特許 7482121 複数の管理ドメインをまたぐエンドツーエンドＩＤ認識ルーティング

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-05-01

(45)【発行日】2024-05-13

(54)【発明の名称】複数の管理ドメインをまたぐエンドツーエンドＩＤ認識ルーティング

(51)【国際特許分類】

   H04L 45/74 20220101AFI20240502BHJP

【ＦＩ】

H04L45/74

【請求項の数】 23

(21)【出願番号】P 2021521331

(86)(22)【出願日】2019-11-19

(65)【公表番号】

(43)【公表日】2022-01-27

(86)【国際出願番号】 US2019062292

(87)【国際公開番号】W WO2020112448

(87)【国際公開日】2020-06-04

【審査請求日】2022-04-26

(31)【優先権主張番号】62/774,067

(32)【優先日】2018-11-30

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】16/535,519

(32)【優先日】2019-08-08

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】508041127

【氏名又は名称】シスコ テクノロジー，インコーポレイテッド

(74)【代理人】

【識別番号】100079108

【弁理士】

【氏名又は名称】稲葉 良幸

(74)【代理人】

【識別番号】100109346

【弁理士】

【氏名又は名称】大貫 敏史

(74)【代理人】

【識別番号】100117189

【弁理士】

【氏名又は名称】江口 昭彦

(74)【代理人】

【識別番号】100134120

【弁理士】

【氏名又は名称】内藤 和彦

(74)【代理人】

【識別番号】100140431

【弁理士】

【氏名又は名称】大石 幸雄

(72)【発明者】

【氏名】フーダ，サンジェイ クマール

(72)【発明者】

【氏名】オズワル，アナンド

(72)【発明者】

【氏名】バーウ，ネハル

(72)【発明者】

【氏名】エダットハラ，アニル

(72)【発明者】

【氏名】メータ，ミューニッシュ

【審査官】羽岡 さやか

(56)【参考文献】

【文献】特表２０１６－５００９３７（ＪＰ，Ａ）

【文献】特表２０１６－５４０４４６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１２／０１８２９９７（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４５／７４

(57)【特許請求の範囲】

【請求項1】

第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、第２のネットワークコントローラの管理制御下にある第２のオーバーレイネットワークの入力エッジデバイスによって、元のパケットを含む第１のカプセル化されたパケットを受信することと、
前記入力エッジデバイスによって、前記第１のカプセル化されたパケットを非カプセル化して、前記元のパケットとユーザーまたはグループの識別子を取得することと、
前記入力エッジデバイスによって、前記ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを前記元のパケットに適用して、適用された前記ポリシーに従って前記元のパケットのネクストホップを決定することと、
前記入力エッジデバイスによって、前記元のパケットと前記ユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成することと、
前記入力エッジデバイスによって、前記第２のカプセル化されたパケットを前記ネクストホップに転送することと、を含む、コンピュータ実装方法。

【請求項2】

前記第１のカプセル化されたパケットまたは前記第２のカプセル化されたパケットのうちの少なくとも一方が、仮想拡張ローカルエリアネットワーク（ＶＸＬＡＮ）－グループポリシーオプション（ＧＰＯ）カプセル化によってカプセル化されている、請求項１に記載のコンピュータ実装方法。

【請求項3】

前記ユーザーまたはグループのポリシーが、前記第１のオーバーレイネットワークおよび前記第２のオーバーレイネットワークで実施されるエンドツーエンドのユーザーまたはグループのポリシーである、請求項１または２に記載のコンピュータ実装方法。

【請求項4】

前記ユーザーまたはグループの識別子が、ＶＸＬＡＮヘッダ、メタデータヘッダ、またはマルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベルのうちの少なくとも１つに含まれる、請求項１～３のいずれかに記載のコンピュータ実装方法。

【請求項5】

前記第１のカプセル化されたパケットまたは前記第２のカプセル化されたパケットのうちの少なくとも一方が、仮想ネットワーク識別子（ＶＮＩＤ）、仮想ルーティング／転送（ＶＲＦ）識別子、または仮想プライベートネットワーク（ＶＰＮ）識別子を含む、請求項１～４のいずれかに記載のコンピュータ実装方法。

【請求項6】

前記入力エッジデバイスによって、前記第２のオーバーレイネットワークの前記入力エッジデバイスと出力エッジデバイスとの間にトンネルを確立することをさらに含み、
前記第２のカプセル化されたパケットが前記トンネルを介して前記ネクストホップに転送される、請求項１～５のいずれかに記載のコンピュータ実装方法。

【請求項7】

前記第２のオーバーレイネットワークの出力エッジデバイスによって、前記第２のカプセル化されたパケットを受信することと、
前記第２のカプセル化されたパケットを非カプセル化して、前記元のパケットと前記ユーザーまたはグループの識別子を取得することと、
前記ユーザーまたはグループの識別子に合致する第２のユーザーまたはグループのポリシーを前記元のパケットに適用して、前記元のパケットの第２のネクストホップを決定することと、
前記元のパケットと前記ユーザーまたはグループの識別子をカプセル化して、第３のカプセル化されたパケットを生成することと、
前記第３のカプセル化されたパケットを前記第２のネクストホップに転送することと、をさらに含む、請求項１～６のいずれかに記載のコンピュータ実装方法。

【請求項8】

前記第１のオーバーレイネットワークまたは第３のオーバーレイネットワークの管理制御下にある第２の入力エッジデバイスによって、前記出力エッジデバイスから、前記第３のカプセル化されたパケットを受信することと、
前記第３のカプセル化されたパケットを非カプセル化して、前記元のパケットと前記ユーザーまたはグループの識別子を取得することと、
前記ユーザーまたはグループの識別子に合致する第３のユーザーまたはグループのポリシーを前記元のパケットに適用して、前記元のパケットの第３のネクストホップを決定することと、
前記元のパケットを前記第３のネクストホップに転送することと、をさらに含む、請求項７に記載のコンピュータ実装方法。

【請求項9】

前記ユーザーまたはグループの識別子をセキュリティグループタグ（ＳＧＴ）からエンドポイントグループ（ＥＰＧ）にマッピングすることをさらに含む、請求項１～８のいずれかに記載のコンピュータ実装方法。

【請求項10】

前記ユーザーまたはグループのポリシーが、前記元のパケットを生成したアプリケーションにさらに合致する、請求項１～９のいずれかに記載のコンピュータ実装方法。

【請求項11】

前記第１のカプセル化されたパケットを、アンダーレイネットワークの１つ以上の中間ノードを介して前記第１のオーバーレイネットワークにルーティングすることをさらに含む、請求項１～１０のいずれかに記載のコンピュータ実装方法。

【請求項12】

前記第２のカプセル化されたパケットを、アンダーレイネットワークの１つ以上のノードを介して前記第２のオーバーレイネットワークにルーティングすることをさらに含む、請求項１～１１のいずれかに記載のコンピュータ実装方法。

【請求項13】

システムであって、
１つ以上のプロセッサと、
命令を含むメモリであって、前記命令が、前記１つ以上のプロセッサによって実行されると、前記システムを、
第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、元のパケットを含む第１のカプセル化されたパケットを受信する手段であって、前記システムが第２のネットワークコントローラの管理制御下にある第２のオーバーレイネットワークの入力エッジデバイスである、受信する手段と、
前記第１のカプセル化されたパケットを非カプセル化して、前記元のパケットとユーザーまたはグループの識別子を取得する手段と、
前記ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを前記元のパケットに適用して、適用された前記ポリシーに従って前記元のパケットのネクストホップを決定する手段と、
前記元のパケットと前記ユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成する手段と、
前記第２のカプセル化されたパケットを前記ネクストホップに転送する手段と、として機能させる、メモリと、を備える、システム。

【請求項14】

前記１つ以上のプロセッサによって実行されると、前記システムに、
前記第２のネットワークコントローラの管理制御下にある出力エッジデバイスとのトンネルを確立することをさらに行わせる、さらなる命令をさらに備え、
前記第２のカプセル化されたパケットが前記トンネルを介して前記ネクストホップに転送される、請求項１３に記載のシステム。

【請求項15】

前記１つ以上のプロセッサによって実行されると、前記システムに、
前記ユーザーまたはグループの識別子をセキュリティグループタグ（ＳＧＴ）からエンドポイントグループ（ＥＰＧ）にマッピングすることをさらに行わせる、さらなる命令をさらに備える、請求項１３または１４に記載のシステム。

【請求項16】

前記ユーザーまたはグループのポリシーが、前記元のパケットを生成したアプリケーションにさらに合致する、請求項１３～１５のいずれかに記載のシステム。

【請求項17】

命令を含む非一時的なコンピュータ可読記憶媒体であって、前記命令は、システムの１つ以上のプロセッサによって実行されると、前記システムに、
第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、元のパケットを含む第１のカプセル化されたパケットを受信することであって、前記システムが第２のネットワークコントローラの管理制御下にある第２のオーバーレイネットワークの入力エッジデバイスである、受信することと、
前記第１のカプセル化されたパケットを非カプセル化して、前記元のパケットとユーザーまたはグループの識別子を取得することと、
前記ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを前記元のパケットに適用して、適用された前記ポリシーに従って前記元のパケットのネクストホップを決定することと、
前記元のパケットと前記ユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成することと、
前記第２のカプセル化されたパケットを前記ネクストホップに転送することと、を行わせる、非一時的なコンピュータ可読記憶媒体。

【請求項18】

前記第１のカプセル化されたパケットまたは前記第２のカプセル化されたパケットのうちの少なくとも一方が、仮想拡張ローカルエリアネットワーク（ＶＸＬＡＮ）－グループポリシーオプション（ＧＰＯ）カプセル化によってカプセル化されている、請求項１７に記載の非一時的なコンピュータ可読記憶媒体。

【請求項19】

前記ユーザーまたはグループの識別子が、ＶＸＬＡＮヘッダ、メタデータヘッダ、またはマルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベルのうちの少なくとも１つに含まれる、請求項１７または１８に記載の非一時的なコンピュータ可読記憶媒体。

【請求項20】

第２のネットワークコントローラの管理制御下にある第２のオーバーレイネットワークの入力エッジデバイスである装置であって、
第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、元のパケットを含む第１のカプセル化されたパケットを受信するための手段と、
前記第１のカプセル化されたパケットを非カプセル化して、前記元のパケットとユーザーまたはグループの識別子を取得するための手段と、
前記ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを前記元のパケットに適用して、適用された前記ポリシーに従って前記元のパケットのネクストホップを決定するための手段と、
前記元のパケットと前記ユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成するための手段と、
前記第２のカプセル化されたパケットを前記ネクストホップに転送するための手段と、を備える、装置。

【請求項21】

請求項２～１２のいずれかに記載の方法を実装するための手段をさらに備える、請求項２０に記載の装置。

【請求項22】

コンピュータによって実行されると、前記コンピュータに、請求項１～１２のいずれかに記載の方法を実行させる命令を含む、コンピュータプログラム。

【請求項23】

コンピュータによって実行されると、前記コンピュータに、請求項１～１２のいずれかに記載の方法を実行させる命令を含む、コンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、２０１８年１１月３０日に出願された「ＡＰＰＬＩＣＡＴＩＯＮ－ＡＷＡＲＥ ＲＯＵＴＩＮＧ ＷＩＴＨ ＵＳＥＲ ＡＮＤ ＡＰＰＬＩＣＡＴＩＯＮ ＣＯＮＴＥＸＴ」と題された米国仮特許出願第６２／７７４，０６７号の利益を主張する、２０１９年８月８日に出願された「ＥＮＤ－ＥＮＤ ＩＤＥＮＴＩＴＹ－ＡＷＡＲＥ ＲＯＵＴＩＮＧ ＡＣＲＯＳＳ ＭＵＬＴＩＰＬＥ ＡＤＭＩＮＩＳＴＲＡＴＩＶＥ ＤＯＭＡＩＮＳ」と題された米国非仮特許出願第１６／５３５，５１９号の利益および優先権を主張するものであり、これらの内容全体は、参照により本明細書に組み込まれる。

【0002】

本開示の主題は、概して、コンピュータネットワーキングの分野に関し、より詳細には、ＩＤ認識ルーティングのためのシステムおよび方法に関する。

【背景技術】

【0003】

企業ネットワークの状況は、絶えず進化している。モバイルデバイスおよびモノのインターネット（ＩｏＴ）デバイスのトラフィック、サービスとしてのソフトウェア（ＳａａＳ）のアプリケーション、ならびにクラウドの採用に対する需要が高まっている。加えて、セキュリティのニーズが高まっており、特定のアプリケーションは、適切な操作のために優先順位付けおよび最適化を必要とすることがある。この複雑さが増すにつれて、高可用性および拡張性を提供しながら、コストおよび運用費を削減することが求められている。

【0004】

従来のＷＡＮアーキテクチャは、この進化する状況下で大きな課題に直面している。従来のＷＡＮアーキテクチャは通常、複数のマルチプロトコルラベルスイッチング（ＭＰＬＳ）トランスポート、またはアクティブ／バックアップ方式で使用されるインターネットまたはロングタームエボリューション（ＬＴＥ）リンクと組み合わせたＭＰＬＳからなり、ほとんどの場合、インターネットまたはＳａａＳのトラフィックが、インターネットアクセスのために、中央データセンターまたは地域ハブにバックホールされる。これらのアーキテクチャに関する問題は、不十分な帯域幅、高い帯域幅コスト、アプリケーションのダウンタイム、低いＳａａＳ性能、複雑な操作、クラウド接続のための複雑なワークフロー、長い展開時間およびポリシーの変更、アプリケーションの可視性の制限、ネットワークの保護の難しさを含み得る。

【0005】

近年、これらの課題に対処するために、ソフトウェアディファインドワイドエリアネットワーク（ＳＤ－ＷＡＮ）ソリューションが開発された。ＳＤ－ＷＡＮは、ソフトウェアデファインドネットワーキング（ＳＤＮ）の広範な技術の一部分である。ＳＤＮは、基盤をなすネットワークインフラストラクチャをアプリケーションから抜き取り得る、ネットワーク管理の一元化手法である。このデータプレーン転送と制御プレーンの分離により、ネットワークオペレータはネットワークのインテリジェンスを一元化し、さらなるネットワークの自動化、運用の簡素化、ならびにプロビジョニング、監視、およびトラブルシューティングの一元化を提供することを可能にすることができる。ＳＤ－ＷＡＮは、ＳＤＮのこれらの原理をＷＡＮに適用することができる。

【図面の簡単な説明】

【0006】

本開示ならびにその特徴および利点のより完全な理解を提供するために、添付の図面と併せて以下の説明を参照する。

【0007】

【図1】一実施形態によるネットワークの一実施例のブロック図を示す。

【図2】一実施形態によるネットワークの一実施例のブロック図を示す。

【図3】一実施形態によるオーバーレイネットワークを管理するための手法の一実施例のブロック図を示す。

【図4】一実施形態によるネットワークをセグメント化するための手法の一実施例のブロック図を示す。

【図5】一実施形態によるネットワークの一実施例のブロック図を示す。

【図6】一実施形態による、複数の管理ドメインをまたぐＩＤ認識ルーティングを可能にするためのプロセスの一実施例を示す。

【図7】一実施形態による、複数の管理ドメインをまたいでエンドツーエンドでユーザーまたはグループの識別子を伝達するために使用され得るネットワークパケットフォーマットの実施例を示す。

【図8】一実施形態によるネットワークデバイスの一実施例のブロック図を示す。

【図9A】いくつかの実施形態によるコンピューティングシステムの実施例のブロック図を示す。

【図9B】いくつかの実施形態によるコンピューティングシステムの実施例のブロック図を示す。

【発明を実施するための形態】

【0008】

以下に記載される詳細な説明は、実施形態の様々な構成を説明することを意図しており、本開示の主題が実施され得る唯一の構成を表すことを意図するものではない。添付の図面は本明細書に組み込まれ、詳細な説明の一部を構成する。詳細な説明は、本開示の主題のより完全な理解を提供することを目的とした特定の詳細を含む。しかしながら、本開示の主題は、本明細書に記載される特定の詳細に限定されず、これらの詳細なしで実施され得ることは明らかであり、かつ明白であろう。いくつかの例では、本開示の主題の概念を曖昧にすることを回避するために、構造および構成要素がブロック図の形で示されている。

