特許 7332689 動的なインテントベースのファイアウォール

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-08-15

(45)【発行日】2023-08-23

(54)【発明の名称】動的なインテントベースのファイアウォール

(51)【国際特許分類】

   H04L 41/0806 20220101AFI20230816BHJP

   H04L 41/0894 20220101ALI20230816BHJP

   H04L 41/0895 20220101ALI20230816BHJP

   H04L 45/02 20220101ALI20230816BHJP

   H04L 45/745 20220101ALI20230816BHJP

【ＦＩ】

H04L41/0806

H04L41/0894

H04L41/0895

H04L45/02

H04L45/745

【請求項の数】 24

(21)【出願番号】P 2021521411

(86)(22)【出願日】2019-11-12

(65)【公表番号】

(43)【公表日】2022-01-31

(86)【国際出願番号】 US2019060910

(87)【国際公開番号】W WO2020112345

(87)【国際公開日】2020-06-04

【審査請求日】2022-04-28

(31)【優先権主張番号】62/774,103

(32)【優先日】2018-11-30

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】16/434,115

(32)【優先日】2019-06-06

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】508041127

【氏名又は名称】シスコ テクノロジー，インコーポレイテッド

(74)【代理人】

【識別番号】100079108

【弁理士】

【氏名又は名称】稲葉 良幸

(74)【代理人】

【識別番号】100109346

【弁理士】

【氏名又は名称】大貫 敏史

(74)【代理人】

【識別番号】100117189

【弁理士】

【氏名又は名称】江口 昭彦

(74)【代理人】

【識別番号】100134120

【弁理士】

【氏名又は名称】内藤 和彦

(74)【代理人】

【識別番号】100140431

【弁理士】

【氏名又は名称】大石 幸雄

(72)【発明者】

【氏名】ヴァルリ，ヴァムシダール

(72)【発明者】

【氏名】ラーダークリシュナン，サラバナン

(72)【発明者】

【氏名】オズワル，アナンド

(72)【発明者】

【氏名】プラブ，ヴィナイ

(72)【発明者】

【氏名】エヴァンズ，サラ アデレード

(72)【発明者】

【氏名】ランガスワーミー，スーラジ

【審査官】安藤 一道

(56)【参考文献】

【文献】米国特許第０８３１６４３５（ＵＳ，Ｂ１）

【文献】特表２００５－５０５１７５（ＪＰ，Ａ）

【文献】特表２０１４－５０３１３５（ＪＰ，Ａ）

【文献】特表２０１８－５０６２３７（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／０２０５０７１（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０１３／００７４１７７（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４１／０８０６

Ｈ０４Ｌ ４１／０８９４

Ｈ０４Ｌ ４１／０８９５

Ｈ０４Ｌ ４５／０２

Ｈ０４Ｌ ４５／７４５

(57)【特許請求の範囲】

【請求項1】

コンピュータ実装方法であって、
ネットワークコントローラによって、前記ネットワークコントローラによって管理される複数のエッジネットワークデバイスから到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成することと、
前記ネットワークコントローラによってネットワーク管理システムから、前記複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、１つ以上のゾーンベースのファイアウォール（ＺＦＷ）ポリシーであって、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用するＺＦＷポリシーと、を受信することと、
前記ネットワークコントローラによって、第１のＺＦＷポリシーを評価して、前記第１のＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされた１つ以上の第１のネットワークセグメントに到達することができる１つ以上の第１のエッジネットワークデバイスと、前記第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされた１つ以上の第２のネットワークセグメントに到達することができる１つ以上の第２のエッジネットワークデバイスと、前記マスタールートテーブルからの、前記１つ以上の第１のネットワークセグメント、前記１つ以上の第１のエッジネットワークデバイス、前記１つ以上の第２のエッジネットワークデバイス、および前記１つ以上の第２のネットワークセグメント間の、第１のルーティング情報と、を判定することと、
前記ネットワークコントローラによって、前記第１のルーティング情報を前記１つ以上の第１のエッジネットワークデバイスおよび前記１つ以上の第２のエッジネットワークデバイスに伝送することと、を含む、方法。

【請求項2】

前記第１のＺＦＷポリシーが、検査アクションを含み、前記方法が、
前記マスタールートテーブルからの、前記１つ以上の第２のネットワークセグメント、前記１つ以上の第２のエッジネットワークデバイス、前記１つ以上の第１のエッジネットワークデバイス、および前記１つ以上の第１のネットワークセグメント間の、第２のルーティング情報を判定することと、
送信元が前記１つ以上の第１のネットワークセグメントに対応し、かつ宛先が前記１つ以上の第２のネットワークセグメントに対応するトラフィックを受信することに応答して、前記第２のルーティング情報を前記１つ以上の第２のエッジネットワークデバイスおよび前記１つ以上の第１のエッジネットワークデバイスに伝送することと、をさらに含む、請求項１に記載のコンピュータ実装方法。

【請求項3】

前記複数のネットワークセグメントが、複数の仮想プライベートネットワーク（ＶＰＮ）を含み、前記ゾーン定義情報が、前記複数のＶＰＮを前記１つ以上のゾーンにマッピングする情報を含み、各ゾーンが、前記複数のエッジネットワークデバイスのインターフェースに対してアンバインドされる、請求項１または２に記載のコンピュータ実装方法。

【請求項4】

前記複数のネットワークセグメントが、ルート属性を共有する複数のネットワークオブジェクト、パケットヘッダ属性を共有する複数のネットワークオブジェクト、パケットペイロード属性を共有する複数のネットワークオブジェクト、アイデンティティ情報を共有する複数のネットワークオブジェクト、複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）、複数の仮想ネットワーク識別子（ＶＮＩＤ）、複数の仮想ルーティングおよび転送インスタンス（ＶＲＦ）、複数のエンドポイントグループ（ＥＰＧ）、またはロケーションもしくはネットワークサイト識別子を共有する複数のネットワークオブジェクト、のうちの少なくとも１つを含み、
前記ゾーン定義情報が、前記ルート属性を共有する複数のネットワークオブジェクト、前記パケットヘッダ属性を共有する複数のネットワークオブジェクト、前記パケットペイロード属性を共有する複数のネットワークオブジェクト、前記アイデンティティ情報を共有する複数のネットワークオブジェクト、前記複数のＶＬＡＮ、前記複数のＶＮＩＤ、前記複数のＶＲＦ、前記複数のＥＰＧ、または前記ロケーションもしくはネットワークサイト識別子情報を共有する複数のネットワークオブジェクト、のうちの少なくとも１つを前記１つ以上のゾーンにマッピングする情報を含み、
各ゾーンが、前記複数のエッジネットワークデバイスのインターフェースに対してアンバインドされる、請求項１～３のいずれかに記載のコンピュータ実装方法。

【請求項5】

第３のゾーンにマッピングされたネットワークセグメントのいずれも、前記１つ以上の第１のエッジネットワークデバイスから第１の時間に到達可能ではなく、前記１つ以上の第１のエッジネットワークデバイスが、前記第３のゾーンにマッピングされた任意のネットワークセグメントと前記１つ以上の第１のエッジネットワークデバイスとの間の第２のルーティング情報を除外する、請求項１～４のいずれかに記載のコンピュータ実装方法。

【請求項6】

前記第３のゾーンにマッピングされた１つ以上の第３のネットワークセグメントが、第２の時間に前記１つ以上の第１のエッジネットワークデバイスから到達可能であると判定することと、
前記１つ以上の第３のネットワークセグメントと前記１つ以上の第１のエッジネットワークデバイスとの間の第２のルーティング情報で前記マスタールートテーブルを更新することと、
第２のＺＦＷポリシーを評価して、前記１つ以上の第１のエッジネットワークデバイスが前記１つ以上の第３のネットワークセグメントに到達することができ、かつ前記第３のゾーンが、前記第２のＺＦＷポリシーによって指定された第２送信元ゾーンであることと、前記第２のＺＦＷポリシーによって指定された第２の宛先ゾーンにマッピングされた１つ以上の第４のネットワークセグメントに到達することができる１つ以上の第３のエッジネットワークデバイスと、前記マスタールートテーブルからの、前記１つ以上の第３のネットワークセグメント、前記１つ以上の第１のエッジネットワークデバイス、前記１つ以上の第３のエッジネットワークデバイス、および前記１つ以上の第４のネットワークセグメント間の、第３のルーティング情報と、を判定することと、
前記第３のルーティング情報を、前記１つ以上の第１のエッジネットワークデバイスおよび前記１つ以上の第３のエッジネットワークデバイスに伝送することと、をさらに含む、請求項５に記載のコンピュータ実装方法。

【請求項7】

前記１つ以上の第１のネットワークセグメントが、前記１つ以上の第１のエッジネットワークデバイスから到達可能ではなくなったと判定することと、
前記１つ以上の第１のエッジネットワークデバイスから前記第１のルーティング情報を削除することと、をさらに含む、請求項１～６のいずれかに記載のコンピュータ実装方法。

【請求項8】

前記１つ以上の第１のネットワークセグメントが、前記１つ以上の第３のエッジネットワークデバイスから到達可能であると判定することと、
前記１つ以上の第１のネットワークセグメント、前記１つ以上の第３のエッジネットワークデバイス、前記１つ以上の第２のエッジネットワークデバイス、および前記１つ以上の第２のネットワークセグメント間の、第２のルーティング情報で、前記マスタールートテーブルを更新することと、
前記第１のＺＦＷポリシーを評価して、前記１つ以上の第３のエッジネットワークデバイスが、前記１つ以上の第１のネットワークセグメント、前記１つ以上の第２のエッジネットワークデバイス、および前記第２のルーティング情報に到達することができると判定することと、
前記第２のルーティング情報を、前記１つ以上の第３のエッジネットワークデバイスおよび前記１つ以上の第２のエッジネットワークデバイスに伝送することと、をさらに含む、請求項７に記載のコンピュータ実装方法。

【請求項9】

前記ゾーン定義情報または前記１つ以上のＺＦＷポリシーのうちの少なくとも１つの１つ以上の更新を前記ネットワーク管理システムから受信することと、
前記１つ以上の更新に基づいて、前記第１のルーティング情報の少なくとも１つの第１のルートが利用可能ではなくなったと判定することと、
前記１つ以上の第１のエッジネットワークデバイスから前記第１のルートを削除することと、をさらに含む、請求項１～８のいずれかに記載のコンピュータ実装方法。

【請求項10】

前記第１のＺＦＷポリシーによって指定された１つ以上の送信元適合条件に対応する１つ以上の送信元プレフィックスを判定することと、
前記第１のＺＦＷポリシーによって指定された１つ以上の宛先適合条件に対応する１つ以上の宛先プレフィックスを判定することと、
前記１つ以上の送信元プレフィックスと前記１つ以上の宛先プレフィックスとに基づいて、前記マスタールートテーブルから前記第１のルーティング情報を取り出すことと、をさらに含む、請求項１～９のいずれかに記載のコンピュータ実装方法。

【請求項11】

前記１つ以上の宛先プレフィックスと前記１つ以上の送信元プレフィックスとに基づいて前記マスタールートテーブルから第２のルーティング情報を取り出すことと、
送信元が前記送信元プレフィックスに対応し、かつ宛先が前記１つ以上の宛先プレフィックスに対応するトラフィックを受信することに応答して、前記第２のルーティング情報を前記１つ以上の第２のエッジネットワークデバイスおよび前記１つ以上の第１のエッジネットワークデバイスに伝送することと、をさらに含む、請求項１０に記載のコンピュータ実装方法。

【請求項12】

前記第１のＺＦＷポリシーの１つ以上のデフォルトの送信元適合条件に対応する１つ以上の送信元プレフィックスを判定することと、
前記第１のＺＦＷポリシーの１つ以上のデフォルトの宛先適合条件に対応する１つ以上の宛先プレフィックスを判定することと、
前記１つ以上の送信元プレフィックスと前記１つ以上の宛先プレフィックスとに基づいて、前記マスタールートテーブルから前記第１のルーティング情報を取り出すことと、をさらに含む、請求項１～１１のいずれかに記載のコンピュータ実装方法。

【請求項13】

システムであって、
１つ以上のプロセッサと、
命令を含むメモリと、を備え、前記命令が、前記１つ以上のプロセッサによって実行されたときに、前記システムに、
前記システムによって管理される複数のエッジネットワークデバイスから到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成することと、
ネットワーク管理システムから、前記複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、１つ以上のゾーンベースのファイアウォール（ＺＦＷ）ポリシーであって、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用するＺＦＷポリシーと、を受信することと、
第１のＺＦＷポリシーを評価して、前記第１のＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされた１つ以上の第１のネットワークセグメントに到達することができる１つ以上の第１のエッジネットワークデバイスと、前記第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされた１つ以上の第２のネットワークセグメントに到達することができる１つ以上の第２のエッジネットワークデバイスと、前記マスタールートテーブルからの、前記１つ以上の第１のネットワークセグメント、前記１つ以上の第１のエッジネットワークデバイス、前記１つ以上の第２のエッジネットワークデバイス、および前記１つ以上の第２のネットワークセグメント間の、第１のルーティング情報と、を判定することと、
前記第１のルーティング情報を、前記１つ以上の第１のエッジネットワークデバイスおよび前記１つ以上の第２のエッジネットワークデバイスに伝送することと、を行わせる、システム。

【請求項14】

前記複数のネットワークセグメントが、複数の仮想プライベートネットワーク（ＶＰＮ）を含み、前記ゾーン定義情報が、前記複数のＶＰＮを前記１つ以上のゾーンにマッピングする情報を含み、各ゾーンが、前記複数のエッジネットワークデバイスのインターフェースに対してアンバインドされる、請求項１３に記載のシステム。

【請求項15】

前記命令が、実行されたときに、前記システムに、
第３のゾーンにマッピングされた１つ以上の第３のネットワークセグメントが、前記１つ以上の第１のエッジネットワークデバイスから到達可能であると判定することと、
前記１つ以上の第３のネットワークセグメントと前記１つ以上の第１のエッジネットワークデバイスとの間の第２のルーティング情報で前記マスタールートテーブルを更新することと、
第２のＺＦＷポリシーを評価して、前記１つ以上の第１のエッジネットワークデバイスが前記１つ以上の第３のネットワークセグメントに到達することができ、かつ前記第３のゾーンが、前記第２のＺＦＷポリシーによって指定された第２送信元ゾーンであることと、前記第２のＺＦＷポリシーによって指定された第２の宛先ゾーンにマッピングされた１つ以上の第４のネットワークセグメントに到達することができる１つ以上の第３のエッジネットワークデバイスと、前記マスタールートテーブルからの、前記１つ以上の第３のネットワークセグメント、前記１つ以上の第１のエッジネットワークデバイス、前記１つ以上の第３のエッジネットワークデバイス、および前記１つ以上の第４のネットワークセグメント間の、第３のルーティング情報と、を判定することと、
前記第３のルーティング情報を、前記１つ以上の第１のエッジネットワークデバイスおよび前記１つ以上の第３のエッジネットワークデバイスに伝送することと、をさらに行わせる、請求項１３または１４に記載のシステム。

【請求項16】

前記命令が、実行されたときに、前記システムに、
前記１つ以上の第１のネットワークセグメントが、前記１つ以上の第１のエッジネットワークデバイスから到達可能ではなくなったと判定することと、
前記１つ以上の第１のエッジネットワークデバイスから前記第１のルーティング情報を削除することと、
前記１つ以上の第１のネットワークセグメントが、前記１つ以上の第３のエッジネットワークデバイスから到達可能であると判定することと、
前記１つ以上の第１のネットワークセグメント、前記１つ以上の第３のエッジネットワークデバイス、前記１つ以上の第２のエッジネットワークデバイス、および前記１つ以上の第２のネットワークセグメント間の、第２のルーティング情報で、前記マスタールートテーブルを更新することと、
前記第１のＺＦＷポリシーを評価して、前記１つ以上の第３のエッジネットワークデバイスが、前記１つ以上の第１のネットワークセグメント、前記１つ以上の第２のエッジネットワークデバイス、および前記第２のルーティング情報に到達することができると判定することと、
前記第２のルーティング情報を、前記１つ以上の第３のエッジネットワークデバイスおよび前記１つ以上の第２のエッジネットワークデバイスに伝送することと、をさらに行わせる、請求項１３～１５のいずれかに記載のシステム。

