特許 7526731 シームレスなマルチクラウドルーティングおよびポリシーの相互接続

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-24

(45)【発行日】2024-08-01

(54)【発明の名称】シームレスなマルチクラウドルーティングおよびポリシーの相互接続

(51)【国際特許分類】

   H04L 45/036 20220101AFI20240725BHJP

   H04L 45/74 20220101ALI20240725BHJP

【ＦＩ】

H04L45/036

H04L45/74

【請求項の数】 20

(21)【出願番号】P 2021539413

(86)(22)【出願日】2020-01-10

(65)【公表番号】

(43)【公表日】2022-03-07

(86)【国際出願番号】 US2020013084

(87)【国際公開番号】W WO2020150092

(87)【国際公開日】2020-07-23

【審査請求日】2022-05-02

(31)【優先権主張番号】16/252,115

(32)【優先日】2019-01-18

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】508041127

【氏名又は名称】シスコ テクノロジー，インコーポレイテッド

(74)【代理人】

【識別番号】100079108

【弁理士】

【氏名又は名称】稲葉 良幸

(74)【代理人】

【識別番号】100109346

【弁理士】

【氏名又は名称】大貫 敏史

(74)【代理人】

【識別番号】100117189

【弁理士】

【氏名又は名称】江口 昭彦

(74)【代理人】

【識別番号】100134120

【弁理士】

【氏名又は名称】内藤 和彦

(74)【代理人】

【識別番号】100140431

【弁理士】

【氏名又は名称】大石 幸雄

(72)【発明者】

【氏名】ジャナキラマン，ラジャゴパラン

(72)【発明者】

【氏名】ガナパティー，シヴァクマール

(72)【発明者】

【氏名】マーデンテ，ジャンルカ

(72)【発明者】

【氏名】ミオ，ジョヴァンニ

(72)【発明者】

【氏名】ヴァルジバイ，パテル アミットクマール

【審査官】羽岡 さやか

(56)【参考文献】

【文献】米国特許出願公開第２０１８／００６２８８０（ＵＳ，Ａ１）

【文献】韓国公開特許第１０－２０１２－０１２４６４１（ＫＲ，Ａ）

【文献】米国特許出願公開第２０１８／０２３４４５９（ＵＳ，Ａ１）

【文献】韓国登録特許第１０－１８２６４９８（ＫＲ，Ｂ１）

【文献】坪田 弘樹，これからの企業ネットワークの教科書 ２０１９年度版，テレコミュニケーション 第３６巻 第４号 Telecommunication，日本，株式会社リックテレコム，2019年03月25日，第36巻，P.18-19

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４５／０３６

Ｈ０４Ｌ ４５／７４

(57)【特許請求の範囲】

【請求項1】

オンプレミスサイト及び１つ以上のクラウドサイトを含むマルチクラウドファブリックにわたってルータを管理する方法であって、
前記マルチクラウドファブリックにわたって複数のポリシーコンストラクトを正規化することと、
前記１つ以上のクラウドサイトそれぞれのポリシーコンストラクトに関連付けられたポリシーのセットの実装を、前記１つ以上のクラウドサイトのそれぞれの複数のルータに分散させることと、を含み、
前記正規化することは、
前記オンプレミスサイトのポリシーコンストラクトを前記１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトにマッピングすることであって、前記オンプレミスサイトの前記ポリシーコンストラクトは、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトとは異なるタイプのポリシーコンストラクトを含み、
前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトを変換して、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトにマッピングされた前記オンプレミスサイトからの前記ポリシーコンストラクトに一致させることと、
前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記変換されたポリシーコンストラクトにある１つ以上のエンドポイントに関連付けられたトラフィックを前記複数のルータの一つで受信することに応じて、前記トラフィックに対して、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記変換されたポリシーコンストラクトに関連付けられたポリシーのセットを適用することと、
を含む、方法。

【請求項2】

前記正規化されたプライベートネットワークを介して、前記オンプレミスサイトと前記１つ以上のクラウドサイトとの間の相互接続を提供すること、をさらに含む、請求項１に記載の方法。

【請求項3】

前記オンプレミスサイトの前記ポリシーコンストラクトは、エンドポイントグループ（ＥＰＧ）を含み、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトの各々は、前記１つ以上のクラウドサイトからの関連するクラウドサイトによってサポートされるそれぞれのタイプのセキュリティグループを含み、各ＥＰＧは、前記オンプレミスサイトからのエンドポイントの第１のそれぞれのセットを含み、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトの各々は、前記１つ以上のクラウドサイトのうちのそれぞれ１つからのエンドポイントの第２のそれぞれのセットに関連付けられている、請求項１に記載の方法。

【請求項4】

前記正規化後、前記オンプレミスサイトと前記クラウドサイトとの間のトラフィックフローは、前記オンプレミスサイトと前記クラウドサイトとの間の契約なしに生じる、請求項１に記載の方法。

【請求項5】

前記正規化することは、
関連するポリシーコンストラクトにマッピングされている前記１つ以上のクラウドサイトのエンドポイントごとに、前記オンプレミスサイトに、前記エンドポイントのアドレスを提供することと、
各エンドポイントの前記アドレスに基づいて、前記１つ以上のクラウドサイトの各エンドポイントを、前記オンプレミスサイトでプロビジョニングされたそれぞれのシャドウポリシーコンストラクトにマッピングすることと、をさらに含む、請求項１に記載の方法。

【請求項6】

前記オンプレミスサイトの各ポリシーコンストラクトと、前記１つ以上のクラウドサイトの各々の関連する各ポリシーコンストラクトとの間のトラフィックに対して、それぞれのセキュリティポリシーを確立することと、をさらに含む、請求項１に記載の方法。

【請求項7】

前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記変換されたポリシーコンストラクトに関連付けられたポリシーのセットは、前記１つ以上のクラウドサイトのそれぞれのエンドポイントに関連付けられたセキュリティポリシーを含み、
前記分散させることは、
前記セキュリティポリシーを、前記１つ以上のクラウドサイトそれぞれの複数のデータプレーンルータにわたって分散することであって、各データプレーンルータが、そのデータプレーンルータにマッピングされたエンドポイントのそれぞれのセットに関連付けられた前記セキュリティポリシーのそれぞれのサブセットを受信し、
前記複数のデータプレーンルータからの各データプレーンルータによって、そのデータプレーンルータにマッピングされたエンドポイントの前記それぞれのセットの１つ以上を含む、前記それぞれのクラウドサイト内の各プライベート仮想ネットワークに、エンドポイントの前記それぞれのセットに関連付けられたルートのそれぞれのセットをアドバタイズすることと、
ボーダーゲートウェイプロトコル（ＢＧＰ）ルートマップに基づいて、前記複数のデータプレーンルータ内の各データプレーンルータが、前記それぞれのクラウドサイト内の、そのデータプレーンルータにマッピングされていない前記エンドポイントに関連付けられたルートをアドバタイズすることを防止することと、
エンドポイントの前記それぞれのセットのうちの１つ以上に関連付けられたトラフィックの受信に応答して、エンドポイントの前記それぞれのセットにマッピングされた前記データプレーンルータを介して前記トラフィックに、エンドポイントの前記それぞれのセットに関連付けられた前記セキュリティポリシーの前記それぞれのサブセットのうちの１つ以上を適用することと、を含む、請求項１に記載の方法。

【請求項8】

マルチクラウドファブリックにわたってルータを管理するシステムであって、
少なくとも１つのプロセッサと、
前記少なくとも１つのプロセッサによって
前記マルチクラウドファブリックにわたって複数のポリシーコンストラクトを正規化し、
前記１つ以上のクラウドサイトそれぞれのポリシーコンストラクトに関連付けられたポリシーのセットの実装を、前記１つ以上のクラウドサイトのそれぞれの複数のルータに分散させる命令を格納した非一時的コンピュータ可読記憶媒体と、を備え、前記正規化させることは、
オンプレミスサイトのポリシーコンストラクトを前記１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトにマッピングすることであって、前記オンプレミスサイトの前記ポリシーコンストラクトは、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトとは異なるタイプのポリシーコンストラクトを含み、
前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトを変換して、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトにマッピングされた前記オンプレミスサイトからの前記ポリシーコンストラクトのうちのそれぞれ１つと一致させることと、
前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトにある１つ以上のエンドポイントに関連付けられたトラフィックを前記複数のルータの一つで受信することに応じて、前記トラフィックに対して、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトに関連付けられたポリシーのセットを適用することを含む、システム。

【請求項9】

前記非一時的コンピュータ可読記憶媒体は、前記少なくとも１つのプロセッサによって、前記正規化されたプライベートネットワークを介して、前記オンプレミスサイトと前記１つ以上のクラウドサイトとの間の相互接続を提供させる、命令をさらに格納する、請求項８に記載のシステム。

【請求項10】

前記オンプレミスサイトの前記ポリシーコンストラクトは、エンドポイントグループ（ＥＰＧ）を含み、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトの各々が、前記１つ以上のクラウドサイトからの関連するクラウドサイトによってサポートされるそれぞれのタイプのセキュリティグループを含み、各ＥＰＧは、前記オンプレミスサイトからのエンドポイントの第１のそれぞれのセットを含み、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトの各々は、前記１つ以上のクラウドサイトのうちのそれぞれ１つからのエンドポイントの第２のそれぞれのセットに関連付けられている、請求項８に記載のシステム。

【請求項11】

前記非一時的コンピュータ可読記憶媒体は、前記少なくとも１つのプロセッサによって、前記正規化後、前記オンプレミスサイトと前記クラウドサイトとの間のトラフィックフローは、前記オンプレミスサイトと前記クラウドサイトとの間の契約なしに生じさせる、命令をさらに格納する、請求項８に記載のシステム。

【請求項12】

前記正規化することは、
関連するポリシーコンストラクトにマッピングされている前記１つ以上のクラウドサイトのエンドポイントごとに、前記オンプレミスサイトに、前記エンドポイントのアドレスを提供することと、
各エンドポイントの前記アドレスに基づいて、前記１つ以上のクラウドサイト内の各エンドポイントを、前記オンプレミスサイトでプロビジョニングされたそれぞれのシャドウポリシーコンストラクトにマッピングすることと、をさらに含む、請求項８に記載のシステム。

【請求項13】

前記非一時的コンピュータ可読記憶媒体は、前記少なくとも１つのプロセッサによって、前記オンプレミスサイトの各ポリシーコンストラクトと、前記１つ以上のクラウドサイトの各々の関連する各ポリシーコンストラクトとの間のトラフィックに対して、それぞれのセキュリティポリシーを確立させる命令をさらに含む、請求項８に記載のシステム。

【請求項14】

１つ以上の非一時的コンピュータ可読記憶媒体であって、
１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに、
マルチクラウドファブリックにわたって複数のポリシーコンストラクトを正規化し、
前記１つ以上のクラウドサイトそれぞれのポリシーコンストラクトに関連付けられたポリシーのセットを、前記１つ以上のクラウドサイト内の複数のルータに分散させることを行わせる命令を格納し、
前記正規化することは、
オンプレミスサイトのポリシーコンストラクトを前記１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトにマッピングすることであって、前記オンプレミスサイトの前記ポリシーコンストラクトは、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトとは異なるタイプのポリシーコンストラクトを含み、
前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトを変換して、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトにマッピングされた前記オンプレミスサイトからの前記ポリシーコンストラクトのうちのそれぞれ１つと一致させることと、
前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトにある１つ以上のエンドポイントに関連付けられたトラフィックを前記複数のルータの一つで受信することに応じて、前記トラフィックに対して、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記ポリシーコンストラクトに関連付けられたポリシーのセットを適用することを含む、コンピュータ可読記憶媒体。

【請求項15】

前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに、
前記正規化されたプライベートネットワークを介して、前記オンプレミスサイトと前記１つ以上のクラウドサイトとの間の相互接続を提供させる、命令をさらに格納する請求項１４に記載のコンピュータ可読記憶媒体。

【請求項16】

前記オンプレミスサイトの前記ポリシーコンストラクトは、エンドポイントグループ（ＥＰＧ）を含み、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトの各々が、前記１つ以上のクラウドサイトからの関連するクラウドサイトによってサポートされるそれぞれのタイプのセキュリティグループを含み、各ＥＰＧは、前記オンプレミスサイトからのエンドポイントの第１のそれぞれのセットを含み、前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトの各々は、前記１つ以上のクラウドサイトのうちのそれぞれ１つからのエンドポイントの第２のそれぞれのセットに関連付けられている、請求項１４に記載のコンピュータ可読記憶媒体。

【請求項17】

前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに、
前記正規化後、前記オンプレミスサイトと前記クラウドサイトとの間のトラフィックフローは、前記オンプレミスサイトと前記クラウドサイトとの間の契約なしに生じさせる、命令をさらに格納する請求項１４に記載のコンピュータ可読記憶媒体。

【請求項18】

前記関連付けられたポリシーコンストラクトにマッピングされている前記１つ以上のクラウドサイトのエンドポイントごとに、前記オンプレミスサイトに、前記エンドポイントのアドレスを提供させ、
各エンドポイントの前記アドレスに基づいて、前記１つ以上のクラウドサイト内の各エンドポイントを、前記オンプレミスサイトでプロビジョニングされたそれぞれのシャドウポリシーコンストラクトにマッピングさせる、命令をさらに格納する請求項１４に記載のコンピュータ可読記憶媒体。

【請求項19】

前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに、
前記オンプレミスサイトの各ポリシーコンストラクトと、前記１つ以上のクラウドサイトの各々の関連する各ポリシーコンストラクトとの間のトラフィックに対して、それぞれのセキュリティポリシーを確立させる、命令をさらに格納する請求項１４に記載のコンピュータ可読記憶媒体。