【0009】

概要
本発明の態様は独立請求項に記載されており、好ましい特徴は従属請求項に記載されている。一態様の特徴は、単独で、または他の態様と組み合わせて、各態様に適用され得る。

【0010】

システムおよび方法により、複数の管理ドメインをまたぐエンドツーエンドＩＤ認識ルーティングを提供する。第２のオーバーレイネットワークの第１の入力エッジデバイスは、第１のオーバーレイネットワークの第１の出力エッジデバイスから第１のカプセル化されたパケットを受信することができる。第１の入力エッジデバイスは、第１のカプセル化されたパケットを非カプセル化して、元のパケットとユーザーまたはグループの識別子を取得することができる。第１の入力エッジデバイスは、ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを適用して、元のパケットのネクストホップを決定することができる。第１の入力エッジデバイスは、元のパケットとユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成することができる。第１の入力エッジデバイスは、第２のカプセル化されたパケットをネクストホップに転送することができる。

【0011】

また、ネットワークノード、コンピュータプログラム、コンピュータプログラム製品、コンピュータ可読媒体、および方法を実装するための有形媒体上に符号化された論理を含む、本明細書に記載の方法を実装するための装置も記載される。

【0012】

実施例
いくつかの実施形態では、コンピュータ実装方法は、第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、第２のネットワークコントローラの管理制御下にある第２のオーバーレイネットワークの入力エッジデバイスによって、元のパケットを含む第１のカプセル化されたパケットを受信することと、第１のカプセル化されたパケットを非カプセル化して、元のパケットとユーザーまたはグループの識別子を取得することと、ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを元のパケットに適用して、元のパケットのネクストホップを決定することと、元のパケットとユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成することと、カプセル化された第２のパケットをネクストホップに転送することとを含む。

【0013】

いくつかの実施形態では、第１のカプセル化されたパケットまたは第２のカプセル化されたパケットの少なくとも一方は、仮想拡張ローカルエリアネットワーク（ＶＸＬＡＮ）－グループポリシーオプション（ＧＰＯ）カプセル化によってカプセル化されている。いくつかの実施形態では、ユーザーまたはグループのポリシーは、第１のオーバーレイネットワークおよび第２のオーバーレイネットワークで実施されるエンドツーエンドのユーザーまたはグループのポリシーである。いくつかの実施形態では、ユーザーまたはグループの識別子は、ＶＸＬＡＮヘッダ、メタデータヘッダ、またはマルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベルのうちの少なくとも１つに含まれる。いくつかの実施形態では、第１のカプセル化パケットまたは第２のカプセル化パケットの少なくとも一方は、バーチャルネットワーク識別子（ＶＮＩＤ）、仮想ルーティング／転送（ＶＲＦ）識別子、またはバーチャルプライベートネットワーク（ＶＰＮ）識別子を含む。

【0014】

いくつかの実施形態では、コンピュータ実装方法は、第２のオーバーレイネットワークの入力エッジデバイスと出力エッジデバイスとの間にトンネルを確立することであって、第２のカプセル化パケットがトンネルを介してネクストホップに転送される、確立されることと、第２のオーバーレイネットワークの出力エッジデバイスによって、第２のカプセル化されたパケットを受信することと、第２のカプセル化されたパケットを非カプセル化して、元のパケットとユーザーまたはグループの識別子を取得することと、ユーザーまたはグループの識別子に合致する第２のユーザーまたはグループのポリシーを元のパケットに適用して、元のパケットの第２のネクストホップを決定することと、元のパケットとユーザーまたはグループの識別子をカプセル化して、第３のカプセル化されたパケットを生成することと、第３のカプセル化されたパケットを第２のネクストホップに転送することとをさらに含むことができる。いくつかの実施形態では、コンピュータ実装方法は、出力エッジデバイスから、第１のオーバーレイネットワークまたは第３のオーバーレイネットワークの管理制御下にある第２の入力エッジデバイスによって、第３のカプセル化されたパケットを受信することと、第３のカプセル化されたパケットを非カプセル化して、元のパケットとユーザーまたはグループの識別子を取得することと、ユーザーまたはグループの識別子に合致する第３のユーザーまたはグループのポリシーを元のパケットに適用して、元のパケットの第３のネクストホップを決定することと、元のパケットを第３のネクストホップに転送することとをさらに含むことができる。

【0015】

いくつかの実施形態では、コンピュータ実装方法は、ユーザーまたはグループの識別子をセキュリティグループタグ（ＳＧＴ）からエンドポイントグループ（ＥＰＧ）にマッピングすることをさらに含むことができる。いくつかの実施形態では、ユーザーまたはグループのポリシーは、元のパケットを生成したアプリケーションにさらに合致する。

【0016】

いくつかの実施形態では、コンピュータ実装方法は、第１のカプセル化されたパケットを、アンダーレイネットワークの１つ以上の中間ノードを介して第１のオーバーレイネットワークにルーティングすることをさらに含むことができる。

【0017】

いくつかの実施形態では、コンピュータ実装方法は、第２のカプセル化されたパケットを、アンダーレイネットワークの１つ以上のノードを介して第２のオーバーレイネットワークにルーティングすることをさらに含むことができる。

【0018】

いくつかの実施形態では、システムは、１つ以上のプロセッサと、命令を含むメモリであって、その命令が、１つ以上のプロセッサによって実行されると、システムに、第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、元のパケットを含む第１のカプセル化されたパケットを受信することであって、システムが第２のネットワークコントローラの管理下にある、受信することと、第１のカプセル化されたパケットを非カプセル化して、元のパケットとユーザーまたはグループの識別子を取得することと、ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを元のパケットに適用して、元のパケットのネクストホップを決定することと、元のパケットとユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成することと、第２のカプセル化されたパケットをネクストホップに転送することとを行わせる、メモリとを備える。

【0019】

いくつかの実施形態では、非一時的なコンピュータ可読記憶媒体は命令を含み、その命令は、システムの１つ以上のプロセッサによって実行されると、システムに、第１のネットワークコントローラの管理制御下にある第１のオーバーレイネットワークの出力エッジデバイスから、元のパケットを含む第１のカプセル化されたパケットを受信することであって、システムが第２のネットワークコントローラの管理制御下にある、受信することと、第１のカプセル化されたパケットを非カプセル化して、元のパケットとユーザーまたはグループの識別子を取得することと、ユーザーまたはグループの識別子に合致するユーザーまたはグループのポリシーを元のパケットに適用して、元のパケットのネクストホップを決定することと、元のパケットとユーザーまたはグループの識別子をカプセル化して、第２のカプセル化されたパケットを生成することと、第２のカプセル化されたパケットをネクストホップに転送することを行わせる。様々な実施形態により提供され得る多数の他の機能および利点が、以下で説明および示唆される。

【0020】

従来のネットワークで使用されるプロトコルは、特定のドメインまたは特定のタイプのネットワーク（例えば、データセンター（ＤＣ）、および企業またはキャンパス、ワイドエリアネットワーク（ＷＡＮ）、ブランチネットワークなど）に合わせて設計および最適化されるが、ドメイン間（例えば、ＤＣ－キャンパス間、アクセス－ＷＡＮ間、ＤＣ－ＷＡＮ間など）を流れるトラフィックにはあまり効果的でない場合がある。例えば、（開放型システム間相互接続（ＯＳＩ）モデルの）レイヤ２（Ｌ２）ネットワークは、より広いエリアにわたって有効化されると、規模、ブロードキャスト伝搬、および脆弱性によって制約することができる。レイヤ３（Ｌ３）ネットワークは、バーチャルローカルエリアネットワーク（ＶＬＡＮ）およびサブネットの急増、複雑なルーティングプロトコル設計、およびトラフィックフローの理解とトラブルシューティングをより困難にし得るＬ２トポロジーとＬ３トポロジーとの間の潜在的な不同性によって管理不能になり得る。ネットワークのセグメント化は、他の仮想ネットワーク技術の中でもとりわけ、ＶＲＦ、マルチプロトコルラベルおよびスイッチング（ＭＰＬＳ）ＶＰＮ、セキュリティグループタグ（ＳＧＴ）、およびＥＰＧの展開によってさらに複雑さを高め得る。

【0021】

ネットワークのカプセル化は、これらの課題のいくつかに対処するための手法の１つである。バーチャルエクステンシブルＬＡＮ（ＶＸＬＡＮ）などのいくつかのタイプのカプセル化には、単一のカプセル化タイプ内でＬ２パケットとＬ３パケットの両方を処理することができるという追加の利点を有する。これにより、ＶＸＬＡＮカプセル化または同様の技術がＬ２ネットワークとＬ３ネットワークの両方をまたいでパケットを転送することを可能にすることができる。これにより、例えば、Ｌ３パケット（例えば、ＭＰＬＳ ＶＰＮ）とＬ２パケット（例えば、バーチャルプライベートＬＡＮサービス（ＶＰＬＳ）またはイーサネットオーバーＭＰＬＳ（ＥｏＭＰＬＳ））を転送するために異なる方法を使用するＭＰＬＳとは区別することができる。一般に、カプセル化の利点は、ネットワーク内にオーバーレイを構築する能力である。オーバーレイネットワーク（ネットワークファブリックまたはファブリックとも称されることもある）は、基盤となる物理ネットワーク（すなわち、アンダーレイネットワーク）の上に構築された仮想ネットワークトポロジーである。オーバーレイネットワークは、任意の物理ネットワークトポロジーの上に構築された、仮想的にデバイスを接続するために使用される論理トポロジーを作成することができる。オーバーレイネットワークを実装するためのいくつかの例示的手法には、中でもとりわけ、ジェネリックルーティングエンキャプシュレーション（ＧＲＥ）またはマルチポイントＧＲＥ（ｍＧＲＥ）、ＭＰＬＳ ＶＰＮまたはＶＰＬＳ、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）またはダイナミックマルチポイントバーチャルプライベートネットワーク（ＤＭＶＰＮ）、ＣＡＰＷＡＰ（コントロールアンドプロビジョニングオブワイヤレスアクセスポイント）、ＶＸＬＡＮ、ロケーション／アイデンティファイヤセパレーションプロトコル（ＬＩＳＰ）、Ｃｉｓｃｏ（登録商標）Ｏｖｅｒｌａｙ Ｔｒａｎｓｐｏｒｔ Ｖｉｒｔｕａｌｉｚａｔｉｏｎ（ＯＴＶ）、Ｃｉｓｃｏ（登録商標）Ａｐｐｌｉｃａｔｉｏｎ Ｃｅｎｔｒｉｃ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ（Ｃｉｓｃｏ ＡＣＩ（商標））が挙げられる。

【0022】

オーバーレイネットワークでは、オーバーレイの論理トポロジーは、基盤となるネットワークインフラストラクチャから切り離すことができる。これにより、オーバーレイネットワークをアンダーレイネットワークとは別個に設計し、アンダーレイネットワーク自体では対応できない機能を提供することを可能にすることができる。例えば、アンダーレイネットワークは、完全にルーティングされたトポロジー（例えば、構内配線分配（ＰＷＤ）室または配線クローゼットまでルーティングする）として設計することができる。完全にルーティングされたトポロジー（ルーテッドアクセスとしても知られる）には、中でもとりわけ、安定性、スケーラビリティ、ネットワーク停止時の迅速な再収束、効果的なトラフィック負荷分散（例えば、等化コストマルチパス（ＥＣＭＰ）を経由して）などのいくつかの利点を有し得る。しかしながら、完全にルーティングされたトポロジーは、特定の欠点も有し得る。例えば、２つ以上のＰＷＤ間でＶＬＡＮを拡張することができない場合があり、これにより、ネットワーク内の２つ以上の場所にサブネットを表示することを必要とし得るいくつかのアプリケーションの柔軟性が制限され得る。完全にルーティングされたトポロジーでは、多数のサブネット（例えば、ＰＷＤごとに１つ以上）の生成、使用、および継続的なサポートも必要とし得る。大規模な展開では、これは、大量のインターネットプロトコル（ＩＰ）アドレス空間を管理し、消費することを支え切れなくなり得る（例えば、各サブネットは、サポートする必要のあるホストの数に関して増大する可能性のある最大値を満たさなければならず、展開および使用中にＩＰアドレス空間が無駄にすることになり得る）。

【0023】

いくつかの実施形態では、ネットワークは、完全にルーティングされたアンダーレイトランスポートネットワークの利点（例えば、安定性、スケーラビリティ、高速ネットワーク再収束、効果的なトラフィック負荷分散など）、および（例えば、スパニングツリーや大規模ループＬ２設計の広範囲での使用に関連する従来の問題を発生させることなく、より広いエリアにわたってオーバーレイＩＰサブネットを「拡張する」ことなどによって）柔軟なサービスを提供するより広いエリアネットワークを提供するように構成することができる。ネットワークデバイス（例えば、スイッチ、ルータ、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）コントローラ、アクセスポイント、ネットワークアプライアンス、ネットワークサービスなど）は、アンダーレイネットワーク、およびホスト（例えば、エンドユーザー、デバイスなど）に接続することができ、またはシステムの実際のユーザーがオーバーレイネットワークに接続することができる。これにより、アンダーレイネットワークを静的かつ安定に保つことを可能にして、可用性および継続性をより高めることができるが、ユーザー、デバイス、およびサービスは、オーバーレイネットワークを経由していつでもネットワークに接続したり、ネットワークから切断したりすることを可能にし、ネットワークを危険にさらすことなく、ネットワークオペレータのための新しいネットワーク機能の迅速な展開と運用を可能にする。

【0024】

少なくともＶＸＬＡＮカプセル化または同様の技術を使用したオーバーレイネットワークの追加の利点には、下位互換性、およびネットワーク機能を拡張するための追加のパケットヘッダスペースを挙げることができる。この追加のスペースは、カプセル化されたパケットの適切な処理に関するさらなるコンテキストを提供するための情報（例えば、データに関するメタデータまたはデータ）を搬送することができる。ＶＸＬＡＮまたは同様の技術は、外部カプセル化のためにユーザーデータグラムプロトコル（ＵＤＰ）を利用して、ＳＧＴおよび／またはＶＮＩＤ（例えば、インターネット技術特別調査委員会（ＩＥＴＦ）ＶＸＬＡＮグループポリシーオプション（ＧＰＯ）で定義されるような）などのパケットメタデータを転送するが、これらの特性から様々な利点が生じ得る。ＵＤＰカプセル化は、ＩＰノードがＶＸＬＡＮ処理用の新しいハードウェアまたはソフトウェアでノードを明示的に構成することなく、ＶＸＬＡＮカプセル化されたパケットをルーティングすることを可能にすることができる。ＶＸＬＡＮカプセル化パケットの外部ＶＸＬＡＮヘッダに送信元ＩＰアドレスを持つノード（すなわち、送信元ＶＸＬＡＮトンネルエンドポイント（ＶＴＥＰ）または送信元ルーティングロケーター（ＲＬＯＣ））が、パケットをカプセル化するためにＶＸＬＡＮ対応にすることができ、外部ＵＤＰヘッダに宛先ＩＰアドレスを持つノード（すなわち、宛先ＶＴＥＰ／ＲＬＯＣ）が、外部ＶＸＬＡＮヘッダを非カプセル化するために、にＶＸＬＡＮ対応にすることができる一方、中間ネットワークノード（すなわち、送信元および宛先のＶＴＥＰ／ＲＬＯＣ）は、内部ＶＸＬＡＮパケットヘッダについて知ったり、理解したり、解釈したりする必要はない。これにより、ＶＸＬＡＮまたは同様の技術が、基盤となるＩＰベースのネットワークインフラストラクチャ上にオーバーレイネットワークを提供することを可能にすることができる。加えて、外部ＵＤＰパケットヘッダは、内部ディファレンシエイテッドサービシーズコードポイント（ＤＳＣＰ）値からコピーされ得るＤＳＣＰ値を含むことができ、これにより、中間ノードはＶＸＬＡＮを理解する、または内部カプセル化パケットを検査する必要もなく、ＱｏＳを適切に処理することができる。