【請求項17】

命令を含む非一時的コンピュータ可読記憶媒体であって、前記命令が、システムの１つ以上のプロセッサによって実行されると、前記システムに、
前記システムによって管理される複数のエッジネットワークデバイスから到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成することと、
ネットワーク管理システムから、前記複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、１つ以上のゾーンベースのファイアウォール（ＺＦＷ）ポリシーであって、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用するＺＦＷポリシーと、を受信することと、
第１のＺＦＷポリシーを評価して、前記第１のＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされた１つ以上の第１のネットワークセグメントに到達することができる１つ以上の第１のエッジネットワークデバイスと、前記第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされた１つ以上の第２のネットワークセグメントに到達することができる１つ以上の第２のエッジネットワークデバイスと、前記マスタールートテーブルからの、前記１つ以上の第１のネットワークセグメント、前記１つ以上の第１のエッジネットワークデバイス、前記１つ以上の第２のエッジネットワークデバイス、および前記１つ以上の第２のネットワークセグメント間の、第１のルーティング情報と、を判定することと、
前記第１のルーティング情報を、前記１つ以上の第１のエッジネットワークデバイスおよび前記１つ以上の第２のエッジネットワークデバイスに伝送することと、を行わせる、非一時的コンピュータ可読記憶媒体。

【請求項18】

前記複数のネットワークセグメントが、ルート属性を共有する複数のネットワークオブジェクト、パケットヘッダ属性を共有する複数のネットワークオブジェクト、パケットペイロード属性を共有する複数のネットワークオブジェクト、アイデンティティ情報を共有する複数のネットワークオブジェクト、複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）、複数の仮想ネットワーク識別子（ＶＮＩＤ）、複数の仮想ルーティングおよび転送インスタンス（ＶＲＦ）、複数のエンドポイントグループ（ＥＰＧ）、またはロケーションもしくはネットワークサイト識別子を共有する複数のネットワークオブジェクト、のうちの少なくとも１つを含み、
前記ゾーン定義情報が、前記ルート属性を共有する複数のネットワークオブジェクト、前記パケットヘッダ属性を共有する複数のネットワークオブジェクト、前記パケットペイロード属性を共有する複数のネットワークオブジェクト、前記アイデンティティ情報を共有する複数のネットワークオブジェクト、前記複数のＶＬＡＮ、前記複数のＶＮＩＤ、前記複数のＶＲＦ、前記複数のＥＰＧ、または前記ロケーションもしくはネットワークサイト識別子情報を共有する複数のネットワークオブジェクト、のうちの少なくとも１つを前記１つ以上のゾーンにマッピングする情報を含み、
各ゾーンが、前記複数のエッジネットワークデバイスのインターフェースに対してアンバインドされる、請求項１７に記載の非一時的コンピュータ可読記憶媒体。

【請求項19】

前記命令が、実行されたときに、前記システムに、
前記ゾーン定義情報または前記１つ以上のＺＦＷポリシーのうちの少なくとも１つの１つ以上の更新を前記ネットワーク管理システムから受信することと、
前記１つ以上の更新に基づいて、前記第１のルーティング情報の少なくとも１つの第１のルートが利用可能ではなくなったと判定することと、
前記１つ以上の第１のエッジネットワークデバイスから前記第１のルートを削除することと、をさらに行わせる、請求項１７または１８に記載の非一時的コンピュータ可読記憶媒体。

【請求項20】

前記命令が、実行されたときに、前記システムに、
前記第１のＺＦＷポリシーによって指定された１つ以上の送信元適合条件に対応する１つ以上の送信元プレフィックスを判定することと、
前記第１のＺＦＷポリシーによって指定された１つ以上の宛先適合条件に対応する１つ以上の宛先プレフィックスを判定することと、
前記マスタールートテーブルから、前記１つ以上の送信元プレフィックスと前記１つ以上の宛先プレフィックスとの間の前記第１のルーティング情報を取り出すことと、
前記マスタールートテーブルから、前記１つ以上の宛先プレフィックスと前記１つ以上の送信元プレフィックスとの間の第２のルーティング情報を取り出すことと、
送信元が前記送信元プレフィックスに対応し、かつ宛先が前記１つ以上の宛先プレフィックスに対応するトラフィックを受信することに応答して、前記第２のルーティング情報を前記１つ以上の第２のエッジネットワークデバイスおよび前記１つ以上の第１のエッジネットワークデバイスに伝送することと、をさらに行わせる、請求項１７～１９のいずれかに記載の非一時的コンピュータ可読記憶媒体。

【請求項21】

装置であって、
ネットワークコントローラによって、前記ネットワークコントローラによって管理される複数のエッジネットワークデバイスから到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成するための手段と、
前記ネットワークコントローラによってネットワーク管理システムから、前記複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、１つ以上のゾーンベースのファイアウォール（ＺＦＷ）ポリシーであって、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用するＺＦＷポリシーと、を受信するための手段と、
前記ネットワークコントローラによって、第１のＺＦＷポリシーを評価して、前記第１のＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされた１つ以上の第１のネットワークセグメントに到達することができる１つ以上の第１のエッジネットワークデバイスと、前記第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされた１つ以上の第２のネットワークセグメントに到達することができる１つ以上の第２のエッジネットワークデバイスと、前記マスタールートテーブルからの、前記１つ以上の第１のネットワークセグメント、前記１つ以上の第１のエッジネットワークデバイス、前記１つ以上の第２のエッジネットワークデバイス、および前記１つ以上の第２のネットワークセグメント間の、第１のルーティング情報と、を判定するための手段と、
前記ネットワークコントローラによって、前記第１のルーティング情報を前記１つ以上の第１のエッジネットワークデバイスおよび前記１つ以上の第２のエッジネットワークデバイスに伝送するための手段と、を含む、装置。

【請求項22】

請求項２～１２のいずれかに記載の方法を実装するための手段をさらに備える、請求項２１に記載の装置。

【請求項23】

コンピュータによって実行されたときに、前記コンピュータに、請求項１～１２のいずれかに記載の方法のステップを実行させるための命令を含む、コンピュータプログラム。

【請求項24】

コンピュータによって実行されたときに、前記コンピュータに、請求項１～１２のいずれかに記載の方法のステップを実行させるための命令を含む、コンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
この出願は、２０１８年１１月３０日に出願された「ＤＹＮＡＭＩＣ ＩＮＴＥＮＴ－ＢＡＳＥＤ ＦＩＲＥＷＡＬＬ」と題された米国仮特許出願第６２／７７４，１０３号の利益を主張する、２０１９年６月６日に出願された「ＤＹＮＡＭＩＣ ＩＮＴＥＮＴ－ＢＡＳＥＤ ＦＩＲＥＷＡＬＬ」と題された米国非仮特許出願第１６／４３４，１１５号の利益および優先権を主張し、その内容は、参照によりその全体が本明細書に組み込まれる。

【0002】

本開示の主題は、一般に、コンピュータネットワーキングの分野に関し、より具体的には、動的なインテントベースのファイアウォールをプロビジョニングするためのシステムおよび方法に関する。

【背景技術】

【0003】

ステートフルファイアウォールは、ファイアウォールをトラバースする、特定のネットワーク接続またはセッションの動作状態および特性（例えば、伝送制御プロトコル（ＴＣＰ）、ユーザーデータグラムプロトコル（ＵＤＰ）、インターネット制御メッセージプロトコル（ＩＣＭＰ）など）を追跡することができるネットワークセキュリティ機能である。ステートフルファイアウォールは、ネットワークセグメント間にバリアを確立し、一方のセグメントからの接続またはセッションの開始を許可し、他方のセグメントからの既知のアクティブな接続またはセッションに適合するそれらのパケットのみを許可する。歴史的に、ステートフルファイアウォールは、ネットワークデバイスの特定のインターフェースにネットワーク接続のルールのセット（例えば、アクセス制御リスト（ＡＣＬ））を適用して、ファイアウォールの一方側のホスト（コンピューティングデバイス、コンピューティングシステム、エンドポイントなどとも呼ばれ、サーバ、サービス、クライアントなどを含み得る）からトラフィックを発信することを可能にし、かつファイアウォールの他方側のホストからの戻りトラフィックを可能にするための一次的なＡＣＬエントリーを作成する、コンテキストベースアクセス制御（ＣＢＡＣ）モデルを使用して構成されていた。ＣＢＡＣファイアウォールを実装するには、管理者または他のユーザーがインターフェースごとにファイアウォールを構成する必要があり、これは、個々のネットワークデバイス上のインターフェースの数と、ネットワーク内のネットワークデバイスの数と、が増加するにつれて、たちまち管理不能な数になり得る。加えて、ＣＢＡＣ下では、特定のインターフェースを通過するすべてのトラフィックは、同じ処理またはインスペクションポリシーを受けなければならない。このことは、トラフィックの発信および方向に応じてトラフィックが異なって処理されるのを防げることによって、セキュリティを低下させ得る。

【0004】

ゾーンベースのファイアウォール（ＺＦＷ）は、インターフェースをゾーンに割り当てることができ、かつゾーン間を移動するトラフィックにインスペクションポリシーを適用することができる、より柔軟でより理解しやすいゾーンベースのモデルを使用することによって、ＣＢＡＣファイアウォールを改善する。ゾーン間ポリシーは、ＣＢＡＣファイアウォールポリシーよりも大きな柔軟性および粒度を提供し、同じインターフェースに接続されたホストの複数のグループに異なるインスペクションポリシーを適用することを可能にすることができる。例えば、ネットワークオペレータは、組織のネットワークの内部に向けてトラフィックをルーティングするインターフェースのセットを含むプライベートゾーン、組織の公開ホスト（例えば、ウェブ、メール、ファイル転送プロトコル（ＦＴＰ）サーバなど）にトラフィックをルーティングするインターフェースのセットを含む非武装地帯（ＤＭＺ）、トラフィックをインターネットにルーティングするインターフェースのセットを含むパブリックゾーン、およびパブリックゾーン（すなわち、インターネットに接続されたインターフェース）とＤＭＺ（すなわち、組織の公開ホストに接続されたインターフェース）との間、およびＤＭＺとプライベートゾーン（すなわち、組織のプライベートホストに接続されたインターフェース）との間で、トラフィックがいずれの方向にも自由に流れることを可能にするが、プライベートゾーンからパブリックゾーンへと開始されるフロー、およびパブリックゾーンからプライベートゾーンへの戻りフローを許容するのみのポリシーなどのゾーンペアポリシーを定義することができる

【0005】

ＺＦＷはまた、ＣＢＡＣファイアウォールよりも高いセキュリティを提供することもでき、その理由は、ＣＢＡＣファイアウォールが、トラフィックをブロックするようにＡＣＬが明示的に定義されない限り、デフォルトでインターフェースを通るすべてのトラフィックを許可するブラックリストセキュリティモデルに依存しているのに対して、ＺＦＷが、トラフィックを許可するようにポリシーが明示的に定義されていない限り、デフォルトですべてのトラフィックを拒否する、ゾーン間トラフィックに対するホワイトリストモデルを実装することができることである。ＣＢＡＣファイアウォールはまた、各インターフェースに多数の構成コマンド（複数のＡＣＬおよびインスペクションアクション）を１つずつ入力する必要があり、マイナーなポリシー変更に対してさえも構成を時間のかかるものとする。ＺＦＷは、複数のインターフェースが単一のセットのポリシーを共有することを可能にし、ファイアウォールを確立し、かつネットワーク構成を簡素化するために必要なコマンドの数を低減することができる。

【図面の簡単な説明】

【0006】

本開示ならびにその特徴および利点のより完全な理解を提供するために、添付の図面と併せて、以下の説明を参照する。

【0007】

【図1】一実施形態によるネットワークアーキテクチャの一例のブロック図を例示している。

【図2】一実施形態によるネットワーク環境の一例のブロック図を例示している。

【図3】一実施形態によるオーバーレイネットワークを管理するための手法の一例のブロック図を例示している。

【図4】一実施形態によるネットワークをセグメント化するための手法の一例のブロック図を例示している。

【図5】一実施形態によるネットワーク環境の一例のブロック図を例示している。

【図6】のプロセスの一例のフロー図を例示している。

【図7】一実施形態によるネットワークデバイスの一例のブロック図を例示している。

【図8A】いくつかの実施形態によるコンピューティングシステムの例のブロック図を例示している。

【図8B】いくつかの実施形態によるコンピューティングシステムの例のブロック図を例示している。

【発明を実施するための形態】

【0008】

以下に述べる詳細な説明は、実施形態の様々な構成の説明として意図されており、本開示の主題を実施することができる唯一の構成を表すことを意図するものではない。添付の図面は、本明細書に組み込まれ、詳細な説明の一部を構成する。詳細な説明は、本開示の主題のより完全な理解を提供することを目的とした特定の詳細を含む。ただし、本開示の主題が、本明細書に記述される特定の詳細に限定されず、これらの詳細なしで実施され得ることは、明らかで認識できるであろう。場合によっては、本開示の主題の概念を曖昧にすることを回避するために、構造および構成要素が、ブロック図で示される。

【0009】

概要
本発明の態様は、独立請求項で述べられ、好ましい特徴は、従属請求項で述べられる。一態様の特徴は、単独で、または他の態様と組み合わせて、各態様に適用し得る。

【0010】

システムおよび方法は、ワイドエリアネットワーク（ＷＡＮ）を介した動的なインテントベースのファイアウォールをプロビジョニングすることを提供する。ネットワークコントローラは、ネットワークコントローラによって管理される複数のエッジネットワークデバイスから到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成することができる。ネットワークコントローラは、複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、１つ以上のゾーンベースのファイアウォール（ＺＦＷ）ポリシーであって、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用するＺＦＷポリシーと、を受信することができる。ネットワークコントローラは、第１のＺＦＷポリシーを評価して、第１のＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされた１つ以上の第１のネットワークセグメントに到達することができる１つ以上の第１のエッジネットワークデバイスと、第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされた１つ以上の第２のネットワークセグメントに到達することができる１つ以上の第２のエッジネットワークデバイスと、マスタールートテーブルからの、１つ以上の第１のネットワークセグメント、１つ以上の第１のエッジネットワークデバイス、１つ以上の第２のエッジネットワークデバイス、および１つ以上の第２のネットワークセグメント間の、第１のルーティング情報と、を判定することができる。ネットワークコントローラは、第１のルーティング情報を、１つ以上の第１のエッジネットワークデバイスおよび１つ以上の第２のエッジネットワークデバイスに伝送することができる。

【0011】

例示的な実施形態
ＺＦＷは、ＣＢＡＣファイアウォールよりも優れた柔軟性、セキュリティ、および構成の容易さを提供することができるが、従来のＺＦＷは、ゾーンの定義をインターフェースにバインドし、すべてのトラフィックが同じゾーンのメンバであるインターフェース間をデフォルトで流れることを許可すること、および欠点の中でもとりわけ、複数のエッジネットワークデバイスをトラバースするトラフィックに対する重複する構成を必要とすることなどの、特定の制約を課す。これらの要件により、単一のインターフェースの背後で複数のサービスまたはクライアントグループをホストするネットワーク展開に従来のＺＦＷを実装することが困難になり得る。加えて、従来のＺＦＷは、ネットワークオペレータのインテントを曖昧にし得る構成を必要とし、過度に制約的な様態（例えば、ゾーンの定義をインターフェースにバインドする）と過度に許容的な様態（例えば、同じゾーン内のインターフェース間のすべてのトラフィックを許可する）との両方で動作し、動的性（例えば、構成の最初にゾーンビヘイビアを定義する必要がある）およびモビリティ（例えば、あるネットワークセグメントから別のネットワークセグメントにホストを移動させるときにポリシーの再構成を必要とする）を欠く。

【0012】

例えば、ネットワークは、プリンタおよび電子メールサービスをホストするサブネットへのインターフェースを有する第１のエッジネットワークデバイスを含み得、それは、ワイドエリアネットワーク（ＷＡＮ）（例えば、インターネット）を介して、オフィスサブネットへのインターフェースとゲストサブネットへの別のインターフェースとを有する第２のエッジネットワークデバイスに接続される。ネットワークオペレータは、第２のエッジネットワークデバイス上のすべてのサブネット（例えば、オフィスサブネットおよびゲストサブネット）がプリンタサービスへのトラフィックを開始することを許容するが、ゲストネットワークが電子メールサービスにアクセスすることを禁止することを望み得る。従来のＺＦＷポリシーを使用してこれらの目的を達成するには、ネットワーク管理者が、印刷サービスと電子メールサービスとを論理的に区別し、特定の送信元および宛先のインターネットプロトコル（ＩＰ）アドレスに適合する従来のＺＦＷポリシーを定義しなければならない。特に、ネットワークオペレータは、第１のエッジネットワークデバイスの、プリンタおよび電子メールサービスへのインターフェースからなる第１の従来のゾーン、第２のエッジネットワークデバイスの、オフィスサブネットへのインターフェースからなる第２の従来のゾーン、およびゲストサブネットへの第２のエッジネットワークデバイス上のインターフェースからなる第３の従来のゾーンを定義し得る。ＷＡＮを介して第１のエッジネットワークデバイスと第２のエッジネットワークデバイスとを接続するインターフェースからなる１つ以上の追加の従来のゾーンがあり得る。

