元238。

多租戶虛擬網路拓樸監控單元231於多租戶虛擬網路控制器子系統230執行期間，會持續偵測是否有交換器提出網路存取的需求，若有 任何需求被提出，此單元將會把需求轉發給多租戶虛擬網路決策單元233。換言之，此單元為虛擬化網路控制器子系統230中監控並接收網路存取需求的關鍵單元，係為一個持續不間斷運作之單元，用以掌握所有虛擬交換器的網路存取流向。

虛擬交換器與網路節點偵測器237與前述之多租戶虛擬網路拓樸監控單元231雷同，皆會在虛擬化網路控制器子系統230執行期間持續進行偵測。不同之處在於虛擬交換器與網路節點偵測器237主要監控的資訊為整體虛擬化網路的拓樸並加以記錄相關資訊，並包含所涵蓋之虛擬交換器以及網路節點(此處之網路節點可視為虛擬網路中的所有虛擬機)。當虛擬交換器與網路節點偵測器偵測到虛擬化網路拓樸有異動時，會將相關之異動紀錄於多租戶虛擬網路控制器知識庫232，以供其他單元進行網路環境或條件之判讀。

多租戶虛擬網路決策單元233之主要動作為決策虛擬交換器之需求，可視為整體虛擬化網路控制器子系統230之關鍵控管單元，整體網路拓樸以及多租戶虛擬網路之決策皆由此單元進行集中式之管理。透過多租戶虛擬網路決策單元233分析從虛擬機發送出的網路封包來源與目的，並參照虛擬化網路控制器知識庫的網路環境資訊，判斷此封包合適的處理方式，若封包的來源與目的不在同一台實體機上，封包在送進實體機間的通訊隧道前，需要為封包配置租戶識別碼，則需將封包送至多租戶虛擬網路租戶識別碼綁定單元235，封包的種類也關係到其處理方式，若封包屬於單點傳遞(unicast)，則將封包送至多租戶虛擬網路單點傳遞(unicast)單元234，若封包屬於多點傳遞(multicast)，則將封包送至多租戶虛擬網路多點傳遞 (multicast)單元236。

換言之，透過多租戶虛擬網路決策單元233將封包送至合適的處理單元，產生的對應的網路流向，即能讓存在相同租戶虛擬網路的虛擬機互通，不同租戶虛擬網路的虛擬機彼此隔離。

多租戶虛擬網路控制器訊息傳遞單元238係為多租戶虛擬網路控制器子系統230對外之溝通管道，主要可分成兩大部分，一方面提供多租戶虛擬網路建構與管控子系統210與多租戶虛擬網路控制器230資訊傳遞之媒介，可透過此單元連接前述之多租戶虛擬網路建構與管控子系統210以及虛擬覆蓋網路建構子系統220，以即時地交換虛擬隔離群組設定與虛擬化網路之狀態。另一方面，此單元更進一步的提供多租戶虛擬網路控制器230與虛擬交換器之間訊息傳遞之溝通管道，使多租戶虛擬網路控制器230可利用此單元即時且正確地生成建構整個虛擬化網路之拓樸，並實際產生整體虛擬化網路中之所有虛擬隔離群組。可視此單元為多租戶虛擬網路控制器230之關鍵對外介面之媒介。

整合綜觀圖4之多租戶虛擬網路控制器230其單元與單元間之關係詳述如下：當多租戶虛擬網路控制器230啟動時，會觸發多租戶虛擬網路拓樸監控單元231與虛擬交換器與網路節點偵測器237進行持續性之虛擬化網路資源與需求的監控與收集，此兩單元皆會將所偵測到之必要資訊即時同步於多租戶虛擬網路控制器知識庫232之中。其中虛擬交換器與網路節點偵測器237著重於虛擬化網路中虛擬交換器與虛擬機之監控。主要目的為探測整體網路的相關設備與節點。除此之外，虛擬化網路流向拓樸監控單元會監控管理整體虛擬化網路之流向與拓樸，並將接收到之網路流向 需求傳送給多租戶虛擬網路決策單元233，由此決策單元進行需求的判讀與流向的決定。當多租戶虛擬網路決策單元233完成決定後，會將相對應之決策轉送給多租戶虛擬網路單點傳遞(unicast)單元234、多租戶虛擬網路租戶識別碼綁定單元235或多租戶虛擬網路多點傳遞(unicast)單元236。此三單元會依照接收之需求，將最後產生之流向規則透過多租戶虛擬網路控制器訊息傳遞單元238，實際發送給虛擬交換器，用以正確即時的產生虛擬網路之拓樸與流向。