【請求項20】

前記１つ以上のクラウドサイトの前記それぞれのポリシーコンストラクトからの前記変換されたポリシーコンストラクトに関連付けられたポリシーのセットは、前記１つ以上のクラウドサイトのそれぞれのエンドポイントに関連付けられたセキュリティポリシーを含み、
前記分散させることは、
前記セキュリティポリシーを、前記１つ以上のクラウドサイトそれぞれの複数のデータプレーンルータにわたって分散することであって、各データプレーンルータは、そのデータプレーンルータにマッピングされたエンドポイントのそれぞれのセットに関連付けられた前記セキュリティポリシーのそれぞれのサブセットを受信する、分散することと、
前記複数のデータプレーンルータからの各データプレーンルータによって、そのデータプレーンルータにマッピングされたエンドポイントの前記それぞれのセットの１つ以上を含む、前記それぞれのクラウドサイト内の各プライベート仮想ネットワークに、エンドポイントの前記それぞれのセットに関連付けられたルートのそれぞれのセットをアドバタイズすることと、
ボーダーゲートウェイプロトコル（ＢＧＰ）ルートマップに基づいて、前記複数のデータプレーンルータ内の各データプレーンルータが、前記それぞれのクラウドサイト内の、そのデータプレーンルータにマッピングされていない前記エンドポイントに関連付けられたルートをアドバタイズすることを防止することと、
エンドポイントの前記それぞれのセットの１つ以上に関連付けられたトラフィックの受信に応答して、エンドポイントの前記それぞれのセットにマッピングされた前記データプレーンルータを介して、エンドポイントの前記それぞれのセットに関連付けられた前記セキュリティポリシーの前記それぞれのサブセットの１つ以上を適用することと、を行わせる命令をさらに格納する、請求項１４に記載のコンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、その内容全体が参照によって本明細書に組み込まれる、２０１９年１月１８日に出願された「ＳＥＡＭＬＥＳＳ ＭＵＬＴＩ－ＣＬＯＵＤ ＲＯＵＴＩＮＧ ＡＮＤ ＰＯＬＩＣＹ ＩＮＴＥＲＣＯＮＮＥＣＴＩＶＩＴＹ」と題された米国非仮特許出願第１６／２５２，１１５号の利益および優先権を主張する。

【0002】

本技術は、クラウドコンピューティングに関し、より詳細には、マルチクラウドポリシーおよびルーティングのスケーリングおよび正規化に関する。

【背景技術】

【0003】

インターネット対応デバイスの普及により、インターネットサービスおよびコンテンツに対する膨大な需要が生まれている。ユーザのネットワークサービスやコンテンツへの依存度が高まるコネクテッド社会になってきている。このインターネット接続革命は、サービスコンテンツプロバイダに重大な課題をもたらしており、サービスコンテンツプロバイダは、しばしば、ユーザのパフォーマンスの期待を下回ることなく大量のユーザ要求を処理するのに困難を抱えている。例えば、クラウドプロバイダは通常、ユーザからのネットワークとコンテンツの要求に対応するために、大規模で複雑なデータセンターを必要とする。これらのデータセンターは、一般に、特定のサービスをホストするように構成されたサーバファームが装備されており、データセンタートラフィックをルーティングし、大量のセキュリティポリシーを適用するようにプログラムされた多数のスイッチおよびルータを含む。多くの場合、特定のデータセンターは、何百万ものトラフィックフローを処理し、多数のセキュリティ要件を適用することが期待されている。

【0004】

企業や組織などのエンティティが所有するプライベートネットワークも同様に、コンピューティングリソースおよびパフォーマンスに対する需要が高まっている。このような増大する需要を満たすために、このようなエンティティは、クラウドプロバイダからコンピューティングリソースおよびサービスを購入することが多い。例えば、このようなエンティティは、パブリッククラウド上に仮想プライベートクラウドまたはネットワークを作成し、その仮想プライベートクラウドまたはネットワークをそのプライベートネットワークまたはオンプレミスネットワークに接続して、利用可能なコンピュートリソースおよび機能を拡張することができる。このようにして、エンティティは、プライベートまたはオンプレミスのデータセンターをパブリッククラウドでホストされているリモートデータセンターと相互接続し、それによってプライベートネットワークを拡張することができる。

【0005】

残念ながら、ポリシーモデルの統一性の欠如と、データセンターとクラウドプロバイダソリューションとの間の構成の制限により、異なる環境を統合し、データセンター環境にわたって一貫したポリシーおよびルーティングモデルを適用するエンティティの機能が大幅に制限される。例えば、Ｃｉｓｃｏのソフトウェア定義ネットワークおよびデータセンター管理ソリューションであるアプリケーションセントリックインフラストラクチャ（ＡＣＩ）は、リーフスイッチ当たり１２８Ｋ契約ルール、６４Ｋインターネットプロトコル（ＩＰ）アドレス、４Ｋエンドポイントグループ（ＥＰＧ）を含む、数十万のセキュリティポリシーをサポートしている。対照的に、ＡｍａｚｏｎのパブリッククラウドソリューションであるＡｍａｚｏｎ Ｗｅｂ Ｓｅｒｖｉｃｅｓ（ＡＷＳ）は、エンドポイントごとに２５０のセキュリティルールの制限を有し、これは、ＡＣＩによってサポートされているポリシーのスケールよりも桁違いに小さい。したがって、クラウドソリューションとデータセンターソリューションとの間で、異なるポリシーモデルおよび構成上の制限があると、ハイブリッドクラウド実装におけるポリシーおよびルーティングのスケーラビリティおよび均一性が大幅に制限される可能性がある。

【図面の簡単な説明】

【0006】

本開示の上記および他の利点および特徴を得ることができる様式を説明するために、添付の図面に示されるその特定の実施形態を参照することにより、上記で簡単に説明した原理のより具体的な説明を行う。これらの図面が本開示の例示的な実施形態のみを描写し、したがって、その範囲を限定すると見なされるべきではないことを理解して、本明細書の原理は、以下の添付の図面を使用することにより、追加の特定事項および詳細とともに記載および説明される。

【0007】

【図1A-1B】オンプレミスサイトおよびパブリッククラウドを含むマルチクラウドファブリックでのポリシーのスケーリングおよび統合のアーキテクチャの例を示す。

【図2A-2B】パブリッククラウド内のデータプレーンルータ間で、例示的なパブリッククラウドのトラフィックのデータプレーン機能を分散するための例示的な構成を示す。

【図3】マルチクラウドファブリックでの例示的なポリシー正規化の使用事例を示す。

【図4A】ポリシー正規化の第１の例示的な使用事例を示す。

【図4B】ポリシー正規化の第２の例示的な使用事例を示す。

【図5】クラウドサイトでのトラフィックの処理およびポリシーの実装がクラウドサイト内のクラウドルータのそれぞれのサブセットに確実に分散されるようにするための、クラウドサイトでのポリシーの例示的な分散を示す。

【図6】クラウドサイトのエンドポイントに実装されたセキュリティルールをスケーリングするために、クラウドサイトのルートを集約するための例示的なスキームを示す。

【図7】マルチクラウドファブリックでの弾性のあるポリシーのスケーリングおよび統合の例示的な方法を示す。

【図8】様々な例による例示的なネットワークデバイスを示す。

【図9】様々な例による例示的なコンピューティングデバイスを示す。

【発明を実施するための形態】

【0008】

本開示の様々な実施形態について、以下で詳細に考察する。特定の実装形態について考察するが、これは例証のみを目的として行われることを理解されたい。関連技術の当業者は、本開示の趣旨および範囲から離れることなく、他の構成要素および構成を使用することができることを認識するであろう。したがって、以下の説明および図面は例示的なものであり、限定的なものとして解釈されるべきではない。本開示の完全な理解を提供するために、多数の特定の詳細が説明される。しかしながら、特定の例において、説明を曖昧にすることを避けるために、周知の内容、つまり従来技術の内容は説明されていない。本開示における一実施形態または実施形態への参照は、同一の施形態または任意の実施形態への参照であり得、このような参照は、実施形態の少なくとも１つを意味する。

【0009】

「一実施形態」または「実施形態」への参照は、実施形態に関連して記載された特定の特徴、構造、または特性が、本開示の少なくとも１つの実施形態に含まれることを意味する。本明細書の様々な場所における「一実施形態において」という語句の出現は、必ずしもすべてが同一の実施形態を指すわけではなく、他の実施形態を相互に排除する別個のまたは代替の実施形態でもない。さらに、いくつかの実施形態によって示され、他の実施形態によって示されない場合もある、様々な特徴が記載されている。

【0010】

本明細書で使用される用語は、一般に、本技術において、本開示の文脈内で、および各用語が使用される特定の文脈において、それらの通常の意味を有する。代替の言語および同義語は、本明細書で論じられる用語のいずれか１つ以上に使用されてもよく、用語が本明細書で詳述または論じられるかどうかに特別な意味を置くべきではない。場合によっては、特定の用語に対する同義語が提供される。１つ以上の同義語の詳述は、他の同義語の使用を排除するものではない。本明細書で論じられる任意の用語の例を含む本明細書の任意の場所での例の使用は、例示的なものにすぎず、本開示または任意の例示的な用語の範囲および意味をさらに制限することを意図するものではない。同様に、本開示は、本明細書に示される様々な実施形態に限定されない。

【0011】

本開示の範囲を限定することを意図することなく、本開示の実施形態による機器、装置、方法、およびそれらに関連する結果の例を以下に示す。タイトルまたはサブタイトルは、読者の便宜のために例で使用される場合があり、開示の範囲を制限するものではないことに留意されたい。別段の定義がない限り、本明細書で使用される技術的および科学的用語は、本開示が関係する当業者によって一般的に理解される意味を有する。矛盾する場合は、定義を含む本明細書が優先される。

【0012】

本開示の追加の特徴および利点は、以下の説明に記載され、一部は説明から明らかであるか、または本明細書に開示された原理の実践によって学ぶことができる。本開示の特徴および利点は、添付の特許請求の範囲で特に指摘されている機器および組み合わせによって実現および取得することができる。本開示のこれらおよび他の特徴は、以下の説明および添付の特許請求の範囲からより完全に明らかになるか、または本明細書に記載の原理の実践によって学ぶことができる。

【0013】

概要
マルチクラウドルーティングおよびポリシーの相互接続のための技術が提供される。例示的な方法は、データプレーンルータの異なるセットを、マルチクラウドファブリックのクラウドサイト内の異なるアドレス空間に関連付けられたデータプレーントラフィックに割り当てて、データプレーントラフィックとデータプレーンルータとの分散マッピングを生成することを含むことができる。この方法は、マルチクラウドファブリック内のオンプレミスサイトに、クラウドサイト上の制御プレーンルータからのルーティングエントリであって、分散マッピングを反映し、アドレス空間ごとに、どのデータプレーンルータがそのアドレス空間のデータプレーントラフィックを処理するかを識別する、ルーティングエントリを提供することと、クラウドサイトにデータプレーンルータが配備されているとき、オンプレミスサイトに、制御プレーンルータからの更新されたルーティング情報を提供することであって、更新されたルーティング情報は、データプレーンルータを、それぞれのアドレス空間に関連付けられたデータプレーントラフィックのネクストホップとして識別する、提供することと、をさらに含むことができる。

【0014】

本明細書に開示されているのは、マルチクラウドファブリックにおけるシームレスなルーティングおよびポリシーの相互接続および正規化のためのシステム、方法、およびコンピュータ可読媒体である。いくつかの例では、マルチクラウドファブリックにおけるシームレスなルーティングおよびポリシーの相互接続および正規化のための方法が提供される。この方法は、複数のデータプレーンルータからのデータプレーンルータの異なるセットを、マルチクラウドファブリックのクラウドサイト内の異なるアドレス空間に関連付けられたデータプレーントラフィックに割り当てて、データプレーントラフィックとデータプレーンルールータとの分散マッピングを生成することを含むことができる。マルチクラウドファブリックは、例えば、１つ以上のオンプレミスサイトおよび／またはクラウドサイトを含むことができる。さらに、異なるアドレス空間は、異なるプライベートネットワーク、異なる仮想ルーティングおよび転送（ＶＲＦ）インスタンス、異なる仮想プライベートクラウド（ＶＰＣ）、異なる仮想ネットワーク（例えば、ＶＮＥＴ）、異なるネットワークセグメント、異なるネットワークコンテキストなどを含み得る。

【0015】

この方法は、マルチクラウドファブリック内のオンプレミスサイトに、クラウドサイト上の制御プレーンルータからのルーティングエントリを提供することをさらに含むことができる。ルーティングエントリは、データプレーントラフィックとデータプレーンルールータとの分散マッピングを反映し、アドレス空間ごとに、データプレーンルータの様々なセットのうち、どれがそのアドレス空間のデータプレーントラフィックを処理するかを識別することができる。制御プレーンルータは、クラウドサイトに関連付けられた制御プレーントラフィックを処理し、オンプレミスサイト（および／またはマルチクラウドファブリック内の任意の他のデバイスまたはサイト）とルーティング情報を交換するように構成された、クラウドサイト内の制御プレーンルータのセットのうちの１つとすることができる。いくつかの態様では、制御プレーンルータのセットは、マルチクラウドファブリック内の各リモートサイトに対する少なくとも２つの制御プレーンルータを含むことができる。少なくとも２つの制御プレーンルータは、クラウドサイト内のルートのすべてまたは一部を含むことができ、制御プレーンの冗長性を提供することができ、ルーティング情報およびルーティングアップデートを交換するために、他のサイトとボーダーゲートウェイプロトコル（ＢＧＰ）セッションなどの制御プレーンセッションを確立することができる。

【0016】

この方法はまた、クラウドサイトに１つ以上のデータプレーンルータが配備されたことに応答して、オンプレミスサイトに、制御プレーンルータからの更新されたルーティング情報を提供することを含むことができる。更新されたルーティング情報は、１つ以上のデータプレーンルータを、それぞれのアドレス空間に関連付けられたデータプレーントラフィックのネクストホップとして識別することができる。オンプレミスサイトは、更新されたルーティング情報を受信し、クラウドサイトのルートまたはルートのテーブルを更新することができる。

【0017】

場合によっては、１つ以上のデータプレーンルータ（および任意の他のデータプレーンルータ）は、トラフィック過負荷状態、利用可能な帯域幅が最小しきい値に達する、最大ルーティング容量がしきい値に達する、パフォーマンス要件など、１つ以上の条件に基づいてオンデマンドで配備することができる。１つ以上の条件は、１つ以上のデータプレーンルータの配備または配備解除をトリガする場合がある。場合によっては、制御プレーンルータのセットのうちの１つ以上は、１つ以上のデータプレーンルータに加えて、またはその代わりに、データプレーンルータとしてダブルアップすることができる。例えば、１つ以上のデータプレーンルータの配備をトリガする代わりに（またはそれに加えて）、１つ以上の条件は、１つ以上の制御プレーンルータのセットをトリガして、１つ以上のデータプレーンルータとしてダブルアップする可能性がある。