【0013】

加えて、管理者は、第２のエッジネットワークデバイスに第１のセットの従来のＺＦＷポリシーを定義する必要があり得る。例えば、オフィスサブネットおよびゲストサブネットがプリンタサービスへのトラフィックを開始することを可能にし、かつゲストサブネットが電子メールサービスにアクセスすることを禁止するには、管理者は、これらのポリシー、すなわち、
・送信元アドレスがプリンタサービスのＩＰアドレスに対応するトラフィックを検査するための第１の従来のＺＦＷポリシー（例えば、送信元－ｉｐ＜プリンタＩＰアドレス＞に関して適合、および
・送信元アドレスがオフィスサブネットに対応し、かつ宛先が電子メールサブネットに対応するトラフィックを検査するための第２の従来のＺＦＷポリシー（例えば、送信元サブネット＜オフィスサブネット＞および宛先サブネット電子メールに関して適合、検査）、を用いて第２のエッジネットワークデバイスを構成し得る。

【0014】

検査アクションは、特定のトラフィック（例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなど）の状態ベースの制御を実装する第２のエッジネットワークデバイスを参照することができる。例えば、第１の従来のＺＦＷポリシーは、第２のエッジネットワークデバイスに、トラフィックがプリンタサービスのＩＰアドレスに対応するインターフェースを出ることを許可させ、かつリターントラフィックを許可するためのトラフィックの状態情報を格納させ得る。加えて、第２エッジネットワークデバイスは、プリンタサービスのＩＰアドレスに対応するインターフェースに入るトラフィックのパケットヘッダを処理して、トラフィックを開始した既存の接続またはセッションがあることを確保することができる。トラフィックの送信元アドレスがプリンタサービスのＩＰアドレスに対応し、かつトラフィックの接続またはセッションが存在することをパケットヘッダが示す場合には、第２のエッジネットワークデバイスは、トラフィックを許可し得る。第２の従来のＺＦＷポリシーは、第２のエッジネットワークデバイスに、オフィスサブネットに対応するインターフェースに入り、かつ電子メールサブネットに対応するインターフェースを出るトラフィックのパケットヘッダを処理させることができる。トラフィックのパケットヘッダが、送信元アドレスがオフィスサブネットに対応し、かつ宛先アドレスが電子メールサブネットに対応することを示す場合、第２のエッジネットワークデバイスは、トラフィックを許可し、リターントラフィックを許可するためのトラフィックの状態情報を格納し得る。

【0015】

管理者が第２のエッジネットワークデバイスの特定のインターフェース上のＩＰアドレスまたはサブネットに基づいてポリシーを定義する必要がある従来のＺＦＷポリシーモデルは、第２のエッジネットワークデバイス上のサブネットがプリンタサービスにアクセスすることを許可し、かつゲストサブネットが電子メールサービスにアクセスすることを禁止するためのネットワークオペレータの当初の意図を理解することを困難にし得る。従来のＺＦＷポリシーモデルは、インテントをさらに複雑かつ曖昧にし得、その理由は、管理者がまた、第１のエッジネットワークデバイスを第２のセットのポリシー、すなわち、

【0016】

・宛先がオフィスサブネットに対応し、かつ送信元が電子メールサブネットに対応するトラフィックを通過させるための第３の従来のＺＦＷポリシー（例えば、宛先－サブネット＜オフィスサブネット＞および送信元－サブネット電子メールに関して適合、通過）、および

【0017】

・宛先がオフィスサブネットおよびゲストサブネットに対応し、かつ送信元がプリンタサブネットに対応するトラフィックを通過させるための第４の従来のＺＦＷポリシー（例えば、宛先－サブネット＜オフィスサブネットおよびゲストサブネット＞および送信元－サブネットプリンタに関して適合、通過）、で構成することによって、第１のセットのポリシーを補完する必要があることである。

【0018】

通過アクションは、第１のエッジネットワークデバイスが、トラフィックのパケットヘッダを処理する必要なく、適合条件に対応するトラフィックを許容することを指し得る。例えば、第３の従来のＺＦＷポリシーは、トラフィックが電子メールサービスに対応するインターフェースに入った場合、第１のエッジネットワークデバイスに、トラフィックがオフィスネットワークに対応するインターフェースを出ることを許容させ得る。第４の従来のＺＦＷポリシーは、トラフィックがプリンタサブネットに対応するインターフェースに入った場合、第１のエッジネットワークデバイスに、トラフィックがオフィスサブネットまたはゲストサブネットに対応するインターフェースを出ることを許容させ得る。ここで、第２のセットのポリシーは、第１のセットのポリシーを実効的にミラーリングして、複数のエッジネットワークデバイスにわたって流れるトラフィックにＺＦＷポリシーを行使する。ミラー構成は、ポリシーの定義を、上記の例よりも何桁も大きい数のネットワークオブジェクト（例えば、ルータ、スイッチ、セグメント、インターフェース、ホストなど）を有し得る通常の企業ネットワークにおいてトラブルシューティングするのに、非常に複雑かつ困難にし得る。トラフィックが複数のエッジネットワークデバイスをトラバースするときに複数回、送信者に面するインターフェースで少なくとも１回、および宛先に面するインターフェースで再度、ポリシーが処理されなければならないため、ミラー構成はまた、ネットワークに対する不要な負荷を生成し得る。その上、ホストがネットワークセグメントに追加されるか、またはネットワークセグメントから移動された場合、そのホストと通信するあらゆるネットワークデバイスが、更新されなければならない。構成の複雑さ、ネットワークに対する増加した負荷、および従来のＺＦＷの柔軟性の欠如は、ネットワークオペレータ、およびインターフェースに制約された従来のゾーンまたはインターフェースに制約されたネットワークセグメント（例えば、インターフェースによりバインドされたサブネット、仮想ローカルエリアネットワーク（ＶＬＡＮ）、仮想拡張可能ローカルエリアネットワーク（ＶＸＬＡＮ）／汎用ルーティングカプセル化（ＮＶＧＲＥ）仮想ネットワークを使用したネットワーク仮想化、仮想ルーティングおよび転送インスタンス（ＶＲＦ）、仮想プライベートネットワーク（ＶＰＮ）、Ｃｉｓｃｏ ＡＣＩ（商標）エンドポイントグループ（ＥＰＧ）、または他のネットワークセグメント化技術）によってネットワークデバイスごとに構成されなければならない従来のＺＦＷポリシーの結果である。いくつかの従来のゾーンは、複数のインターフェースが単一セットの従来のＺＦＷポリシーを共有することを可能にするが、従来のＺＦＷポリシーモデルは、依然として、ネットワークオペレータにネットワークデバイスを１つずつ構成することを必要とする。そして、いくつかの従来のＺＦＷは、ゾーンを、サブネット、ＶＬＡＮ、仮想ネットワーク識別子（ＶＮＩＤ）、ＶＲＦ、ＶＰＮ、ＥＰＧ、または他のネットワークセグメント化技術として定義することを許可するが、これらのネットワークセグメントは、特定のインターフェースにバインドされる。ネットワークオペレータにとって、従来のＺＦＷの困難および制限は、苛立たしく、人的エラーをもたらし、ネットワークセキュリティの低下につながり得る。

【0019】

本開示の様々な実施形態は、単一の集中型ネットワーク管理システムまたはネットワークコントローラから、管理者または他のユーザーによって、ＺＦＷを構成することを可能にし、かつネットワークインターフェースからゾーンの定義を切り離すことによって、先行技術の上記および他の欠陥を克服し得る。したがって、ゾーンは、デバイスごとの構成を必要とせず、インターフェースまたはインターフェースよりにバインドされたネットワークセグメントに限定される必要がない。ルート属性（例えば、ルート起点、サイト識別子、タグなど）、パケットヘッダ属性（送信元アドレス、送信元ポート、宛先アドレス、宛先ポート、プロトコル、差別化サービスコードポイント（ＤＳＣＰ）など）、パケットペイロード属性（例えば、ディープパケットインスペクション（ＤＰＩ）を介して取得できるアプリケーションおよび他の属性）、アイデンティティベースの属性（例えば、ユーザーアイデンティティ、グループ、ロールなど）、仮想ネットワークセグメント（例えば、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧなど）、ロケーションもしくはネットワークサイト識別子（例えば、構内、データセンター、ブランチなど）、またはネットワークオブジェクトの他のコレクション（例えば、ユーザー、デバイス、システム、アプリケーションなど）によって定義されるゾーンなどのゾーンは、代わりに、インテントに基づいて定義され得る。例えば、ネットワークオペレータは、ネットワークオブジェクトの任意のコレクションを含むゾーン、カスタム定義されたゾーンのデフォルトのビヘイビア（例えば、サービスが他のサービスにアクセスすることを禁止する、インターネットに直接接続されたネットワークオブジェクトがクライアントまたはサービスなどとの通信を開始することを禁止する）、およびデフォルトのビヘイビアをオーバーライドすることができる許可された通信のマトリックスを定義することによって、ゾーンベースのポリシーモデルをカスタマイズすることができる。これにより、構成の複雑さと、管理者または他のユーザーによって実行されなければならない構成の量と、が大幅に低減され得る。

【0020】

インターフェースから切り離された集中適用されるＺＦＷポリシーはまた、動的かつモバイルなポリシー更新をサポートすることもできる。例えば、管理者は、ネットワークプロビジョニングの最初に「パートナー」ゾーンを定義することができるが、パートナーゾーンのメンバがネットワークにアタッチするまで、パートナーゾーンのメンバシップとパートナーゾーンビヘイビアとの条件を設定する必要はない。その上、ネットワークセグメントへの、またはネットワークセグメントからのクライアントおよびサービスの追加または削除の場合には、ポリシーの再構成を必要としない。追加の利点は、ネットワークデバイスが、それらのネットワークデバイスに適用できないＺＦＷポリシーを行使する必要がないため、処理、メモリ、帯域幅、および他のリソースを節約することができることである。

【0021】

インターフェースから切り離された集中適用されるＺＦＷポリシーはまた、ミラー構成および関連付けられたスケーラビリティの問題を排除することができる。例えば、集中型ネットワーク管理システムまたはコントローラは、ネットワーク全体を通したルーティング情報を判定し、ＺＦＷポリシーに従ってルーティング情報を更新し、特定のエッジネットワークデバイスに配布するために特定のゾーンに属するものとしてルートにタグ付けし、これによって、ミラーリングされたＺＦＷポリシーの必要性を排除することができる。様々な実施形態に従って提供され得るように、多くの他の機能および利点が、以下に記載および提案される。

【0022】

いくつかの実施形態では、ネットワークコントローラは、ネットワークコントローラによって管理される複数のエッジネットワークデバイスから到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成することができる。ネットワークコントローラは、複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用する１つ以上のＺＦＷポリシーと、を受信することができる。ネットワークコントローラは、第１のＺＦＷポリシーを評価して、第１のＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされた１つ以上の第１のネットワークセグメントに到達することができる１つ以上の第１のエッジネットワークデバイスと、第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされた１つ以上の第２のネットワークセグメントに到達することができる１つ以上の第２のエッジネットワークデバイスと、マスタールートテーブルからの、１つ以上の第１のネットワークセグメント、１つ以上の第１のエッジネットワークデバイス、１つ以上の第２のエッジネットワークデバイス、および１つ以上の第２のネットワークセグメント間の、第１のルーティング情報と、を判定することができる。ネットワークコントローラは、第１のルーティング情報を、１つ以上の第１のエッジネットワークデバイスおよび１つ以上の第２のエッジネットワークデバイスに伝送することができる。

【0023】

いくつかの実施形態では、第１のＺＦＷポリシーは、検査アクションを含むことができ、ネットワークコントローラは、マスタールートテーブルから、１つ以上の第２のネットワークセグメント、１つ以上の第２のエッジネットワークデバイス、１つ以上の第１のエッジネットワークデバイス、および１つ以上の第１のネットワークセグメント間の、第２のルーティング情報を判定することができる。ネットワークコントローラは、送信元が１つ以上の第１のネットワークセグメントに対応し、かつ宛先が１つ以上の第２のネットワークセグメントに対応するトラフィックを受信することに応答して、第２のルーティング情報を１つ以上の第２のエッジネットワークデバイスおよび１つ以上の第１のエッジネットワークデバイスに伝送することができる。

【0024】

いくつかの実施形態では、複数のネットワークセグメントが、複数の仮想プライベートネットワーク（ＶＰＮ）を含むことができ、ゾーン定義情報が、複数のＶＰＮを１つ以上のゾーンにマッピングする情報を含むことができ、各ゾーンが、複数のエッジネットワークデバイスのインターフェースに対してアンバインドできる。他の実施形態では、複数のネットワークセグメントは、ルート属性を共有する複数のネットワークオブジェクト、パケットヘッダ属性を共有する複数のネットワークオブジェクト、パケットペイロード属性を共有する複数のネットワークオブジェクト、アイデンティティ情報を共有する複数のネットワークオブジェクト、複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）、複数の仮想ネットワーク識別子（ＶＮＩＤ）、複数の仮想ルーティングおよび転送インスタンス（ＶＲＦ）、複数のエンドポイントグループ（ＥＰＧ）、またはロケーションもしくはネットワークサイト識別子を共有する複数のネットワークオブジェクトのうちの少なくとも１つを含むことができ、ゾーン定義情報は、ルート属性を共有する複数のネットワークオブジェクト、パケットヘッダ属性を共有する複数のネットワークオブジェクト、パケットペイロード属性を共有する複数のネットワークオブジェクト、識別情報を共有する複数のネットワークオブジェクト、複数のＶＬＡＮ、複数のＶＮＩＤ、複数のＶＲＦ、複数のＥＰＧ、またはロケーションもしくはネットワークサイト識別子情報を１つ以上のゾーン内に共有する複数のネットワークオブジェクトのうちの少なくとも１つをマッピングする情報を含むことができ、各ゾーンは、複数のエッジネットワークデバイスのインターフェースに対してアンバインドできる。

【0025】

いくつかの実施形態では、第３のゾーンにマッピングされたネットワークセグメントのいずれも、１つ以上の第１のエッジネットワークデバイスから第１の時間に到達可能ではなくてもよく、１つ以上の第１のエッジネットワークデバイスは、第３のゾーンにマッピングされた任意のネットワークセグメントと１つ以上の第１のエッジネットワークデバイスとの間の第２のルーティング情報を除外し得る。ネットワークコントローラは、第３のゾーンにマッピングされた１つ以上の第３のネットワークセグメントが、第２の時間に１つ以上の第１のエッジネットワークデバイスから到達可能であると判定することができる。ネットワークコントローラは、１つ以上の第３のネットワークセグメントと１つ以上の第１のエッジネットワークデバイスとの間の第２のルーティング情報でマスタールートテーブルを更新することができる。ネットワークコントローラは、第２のＺＦＷポリシーを評価して、１つ以上の第１のエッジネットワークデバイスが１つ以上の第３のネットワークセグメントに到達することができ、かつ第３のゾーンが、第２のＺＦＷポリシーによって指定された第２送信元ゾーンであることと、第２のＺＦＷポリシーによって指定された第２の宛先ゾーンにマッピングされた１つ以上の第４のネットワークセグメントに到達することができる１つ以上の第３のエッジネットワークデバイスと、マスタールートテーブルからの、１つ以上の第３のネットワークセグメント、１つ以上の第１のエッジネットワークデバイス、１つ以上の第３のエッジネットワークデバイス、および１つ以上の第４のネットワークセグメント間の、第３のルーティング情報と、を判定することができる。ネットワークコントローラは、第３のルーティング情報を、１つ以上の第１のエッジネットワークデバイスおよび１つ以上の第３のエッジネットワークデバイスに伝送することができる。

【0026】

いくつかの実施形態では、ネットワークコントローラは、１つ以上の第１のネットワークセグメントが、１つ以上の第１のエッジネットワークデバイスから到達可能ではなくなったと判定することができる。ネットワークコントローラは、１つ以上の第１のエッジネットワークデバイスから第１のルーティング情報を削除することができる。ネットワークコントローラは、１つ以上の第１のネットワークセグメントが、１つ以上の第３のエッジネットワークデバイスから到達可能であると判定することができる。ネットワークコントローラは、１つ以上の第１のネットワークセグメント、１つ以上の第３のエッジネットワークデバイス、１つ以上の第２のエッジネットワークデバイス、および１つ以上の第２のネットワークセグメント間の、第２のルーティング情報で、マスタールートテーブルを更新することができる。ネットワークコントローラは、第１のＺＦＷポリシーを評価して、１つ以上の第３のエッジネットワークデバイスが、１つ以上の第１のネットワークセグメント、１つ以上の第２のエッジネットワークデバイス、および第２のルーティング情報に到達することができると判定することができる。ネットワークコントローラは、第２のルーティング情報を、１つ以上の第３のエッジネットワークデバイスおよび１つ以上の第２のエッジネットワークデバイスに伝送することができる。

【0027】

いくつかの実施形態では、ネットワークコントローラは、ゾーン定義情報または１つ以上のＺＦＷポリシーのうちの少なくとも１つの１つ以上の更新を受信することができる。ネットワークコントローラは、１つ以上の更新に基づいて、第１のルーティング情報の少なくとも１つの第１のルートが利用可能ではなくなったと判定することができる。ネットワークコントローラは、１つ以上の第１のエッジネットワークデバイスから第１のルートを削除することができる。