圖5~圖7係為本發明第二實施例使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控方法流程圖。前述之管控方法係應用於第一實施例之使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統200，其步驟說明如下：

請參閱圖5，係為本發明之多租戶虛擬網路建構與管控子系統運作流程圖。當多租戶虛擬網路建構與管控子系統210啟動後，管理者(步驟310)能夠透過多租戶虛擬網路操作與呈現模組211進行查詢多租戶虛擬網路系統資訊動作(步驟320)，藉以了解現有的多租戶虛擬網路區域、多租戶虛擬網路以及虛擬網卡於多租戶虛擬網路上的分布，了解目前多租戶虛擬網路的設定與拓樸。接著本系統之管理者能夠透過多租戶虛擬網路操作與呈現模組211進行多租戶虛擬網路區域(步驟330)、多租戶虛擬網路(步驟340)、虛擬網卡綁定租戶虛擬網路(步驟350)三種操作，各步驟說明如下：

操作多租戶虛擬網路區域(步驟330)，管理者將能夠透過操作介面上顯示自多租戶虛擬網路資源與拓樸相依關係知識庫212的實體網路拓樸，選定多台實體機實體網卡進行圈選，當管理者透過多租戶虛擬網 路區域(步驟330)操作圈選完成需要的實體網卡後，便需逐一進行以下兩步驟：傳遞建立虛擬網路區域訊息至虛擬覆蓋網路建構子系統(步驟331)與傳遞操作指令至多租戶虛擬網路控制器子系統(步驟332)。虛擬覆蓋網路建構子系統220經由多租戶虛擬覆蓋網路建構子系統溝通單元221接收到操作的指令類形可分成建立、刪除與更新多租戶虛擬網路區域等操作，多租戶虛擬覆蓋網路建構決策單元222將會進行決策操作指令內圈選的實體網卡是否能夠形成虛擬網路區域，形成虛擬網路區域的必要條件為封包必須能夠互通，並不限於單一區域網路，只要網路可達接能夠成為多租戶虛擬網路區域。當確定能夠形成虛擬區域網路後，虛擬交換器與網路節點控制單元223將會對其控管的虛擬交換器進行操作建立全網狀(full mesh)的通訊隧道建立。至此完成多租戶虛擬網路區域的基礎建設。多租戶虛擬網路控制器子系統230接收到操作的指令也可分成建立、刪除與更新多租戶虛擬網路區域等操作，會先將此設定存放在多租戶虛擬網路控制器知識庫232，供後續比對封包時使用。至此則完成多租戶虛擬網路區域全部設定動作。

操作多租戶虛擬網路(步驟340)，管理者同樣透過操作介面上顯示自多租戶虛擬網路資源與拓樸相依關係212的網路拓樸去選擇多租戶虛擬網路要建立在哪個多租戶虛擬網路區域底下，可進行的操作種類有加入、刪除與更新三種。接著進行以下步驟：傳遞操作指令至多租戶虛擬網路控制器系統，多租戶虛擬網路控制器子系統230(步驟341)接收到此指令後一樣將此資訊存放在多租戶虛擬網路控制器知識庫232，供後續比對封包時使用。至此完成多租戶虛擬網路設定動作。

操作虛擬網卡與租戶虛擬網路綁定(步驟350)透過操作介面 上顯示自多租戶虛擬網路資源與拓樸相依關係212的網路拓樸去選擇虛擬網卡要綁定在哪個多租戶虛擬網路區域下的租戶虛擬網路，可進行的操作種類有加入與更新三種。接著進行以下步驟：傳遞操作指令至多租戶虛擬網路控制器系統(步驟351)，多租戶虛擬網路控制器子系統230接收到此指令後一樣將此資訊存放在多租戶虛擬網路控制器知識庫232，供後續比對封包時使用。至此完成虛擬網卡與租戶虛擬網路綁定操作設定動作。