【0018】

いくつかの態様では、マルチクラウドファブリックにおけるシームレスなルーティングおよびポリシーの相互接続および正規化のためのシステムが提供される。システムは、１つ以上のプロセッサと、命令が格納された少なくとも１つのコンピュータ可読記憶媒体とを含むことができ、命令は、１つ以上のプロセッサによって実行されると、システムに、複数のデータプレーンルータからのデータプレーンルータの異なるセットを、１つ以上のオンプレミスサイトおよび／またはクラウドサイトを含むマルチクラウドファブリックのクラウドサイト内の異なるアドレス空間に関連付けられたデータプレーントラフィックに割り当てて、データプレーントラフィックとデータプレーンルータとの分散マッピングを生成することと、オンプレミスサイトに、クラウドサイト上の制御プレーンルータからのルーティングエントリであって、データプレーントラフィックとデータプレーンルータとの分散マッピングを反映し、アドレス空間ごとに、データプレーンルータの異なるセットのうち、どのセットがそのアドレス空間のデータプレーントラフィックを処理するかを識別する、ルーティングエントリを提供することと、クラウドサイトに１つ以上のデータプレーンルータが配備されていることに応答して、オンプレミスサイトに、１つ以上のデータプレーンルータを、それぞれのアドレス空間に関連付けられたデータプレーントラフィックのネクストホップとして識別する、制御プレーンルータからの更新されたルーティング情報を提供することと、を行わせる。

【0019】

オンプレミスサイトは、更新されたルーティング情報を受信し、クラウドサイトのルートまたはルートのテーブルを更新することができる。場合によっては、１つ以上のデータプレーンルータ（および任意の他のデータプレーンルータ）は、トラフィック過負荷状態、利用可能な帯域幅が最小しきい値に達する、最大ルーティング容量がしきい値に達する、パフォーマンス要件など、１つ以上の条件に基づいてオンデマンドで配備することができる。１つ以上の条件は、１つ以上のデータプレーンルータの配備または配備解除をトリガする場合がある。

【0020】

異なるアドレス空間は、例えば、異なるプライベートネットワーク、異なる仮想ルーティングおよび転送（ＶＲＦ）インスタンス、異なる仮想プライベートクラウド（ＶＰＣ）、異なる仮想ネットワーク（例えば、ＶＮＥＴ）、異なるネットワークセグメント、異なるネットワークコンテキストなどを含み得る。さらに、制御プレーンルータは、クラウドサイトに関連付けられた制御プレーントラフィックを処理し、オンプレミスサイト（および／またはマルチクラウドファブリック内の他のサイトおよびデバイス）とルーティング情報を交換するように構成されたクラウドサイト内の制御プレーンルータのセットのうちの１つとすることができる。場合によっては、制御プレーンルータのセットは、マルチクラウドファブリック内の各リモートサイトに対する少なくとも２つの制御プレーンルータを含むことができる。少なくとも２つの制御プレーンルータは、クラウドサイト内のルートのすべてまたは一部を含むことができ、制御プレーンの冗長性を提供することができ、ルーティング情報およびルーティングアップデートを交換するために、他のサイトとＢＧＰセッションなどの制御プレーンセッションを確立することができる。

【0021】

いくつかの態様では、マルチクラウドファブリックにおけるシームレスなルーティングおよびポリシーの相互接続および正規化のための非一時的コンピュータ可読記憶媒体が提供される。非一時的コンピュータ可読記憶媒体は、そこに記憶された命令を含むことができ、命令は、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに、複数のデータプレーンルータからのデータプレーンルータの異なるセットを、１つ以上のオンプレミスサイトおよび／またはクラウドサイトを含むマルチクラウドファブリックのクラウドサイト内の異なるアドレス空間に関連付けられたデータプレーントラフィックに割り当てて、データプレーントラフィックとデータプレーンルータとの分散マッピングを生成することと、オンプレミスサイトに、クラウドサイト上の制御プレーンルータからのルーティングエントリであって、データプレーントラフィックとデータプレーンルータとの分散マッピングを反映し、アドレス空間ごとに、データプレーンルータの異なるセットのうち、どのセットがそのアドレス空間のデータプレーントラフィックを処理するかを識別する、ルーティングエントリを提供することと、クラウドサイトに１つ以上のデータプレーンルータが配備されていることに応答して、オンプレミスサイトに、１つ以上のデータプレーンルータを、それぞれのアドレス空間に関連付けられたデータプレーントラフィックのネクストホップとして識別する、制御プレーンルータからの更新されたルーティング情報を提供することと、を行わせる。

【0022】

オンプレミスサイトは、更新されたルーティング情報を受信し、クラウドサイトのルートまたはルートのテーブルを更新することができる。場合によっては、１つ以上のデータプレーンルータ（および任意の他のデータプレーンルータ）は、トラフィック過負荷状態、利用可能な帯域幅が最小しきい値に達する、最大ルーティング容量がしきい値に達する、パフォーマンス要件など、１つ以上の条件に基づいてオンデマンドで配備することができる。１つ以上の条件は、１つ以上のデータプレーンルータの配備または配備解除をトリガする場合がある。

【0023】

異なるアドレス空間は、例えば、異なるプライベートネットワーク、異なる仮想ルーティングおよび転送（ＶＲＦ）インスタンス、異なる仮想プライベートクラウド（ＶＰＣ）、異なる仮想ネットワーク（例えば、ＶＮＥＴ）、異なるネットワークセグメント、異なるネットワークコンテキストなどを含み得る。さらに、制御プレーンルータは、クラウドサイトに関連付けられた制御プレーントラフィックを処理し、オンプレミスサイト（および／またはマルチクラウドファブリック内の他のサイトおよびデバイス）とルーティング情報を交換するように構成されたクラウドサイト内の制御プレーンルータのセットのうちの１つとすることができる。場合によっては、制御プレーンルータのセットは、マルチクラウドファブリック内の各リモートサイトに対する少なくとも２つの制御プレーンルータを含むことができる。少なくとも２つの制御プレーンルータは、クラウドサイト内のルートのすべてまたは一部を含むことができ、制御プレーンの冗長性を提供することができ、ルーティング情報およびルーティングアップデートを交換するために、他のサイトとＢＧＰセッションなどの制御プレーンセッションを確立することができる。

【0024】

いくつかの態様では、上記のシステム、方法、および非一時的コンピュータ可読媒体は、１つ以上のクラウドサイト内のそれぞれのタイプのプライベートまたは仮想ネットワークコンストラクト（例えば、ＶＰＣ、ＶＮＥＴなど）を、オンプレミスサイトの特定のタイプのプライベートまたは仮想ネットワークコンストラクト（例えば、ＶＲＦ）に関連付けられたポリシーおよび構成設定のセットに一致するように変換して、マルチクラウドファブリックにわたって正規化されたプライベートまたは仮想ネットワークを生成することと、正規化されたプライベートまたは仮想ネットワークを使用して、オンプレミスサイトと、１つ以上のクラウドサイトとの間の相互接続を提供することを含み得る。

【0025】

いくつかの態様では、上記のシステム、方法、および非一時的コンピュータ可読媒体は、マルチクラウドファブリックにわたって複数のポリシーコンストラクトを正規化することを含むことができる。いくつかの例では、ポリシーコンストラクトは、オンプレミスサイトのポリシーコンストラクトを１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトにマッピングすることと、それぞれのポリシーコンストラクトからの各ポリシーコンストラクトを変換して、それぞれのポリシーコンストラクトからのポリシーコンストラクトにマッピングされたオンプレミスサイトからのポリシーコンストラクトのうちのそれぞれ１つをミラーリングすることと、それぞれのポリシーコンストラクトからのポリシーコンストラクト、および／またはオンプレミスサイトからのポリシーコンストラクトのうちのそれぞれ１つのエンドポイントに関連付けられたトラフィックの受信に応答して、トラフィックに、それぞれのポリシーコンストラクトからのポリシーコンストラクト、およびオンプレミスサイトからのポリシーコンストラクトのうちのそれぞれ１つに関連付けられたポリシーのセットを適用することと、によって正規化され得る。

【0026】

オンプレミスサイトのポリシーコンストラクトは、１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトとは異なるタイプのものとすることができる。場合によっては、オンプレミスサイトのポリシーコンストラクトは、エンドポイントグループ（ＥＰＧ）またはＶＲＦを含み、１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトの各々は、１つ以上のクラウドサイトからの関連するクラウドサイトによってサポートされるそれぞれのタイプのセキュリティグループまたはプライベートネットワーク（例えば、ＶＰＣ、ＶＮＥＴなど）を含む。各ＥＰＧまたはＶＲＦは、オンプレミスサイトからのエンドポイントのセットを含むことができ、１つ以上のクラウドサイトのそれぞれのポリシーコンストラクトの各々を、１つ以上のクラウドサイトの各々からのエンドポイントのそれぞれのセットに関連付けることができる。

【0027】

いくつかの態様では、上記のシステム、方法、および非一時的コンピュータ可読媒体は、オンプレミスサイトから１つ以上のクラウドサイトにポリシーコンストラクトをストレッチして、１つ以上のクラウドサイトの各々にストレッチされたポリシーコンストラクトを生成することであって、ストレッチされたポリシーコンストラクトは、１つ以上のクラウドサイトの各々において、それぞれのポリシーコンストラクトを表す、生成することと、ストレッチされたポリシーコンストラクトにマッピングされている１つ以上のクラウドサイトのエンドポイントごとに、オンプレミスサイトに、エンドポイントのアドレス（例えば、ＩＰアドレス、ＩＰプレフィックス、サブネットなど）を提供することと、エンドポイントのアドレスを、１つ以上のクラウドサイトの各々上のストレッチされたポリシーコンストラクトをミラーリングするオンプレミスサイトのシャドウポリシーコンストラクトにマッピングすることと、オンプレミスサイトからのポリシーコンストラクト内のエンドポイントごとに、エンドポイントを１つ以上のクラウドサイトの各々上のそれぞれのシャドウポリシーコンストラクトにマッピングすることであって、それぞれのシャドウポリシーコンストラクトは、オンプレミスサイトからのポリシーコンストラクトをミラーリングする、マッピングすることと、によってポリシーコンストラクトを正規化することを含むことができる。

【0028】

いくつかの態様では、上記のシステム、方法、および非一時的コンピュータ可読媒体は、オンプレミスサイトのポリシーコンストラクトについて、オンプレミスサイトの各ポリシーコンストラクトとは異なるタイプ（関連するポリシーコンストラクト）のものである、１つ以上のクラウドサイトの各々に関連するポリシーコンストラクトを作成することと、１つ以上のクラウドサイトの各々の関連付けられたポリシーコンストラクトごとに、オンプレミスサイトにおいて、関連付けられたポリシーコンストラクトをミラーリングするそれぞれのシャドウポリシーコンストラクトをプロビジョニングすることと、オンプレミスサイトのポリシーコンストラクトごとに、１つ以上のクラウドサイトの各々において、オンプレミスサイトのポリシーコンストラクトをミラーリングするそれぞれのシャドウポリシーコンストラクトをプロビジョニングすることと、関連するポリシーコンストラクトにマッピングされている１つ以上のクラウドサイトのエンドポイントごとに、オンプレミスサイトに、エンドポイントのアドレスを提供することと、各エンドポイントのアドレスに基づいて、１つ以上のクラウドサイトの各エンドポイントを、オンプレミスサイトでプロビジョニングされたそれぞれのシャドウポリシーコンストラクトにマッピングすることと、によってポリシーコンストラクトを正規化することを含むことができる。

【0029】

場合によっては、ポリシーコンストラクトの正規化はまた、オンプレミスサイトの各ポリシーコンストラクトと、１つ以上のクラウドサイトの各々の関連する各ポリシーコンストラクトとの間のトラフィックに対して、それぞれのセキュリティポリシーを確立することと、オンプレミスサイトの各ポリシーコンストラクトの各エンドポイントを、１つ以上のクラウドサイトの各々のそれぞれのシャドウポリシーコンストラクトにマッピングすることと、を含み得る。場合によっては、ポリシーコンストラクトの正規化は、クラウドサイトで新しいエンドポイントを発見したことに応答して、新しいエンドポイントのそれぞれのアドレスをオンプレミスサイトに提供することと、新しいエンドポイントのそれぞれのアドレスに基づいて、新しいエンドポイントをオンプレミスサイトでプロビジョニングされたそれぞれのシャドウポリシーコンストラクトにマッピングすることと、をさらに含み得る。

【0030】

いくつかの態様では、上記のシステム、方法、および非一時的コンピュータ可読媒体は、クラウドサイトのエンドポイントに関連付けられたセキュリティポリシーを、複数のデータプレーンルータにわたって分散することであって、各データプレーンルータは、そのデータプレーンルータにマッピングされたエンドポイントのセットに関連付けられたセキュリティポリシーのそれぞれのサブセットを受信する、分散することと、複数のデータプレーンルータからの各データプレーンルータによって、そのデータプレーンルータにマッピングされたエンドポイントのセットの１つ以上を含む、クラウドサイト内の各プライベートまたは仮想ネットワーク（例えば、各ＶＰＣまたはＶＮＥＴ）に、エンドポイントのセットに関連付けられたルートのそれぞれのセットをアドバタイズすることと、ＢＧＰルートマップに基づいて、複数のデータプレーンルータ内の各データプレーンルータが、クラウドサイト内の、そのデータプレーンルータにマッピングされていないエンドポイントに関連付けられたルートをアドバタイズすることを防止することと、エンドポイントのセットの１つ以上に関連付けられたトラフィックの受信に応答して、エンドポイントのセットにマッピングされたデータプレーンルータを介してトラフィックに、エンドポイントのセットに関連付けられたセキュリティポリシーのそれぞれのサブセットの１つ以上を適用することと、含み得る。

【0031】

例示的な実施形態の説明
開示された技術は、マルチクラウドファブリックにおける弾性のある、シームレスなポリシーおよびルーティングの相互接続および正規化に対する当技術分野の必要性に対応する。本明細書でのアプローチは、マルチクラウドファブリック内の異なるクラウドまたはデータセンター環境にわたってポリシーを統合し、クラウドまたはデータセンター環境間のアーキテクチャ、制限、およびポリシーの制限のいかなる違いにもかかわらず、異なるクラウドまたはデータセンター環境にわたる弾性のあるルーティングおよびポリシーのスケーリングおよび正規化をサポートすることができる。例えば、本明細書でのアプローチは、Ｃｉｓｃｏのアプリケーションセントリックインフラストラクチャ（ＡＣＩ）などのクラウドまたはデータセンターソリューションを複数のデータセンターまたはパブリッククラウドに拡張して、データセンターまたはクラウドにわたって一貫したポリシーモデルおよびルーティングスキームを適用することができる。データセンターまたはクラウドにわたって実装されるセキュリティポリシーの数は、マルチクラウドファブリック内の１つ以上のクラウドプロバイダによって課されるポリシーの制約または制限を超えるようにスケーリングすることができる。したがって、本明細書でのアプローチは、マルチクラウドファブリックにわたる、ルーティングの正規化、ならびにポリシーの均一性、柔軟性、および粒度の向上を提供することができる。