【0025】

ＶＸＬＡＮまたは同様の技術は、ＶＮＩＤをエンドツーエンドで転送するためのメカニズムをオーバーレイネットワーク内に提供することができる。ＶＮＩＤはＶＲＦに対応することができ、オーバーレイネットワークはエンドツーエンドＶＲＦトランスポートをサポートして、オーバーレイネットワークの一方の端に入るパケットがカプセル化されるときに正しいＶＲＦでタグ付けされ、ＶＲＦが非カプセル化するＶＸＬＡＮノードにおいて決定されて、オーバーレイネットワークからの出力時に内部パケットを転送するためのコンテキストを取得することを可能にするができる。したがって、ＶＮＩＤをサポートするオーバーレイネットワークは、ネットワークのセグメント化を認識して、より優れたネットワークセキュリティを提供することができる。これにより、アンダーレイ内のすべての中間ネットワークノードに触れる必要もなく、エンドツーエンドのネットワークセグメント化スキームを容易にすることもできる。

【0026】

ＳＧＴは、ポリシーを適用する目的で、ネットワーク内の類似のユーザーおよびデバイスをグループ化することができる。類似のユーザーおよびデバイスをそれらの認証またはデバイスプロファイルに基づいて関連付けることによって、ネットワークポリシーは、それらのユーザーおよびデバイスに割り当てられたＩＰアドレスまたはサブネットから分離することができる。このレベルの抜き取りは、グループベースのポリシーをユーザーにとって理解しやすくし、展開および維持を容易にし、これによってグループベースのポリシーを改善することができる。従来のネットワークでは、ポリシーは厳密にＩＰアドレスにバインドされている。これは、ＩＰヘッダ内に、ユーザーＩＤもしくはデバイスＩＤ、またはグループ情報、ロケーション、およびその他のコンテキストを直接提供するフィールドがなく、代わりにコンテキストのためのプロキシとしてＩＰアドレスを使用しなければならないためである。この方法でＩＰアドレスをオーバーロードすると、ポリシーの実装に必要なサブネット、サービスセット識別子（ＳＳＩＤ）、およびアクセス制御リスト（ＡＣＬ）が大量に発生する。

【0027】

従来のネットワークは、通常、ＳＧＴ（または同様の技術）をサポートできないが、これは、新旧のハードウェアおよびソフトウェアが混在し得る異種ネットワークをまたぐデータプレーン内でＳＧＴをエンドツーエンドで搬送することが難しいためである（例えば、いくつかの古いハードウェアおよびソフトウェアはＳＧＴを処理することができない）。ＳＧＴがネットワークをまたいで移動するときに、データパケットを使用してインラインまたはインバンドでＳＧＴを転送できることが理想的であるが、従来のネットワークでは、すべてのネットワークデバイスおよびすべてのネットワークリンクがＳＧＴを挿入し、転送し、および／または削除することが可能でなければならない。しかしながら、ＶＸＬＡＮ－ＧＰＯカプセル化または同様の技術をサポートするオーバーレイネットワークは、ＳＧＴまたは同等のコンテキスト情報をＶＸＬＡＮパケットヘッダ内でエンドツーエンドで搬送することができる。例えば、中間ノードではなく、入力ノードおよび出力ノードのみが、ＳＧＴを処理する必要があり得る。この下位互換性は、ＶＸＬＡＮを処理することができない多数のノードを有する大規模なネットワーク展開でも、グループベースのポリシーを実行可能にする。したがって、パケットがＷＡＮを通じて転送するためにエッジネットワークデバイスに到着したときに、有用なコンテキスト情報（例えば、ユーザーＩＤまたはグループＩＤ）をパケットから除去する代わりに、この情報を使用して、ルーティングを改善し（例えば、トラフィックをエンドツーエンドでシェーピングしてサービスレベルアグリーメント（ＳＬＡ）に準拠する）、トランスポートリソースの効率的な利用を保証し、アプリケーション／ネットワークの応答性を改善することができる。従来のネットワークは、この追加のコンテキスト情報を取り込むことができず、および／またはＷＡＮルーティングのためにそのような情報に依拠しない。本開示の様々な実施形態は、複数の管理ドメインをまたぐエンドツーエンドＩＤ認識ルーティングのこれらおよび他の課題を克服することができる。

【0028】

図１は、本技術の態様を実装するためのネットワーク１００の一実施例を示している。ネットワーク１００の実装の一実施例は、Ｃｉｓｃｏ（登録商標）Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＳＤ－ＷＡＮ）アーキテクチャである。しかしながら、当業者であれば、本開示で論じられるネットワーク１００および任意の他のシステムについて、同様のまたは代替の構成において追加またはより少ない構成要素が存在し得ることを理解するであろう。本開示で提供される図および実施例は、簡潔さと明快さのためのものである。他の実施形態は、異なる数の要素および／または異なるタイプの要素を含み得るが、当業者は、このような変形形態が本開示の範囲から逸脱しないことを理解するであろう。

【0029】

本実施例では、ネットワーク１００は、オーケストレーションプレーン１０２、管理プレーン１２０、制御プレーン１３０、およびデータプレーン１４０を備えることができる。オーケストレーションプレーン１０２は、オーバーレイネットワークにおけるＷＡＮエッジデバイス１４２（例えば、スイッチ、ルータなど）の自動的な組み込みを支援することができる。オーケストレーションプレーン１０２は、１つ以上の物理的または仮想的ネットワークオーケストレータアプライアンス１０４を含むことができる。ネットワークオーケストレータアプライアンス１０４は、ＷＡＮエッジデバイス１４２の初期認証を実行し、制御プレーン１３０とデータプレーン１４０のデバイスとの間の接続を組織化することができる。いくつかの実施形態では、ネットワークオーケストレータアプライアンス１０４は、ネットワークアドレス変換（ＮＡＴ）の背後に位置するデバイスの通信を可能にすることもできる。いくつかの実施形態では、物理的または仮想的なＣｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＢｏｎｄアプライアンスは、ネットワークオーケストレーターアプライアンス１０４として機能することができる。

【0030】

管理プレーン１２０は、ネットワークの中央構成および監視の役割を担うことができる。管理プレーン１２０は、１つ以上の物理的または仮想的ネットワーク管理アプライアンス１２２を含むことができる。ネットワーク管理アプライアンス１２２は、グラフィカルユーザーインターフェースを経由してネットワークの一元管理を提供し、ユーザーが、アンダーレイネットワークおよびオーバーレイネットワーク内のＷＡＮエッジデバイス１４２およびリンク（例えば、インターネットトランスポートネットワーク１６０、マルチプロトコルラベルスイッチング（ＭＰＬＳ）ネットワーク１６２、ＬＴＥネットワーク１６４など）を監視し、構成し、および維持することを可能にすることができる。ネットワーク管理アプライアンス１２２は、マルチテナンシーをサポートし、異なるエンティティ（例えば、企業、企業内の部門、部門内のグループなど）に関連付けられた論理的に分離されたネットワークの一元管理を可能にすることができる。代替的に、または追加的に、ネットワーク管理アプライアンス１２２は、単一のエンティティのための専用ネットワーク管理システムであり得る。いくつかの実施形態では、物理的または仮想的なＣｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＭａｎａｇｅアプライアンスは、ネットワーク管理アプライアンス１２２として機能することができる。

【0031】

管理プレーン１２０はまた、最高および最低の性能のアプリケーション、最も帯域幅を消費するアプリケーション、異常なアプリケーションファミリ（例えば、帯域幅消費が一定期間にわたって変化するアプリケーション）、ネットワークの可用性および回路の可用性、キャリアの健全性、最高および最低の性能のトンネルなど、アプリケーションおよびネットワークの性能を経時的に可視化するための分析エンジン１２４を含むことができる。分析エンジン１２４は、オーバーレイネットワークのグラフィカル表現を生成し、ユーザーが特定の時間に単一のキャリア、トンネル、またはアプリケーションの特性を表示するためにドリルダウンすることを可能にすることができるユーザーインターフェースを含み得る。ユーザーインターフェースは、ネットワークのインタラクティブな概要およびより詳細への入口点として機能することができる。いくつかの実施形態では、ユーザーインターフェースは、過去２４時間の情報を表示し、ユーザーがドリルダウンして、異なるデータセットについて異なる期間を選択し表示することを可能にすることができる。ユーザーインターフェースは、ネットワーク分析の中でもとりわけ、ネットワークの可用性、キャリアごとのＷＡＮ性能、およびアプリケーションに関するデータを表示することもできる。

【0032】

いくつかの実施形態では、分析エンジン１２４は、個々のアプリケーション用にカスタマイズすることができる仮想体感品質（ｖＱｏＥ）値をアプリケーション性能に提供することができる。この値は０～１０の範囲であり、０が最低の性能、１０が最高の性能とすることができる。分析エンジンは、遅延、損失、およびジッタに基づいてｖＱｏＥを計算し、アプリケーションごとに計算をカスタマイズすることができる。

【0033】

分析エンジン１２４は、過去の実績から予測まで、ＷＡＮを最適化するための推奨事項の提供まで、ＷＡＮの計画、およびその運用面の態様への洞察を提供することができる。分析エンジン１２４は、数ヶ月のデータを格納し、機械学習アルゴリズムを適用し、一意の洞察および推奨を提供することができる。例えば、分析エンジン１２４は、今後３～６ヶ月において追加の帯域幅を必要とし得るＷＡＮサイトについて計画するための予測推奨、ネットワークおよびアプリケーションのコスト、性能、および可用性を均衡させるための機会を特定するのに役立つｗｈａｔ－ｉｆシナリオ、ＷＡＮを微調整するための履歴情報に基づくアプリケーション認識ルーティングポリシー、特定のロケーションのために推奨されるネットワークサービスプロバイダ、などを提供することができる。

【0034】

制御プレーン１３０は、ネットワークトポロジーを構築し維持し、トラフィックがどこを流れるかを決定することができる。制御プレーン１３０は、１つ以上の物理的または仮想的ネットワークコントローラアプライアンス１３２を含むことができる。ネットワークコントローラアプライアンス１３２は、各ＷＡＮエッジデバイス１４２への安全な接続を確立し、制御プレーンプロトコル（例えば、オーバーレイ管理プロトコル（ＯＭＰ）（以下でさらに詳細に説明）、オープンショートパスファースト（ＯＳＰＦ））、中間システム間連係（ＩＳ－ＩＳ）、ボーダーゲートウェイプロトコル（ＢＧＰ）、プロトコル－インディペンデントマルチキャスト（ＰＩＭ）、インターネットグループマネージメントプロトコル（ＩＧＭＰ）、インターネットコントロールメッセージプロトコル（ＩＣＭＰ）、アドレス解決プロトコル（ＡＲＰ）、双方向フォワーディング検出（ＢＦＤ）、リンクアグリゲーションコントロールプロトコル（ＬＡＣＰ）など）を経由して、ルートおよびポリシーの情報を配信することができる。いくつかの実施形態では、ネットワークコントローラアプライアンス１３２は、ルートリフレクターとして機能することができる。ネットワークコントローラアプライアンス１３２は、ＷＡＮエッジデバイス１４２間およびＷＡＮエッジデバイス１４２内のデータプレーン１４０内の安全な接続を組織化することもできる。例えば、いくつかの実施形態では、ネットワークコントローラアプライアンス１３２は、ＷＡＮエッジデバイス１４２内で暗号鍵情報を配信することができる。これにより、ネットワークが、インターネットキーエクスチェンジ（ＩＫＥ）なしに安全なネットワークプロトコルまたはアプリケーション（例えば、ＩＰＳｅｃ、トランスポートレイヤセキュリティ（ＴＬＳ）、セキュアシェル（ＳＳＨ）など）をサポートすることを可能にし、ネットワークのスケーラビリティを可能にすることができる。いくつかの実施形態では、物理的または仮想的なＣｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＳｍａｒｔコントローラは、ネットワークコントローラアプライアンス１３２として機能することができる。

【0035】

データプレーン１４０は、制御プレーン１３０からの決定に基づいてパケットを転送する役割を担うことができる。データプレーン１４０は、物理的または仮想的ネットワークデバイスであり得るＷＡＮエッジデバイス１４２を含むことができる。ＷＡＮエッジデバイス１４２は、１つ以上のデータセンター１５０、キャンパスネットワーク１５２、ブランチオフィス１５４、ホームオフィス１５６などの中、またはクラウド（例えば、インフラストラクチャアズアサービス（ＩａａＳ）、プラットフォームアズアサービス（ＰａａＳ）、ＳａａＳ、およびその他のクラウドサービスプロバイダーネットワーク）の中など、の組織に関連付けられた様々なＷＡＮサイトのエッジで機能することができる。ＷＡＮエッジデバイス１４２は、１つ以上のインターネットトランスポートネットワーク１６０（例えば、デジタル加入者回線（ＤＳＬ）、ケーブルなど）、ＭＰＬＳネットワーク１６２（または他のプライベートパケット交換ネットワーク（例えば、メトロイーサネット、フレームリレー、非同期転送モード（ＡＴＭ）など）、ＬＴＥネットワーク１６４または他のモバイルネットワーク（例えば、３Ｇ、４Ｇ、５Ｇなど）、または他のＷＡＮ技術（例えば、同期光ネットワーク（ＳＯＮＥＴ）、同期デジタルハイアラーキ（ＳＤＨ）、高密度波長分割多重（ＤＷＤＭ）、または他の光ファイバー技術、専用回線（例えば、Ｔ１／Ｅ１、Ｔ３／Ｅ３など）、公衆電話交換網（ＰＳＴＮ）、統合デジタル通信サービス（ＩＳＤＮ）または他のプライベート回線交換ネットワーク、小型地球局（ＶＳＡＴ）または他の衛星ネットワークなど）を介するなど、１つ以上のＷＡＮトランスポートネットワークを経由してＷＡＮサイト間に安全なデータプレーン接続を提供することができる。ＷＡＮエッジデバイス１４２は、他のタスクの中でもとりわけ、トラフィック転送、セキュリティ、暗号化、サービス品質（ＱｏＳ）、およびルーティング（例えば、ＢＧＰ、ＯＳＰＦなど）の役割を担うことができる。いくつかの実施形態では、物理的または仮想的なＣｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＥｄｇｅルータは、ＷＡＮエッジデバイス１４２として機能することができる。

【0036】

図２は、ネットワーク１００の様々な態様を示すためのネットワーク環境２００の一実施例を示している。ネットワーク環境２００は、管理ネットワーク２０２、一対のＷＡＮサイト２０４Ａおよび２０４Ｂ（集合的に、２０４）（例えば、データセンター１５０、キャンパスネットワーク１５２、ブランチオフィス１５４、ホームオフィス１５６、クラウドサービスプロバイダネットワークなど）、および一対のインターネットトランスポートネットワーク１６０Ａおよび１６０Ｂ（まとめて１６０）を含むことができる。管理ネットワーク２０２は、１つ以上のネットワークオーケストレータアプライアンス１０４、１つ以上のネットワーク管理アプライアンス１２２、および１つ以上のネットワークコントローラアプライアンス１３２を含むことができる。本実施例では、管理ネットワーク２０２は単一のネットワークとして示されているが、管理ネットワーク２０２の各オブジェクトが任意の数のネットワークをまたいで分散され、および／またはＷＡＮサイト２０４と同一場所に配置され得ることを、当業者は理解されよう。本実施例では、管理ネットワーク２０２の各オブジェクトは、インターネットトランスポートネットワーク１６０Ａまたは１６０Ｂのいずれかを介して到達することができる。