請參閱圖6，其為多租戶虛擬化網路控制器子系統運作流程圖。其細部說明如下：當虛擬化網路控制器子系統啟動後(步驟410)，為了達到即時掌握整體多租戶虛擬網路資訊並動態生成多租戶虛擬隔離之目標，此控制器會透過多租戶虛擬網路拓樸監控單元231與虛擬交換器與網路節點偵測器237進行網路環境相關之監控偵測動作，即為監控多租戶虛擬化網路封包(步驟420)與偵測虛擬交換器與網路節點(步驟440)兩動作。偵測虛擬交換器與網路節點(步驟440)定期向虛擬交換器發送拓樸感知封包，藉以了解虛擬交換器彼此的連通性與拓樸形狀，監控多租戶虛擬化網路封包(步驟420)將接收來自虛擬交換器不認識的網路封包，同時也偵測到被控管的虛擬交換器上存在的虛擬網卡，藉以掌握虛擬網卡是否搬遷到其他的虛擬交換器。拓樸資訊與連接在虛擬交換器上的虛擬網卡資訊將會被存在多租戶虛擬網路控制器知識庫232，同時存放接收自圖5操作介面對虛擬網路區域、虛擬網路與虛擬網卡綁定虛擬網路指令(步驟430)，控制器將有足夠的資訊為任何一個被送入控制器的網路封包決策其所屬租戶網路及其流向。監控多租戶虛擬化網路封包(步驟420)收到的網路封包皆是來自虛擬交換器不認識的封包，因此控制器除了蒐集資訊外，更需要分析封包資訊進而向 虛擬交換器下達合適的指令，告知其正確的封包流向(步驟450)，以達成租戶網路間的隔離。控制器會先進行動作判斷網路存取需求的來源虛擬交換器是否隸屬於任何虛擬網路(步驟480)，若不屬於任何租戶虛擬網路，將進行動作建構生成一般虛擬化網路存取流向訊息(步驟490)，即允許此封包能夠被正常送至其目標不予阻擋，並進行動作傳遞流向訊息至此網路存取隸屬之虛擬交換器(步驟491)。若控制器判斷封包是屬於曾經被登記過的租戶虛擬網路內，則必須進行動作建構生成虛擬網路流向訊息(步驟460)，其可能的動作將於圖七進行詳細描述，並後續進行動作傳遞流向訊息至此網路存取隸屬之虛擬交換器(步驟481)。

請參閱圖7，其為多租戶虛擬網路控制器子系統230決策以及建構多租戶網路之流程圖，其細部說明如下：當控制器控管範圍內的虛擬交換器收到來自存在某已被登記的虛擬網路內的虛擬網卡發出的封包，被送至控制器中尋求進一步的流向指示(步驟461)，首先控制器判斷的是封包是否來自詢問的虛擬交換器上的虛擬網卡(步驟462)，此判斷在於得知是否為封包發送的起點，若是封包屬於來自詢問的虛擬交換器上的虛擬網卡，則表示這個封包是剛被送入此虛擬網路，可視為其在虛擬網路中旅程的起點，因此後續的動作我們需要為此封包配置虛擬覆蓋網路辨識碼(Tunnel ID)。

在此封包為起點的條件下，首先判斷封包類型是否為單點傳播(unicast)(步驟467)，若根據封包目標MAC位址得知為單點傳播，則進行動作判斷來源封包的來源與目的MAC位址是否屬於同一個租戶虛擬網路(步驟471)，若判斷屬於同一個租戶虛擬網路，代表此封包為合法封包，控 制器將進行動作通知虛擬交換器為此封包配置租戶識別碼，並單點傳送方式送到目的地(步驟472)。但若來源與目的MAC位置並非屬於同一虛擬網路，則表示此封包為一非法封包，控制器將進行動作通知虛擬交換器丟棄此封包(步驟470)。

在此封包為起點的條件下，接著判斷封包類型是否為廣播傳播(multicast)(步驟468)，若封包確實為廣播封包則進行動作，通知虛擬交換器為封包配置虛擬覆蓋網路辨識碼，並多點傳送方式送到目的地(步驟469)。這邊採用多點傳送模擬廣播封包的效果，因為若此虛擬交換器上存在不只一個租戶虛擬網路的虛擬網卡，直接以廣播方式傳送將導致虛擬網卡可能收到非同一租戶虛擬網卡發出的封包，因此採用多點傳送的方式避免此問題，在多租戶虛擬網路控制器知識庫232將有足夠的資訊得知哪些虛擬交換器上的連接埠(ports)是屬於同一虛擬網路，因此將此封包配置虛擬覆蓋網路辨識碼後往這些連接埠集群傳送，並同時往虛擬覆蓋網路對外建立的full mesh的連接埠集群傳送，讓存在其他實體機上的同一虛擬網路的虛擬網卡也能夠接收到封包。