【0032】

本技術は、以下の開示において以下のように詳細に説明される。議論は、マルチクラウドファブリックにおけるルーティングおよびポリシーの正規化およびスケーリングの概要から始まる。議論は、図１Ａおよび１Ｂに示されるように、マルチクラウドファブリックにおけるルーティングおよびポリシーの正規化およびスケーリングのための例示的なアーキテクチャの説明に続く。次いで、図２Ａ～７に示されるように、マルチクラウドファブリックにおけるルーティングおよびポリシーの正規化およびスケーリングのための例示的な戦略および構成の説明が続く。議論は、図８に示されるように例示的なネットワークデバイス、ならびに図９に示されるように、ネットワーキングおよびコンピューティングの動作を実行するのに好適な例示的なハードウェア構成要素を含む、例示的なコンピューティングデバイスアーキテクチャの説明で終了する。ここで、マルチクラウドファブリックにおけるルーティングおよびポリシーの正規化およびスケーリングについて説明する。

【0033】

Ｃｉｓｃｏのアプリケーションセントリックインフラストラクチャ（ＡＣＩ）などのマルチクラウドファブリックまたはデータセンターソリューションは、オンプレミスデータセンターおよび１つ以上のクラウドサイトなど、複数のネットワークファブリックまたはデータセンターのワークロードのネットワーク、セキュリティ、およびサービスを管理することができる。マルチクラウドソリューションは、エンドポイントをエンドポイントグループ（ＥＰＧ）と呼ばれるエンドポイントのグループまたはコレクションにグループ化し、対応するＥＰＧにセキュリティポリシーまたは契約を適用することができる。マルチクラウドソリューションでは、ＥＰＧは、オンプレミスデータセンターとパブリッククラウドの両方にあるエンドポイントを含むことができる。ＥＰＧは、オンプレミスデータセンターとパブリッククラウドの両方にあるエンドポイントからのトラフィックにセキュリティポリシーまたは契約を適用することができる。セキュリティポリシーおよびネットワーキング構成は、ＡＣＩアプリケーションポリシーインフラストラクチャコントローラ（ＡＰＩＣ）および／またはマルチサイトＡＰＩＣなど、マルチクラウドソリューションに関連付けられた１つ以上のコントローラによって管理され得る。

【0034】

前述のように、パブリッククラウドにおけるネットワーキング構成およびポリシーは、様々なルーティングおよびポリシーのモデルまたはスキーム、ならびにクラウドプロバイダによって課せられる様々な制約を有し得る。多くの場合、クラウドプロバイダは、関連するパブリッククラウドによってサポートされるセキュリティポリシーの数を、オンプレミスデータセンターで実装されたデータセンターソリューションによってサポートされるポリシーのスケールよりもはるかに少なく制限する制約を課す場合がある。例えば、ＣｉｓｃｏのＡＣＩは、リーフスイッチあたり１２８Ｋの契約ルール、６４ＫのＩＰアドレス、および４ＫのＥＰＧを含む、数十万のセキュリティポリシーをサポートしており、一方、ＡｍａｚｏｎのＡＷＳは、エンドポイントあたり２５０のセキュリティルールの制約を有する。したがって、ＣｉｓｃｏのＡＣＩソリューションがＡｍａｚｏｎのＡＷＳなどのパブリッククラウドソリューションと統合されているとき、パブリッククラウドの制約により、ＡＣＩソリューションに不要な制約が課され、一貫性のないポリシーモデルを作成し得る。

【0035】

クラウド上のセキュリティルールは、宛先エンドポイントおよびレイヤ４（Ｌ４）ポートに適用することができる。宛先エンドポイントは、クラウドまたはデータセンターソリューションに応じて、グループ、プレフィックス、ラベル、ＩＰアドレスなどによって分類することができる。共通の基準に基づいてエンドポイントまたはトラフィックをグループ化すると、セキュリティルールのスケーリングに役立つが、異なるクラウドまたはデータセンターソリューションによって実装される異なるトラフィック分類スキームおよびポリシーモデルは、ポリシーおよびルーティングの均一性を制限し、しばしば異なるクラウドまたはデータセンター環境にわたるセキュリティルールの統合を妨げる可能性がある。

【0036】

例えば、ＣｉｓｃｏのＡＣＩは、ＥＰＧを使用して、ハードウェアスイッチまたはルータにおいて施行されるセキュリティポリシーをエンドポイントのグループに適用することができる。一方、ＡｍａｚｏｎのＡＷＳまたはＭｉｃｒｏｓｏｆｔのＡｚｕｒｅクラウドコンピューティングプラットフォームなど他のクラウドプロバイダおよびソリューションは、ＩＰアドレスまたは他の属性を使用して、トラフィックまたはエンドポイントを特定のセキュリティグループに分類し、ホスト（例えば、サーバ）によって施行されるセキュリティポリシーを、特定のセキュリティグループのトラフィックまたはエンドポイントに適用する。様々なクラウドまたはデータセンターソリューションでの異なる分類、ポリシー施行、およびポリシースキームにより、異なるクラウドまたはデータセンターソリューションにわたる均一性および統合が制限される可能性がある。

【0037】

さらに、１つのクラウドプロバイダによって課せられる制約は、マルチクラウドまたはマルチファブリック環境にわたって重大な制限を作成する可能性がある。例えば、クラウドホストインスタンスが複数のアプリケーションを実行しているとき、クラウドプロバイダによって課せられたセキュリティルールの制限にプロバイダのクラウドですぐに到達し、別のクラウドまたはデータセンターのファブリックまたは環境から統合できるセキュリティルールの量が制限され得る。例えば、クラウドホストで実行されている５つのコンテナがあり、５つのコンテナがポートマッピングされていると仮定する。ＡｍａｚｏｎのＡＷＳソリューションによって課せられた２５０のルール制限は、２５ ＩＰｘ５ ＴＣＰ（伝送制御プロトコル）ポートｘ２方向の、２５の外部ＩＰがホストと会話することで到達する。プレフィックスベースのルールがあると、このスケールの制限に役立つが、セキュリティグループポリシーを個々のＩＰアドレス（例えば、／３２ ＩＰ）に適用する必要がある場合、この制約は厳しくなる。しかし、様々な場合に、／３２ ＩＰアドレスが必要または望ましい場合がある。例えば、／３２ ＩＰアドレスは、マイクロセグメンテーションをサポートしたり、ラベルベースのグループ化を計算したりするために必要または望ましい場合があり、そこでは、ＩＰサブネットとポリシーは、本質的に分離されている。

【0038】

加えて、マルチクラウド相互接続の場合、パブリッククラウドは、多くの場合レイヤ２（Ｌ２）ストレッチを提供しない。これは、セキュリティグループポリシーをレイヤ３（Ｌ３）コンストラクトで適用する必要があることを意味し、前述のように、クラウドプロバイダのリソーススケール制限によって大幅に制限される可能性がある。説明のために、クラウドでホストされる「共有サービス」がＡＣＩオンプレミスサイトの数百のＥＰＧによって使用され、したがって、数千のエンドポイントによって使用されると仮定する。これは、クラウドセキュリティポリシーをプログラムするには、ＡＷＳやＡｚｕｒｅなどのパブリッククラウド内のＡＣＩエンドポイントＩＰアドレスを列挙する必要があることを意味する。しかしながら、典型的なクラウドに課せられたスケール制限を考えると、数千のＩＰアドレスを列挙してもクラウドではスケーリングされない。さらに、ポリシーを変更するごとに、数千のＩＰアドレスすべてにわたるセキュリティグループエントリを再列挙する必要があるため、スケーラビリティの問題がさらに発生する。

【0039】

様々なクラウドプロバイダによって課せられるスケール制限、およびクラウドまたはデータセンターソリューション間の均一性および統合の欠如を克服するために、本明細書でのアプローチは、マルチファブリックまたはマルチクラウド環境におけるポリシーおよびルーティングの正規化およびスケーリングを提供することができる。これは、特に、マルチファブリックまたはマルチクラウド環境において制御プレーンとデータプレーンとを分離し、ネイティブクラウドルーティング機能とＣｉｓｃｏのクラウドサービスルータ（ＣＳＲ）１０００１ｋｖなどのカスタムクラウドルータのクラスタとを組み合わせて使用して、大規模な相互接続機能を取得することによって実現することができる。

【0040】

図１Ａおよび１Ｂは、マルチクラウドファブリック１００におけるシームレスな相互接続機能のための例示的なアーキテクチャを示す。マルチクラウドファブリック１００は、プライベートクラウドまたはデータセンターなどのオンプレミスサイト１０２（例えば、サイト１）、ならびにパブリッククラウド１０４および１０６（例えば、サイト２およびサイト３）を含むことができる。この例では、オンプレミスサイト１０２は、ＣｉｓｃｏのＡＣＩなど特定のＳＤＮまたはデータセンターソリューションを実装し、一方、パブリッククラウド１０４および１０６は、ＡｍａｚｏｎのＡＷＳおよびＭｉｃｒｏｓｏｆｔのＡｚｕｒｅなどの異なるクラウドソリューションを実装し得る。

【0041】

オンプレミスサイト１０２は、（例えばＡＰＩＣ）コントローラ１１２など１つ以上のコントローラを介して実装および／または管理することができる、ＣｉｓｃｏのＡＣＩなど、オンプレミスサイト１０２によって実装される特定のＳＤＮまたはデータセンターソリューションに従って構成することができる。コントローラ１１２は、スイッチ（例えば、リーフスイッチ、スパインスイッチなど）、ルータ（例えば、物理的または仮想ゲートウェイまたはルータなど）、エンドポイント（例えば、ＶＭ、ソフトウェアコンテナ、仮想アプライアンス、サーバ、アプリケーション、サービスチェーン、ワークロードなど）、および／またはオンプレミスサイト１０２内の任意の他の要素（物理的および／または仮想／論理的）など、オンプレミスサイト１０２内の要素のセキュリティポリシーおよび相互接続を管理することができる。例えば、オンプレミスサイト１０２は、オンプレミスサイト１０２内のＶＭ１２４、１２６、および１２８へのネットワーク接続を提供するように構成されたスパインスイッチ１２０およびリーフスイッチ１２２を含むことができる。この例では、コントローラ１１２は、スパインスイッチ１２０、リーフスイッチ１２２、ならびにＶＭ１２４、１２６、および１２８によって処理されるトラフィックのセキュリティポリシーおよび相互接続を管理することができる。

【0042】

コントローラ１１２は、ＥＰＧ１３０、１３２、および１３４（ＥＰＧ１、ＥＰＧ２、ＥＰＧ Ｎ）を構成することができ、これを使用して、エンドポイントのグループ（例えば、ＶＭ１２４、１２６、１２８）のポリシーおよび構成を管理および実装することができる。ＥＰＧ（例えば、１３０、１３２、１３４など）は、直接または間接的にネットワーク（例えば、オンプレミスサイト１０２）に接続されているエンドポイント（例えば、ＶＭ、ソフトウェアコンテナ、仮想アプライアンス、サーバ、アプリケーション、サービスチェーン、ワークロードなど）を含む管理対象オブジェクトである。各ＥＰＧ（１３０、１３２、１３４）は、エンドポイントのグループを含むことができる。例えば、ＥＰＧ１３０は、ＶＭ１２４を含むことができ、ＥＰＧ１３２は、ＶＭ１２６を含むことができ、ＥＰＧ１３４は、ＶＭ１２８を含むことができる。

【0043】

ＥＰＧ１３０、１３２、１３４のエンドポイント（例えば、ＶＭ１２４、１２６、１２８）は、アドレス、場所、アイデンティティ、プレフィックス、機能、アプリケーションサービスなどの特定の属性を有することができ、物理および／または仮想とすることができる。したがって、ＥＰＧは、１つ以上の一般的な要因に基づくそのようなエンドポイントの論理グルーピングである。エンドポイントを共通のＥＰＧにグループ化するために使用できる非限定的な例の要素は、共通のセキュリティ要件、共通のＶＭモビリティ要件、共通のＱｏＳ（サービス品質）設定、共通のＬ４－Ｌ７（レイヤ４～レイヤ７）サービスなどを含む。ＥＰＧ（例えば、１３０、１３２、１３４）は、複数のスイッチにまたがることができ、それぞれのブリッジドメイン（ＢＤ）に関連付けることができる。いくつかの態様では、ＥＰＧのエンドポイントメンバーシップは、静的または動的とすることができる。

【0044】

ＥＰＧ１３０、１３２、１３４は、それぞれのエンドポイントメンバーシップを含むことができ、前述のように、異なるそれぞれの要因に基づく異なるＥＰＧ（例えば、論理グルーピング）を表すことができる。例えば、ＥＰＧ１３０は、Ｗｅｂサーバ（例えば、ＷＥＢ－ＥＰＧ）として構成されたエンドポイント（例えば、ＶＭ１２４）の論理グルーピングを表すことができ、ＥＰＧ１３２は、データベースサーバ（例えば、ＤＢ－ＥＰＧ）として構成されたエンドポイント（例えば、ＶＭ１２６）の論理グルーピングを表すことができ、ＥＰＧ１３４は、特定のアプリケーションサーバ（例えば、ＡＰＰ．Ａ－ＥＰＧ）として構成されたエンドポイント（例えば、ＶＭ１２８）の論理グルーピングを表すことができる。コントローラ１１２は、ＥＰＧ１３０、１３２、１３４の各々について特定のポリシー（例えば、契約、フィルタ、要件など）を構成することができる。そのようなポリシーまたは契約は、例えば、どのＥＰＧが互いに通信することができるか、およびどのタイプのトラフィックがＥＰＧ１３０、１３２、１３４の間を通過できるかを定義することができる。