【0037】

各ＷＡＮサイト２０４は、１つ以上のＷＡＮアグリゲーションデバイス２０８（アクセス、エッジ、または境界のデバイス、ノード、またはリーフなどとも呼ばれる）に接続された１つ以上のホスト２０６（エンドポイント、コンピューティングデバイス、コンピューティングシステムなどとも称される）を含むことができる。ホスト２０６は、汎用コンピューティングデバイス（例えば、サーバ、ワークステーション、デスクトップコンピュータなど）、モバイルコンピューティングデバイス（例えば、ラップトップ、タブレット、携帯電話など）、ウェアラブルデバイス（例えば、時計、眼鏡または他のヘッドマウントディスプレイ（ＨＭＤ）、イヤーデバイスなど）を含むことができる。ホスト２０６は、農業機械（例えば、家畜追跡および管理システム、給水デバイス、無人航空機（ＵＡＶ）など）、コネクテッドカーおよび他の車両、スマートホームセンサーおよびデバイス（例えば、警報システム、セキュリティカメラ、照明、電化製品、メディアプレーヤー、暖房、換気、および空調（ＨＶＡＣ）機器、需給計器、窓、自動ドア、ドアベル、錠前など）、オフィス機器（例えば、デスクトップ電話、コピー機、ファックス機など）、ヘルスケアデバイス（例えば、ペースメーカー、生体認証センサー、医療機器など）、産業用機器（例えば、ロボット、工場機械、建設機器、産業用センサーなど）、小売機器（例えば、自動販売機、店頭（ＰＯＳ）デバイス、無線ＩＤ（ＲＦＩＤ）タグなど）、スマートシティデバイス（例えば、街灯、パーキングメーター、廃棄物管理センサーなど）、輸送およびロジスティック機器（例えば、回転式改札口、レンタカートラッカー、ナビゲーションデバイス、在庫モニターなど）など、のモノのインターネット（ＩｏＴ）デバイスまたは機器も含むことができる。

【0038】

ＷＡＮアグリゲーションデバイス２０８は、物理的または仮想的スイッチ、ルータ、および他のネットワークデバイスを含むことができる。本実施例では、ＷＡＮサイト２０４Ａは一対のＷＡＮアグリゲーションデバイスを含み、ＷＡＮサイト２０４Ｂは単一のＷＡＮアグリゲーションデバイスを含むように示されているが、ＷＡＮサイト２０４は、多層（コア層、ディストリビューション層、およびアクセス層など）、スパインアンドリーフ、メッシュ、ツリー、バス、ハブアンドスポークなどを含む、任意のネットワークトポロジー内に任意の数のネットワークデバイスを含むことができる。例えば、いくつかの実施形態では、１つ以上のデータセンターは、Ｃｉｓｃｏ（登録商標）ＡＣＩ（商標）アーキテクチャを実装し得、および／または、１つ以上のキャンパスネットワークはＣｉｓｃｏ（登録商標）Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ａｃｃｅｓｓ（ＳＤ－ＡｃｃｅｓｓまたはＳＤＡ）アーキテクチャを実装し得る。ＷＡＮアグリゲーションデバイス２０８は、ホスト２０６、他のネットワークデバイス（図示せず）、または他のネットワーク（図示せず）などのＷＡＮサイト２０４のノードを、１つ以上のＷＡＮエッジデバイス１４２に直接または間接的に接続することができ、ＷＡＮエッジデバイス１４２は、ＷＡＮアグリゲーションデバイス２０８をトランスポートネットワーク１６０に接続することができる。

【0039】

いくつかの実施形態では、「カラー」を使用して個々のＷＡＮトランスポートネットワークを識別することができ、異なるＷＡＮトランスポートネットワークに異なるカラーを割り当てることができる（例えば、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ｂｉｚ－ｉｎｔｅｒｎｅｔ、ｍｅｔｒｏ－ｅｔｈｅｒｎｅｔ、ｌｔｅなど）。本実施例では、ネットワーク環境２００は、インターネットトランスポートネットワーク１６０Ａ用に「ｂｉｚ－ｉｎｔｅｒｎｅｔ」と呼ばれるカラーと、インターネットトランスポートネットワーク１６０Ｂ用に「ｐｕｂｌｉｃ－ｉｎｔｅｒｎｅｔ」と呼ばれるカラーを利用してもよい。

【0040】

いくつかの実施形態では、各ＷＡＮエッジデバイス１４２は、ネットワークコントローラアプライアンス１３２の少なくとも１つを用いて、データグラムトランスポートレイヤセキュリティ（ＤＴＬＳ）またはトランスポートレイヤセキュリティ（ＴＬＳ）制御接続を形成し、各トランスポートネットワーク１６０を通じて任意のネットワークコントローラアプライアンス１３２に接続することができる。いくつかの実施形態では、ＷＡＮエッジデバイス１４２はまた、ＩＰＳｅｃトンネルを経由して他のＷＡＮサイト内のＷＡＮエッジデバイスに安全に接続することもできる。いくつかの実施形態では、ＢＦＤプロトコルが、損失、待ち時間、ジッタ、および経路障害を検出するために、これらのトンネルの各々において使用され得る。

【0041】

ＷＡＮエッジデバイス１４２では、カラーを使用して、個々のＷＡＮトランスポートトンネルを識別または区別するのに役立てることができる（例えば、単一のエッジネットワークデバイスに同じカラーが２回使用され得ない）。カラー自体も有意性を有し得る。例えば、ｍｅｔｒｏ－ｅｔｈｅｒｎｅｔ、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ｐｒｉｖａｔｅ２、ｐｒｉｖａｔｅ３、ｐｒｉｖａｔｅ４、ｐｒｉｖａｔｅ５、ｐｒｉｖａｔｅ６のカラーは、プライベートカラーと見なされ得、プライベートネットワークのために、またはトランスポートＩＰホストのＮＡＴアドレス指定がない場所で使用され得る（例えば、同じカラーの２つのホスト間にＮＡＴが存在し得ないために）。ＷＡＮエッジデバイス１４２がプライベートカラーを使用するときに、それらは、ネイティブＩＰアドレス、プライベートＩＰアドレス、アンダーレイＩＰアドレスを使用して、他のエッジネットワークデバイスへのＩＰＳｅｃトンネルを構築しようと試み得る。パブリックカラーは、３ｇ、ｂｉｚ、ｉｎｔｅｒｎｅｔ、ｂｌｕｅ、ｂｒｏｎｚｅ、ｃｕｓｔｏｍ１、ｃｕｓｔｏｍ２、ｃｕｓｔｏｍ３、ｄｅｆａｕｌｔ、ｇｏｌｄ、ｇｒｅｅｎ、ｌｔｅ、ｐｕｂｌｉｃ－ｉｎｔｅｒｎｅｔ、ｒｅｄ、ｓｉｌｖｅｒを含み得る。パブリックカラーは、ｐｏｓｔ－ＮＡＴ ＩＰアドレスへのトンネルを構築するために、ＷＡＮエッジデバイス１４２によって使用され得る（ＮＡＴが関与している場合）。ＷＡＮエッジデバイス１４２がプライベートカラーを使用し、他のプライベートカラーと通信するためにＮＡＴを必要とする場合、構成におけるキャリア設定は、ＷＡＮエッジデバイス１４２がプライベートＩＰアドレスまたはパブリックＩＰアドレスを使用するかどうかを指示することができる。この設定を使用すると、一方または両方がＮＡＴを使用しているときに、２つのプライベートカラーがセッションを確立することができる。

【0042】

図３は、ＯＭＰなどを経由して、オーバーレイネットワークを管理するための例示的な手法のブロック図３００示している。本実施例では、ＯＭＰメッセージ３０２Ａおよび３０２Ｂ（総称して、３０２）は、ネットワークコントローラアプライアンス１３２とＷＡＮエッジデバイス１４２Ａと１４２Ｂとの間でそれぞれ前後に送信され得、ルートプレフィックス、ネクストホップルート、暗号鍵、ポリシー情報などの制御プレーン情報が、それぞれの安全なＤＴＬＳまたはＴＬＳ接続３０４Ａおよび３０４Ｂを通じて交換され得る。ネットワークコントローラアプライアンス１３２は、ルートリフレクターと同様に機能することができる。例えば、ネットワークコントローラアプライアンス１３２は、ＷＡＮエッジデバイス１４２からルートを受信し、それらにポリシーを処理し、適用して、オーバーレイネットワーク内の他のＷＡＮエッジデバイス１４２にルートを通知することができる。ポリシーが定義されていない場合は、ＷＡＮエッジデバイス１４２がフルメッシュトポロジーと同様に機能し得、各ＷＡＮエッジデバイス１４２は、別のＷＡＮサイトにおいて別のＷＡＮエッジデバイス１４２に直接接続し、各サイトから完全なルーティング情報を受信することができる。

【0043】

ＯＭＰは、次の３つのタイプのルートを通知することができる。

【0044】

・ＷＡＮエッジデバイス１４２のローカルＷＡＮサイト（例えば、ＷＡＮエッジデバイス１４２に対してローカル）またはサービス側から学習されるプレフィックスに対応し得る、ＯＭＰルート。プレフィックスは、静的ルートもしくは接続ルートとして発信され、またはルーティングプロトコル（例えば、ＢＧＰ、ＯＳＰＦなど）内から発信され、オーバーレイ全体にわたって搬送され得るようにＯＭＰに再配布され得る。ＯＭＰルートは、トランスポートロケーション（ＴＬＯＣ）情報（この情報は、ＢＧＰネクストホップＩＰアドレスに類似し得る）などの属性、および発信元、発信者、プリファレンス、サイト識別子、タグ、ＶＰＮ識別子などの他の属性を通知することができる。ＯＭＰルートは、それが指すＴＬＯＣがアクティブな場合、転送テーブル内にインストールされ得る。

【0045】

・トランスポートネットワーク１６０に接続するＷＡＮエッジデバイス１４２上の論理トンネル終端点に対応し得る、ＴＬＯＣルート。いくつかの実施形態では、ＴＬＯＣルートは、一意的に識別され、ＩＰアドレス、リンクカラー、およびカプセル化（例えば、ジェネリックルーティングカプセル化（ＧＲＥ）、ＩＰＳｅｃなど）を含む３タプルによって表され得る。システムＩＰアドレス、カラー、およびカプセル化に加えて、ＴＬＯＣルートは、ＴＬＯＣプライベートＩＰアドレスおよびパブリックＩＰアドレス、キャリア、プリファレンス、サイトＩＤ、タグ、および重みなどの属性も搬送し得る。いくつかの実施形態では、ＴＬＯＣは、アクティブなＢＦＤセッションがそのＴＬＯＣに関連付けられている場合、特定のＷＡＮエッジデバイス１４２上でアクティブ状態であり得る。

【0046】

・ＷＡＮエッジデバイス１４２のローカルＷＡＮサイトに接続され、サービス挿入で使用するために他のＷＡＮサイトにアクセス可能である得るサービス（例えば、ファイアウォール、分散型サービス停止（ＤＤｏＳ）緩和策、ロードバランサ、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、ＷＡＮオプティマイザなど）を表し得る、サービスルート。加えて、これらのルートはＶＰＮを含めることもでき、ＶＰＮラベルを更新タイプで送信して、リモートＷＡＮサイトにおいてサービスされているＶＰＮをネットワークコントローラアプライアンス１３２に通知され得る。

【0047】

図３の実施例では、ＯＭＰは、ＷＡＮエッジデバイス１４２とネットワークコントローラアプライアンス１３２の間に確立されたＤＴＬＳ／ＴＬＳトンネル３０４を通じて実行されていることが示されている。加えて、ブロック図３００は、インターネットトランスポートネットワーク１６０Ａを通じてＴＬＯＣ ３０８Ａおよび３０８Ｃとの間に確立されたＩＰＳｅｃトンネル３０６Ａ、およびインターネットトランスポートネットワーク１６０Ｂを通じてＴＬＯＣ ３０８ＢとＴＬＯＣ ３０８Ｄとの間に確立されたＩＰＳｅｃトンネル３０６Ｂを示している。ＩＰＳｅｃトンネル３０６Ａおよび３０６Ｂが確立されると、各々にわたってＢＦＤが有効にされ得る。

【0048】

いくつかの実施形態では、ネットワーク全体のセグメント化は、ネットワークのエッジ（例えば、ＷＡＮエッジデバイス１４２）においてネットワークオブジェクト（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧなど）のグループ化を定義し、中間ノードが処理するパケット内のセグメント化情報を搬送することによって実装することができる。例えば、ＷＡＮエッジデバイス１４２Ａは、プレフィックス１０．１．１．０／２４に対応する「ｒｅｄ」ＶＰＮ、およびプレフィックス１０．２．２．０／２４に対応する「ｂｌｕｅ」ＶＰＮの２つのＶＰＮに加入することができる（例えば、接続されたインターフェースを介して直接か、またはインターネットゲートウェイプロトコル（ＩＧＰ）もしくはＢＧＰを経由して学習されて）。ＷＡＮエッジデバイス１４２Ｂも同様に、プレフィックス１９２．１６８．１．０／２４に対応するｒｅｄ ＶＰＮ、およびプレフィックス１９２．１６８．２．０／２４に対応するｂｌｕｅ ＶＰＮの２つのＶＰＮに加入することができる（接続されたインターフェースを介して直接か、またはＩＧＰもしくはＢＧＰを経由して学習されて）。

【0049】

ＷＡＮエッジデバイス１４２は、ＤＴＬＳ／ＴＬＳトンネル３０４を通じてネットワークコントローラアプライアンス１３２へのＯＭＰ接続を有するため、ＷＡＮエッジデバイス１４２は、それらのルーティング情報をネットワークコントローラアプライアンス１３２に伝達することができる。ネットワークコントローラアプライアンス１３２において、ネットワーク管理者は、ポリシーを実施して、ルートを破棄したり、トラフィックエンジニアリングまたはサービスチェーンのためにＴＬＯＣ（ネクストホップをオーバーレイすることができる）を変更したり、またはＶＰＮ識別子を変更したりすることができる。ネットワーク管理者は、これらのポリシーをネットワークコントローラアプライアンス１３２上のインバウンドポリシーまたはアウトバウンドポリシーとして適用することができる。

【0050】

単一のＶＰＮに属するプレフィックスは、個別のルートテーブルに保持することができる。これにより、ネットワーク内の様々なセグメントに対してＬ３分離を提供することができる。したがって、ＷＡＮエッジデバイス１４２は、各２つのＶＰＮルートテーブルを有することができる。加えて、ネットワークコントローラアプライアンス１３２は、各プレフィックスのＶＰＮコンテキストを維持することができる。個別のルートテーブルは、単一のノードにおいて分離を提供することができる。いくつかの実施形態では、ＶＰＮ識別子を使用して、ネットワーク全体にわたってルーティング情報を伝達することができる。パケット内で搬送されるＶＰＮ識別子は、リンク上の各ＶＰＮを識別することできる。ＶＰＮが特定のエッジネットワークデバイス上で構成されていると、ＶＰＮは、それに関連付けられたリンクのカラーまたはラベルを有することができる。エッジネットワークデバイスは、そのリンクのカラーまたはラベルを、ＶＰＮ識別子とともに、ネットワークコントローラアプライアンス１３２に送信することができる。ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイスをＶＰＮ識別子にマッピングする情報を、ネットワーク内の他のエッジネットワークデバイスに伝達することができる。次に、リモートエッジネットワークデバイスは、リンクのカラーまたはラベルを使用して、トラフィックを適切なＶＰＮに送信することができる。ローカルエッジネットワークデバイスは、ＶＰＮ識別子のリンクのカラーまたはラベルを有するデータを受信すると、リンクのカラーまたはラベルを使用してデータトラフィックを逆多重化することができる。本実施例では、ＷＡＮエッジデバイス１４２を接続するトランスポートネットワーク１６０は、ＶＰＮを認識し得えないが、ＷＡＮエッジデバイス１４２は、ＶＰＮについて知り得、ネットワークの残りの部分は、標準ルーティングに従うことができる。