【0028】

いくつかの実施形態では、ネットワークコントローラは、第１のＺＦＷポリシーによって指定された１つ以上の送信元適合条件に対応する１つ以上の送信元プレフィックスを判定することができる。ネットワークコントローラは、第１のＺＦＷポリシーによって指定された１つ以上の宛先適合条件に対応する１つ以上の宛先プレフィックスを判定することができる。ネットワークコントローラは、１つ以上の送信元プレフィックスと１つ以上の宛先プレフィックスとに基づいて、マスタールートテーブルから第１のルーティング情報を取り出すことができる。ネットワークコントローラは、１つ以上の宛先プレフィックスと１つ以上の送信元プレフィックスとに基づいて、マスタールートテーブルから第２のルーティング情報を取り出すことができる。ネットワークコントローラは、送信元が送信元プレフィックスに対応し、かつ宛先が１つ以上の宛先プレフィックスに対応するトラフィックを受信することに応答して、第２のルーティング情報を１つ以上の第２のエッジネットワークデバイスおよび１つ以上の第１のエッジネットワークデバイスに伝送することができる。

【0029】

いくつかの実施形態では、ネットワークコントローラは、第１のＺＦＷポリシーの１つ以上のデフォルトの送信元適合条件に対応する１つ以上の送信元プレフィックスを判定することができる。ネットワークコントローラは、第１のＺＦＷポリシーの１つ以上のデフォルトの宛先適合条件に対応する１つ以上の宛先プレフィックスを判定することができる。ネットワークコントローラは、１つ以上の送信元プレフィックスと１つ以上の宛先プレフィックスとに基づいて、マスタールートテーブルから第１のルーティング情報を取り出すことができる。

【0030】

図１は、本技術の態様を実装するためのネットワークアーキテクチャ１００の例を例示している。ネットワークアーキテクチャ１００の実装形態の例は、Ｃｉｓｃｏ（登録商標）ソフトウェア定義ワイドエリアネットワーク（ＳＤ－ＷＡＮ）アーキテクチャである。ただし、当業者は、ネットワークアーキテクチャ１００および本開示で論じられる任意の他のシステムについて、同様のまたは代替の構成で追加のまたはより少ない構成要素があり得ることを理解するであろう。本開示で提供される説明図および例は、簡潔さおよび明快さのためである。他の実施形態は、異なる数および／またはタイプの要素を含み得るが、当業者は、そのような変形例が本開示の範囲から逸脱しないことを理解するであろう。

【0031】

この例では、ネットワークアーキテクチャ１００は、オーケストレーションプレーン１０２、管理プレーン１２０、制御プレーン１３０、およびデータプレーン１４０を含むことができる。オーケストレーションプレーン１０２は、オーバーレイネットワークにおけるエッジネットワークデバイス１４２（例えば、スイッチ、ルータなど）の自動オンボーディングを支援することができる。オーケストレーションプレーン１０２は、１つ以上の物理または仮想ネットワークオーケストレータアプライアンス１０４を含むことができる。ネットワークオーケストレータアプライアンス１０４は、エッジネットワークデバイス１４２の初期認証を実行し、制御プレーン１３０のデバイスとデータプレーン１４０のデバイスとの間の接続性をオーケストレートすることができる。いくつかの実施形態では、ネットワークオーケストレータアプライアンス１０４はまた、ネットワークアドレス変換（ＮＡＴ）の背後に位置するデバイスの通信を可能にすることもできる。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標） ＳＤＷＡＮ ｖＢｏｎｄアプライアンスが、ネットワークオーケストレータアプライアンス１０４として動作することができる。

【0032】

管理プレーン１２０は、ネットワークの集中構成および監視を担当することができる。管理プレーン１２０は、１つ以上の物理または仮想ネットワーク管理アプライアンス１２２を含むことができる。ネットワーク管理アプライアンス１２２は、グラフィカルユーザーインターフェースを介してネットワークの集中型管理を提供して、ユーザーがアンダーレイおよびオーバーレイネットワークにおけるエッジネットワークデバイス１４２およびリンク（例えば、インターネットトランスポートネットワーク１６０、マルチプロトコルラベルスイッチング（ＭＰＬＳ）ネットワーク１６２、４Ｇ／ＬＴＥネットワーク１６４）を監視、構成、および維持することを可能にすることができる。ネットワーク管理アプライアンス１２２は、マルチテナントをサポートし、異なるエンティティ（例えば、企業、企業内の部門、部門内のグループなど）と関連付けられた論理的に分離されたネットワークの集中型管理を可能にすることができる。代替的に、または加えて、ネットワーク管理アプライアンス１２２は、単一のエンティティのための専用のネットワーク管理システムであり得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＭａｎａｇｅアプライアンスが、ネットワーク管理アプライアンス１２２として動作することができる。

【0033】

管理プレーン１２０はまた、最高および最低の性能のアプリケーション、最も帯域幅を消費するアプリケーション、異常なアプリケーションファミリ（例えば、帯域幅消費が一定期間にわたって変化するアプリケーション）、ネットワーク可用性および回線可用性、キャリアヘルス、最高および最低の性能のトンネルなど、アプリケーションおよびネットワークの性能を経時的に可視化するためのアナリティクスエンジン１２４を含むことができる。アナリティクスエンジン１２４は、オーバーレイネットワークのグラフィカル表現を生成し、かつユーザーがドリルダウンして特定の時間に単一のキャリア、トンネル、またはアプリケーションの特性を表示することを可能にすることができる、ユーザーインターフェースを含み得る。ユーザーインターフェースは、ネットワークのインタラクティブな概要、およびさらなる詳細の入口点として機能することができる。いくつかの実施形態では、ユーザーインターフェースは、過去２４時間の情報を表示し、ユーザーがドリルダウンして、表示する異なるデータセットに対して異なる期間を選択することを可能にすることができる。ユーザーインターフェースはまた、ネットワークアナリティクスの中でもとりわけ、ネットワーク可用性、キャリアによるＷＡＮ性能、アプリケーションについてのデータを表示することもできる。

【0034】

いくつかの実施形態では、アナリティクスエンジン１２４は、アプリケーション性能に、個々のアプリケーション用にカスタマイズできる仮想体験品質（ｖＱｏＥ）値を提供することができる。この値は、０～１０の範囲を取り、０が最低の性能、１０が最高の性能である。アナリティクスエンジンは、遅延、損失、およびジッタに基づいてｖＱｏＥを計算し、アプリケーションごとに計算をカスタマイズすることができる。

【0035】

アナリティクスエンジン１２４は、ＷＡＮの計画と、履歴性能から、ＷＡＮを最適化するためのレコメンデーションの予測、提供までの、ＷＡＮの運用面と、に対する洞察を提供することができる。アナリティクスエンジン１２４は、数ヶ月のデータを格納し、機械学習アルゴリズムを適用し、ならびに固有の洞察およびレコメンデーションを提供することができる。例えば、アナリティクスエンジン１２４は、次の３～６ヶ月で追加の帯域幅を必要し得るサイトを計画するためのレコメンデーション予測、ネットワークおよびアプリケーションのコスト、性能、および可用性をバランスさせるための機会を識別するのに役立つｗｈａｔ－ｉｆシナリオ、ＷＡＮを微調整するための履歴情報に基づくアプリケーション対応のルーティングポリシー、特定のロケーションのためのレコメンドされるネットワークサービスプロバイダなどを提供することができる。

【0036】

制御プレーン１３０は、ネットワークトポロジーを構築および維持し、トラフィックが流れる場所を決定することができる。制御プレーン１３０は、１つ以上の物理または仮想ネットワークコントローラアプライアンス１３２を含むことができる。ネットワークコントローラアプライアンス１３２は、各エッジネットワークデバイス１４２へのセキュアな接続を確立し、制御プレーンプロトコル（例えば、オーバーレイ管理プロトコル（ＯＭＰ）（以下でさらに詳細に論じられる）、オープンショーテストパスファースト（ＯＳＰＦ）、中間システムツー中間システム（ＩＳ－ＩＳ）、ボーダゲートウェイプロトコル（ＢＧＰ）、プロトコル独立マルチキャスト（ＰＩＭ）、インターネットグループ管理プロトコル（ＩＧＭＰ）、インターネット制御通知プロトコル（ＩＣＭＰ）、アドレス解決プロトコル（ＡＲＰ）、双方向フォワーディング検出（ＢＦＤ）、リンクアグリゲーション制御プロトコル（ＬＡＣＰ）など）を介してルート情報およびポリシー情報を配布することができる。いくつかの実施形態では、ネットワークコントローラアプライアンス１３２は、ルートリフレクタとして動作することができる。ネットワークコントローラアプライアンス１３２はまた、エッジネットワークデバイス１４２同士および間のデータプレーン１４０内のセキュアな接続性をオーケストレートすることもできる。例えば、いくつかの実施形態では、ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２間で暗号鍵情報を配布することができる。これにより、ネットワークは、インターネットキー交換（ＩＫＥ）なしで、セキュアなネットワークプロトコルまたはアプリケーション（例えば、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）、トランスポート層セキュリティ（ＴＬＳ）、セキュアシェル（ＳＳＨ）など）をサポートし、ネットワークのスケーラビリティを可能にすることができるようになる。いくつかの実施形態では、物理または仮想のＣｉｓｃｏ（登録商標） ＳＤ－ＷＡＮ ｖＳｍａｒｔコントローラが、ネットワークコントローラアプライアンス１３２として動作することができる。

【0037】

データプレーン１４０は、制御プレーン１３０からの決定に基づいてパケットを転送することを担当することができる。データプレーン１４０は、物理または仮想ネットワークデバイスであり得るエッジネットワークデバイス１４２を含むことができる。エッジネットワークデバイス１４２は、１つ以上のデータセンターまたはコロケーションセンター１５０、構内ネットワーク１５２、ブランチオフィスネットワーク１５４、ホームオフィスネットワーク１５６において、またはクラウド（例えば、インフラストラクチャアズアサービス（ＩａａＳ）、プラットフォームアズアサービス（ＰａａＳ）、ＳａａＳ、および他のクラウドサービスプロバイダネットワーク）においてなど、組織と関連付けられた様々なネットワークサイトのエッジで、動作することができる。エッジネットワークデバイス１４２は、１つ以上のインターネットトランスポートネットワーク１６０（例えば、デジタル加入者回線（ＤＳＬ）、ケーブルなど）、ＭＰＬＳネットワーク１６２（または他のプライベートパケット交換ネットワーク（例えば、メトロイーサネット、フレームリレー、非同期転送モード（ＡＴＭ）など）、モバイルネットワーク１６４（例えば、３Ｇ、４Ｇ／ＬＴＥ、５Ｇなど）、または他のＷＡＮ技術（例えば、同期光ネットワーキング（ＳＯＮＥＴ）、同期デジタル階層（ＳＤＨ）、高密度波長分割多重（ＤＷＤＭ）、または他の光ファイバ技術、リース回線（例えば、Ｔｌ／Ｅｌ、Ｔ３／Ｅ３など）、公衆交換電話網（ＰＳＴＮ）、統合サービスデジタルネットワーク（ＩＳＤＮ）、または他のプライベート回線交換網、小口径局（ＶＳＡＴ）または他の衛星ネットワークなど）を介するなど、１つ以上のＷＡＮトランスポートを介したサイト間のセキュアなデータプレーン接続性を提供することができる。エッジネットワークデバイス１４２は、タスクの中でもとりわけ、トラフィック転送、セキュリティ、暗号化、サービス品質（ＱｏＳ）、およびルーティング（例えば、ＢＧＰ、ＯＳＰＦなど）を担当することができる。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標） ＳＤ－ＷＡＮ ｖＥｄｇｅルータが、エッジネットワークデバイス１４２として動作することができる。

【0038】

図２は、ネットワークアーキテクチャ１００の様々な態様を示すためのネットワーク環境２００の例を例示している。ネットワーク環境２００は、管理ネットワーク２０２、ネットワークサイト２０４Ａおよび２０４Ｂ（集合的に、２０４）の対（例えば、データセンター１５０、構内ネットワーク１５２、ブランチオフィスネットワーク１５４、ホームオフィスネットワーク１５６、クラウドサービスプロバイダネットワークなど）、およびインターネットトランスポートネットワーク１６０Ａおよび１６０Ｂ（総称して、１６０）の対を含むことができる。管理ネットワーク２０２は、１つ以上のネットワークオーケストレータアプライアンス１０４、１つ以上のネットワーク管理アプライアンス１２２、および１つ以上のネットワークコントローラアプライアンス１３２を含むことができる。この例では、管理ネットワーク２０２は単一のネットワークとして示されているが、当業者は、管理ネットワーク２０２の各オブジェクトが、任意の数のネットワークに分散され、および／またはサイト２０４とコロケートされ得ることを理解するであろう。この例では、管理ネットワーク２０２の各オブジェクトに、トランスポートネットワーク１６０Ａまたは１６０Ｂのいずれかを介して到達することができる。

【0039】

各サイトは、１つ以上のアクセスネットワークデバイス２０８に接続された１つ以上のエンドポイント２０６を含むことができる。エンドポイント２０６は、汎用コンピューティングデバイス（例えば、サーバ、ワークステーション、デスクトップコンピュータなど）、モバイルコンピューティングデバイス（例えば、ラップトップ、タブレット、携帯電話など）、ウェアラブルデバイス（例えば、腕時計、眼鏡または他のヘッドマウントディスプレイ（ＨＭＤ）、イヤーデバイスなど）などを含むことができる。エンドポイント２０６はまた、農業機器（例えば、家畜追跡および管理システム、給水デバイス、無人航空機（ＵＡＶ）など）、コネクテッドカーおよび他の車両、スマートホームセンサおよびデバイス（例えば、警報システム、セキュリティカメラ、照明、電化製品、メディアプレーヤー、ＨＶＡＣ機器、ユーティリティメータ、窓、自動ドア、ドアベル、ロックなど）、オフィス機器（例えば、デスクトップ電話、コピー機、ファクシミリ機など）、ヘルスケアデバイス（例えば、ペースメーカ、生体認証センサ、医療機器など）、産業用機器（例えば、ロボット、工場機械、建設機器、産業用センサなど）、小売機器（例えば、自動販売機、店舗販売時点情報管理（ＰＯＳ）デバイス、無線周波数識別（ＲＦＩＤ）タグなど）、スマートシティデバイス（例えば、街灯、パーキングメータ、廃棄物管理センサなど）、輸送および物流機器（例えば、回転式改札口、レンタカートラッカ、ナビゲーションデバイス、在庫モニタなど）など、などのモノのインターネット（ＩｏＴ）デバイスまたは機器を含むことができる。

【0040】

アクセスネットワークデバイス２０８は、物理または仮想スイッチ、ルータ、および他のネットワークデバイスを含むことができる。この例では、サイト２０４Ａはアクセスネットワークデバイスの対を含んで示され、かつサイト２０４Ｂは単一のアクセスネットワークデバイスを含んで示されているが、アクセスネットワークデバイス２０８は、多層（例えば、コア層、ディストリビューション層、およびアクセス層）、スパインアンドリーフ、メッシュ、ツリー、バス、ハブアンドスポークなどを含む任意のネットワークトポロジー内の任意の数のネットワークデバイスを含むことができる。例えば、いくつかの実施形態では、１つ以上のデータセンターネットワークは、Ｃｉｓｃｏ（登録商標）アプリケーションセントリックインフラストラクチャ（ＡＣＩ）アーキテクチャを実装し得、および／または１つ以上の構内ネットワークは、Ｃｉｓｃｏ（登録商標）ソフトウェア定義アクセス（ＳＤ－アクセスまたはＳＤＡ）アーキテクチャを実装し得る。アクセスネットワークデバイス２０８は、エンドポイント２０６を１つ以上のエッジネットワークデバイス１４２に接続することができ、エッジネットワークデバイス１４２を使用して、トランスポートネットワーク１６０に直接接続することができる。

【0041】

いくつかの実施形態では、「カラー」を使用して個々のＷＡＮトランスポートネットワークを識別することができ、異なるＷＡＮトランスポートネットワークに異なるカラーが割り当てられ得る（例えば、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ｂｉｚ－ｉｎｔｅｒｎｅｔ、ｍｅｔｒｏ－ｅｔｈｅｒｎｅｔ、ｌｔｅなど）。この例では、ネットワーク環境２００は、インターネットトランスポートネットワーク１６０Ａに対する「ｂｉｚ－ｉｎｔｅｒｎｅｔ」と呼ばれるカラーと、インターネットトランスポートネットワーク１６０Ｂに対する「ｐｕｂｌｉｃ－ｉｎｔｅｒｎｅｔ」と呼ばれるカラーと、を利用することができる。