以上已講解完控制器判斷的是封包是否來自詢問的虛擬交換器上的虛擬網卡(步驟462)中封包是來自詢問的虛擬交換器上的虛擬網卡的情況，接著講解控制器判斷封包並非來自詢問的虛擬交換器上的虛擬網卡的情況。若虛擬交換器收到一個封包判斷其封包並非來自其本身之上的虛擬網卡，代表此封包是從其他虛擬交換器發送過來，並再這裡結束其在虛擬網路的旅程。

在此封包為終點的條件下，首先判斷封包類型是否為單點傳 播(步驟463)，由於其在送出的虛擬交換器已經先判斷過此封包為合法封包才被送出，因此在這個狀況下，控制器不需要做額外的判斷，只需要進行動作通知虛擬交換器將封包以單點傳送方式送到目的地(步驟465)。

在此封包為終點的條件下，接著判斷封包是否為廣播封包(步驟464)，若其目標MAC為廣播位址，則進行動作通知虛擬交換器將封包以多點傳送方式送到目的地(步驟466)。與封包在起點進行的多點傳送方式不同，這裡的封包已經被配置虛擬覆蓋網路辨識碼，我們根據此識別碼下達需要進行多點傳送的連接埠集群，並且將不再往虛擬覆蓋網路對外建立的full mesh的連接埠集群傳送，避免產生網路迴圈造成廣播風暴。

請參閱圖8，其為本發明一實施例概要圖100。圖示例說明本發明建構並使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之系統的應用範疇與使用場景，並可透過此圖例揭示本系統實施於虛擬化環境和實體環境中的案例。除此之外，於此概要圖中更進一步詳加說明虛擬化網路環境中之設備與專有名詞之定義，以期加以釐清本發明之系統所使用之方法與實例。

圖8係為虛擬化網路範疇110與實體網路與實體機範疇120組合而成的示意圖，用來闡明虛擬化網路與實體網路之間的交互關係。一般而言虛擬化網路需建構於實體網路與實體機之上，實體網路與實體機範疇120包含實體機121、實體交換器123，以及對外連接的網際網路124，透過虛擬化的技術，每台實體機上可以有虛擬交換器111與多台虛擬機112，本發明之系統建構的租戶虛擬網路區域113以實體機上的虛擬交換器為單位進行圈選，形成租戶虛擬網路區域113的範圍內才能允許網路互通，並在租戶 虛擬網路區域113範圍下建立租戶虛擬網路114，113-a租戶網路區域下包含114-a與114-b兩個租戶虛擬網路，虛擬機112上的虛擬網卡則能夠選擇要供裝在哪個租戶虛擬網路中，租戶虛擬網路內的虛擬機彼此能夠互通，租戶虛擬網路之間則彼此隔離，114-a內的虛擬機112-a、112-b、112-c彼此互通，但與114-b內的其他虛擬機則完全隔離。

【特點及功效】

先前技術中的虛擬區域網路(VLAN)常被用作網路第二層隔離，但由於其上限個數以及需要實體網路設備支援等限制，並不適用在多租戶虛擬網路對彈性供裝的需求。而先前技術中的虛擬覆蓋網路(Virtual Overlay Network)，知名雲端管理系統OpenStack使用虛擬覆蓋網路搭配OpenFlow靜態規則達成多租戶虛擬網路，其如果要改變虛擬覆蓋網路範圍，需手動控制計算節點，在多租戶虛擬網路環境供裝與管理上並不方便。此外，先前技術中適用於多租戶虛擬化網路的先前專利，因其使用來源與目標MAC區分虛擬機所屬租戶，藉以隔離不同租戶間的網路封包達成多租戶虛擬網路之效果，但其使用MAC做為流向規則區分，將造成OpenFlow規則表內規則過於細碎冗長，不但占用其OpenFlow交換器儲存空間，無法直接從規則辨識出其所屬的租戶將造成維運除錯的不便。綜觀前文所述，先前技術中的確缺少適用於虛擬環境的多租戶虛擬網路供裝與管理機制。因此本發明即針對虛擬化網路環境之特徵，發展一個適合用於雲端運算服務系統的多租戶虛擬網路供裝與管理機制。