【0051】

いくつかの実施形態では、ポリシーを使用して、ＷＡＮエッジデバイス１４２間のトラフィックのフローに影響を及ぼし得る。ポリシーは、一元型またはローカル型として特徴付けられ得る。一元化されたポリシーは、ネットワークコントローラアプライアンス１３２上に提供され得、ローカライズされたポリシーは、ＷＡＮサイトと、インターネットトランスポートネットワーク１６０、ＭＰＬＳネットワーク１６２、ＬＴＥネットワーク１６４などのトランスポートネットワークとの間のネットワークエッジに位置し得るＷＡＮエッジデバイス１４２上に提供することができる。

【0052】

ポリシーは、ネットワークの制御プレーン内のルーティング情報のフローに影響を及ぼし得る制御ポリシーもしくはルーティングポリシーとして、またはネットワークのデータプレーン内のデータトラフィックのフローに影響を及ぼし得るデータポリシーとしても特徴づけることができる。一元化された制御ポリシーは、ネットワークコントローラアプライアンス１３２のマスタールートテーブルに格納され、ＷＡＮエッジデバイス１４２に通知される情報に影響を及ぼすことによって、トラフィックのネットワーク全体のルーティングに適用することができる。一元化された制御ポリシーの効果は、ＷＡＮエッジデバイス１４２がトラフィックをその宛先にどのように方向づけるかに見ることができる。一元化された制御ポリシーの構成自体は、ネットワークコントローラアプライアンス１３２上に留まることができ、ＷＡＮエッジデバイス１４２に送出されない。

【0053】

一元化された制御ポリシーが提供されていないときに、すべてのＯＭＰルートをネットワークコントローラアプライアンス１３２のマスタールートテーブルに配置することができ、ネットワークコントローラアプライアンス１３２は、同一セグメント内のすべてのＷＡＮエッジデバイス１４２にすべてのＯＭＰルートを通知することができる（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧ、または他のホストの収集情報）。一元化された制御ポリシーを提供することにより、管理者または他のユーザーは、ネットワークコントローラアプライアンス１３２のマスタールートテーブルに配置されるＯＭＰルート、ＷＡＮエッジデバイス１４２に通知されるルート情報、およびＯＭＰルートがマスタールートテーブルに配置される前に変更されるか、または通知される前に変更されるのかどうかに影響を及ぼし得る。

【0054】

一元化された制御ポリシーが提供されると、ネットワークコントローラアプライアンス１３２は、ルート情報をＷＡＮエッジデバイス１４２に再配布するか、またはネットワークコントローラアプライアンス１３２のマスタールートテーブルに格納されるか、もしくはネットワークコントローラアプライアンス１３２によって通知される、ルート情報を変更することができる。ネットワークコントローラアプライアンス１３２は、（ネットワークコントローラアプライアンス１３２に関して）インバウンドまたはアウトバウンド方向のいずれかでＷＡＮ内の特定のサイトに制御ポリシーを適用することによって、その制御ポリシーをアクティブ化することができる。一元化された制御ポリシーをインバウンド方向に適用することにより、ＷＡＮエッジデバイス１４２によって通知されるルートをフィルタリングまたは変更した後に、それらのルートがネットワークコントローラアプライアンス１３２上のマスタールートテーブルに配置することができる。プロセスの第１のステップとして、ルートが受理または拒否され得る。受理されたルートは、受信されたとき、または制御ポリシーによって変更されたときに、ネットワークコントローラアプライアンス１３２のマスタールートテーブルにインストールすることができる。制御ポリシーによって拒否されたルートは、暗黙裡に破棄され得る。

【0055】

制御ポリシーをアウトバウンド方向に適用することにより、ネットワークコントローラアプライアンス１３２は、ＷＡＮエッジデバイス１４２に再配布するルートをフィルタリングまたは変更することができる。アウトバウンドポリシーの第１のステップとして、ルートが受理されるか、または拒否され得る。受理されたルートについて、一元化された制御ポリシーによりルートを変更した後に、ネットワークコントローラアプライアンス１３２によってそれらのルートは配布することができる。アウトバウンドポリシーによって拒否されたルートは、通知されない。

【0056】

ＷＡＮエッジデバイス１４２は、データトラフィックを転送するときに使用するために、ネットワークコントローラアプライアンス１３２から学習したルート情報を、それらのローカルルートテーブルに配置することができる。ネットワークコントローラアプライアンス１３２は、ネットワーク内の一元化ルーティングシステムとして機能することができるため、ＷＡＮエッジデバイス１４２は、ネットワークコントローラアプライアンス１３２から学習するＯＭＰルート情報を変更しない。ネットワークコントローラアプライアンス１３２は、ＷＡＮエッジデバイス１４２からＯＭＰルート通知を定期的に受信することができ、ネットワークコントローラアプライアンス１３２は、ネットワークを介したルーティング経路を再計算し更新した後に、ＷＡＮエッジデバイス１４２に新しいルーティング情報を通知することができる。

【0057】

ネットワークコントローラアプライアンス１３２上に提供された一元化された制御ポリシーは、ネットワークコントローラアプライアンス上に留まることができ、ＷＡＮエッジデバイス１４２にダウンロードされない。しかしながら、一元化された制御ポリシーに起因するルーティング決定は、ルート通知の形式でＷＡＮエッジデバイス１４２に受け渡され得るため、制御ポリシーの効果は、ＷＡＮエッジデバイス１４２がデータトラフィックをその宛先にどのように方向付けるかに反映され得る。

【0058】

ローカライズされた制御ポリシーは、ＷＡＮエッジデバイス１４２上でローカルに提供され得る。ローカライズされた制御ポリシーは、ＢＧＰおよびＯＳＰＦルーティング（または他のルーティングプロトコル）の動作をローカルＷＡＮサイト内で変更する方法など、従来のルータ上で構成されたルーティングポリシーと同様であり得る。ローカライズされたデータポリシーは、ＷＡＮエッジデバイス１４２上の特定のインターフェースまたはインターフェースへのアクセスリストの提供および適用を可能にすることができる。単純なアクセスリストは、一元化されたデータポリシーの場合と同じように、６タプルの合致（例えば、送信元と宛先のＩＰアドレスおよびポート、ＤＳＣＰフィールド、ならびにプロトコルなど）に基づいてアクセスを許可および制限することができる。アクセスリストは、サービスクラス（ＣｏＳ）、ポリシング、およびミラーリングの提供を可能にすることができ、これにより、データトラフィックがＷＡＮエッジデバイス１４２のインターフェースおよびインターフェースキューからどのように流出し、それらにどのように流入するかを制御することもできる。

【0059】

一元化されたデータポリシーは、ネットワーク全体のデータトラフィックのフローに適用することができる。一元化されたデータポリシーが提供されていないと、特定のネットワークセグメント（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＶＰＮ、ＥＰＧ、または他のネットワークセグメント化技術など）内のすべてのプレフィックスが、そのセグメントから到達可能であり得る。一元化されたデータポリシーを提供することにより、送信元と宛先との間のアクセスを制御する６タプルフィルターを適用することができる。一元化された制御ポリシーと同様に、一元化されたデータポリシーは、ネットワークコントローラアプライアンス１３２上に提供することができ、その構成はネットワークコントローラアプライアンス１３２上に留まることができる。データポリシーの効果は、ＷＡＮエッジデバイス１４２がデータトラフィックをその宛先にどのように方向づけるかに反映され得る。しかしながら、制御ポリシーとは異なり、一元化されたデータポリシーは、読み取り専用の形態でＷＡＮエッジデバイス１４２に送出され得る。

【0060】

いくつかの実施形態では、一元化されたデータポリシーは、リスト、ポリシー定義（または複数のポリシー）、およびポリシーアプリケーションを使用して、ネットワークコントローラアプライアンス１３２上で構成され得る。リストは、ポリシーアプリケーションまたはポリシーマッチングのターゲットを定義することができる。リストのいくつかの実施例には、プレフィックスリスト（例えば、ポリシーで使用するプレフィックスのリスト）、サイトリスト（例えば、ポリシー定義およびポリシーアプリケーションで使用するサイト識別子のリスト）、ＴＬＯＣリスト（例えば、ポリシー定義で使用するＴＬＯＣのリスト）、およびＶＰＮリスト（例えば、ポリシーで使用するＶＰＮのリスト）、または他のネットワークセグメントのリスト（例えば、サブネット、ＶＬＡＮ、ＶＮＩＤ、ＶＲＦ、ＥＰＧ、または他のネットワークセグメント化技術）が含まれ得る。ポリシー定義（または複数のポリシー）は、制御および転送の態様を制御することができる。ポリシー定義（または複数のポリシー）には、制御ポリシー、データポリシー、ゾーンベースドファイアウォール（ＺＦＷ）ポリシー（例えば、ゾーンを定義し、ゾーン間のトラフィックを制御するポリシー）などの、異なるタイプのポリシーが含まれ得る。ポリシーアプリケーションは、ポリシーを適用する対象を制御することができる。ポリシーアプリケーションは、サイト指向であり、サイトリストによって定義され得る。

【0061】

図４は、ＶＰＮを使用してネットワークをセグメント化するための手法の一実施例のブロック図４００示している。ＶＰＮは互いに分離することができ、それら自体の転送テーブルを有することができる。インターフェースまたはサブインターフェースは、単一のＶＰＮの下で明示的に構成することができ、２つ以上のＶＰＮの一部分でなくてもよい。ラベルは、ＯＭＰルート属性において、およびパケットカプセル化において使用され得、これにより、パケットが属するＶＰＮを識別することができる。ＶＰＮ番号は、０～６５５３０の値を有する４バイト整数とすることができる。いくつかの実施形態では、各ＷＡＮエッジデバイス１４２は、トランスポートＶＰＮ ４０２（例えば、ＶＰＮ番号０）および管理ＶＰＮ ４０４（例えば、ＶＰＮ番号５１２）を含むことができる。トランスポートＶＰＮ ４０２は、ＷＡＮトランスポートネットワーク（例えば、インターネットトランスポートネットワーク１６０およびＭＰＬＳネットワーク１６２）にそれぞれ接続する１つ以上の物理的または仮想的ネットワークインターフェース（例えば、ギガビットイーサネットネットワークインターフェース４０８Ａおよび４０８Ｂ）を含むことができる。ネットワークコントローラアプライアンス１３２への、またはネットワークコントローラアプライアンス１３２とネットワークオーケストレータアプライアンス１０４との間の、安全なＤＴＬＳ／ＴＬＳ接続は、トランスポートＶＰＮ ４０２から開始することができる。加えて、静的またはデフォルトルートまたは動的ルーティングプロトコルをトランスポートＶＰＮ ４０２内に構成して、適切なネクストホップ情報を取得し、これによって、制御プレーン１３０が確立され得、ＩＰＳｅｃトンネル３０６（図示せず）がリモートＷＡＮサイトに接続できる。

【0062】

管理ＶＰＮ ４０４は、管理ネットワークインターフェース４１０を通じて、ネットワークオーケストレータアプライアンス１０４、ネットワーク管理アプライアンス１２２、ネットワークコントローラアプライアンス１３２、および／またはＷＡＮエッジデバイス１４２との間で帯域外管理トラフィックを搬送することができる。いくつかの実施形態では、管理ＶＰＮ ４０４は、オーバーレイネットワークをまたいで搬送されなくてもよい。

【0063】

トランスポートＶＰＮ ４０２および管理ＶＰＮ ４０４に加えて、各ＷＡＮエッジデバイス１４２は、１つ以上の他のサービスＶＰＮ ４０６も含むことができる。サービスＶＰＮ ４０６は、１つ以上のローカルＷＡＮサイト２０４（すなわち、ＷＡＮエッジデバイス１４２に対してローカル）に接続し、データトラフィックを搬送する１つ以上の物理的または仮想的ネットワークインターフェース（例えば、ギガビットイーサネットネットワークインターフェース４０８Ｃおよび４０８Ｄ）を含むことができる。サービスＶＰＮ ４０６は、ＯＳＰＦまたはＢＧＰ、仮想ルータ冗長プロトコル（ＶＲＲＰ）、ＱｏＳ、トラフィックシェーピング、ポリシングなどの機能を提供するように構成することができる。いくつかの実施形態では、データトラフィックは、ＷＡＮサイト２０４においてネットワークコントローラアプライアンス１３２から受信したＯＭＰルートをサービスＶＰＮ ４０６のために構成されたルーティングプロトコルに再配布することによって、ＩＰＳｅｃトンネルを通じて他のＷＡＮサイトに向けることができる。次に、ローカルＷＡＮサイト２０４からのルートは、サービスＶＰＮルートをＯＭＰルーティングプロトコルに通知することによって他のＷＡＮサイトに通知され得、ＯＭＰルーティングプロトコルは、ネットワークコントローラアプライアンス１３２に送信され、ネットワーク内の他のＷＡＮエッジデバイス１４２に再配布され得る。

【0064】

図５は、ＩＤ認識ルーティングが可能なマルチドメインネットワーク５００の一実施例のブロック図示している。マルチドメインネットワーク５００は、キャンパス管理ドメイン５０２Ａ、ＷＡＮ管理ドメイン５０２Ｂ、およびデータセンター管理ドメイン５０２Ｃ（総称して、５０２）を含む。キャンパス管理ドメイン５０２Ａは、キャンパスネットワークコントローラ５０４（例えば、Ｃｉｓｃｏ ＤＮＡ（商標）Ｃｅｎｔｅｒ）を経由してキャンパスネットワーク１５２およびブランチオフィス１５４を通じて管理制御することができ、ＷＡＮ管理ドメイン５０２Ｂは、ＷＡＮコントローラ１３２を経由してＷＡＮ（例えば、キャンパスネットワーク１５２とデータセンター１５０との間のネットワーク（明示的には示されていない）を通じて管理制御することができ、さらに、データセンター管理ドメイン５０２Ｃは、データセンターネットワークコントローラ５０６（例えば、Ｃｉｓｃｏ（登録商標）Ａｐｐｌｉｃａｔｉｏｎ Ｐｏｌｉｃｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ Ｃｏｎｔｒｏｌｌｅｒ（Ｃｉｓｃｏ ＡＰＩＣ（商標））を経由してデータセンター１５０全体を管理制御することができる。すなわち、キャンパス管理ドメイン５０２Ａは、キャンパスネットワーク１５２またはブランチオフィス内のＷＡＮアグリゲーションデバイス２０８Ａおよび他のネットワークデバイス５１２（例えば、物理的または仮想的スイッチ、ルータ、ネットワークアプライアンス、ネットワークサービスなど）を通じて管理制御を行うことができる。図１５４に示されるように、ＷＡＮ管理ドメイン５０２Ｂは、ＷＡＮエッジデバイス１４２を通じて管理制御を行うことができ、データセンター管理ドメイン５０２Ｃは、ＷＡＮアグリゲーションデバイス２０８Ｂを通じて管理制御を行うことができる。本明細書で使用されるように、データセンター１５０およびキャンパスネットワーク１５２は、ＷＡＮ管理ドメイン５０２ＢまたはＷＡＮコントローラ１３２のＷＡＮサイトと称され得るが、これは、ＷＡＮコントローラ１３２が、ＷＡＮを通じてこれらのサイト間の相互接続性を提供することができるためである。キャンパスネットワーク１５２およびブランチオフィス１５４は、キャンパス管理ドメイン５０２Ａまたはキャンパスネットワークコントローラ５０４のファブリックサイトと称され得るが、これは、キャンパスネットワークコントローラが、キャンパス管理ドメイン内でこれらのサイトに相互接続性を提供することができるからである。