【0045】

コントローラ１１２はまた、プライベートネットワークとして機能し、ＶＲＦ間でトラフィックを分離する異なるアドレスドメインを提供する仮想ルーティングおよび転送（ＶＲＦ）インスタンス（１３６Ａ、１３６Ｂ、１３６Ｎ）を構成することができる。ＶＲＦ１３６Ａ～Ｎは、エンドポイント（例えば、ＶＭ１２４、１２６、１２８）、ＥＰＧ（例えば、１３０、１３２、１３４）など、様々なそれぞれのオブジェクトを含むことができる。例えば、ＶＭ１２４およびＥＰＧ１３０は、ＶＲＦ１３６Ａに常駐することができ、ＶＭ１２６およびＥＰＧ１３２は、ＶＲＦ１３６Ｂに常駐することができ、ＶＭ１２８およびＥＰＧ１３４は、ＶＲＦ１３６Ｎに常駐することができる。

【0046】

マルチクラウドファブリック１００はまた、オンプレミスサイト１０２内のコントローラ１１２、ならびにパブリッククラウド１０４およびパブリッククラウド１０６上のクラウドコントローラ１１４および１１６（例えば、クラウドＡＰＩＣ）とそれぞれ通信し、コントローラ１１２ならびにクラウドコントローラ１１４および１１６と連携して、オンプレミスサイト１０２とパブリッククラウド１０４および１０６の両方でポリシーおよび構成を管理および実装する、マルチサイトコントローラ１１０（例えば、マルチサイトＡＰＩＣ）を含むことができる。マルチサイトコントローラ１１０は、オンプレミスサイト１０２ならびにパブリッククラウド１０４および１０６に同じポリシーモデルを実装することができ、これは、特定のＳＤＮまたはＣｉｓｃｏのＡＣＩなどのデータセンターソリューションに基づくことができる。例えば、マルチサイトコントローラ１１０は、オンプレミスサイト１０２ならびにパブリッククラウド１０４および１０６上にＶＲＦ、ＥＰＧおよび関連するポリシーを実装することができる。そのようなポリシーは、マルチサイトコントローラ１１０によって、オンプレミスサイト１０２内のコントローラ１１２と、パブリッククラウド１０４および１０６内のクラウドコントローラ１１４および１１６とそれぞれ調整することができる。

【0047】

パブリッククラウド１０４および１０６はまた、異なるポリシーモデルを実装することができ、マルチサイトコントローラ１１０、コントローラ１１２、ならびにクラウドコントローラ１１４および１１６によって実装されるソリューションによって課されるものとは異なる可能性がある独自の要件のセット（例えば、ポリシー要件、スケーラビリティ要件など）を有し得る。パブリッククラウド１０４および１０６のポリシーモデルおよび要件は、それぞれのクラウドプロバイダに依存する可能性がある。例えば、ＡＷＳは、セキュリティグループを実装して２５０ルール制限を課す場合があり、Ａｚｕｒｅは、異なるポリシー制約および制限によりアプリケーションまたはネットワークセキュリティグループを実装する場合がある。以下でさらに説明するように、本明細書でのアプローチは、一貫性のあるルーティングおよびポリシーモデルを適用し、パブリッククラウド１０４および１０６を含むマルチクラウドファブリック１００に実装されたソリューション全体のスケーラビリティを向上させるために、パブリッククラウド１０４および１０６によって課されるルーティング、ポリシー、および要件を、マルチサイトコントローラ１１０、コントローラ１１２、ならびにクラウドコントローラ１１４および１１６に関連付けられたものと統合およびスケーリングすることができる。

【0048】

パブリッククラウド１０４は、仮想プライベートクラウド（ＶＰＣ）１５４Ａ、１５４Ｂ、および１５４Ｎを含むことができ、これらは、パブリッククラウド１０４上のプライベートネットワークを表し、本明細書で説明するように、オンプレミスサイト１０２およびパブリッククラウド１０６と相互接続することができる。ＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎは、オンプレミスサイト１０２によって使用するために、パブリッククラウド１０４上でアプリケーションおよびリソースをホストすることができる。場合によっては、ＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎは、オンプレミスサイト１０２上のＶＲＦ（例えば、１３６Ａ、１３６Ｂ、１３６Ｎ）を表すか、またはそれにマッピングすることができる。

【0049】

ＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎは、パブリッククラウド１０４上のエンドポイント（ＥＰ）１５８、１６４、および１６８を含むことができる。例えば、ＶＰＣ１５４ＡはＥＰ１５８を含むことができ、ＶＰＣ１５４ＢはＥＰ１６４を含むことができ、ＶＰＣ１５４ＮはＥＰ１６８を含むことができる。ＥＰ１５８、１６４、１６８は、ＶＭ、ソフトウェアコンテナ、物理サーバなどの仮想／論理および／または物理的エンドポイントを含むことができる。ＥＰ１５８、１６４、１６８は、セキュリティグループ１６０Ａ、１６０Ｂ、１６０Ｎに含めることができ、これらは、パブリッククラウド１０４によって実装されるポリシーコンストラクトであり、本明細書で説明されるようにＥＰＧに変換することができる。セキュリティグループ１６０Ａ、１６０Ｂ、１６０Ｎは、ＩＰアドレス（例えば、セキュリティグループ１６０Ａ、１６０Ｂ、１６０Ｎ内のＥＰ１５８、１６４、１６８のＩＰアドレス）、ラベル（例えば、ＶＭラベルまたはタグ）、ＥＰ属性（例えば、ＶＭ名または特性）、ＩＰプレフィックスなどのセキュリティグループ１６０Ａ、１６０Ｂ、１６０Ｎに関連付けられた１つ以上の属性に一致するトラフィックに対して定義された１つ以上のそれぞれのセキュリティポリシーを含むことができる。

【0050】

ＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎとの間のトラフィックは、仮想クラウドルータ、仮想プライベートゲートウェイまたはＶＰＮゲートウェイ（以下「ｖＧＷ」）、Ｃｉｓｃｏ ＣＳＲ１ｋＶルータなどのクラウドサービスルータ（ＣＳＲ）などを含み得るルータ１５６、１６２、および１６６を介してルーティングすることができる。ルータ１５６、１６２、１６６は、ＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎの入口および出口ポイントとして機能することができ、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎのクラスタ１５０を介して、ＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎを互いに、ならびに他の外部デバイスまたはネットワーク（例えば、オンプレミスサイト１０２およびパブリッククラウド１０６）と接続することができる。データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎは、仮想クラウドルータ、仮想ゲートウェイ、Ｃｉｓｃｏ ＣＳＲ１ｋＶルータなどのＣＳＲルータなどを含むことができる。

【0051】

ルータ１５６、１６２、および１６６は、制御プレーンルータ１４０Ａおよび１４０Ｎのクラスタ１３８を介して、パブリッククラウド１０４とオンプレミスサイト１０２とパブリッククラウド１０６との間の相互接続を提供することができる。制御プレーンルータ１４０Ａおよび１４０Ｎは、パブリッククラウド１０４、オンプレミスサイト１０２、およびパブリッククラウド１０６間の相互接続をサポートするために、オンプレミスサイト１０２、パブリッククラウド１０６、ＭＳＣ１１０などへのルートのインポートおよびエクスポートを管理することができる。いくつかの実装形態では、制御プレーンルータ１４０Ａおよび１４０Ｎは、ＥＶＰＮ（イーサネット仮想プライベートネットワーク）ＢＧＰ（ボーダーゲートウェイプロトコル）を使用してルートをインポートおよびエクスポートすることができる。制御プレーンルータ１４０Ａおよび１４０Ｎは、ルートを交換するために、オンプレミスサイト１０２、パブリッククラウド１０６、および／またはＭＳＣ１１０とのＢＧＰセッションを確立することができる。

【0052】

制御プレーンルータ１４０Ａおよび１４０Ｎは、ＢＧＰセッションを確立するためのＢＧＰスピーカーまたはエージェントを含むことができる。いくつかの実装形態では、制御プレーンルータ１４０Ａおよび１４０Ｎは、冗長性およびサイト間接続のために、１つおきのサイト（例えば、オンプレミスサイト１０２およびパブリッククラウド１０６）との２つの制御プレーンセッション（例えば、ＢＧＰセッション）をサポートまたは実装する。他の実装形態では、制御プレーンルータ１４０Ａおよび１４０Ｎは、１つおきのサイトに対して、より多くのまたはより少ない制御プレーンセッションをサポートまたは実装してもよい。例えば、制御プレーンルータ１４０Ａおよび１４０Ｎは、１つ以上の他のサイト（例えば、オンプレミスサイト１０２および／またはパブリッククラウド１０６）のための単一の制御プレーンセッション、または１つ以上の他のサイト（例えば、オンプレミスサイト１０２および／またはパブリッククラウド１０６）のための３つ以上の制御プレーンセッションをサポートまたは実装してもよい。

【0053】

制御プレーンルータ１４０Ａおよび１４０Ｎは、Ｃｉｓｃｏ ＣＳＲ１ｋＶルータなどのＣＳＲルータを含むことができ、パブリッククラウド１０４のすべてのルートを格納および管理するのに十分な容量を装備することができる。さらに、制御プレーンルータ１４０Ａおよび１４０Ｎは、パブリッククラウド１０４のルーティング情報を交換および管理するために、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎのクラスタ１５０、および／またはＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎ上のルータ１５６、１６２、１６６との内部制御プレーンセッション（例えば、ＢＧＰセッション）をサポートまたは実装することができる。場合によっては、制御プレーンルータ１４０Ａおよび／または１４０Ｎは、データプレーンルータとしてもダブルアップすることができる。例えば、制御プレーンルータ１４０Ａおよび／または１４０Ｎは、他のデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）に加えて、またはその代わりに、データプレーンルータとしてダブルアップすることができる。

【0054】

場合によっては、以下でさらに説明するように、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎは、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎの間でＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎとの間のトラフィックに対するデータプレーンルーティング機能および責任を分散するために、ＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎの特定のサブセットにマッピングまたは指定することができる。ここで、制御プレーンルータ１４０Ａおよび１４０Ｎは、内部ルートの分散を管理して、データプレーンルータ１５２Ａ、１５４Ｂ、１５２ＮをそれぞれのＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎにマッピングし、および／またはそれに応じてルーティング機能および責任を分散することができる。

【0055】

さらに、パブリッククラウド１０４のクラウドコントローラ１１４は、ＭＳＣ１１０、オンプレミスサイトのコントローラ１１２、およびパブリッククラウド１０６上のクラウドコントローラ１１６と通信して、オンプレミスサイト１０２、パブリッククラウド１０４、およびパブリッククラウド１０６の間でのポリシーの交換および／または変換、ならびにパブリッククラウド１０４でのそのようなポリシーの実装を調整および管理することができる。例えば、クラウドコントローラ１１４は、ＭＳＣ１１０と通信して、オンプレミスサイト１０２内のＥＰＧ１３０、１３２、１３４（および関連するポリシー）を、パブリッククラウド１０４内のセキュリティグループ１６０Ａ、１６０Ｂ、１６０Ｎにマッピングまたは変換し、オンプレミスサイト１０２のＶＲＦ１３６Ａ、１３６Ｂ、１３６Ｎをパブリッククラウド１０４のＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎにマッピングまたは変換し、および／またはオンプレミスサイト１０２内の任意の他のポリシーコンストラクトまたはオブジェクトをパブリッククラウド１０４にマッピングまたは変換することができる。

【0056】

前述のように、マルチクラウドファブリック１００は、パブリッククラウド１０４および／またはオンプレミスサイト１０２とは異なるポリシーモデル、環境、および／またはクラウドもしくはデータセンターソリューションを実装することができ、パブリッククラウド１０４および／またはオンプレミスサイト１０２とは異なる要件または制限を有する可能性があるパブリッククラウド１０６など、１つ以上の追加のパブリッククラウドを含むことができる。例えば、いくつかの態様では、オンプレミスサイト１０２は、ＣｉｓｃｏのＡＣＩソリューションを実装してもよく、パブリッククラウド１０４は、ＡｍａｚｏｎのＡＷＳなどの異なるクラウドソリューションを実装し、パブリッククラウド１０６は、Ｍｉｃｒｏｓｏｆｔ ＡｚｕｒｅまたはＯｒａｃｌｅ Ｃｌｏｕｄなどのさらに異なるクラウドソリューションを実装する。

【0057】

図１Ａおよび１Ｂの例示的な例では、パブリッククラウド１０６は、仮想ネットワーク（ＶＮＥＴ）１７８Ａ、１７８Ｂ、および１７８Ｎを含むことができ、これらは、パブリッククラウド１０６上のプライベートネットワークを表し、本明細書で説明するように、オンプレミスサイト１０２およびパブリッククラウド１０４と相互接続することができる。ＶＲＦ１３６Ａ、１３６Ｂ、および１３６ＮとＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎと同様に、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎは、特定のアドレス空間を持つプライベート仮想ネットワークとして機能することができ、各仮想ネットワークは、他の仮想ネットワークから分離され、各仮想ネットワークは、それぞれのアプリケーション、リソース、デバイスなどをホストし、特定のセキュリティおよびルーティングポリシーを有している。例えば、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎは、オンプレミスサイト１０２および／またはパブリッククラウド１０４によって使用するために、パブリッククラウド１０６上でアプリケーションおよびリソースをホストすることができる。場合によっては、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎは、オンプレミスサイト１０２上のＶＲＦ（例えば、１３６Ａ、１３６Ｂ、１３６Ｎ）を表すか、またはそれにマッピングすることができる。

【0058】

ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎは、パブリッククラウド１０６上のエンドポイント（ＥＰ）１８４、１８８、および１９２を含むことができる。例えば、ＶＮＥＴ１７８ＡはＥＰ１８４を含むことができ、ＶＮＥＴ１７８ＢにＥＰ１８８を含むことができ、ＶＮＥＴ１７８ＮはＥＰ１９２を含むことができる。ＥＰ１８４、１８８、１９２は、ＶＭ、ソフトウェアコンテナ、物理サーバなどの仮想／論理および／または物理的エンドポイントを含むことができる。ＥＰ１８４、１８８、１９２は、アプリケーションセキュリティグループ１８０Ａ、１８０Ｂ、１８０Ｎに含めることができ、これらは、パブリッククラウド１０６によって実装されるポリシーコンストラクトであり、本明細書で説明されるようにＥＰＧに変換することができる。アプリケーションセキュリティグループ１８０Ａ、１８０Ｂ、１８０Ｎは、ＩＰアドレス（例えば、アプリケーションセキュリティグループ１８０Ａ、１８０Ｂ、１８０Ｎ内のＥＰ１８４、１８８、１９２のＩＰアドレス）、ラベル（例えば、ＶＭラベルまたはタグ）、ＥＰ属性（例えば、ＶＭ名または特性）、ＩＰプレフィックスなどのアプリケーションセキュリティグループ１８０Ａ、１８０Ｂ、１８０Ｎに関連付けられた１つ以上の属性に一致するトラフィックに対して定義された１つ以上のそれぞれのセキュリティポリシーを含むことができる。