本發明所提應用於虛擬化網路之建構並使用控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之方法與系統，與其他習用技術相互比 較時，更具備下列優點：

本發明之多租戶虛擬網路系統係考量虛擬化網路環境之特性，設計出適合用於雲端運算服務系統的多租戶虛擬網路管理機制。此機制系統可涵蓋先前技術之網路第二層隔離特性，達成租戶虛擬網路內封包互通，以及租戶虛擬網路之間封包溝通阻隔。透過集中控管的控制器，支援虛擬化網路環境中虛擬機即時遷移之特點，達到虛擬隔離群組之網路管理設定的可攜性。

本發明使用虛擬化網路控制器搭配虛擬覆蓋網路，突破虛擬區域網路中的個數限制並免除其需對底層實體網路交換器設定的繁雜手續。

本發明透過虛擬覆蓋網路建構子系統根據需求動態建立虛擬覆蓋網路生成多租戶虛擬網路區域，能夠在中央控管虛擬覆蓋網路範圍，大幅提升管理方便性。

本發明之系統的多租戶虛擬網路建構與管控子系統採用友善且高可用之多租戶虛擬網路操作與呈現模組，俾使管理者或網路維運人員可同步查閱現有之多租戶虛擬網路區域、多租戶虛擬網路與虛擬化網路之拓樸，並可依據整體網路管理之考量任意規劃並綁定虛擬網卡於租戶虛擬網路上，增加雲端運算服務網路維運管理系統之安全性與可用性。

本發明使用虛擬化網路控制器搭配虛擬覆蓋網路為網路封包配置租戶專屬的識別碼，控制器能夠根據識別碼判斷下達合適的規則，大幅減少控制器需對虛擬交換器下達的flow數量，並且其識別碼能直接從規則辨識出其所屬的租戶，將大幅提升維運除錯效率與方便。

上列詳細說明係針對本發明之一可行實施例之具體說明，惟該實施例並非用以限制本發明之專利範圍，凡未脫離本發明技藝精神所為之等效實施或變更，均應包含於本案之專利範圍中。

200‧‧‧透過控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統

210‧‧‧多租戶虛擬網路建構與管控子系統

220‧‧‧虛擬覆蓋網路建構子系統

230‧‧‧多租戶虛擬網路控制器子系統

Claims (8)