【0065】

本実施例では、ＷＡＮアグリゲーションデバイス２０８Ａは、キャンパス管理ドメイン５０２Ａの外部のノード（例えば、ホスト、ネットワークデバイスなど）からキャンパス管理ドメイン内のノード（すなわち、キャンパスネットワーク１５２およびブランチオフィス１５４）へのトラフィックを受信するための入力エッジデバイスとして、および、キャンパス管理ドメイン５０２Ａ内のノードからキャンパス管理ドメイン外のノードにトラフィックを転送するための出力エッジネットワークデバイスとして、機能することができる。同様に、ＷＡＮアグリゲーションデバイス２０８Ｂは、データセンター管理ドメイン５０２Ｃの外部のノードからデータセンター管理ドメイン（すなわち、データセンター１５０）内のノードへのトラフィックを受信するための入力エッジデバイスとして、および、データセンター管理ドメイン５０２Ｃ内のノードからデータセンター管理ドメイン外のノードへのトラフィックを転送するための出力エッジデバイスとして、機能することができる。ＷＡＮエッジデバイス１４２は、ＷＡＮ管理ドメイン５０２Ｂの外部のノードからＷＡＮ管理ドメイン内のノード（例えば、ＷＡＮエッジデバイス１４２およびそれらの間の中間ノード）へのトラフィックを受信するための入力エッジデバイスとして、および、ＷＡＮ管理ドメイン５０２Ｂ内のノードからＷＡＮ管理ドメイン外のノードへのトラフィックを受信するための出力エッジデバイスとして機能することもできる。これは、ＷＡＮアグリゲーションデバイス２０８Ａを経由してのみＷＡＮに接続することができる得るネットワークデバイス５１６とは区別することができる。

【0066】

キャンパスネットワーク１５２は、認証、許可、および監査（ＡＡＡ）サービス５０８、ならびに制御ノード５１０を含むこともできる。ＡＡＡサービス５０８は、コンピューティングリソースへのアクセスを制御し、ネットワークポリシーの実施を容易にし、使用を監査し、サービスへの請求に必要な情報を提供することができる。ＡＡＡサービス５０８は、キャンパスネットワークコントローラ５０４、ＷＡＮコントローラ１３２、データセンターネットワークコントローラ５０６、ならびに認証、許可、および会計サービスを提供するためのユーザー、デバイス、モノ、ポリシー、請求、および同様の情報に関する情報を含むデータベースとディレクトリと連係し得る。本実施例では、ＡＡＡサービス５０８は、キャンパス管理ドメイン５０２Ａ、ＷＡＮ管理ドメイン５０２Ｂ、およびデータセンター管理ドメイン５０２ＣへのＩＤおよびアクセスの一元化された認証局として機能することができる。しかしながら、ＡＡＡサービス５０８は、他の実施形態において、ブランチオフィス１５４、データセンター１５０、または他のネットワーク（例えば、コロケーションセンター）、クラウドサービスプロバイダネットワーク（例えば、ＩａａＳ、ＰａａＳ、ＳａａＳなど）と同一場所に配置することもできることが理解されよう。さらに他の実施形態では、ＡＡＡサービス５０８は、複数の管理ドメイン５０２をまたいで分散され得る。ＡＡＡサービス５０８は、リモート認証ダイヤルインユーザーサービス（ＲＡＤＩＵＳ）、Ｄｉａｍｅｔｅｒなどの様々な技術を利用して、ホスト、ネットワークデバイス、アプリケーションなどと通信することができる。ＡＡＡサービス５０８の実装の一実施例は、Ｃｉｓｃｏ（登録商標）Ｉｄｅｎｔｉｔｙ Ｓｅｒｖｉｃｅ Ｅｎｇｉｎｅ（ＩＳＥ）である。他の実施例には、ＧＯＯＧＬＥ ＡＣＣＯＵＮＴもしくはＧＯＯＧＬＥ ＣＬＯＵＤ ＩＤＥＮＴＩＴＹ、ＡＭＡＺＯＮ ＷＥＢ ＳＥＲＶＩＣＥＳ（ＡＷＳ）ＩＤ ＡＮＤ ＡＣＣＥＳＳ ＭＡＮＡＧＥＭＥＮＴ（ＩＡＭ）、ＦＡＣＥＢＯＯＫ ＬＯＧＩＮ、ＭＩＣＲＯＳＯＦＴ ＡＣＴＩＶＥ ＤＩＲＥＣＴＯＲＹもしくはＡＺＵＲＥ ＡＣＴＩＶＥ ＤＩＲＥＣＴＯＲＹ、ＡＲＵＢＡ ＣＬＥＡＲＰＡＳＳ ＡＣＣＥＳＳ ＭＡＮＡＧＥＭＥＮＴ ＳＹＳＴＥＭ、ＨＵＡＷＥＩ ＣＬＯＵＤ ＩＡＭなどが含まれる。

【0067】

ユーザーＩＤ、グループＩＤもしくは組織ＩＤ、ユーザーロケーション、クライアントデバイスタイプ、およびユーザーに関する他のコンテキスト情報は、ＡＡＡサービス５０８を経由して管理ドメイン５０２をまたいで共有することができる。例えば、ＡＡＡサービス５０８および／または管理ドメイン５０２は、この情報を、アプリケーションプログラミングインターフェース（ＡＰＩ）（例えば、レストフルステートトランスファー（ＲＥＳＴ）ＡＰＩ、Ｃ＋＋、ＧＯ、ＪＡＶＡ、ＪＡＶＡＳＣＲＩＰＴ、ＮＯＤＥ ＪＳ、ＰＨＰ、ＰＹＴＨＯＮ、ＲＵＢＹなどのプログラミング言語用のソフトウェア開発キット（ＳＤＫ）、コマンドラインインターフェース（ＣＬＩ）、Ｗｅｂアプリケーション（例えば、Ｗｅｂブラウザを経由してアクセス可能なアプリケーション）、デスクトップアプリケーション、モバイルアプリケーションまたは「ａｐｐｓ」、および他の適切なインターフェースを経由して共有することができる。いくつかの実施形態では、ＡＡＡサービス５０８は、ＳＧＴなどの１つの表現の中のユーザーまたはグループの識別子を、ＥＰＧなどの別の表現にマッピングする、またはその逆にマッピングすることができる。

【0068】

制御ノード５１０は、すべてのユーザー、デバイス、およびモノがキャンパス管理ドメイン５０２Ａに接続し、キャンパス内を歩き回るときに、それらを追跡するための中央データベースとして機能することができる。制御ノード１１０は、ネットワークインフラストラクチャ（例えば、スイッチ、ルータ、無線ＬＡＮコントローラ（ＷＬＣ）など）が、フラッドおよび学習メカニズムを使用する代わりに、データベースを照会して、キャンパス管理ドメイン５０２Ａに接続されたユーザー、デバイス、およびモノのロケーションを決定することを可能にすることができる。このようにして、制御ノード５１０は、キャンパス管理ドメイン５０２Ａに接続されたすべてのホストが任意の時点でどこに配置されているかについての信頼できる唯一の情報源として機能することができる。特定のエンドポイント（例えば、ＩＰｖ４の場合は／３２アドレス、ＩＰｖ６の場合は／１２８アドレスなど）を追跡することに加えて、制御ノード５１０は、より大きな集約ルータ（例えば、ＩＰ／マスク）を追跡することもできる。この柔軟性は、ファブリックサイト全体を集約するのに役立ち、全体的なスケーラビリティを向上させることができる。この機能の実装の一実施例は、ＬＩＳＰである。

【0069】

マルチドメインネットワーク５００に示され、当業者によって理解されるように、各管理ドメイン５０２は、トポロジー、ノードのタイプ、主要な機能および能力、プロトコル、セキュリティの脆弱性、性能要件などの点で、互いに大きく異なり得る。例えば、マルチドメインネットワーク５００内の各管理ドメイン５０２は、ポリシープレーン５２０、データプレーン５２２、および制御プレーン５２４の各々において別個のプロトコルを使用する。キャンパス管理ドメイン５０２Ａは、ポリシープレーン５２０のためのＶＸＬＡＮカプセル化、データプレーン５２２のためのＶＸＬＡＮカプセル化、および制御プレーン５２４のためのＬＩＳＰカプセル化を備えたＳＧＴを実装し得る。ＷＡＮ管理ドメイン５０２Ｂは、ポリシープレーン５２０のためにＣｉｓｃｏ（登録商標）Ｍｅｔａ Ｄａｔａ（ＣＭＤ）ヘッダまたはＭＰＬＳラベル内に、データプレーン５２２のためにＶＲＦ認識ＩＰｓｅｃ（ＶＲＦ－Ｌｉｔｅとも称される）、ＭＰＬＳ ＶＰＮ、または同様のカプセル化技術に、および制御プレーン５２４のためにＯＭＰカプセル化に、ＳＧＴを実装することができる。データセンター管理ドメイン５０２Ｃは、ポリシープレーン５２０のために内部ＶＸＬＡＮ（ｉＶＸＬＡＮ）カプセル化を備える、データプレーン５２２のためにｉＶＸＬＡＮカプセル化を備える、および制御プレーン５２４のためにカウンシルオブオラクルプロトコル（ＣＯＯＰ）カプセル化を備える、ＥＰＧを実装することができる。これらのドメイン間の実質的な相違にもかかわらず、マルチドメインネットワーク５００におけるユーザーＩＤまたはグループＩＤの認識に基づいてエンドツーエンドポリシーを定義、展開、および維持することが依然として可能である。

【0070】

図６は、複数の管理ドメインをまたぐＩＤ認識ルーティングを可能にするためのプロセス６００の一実施例示している。当業者であれば、本明細書で論じられる任意のプロセスに関して、別段の記載がない限り、様々な実施形態の範囲内で、同様のもしくは代替的な順序で、または並行して実行される追加の、より少ない、または代替的なステップが存在し得ることを理解するであろう。プロセス６００は、本開示を通して議論される他の要素の中でもとりわけ、１つ以上のネットワークコントローラ（例えば、キャンパスネットワークコントローラ５０４、ＷＡＮコントローラ１３２、データセンターネットワークコントローラ５０６など）、１つ以上のネットワークデバイス（例えば、ＷＡＮアグリゲーションデバイス２０８、ＷＡＮエッジデバイス１４２、他のエッジまたは境界デバイスなど）、ＡＡＡサービス（例えば、ＡＡＡサービス５０８）、およびホスト（例えば、ホスト２０６）、によって少なくとも部分的に実行され得る。

【0071】

プロセス６００は、送信元ホスト（例えば、ホスト２０６）が、第１の管理ドメイン（例えば、キャンパス管理ドメイン５０２Ａ）内のマルチドメインネットワーク（例えば、マルチドメインネットワーク５００）の一端からトラフィックを開始するから開始することができ、トラフィックは、第２の管理ドメイン（例えば、ＷＡＮ管理ドメイン５０２Ｂ）を介してルーティングされ得、最終的には、第３の管理ドメイン（例えば、データセンター管理ドメイン５０２Ｃ）のマルチドメインネットワークの他端内にある宛先ホストに向けられる。複数の管理ドメインをまたいで流れるトラフィックがプロセス６００によって影響され得ることを示す目的で、図７は、複数の管理ドメインをまたいでエンドツーエンドでユーザーまたはグループの識別子を伝達するために使用され得るネットワークパケットフォーマット７００の実施例を示している。送信元ホストは、宛先ホストに送信するための元のパケット７０２を生成することができる。元のパケット７０２は、メディアアクセス制御（ＭＡＣ）ヘッダ７１０、ＩＰヘッダ７１２、およびペイロード７１４を含む伝送制御プロトコル（ＴＣＰ）／ＩＰパケットであり得る。他のＬ２／Ｌ３プロトコルが、他の実施形態において使用され得る。

【0072】

元のパケット７０２は、キャンパス管理ドメイン５０２Ａまたはキャンパスネットワーク１５２内でたどることができる経路は、ネットワークトポロジー、ネットワークまたはノード構成（例えば、デフォルトルート）、ドメイン内ポリシー（例えば、第１の管理ドメイン内のルーティングおよびスイッチングに影響を及ぼすポリシー）、ドメイン間ポリシー（例えば、異なる管理ドメイン間のルーティングおよびスイッチングに影響を及ぼすポリシー）などを含む、多くの要因に依存し得る。したがって、元のパケット７０２は、第１のオーバーレイエッジデバイス（例えば、ＷＡＮアグリゲーションデバイス２０８Ａ）に到達する前に、キャンパスネットワーク１５２の０個以上のノードを横断することができる。いくつかの実施形態では、送信元ホストのネクストホップまたはデフォルトルートは、キャンパスネットワーク１５２の第１のオーバーレイネットワークデバイスであり得る。第１のオーバーレイエッジデバイスは、元のパケット７０２のカプセル化を実行し、カプセル化されたパケットを、第１のオーバーレイネットワークおよび第１のオーバーレイエッジデバイスに対応するアンダーレイネットワークの０個以上のノード（例えば、ネットワークデバイス５１２）を含み得る、１つ以上のネクストホップにルーティングすることができる。第１のオーバーレイネットワークデバイス（存在する場合）と第１のオーバーレイエッジデバイスとの間にあるノードは、カプセル化されたパケットを必ずしも非カプセル化できるとは限らないが、従来のＬ２／Ｌ３ルーティングが可能であるため、アンダーレイ（または中間）ノードまたはデバイスと称され得る。他の実施形態では、ホストのためのデフォルトルートまたはネクストホップは、第１のオーバーレイエッジデバイスであり得る。

【0073】

ドメイン内ポリシーは、送信元ホストから第１のオーバーレイエッジデバイスへの元のパケットの経路にも影響を及ぼし得るが、例えば、特定のユーザーまたはグループのモバイルデバイスを第１の管理ドメインに許可または拒否するアクセスポリシー、ＩＤベースのサービス品質（ＱｏＳ）またはアプリケーションポリシー（例えば、開発チームからのトラフィックよりも本番ロールアウト中に品質保証（ＱＡ）チームからアプリケーションへのトラフィックを優先する）などがある。ホストから第１のオーバーレイエッジデバイスへの経路も、ドメイン間ポリシーに依存し得る。例えば、第１の管理ドメインは、出力前にトラフィックに対して特定のネットワークサービス（例えば、負荷分散、ファイアウォール、ＷＡＮ最適化など）を実行することを必要とし得る。

【0074】

回り道して到着するか（例えば、まず非カプセル化を必要とする）、または直接到着するかにかかわらず、第１のオーバーレイエッジデバイスは、ユーザーまたはグループの識別子を調査し、ドメイン間ポリシーが元のパケット７０２に関連付けられたユーザーまたはグループに適用可能かどうかを判定すし、ドメイン間ポリシー（もしあれば）を適用してドメイン間ネクストホップを決定し、元のパケット７０２に対してドメイン間カプセル化を実行して、第１のカプセル化されたパケット７０４を生成することができる。例えば、第１のオーバーレイエッジデバイスは、ＡＡＡサービス（例えば、ＡＡＡサービス５０８）から、および／または第１のネットワークコントローラからのルートを経由して、ユーザーまたはグループの識別子およびドメイン間ポリシーを受信して、ドメイン間ネクストホップを決定することができる。Ｌ２／Ｌ３両方のネットワークを横断する機能をサポートするカプセル化の１つのタイプがＶＸＬＡＮ－ＧＰＯであり、ユーザーまたはグループの識別子の１つのタイプがＳＧＴである。したがって、第１のカプセル化されたパケット７０４は、元のパケット７０２を外部ＭＡＣヘッダ７１６Ａ、外部ＩＰヘッダ７１８Ａ、ＵＤＰヘッダ７２０Ａ、およびＶＸＬＡＮヘッダ７２２を用いてカプセル化するＶＸＬＡＮ－ＧＰＯカプセル化を含むことができる。ＶＸＬＡＮヘッダ７２２は、ユーザーＩＤまたはグループＩＤ認識ルーティングを可能にするためのＳＧＴ７２４、およびさらなるネットワークセグメント化を可能にするためのＶＮＩＤ７２６を含むことができる。他のタイプのカプセル化およびユーザーまたはグループの識別子も、他の実施形態で使用され得る。