【0042】

いくつかの実施形態では、各エッジネットワークデバイス１４２は、ネットワークコントローラアプライアンス１３２のうちの少なくとも１つとの、データグラムトランスポート層セキュリティ（ＤＴＬＳ）またはＴＬＳ制御接続を形成し、各トランスポートネットワーク１６０を介して任意のネットワークコントローラアプライアンス１３２に接続することができる。いくつかの実施形態では、エッジネットワークデバイス１４２はまた、ＩＰＳｅｃトンネルを介して他のサイトのエッジネットワークデバイスにセキュアに接続することもできる。いくつかの実施形態では、ＢＦＤプロトコルをこれらのトンネルの各々内で使用して、損失、レイテンシ、ジッタ、およびパス障害を検出し得る。

【0043】

エッジネットワークデバイス１４２上で、カラーを使用して、個々のＷＡＮトランスポートトンネルを識別するかまたは区別することに役立てることができる（例えば、単一のエッジネットワークデバイス上で同じカラーが２回使用されることはない場合がある）。カラー自体も、重要な意味を有することができる。例えば、カラーｍｅｔｒｏ－ｅｔｈｅｒｎｅｔ、ｍｐｌｓ、ならびにｐｒｉｖａｔｅ１、ｐｒｉｖａｔｅ２、ｐｒｉｖａｔｅ３、ｐｒｉｖａｔｅ４、ｐｒｉｖａｔｅ５、およびｐｒｉｖａｔｅ６は、プライベートネットワークに使用できるか、またはトランスポートＩＰエンドポイントのＮＡＴアドレス指定がない場所で使用できるプライベートカラーと見なされ得る（例えば、同じカラーの２つのエンドポイント間にＮＡＴがない場合があるため）。エッジネットワークデバイス１４２がプライベートカラーを使用するときに、これらのデバイスは、ネイティブ、プライベート、アンダーレイＩＰアドレスを使用して他のエッジネットワークデバイスへのＩＰＳｅｃトンネルを構築しようとし得る。パブリックカラーは、３ｇ、ｂｉｚ、ｉｎｔｅｒｎｅｔ、ｂｌｕｅ、ｂｒｏｎｚｅ、ｃｕｓｔｏｍｌ、ｃｕｓｔｏｍ２、ｃｕｓｔｏｍ３、ｄｅｆａｕｌｔ、ｇｏｌｄ、ｇｒｅｅｎ、ｌｔｅ、ｐｕｂｌｉｃ－ｉｎｔｅｒｎｅｔ、ｒｅｄ、ｓｉｌｖｅｒを含むことができる。パブリックカラーは、ＮＡＴ後のＩＰアドレス（関与しているＮＡＴがある場合）へのトンネルを構築するためにエッジネットワークデバイス１４２によって使用され得る。エッジネットワークデバイス１４２がプライベートカラーを使用し、かつ他のプライベートカラーと通信するためにＮＡＴを必要とする場合、構成におけるキャリア設定は、エッジネットワークデバイス１４２がプライベートＩＰアドレスを使用するかパブリックＩＰアドレスを使用するかを指示することができる。この設定を使用すると、一方または両方がＮＡＴを使用しているときに、２つのプライベートカラーが、セッションを確立することができる。

【0044】

図３は、ＯＭＰを介するなど、オーバーレイネットワークを管理するための例示的な手法のブロック図３００を例示している。この例では、ＯＭＰメッセージ３０２Ａおよび３０２Ｂ（総称して、３０２）は、それぞれ、ネットワークコントローラアプライアンス１３２とエッジネットワークデバイス１４２Ａおよび１４２Ｂとの間で往来伝送され得、ここで、ルートプレフィックス、ネクストホップルート、暗号鍵、ポリシー情報などの制御プレーン情報は、それぞれのセキュアなＤＴＬＳまたはＴＬＳ接続３０４Ａおよび３０４Ｂを介して交換できる。ネットワークコントローラアプライアンス１３２は、ルートリフレクタと同様に動作することができる。例えば、ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２からのルートを受信し、これらのルートを処理してポリシーを適用し、オーバーレイ内の他のエッジネットワークデバイス１４２へのルートをアドバタイズすることができる。定義されたポリシーがない場合、エッジネットワークデバイス１４２は、フルメッシュトポロジーと同様に動作し得、各エッジネットワークデバイス１４２は、別のサイトの別のエッジネットワークデバイス１４２に直接接続し、各サイトから完全なルーティング情報を受信することができる。

【0045】

ＯＭＰは、３つのタイプのルートをアドバタイズすることができる。

【0046】

・エッジネットワークデバイス１４２のローカルサイトまたはサービス側から学習したプレフィックスに対応することができるＯＭＰルート。プレフィックスは、静的ルートまたは接続されたルートとして、またはルーティングプロトコル（ＢＧＰ、ＯＳＰＦなど）内から発信され、オーバーレイの全体にわたって伝達できるようにＯＭＰに再配布され得る。ＯＭＰルートは、トランスポートロケーション（ＴＬＯＣ）情報（ＢＧＰネクストホップＩＰアドレスに類似し得る）などの属性と、発信元、発信者、プリファレンス、サイト識別子、タグ、およびＶＰＮ識別子などの他の属性と、をアドバタイズすることができる。ＯＭＰルートは、ＯＭＰルートが指すＴＬＯＣがアクティブな場合、転送テーブルにインストールされ得る。

【0047】

・トランスポートネットワーク１６０に接続するエッジネットワークデバイス１４２上の論理トンネル終端ポイントに対応し得るＴＬＯＣルート。いくつかの実施形態では、ＴＬＯＣルートは、一意に識別され、ＩＰアドレス、リンクカラー、およびカプセル化（例えば、ジェネリックルーティングカプセル化（ＧＲＥ）、ＩＰＳｅｃなど）を含む３つのタプルによって表され得る。システムＩＰアドレス、カラー、およびカプセル化に加えて、ＴＬＯＣルートはまた、ＴＬＯＣプライベートおよびパブリックＩＰアドレス、キャリア、プリファレンス、サイト識別子、タグ、および重みなどの属性を伝達することもできる。いくつかの実施形態では、アクティブなＢＦＤセッションがそのＴＬＯＣと関連付けられているときに、ＴＬＯＣは、特定のエッジネットワークデバイス１４２上でアクティブ状態にあり得る。

【0048】

・エッジネットワークデバイス１４２のローカルサイトに接続され、かつサービス挿入と共に使用するために他のサイトにアクセス可能である得るサービス（例えば、ファイアウォール、分散型サービス拒否（ＤＤｏＳ）ミティゲータ、負荷バランサ、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、ＷＡＮオプティマイザなど）を表すことができる、サービスルート。加えて、これらのルートはまた、ＶＰＮを含むこともでき、ＶＰＮラベルを更新タイプで送信して、どのようなＶＰＮがリモートサイトでサービスされるかをネットワークコントローラアプライアンス１３２に通知することができる。

【0049】

図３の例では、ＯＭＰは、エッジネットワークデバイス１４２とネットワークコントローラアプライアンス１３２との間に確立されたＤＴＬＳ／ＴＬＳトンネル３０４上で実行されていることが示されている。加えて、ブロック図３００は、ＷＡＮトランスポートネットワーク１６０Ａを介してＴＬＯＣ ３０８Ａおよび３０８Ｃ間に確立されたＩＰＳｅｃトンネル３０６Ａと、ＷＡＮトランスポートネットワーク１６０Ｂを介してＴＬＯＣ ３０８ＢとＴＬＯＣ ３０８Ｄとの間に確立されたＩＰＳｅｃトンネル３０６Ｂと、を示す。ＩＰＳｅｃトンネル３０６Ａおよび３０６Ｂが確立されると、これらのＩＰＳｅｃトンネルの各々の全体にわたってＢＦＤを有効にすることができる。

【0050】

いくつかの実施形態では、ネットワーク全体のセグメント化は、ネットワークのエッジ（例えば、エッジネットワークデバイス１４２）でネットワークオブジェクト（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧなど）のグループ化を定義し、かつ中間ノードが処理するパケット内のセグメント化情報を伝達することによって、実装できる。例えば、エッジネットワークデバイス１４２Ａは、プレフィックス１０．１．１．０／２４（例えば、接続されたインターフェースを介して直接、または内部ゲートウェイプロトコル（ＩＧＰ）またはボーダーゲートウェイプロトコル（ＢＧＰ）を介して学習するかのいずれか）に対応する「ｒｅｄ」のＶＰＮ、およびプレフィックス１０．２．２．０／２４に対応する「ｂｌｕｅ」のＶＰＮである、２つのＶＰＮにサブスクライブすることができる。エッジネットワークデバイス１４２Ｂは、同様に、プレフィックス１９２．１６８．１．０／２４に対応するｒｅｄのＶＰＮ、およびプレフィックス１９２．１６８．２．０／２４（接続されたインターフェースを介して直接、またはＩＧＰもしくはＢＧＰを介して学習するかのいずれか）に対応するｂｌｕｅのＶＰＮである、２つのＶＰＮにサブスクライブすることができる。

【0051】

エッジネットワークデバイス１４２は、ＴＬＳトンネル３０４を介してネットワークコントローラアプライアンス１３２へのＯＭＰ接続３０２を有するため、これらのエッジネットワークデバイスは、これらのエッジネットワークデバイスのルーティング情報をネットワークコントローラアプライアンス１３２に伝播することができる。ネットワークコントローラアプライアンス１３２に対して、ネットワーク管理者は、ポリシーを行使してルートをドロップして、トラフィックエンジニアリングもしくはサービスチェイニングのためにＴＬＯＣ（ネクストホップにオーバーレイすることができる）を変更するか、またはＶＰＮ識別子を変更することができる。ネットワーク管理者は、これらのポリシーをネットワークコントローラアプライアンス１３２に対するインバウンドポリシーまたはアウトバウンドポリシーとして適用することができる。

【0052】

単一のＶＰＮに属するプレフィックスは、別個のルートテーブルに保持できる。このことは、ネットワーク内の様々なセグメントにレイヤー３分離を提供することができる。したがって、エッジネットワークデバイス１４２は各々、２つのＶＰＮルートテーブルを有することができる。加えて、ネットワークコントローラアプライアンス１３２は、各プレフィックスのＶＰＮコンテキストを維持することができる。別個のルートテーブルは、単一のノードで分離を提供することができる。いくつかの実施形態では、ＶＰＮ識別子を使用して、ネットワーク全体にわたってルーティング情報を伝播することができる。パケットで伝達されるＶＰＮ識別子は、リンク上の各ＶＰＮを識別することができる。ＶＰＮが特定のエッジネットワークデバイス上で構成されているときに、ＶＰＮは、リンクカラーまたはリンクカラーと関連付けられたラベルを有することができる。エッジネットワークデバイスは、リンクカラーまたはラベルを、ＶＰＮ識別子と共に、ネットワークコントローラアプライアンス１３２に送信することができる。ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイスをＶＰＮ識別子にマッピングする情報を、ネットワーク内の他のエッジネットワークデバイスに伝播することができる。次いで、リモートエッジネットワークデバイスは、リンクカラーまたはラベルを使用して、トラフィックを適切なＶＰＮに送信することができる。ローカルエッジネットワークデバイスは、ＶＰＮ識別子リンクカラーまたはラベルを有するデータを受信すると、リンクカラーまたはラベルを使用してデータトラフィックを多重分離することができる。この例では、エッジネットワークデバイス１４２を接続するトランスポートネットワーク１６０は、ＶＰＮに非対応であり得、エッジネットワークデバイス１４２は、ＶＰＮについて知り得、ネットワークの残りの部分は、標準ルーティングに従うことができる。

【0053】

いくつかの実施形態では、ポリシーを使用して、エッジネットワークデバイス１４２間のトラフィックの流れに影響を与えることができる。ポリシーは、集中型またはローカルとして特徴付けできる。集中型ポリシーは、ネットワークコントローラアプライアンス１３２上でプロビジョニングでき、ローカライズされたポリシーは、ブランチまたは企業サイトと、インターネットトランスポートネットワーク１６０、ＭＰＬＳネットワーク１６２、４Ｇ／ＬＴＥネットワーク１６４などのトランスポートネットワークと、の間のネットワークエッジに位置し得るエッジネットワークデバイス１４２上でプロビジョニングできる。

【0054】

ポリシーはまた、ネットワークの制御プレーン内のルーティング情報のフローに影響を与え得る制御ポリシーもしくはルーティングポリシー、またはネットワークのデータプレーン内のデータトラフィックのフローに影響を与え得るデータポリシーとしても、特徴付けできる。集中型制御ポリシーは、ネットワークコントローラアプライアンス１３２のマスタールートテーブルに格納され、かつエッジネットワークデバイス１４２にアドバタイズされる情報に影響を与えることによって、トラフィックのネットワーク全体のルーティングに適用できる。集中型制御ポリシーの効果は、どのようにエッジネットワークデバイス１４２がトラフィックをこのエッジネットワークデバイスの宛先に向けるかにおいて確認できる。集中型制御ポリシー構成自体は、ネットワークコントローラアプライアンス１３２上にとどまり、エッジネットワークデバイス１４２にプッシュされないことが可能である。

【0055】

集中型制御ポリシーがプロビジョニングされていないときに、すべてのＯＭＰルートは、ネットワークコントローラアプライアンス１３２のマスタールートテーブルに配置でき、ネットワークコントローラアプライアンス１３２は、同じセグメント（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧ、またはホストの他のコレクション）内のエッジネットワークデバイス１４２のすべてにすべてのＯＭＰルートをアドバタイズすることができる。集中型制御ポリシーをプロビジョニングすることによって、管理者または他のユーザーは、いずれのＯＭＰルートがネットワークコントローラアプライアンス１３２のマスタールートテーブルに配置されるか、どのようなルート情報がエッジネットワークデバイス１４２にアドバタイズされるか、およびＯＭＰルートが、マスタールートテーブルに投入される前、またはアドバタイズされる前に修正されるかどうかに影響を与えることができる。

【0056】

集中型制御ポリシーがプロビジョニングされているときに、ネットワークコントローラアプライアンス１３２は、ルート情報をエッジネットワークデバイス１４２に再配布するか、またはネットワークコントローラアプライアンス１３２のマスタールートテーブルに格納されるか、もしくはネットワークコントローラアプライアンス１３２によってアドバタイズされるルート情報を修正することができる。ネットワークコントローラアプライアンス１３２は、（ネットワークコントローラアプライアンス１３２に関して）インバウンド方向またはアウトバウンド方向のいずれかでネットワーク内の特定のサイトに制御ポリシーを適用することによって、制御ポリシーをアクティブ化することができる。インバウンド方向に集中型制御ポリシーを適用することは、エッジネットワークデバイス１４２によってアドバタイズされているルートを、これらのルートがネットワークコントローラアプライアンス１３２上のマスタールートテーブルに配置される前に、フィルタリングするか、または修正することができる。プロセスにおける最初のステップとして、ルートを、承認するか、または拒絶することができる。承認されたルートは、制御ポリシーによって受け入れられたものとして、または修正されたものとしてのいずれかで、ネットワークコントローラアプライアンス１３２上のマスタールートテーブルにインストールできる。制御ポリシーによって拒絶されたルートは、暗黙的に破棄できる。

【0057】

アウトバウンド方向に制御ポリシーを適用することは、ネットワークコントローラアプライアンス１３２がエッジネットワークデバイス１４２に再配布するルートを、フィルタリングするか、または修正することができる。アウトバウンドポリシーの最初のステップとして、ルートを承認するか、または拒絶するかのいずれかを行うことができる。承認されたルートについて、集中型制御ポリシーは、これらのルートがネットワークコントローラアプライアンス１３２によって配布される前にルートを修正することができる。アウトバウンドポリシーによって拒絶されたルートは、アドバタイズされない。

【0058】

エッジネットワークデバイス１４２は、データトラフィックを転送するときに使用するために、ネットワークコントローラアプライアンス１３２から学習したルート情報を、これらのエッジネットワークデバイスのローカルルートテーブル内に配置することができる。ネットワークコントローラアプライアンス１３２は、ネットワーク内の集中型ルーティングシステムとして動作することができるため、エッジネットワークデバイス１４２は、これらのエッジネットワークデバイスがネットワークコントローラアプライアンス１３２から学習するＯＭＰルート情報を修正しない。ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２からＯＭＰルートアドバタイズメントを定期的に受信することができ、ネットワークを通るルーティングパスを再計算および更新した後、ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２に新しいルーティング情報をアドバタイズすることができる。

【0059】

ネットワークコントローラアプライアンス１３２上にプロビジョニングされた集中型制御ポリシーは、ネットワークコントローラアプライアンス上にとどまり、エッジネットワークデバイス１４２にダウンロードされないことが可能である。ただし、集中型制御ポリシーから結果として生じるルーティング決定を、ルートアドバタイズメントの形態でエッジネットワークデバイス１４２に渡すことができるため、制御ポリシーの効果は、エッジネットワークデバイス１４２がどのようにデータトラフィックをこのエッジネットワークデバイスの宛先に向けるかに反映され得る。