1. 一種透過控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控系統，包含下列之複數個軟體子系統：多租戶虛擬網路建構與管控子系統，決策多租戶虛擬網路之生成並收集虛擬網路資料；虛擬覆蓋網路建構子系統，於網路底層環境建立通訊隧道，以提供多租戶虛擬網路上之虛擬機發送的封包可跨實體機進行溝通；多租戶虛擬網路控制器子系統，用於監控虛擬網路資訊，並決策該多租戶虛擬網路上之該虛擬機發送封包流向。
2. 如申請專利範圍第1項所述之管控系統，其中該多租戶虛擬網路建構與管控子系統包含：多租戶虛擬網路資源與拓樸相依關係知識庫；多租戶虛擬網路操作與呈現模組，係提供使用者管理介面，其中包括總覽多租戶虛擬網路之整體概況與調度或設定多租戶虛擬網路與其成員；多租戶虛擬網路區域生成決策單元，係管理者透過多租戶虛擬網路操作與呈現模組的執行結果，整合多租戶虛擬網路資源與拓樸相依關係知識庫中的資訊，決策產生多租戶虛擬網路區域訊息；多租戶虛擬網路生成決策單元，係管理者透過多租戶虛擬網路操作與呈現模組的執行結果，整合多租戶虛擬網路資源與拓樸相依關係知識庫中的資訊，決策產生多租戶虛擬網路訊息；多租戶虛擬網路資源綁定虛擬機決策單元，係管理者透過多租戶虛擬網 路操作與呈現模組的執行結果，整合多租戶虛擬網路資源與拓樸相依關係知識庫中的資訊，決策產生虛擬機上的虛擬網卡綁定特定多租戶虛擬網路訊息；多租戶虛擬網路資源與拓樸監控收集單元，係為主動監控多租戶虛擬化網路環境之網路資源與網路拓樸訊息，並將資訊更新至多租戶虛擬網路資源與拓樸相依關係知識庫；多租戶虛擬網路通道建構需求傳送單元，用於傳送多租戶虛擬網路區域決策訊息至該虛擬覆蓋網路建構子系統之多租戶虛擬網路通道建構子系統；多租戶虛擬網路訊息傳送單元，用於傳送多租戶虛擬網路區域、多租戶虛擬網路、虛擬機上的虛擬網卡綁定特定多租戶虛擬網路訊息。
3. 如申請專利範圍第2項所述之管控系統，其中該虛擬覆蓋網路建構子系統包含：多租戶虛擬覆蓋網路建構子系統溝通單元，用於接收多租戶虛擬網路區域決策訊息並傳送系統建構結果；多租戶虛擬覆蓋網路建構決策單元，用於分析該多租戶虛擬網路區域決策訊息；虛擬交換器與網路節點控制單元，將經驗證為合法的該多租戶虛擬網路區域決策訊息轉換為虛擬覆蓋網路建構指令，並在各實體機上的虛擬交換器間建立通訊隧道，以在多租戶虛擬網路區域範圍內形成基礎虛擬覆蓋網路。
4. 如申請專利範圍第3項所述之管控系統，其中該多租戶虛擬網路控制器子 系統包含：多租戶虛擬網路控制器知識庫；多租戶虛擬網路拓樸監控單元，在該多租戶虛擬網路控制器子系統開始執行後，持續監控多租戶虛擬網路環境中，判斷並提供是否有任何由網路節點發送給虛擬交換器之網路存取需求；虛擬交換器與網路節點偵測器，係在該多租戶虛擬網路控制器子系統開始執行後持續偵測多租戶虛擬網路環境中的資訊，並將異動紀錄於該多租戶虛擬網路控制器知識庫；多租戶虛擬網路決策單元，接收來自該多租戶虛擬網路拓樸監控單元之網路存取需求，以判斷生成多租戶虛擬網路存取流向所需的動作；多租戶虛擬網路租戶識別碼綁定單元，根據該多租戶虛擬網路決策單元的決策結果為需要為封包配置租戶識別碼，並生成多租戶虛擬網路存取流向動作為封包配置租戶識別碼；多租戶虛擬網路單點傳遞單元，根據該多租戶虛擬網路決策單元的決策結果為單點傳遞，則生成多租戶虛擬網路存取流向動作為單點傳遞；多租戶虛擬網路多點傳遞單元，根據多租戶虛擬網路決策單元的決策結果為多點傳遞，由此單元生成租戶虛擬網路存取流向動作為多點傳遞；多租戶虛擬網路控制器訊息傳遞單元，提供多租戶虛擬網路控制器子系統與該多租戶虛擬網路建構與管控子系統及該虛擬覆蓋網路建構子系統進行通訊。