【0059】

ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎとの間のトラフィックは、仮想クラウドルータ、仮想プライベートゲートウェイまたはＶＰＮゲートウェイ、Ｃｉｓｃｏ ＣＳＲ１ｋＶルータなどのＣＳＲルータなどを含み得るルータ１８２、１８６、および１９０を介してルーティングすることができる。ルータ１８２、１８６、１９０は、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎの入口および出口ポイントとして機能することができ、データプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎのクラスタ１７４を介して、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎを互いに、ならびに他の外部デバイスまたはネットワーク（例えば、オンプレミスサイト１０２およびパブリッククラウド１０４）と接続することができる。データプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎは、仮想クラウドルータ、仮想ゲートウェイ、Ｃｉｓｃｏ ＣＳＲ１ｋＶルータなどのＣＳＲルータなどを含むことができる。

【0060】

ルータ１８２、１８６、および１９０は、制御プレーンルータ１７２Ａおよび１７２Ｎのクラスタ１７０を介して、パブリッククラウド１０６とオンプレミスサイト１０２とパブリッククラウド１０４との間の相互接続を提供することができる。制御プレーンルータ１７２Ａおよび１７２Ｎは、パブリッククラウド１０６、オンプレミスサイト１０２、およびパブリッククラウド１０４間の相互接続をサポートするために、オンプレミスサイト１０２、パブリッククラウド１０４、ＭＳＣ１１０などへのルートのインポートおよびエクスポートを管理することができる。いくつかの実装形態では、制御プレーンルータ１７２Ａおよび１７２Ｎは、ＥＶＰＮ ＢＧＰを使用してルートをインポートおよびエクスポートすることができる。制御プレーンルータ１７２Ａおよび１７２Ｎは、ルートを交換するために、オンプレミスサイト１０２、パブリッククラウド１０４、および／またはＭＳＣ１１０とのＢＧＰセッションを確立することができる。

【0061】

制御プレーンルータ１７２Ａおよび１７２Ｎは、ＢＧＰセッションを確立するためのＢＧＰスピーカーまたはエージェントを含むことができる。いくつかの実装形態では、制御プレーンルータ１７２Ａおよび１７２Ｎは、冗長性およびサイト間接続のために、１つおきのサイト（例えば、オンプレミスサイト１０２およびパブリッククラウド１０４）との２つの制御プレーンセッション（例えば、ＢＧＰセッション）をサポートまたは実装する。他の実装形態では、制御プレーンルータ１７２Ａおよび１７２Ｎは、１つおきのサイトに対して、より多くのまたはより少ない制御プレーンセッションをサポートまたは実装してもよい。例えば、制御プレーンルータ１７２Ａおよび１７２Ｎは、１つ以上の他のサイト（例えば、オンプレミスサイト１０２および／またはパブリッククラウド１０４）のための単一の制御プレーンセッション、または１つ以上の他のサイト（例えば、オンプレミスサイト１０２および／またはパブリッククラウド１０４）のための３つ以上の制御プレーンセッションをサポートまたは実装してもよい。

【0062】

制御プレーンルータ１７２Ａおよび１７２Ｎは、Ｃｉｓｃｏ ＣＳＲ１ｋＶルータなどのＣＳＲルータを含むことができ、パブリッククラウド１０６のすべてのルートを格納および管理するのに十分な容量を装備することができる。さらに、制御プレーンルータ１７２Ａおよび１７２Ｎは、パブリッククラウド１０６のルーティング情報を交換および管理するために、データプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎのクラスタ１７４、および／またはＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎ上のルータ１８２、１８６、１９０との内部制御プレーンセッション（例えば、ＢＧＰセッション）をサポートまたは実装することができる。場合によっては、制御プレーンルータ１７２Ａおよび／または１７２Ｎは、データプレーンルータとしてもダブルアップすることができる。例えば、制御プレーンルータ１７２Ａおよび／または１７２Ｎは、他のデータプレーンルータ（例えば、１７６Ａ、１７６Ｂ、１７６Ｎ）に加えて、またはその代わりに、データプレーンルータとしてダブルアップすることができる。

【0063】

場合によっては、以下でさらに説明するように、データプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎは、データプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎの間でＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎとの間のトラフィックに対するデータプレーンルーティング機能および責任を分散するために、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎの特定のサブセットにマッピングまたは指定することができる。ここで、制御プレーンルータ１７２Ａおよび１７２Ｎは、内部ルートの分散を管理して、データプレーンルータ１７６Ａ、１７６Ｂ、１７６ＮをそれぞれのＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎにマッピングし、および／またはそれに応じてルーティング機能および責任を分散することができる。

【0064】

さらに、パブリッククラウド１０６のクラウドコントローラ１１６は、ＭＳＣ１１０、オンプレミスサイトのコントローラ１１２、およびパブリッククラウド１０４上のクラウドコントローラ１１４と通信して、オンプレミスサイト１０２、パブリッククラウド１０４、およびパブリッククラウド１０６の間でのポリシーの交換および／または変換、ならびにパブリッククラウド１０６でのそのようなポリシーの実装を調整および管理することができる。例えば、クラウドコントローラ１１６は、ＭＳＣ１１０と通信して、オンプレミスサイト１０２内のＥＰＧ１３０、１３２、１３４（および関連するポリシー）を、パブリッククラウド１０６内のアプリケーションセキュリティグループ１８０Ａ、１８０Ｂ、１８０Ｎにマッピングまたは変換し、オンプレミスサイト１０２のＶＲＦ１３６Ａ、１３６Ｂ、１３６Ｎをパブリッククラウド１０６のＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎにマッピングまたは変換し、および／またはオンプレミスサイト１０２内の任意の他のポリシーコンストラクトまたはオブジェクトをパブリッククラウド１０６にマッピングまたは変換することができる。

【0065】

パブリッククラウド１０４およびパブリッククラウド１０６は、ＶｘＬＡＮ（Ｖｉｒｔｕａｌ Ｅｘｔｅｎｓｉｂｌｅ ＬＡＮ）などのデータプレーンルーティング用のネットワークオーバーレイ、および制御プレーン機能用のＢＧＰまたはＥＶＰＮ ＢＧＰなどの制御プレーンソリューションを実装することができる。例えば、前述のように、パブリッククラウド１０４およびパブリッククラウド１０６は、様々な層の制御プレーン機能のためにＢＧＰセッションを実装することができる。サイト間セッション（例えば、オンプレミスサイト１０２、パブリッククラウド１０４、および／またはパブリッククラウド１０６間のセッション）のためのＶｘＬＡＮなどのオーバーレイデータプレーンソリューションによるＢＧＰまたはＢＧＰ ＥＶＰＮの使用は、１つ以上のＢＧＰセッションを使用して、サイト（例えば、１０２、１０４、１０６）間でＶＲＦ（例えば、１３６Ａ、１３６Ｂ、１３６Ｎ）または他のルーティングドメインもしくはアドレッシングコンストラクト／スキームのシームレスな拡張を提供し、追加のセグメント固有の構成なしにネットワーク（例えば、ＩＰネットワーク）でデータパケットを運ぶのに役立つ。ＭＳＣ１１０は、オンプレミスサイト１０２とパブリッククラウド１０４、１０６との間、および／またはパブリッククラウド１０４、１０６との間で、ローカル仮想またはプライベートネットワーク（例えば、ＶＲＦ、ＶＰＣ、ＶＮＥＴ）セグメント識別子（ＩＤ）をマッピングすることができ、ＢＧＰまたはＢＧＰ ＥＶＰＮルートターゲットのマッピングを通じて、対応する仮想ネットワークまたはプライベートネットワーク（例えば、ＶＲＦ、ＶＰＣ、ＶＮＥＴ）へのルートのインポートおよびエクスポートを管理することができる。この戦略は、共通のルーティングおよび転送プレーン、オンプレミスサイト１０２およびパブリッククラウド１０４、１０６を確立することができる。

【0066】

ある例示的な例では、パブリッククラウド１０４およびパブリッククラウド１０６は、制御プレーン機能のために３層のＢＧＰセッションを実装することができる。説明のために、パブリッククラウド１０４は、ＭＳＣ１１０、オンプレミスサイト１０２、および／またはパブリッククラウド１０６との１つ以上の外部制御プレーンセッション（例えば、ＢＧＰセッション）を含むＢＧＰセッションの第１の層、制御プレーンルータ１４０Ａおよび１４０Ｎとデータプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎとの間の１つ以上の制御プレーンセッション（例えば、ＢＧＰセッション）を含むＢＧＰセッションの第２の層、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎと、ＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎ内のルータ１５６、１６２、１６６との間の１つ以上の制御プレーンセッション（例えば、ＢＧＰセッション）を含むＢＧＰセッションの第３の層を実装することができる。同様に、パブリッククラウド１０６は、ＭＳＣ１１０、オンプレミスサイト１０２、および／またはパブリッククラウド１０４との１つ以上の外部制御プレーンセッション（例えば、ＢＧＰセッション）を含むＢＧＰセッションの第１の層、制御プレーンルータ１７２Ａおよび１７２Ｎとデータプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎとの間の１つ以上の制御プレーンセッション（例えば、ＢＧＰセッション）を含むＢＧＰセッションの第２の層、データプレーンルータ１７６Ａ、１７６Ｂ、１７６Ｎと、ＶＮＥＴ１７８Ａ、１７８Ｂ、および１７８Ｎ内のルータ１８２、１８６、１９０との間の１つ以上の制御プレーンセッション（例えば、ＢＧＰセッション）を含むＢＧＰセッションの第３の層を実装することができる。

【0067】

この例では、ＢＧＰセッションの３つの層が、次の非限定的な例の利点を実現するのに役立ち得る。第１に、ＢＧＰセッションの３層は、マルチクラウドファブリック１００が、個々のＶＲＦなどの個別のプライベートおよび／または仮想ネットワークからサイト間接続を提供する代わりに、共通のプライベートおよび／または仮想ネットワーク（例えば、ＶＲＦ、ＶＰＣ、またはＶＮＥＴ）をサイト間接続に使用することを可能にし得る。これにより、運用管理が容易な経済的なソリューションを提供することができる。

【0068】

第２に、いくつかの例は、制御プレーンの冗長性のために２つなど少数のＢＧＰセッションのみを実装するが、オンプレミスサイト１０２のより大きなＶＲＦスケールおよびパブリッククラウド１０４、１０６の帯域幅の必要性に応えるために、複数のデータプレーンルータを実装することができる。したがって、パブリッククラウド１０４またはパブリッククラウド１０６からＢＧＰルートがアドバタイズされるとき、ＶＲＦ１３６Ａ、１３６Ｂ、１３６Ｎ、ＶＲＦ（例えば、１３６Ａ、１３６Ｂ、または１３６Ｎ）の帯域幅の必要性、および／またはＶＲＦ（例えば、１３６Ａ、１３６Ｂ、または１３６Ｎ）ごとのルートに基づいて、複数のデータプレーンルータに属する複数のネクストホップは、分散方式で実装され得る。これは、制御プレーンルータとデータプレーンルータとの間のマルチクラウドファブリック１００上の共通ＶＲＦ（またはＶＰＣやＶＮＥＴなど任意の他のプライベートおよび／または仮想ネットワーク）内のＢＧＰセッションの第２層を通じて実現することができる。

【0069】

第３に、ＢＧＰセッションの第１および第２の層の機能を組み合わせることにより、パブリッククラウド１０４および１０６は、サイトの数の増加、サイトあたりのＰＯＤ数の増加、ならびに／または、サイトおよび／もしくは帯域幅にわたってストレッチされるＶＲＦ数の増加に伴い、オンプレミスサイト１０２ならびにパブリッククラウド１０４および１０６の結合されたファブリックのスケールに一致することができる。

【0070】

図２Ａは、例示的なパブリッククラウド（例えば、１０４）内のトラフィックのためのデータプレーン機能を、例示的なパブリッククラウド内のデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）間で分散するための例示的な構成２００を示す。この例では、構成２００は、パブリッククラウド１０４に関して説明されている。しかしながら、同様の技術を、パブリッククラウド１０６などの他のクラウドサイトに実装することができる。

【0071】

構成２００では、データプレーンルータ１５２Ａおよび１５２ＢがＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂに割り当てられ、データプレーンルータ１５２ＮがＶＰＣ１５４Ｎに割り当てられる。したがって、ＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂとの間のデータトラフィックのルーティングは、データプレーンルータ１５２Ａおよび１５２Ｂによって処理され、ＶＰＣ１５４Ｎとの間のデータトラフィックのルーティングは、データプレーンルータ１５２Ｎによって処理される。ＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂに関連付けられたデータトラフィックがデータプレーンルータ１５２Ａおよび１５２Ｂによって処理され、ＶＰＣ１５４Ｎに関連付けられたデータトラフィックがデータプレーンルータ１５２Ｎによって処理されることを確実にするために、制御プレーンルータ１４０Ａおよび１４０Ｎは、ＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂに関連付けられたデータトラフィックがデータプレーンルータ１５２Ａおよび／または１５２Ｂによって処理され、ＶＰＣ１５４Ｎに関連付けられたデータトラフィックがデータプレーンルータ１５２Ｎによって処理されることを確実にするために、ルート広告を（例えば、ＢＧＰセッションを介して）調整することができる。例えば、制御プレーンルータ１４０Ａおよび１４０Ｎによって提供されるルートアドバタイズメントは、データプレーンルータ１５２Ａおよび１５２ＢをＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂ（またはＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂに関連付けられたトラフィック）にマッピングし、データプレーンルータ１５２ＮをＶＰＣ１５４Ｎ（またはＶＰＣ１５４Ｎに関連付けられたトラフィック）にマッピングすることができる。