【0060】

ローカライズされた制御ポリシーは、エッジネットワークデバイス１４２上でローカルにプロビジョニングできる。ローカライズされた制御ポリシーは、どのようにＢＧＰおよびＯＳＰＦルーティング（または他のルーティングプロトコル）ビヘイビアをサイトローカルネットワーク上で修正することができるかなどの、従来のルータで構成されるルーティングポリシーと同様であり得る。ローカライズされたデータポリシーは、エッジネットワークデバイス１４２上の特定の１つまたは複数のインターフェースへのアクセスリストのプロビジョニングおよび適用を可能にすることができる。単純なアクセスリストは、集中型データポリシーの場合と同じ方式で、６タプルの適合（例えば、送信元ＩＰアドレスおよび宛先のＩＰアドレスとポート、ＤＳＣＰフィールド、ならびにプロトコル）に基づいてアクセスを許容および制約することができる。アクセスリストはまた、サービスクラス（ＣｏＳ）、ポリシング、およびミラーリングのプロビジョニングを可能にすることもでき、これは、どのようにデータトラフィックがエッジネットワークデバイス１４２のインターフェースおよびインターフェースキューに出入りするかを制御することができる。

【0061】

集中型データポリシーは、ネットワーク全体を通したデータトラフィックのフローに適用できる。集中型データポリシーがプロビジョニングされていないときに、特定のネットワークセグメント（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧ、または他のネットワークセグメント技術）内のすべてのプレフィックスは、そのセグメントから到達可能であり得る。集中型データポリシーをプロビジョニングすることは、送信元と宛先との間のアクセスを制御する６タプルフィルタを適用することができる。集中型制御ポリシーと同様に、集中型データポリシーは、ネットワークコントローラアプライアンス１３２上でプロビジョニングでき、その構成は、ネットワークコントローラアプライアンス１３２上にとどまることができる。データポリシーの効果は、どのようにエッジネットワークデバイス１４２がデータトラフィックをこのエッジネットワークデバイスの宛先に向けるかに反映され得る。ただし、制御ポリシーとは異なり、集中型データポリシーは、読み取り専用方式でエッジネットワークデバイス１４２にプッシュされ得る。

【0062】

いくつかの実施形態では、集中型データポリシーは、リスト、ポリシー定義（またはポリシー）、およびポリシー適用を使用して、ネットワークコントローラアプライアンス１３２上で構成できる。リストは、ポリシー適用またはポリシー適合のターゲットを定義することができる。リストのいくつかの例は、プレフィックスリスト（例えば、ポリシーと共に使用するためのプレフィックスのリスト）、サイトリスト（例えば、ポリシー定義およびポリシー適用で使用するためのサイト識別子のリスト）、ＴＬＯＣリスト（例えば、ポリシー定義で使用するためのＴＬＯＣのリスト）、およびＶＰＮリスト（例えば、ポリシーで使用するためのＶＰＮのリスト）または他のネットワークセグメントのリスト（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＥＰＧ、または他のネットワークセグメント化技術）を含むことができる。ポリシー定義（またはポリシー）は、制御および転送の態様を制御することができる。ポリシー定義（またはポリシー）は、制御ポリシー、データポリシー、ＺＦＷポリシー（例えば、ゾーンを定義し、かつゾーン間のトラフィックを制御するポリシー）などの異なるタイプのポリシーを含むことができる。ポリシー適用は、ポリシーが適用される対象を制御することができる。ポリシー適用は、サイト指向であり、サイトリストによって定義できる。

【0063】

図４は、ＶＰＮを使用してネットワークをセグメント化するための手法の例のブロック図４００を例示している。ＶＰＮは、互いに分離でき、独自の転送テーブルを有することができる。インターフェースまたはサブインターフェースは、単一のＶＰＮの下で明示的に構成でき、複数のＶＰＮの一部ではないことが可能である。ＯＭＰルート属性において、およびパケットカプセル化において、パケットが属するＶＰＮを識別することができるラベルが使用され得る。ＶＰＮ番号は、０～６５５３０の値を有する４バイトの整数であり得る。いくつかの実施形態では、各エッジネットワークデバイス１４２は、トランスポートＶＰＮ４０２（例えば、ＶＰＮ番号０）および管理ＶＰＮ４０４（例えば、ＶＰＮ番号５１２）を含むことができる。トランスポートＶＰＮ４０２は、ＷＡＮトランスポートネットワーク（例えば、インターネットトランスポートネットワーク１６０およびＭＰＬＳネットワーク１６２）にそれぞれ接続する１つ以上の物理または仮想ネットワークインターフェース（例えば、ギガビットイーサネットネットワークインターフェース４０８Ａおよび４０８Ｂ）を含むことができる。ネットワークコントローラアプライアンス１３２への、またはネットワークコントローラアプライアンス１３２とネットワークオーケストレータアプライアンス１０４との間のセキュアなＤＴＬＳ／ＴＬＳ接続は、トランスポートＶＰＮ４０２から開始できる。加えて、制御プレーン１３０が確立され得、かつＩＰＳｅｃトンネル３０６（図示せず）がリモートサイトに接続できるように、静的なまたはデフォルトのルートまたは動的なルーティングプロトコルをトランスポートＶＰＮ４０２内に構成して、適切なネクストホップ情報を取得することができる。

【0064】

管理ＶＰＮ４０４は、管理ネットワークインターフェース４１０を介して、ネットワークオーケストレータアプライアンス１０４、ネットワーク管理アプライアンス１２２、ネットワークコントローラアプライアンス１３２、および／またはエッジネットワークデバイス１４２との間で帯域外管理トラフィックを実行することができる。いくつかの実施形態では、管理ＶＰＮ４０４は、オーバーレイネットワークの全体にわたって伝達されなくてもよい。

【0065】

トランスポートＶＰＮ４０２および管理ＶＰＮ４０４に加えて、各エッジネットワークデバイス１４２はまた、１つ以上の他のサービスＶＰＮ４０６を含むこともできる。サービスＶＰＮ４０６は、１つ以上のローカルサイトネットワーク４１２に接続し、かつデータトラフィックを伝達する１つ以上の物理または仮想ネットワークインターフェース（例えば、ギガビットイーサネットネットワークインターフェース４０８Ｃおよび４０８Ｄ）を含むことができる。サービスＶＰＮ４０６は、ＯＳＰＦまたはＢＧＰ、仮想ルータ冗長プロトコル（ＶＲＲＰ）、ＱｏＳ、トラフィックシェーピング、ポリシングなどの機能を提供するように構成できる。いくつかの実施形態では、サイト４１２でネットワークコントローラアプライアンス１３２から受信されたＯＭＰルートを、サービスＶＰＮ４０６用に構成されたルーティングプロトコルに再分配することによって、データトラフィックを、ＩＰＳｅｃトンネルを介して他のサイトに向けることができる。次に、サービスＶＰＮルートをＯＭＰルーティングプロトコルにアドバタイズすることによって、ローカルサイト４１２からのルートを他のサイトにアドバタイズすることができ、これは、ネットワークコントローラアプライアンス１３２に送信され、ネットワーク内の他のエッジネットワークデバイス１４２に再配布され得る。

【0066】

図５は、インテントベースのＺＦＷポリシーモデルの態様を示すためのネットワーク環境５００の例のブロック図を例示している。この例では、ネットワーク環境５００は、エッジネットワークデバイス１４２Ａおよび１４２Ｂ（総称して、１４２）、インターネット１６０、ストアネットワーク５０２、プリンタネットワーク５０４、技術サービスネットワーク５０６、ゲストＷｉ－Ｆｉネットワーク５０８、データセンター（ＤＣ）ネットワーク５１０、およびＤＣ技術サービスネットワーク５１２を含む。インターネットは、ＩＰアドレス１７４．１１．１．２および１０．０．０．１２と関連付けられ得る。ストアネットワーク５０２は、ＩＰアドレス１０．１７．３６．２と関連付けられ得る。プリンタネットワーク５０４は、ＩＰサブネット１７３．１１．１．２／２４と関連付けられ得る。技術サービスネットワーク５０６は、ＩＰサブネット１７３．１１．２／２４と関連付けられ得る。ゲストＷｉ－Ｆｉネットワーク５０８は、ＩＰアドレス１０２．１０２．１０２．２と関連付けられ得る。ＤＣネットワーク５１０は、ＩＰサブネット１７２．１１．１１．２／２４と関連付けられ得る。ＤＣ技術サービスネットワーク５１２は、ＩＰサブネット１７２．１１．１２．２／２４と関連付けられ得る。

【0067】

ネットワーク環境５００のオペレータは、特定のトラフィック（例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなど）のステートフルインスペクションを使用してネットワークを保護することを望み得る。例えば、ネットワークオペレータは、ネットワーク環境５００を構成して、（ｉ）ゲストＷｉ－Ｆｉネットワーク５０８がインターネット１６０へのトラフィックを開始し、戻りトラフィックを許容するが、ゲストＷｉ－Ｆｉネットワーク５０８とネットワーク環境５００の他の部分との間のトラフィックを禁止することを可能にし、（ｉｉ）ストアネットワーク５０２がプリンタネットワーク５０４およびＤＣネットワーク５１０へのトラフィックを開始し、戻りトラフィックを許容するが、ストアネットワーク５０２とネットワーク環境５００の他の部分との間のトラフィックを禁止することを可能にし、（ｉｉｉ）インターネット１６０、プリンタネットワーク５０４、技術サービスネットワーク５０６、およびＤＣネットワーク５１０がネットワーク環境５００の他の部分とのトラフィックを開始することを禁止し、および（ｉｖ）ＤＣ技術サービスネットワーク５１２が技術サービスネットワーク５０６へのトラフィックを開始し、戻りトラフィックを許可するが、ＤＣ技術サービスネットワーク５１２とネットワーク環境５００の他の部分との間のトラフィックを禁止することを望み得る。

【0068】

上記の目的は、図５では、方向を示す太い実線、および太い破線によって、示されている。方向を示す太い実線は、方向を示す矢印で示されたＶＰＮ（例えば、ストアネットワーク５０２、ゲストＷｉ－Ｆｉネットワーク５０８、およびＤＣ技術サービスネットワーク５１２）から発信されたトラフィックを表すことができ、太い破線は、戻りトラフィックを表すことができる。細い線は、ネットワーク５０２～５１２とインターネット１６０との間の物理的な接続を表すことができる。

【0069】

従来のゾーンベースのポリシーモデルを使用して上記の目的を実行するには、管理者または他のユーザーが、ネットワーク５０２～５１２およびインターネット１６０のいくつかのゾーン、上記で論じられたゾーン間通信を可能にするための特定のゾーンペア、上記の通信を可能にするための第１のエッジネットワークデバイス１４２Ａにおける第１のセットの従来のＺＦＷポリシーおよび第２のエッジネットワークデバイス１４２Ｂにおける第２のセットの従来のＺＦＷポリシー、第１のセットの従来のＺＦＷポリシーをミラーリングする第２のエッジネットワークデバイス１４２Ｂにおける第３のセットの従来のＺＦＷポリシーおよび第２のセットの従来のＺＦＷポリシーをミラーリングする第２のエッジネットワークデバイス１４２Ｂにおける第４のセットの従来のＺＦＷポリシーを定義する必要があり得る。加えて、管理者または他のユーザーは、従来のＺＦＷポリシーを、第１のエッジネットワークデバイス１４２Ａおよび第２のエッジネットワークデバイス１４２Ｂの特定のインターフェース上に別々にインストールする必要があり得る。

【0070】

様々な実施形態では、管理者または他のユーザーは、代わりに、集中型ネットワーク管理システム内で、インターフェースから切り離されたインテントベースのＺＦＷポリシーモデルを構成してもよい。図６は、インテントベースのＺＦＷポリシーモデルを実装するためのプロセス６００のフロー図の例を例示している。当業者は、本明細書で論じられる任意のプロセスについて、別段述べない限り、様々な実施形態の範囲内で、同様のもしくは代替の順序で、または並行して実行される、追加の、より少ない、または代替のステップがあり得ることを理解するであろう。プロセス６００は、ネットワークオーケストレータアプライアンス１０４、ネットワーク管理アプライアンス１２２、ネットワークコントローラアプライアンス１３２、および／またはエッジネットワークデバイス１４２によって少なくとも部分的に実行され得る。

【0071】

プロセス６００は、ネットワークコントローラ（例えば、ネットワークコントローラアプライアンス１３２）が、ネットワークコントローラによって管理される複数のエッジネットワークデバイス（例えば、エッジネットワークデバイス１４２）から到達可能な複数のネットワークセグメントについてのマスタールートテーブルを生成することができるステップ６０２で開始し得る。いくつかの実施形態では、複数のネットワークセグメントは、ＶＰＮを含むことができる。他の実施形態は、代替的または追加的に、ルート属性（例えば、ＯＭＰルート属性、ＴＬＯＣルート属性など）、パケットヘッダ属性（例えば、送信元アドレス、送信元ポート、宛先アドレス、宛先ポート、プロトコル、ＤＳＣＰなど）、アイデンティティベースの属性（ユーザー識別子、グループ、ロールなど）、他のタイプの仮想ネットワークセグメント（例えば、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＥＰＧなど）など）、ロケーションもしくはネットワークサイト識別子（例えば、構内、データセンター、ブランチなど）、またはネットワークオブジェクトの他のコレクション（例えば、ユーザー、デバイス、システム、アプリケーションなど）、によって定義されたネットワークセグメントなどの、他のインテントベースのセグメント化手法を使用して、ネットワークをセグメント化してもよい。

【0072】

ＯＭＰルート属性は、とりわけ、発信元（例えば、ＢＧＰ、ＯＳＰＦ、接続済み、静的などのＯＭＰルートの送信元、および元のルートと関連付けられたメトリック）、発信者（例えば、ルートが学習したＩＰアドレスなどの、ルートの送信元のＯＭＰ識別子）、プリファレンス（例えば、プリファレンス値が高いほどルートがより優先されることを示すことができるＯＭＰルートのプリファレンス）、サービス（ＯＭＰルートと関連付けられたネットワークサービス）、サイト識別子（例えば、ＯＭＰルートが属するオーバーレイネットワークドメイン内のサイトの識別子）、およびタグ（例えば、ＯＭＰスピーカーが承認するか、優先するか、または再配布するルーティング情報を制御するために使用することができる過渡的なパス属性）、ＴＬＯＣ（例えば、ＯＭＰルートのネクストホップとして使用され、ＯＭＰルートを発信するＯＭＰスピーカーのシステムＩＰアドレス、リンクタイプを識別するためのカラー、およびトランスポートトンネル上のカプセル化タイプを含むことができる）、およびＶＰＮ（例えば、ＯＭＰルートが属するＶＰＮ）または他のタイプの仮想ネットワークセグメントを含むことができる。

【0073】

ＴＬＯＣルート属性は、プライベートＩＰアドレス（例えば、ＴＬＯＣと関連付けられたインターフェースのプライベートＩＰアドレス）、パブリックＩＰアドレス（例えば、ＴＬＯＣのＮＡＴ変換アドレス）、キャリア（例えば、トランスポートがパブリックであるか、またはプライベートであるかを示すことができるキャリアタイプの識別子）、カラー（例えば、リンクタイプ）、カプセル化タイプ（例えば、ＩＰセキュリティ（ＩＰＳｅｃ）、汎用ルーティングカプセル化（ＧＲＥ）などのトンネルカプセル化タイプ）、サイト識別子（例えば、ＴＬＯＣが属するオーバーレイネットワークドメイン内のサイトの識別子）、タグ（例えば、ＯＭＰスピーカーがＴＬＯＣへのルーティング情報のフローを制御するために使用することができる過渡的なパス属性；ＯＭＰルートがそのＴＬＯＣと共にアドバタイズされるときに、両方またはいずれかをコミュニティタグと共に配布して、ＴＬＯＣのグループとの間でどのようにトラフィックを送信するかまたはトラフィックを受信するかを決定するために使用できる）、重み（例えば、ＯＭＰルートの複数のエントリーポイントを判別するために使用される値は、２つ以上のＴＬＯＣを介して到達可能である）などを含むことができる。

【0074】

マスタールートテーブルの生成は、エッジネットワークデバイスが、これらのエッジネットワークデバイスがローカルサイトから学習したルート関連のプレフィックスをネットワークコントローラに再配布することで開始することができる。いくつかの実施形態では、このルート情報は、エッジネットワークデバイスとネットワークコントローラとの間のＤＴＬＳ接続（例えば、ＤＴＬＳ接続３０４）を介して送信されるＯＭＰルートアドバタイズメントによって伝達できる。ネットワークコントローラが複数のネットワークコントローラアプライアンスに分散している場合、エッジネットワークデバイスは、ネットワークコントローラアプライアンスのすべてにＯＭＰルートアドバタイズメントを送信することができる。