【0075】

ＳＧＴは、ホストのユーザー、グループ、デバイス、ロケーション、およびその他のＩＤベースの属性に基づいて、ホストに割り当てることができる。ＳＧＴはユーザーのアクセス資格を示すことができ、ホストからのトラフィックはＳＧＴ情報を搬送することができる。スイッチ、ルータ、ファイアウォール、およびその他のネットワークデバイスは、ＳＧＴを使用して、分類、伝送、および実施を経由したアクセスポリシーまたはセキュリティポリシーに基づいて転送決定を行うことができる。分類は、ＳＧＴをホストにマッピングすることができ、これは、動的または静的に実行され得る。動的分類は、アクセスレイヤにおいて実行でき、ネットワークアクセス制御ソリューション（例えば、電気電子技術者協会（ＩＥＥＥ）８０２．１Ｘ標準）を使用して実行され得る。ＳＧＴは、ホストの許可を経て割り当てることができる。静的分類は通常、データセンターサーバが接続されているネットワークデバイスの構成によってデータセンターで実行される。静的分類の例示的なオプションには、ＩＰアドレス、ＶＬＡＮ、またはポートのＳＧＴまたは同等のユーザーまたはグループの識別子（例えば、ＥＰＧ）へのマッピングが含まれる。ＳＧＴは、ネットワークを介してトラフィックを追跡することができ、これは、インラインタグ付けまたはＳＧＴ交換プロトコル（ＳＸＰ）のいずれかを介して達成され得る。インラインタグ付けを使用すると、ＳＧＴをパケットに埋め込むことができる。すべてのネットワークデバイスがインラインタグ付けをサポートしているわけではないため、ＳＸＰを使用してそのようなデバイス間でＳＧＴマッピングを転送することができる。実施は、送信元と宛先のＳＧＴに基づいて許可または拒否のポリシー決定を実装することができる（例えば、ネットワークデバイス上でセキュリティグループＡＣＬ（ＳＧＡＣＬ）を使用し、ファイアウォール上でセキュリティグループファイアウォール（ＳＧＦＷ）を使用する）。

【0076】

出力エッジデバイスとして機能する第１のオーバーレイエッジデバイスは、第２の管理ドメインまたは第２のネットワークコントローラ（例えば、ＷＡＮコントローラ１３２）の管理制御下にある第２のオーバーレイネットワーク（例えば、ＷＡＮ）の１つ以上のエッジ入力デバイス（例えば、ＷＡＮエッジデバイス１４２）にトラフィックを転送することによって、ＷＡＮをまたいでトラフィックをルーティングするように構成され得る。ステップ６０２において、第２のオーバーレイネットワークのエッジ出力デバイスは、元のパケット７０２を含む第１のカプセル化されたパケット７０４を受信することができる。

【0077】

ステップ６０４において、エッジ出力デバイスは、第１のカプセル化されたパケットを非カプセル化して、非カプセル化されたパケット（すなわち、元のパケット７０２）とユーザーまたはグループの識別子を取得することができる。例えば、第１のエッジ出力デバイスは、ＶＸＬＡＮ－ＧＰＯでカプセル化されたパケットを処理することが可能であり得、第１のカプセル化されたパケット７０４からの外部ＭＡＣヘッダ７１６Ａ、外部ＩＰヘッダ７１８Ａ、ＵＤＰヘッダ７２０Ａ、およびＶＸＬＡＮヘッダ７２２を解析することができる。第１のエッジ出力デバイスは、ＶＸＬＡＮヘッダ７２２をさらに処理して、ＳＧＴ７２４およびＶＮＩＤ７２６を抽出することができる。次いで、エッジ出力デバイスは、ユーザーまたはグループの識別子に基づいて、ドメイン内またはドメイン間のポリシーが元のパケットに適用可能かどうかを判断することができる。場合によっては、これには、第１の管理ドメイン内のユーザーまたはグループの識別子を第２の管理ドメイン内のユーザーまたはグループの識別子にマッピングすることが含まれ得る。他の場合には、１つ以上のＡＡＡサービス、第１のネットワークコントローラ、または第２のネットワークコントローラは、第１の管理ドメインから第２の管理ドメインにＩＤ認識を拡張するためのインターフェースを開示することができる。本実施例では、ユーザーまたはグループの識別子は直接マッピングすることができ（例えば、ＳＧＴからＳＧＴに）、出力エッジデバイスは、ユーザーまたはグループの識別子に基づいて元のパケット７０２に適用可能なポリシーを取得することができる。

【0078】

ステップ６０６では、エッジ出力デバイスは、ユーザーまたはグループの識別子に基づいてポリシー（例えば、ドメイン内ポリシーまたはドメイン間ポリシー）を適用して、非カプセル化されたパケットのネクストホップを決定することができる。例えば、元のパケット７０２のネクストホップを決定することができる正規の従業員よりも幹部のビデオ会議トラフィックを優先するドメイン内ポリシーがあり得る。別の例として、トラフィックがキャンパスネットワーク１５２のユーザーから発信されたものでない限り、トラフィックをＷＡＮからデータセンター１５０に堅牢なＩＤＳまたはＩＰＳサービスを介してルーティングするドメイン間ポリシーがあり得、この場合、トラフィックは、堅牢性の低いＩＤＳまたはＩＰＳを介してルーティングされ得る。

【0079】

第１の管理ドメイン内の元のパケット７０２の経路と同様に、第２の管理ドメイン内の経路もまた、ＷＡＮのトポロジー、ＷＡＮエッジデバイス１４２の構成、ドメイン内ポリシー、ドメイン間ポリシーなどに依存することができる。例えば、第２の管理ドメインを介した経路は、入力ＷＡＮエッジデバイスおよび出力ＷＡＮエッジデバイスを含む、少なくとも１対のＷＡＮエッジデバイス１４２を含むことができる。他の場合には、経路は１つ以上の中間ＷＡＮエッジデバイスをさらに含み得る。いずれの場合も、ステップ６０８において、入力ＷＡＮエッジデバイスは、第１の非カプセル化されたパケットをカプセル化して、ネクストホップに対応する第２のヘッダを含み、かつ、ユーザーまたはグループの識別子を含む、第２のカプセル化パケット７０６を取得することができる。本実施例では、ＷＡＮエッジデバイス１４２は、ＶＲＦ認識ＩＰｓｅｃまたはＭＰＬＳ ＶＰＮを利用して、第２のカプセル化されたパケット７０６を取得することができる。

【0080】

ＶＲＦ認識ＩＰｓｅｃは、単一の公開アドレスを使用するＶＲＦまたはＭＰＬＳ ＶＰＮ間のＩＰｓｅｃトンネリングに使用することができる。ＶＲＦは、ＷＡＮエッジデバイス（例えば、ＷＡＮエッジデバイス１４２）に接続されたＷＡＮサイト（例えば、ＷＡＮサイト２０４）のＶＰＮメンバーシップを定義するＶＰＮごとのルーティング情報リポジトリを表すことができる。ＶＲＦには、ＩＰルーティングテーブル、転送テーブル（例えば、Ｃｉｓｃｏ（登録商標）Ｅｘｐｒｅｓｓ Ｆｏｒｗａｒｄｉｎｇ（ＣＥＦ）から導出される）、転送テーブルを使用する一組のインターフェース、およびルーティングテーブルに含まれている情報を制御する一組のルールおよびルーティングプロトコルパラメータが含まれ得る。ＶＰＮごとに個別に、一組のルーティングテーブルおよびＣＥＦテーブルが維持され得る。ＶＲＦ認識ＩＰｓｅｃは、２つのＶＲＦ（またはＭＰＬＳ ＶＰＮ）ドメイン、すなわち、外部のカプセル化パケットで表されるフロントドアＶＲＦ（ＦＶＲＦ）、および内部の保護されたＩＰパケットで表される内部ＶＲＦ（ＩＶＲＦ）に対して、ＩＰｓｅｃトンネルを定義する。すなわち、ＩＰｓｅｃトンネルのローカルノードはＦＶＲＦに属することができ、内部パケットの送信元アドレスおよび宛先アドレスはＩＶＲＦに属することができる。ＦＶＲＦの観点からは、ＶＰＮパケットは、サービスプロバイダーＭＰＬＳバックボーンネットワークからプロバイダーエッジ（ＰＥ）デバイス（例えば、第２の管理ドメインの１つ以上の中間ノード）に到着し、インターネットに面しているインターフェースを介してルーティングされ得る。パケットは、セキュリティポリシーデータベース（ＳＰＤ）と照合でき、パケットはＩＰｓｅｃカプセル化される。ＳＰＤは、ＩＶＲＦおよびＡＣＬを含むことができる。次いで、ＩＰｓｅｃカプセル化されたパケットは、ＦＶＲＦルーティングテーブルを使用して転送することができる。ＩＶＲＦの観点からは、ＩＰｓｅｃカプセル化されたパケットは、リモートのＩＰｓｅｃエンドポイントからＰＥデバイスに到着することができる。ＩＰｓｅｃは、セキュリティパラメータインデックス（ＳＰＩ）、宛先、およびプロトコルのセキュリティアソシエーション（ＳＡ）検索を実行することができる。パケットは、ＳＡを使用して非カプセル化し、ＩＶＲＦに関連付けることができる。パケットは、ＩＶＲＦルーティングテーブルを使用して転送することができる。ＩＰｓｅｃは、セキュリティパラメータインデックス（ＳＰＩ）、宛先、およびプロトコルのセキュリティアソシエーション（ＳＡ）検索を実行することができる。

【0081】

ＷＡＮエッジデバイス１４２の対は、データトラフィックを交換する前に、それらの間にＩＰｓｅｃトンネルを確立することができる。しかしながら、インターネットキーエクスチェンジ（ＩＫＥ）を利用する代わりに、ＷＡＮエッジデバイス１４２は、ＤＴＬＳ／ＴＬＳトンネル３０４を経由してデータプレーンキーを交換することができる。各ＷＡＮエッジデバイス１４２は、そのデータ経路のための高度暗号化標準（ＡＥＳ）キー（例えば、ＴＬＯＣごとに１つのキー）を定期的に生成し、ＯＭＰルート内でそのキーをＷＡＮコントローラ１３２に送信することができる。これらのパケットは、ＷＡＮコントローラ１３２がネットワークトポロジーを決定するために使用する情報を含むことができ、これには各ＷＡＮエッジデバイスのＴＬＯＣおよびＡＥＳキーが含まれる。ＷＡＮコントローラ１３２は、ＯＭＰルートを到達可能範囲の通知として他のＷＡＮエッジネットワークデバイスに送信することができる。このようにして、ＷＡＮコントローラ１３２は、ＷＡＮをまたいでＷＡＮエッジデバイス１４２のＡＥＳキーを配布することができる。鍵交換は対称的であるが、ＷＡＮコントローラ１３２は、鍵交換プロセスのスケーラビリティを単純化および改善し、対ごとの鍵の使用を回避するために、非対称的に鍵交換することができる。

【0082】

いくつかの実施形態では、ＷＡＮエッジデバイス１４２の対は、ＶＰＮ識別子７３８、メタデータヘッダ（例えば、ＣＭＤ）７３２、内部ＭＡＣヘッダ７１０、内部ＩＰヘッダ７１２、ペイロード７１４、およびＩＰＳｅｃトレーラ７３４の一部分を含むＭＰＬＳヘッダ７３０を暗号化して、ＩＰＳｅｃヘッダ７２８、ＭＰＬＳヘッダ７３０、メタデータヘッダ７３２、内部ＭＡＣヘッダ７１０、内部ＩＰヘッダ７１２、ペイロード７１４、およびＩＰＳｅｃトレーラ７３４の一部を認証することができる。例えば、ＷＡＮエッジデバイス１４２（例えば、入力ＷＡＮエッジデバイスまたは最後から２番目のＷＡＮエッジデバイス）の第１の対は、ＩＰＳｅｃを使用して、ＭＰＬＳヘッダ７３０、メタデータヘッダ７３２、内部ヘッダ７１０と７１２、およびペイロード７１４を暗号化し、計算された暗号化ハッシュまたはダイジェストをペイロード７１４の末尾に配置して、ＩＰＳｅｃトレーラ７３４に挿入することができる。ＷＡＮエッジデバイス１４２の第１の対は、ＩＰＳｅｃヘッダ７２８、ＭＰＬＳヘッダ７３０（ＶＰＮ識別子７３６を含む）、メタデータヘッダ７３２（ＳＧＴ７２４を含む）、内部ＭＡＣヘッダ７１０、内部ＩＰヘッダ７１２、ペイロード７１４、および暗号化ハッシュまたはダイジェストデータを含むＩＰＳｅｃトレーラ７３４の一部分に認証プロセスを適用して、認証ハッシュまたはダイジェストデータを生成し、パケットの末尾に追加することもできる。ＷＡＮエッジデバイス１４２（例えば、出力または最後のＷＡＮエッジデバイス）の第２の対は、同一のチェックサムを実行し、チェックサムが合致するパケットを受け入れ、合致しないパケットを破棄することができる。

【0083】

本実施例では、ＶＰＮ識別子７３６は、ＭＰＬＳヘッダ７３０内のＭＰＬＳラベルとしてカプセル化され、ＳＧＴ７２４は、メタデータヘッダ７３２内のメタデータフィールドとしてカプセル化することができる。他の実施形態では、ＶＰＮ識別子７３８およびＳＧＴ７２４の両方が、ＭＰＬＳラベルとしてカプセル化され得る。他の実施形態では、他の様々な組み合わせも使用することができる。

【0084】

プロセス６００は、第２のカプセル化されたパケットがそのネクストホップに転送され得るステップ６１０に進み得る。上述のように、ネクストホップは中間ＷＡＮエッジデバイスにし得る。この場合、各ＷＡＮエッジデバイスは、暗号化を行い、元のパケットが最後のＷＡＮエッジデバイスまたは出力ＷＡＮエッジデバイスに到着するまで、経路の各ノードにおいて認証を要求することができる。

【0085】

ステップ６１２では、出力ＷＡＮエッジデバイスは、最後から２番目のＷＡＮエッジデバイスから受信されたＩＰｓｅｃカプセル化パケットを処理して、（少なくとも）第２の非カプセル化されたパケットを取得することができる。これは、元のパケット７０２、ＳＧＴ７２４、およびＶＰＮ識別子７３８を取得するための、ＩＰｓｅｃカプセル化パケットの非カプセル化、復号化、および認証を含むことができる。これは、ＳＧＴをＥＰＧ７４２または同等のユーザーまたはグループの識別子にマッピングし、ＶＰＮ識別子７３８をＶＮＩＤ７４４にマッピングし、適用可能なポリシーを適用して、ユーザーまたはグループの識別子に基づいて第２のドメイン間ネクストホップを決定し、元のパケット７０２、ＥＰＧ７４２、およびＶＮＩＤ７４４をカプセル化することも含むことができる。いくつかの実施形態では、出力ＷＡＮエッジデバイスは、第２の非カプセル化されたパケットにｉＶＸＬＡＮカプセル化を適用して、（少なくとも）第３のカプセル化されたパケット７０８を取得することができる。例えば、第３のカプセル化されたパケットは、（少なくとも）第３の外部ＭＡＣヘッダ７１６Ｃ、第３の外部ＩＰヘッダ７１８Ｃ、第３のＵＤＰヘッダ７２０Ｃ、ｉＶＸＬＡＮヘッダ７４６、内部ＭＡＣヘッダ７１０、内部ＩＰヘッダ７１２、およびペイロード７１４を含むことができる。ｉＶＸＬＡＮヘッダ７４６は、ＥＰＧ７４２およびＶＮＩＤ７４４を含むことができる。

【0086】

プロセス６００は、ステップ６１４で終了することができる。ステップ６１４では、出力ＷＡＮエッジデバイスが第３のカプセル化されたパケットを第３の管理ドメイン（例えば、データセンター管理ドメイン５０２Ｃ）の入力エッジデバイス（例えば、ＷＡＮアグリゲーションデバイス２０８Ｂ）に転送することができる。入力エッジデバイスは、第３のカプセル化されたパケットを受信し、第３のカプセル化されたパケットを非カプセル化して、（少なくとも）第４の非カプセル化されたパケット（例えば、元のパケット７０２）、ユーザーまたはグループの識別子（例えば、ＥＰＧ７４２、および仮想ネットワーク識別子（ＶＮＩＤ７４４など）を取得し、ユーザーまたはグループの識別子に基づいて元のパケットに適用可能なポリシーを適用し、元のパケットを宛先ホストに転送し得る。リターントラフィックをルーティングする場合も、同様のプロセスを逆に実行することができる。他の実施形態は、異なるトポロジー（例えば、キャンパス－ＷＡＮ－ブランチ、ＤＣ－ＷＡＮ－ＤＣ、キャンパス－ＤＣ、ＤＣ－ＷＡＮ－ブランチなど）を有する管理ドメインまたはネットワーク、追加の管理ドメイン（外部ドメインまたは単一のネットワークオペレータの管理制御下にはないドメインを含む）、より少ない管理ドメインなどを含み得るが、当業者は、本開示の教示をこれらの他の実施形態に適用する方法を理解するであろう。