【0072】

このような分散データプレーンルーティング技術は、パブリッククラウド１０４内のデータプレーンルーティングを特定の帯域幅および他のサービス要件に適合させ、帯域幅およびルーティング機能を弾力的にスケーリングするのに役立ち得る。さらに、このような分散データプレーンルーティング技術は、現在および／または将来の条件に対応するために、パブリッククラウド１０４のデータプレーンルーティング機能を動的に増加または減少させるのに役立ち得る。例えば、パブリッククラウド１０４内のデータプレーントラフィックを処理するために追加の帯域幅が必要または望まれるとき、１つ以上のデータプレーンクラウドルータをパブリッククラウド１０４上に動的に配備して、このようなトラフィックを処理することができる。次いで、制御プレーンルータ１４０Ａおよび１４０Ｎは、ルートアドバタイズメントを介して、新たに配備された１つ以上のデータプレーンクラウドルータを１つ以上のＶＰＣにマッピングまたは割り当てることができ、１つ以上のＶＰＣに関連付けられたデータトラフィックが新たに配備された１つ以上のデータプレーンクラウドルータによって処理されることを確実にする。いくつかの態様では、制御プレーンルータ１４０Ａおよび１４０Ｎは、ＢＧＰ ＥＶＰＮセッションで提供されるネクストホップ変更属性を介して、１つ以上のＶＰＣに関連付けられたアドレス（例えば、１つ以上のＶＰＣに関連付けられたＩＰアドレスまたはプレフィックス、１つ以上のＶＰＣのエンドポイント、１つ以上のＶＰＣのクラウドルータ、および／または１つ以上のＶＰＣの他のリソース）を他のサイト（例えば、オンプレミスサイト１０２およびパブリッククラウド１０６など）に通信することができる。

【0073】

例えば、本明細書のデータプレーンルーティング技術は、パブリッククラウド１０４（または任意の他のサイト）が、冗長性のために少数の制御プレーンセッションを維持しながら、パブリッククラウド１０４における帯域幅の必要性の増加、ならびにエンドポイント、プライベートクラウドネットワーク（例えば、ＶＰＣ）などのパブリッククラウド１０４内のリソースまたはオブジェクトの追加に対応するために、転送プレーン（例えば、制御プレーンルータ１４０Ａおよび１４０Ｎ）の容量を動的に増大させることを可能にすることができる。いくつかの例では、制御プレーンルータ１４０Ａおよび１４０Ｎのクラスタ１３８は、エンドポイント、ＶＰＣ、クラウドルータなど、リソースまたはオブジェクトのグループにエニーキャストアドレスを提供し、１つ以上のＢＧＰ ＥＶＰＮセッションでのネクストホップ変更を介して、エニーキャストアドレスを他のサイト（例えば、オンプレミスサイト１０２、パブリッククラウド１０６）に通信することができる。さらに、制御プレーンルータ１４０Ａおよび１４０Ｎは、制御プレーンスケールを管理し、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎの制御プレーンの負担を軽減することができる。

【0074】

説明のために、図２Ｂを参照して、新しいデータプレーンルータ２０２をパブリッククラウド１０４上に動的に配備して、ＶＰＣ１５４Ｎのトラフィックまたは帯域幅の必要性の増加に対応することができる。新しいデータプレーンルータ２０２は、例えば、仮想ゲートウェイ（ｖＧＷ）またはＣＳＲルータなどの仮想または物理クラウドルータまたはゲートウェイであり得る。さらに、新しいデータプレーンルータ２０２は、ＶＰＣ１５４Ｎのトラフィックまたは帯域幅の必要性の増加に対応するために、ＶＰＣ１５４Ｎに関連付けられたデータトラフィックを処理するように割り当てることができる。

【0075】

場合によっては、これは、制御プレーンルータ１４０Ｎによってオンプレミスサイト１０２（および／またはＭＳＣ１１０）に通信されるネクストホップ変更２０４を介して達成することができる。例えば、新しいデータプレーンルータ２０２のアドレスをオンプレミスサイト１０２に通信し、新しいデータプレーンルータ２０２を含むようにＶＰＣ１５４Ｎに関連付けられたトラフィックのネクストホップを変更するために、制御プレーンルータ１４０Ｎは、オンプレミスサイト１０２とのＢＧＰセッションを確立し、オンプレミスサイト１０２に更新メッセージを送信することができる。更新メッセージは、ＶＰＣ１５４Ｎ内の宛先へのネクストホップとして新しいデータプレーンルータ２０２のアドレスを識別するネクストホップ属性を含むことができる。更新メッセージにより、オンプレミスサイト１０２上の１つ以上のＢＧＰスピーカーに、ネクストホップ変更２０４を受信させ、パブリッククラウド１０４上のＶＰＣ１５４Ｎに関連付けられたＢＧＰルートを更新させる（例えば、新しいデータプレーンルータ２０２のアドレスを含む新しいＢＧＰルートで１つ以上のＢＧＰテーブルをポピュレートする）ことができる。

【0076】

別の例では、新しいＶＰＣがパブリッククラウド１０４に配備される場合、１つ以上のデータプレーンルータをパブリッククラウド１０４に動的に配備して、新しいＶＰＣに関連付けられたデータトラフィックを処理することができる。制御プレーンルータ１４０Ａおよび／または１４０Ｎは、同様に、ネクストホップ変更を実行して、新しいＶＰＣの宛先へのネクストホップとして１つ以上のデータプレーンルータを識別することができる、新しいＶＰＣに関連付けられた１つ以上のＢＧＰルートをオンプレミスサイト１０２に通信することができる。

【0077】

図３は、マルチクラウドファブリック１００での例示的なポリシー正規化の使用事例３００を示している。この例では、新しいＥＰＧ３０２がオンプレミスサイト１０２で構成され、コントローラ１１２によってオンプレミスサイト１０２のファブリックに伝播される。オンプレミスサイト１０２内のルータまたはスイッチ（例えば、１２０、１２２）は、新しいＥＰＧ３０２を、それらのルータまたはスイッチによって施行することができるＡＣＬ（アクセス制御リスト）ルールに変換することができる。

【0078】

この例のパブリッククラウド１０４および１０６は、ＥＰＧポリシーコンストラクトをサポートしないので、新しいＥＰＧ３０２は、パブリッククラウド１０４および１０６によってサポートされるポリシーコンストラクトに変換され、変換されたポリシーコンストラクトとしてパブリッククラウド１０４および１０６に実装され得る。例えば、パブリッククラウド１０４は、ＥＰＧの代わりにセキュリティグループをサポートするＡＷＳクラウドであり、パブリッククラウド１０６は、ＥＰＧの代わりにアプリケーションセキュリティグループまたはネットワークセキュリティグループをサポートするＡｚｕｒｅクラウドであると仮定する。したがって、ＭＳＣ１１０は、新しいＥＰＧ３０２を、パブリッククラウド１０４のセキュリティグループ３０４およびパブリッククラウド１０６のアプリケーションセキュリティグループ３０６（またはネットワークセキュリティグループ）に変換することができる。次いで、ＭＳＣ１１０は、セキュリティグループ３０４をパブリッククラウド１０４に伝播し、アプリケーションセキュリティグループ３０６をパブリッククラウド１０６に伝播することができる。

【0079】

パブリッククラウド１０４は、セキュリティグループ３０４を（例えば、クラウドコントローラ１１４を介して）受信し、セキュリティグループ３０４を実装することができ、これは、新しいＥＰＧ３０２をミラーリングし、パブリッククラウド１０４の環境および要件に対応するために関連するポリシーを正規化する。同様に、パブリッククラウド１０６は、アプリケーションセキュリティグループ３０６を（例えば、クラウドコントローラ１１６を介して）受信し、アプリケーションセキュリティグループ３０６を実装することができ、これは、新しいＥＰＧ３０２をミラーリングし、パブリッククラウド１０６の環境および要件に対応するために関連するポリシーを正規化する。このようにして、新しいＥＰＧ３０２に関連付けられたポリシーをパブリッククラウド１０４および１０６に拡張して、パブリッククラウド１０４および１０６がＥＰＧポリシーコンストラクトをサポートしていない場合でも、マルチクラウドファブリック１００で統一されたポリシービューを提供することができる。

【0080】

セキュリティグループ３０４およびアプリケーションセキュリティグループ３０６は、新しいＥＰＧ３０２のポリシーを反映することができる。トラフィックをセキュリティグループ３０４およびアプリケーションセキュリティグループ３０６に一致させ、したがって、セキュリティグループ３０４およびアプリケーションセキュリティグループ３０６内のポリシーをそのようなトラフィックに適用するために、トラフィックを分類し、１つ以上の分類スキームに基づいて、セキュリティグループ３０４およびアプリケーションセキュリティグループ３０６に一致させることができる。例えば、オンプレミスサイト１０２では、新しいＥＰＧ３０２に関連付けられたトラフィックは、ＩＰアドレス、ＩＰプレフィックス、またはポートおよびＶＬＡＮなどのパケット属性の組み合わせによって分類することができる。一方、パブリッククラウド１０４および１０６では、セキュリティグループ３０４およびアプリケーションセキュリティグループ３０６（したがって、新しいＥＰＧ３０２）に関連付けられたトラフィックは、例えば、ＶＭラベル、ＩＰアドレス、エンドポイント属性、タグ（例えば、セキュリティグループタグ）などに基づいて分類することができる。

【0081】

本明細書でのポリシーの正規化により、マルチクラウドファブリック１００内のサイト間トラフィックは、新しいＥＰＧ３０２、セキュリティグループ３０４、またはアプリケーションセキュリティグループ３０６に属するものとして分類することができ、マルチクラウドファブリック１００内のサイト（１０２、１０４、１０６）にわたるこのようなトラフィックに、新しいＥＰＧ３０２に基づく一貫したポリシーアプリケーションを適用することができる。

【0082】

図３は、ＥＰＧの正規化を示しているが、正規化は、他のポリシーコンストラクトに対して同様に実行できることに留意されたい。例えば、オンプレミスサイト１０２内のＶＲＦは、パブリッククラウド１０４用のＶＰＣおよびパブリッククラウド１０６用のＶＮＥＴに変換することができ、変換されたＶＰＣおよびＶＮＥＴは、それぞれ、パブリッククラウド１０４およびパブリッククラウド１０６で伝播して実装することができる。

【0083】

さらに、エンドポイントがオンプレミスサイト１０２、パブリッククラウド１０４、またはパブリッククラウド１０６内で発見されるときはいつでも、エンドポイントが存在するファブリックがどのようなポリシーモデルおよび要件をサポートしているかにかかわらず、そのエンドポイントに関連付けられたトラフィックにＥＰＧポリシーの同じセットを適用することができる。オンプレミスサイト１０２内のＥＰＧと、パブリッククラウド１０４および１０６のいずれかにある別のＥＰＧ（またはセキュリティグループまたはアプリケーションセキュリティグループ）との間に契約ポリシーがあるときにも、同じことが当てはまる可能性がある。このシームレスなポリシー配備は、ＭＳＣ１１０によって、オンプレミスサイト１０２内のコントローラ１１２、ＡＰＩＣと、パブリッククラウド１０４および１０６内のクラウドコントローラ１１４および１１６の両方と連携して、調整することができる。ポリシーの配備は、発見されたエンドポイントと異なるサイト上の他のエンドポイントとの間のトラフィックのローカルポリシーアプリケーションのために、発見されたエンドポイントの詳細をマルチクラウドファブリック１００内の様々なサイトに変換することを伴い得る。

【0084】

多くのクラウド環境では、ＩＰアドレスを使用して分類し、ポリシーの正規化を実現することができる。しかしながら、エンドポイントは動的に発見され、ＩＰアドレスは時間の経過とともに変化する可能性があるため、サイト（例えば、オンプレミスサイト１０２、パブリッククラウド１０４、およびパブリッククラウド１０６）間のこのようなＩＰベースのポリシー正規化は困難な場合がある。したがって、ＥＰＧの分類は時間の経過とともに変化する可能性があり、ユーザ構成を介してこのようなＥＰＧポリシーを事前にプロビジョニングすることは困難であり、または不可能でさえある。

【0085】

これらの課題に対処するために、サイトにわたってＥＰＧをストレッチしたり、サイトにわたってＥＰＧおよび／または契約をミラーリングしたりするなど、様々な戦略を実装することができる。図４Ａおよび４Ｂは、図４Ａに示される例示的なＥＰＧストレッチ使用事例４００、および図４Ｂに示される例示的なＥＰＧ契約使用事例４２０を含む、ポリシー正規化のための異なる使用事例を示す。

【0086】

図４Ａを参照すると、例示的なＥＰＧストレッチ使用事例４００では、ＥＰＧ１３０は、オンプレミスサイト１０２とパブリッククラウド１０４（および／またはパブリッククラウド１０６）との間でストレッチされ得、ストレッチされたＥＰＧ１３０を表すクラウドＥＰＧ４０２が得られる。これは、オンプレミスサイト１０２のＥＰＧ１３０と、パブリッククラウド１０４のクラウドＥＰＧ４０２とが同じものであることを意味する。トラフィックは、いかなる契約を確立せずにそれらの間を流れ得る。

【0087】

パブリッククラウド１０４内のＥＰからのパケットがクラウドＥＰＧ４０２の一部として分類されるために、ＭＳＣ１１０は、オンプレミスサイト１０２において、クラウドＥＰＧ４０２をシャドウイングするシャドウクラウドＥＰＧ４０６を、パブリッククラウド１０４において、ＥＰＧ１３０をシャドウイングするシャドウオンプレミスＥＰＧ４０８を配備することができる。シャドウクラウドＥＰＧ４０６およびシャドウオンプレミスＥＰＧ４０８は、ＥＰを、例えばＩＰアドレス、プレフィックス、またはサブネットとして記述することができる。この情報は、オンプレミスサイト１０２が、ＥＰからのパケットを分類する方法を理解し、パケットに適用するポリシーを決定するために使用することができる。ＥＰのＩＰアドレスは動的である可能性があるので、ストレッチされたＥＰＧの一部としてＥＰを分類するために使用されるこのＩＰ情報は、オンプレミスサイト１０２とパブリッククラウド１０４との間で動的に交換することができる。この交換は、例えば、Ｋａｆｋａバスなどを使用して、ＭＳＣ１１０、コントローラ１１２、およびクラウドコントローラ１１４によって調整することができる。

【0088】

ＥＰ検出スキームは、ＥＰが存在するサイトに対してローカルとすることができる。例えば、オンプレミスサイト１０２では、ＥＰ検出は、データプレーン学習に基づくことができ、一方、パブリッククラウド１０４では、ＥＰ検出は、ＡＷＳの場合はＡＷＳ Ｃｏｎｆｉｇサービスなどのクラウドネイティブサービスを通じて検出されたＥＰ構成イベント（例えば、ＶＭ構成イベント）に基づき得る。次いで、検出されたＥＰは、ＥＰＧ（例えば、ＥＰＧ１３０）にマッピングされ、共通のオブジェクト階層で表される。階層に変更が加えられると（例えば、ＥＰの参加、脱退、移動など）、変更を他のサイトに反映することができる。