【0075】

ＯＭＰルートに加えて、エッジネットワークデバイスはまた、ＯＭＰを介してＴＬＯＣルートを、ネットワークコントローラ、またはこれらのエッジネットワークデバイスのドメイン内のコントローラに送信することもできる。エッジネットワークデバイスはまた、ＯＭＰを介してサービスルートを送信して、エッジネットワークデバイスが位置するローカルサイトで利用可能であるネットワークサービス（例えば、ＤＤｏＳミティゲーション、負荷バランシング、侵入防止、侵入検知、ＷＡＮ最適化など）をアドバタイズし得る。ネットワークコントローラは、ネットワークコントローラがネットワークコントローラのドメイン内のエッジネットワークデバイスから受信したＯＭＰ、ＴＬＯＣ、およびサービスルートを承認し、その情報をマスタールートテーブルに格納することができる。ネットワークコントローラは、いずれのＯＭＰルート、ＴＬＯＣ、およびサービスがいずれのＶＰＮまたは他のネットワークセグメントに属するかを追跡することができる。ネットワークコントローラは、これらのルートを使用して、ネットワークのトポロジーマップをデベロップし、かつオーバーレイネットワークを介したデータトラフィックのルーティングパスを判定することができる。ネットワークコントローラは、特定のＶＰＮまたは他のネットワークセグメントのＯＭＰ、ＴＬＯＣ、およびサービスルートから学習した情報を、同じＶＰＮまたは他のネットワークセグメントのエッジネットワークデバイスに再配布することができる。エッジネットワークデバイスは、定期的にルート更新をネットワークコントローラに送信することができる。ネットワークコントローラは、ルーティングパスを再計算し、マスタールートテーブルを更新し、新しいおよび変更されたルーティング情報をエッジネットワークデバイスにアドバタイズすることができる。この例では、ネットワークコントローラはネットワークコントローラのマスタールートテーブルにデータをポピュレートするためにＯＭＰを利用するが、他の実施形態は、代替的または追加的に、当業者に知られている他のネットワークプロトコル（例えば、ＢＧＰ、ＯＳＰＦなど）を使用してもよい。

【0076】

ステップ６０４で、ネットワークコントローラは、複数のネットワークセグメントを１つ以上のゾーンにマッピングするゾーン定義情報と、各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用する１つ以上のＺＦＷポリシーと、を受信することができる。ゾーン定義情報およびＺＦＷポリシーは、インテントベースのＺＦＷポリシーモデルを構成する。いくつかの実施形態では、ネットワークは、ゾーン定義情報およびＺＦＷポリシーを受信するためのユーザーインターフェースを有するネットワーク管理システム（例えば、ネットワーク管理アプライアンス１２２）を含むことができる。管理者または他のユーザーは、ネットワーク管理システムのユーザーインターフェースを介してゾーン定義情報とＺＦＷポリシーを提供し得、ネットワーク管理システムは、ゾーン定義情報およびＺＦＷポリシーをネットワークコントローラに伝送することができる。

【0077】

いくつかの実施形態では、ゾーン定義情報は、エッジネットワークデバイスのインターフェースから切り離された１つ以上のＶＰＮに各ゾーンをマッピングすることができる。すなわち、ＶＰＮは、エッジネットワークデバイスの特定のインターフェースにバインドされないが、ＶＰＮメンバシップを記述する集中型制御ポリシーによって判定できる。ＶＰＮメンバシップポリシーは、エッジネットワークデバイスが特定のＶＰＮに関与することができるかどうかを制御する（例えば、エッジネットワークデバイスがいずれのＶＰＮからルートを受信することができるかを定義する）ことができる。ＶＰＮメンバシップポリシーは、パケットヘッダにのみ影響し、かつエッジネットワークデバイスがトラフィックを伝送するために使用するインターフェースの選択には影響しないため、ＶＰＮメンバシップポリシーは、集中型であり得る。代わりに、ネットワークコントローラは、デバイスが特定のＶＰＮからルートを受信することを禁止されているときに、エッジネットワークデバイスにルートを転送しないことによって、ＶＰＮメンバシップポリシーを行使することができる。図５の例では、ストアネットワーク５０２、プリンタネットワーク５０４、技術サービスネットワーク５０６、ＤＣネットワーク５１０、およびＤＣ技術サービスネットワーク５１２は、ＶＰＮ＿１のメンバであり得、ゲストＷｉ－Ｆｉネットワーク５０８は、ＶＰＮ＿２のメンバであり得、インターネット１６０は、ＶＰＮ＿３のメンバであり得る。ＶＰＮ＿１は、ＺＯＮＥ＿１にマップでき、ＶＰＮ＿２は、ＺＯＮＥ＿２にマップでき、ＶＰＮ＿３は、ＺＯＮＥ＿３にマップできる。

【0078】

他の実施形態は、ルート属性、パケットヘッダ属性、パケットペイロード属性、他のタイプの仮想ネットワークセグメント（例えば、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＥＰＧなど）、アイデンティティベースの属性、ロケーションまたはネットワークサイト識別子、および他のタイプのネットワークセグメントにマッピングされたゾーンなどのゾーンを、インターフェースから切り離されたネットワークオブジェクトの他のコレクションにマッピングすることを可能にし得る。

【0079】

ＺＦＷポリシーは、送信元ゾーン、宛先ゾーン、およびファイアウォールポリシーを含むことができる。送信元ゾーンは、データトラフィックフローの発信元となる１つ以上のＶＰＮ（または他のネットワークセグメント）のグループ化を含むことができる。宛先ゾーンは、データトラフィックフローが終端する１つ以上のＶＰＮ（または他のネットワークセグメント）のグループ化を含むことができる。いくつかの実施形態では、ＶＰＮ（または他のネットワークセグメント）は、１つのゾーンのみに属することができる。送信元ゾーンおよび宛先ゾーンは、２つのゾーン間を流れるトラフィックにファイアウォールポリシーを適用するゾーンペアを構成する。

【0080】

ファイアウォールポリシーは、送信元ゾーンから宛先ゾーンへのデータトラフィックフローが適合する条件と、データトラフィックフローが指定された条件に適合するときに実行する１つ以上のアクションと、を定義することができるセキュリティポリシーである。いくつかの実施形態では、ファイアウォールポリシーは、最小のシーケンス番号から最大のシーケンス番号まで順番に評価され得る、適合アクションペアの一連の番号付きまたは順序付けられたシーケンスを含むことができる。データパケットが適合条件に適合すると、関連付けられた１つまたは複数のアクションが実行され、そのパケットに対するポリシー評価が、停止し得る。パケットがいずれの条件にも適合しない場合、デフォルトのアクションが、パケットに対して実行できる。適合条件は、より細粒度のＺＦＷポリシーを提供することができ、データパケットは、ＩＰプレフィックス、ＩＰポート、プロトコル（例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなど）、アプリケーション、アイデンティティ、グループ、サービス、ＶＰＮ識別子、または他のネットワークセグメント識別子などに関して適合し得る。適合するフローは、検査アクション、通過アクション、拒絶アクション、またはドロップアクションによって処理できる。検査アクションは、接続テーブルまたはセッションテーブルに格納されたパケットヘッダおよびパケットヘッダ情報（例えば、送信元アドレス、送信元ポート、宛先アドレス、宛先ポート、プロトコル、ＤＳＣＰなど）を検査して、戻りトラフィックを許容することができる。通過アクションは、パケットのヘッダを検査せずに、パケットが宛先ゾーンに通過することを許可することができる。拒絶アクションおよびドロップアクションは、ゾーン間の特定のトラフィックを禁止することができる。拒絶アクションは、エラーパケットの伝送をもたらして（例えば、ＩＣＭＰを介して）、宛先ゾーンに到達可能ではないことを示すことができるのに対して、ドロップアクションは、エラーパケットの伝送を伴わずにトラフィックをドロップする。

【0081】

図５の例では、特定のタイプのトラフィックを明示的に許可するＺＦＷポリシーが定義されていない限り、デフォルトのゾーンビヘイビアは、同じゾーンのメンバを含むゾーン間の通信を禁止することができる。したがって、ネットワークコントローラは、トラフィックがそのルートに沿って流れることを許容するＺＦＷポリシーが存在しない限り、特定のルートをエッジネットワークデバイス１４２にアドバタイズしないか、または配布しないことが可能である。上記で論じられたネットワークオペレータのインテントに従ってトラフィックが流れることを可能にするには、ＺＦＷポリシー５２０Ａ、５２０Ｂ、５２０Ｃ、および５２０Ｄ（総称して、５２０）を定義して、デフォルトのゾーンビヘイビアをオーバーライドすることができる。例えば、第１のＺＦＷポリシー５２０Ａは、ゲストＷｉ－Ｆｉネットワーク５０８（例えば、ＶＰＮ＿２／ＺＯＮＥ＿２）からインターネット１６０（例えば、ＶＰＮ＿３／ＺＯＮＥ＿３）へのトラフィックを開始し、かつ戻りトラフィックを許容することを可能にすることができ、第２のＺＦＷポリシー５２０Ｂは、ストアネットワーク５０２（例えば、ＶＰＮ＿１／ＺＯＮＥ＿１）からプリンタネットワーク５０４（例えば、ＶＰＮ＿１／ＺＯＮＥ＿１）へのトラフィックを開始し、かつ戻りトラフィックを許容することを可能にすることができ、第３のＺＦＷポリシー５２０Ｃは、ストアネットワーク５０２（例えば、ＶＰＮ＿１／ＺＯＮＥ＿１）からＤＣネットワーク５１０（例えば、ＶＰＮ＿１／ＺＯＮＥ＿１）へのトラフィックを開始し、かつ戻りトラフィックを許容することを可能にすることができ、および第４のＺＦＷポリシー５２０Ｄは、ＤＣ技術サービスネットワーク５１２（例えば、ＶＰＮ＿１／ＺＯＮＥ＿１）から技術サービスネットワーク５０６（例えば、ＶＰＮ＿１／ＺＯＮＥ＿１）へのトラフィックを可能にし、かつ戻りトラフィックを許容することを可能にすることができる。

【0082】

ステップ６０６で、ネットワークコントローラは、各ＺＦＷポリシー５２０を評価して、ＺＦＷポリシーによって指定された送信元ゾーンにマッピングされたネットワークセグメント（すなわち、第１のネットワークセグメント）に到達することができるエッジネットワークデバイス（すなわち、第１のエッジネットワークデバイス）と、ＺＦＷポリシーによって指定された宛先ゾーンにマッピングされたネットワークセグメント（すなわち、第２のネットワークセグメント）に到達することができるエッジネットワークデバイス（すなわち、第２のエッジネットワークデバイス）と、第１のネットワークセグメント、第１のエッジネットワークデバイス、第２エッジネットワークデバイス、および第２ネットワークセグメント間の、（マスタールートテーブルからの）ルーティング情報と、を判定することができる。例えば、第１のＺＦＷポリシーが与えられると、ネットワークコントローラは、ＺＦＷポリシーによって指定された第１の送信元ゾーンにマッピングされたＶＰＮ（例えば、送信元ＶＰＮ）にサブスクライブされた第１のエッジネットワークデバイスと、第１のＺＦＷポリシーによって指定された第１の宛先ゾーンにマッピングされたＶＰＮ（例えば、宛先ＶＰＮ）にサブスクライブされた第２のエッジネットワークデバイスと、を判定することができる。

【0083】

第１のＺＦＷポリシーが適合アクションペアを指定しいない場合、ネットワークコントローラは、送信元ＶＰＮに対応するＩＰプレフィックス（例えば、送信元プレフィックス）と、宛先ＶＰＮに対応するＩＰプレフィックス（例えば、宛先プレフィックス）と、を判定することができる。次いで、ネットワークコントローラは、マスタールートテーブルで、送信元プレフィックスおよび宛先プレフィックスの中の各送信元－宛先プレフィックスペアに対応するルーティング情報を探索することができる。例えば、ネットワークコントローラは、ＺＦＷポリシー５２０Ａを評価して、第１のエッジネットワークデバイス１４２Ａのみが、ＺＦＷポリシー５２０Ａ（すなわち、ＺＯＮＥ＿２）によって指定された送信元ゾーンにマッピングされたＶＰＮ（すなわち、ＶＰＮ＿２）と、ＺＦＷポリシー５２０Ａ（すなわち、ＺＯＮＥ＿３）によって指定された宛先ゾーンにマッピングされたＶＰＮ（すなわち、ＶＰＮ＿３）と、にサブスクライブされていると判定することができる。次いで、ネットワークコントローラは、マスタールートテーブルで、送信元ＶＰＮのＩＰプレフィックス（すなわち、１０２．１０２．１０２．２）と宛先ＶＰＮのＩＰプレフィックス（すなわち、１７４．１１．１．２）との間のルーティング情報を探索することができる。これらのルートは、Ａ’と表記され得る。ＺＦＷポリシー５２０Ａによって指定されたアクションは、検査アクションである。したがって、インターネット１６０からの戻りトラフィックは、ゲストＷｉ－Ｆｉネットワーク５０８からインターネット１６０へ開始されたデータトラフィックについての接続情報またはセッション情報が存在する場合に許可され得る。このことは、ゲストＷｉ－Ｆｉネットワーク５０８がインターネット１６０へのデータトラフィックを開始するときに、第１のエッジネットワークデバイス１４２Ａが、接続テーブルまたはセッションテーブルを維持し、かつインターネット１６０からゲストＷｉ－Ｆｉネットワーク５０８への戻りルートをポピュレートすることによって、達成できる。

【0084】

第１のＺＦＷポリシーが１つ以上の適合条件を指定する場合、ネットワークコントローラは、送信元適合条件に対応するＩＰプレフィックスと、宛先適合条件に対応するＩＰプレフィックスと、を判定することができる。次いで、ネットワークコントローラは、マスタールートテーブルで、送信元適合条件に適合する送信元プレフィックスと宛先適合条件に適合する宛先プレフィックスとの中から、各送信元－宛先プレフィックスペアに対応するルーティング情報を探索することができる。例えば、ネットワークコントローラは、ＺＦＷポリシー５２０Ｃを評価して、第１のエッジネットワークデバイス１４２Ａと第２のエッジネットワークデバイス１４２Ｂとの両方が、ＺＦＷポリシー５２０Ｃによって指定された送信元ゾーン（すなわち、ゾーン１）にマッピングされたＶＰＮ（すなわち、ＶＰＮ＿１）と、ＺＦＷポリシー５２０Ｃ（すなわち、ＺＯＮＥ＿１）によって指定された宛先ゾーンにマッピングされたＶＰＮ（すなわち、ＶＰＮ＿１）と、にサブスクライブされていると判定することができる。次いで、ネットワークコントローラは、マスタールートテーブルで、送信元適合条件に対応するＩＰプレフィックス（すなわち、ストアネットワーク５０２または１０．１７．３６．２のＩＰアドレス）と、宛先適合条件に対応するＩＰプレフィックス（すなわち、ＤＣネットワーク５１０または１７２．１１．１１．２／２４のＩＰサブネット）と、の間のルーティング情報を探索することができる。このルーティング情報は、Ｃ’と表記され得る。ＺＦＷポリシー５２０Ｃによって指定されたアクションは、検査アクションである。したがって、ＤＣネットワーク５１０からの戻りトラフィックは、ストアネットワーク５０２からＤＣネットワーク５１０へ開始されたデータトラフィックについての接続情報またはセッション情報が存在する場合に許可され得る。このことは、ストアネットワーク５０２がＤＣネットワーク５１０へのデータトラフィックを開始するときに、第１のエッジネットワークデバイス１４２Ａおよび／または第２のエッジネットワークデバイス１４２Ｂが、接続テーブルまたはセッションテーブルを維持し、かつＤＣネットワーク５１０からストアネットワーク５０２への戻りルーティング情報をポピュレートすることによって、達成できる。別のシナリオでは、ＺＦＷポリシーで指定されたアクションが代わりに通過アクションである場合には、接続情報またはセッション情報は維持されず、戻りルーティング情報はない。同様の手法を使用して、ＺＦＷポリシー５２０Ｂのルーティング情報Ｂ’と、ＺＦＷポリシー５２０Ｄのルーティング情報Ｄ’と、を取得することができる。