【0087】

いくつかの実施形態では、ネットワークは、複数の管理ドメインをまたいで適用され得るポリシーを定義するためのインターフェース（例えば、ＲＥＳＴ ＡＰＩ、ＳＤＫ、ＣＬＩ、ウェブアプリケーション、デスクトップアプリケーションなど）を含むことができる。例えば、管理者は、インターフェースを利用して、各管理ドメインをまたいでエンドツーエンドで適用可能である単一のポリシー、２つ以上の管理ドメインをまたいで適用可能である単一のポリシー、および、追加の管理ドメインに適用可能である１つ以上の追加のポリシー、ドメインごとの個別のポリシー、複数のＩＤベースの属性（例えば、アプリケーションとＩＤ、ＱｏＳとグループＩＤ、ユーザーＩＤとロケーションなど）を組み合わせることができるポリシー、およびその他の様々な組み合わせ、を定義することができる。インターフェースは、ポリシーを解析し、互いに競合し得るポリシーに関する分析、ポリシーの優先順位付け方法の提案、ポリシーの組み合わせに関する提案、セキュリティギャップがあり得るポリシーの改善に関する提案などを提示することができる。

【0088】

上述のように、従来のアプリケーション認識ルーティングは、パケットヘッダ情報（例えば、宛先アドレス、ポート）および／またはディープパケットインスペクションに基づく粗いトラフィック分類に制限され得る。すなわち、従来のアプリケーション認識ルーティングは、特定のアプリケーションのすべてのトラフィックを特定の経路を通じてルーティングするべきであるというポリシーをサポートし得る。しかし、本開示で論じられる技術を使用することにより、ネットワークオペレータは、１つ以上の管理ドメインをまたいで最適な経路を選択するためのアプリケーションとともにユーザー／グループも考慮することによって、よりきめ細かいアプリケーション認識ポリシーを定義することができる。例えば、ネットワークオペレータは、ゲストユーザーと特定のＳａａＳネットワークの間のトラフィックをインターネット経路を通じてルーティングし、エンジニアとＳａａＳネットワークの間でＭＰＬＳを通じてトラフィックをルーティングし、ＩｏＴデバイスとＳａａＳネットワークプロバイダーの間でＬＴＥ経路を通じてトラフィックをルーティングするポリシーを定義することができる。

【0089】

図８は、ネットワークデバイス８００（例えば、スイッチ、ルータ、ネットワークアプライアンスなど）の一実施例を示している。ネットワークデバイス８００は、中央処理装置（ＣＰＵ）８０２、インターフェース８０４、およびバス８０６（例えば、ペリフェラルコンポーネントインターコネクト（ＰＣＩ）バス）を含むことができる。適切なソフトウェアまたはファームウェアの制御下で動作するときに、ＣＰＵ８０２は、パケット管理、エラー検出、および／またはルーティング機能を実行する役割を担うことができる。ＣＰＵ８０２は、好ましくは、オペレーティングシステムおよび任意の適切なアプリケーションソフトウェアを含むソフトウェアの制御下でこれらすべての機能を達成する。ＣＰＵ８０２は、モトローラファミリーのマイクロプロセッサ、またはマイクロプロセッサインターロック無しパイプラインステージ（ＭＩＰＳ）ファミリーのマイクロプロセッサの中のプロセッサなど、１つ以上のプロセッサ８０８を含み得る。代替的な実施形態では、プロセッサ８０８は、ネットワークデバイス８００の操作を制御するために特別に設計されたハードウェアであり得る。一実施形態では、メモリ８１０（不揮発性ランダムアクセスメモリ（ＲＡＭ）および／または読み出し専用メモリ（ＲＯＭ）など）は、ＣＰＵ８０２の一部分を形成することもできる。しかしながら、メモリをシステムに結合することができる多くの異なる方式がある。

【0090】

インターフェース８０４は、インターフェースカード（ラインカードと称されることもある）として提供され得る。インターフェース８０４は、ネットワークを通じたデータパケットの送受信を制御することができ、ネットワークデバイス８００で使用される他の周辺機器をサポートする場合がある。提供され得るインターフェースの中には、イーサネットインターフェース、フレームリレーインターフェース、ケーブルインターフェース、ＤＳＬインターフェース、トークンリングインターフェースなどがある。加えて、高速トークンリングインターフェース、ワイヤレスインターフェース、イーサネットインターフェース、ギガビットイーサネットインターフェース、非同期転送モード（ＡＴＭ）インターフェース、高速シリアルインターフェース（ＨＳＳＩ）、パケットオーバーＳＯＮＥＴ（ＰＯＳ）インターフェース、光ファイバー分散データインターフェース（ＦＤＤＩ）など、様々な非常に高速なインターフェースが提供され得る。インターフェース８０４は、適切な媒体との通信に適したポートを含み得る。場合によっては、インターフェース８０４は、独立したプロセッサと、一部の例では、揮発性ＲＡＭも含み得る。独立したプロセッサは、パケット交換、媒体制御、管理などの通信集約型タスクを制御し得る。通信集約型タスクのために別個のプロセッサを提供することにより、インターフェース８０４は、ＣＰＵ８０２がルーティング計算、ネットワーク診断、セキュリティ機能などを効率的に実行することを可能にし得る。

【0091】

図８に示されるシステムは、一実施形態のネットワークデバイスの一実施例であるが、本技術が実装され得る唯一のネットワークデバイスアーキテクチャであることを意味するものではない。例えば、通信およびルーティング計算や他のネットワーク機能を処理する単一のプロセッサを有するアーキテクチャを使用することができる。さらに、他のタイプのインターフェースおよび媒体もまた、ネットワークデバイス８００とともに使用され得る。

【0092】

ネットワークデバイスの構成に関係なく、本明細書で説明するローミング、ルート最適化、およびルーティング機能のための汎用ネットワーク操作およびメカニズムのためのプログラム命令を格納するように構成された１つ以上のメモリまたはメモリモジュール（メモリ８１０を含む）を使用し得る。プログラム命令は、例えば、オペレーティングシステムおよび／または１つ以上のアプリケーションの操作を制御し得る。１つのメモリまたは複数のメモリは、モビリティバインディング、登録、および関連付けテーブルなどのテーブルを格納するように構成され得る。

【0093】

図９Ａおよび図９Ｂは、様々な実施形態によるシステムを示している。様々な実施形態を実施するとき、より適切なシステムが当業者には明らかであろう。当業者は、他のシステムが可能であることも容易に理解するであろう。

【0094】

図９Ａは、システムの構成要素がバス９０５を使用して互いに電気的に通信しているバスコンピューティングシステム９００の一実施例を示している。コンピューティングシステム９００は、処理部（ＣＰＵまたはプロセッサ）９１０、およびプロセッサ９１０に、読み出し専用メモリ（ＲＯＭ）９２０およびランダムアクセスメモリ（ＲＡＭ）９２５などのシステムメモリ９１５を含む様々なシステム構成要素を結合し得るシステムバス９０５を含むことができる。システム９００は、プロセッサ９１０に直接接続されているか、近接しているか、またはそれの一部分として統合されている、高速メモリのキャッシュ９１２を含むことができる。システム９００は、プロセッサ９１０による高速アクセスのために、メモリ９１５、ＲＯＭ９２０、ＲＡＭ９２５および／またはストレージデバイス９３０からキャッシュ９１２にデータをコピーすることができる。このようにして、キャッシュ９１２は、データを待機している間のプロセッサの遅延を回避するという性能向上を提供することができる。これらおよび他のモジュールは、プロセッサ９１０を制御して、様々な動作を実行することができる。他のシステムメモリ９１５も同様に利用可能であり得る。メモリ９１５は、異なるパフォーマンス特性を有する複数の異なるタイプのメモリを含むことができる。プロセッサ９１０は、任意の汎用プロセッサと、プロセッサ９１０を制御するように構成されたストレージデバイス９３０に格納されたモジュール１ ９３２、モジュール２ ９３４、およびモジュール３ ９３６などのハードウェアモジュールまたはソフトウェアモジュール、ならびに、ソフトウェア命令が実際のプロセッサ設計に組み込まれている特別目的プロセッサを含むことができる。プロセッサ９１０は、本質的に、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを含む、完全に自己完結型のコンピューティングシステムであり得る。マルチコアプロセッサは、対称または非対称であり得る。

【0095】

コンピューティングシステム９００とのユーザーインタラクションを可能にするために、入力デバイス９４５は、音声用マイク、ジェスチャまたはグラフィック入力用のタッチスクリーン、キーボード、マウス、モーション入力、音声などの任意の数の入力メカニズムを表すことができる。出力デバイス９３５はまた、当業者に既知の一部の出力メカニズムのうちの１つ以上であり得る。場合によっては、マルチモーダルシステムは、ユーザーがコンピューティングデバイス９００と通信するために複数のタイプの入力を提供することを可能にし得る。通信インターフェース９４０は、ユーザー入力およびシステム出力を統御および管理することができる。特定のハードウェア構成での操作に制限はないため、ここでの基本機能は、開発時に改善されたハードウェアまたはファームウェア構成に簡単に置き換え得る。

【0096】

ストレージデバイス９３０は、不揮発性メモリであり、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ、読み出し専用メモリ、およびそれらのハイブリッドなど、コンピュータがアクセス可能なデータを格納することができるハードディスクまたは他のタイプのコンピュータ可読媒体とすることができる。

【0097】

ストレージデバイス９３０は、プロセッサ９１０を制御するためのソフトウェアモジュール９３２、９３４、９３６を含むことができる。他のハードウェアまたはソフトウェアモジュールが企図される。ストレージデバイス９３０は、システムバス９０５に接続することができる。一態様では、特定の機能を実行するハードウェアモジュールは、その機能を実行するために、プロセッサ９１０、バス９０５、出力デバイス９３５などの必要なハードウェア構成要素に関連して、コンピュータ可読媒体に格納されたソフトウェア構成要素を含むことができる。

【0098】

図９Ｂは、一実施形態により使用され得るチップセットコンピューティングシステム９５０の例示的アーキテクチャを示している。コンピューティングシステム９５０は、特定された計算を実行するように構成されたソフトウェア、ファームウェア、およびハードウェアを実行することができる任意の数の物理的および／または論理的に異なるリソースを表すプロセッサ９５５を含むことができる。プロセッサ９５５は、プロセッサ９５５への入力およびプロセッサ９５５からの出力を制御することができるチップセット９６０と通信することができる。本実施例では、チップセット９６０は、ディスプレイなどの出力デバイス９６５に情報を出力することができ、磁気媒体、固体媒体、および他の適切な記憶媒体を含み得るストレージデバイス９７０に情報を読み書きすることができる。チップセット９６０は、ＲＡＭ９７５からデータを読み出し、それにデータを書き込むことができる。様々なユーザーインターフェース構成要素９８５とインターフェースするためのブリッジ９８０が、チップセット９６０とインターフェースするために提供され得る。ユーザーインターフェース構成要素９８５は、キーボード、マイクロフォン、タッチ検出および処理回路、マウスなどのポインティングデバイスなどを含むことができる。コンピューティングシステム９５０への入力は、機械生成および／または人間生成の様々なソースのいずれかから来ることができる。

【0099】

チップセット９６０は、様々な物理的インターフェースを有することができる１つ以上の通信インターフェース９９０ともインターフェースすることもできる。通信インターフェース９９０は、有線および無線ローカルエリアネットワーク（ＬＡＮ）、ブロードバンド無線ネットワーク、ならびにパーソナルエリアネットワークのためのインターフェースを含むことができる。本明細書に開示される技術を生成、表示、および使用するための方法のいくつかのアプリケーションは、物理的インターフェースを通じて順序付けられたデータセットを受信することを含み得、またはストレージデバイス９７０またはＲＡＭ９７５に格納されたデータを分析するプロセッサ９５５によってマシン自体によって生成され得る。さらに、コンピューティングシステム９５０は、ユーザーインターフェース構成要素９８５を経由してユーザーから入力を受け取り、プロセッサ９５５を使用してこれらの入力を解釈することによってブラウジング機能などの適切な機能を実行することができる。

【0100】

コンピューティングシステム９００および９５０は、それぞれ２つ以上のプロセッサ９１０および９５５を有することができ、またはより大きな処理能力を提供するために一緒にネットワーク化されたコンピューティングデバイスのグループまたはクラスタの一部分であり得ることが理解されよう。

【0101】

説明を明確にするために、場合によっては、様々な実施形態は、ソフトウェアで具体化される方法におけるデバイス、デバイスコンポーネント、ステップもしくはルーチン、またはハードウェアとソフトウェアの組み合わせを備える機能ブロックを含む個々の機能ブロックを含むものとして提示され得る。

【0102】

いくつかの実施形態では、コンピュータ可読ストレージデバイス、媒体、およびメモリは、ビットストリームなどを含むケーブルまたは無線信号を含むことができる。しかしながら、言及される場合、非一時的コンピュータ可読記憶媒体は、エネルギー、搬送波信号、電磁波、および信号自体などの媒体を明示的に除外する。

【0103】

上記の例による方法は、コンピュータ可読媒体に格納されているか、他の場合にはそれから利用可能であるコンピュータ実行可能命令を使用して実装することができる。そのような命令は、例えば、特定の機能または機能のグループを実行するために、汎用コンピュータ、専用コンピュータ、または専用処理デバイスを引き起こすか、あるいは構成する命令およびデータを含むことができる。使用されるコンピュータリソースの部分は、ネットワーク経由でアクセス可能であり得る。コンピュータの実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令であり得る。命令、使用される情報、および／または説明された実施例による方法中に作成された情報を格納するために使用され得るコンピュータ可読媒体の実施例は、磁気ディスクまたは光ディスク、フラッシュメモリ、不揮発性メモリを備えたユニバーサルシリアルバス（ＵＳＢ）デバイス、ネットワークストレージデバイスなどを含む。

【0104】

これらの開示による方法を実装するデバイスは、ハードウェア、ファームウェア、および／またはソフトウェアを含むことができ、様々なフォームファクタのいずれかを取ることができる。このようなフォームファクタの実施例としては、サーバ、ラックマウントデバイス、デスクトップコンピュータ、ラップトップコンピュータなどの汎用コンピューティングデバイス、またはタブレットコンピュータ、スマートフォン、携帯情報端末、ウェアラブルデバイスなどの汎用モバイルコンピューティングデバイスが含まれる。本明細書で説明される機能はまた、周辺機器またはアドインカードで具体化され得る。このような機能は、さらなる例として、単一のデバイスで実行される異なるチップまたは異なるプロセスの間の回路基板上に実装することもできる。

【0105】

命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、およびそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。

【0106】

添付の特許請求の範囲の範疇の態様を説明するために、様々な例および他の情報を使用したが、当業者であれば、多種多様な実装形態を導出するために、これらの例を使用することができるように、かかる例における特定の特徴または構成に基づいて、特許請求の範囲のいかなる制限も示唆されるべきではない。さらに、一部の主題は、構造的特徴および／または方法ステップの例に固有の言語で説明されている場合があるが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの説明された特徴または行為に限定されないことを理解されたい。例えば、かかる機能は、ここで特定されている構成要素以外の構成要素で、異なって配布し、または実行することができる。むしろ、説明された特徴およびステップは、添付の特許請求の範囲の範疇のシステムおよび方法の構成要素の例として開示される。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9A】

【図9B】