5. 一種透過控制器管控虛擬覆蓋網路以生成多租戶虛擬網路之管控方法， 應用於如請求項1至4任一項所述之管控系統，該管控系統包含多租戶虛擬網路建構與管控子系統、虛擬覆蓋網路建構子系統、以及多租戶虛擬網路控制器子系統，該方法包含下列步驟：步驟(1) 針對所管控的雲端環境範疇查詢多租戶虛擬網路與虛擬化網路拓樸資訊；步驟(2) 依據該多租戶虛擬網路與網路拓樸資料進行決策設定多租戶虛擬網路區域；步驟(3) 依據該多租戶虛擬網路與網路拓樸資料進行決策設定多租戶虛擬網路；步驟(4) 依據該多租戶虛擬網路與網路拓樸資料進行決策是否將虛擬機的虛擬網卡綁定租戶虛擬網路；步驟(5) 當該多租戶虛擬網路建構與管控子系統收到多租戶虛擬網路區域設定訊息後，則儲存於系統之知識庫並傳遞至該虛擬覆蓋網路建構子系統之多租戶虛擬覆蓋網路建構子系統與該多租戶虛擬網路控制器子系統；步驟(6) 當該多租戶虛擬網路建構與管控子系統收到多租戶虛擬網路設定訊息後，則儲存於系統之知識庫並傳遞至該多租戶虛擬網路控制器子系統；步驟(7) 當該多租戶虛擬網路建構與管控子系統收到將虛擬機的虛擬網卡綁定租戶虛擬網路訊息，則儲存於系統之知識庫並傳遞至該多租戶虛擬網路控制器子系統；步驟(8) 該多租戶虛擬覆蓋網路建構子系統接收來自該多租戶虛擬網路 建構與管控子系統的建立租戶虛擬網路區域設定指令時，判斷是否建立虛擬覆蓋網路；步驟(9) 該多租戶虛擬網路控制器在啟動期間會持續偵測與監控虛擬交換器與網路節點，並將拓樸資訊存於系統之知識庫，同時，接收來自多租戶虛擬網路管控系統的租戶網路相關設定訊息，並將資訊存在其系統知識庫內；步驟(10) 該多租戶虛擬網路控制器在啟動期間，持續監控該虛擬交換器傳送的網路封包，透過比對其知識庫以判斷是否屬於特定租戶虛擬網路封包；步驟(11) 當該多租戶虛擬網路控制器判斷網路封包確實屬於特定租戶虛擬網路封包，則根據網路封包資訊判斷此封包合適的流向，生成租戶虛擬網路流向指令傳送至該虛擬交換器，達成租戶內的網路互通，以及租戶間的網路隔離。
6. 如申請專利範圍第5項所述之管控方法，其中於步驟(8)中判斷是否建立虛擬覆蓋網路之步驟進一步包含：步驟(a) 將先進行測試各個虛擬交換器間網路是否互通；步驟(b) 若未通過測試，表示此設定指令並不合法，將回傳無法建立租戶虛擬網路區域；步驟(c) 若通過測試，表示此設定指令合法，將為每個虛擬交換器間都建立通訊隧道，建構全網狀拓樸形態虛擬覆蓋網路。
7. 如申請專利範圍第5項所述之管控方法，其中步驟(10)中判斷是否屬於特定租戶虛擬網路封包之步驟包含： 步驟(a) 根據該多租戶虛擬網路控制器之知識庫，比對該網路封包來源MAC位址，是否屬於特定租戶虛擬網路封包；步驟(b) 若是屬於特定租戶虛擬網路，即判斷封包來源虛擬機之虛擬網卡曾被綁定特定租戶虛擬網路，且發送出網路封包被虛擬交換器接收到，該多租戶虛擬網路控制器則告知該虛擬交換器正確的網路流向以達成租戶虛擬網路隔離；步驟(c) 若不是屬於特定租戶虛擬網路，即判斷封包的來源虛擬機不曾被綁定於特定租戶虛擬網路，並告知該虛擬交換器做為一般網路第二層交換器處理封包。
8. 如申請專利範圍第5項所述之管控方法，其中，步驟(11)中決策其封包形成租戶虛擬網路流向之步驟包含：步驟(a) 根據多租戶虛擬網路控制器知識庫，比對網路封包來源MAC位址，是否屬於送出的虛擬交換器上的虛擬網卡送出的網路封包，若是表示此封包正在其虛擬網路交換旅程的起點，若否則表示此封包正在其虛擬網路交換旅程的終點；步驟(b) 當網路封包在其交換旅程的起點條件下，根據網路封包目的MAC位址判斷其網路封包是單點傳播，若根據多租戶虛擬網路控制器知識庫比對網路封包來源MAC位址與目的MAC位址是屬於同一虛擬網路並取得其租戶識別碼，通知虛擬交換器為此封包配置租戶識別碼並以單點傳播方式傳送至目的；相對若不屬於同一虛擬網路，代表此封包為非法封包，通知虛擬交換器直接丟棄此封包； 步驟(c) 當網路封包在其交換旅程的起點條件下，根據網路封包目的MAC位址判斷其網路封包是廣播封包，向多租戶虛擬網路控制器知識庫取得其租戶識別碼，通知虛擬交換器為此封包配置租戶識別碼，並採取多點傳播方式將封包傳送往虛擬交換器上存在相同租戶虛擬網路的連接埠，並同時往虛擬覆蓋網路上的通訊隧道都各送一份封包，確保屬於相同租戶虛擬網路但存在其他實體機上虛擬機也能夠正確收到廣播封包；步驟(d) 當網路封包在其交換旅程的終點條件下，根據網路封包目的MAC位址判斷其網路封包是單點傳播，由於其在起點出發時已經確保此封包為合法封包，因此多租戶虛擬網路控制器不需做任何檢查即可通知虛擬交換器以單點傳播方式傳送至目的地；步驟(e) 當網路封包在其交換旅程的終點條件下，根據網路封包目的MAC位址判斷其網路封包是廣播封包，即採取多點傳播方式將封包傳送往虛擬交換器上存在相同租戶虛擬網路的連接埠，但不往虛擬覆蓋網路上的通訊隧道上傳送。