【0085】

プロセス６００は、ネットワークコントローラがルーティング情報を第１のエッジネットワークデバイス１４２Ａおよび第２のエッジネットワークデバイス１４２Ｂに伝送することができるステップ６０８で終了することができる。図５の例では、ネットワークコントローラは、ＺＦＷポリシー５２０Ａについて、ルーティング情報Ａ’を第１のエッジネットワークデバイス１４２Ａに伝送することができる。例えば、第２のエッジネットワークデバイス１４２ＢがＶＰＮ＿２またはＶＰＮ＿３にサブスクライブしていない場合があるため、ネットワークコントローラは、ルーティング情報Ａ’を第２のエッジネットワークデバイス１４２Ｂに伝送しない。ＺＦＷポリシー５２０Ｂについて、ネットワークコントローラは、ルーティング情報Ｂ’を第１のエッジネットワークデバイス１４２Ａに伝送することができる。例えば、マスタールートテーブルが、第２のエッジネットワークデバイス１４２Ｂを介した送信元適合条件（例えば、ストアネットワーク５０２）と宛先適合条件（例えば、プリンタネットワーク５０４）とに対応するＩＰプレフィックス間のルーティング情報を含まないため、ネットワークコントローラは、ルーティング情報Ｂ’を第２のエッジネットワークデバイス１４２Ｂに伝送しない。ＺＦＷポリシー５２０Ｃについて、ネットワークコントローラは、ルーティング情報Ｃ’を第１のエッジネットワークデバイス１４２Ａおよび第２のエッジネットワークデバイス１４２Ｂに伝送することができる。ＺＦＷポリシー５２０Ｄについて、ネットワークコントローラは、ルーティング情報Ｄ’を第１のエッジネットワークデバイスおよび第２のエッジネットワークデバイス１４２Ｂに伝送することができる。

【0086】

プロセス６００は、いくつかの方式でＺＦＷ構成を簡素化することができる。ユーザーは、集中型ネットワーク管理システムから一度、ネットワーク環境５００のＺＦＷを構成することができる。ユーザーは、複数のエッジネットワークデバイスにまたがるトラフィックの正しいビヘイビアを確保するためのミラーポリシーを定義する必要がない。ＺＦＷポリシーは、動的であり得る。ゾーンはいつでも作成できるが、ゾーンメンバがネットワークにアタッチするまで、ゾーン定義情報およびＺＦＷポリシーを構成する必要はない。ＺＦＷポリシーは、モバイルであり得る。ネットワーク内の任意の場所に対してゾーンメンバを追加するかまたは削除しても、ポリシーを再構成する必要はない。

【0087】

プロセス６００は、コンピューティングリソース（例えば、処理、メモリ、帯域幅など）の利用を改善することができる。例えば、ネットワークデバイスは、それらのネットワークデバイスに適用可能でないＺＦＷポリシーを行使する必要がないことによって、リソースを節約することができる。加えて、トラフィックが複数のネットワークデバイスにまたがるときに、ポリシーは各エッジネットワークデバイスで複数回ではなく、ネットワークコントローラで１回だけ処理されるため、ネットワーク負荷を減少させることができる。様々な実施形態に従って提供され得るように、様々な他の機能および利点が上に記載および提案されている。

【0088】

図７は、ネットワークデバイス７００（例えば、スイッチ、ルータ、ネットワークアプライアンスなど）の例を例示している。ネットワークデバイス７００は、中央処理装置（ＣＰＵ）７０２、インターフェース７０４、およびバス７０６（例えば、ペリフェラルコンポーネントインターコネクト（ＰＣＩ）バス）を含むことができる。適切なソフトウェアまたはファームウェアの制御下で作動する場合、ＣＰＵ７０２は、パケット管理、エラー検出、および／またはルーティング関数を実行することを担当することができる。ＣＰＵ７０２は、好ましくは、オペレーティングシステムおよび任意の適切なアプリケーションソフトウェアを含むソフトウェアの制御下でこれらすべての機能を達成する。ＣＰＵ７０２は、ＭｏｔｏｒｏｌａのマイクロプロセッサファミリーまたはＭＩＰＳマイクロプロセッサファミリーからのプロセッサなどの１つ以上のプロセッサ７０８を含み得る。代替実施形態では、プロセッサ７０８は、ネットワークデバイス７００の動作を制御するための特別に設計されたハードウェアであり得る。一実施形態では、メモリ７１０（不揮発性ランダムアクセスメモリ（ＲＡＭ）および／または読み取り専用メモリ（ＲＯＭ）など）もまた、ＣＰＵ７０２の一部を形成することができる。ただし、メモリをシステムに結合することができる多くの異なる方式がある。

【0089】

インターフェース７０４は、インターフェースカード（場合によってはラインカードと呼ばれる）として提供できる。インターフェース７０４は、ネットワークを介したデータパケットの送信および受信を制御し、場合によってはネットワークデバイス７００と共に使用される他の周辺機器をサポートすることができる。提供され得るインターフェースの中には、イーサネットインターフェース、フレームリレーインターフェース、ケーブルインターフェース、ＤＳＬインターフェース、トークンリングインターフェースなどがある。加えて、高速トークンリングインターフェース、無線インターフェース、イーサネットインターフェース、ギガビットイーサネットインターフェース、非同期転送モード（ＡＴＭ）インターフェース、高速シリアルインターフェース（ＨＳＳＩ）、パケットオーバーＳＯＮＥＴ（ＰＯＳ）インターフェース、ファイバ分散データインタフェース（ＦＤＤＩ）などの、様々な非常に高速のインターフェースが提供され得る。インターフェース７０４は、適切な媒体との通信に適したポートを含み得る。いくつかの場合では、インターフェース７０４はまた、独立したプロセッサ、そして場合によっては揮発性ＲＡＭも含み得る。独立したプロセッサは、パケット交換、メディア制御、および管理などの通信集約型タスクを制御し得る。通信集約型タスクのために別個のプロセッサを提供することによって、インターフェース７０４は、ＣＰＵ７０２がルーティング計算、ネットワーク診断、セキュリティ機能などを効率的に実行することを可能にし得る。

【0090】

図７に示されるシステムは、一実施形態のネットワークデバイスの一例であるが、このシステムは、本技術が実装できる唯一のネットワークデバイスアーキテクチャでは決してない。例えば、通信ならびにルーティング計算および他のネットワーク機能を処理することができる単一のプロセッサを有するアーキテクチャを使用することもできる。さらに、他のタイプのインターフェースおよび媒体もまた、ネットワークデバイス７００と共に使用できる。

【0091】

ネットワークデバイスの構成にかかわらず、システムは、本明細書に記載されるローミング、ルート最適化、およびルーティング機能のための汎用ネットワーク動作およびメカニズムのためのプログラム命令を格納するように構成された１つ以上のメモリまたはメモリモジュール（メモリ７１０を含む）を使用し得る。プログラム命令は、例えば、オペレーティングシステムおよび／または１つ以上のアプリケーションの動作を制御し得る。１つのメモリまたは複数のメモリはまた、モビリティバインディング、登録、および関連付けテーブルなどのテーブルを格納するように構成され得る。

【0092】

図８Ａおよび図８Ｂは、様々な実施形態によるシステムを例示している。様々な実施形態を実施するときに、より適切なシステムが当業者には明らかであろう。当業者はまた、他のシステムが可能であることを容易に理解するであろう。

【0093】

図８Ａは、バスコンピューティングシステム８００の例を例示しており、システムの構成要素は、バス８０５を使用して互いに電気的に通信している。コンピューティングシステム８００は、処理ユニット（ＣＰＵまたはプロセッサ）８１０と、読み取り専用メモリ（ＲＯＭ）８２０およびランダムアクセスメモリ（ＲＡＭ）８２５などのシステムメモリ８１５を含む様々なシステムコンポーネントをプロセッサ８１０に結合し得るシステムバス８０５と、を含むことができる。コンピューティングシステム８００は、プロセッサ８１０に直接接続されているか、プロセッサ８１０に近接しているか、またはプロセッサ８１０の一部分として統合された高速メモリのキャッシュ８１２を含むことができる。コンピューティングシステム８００は、プロセッサ８１０による速いアクセスのために、メモリ８１５、ＲＯＭ８２０、ＲＡＭ８２５、および／または記憶デバイス８３０からキャッシュ８１２にデータをコピーすることができる。このようにして、キャッシュ８１２は、データを待機している間のプロセッサの遅延を回避するという性能向上を提供することができる。これらおよび他のモジュールは、プロセッサ８１０を制御して、様々なアクションを実行することができる。他のシステムメモリ８１５も同様に利用可能であり得る。メモリ８１５は、異なる性能特性を有する複数の異なるタイプのメモリを含むことができる。プロセッサ８１０は、任意の汎用プロセッサおよびハードウェアモジュール、またはプロセッサ８１０を制御するように構成された、記憶デバイス８３０に格納されたモジュール１ ８３２、モジュール２ ８３４、およびモジュール３ ８３６のようなソフトウェアモジュール、ならびにソフトウェア命令が実際のプロセッサ設計に組み込まれた専用プロセッサを含むことができる。プロセッサ８１０は、本質的に、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを包含する完全に自己完結型のコンピューティングシステムであり得る。マルチコアプロセッサは、対称または非対称であり得る。

【0094】

コンピューティングデバイス８００とのユーザーインタラクションを可能にするために、入力デバイス８４５は、発話用マイク、ジェスチャまたはグラフィック入力用のタッチ保護スクリーン、キーボード、マウス、モーション入力、発話などの任意の数の入力メカニズムを表すことができる。出力デバイス８３５はまた、当業者に知られている出力メカニズムのうちの１つ以上とすることができる。場合によっては、マルチモーダルシステムは、ユーザーがコンピューティングデバイス８００と通信するために複数のタイプの入力を提供することを可能にし得る。通信インターフェース８４０は、ユーザー入力およびシステム出力を統御および管理することができる。特定のハードウェア配置での動作に対する制約はないため、ここでの基本的特徴は、基本的特徴が開発される際の改善されたハードウェア配置またはファームウェア配置に容易に置き換えられ得る。

【0095】

記憶デバイス８３０は、不揮発性メモリでとすることができ、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ、読み取り専用メモリ、およびそれらのハイブリッドなどの、コンピュータによってアクセス可能であるデータを格納することができるハードディスクまたは他のタイプのコンピュータ可読媒体とすることができる。

【0096】

上記に論じられたように、記憶デバイス８３０は、プロセッサ８１０を制御するためのソフトウェアモジュール８３２、８３４、８３６を含むことができる。他のハードウェアまたはソフトウェアモジュールが企図される。記憶デバイス８３０は、システム接続部８０５に接続できる。いくつかの実施形態では、特定の機能を実行するハードウェアモジュールは、その機能を実行するための、プロセッサ８１０、バス８０５、出力デバイス８３５などの必要なハードウェアコンポーネントに関連してコンピュータ可読媒体に格納されたソフトウェアコンポーネントを含むことができる。

【0097】

図８Ｂは、一実施形態に従って使用できるチップセットコンピューティングシステム８５０の例示的なアーキテクチャを例示している。コンピューティングシステム８５０は、識別された計算を実行するように構成されたソフトウェア、ファームウェア、およびハードウェアを実行することができる任意の数の物理的および／または論理的に別異するリソースを表すプロセッサ８５５を含むことができる。プロセッサ８５５は、プロセッサ８５５への入力およびプロセッサ８５５からの出力を制御することができるチップセット８６０と通信することができる。この例では、チップセット８６０は、ディスプレイなどの出力デバイス８６５に情報を出力することができ、磁気媒体、ソリッドステート媒体、および他の好適な記憶媒体を含むことができる記憶デバイス８７０に情報を読み書きすることができる。チップセット８６０はまた、ＲＡＭ８７５からデータを読み取り、およびＲＡＭ８７５にデータを書き込むこともできる。チップセット８６０とインターフェースするために、多様なユーザーインターフェースコンポーネント８８５とインターフェースするためのブリッジ８８０を提供することができる。ユーザーインターフェースコンポーネント８８５は、キーボード、マイクロフォン、タッチ検出および処理回路、マウスなどのポインティングデバイスなどを含むことができる。コンピューティングシステム８５０への入力は、マシンにより生成されたおよび／または人間により生成された多様な送信元のいずれかから生じ得る。

【0098】

チップセット８６０はまた、異なる物理インターフェースを有することができる１つ以上の通信インターフェース８９０とインターフェースすることもできる。通信インターフェース８９０は、有線および無線ローカルエリアネットワーク（ＬＡＮ）のための、ブロードバンド無線ネットワーク、ならびにパーソナルエリアネットワークのためのインターフェースを含むことができる。本明細書に開示される技術を生成、表示、および使用するための方法のいくつかの適用は、物理インターフェースを介して順序付けられたデータセットを受信することを含むことができ、またはプロセッサ８５５が記憶デバイス８７０またはＲＡＭ８７５に格納されたデータを分析するによってマシン自体によって生成できる。さらに、コンピューティングシステム８５０は、ユーザーインターフェースコンポーネント８８５を介してユーザーから入力を受け取り、プロセッサ８５５を使用してこれらの入力を解釈することによって、ブラウジング機能などの適切な機能を実行することができる。

【0099】

コンピューティングシステム８００および８５０は、それぞれ２つ以上のプロセッサ８１０および８５５を有することができるか、またはより大きな処理能力を提供するために一緒にネットワーク化されたコンピューティングデバイスのグループまたはクラスタの一部であり得ることが理解されよう。

【0100】

要約すると、実施形態のシステムおよび方法は、動的なインテントベースのファイアウォールをプロビジョニングすることを提供する。ネットワークコントローラは、コントローラによって管理されるエッジネットワークデバイスから到達可能なネットワークセグメントについてのマスタールートテーブルを生成することができる。コントローラは、ネットワークセグメントをゾーンにマッピングするゾーン定義情報と、ゾーンベースのファイアウォール（ＺＦＷ）ポリシーであって各ＺＦＷポリシーによって指定された送信元ゾーンと宛先ゾーンとの間のトラフィックに適用するＺＦＷポリシーと、を受信することができる。コントローラは、ＺＦＷポリシーを評価して、ＺＦＷポリシーによって指定された送信元ゾーンにマッピングされた第１のネットワークセグメントに到達することができる第１のエッジネットワークデバイスと、ＺＦＷポリシーによって指定された宛先ゾーンにマッピングされた第２のネットワークセグメントに到達することができる第２のエッジネットワークデバイスと、第１のネットワークセグメント、第１のエッジネットワークデバイスおよび第２のエッジネットワークデバイス、ならびに第２のネットワークセグメント間の、（ルートテーブルからの）ルーティング情報と、を判定することができる。コントローラは、ルーティング情報をエッジネットワークデバイスに伝送することができる。

【0101】

説明を明確にするために、場合によっては、様々な実施形態は、デバイス、デバイスコンポーネント、ソフトウェアで具体化される方法におけるステップもしくはルーチン、またはハードウェアとソフトウェアとの組み合わせを含む機能ブロックを含む個々の機能ブロックを含むものとして提示され得る。

【0102】

いくつかの実施形態では、コンピュータ可読記憶デバイス、媒体、およびメモリは、ビットストリームなどを含むケーブルまたは無線信号を含むことができる。しかしながら、言及される場合、非一時的コンピュータ可読記憶媒体は、エネルギー、搬送波信号、電磁波、および信号自体などの媒体を明示的に除外する。

【0103】

上記の例による方法は、コンピュータ可読媒体に格納されているか、他の場合にはそれから利用可能であるコンピュータ実行可能命令を使用して実装することができる。そのような命令は、例えば、特定の機能または機能のグループを実行するために、汎用コンピュータ、専用コンピュータ、または専用処理デバイスを引き起こすか、あるいは構成する命令およびデータを含むことができる。使用されるコンピュータリソースの部分は、ネットワーク経由でアクセス可能であり得る。コンピュータの実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令であり得る。命令、使用される情報、および／または記載された例による方法中に作成された情報を格納するために使用され得るコンピュータ可読媒体の例として、磁気ディスクまたは光ディスク、フラッシュメモリ、不揮発性メモリを備えたユニバーサルシリアル（ＵＳＢ）デバイス、ネットワークストレージデバイスなどが挙げられる。

【0104】

これらの開示による方法を実装するデバイスは、ハードウェア、ファームウェア、および／またはソフトウェアを含むことができ、様々なフォームファクタのいずれかを取ることができる。このようなフォームファクタのいくつかの例として、サーバ、ラックマウントデバイス、デスクトップコンピュータ、ラップトップコンピュータなどの汎用コンピューティングデバイス、またはタブレットコンピュータ、スマートフォン、携帯情報端末、ウェアラブルデバイスなどの汎用モバイルコンピューティングデバイスが挙げられる。本明細書に記載される機能はまた、周辺機器またはアドインカードで具体化され得る。このような機能は、さらなる例として、単一のデバイスで実行される異なるチップまたは異なるプロセスの間の回路基板上に実装することもできる。

【0105】

命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、およびそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。

【0106】

添付の特許請求の範囲の範疇の態様を説明するために、様々な例および他の情報を使用したが、当業者であれば、多種多様な実装形態を導出するために、これらの例を使用することができるように、かかる例における特定の特徴または構成に基づいて、特許請求の範囲のいかなる制限も示唆されるべきではない。さらに、一部の主題は、構造的特徴および／または方法ステップの例に固有の言語で記載されている場合があるが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの記載された特徴または行為に限定されないことを理解されたい。例えば、かかる機能は、ここで特定されている構成要素以外の構成要素で、異なって配布し、または実行することができる。むしろ、記載された特徴およびステップは、添付の特許請求の範囲の範疇のシステムおよび方法の構成要素の例として開示される。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8A】

【図8B】