【0089】

オンプレミスサイト１０２では、このようなＥＰは、それらの対応するＥＰＧによって表される。他のサイト（例えば、パブリッククラウド１０４および１０６）では、このようなＥＰは、外部（または）Ｌ３Ｏｕｔ ＥＰＧ（ＣｉｓｃｏのＡＣＩ用語）などとして表すことができる。したがって、ＥＰＧストレッチ使用事例４００では、ポリシーの正規化は、ＥＰＧ１３０をパブリッククラウド１０４にストレッチし、オンプレミスサイト１０２およびパブリッククラウド１０４にシャドウＥＰＧ（例えば、４０６および４０８）を作成することによって達成することができる。すべての契約を許可４０４はまた、ストレッチされたＥＰＧ（例えば、１３０および４０２）およびシャドウＥＰＧ（例えば、４０６および４０８）に対応するトラフィックのために構成され得る。一緒に、すべての契約を許可４０４、ストレッチされたＥＰＧ（例えば、１３０および４０２）、およびシャドウＥＰＧ（例えば、４０６および４０８）は、サイト１０２および１０４にわたってポリシーの正規化を可能にすることができる。サイト間でのＩＰ情報の動的交換により、動的または変更されたＩＰアドレスを使用した場合でもＩＰベースの正規化が可能になる。

【0090】

ＥＰＧストレッチの使用事例４００は、オンプレミスサイト１０２とパブリッククラウド１０４との間でのみ示されているが、同じ原則を実装して、ＥＰＧを、パブリッククラウド１０６など、マルチクラウドファブリック１００内の任意の他のサイトにストレッチし、マルチクラウドファブリック１００内のすべてのサイトにわたってポリシーを正規化することができることに留意されたい。

【0091】

図４Ｂは、ポリシー正規化のための例示的なＥＰＧ契約使用事例４２０を示す。この例では、２つの独立したＥＰＧがオンプレミスサイト１０２およびパブリッククラウド１０４に実装されており、ＥＰＧ１３０は、オンプレミスサイト１０２に実装され、クラウドＥＰＧ４２２は、パブリッククラウド１０４に実装されている。ＥＰＧ１３０およびクラウドＥＰＧ４２２は、それらの間の契約４２４で実施される。

【0092】

異なるサイトの２つのＥＰＧ間に契約があるとき、ＭＳＣ１１０は、異なるサイトに対応するシャドウまたはミラーＥＰＧを作成し、前述のようにＩＰアドレスを使用して発見されたＥＰを分類することができる。したがって、この例では、ＭＳＣ１１０は、オンプレミスサイト１０２にシャドウクラウドＥＰＧ４２６を作成し、パブリッククラウド１０４にシャドウオンプレミスＥＰＧ４２８を作成することができる。シャドウクラウドＥＰＧ４２６は、パブリッククラウド１０４からのクラウドＥＰＧ４２２をミラーリングすることができ、シャドウオンプレミスＥＰＧ４２８は、オンプレミスサイト１０２からのＥＰＧ１３０をミラーリングすることができる。

【0093】

ＭＳＣ１１０はまた、パブリッククラウド１０４およびオンプレミスサイト１０２上にシャドウ契約４３０を作成することができる。シャドウ契約４３０は、オンプレミスサイト１０２のＥＰＧ１３０とパブリッククラウド１０４のクラウドＥＰＧ４２２との間の契約４２４をミラーリングすることができる。オンプレミスサイト１０２およびパブリッククラウド１０４は、シャドウ契約４３０をシャドウＥＰＧ（例えば、４２６および４２８）に適用することができる。例えば、オンプレミスサイト１０２が、シャドウクラウドＥＰＧ４２６に一致するパブリッククラウド１０４内のエンドポイントからトラフィックを受信すると、オンプレミスサイト１０２は、シャドウクラウドＥＰＧ４２６および契約４３０をトラフィックに適用することができる。同様に、パブリッククラウド１０４が、シャドウオンプレミスＥＰＧ４２８に一致するオンプレミスサイト１０２内のエンドポイントからトラフィックを受信すると、パブリッククラウド１０４は、シャドウオンプレミスＥＰＧ４２６および契約４３０をトラフィックに適用することができる。このようにして、オンプレミスサイト１０２のＥＰＧ１３０に関連付けられたポリシーは、オンプレミスサイト１０２およびパブリッククラウド１０４にわたって正規化される。そのような技術はまた、パブリッククラウド１０６および／または任意の他のサイトにおけるポリシーを正規化するために適用され得、マルチクラウドファブリック１００内のサイトにわたって均一なポリシービューまたはアプリケーションを取得することができる。

【0094】

前述のように、クラウドプロバイダは、多くの場合、マルチクラウドファブリック１００などのハイブリッド環境で実装されるリソースおよびポリシーのスケールを制限する可能性のある様々なリソース制限およびポリシー制約を課す。例えば、パブリッククラウド１０４および／またはパブリッククラウド１０６は、オンプレミスサイト１０２からマルチクラウドファブリック１００を越えてパブリッククラウド１０４およびパブリッククラウド１０６へのポリシーの配備を制限し得る重大なリソース制限およびポリシー制約を有する可能性がある。マルチクラウドファブリック１００にわたるシームレスなポリシー拡張を可能にするために、本明細書での技術は、マルチクラウドファブリック１００内のサイト（１０２、１０４、１０６）にわたるポリシーのスケールに一致する戦略を実装することができる。例えば、オンプレミスサイト１０２がパブリッククラウド１０４およびパブリッククラウド１０６よりも大きいスケールのポリシーをサポートする場合、本明細書での戦略は、パブリッククラウド１０４およびパブリッククラウド１０６にわたるオンプレミスサイト１０２のポリシースケールに一致し得る。

【0095】

異なるクラウドプロバイダによって課せられるそのような制限または制約を克服するために、クラウドネイティブポリシーサポートとパブリッククラウド１０４および１０６のカスタムポリシーエージェントサポートのクラスタとの組み合わせを使用するポリシースケーリングの例示的なスキームを実装することができる。いくつかの態様では、セキュリティポリシーは、ＣＳＲルータなどのクラウドポリシーエージェントサポートを備えたクラウドルータに配備することができ、それによってクラウドプロバイダによって課せられる様々な制限を克服することができる。このようなクラウドルータのスケールは非常に大きくなる可能性があるため、異なるクラウドプロバイダにわたってスケールが拡大する。

【0096】

一部の実装形態では、オンプレミスサイト１０２によって実装されたポリシーコンストラクト（例えば、ＡＣＩポリシーコンストラクト）を、ＡＷＳ（例えば、パブリッククラウド１０４）のセキュリティグループ（例えば、１６０Ａ、１６０Ｂ、１６０Ｎ）、およびＡｚｕｒｅ（例えば、パブリッククラウド１０６）のアプリケーションまたはネットワークセキュリティグループ（例えば、１８０Ａ、１８０Ｂ、１８０Ｎ）などのクラウドネイティブポリシー、ならびにカスタムルータポリシーに変換することができる（例えば、ＥＰＧをソースグループタグ（ＳＧＴ）に変換し、契約をクラウドルータのＡＣＬに変換することができる）。

【0097】

さらに、パブリッククラウド１０４および１０６に実装されたポリシーは、クラウドポリシーエージェントをサポートするクラウドルータのクラスタにわたってスケーラビリティを高めるために分散することができる。クラウドルータのクラスタは、クラスタ内の様々なクラウドルータに割り当てられた、またはマッピングされた、それぞれのＥＰまたはアドレッシング空間（例えば、ＶＰＣ、ＶＮＥＴなど）に関連付けられたトラフィックにポリシーを適用することができる。

【0098】

図５は、パブリッククラウド１０４内のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのクラスタ５０４へのポリシーの例示的な分散５００を示している。ポリシーは、スケーラビリティのために、ならびに／またはパブリッククラウド１０４におけるトラフィックの処理およびパブリッククラウド１０４におけるポリシーの実装が、クラウドルータのそれぞれのサブセットに分散されることを確実にするために、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのクラスタ５０４に分散させることができる。例えば、ポリシーのそれぞれのサブセットは、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのそれぞれのサブセットに分散されて、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎの各々によって実装されるポリシーの全体量を低減し、それによって、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのクラスタ５０４にわたって実装することができるポリシーの全体量を増加させることができる。さらに、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのそれぞれのサブセットは、ポリシーのそれぞれのサブセットに関連付けられた宛先（例えば、エンドポイント、ＶＰＣなど）および／またはポリシーのそれぞれのサブセットに関連付けられたトラフィックのルーティングエントリを格納するように構成することができる。

【0099】

クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、ＣＳＲ１ｋＶルータなどの任意の仮想ルータまたはクラウドルータを含むことができる。場合によっては、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎと同じルータ（例えば、別個のルータではなく）であり得る。言い換えれば、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎの機能および挙動は、データプレーンルータ１５２、１５２、１５２に実装することができる。他の場合には、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、データプレーンルータ１５２Ａ、１５２Ｂ、１５２Ｎに加えて、またはその代わりに、パブリッククラウド１０４上に実装される別個のルータであり得る。さらに、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、本明細書で説明されるようにポリシーを適用するように構成されたポリシーエージェントを実装することができる。場合によっては、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、ＶＰＣ５０２とＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎとの間のハブアンドスポークトポロジーにおいてハブとして構成されたＶＰＣ５０２の一部として構成することができる。

【0100】

この例では、ポリシーは、ポリシーに関連付けられた宛先ＶＰＣ（１５４Ａ、１５４Ｂ、および／または１５４Ｎ）に基づいて、クラスタ５０４内の特定のクラウドルータ（５０６Ａ、５０６Ｂ、５０６Ｎ）に分散される。しかしながら、他の例では、ルートの分散は、他のスキームに基づいて実行することができる。例えば、ルートは、送信元ＶＰＣ、送信元および宛先ＶＰＣ、送信元および／または宛先ＶＲＦ、サブネット、帯域幅などに基づいて分散することができる。

【0101】

分散５００の例示的なスキームに基づいて、その宛先としてＶＰＣ１５４Ｂを有するトラフィックに関連付けられたポリシー５０８は、クラウドルータ５０６Ａで実装される。他方、その宛先としてＶＰＣ１５４Ｎを有するトラフィックに関連付けられたポリシー５１０は、クラウドルータ５０６Ｂで実装される。したがって、クラスタ５０４内の特定のクラウドルータ、またはクラウドルータのサブセットのみが、所与のトラフィックのポリシーを実装し得る。これにより、ポリシーの各セットをクラスタ５０４内のすべてのクラウドルータ（５０６Ａ、５０６Ｂ、５０６Ｎ）にインストールまたは実装する必要がないため、スケーラビリティが向上する。

【0102】

この設計では、クラスタ５０４内のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎの組み合わせは、パブリッククラウド１０４内のエンドポイント（例えば、ＥＰ１５８、１６４、１６８）にわたってポリシーを適用できるクラスタ（例えば、５０４）内にｎ個のポリシーエージェントを有する仮想エンティティとなり得る。クラスタ５０４は、ポリシーエージェント（例えば、クラウドルータ）を追加または削除することにより、必要に応じて、サイズを拡大および縮小することができる。

【0103】

しかしながら、クラスタ５０４内のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのサブセットのみが所与のトラフィックに必要なポリシーを有する場合、トラフィックは、適切なクラウドルータを通過するためにそれに応じてルーティングされる必要がある。すべてのポリシーエージェント（例えば、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎ）は、考えられるすべての宛先に到達するためのルートを有している可能性があるが、各ポリシーエージェントは、ポリシーエージェントによって実行されるポリシーに基づいて特定のルートセットのみをアドバタイズしてもよい。これは、図６を参照して以下でさらに説明するように、例えば、ＢＧＰ（ボーダーゲートウェイプロトコル）ルートマップを使用するルート制御を使用することによって達成することができる。

【0104】

したがって、ＶＰＣ１５４Ａ上の仮想ゲートウェイ１５６が、ＶＰＣ１５４Ａ上のエンドポイント１５８からＶＰＣ１５４Ｂ上のエンドポイント１６４へのフロー５１２を受信すると、仮想ゲートウェイ１５６は、ＶＰＣ１５４Ｂ宛てのトラフィックのポリシーを含むＶＰＣ５０２上のクラウドルータ５０６Ａにフロー５１２を送信する。クラウドルータ５０６Ａは、フロー５１２を受信し、ＶＰＣ１５４Ｂ宛てのトラフィックについて、ポリシー５０８からの１つ以上のポリシーをフロー５１２に適用する。したがって、クラウドルータ５０６Ａは、フロー５１２を取得し、フロー５１２をＶＰＣ１５４Ｂ上のクラウドルータ１６２に送信する前に、フロー５１２に必要なポリシーを適用する。場合によっては、クラウドルータ５０６Ａは、ＶＰＣ１５４Ｂ上のエンドポイント１６４にマッピングされるフロー５１２内のＳＧＴまたはＩＰアドレスに基づいて、ポリシー５０８からのどの特定のポリシーがフロー５１２に対応するかを識別することができる。

【0105】

一方、ＶＰＣ１５４Ａ上の仮想ゲートウェイ１５６が、ＶＰＣ１５４Ａ上のエンドポイント１５８からＶＰＣ１５４Ｃ上のエンドポイント１６８へのフロー５１４を受信すると、仮想ゲートウェイ１５６は、ＶＰＣ１５４Ｃ宛てのトラフィックのポリシーを含むＶＰＣ５０２上のクラウドルータ５０６Ｂにフロー５１４を送信する。クラウドルータ５０６Ｂは、フロー５１４を受信し、ＶＰＣ１５４Ｃ宛てのトラフィックについて、ポリシー５１０からの１つ以上のポリシーを適用する。したがって、クラウドルータ５０６Ｂは、フロー５１４を取得し、フロー５１４をＶＰＣ１５４Ｃ上のクラウドルータ１６６に送信する前に、フロー５１４に必要なポリシーを適用する。場合によっては、クラウドルータ５０６Ｂは、ＶＰＣ１５４Ｃ上のエンドポイント１６８にマッピングされるフロー５１４内のＳＧＴまたはＩＰアドレスに基づいて、フロー５１４に対応する特定のポリシーを識別することができる。

【0106】

図６は、トラフィックが、そのトラフィックのポリシーを含むクラスタ５０４内の適切なクラウドルータ（例えば、ポリシーエージェント）によって確実に処理されるようにするための、クラスタ５０４内のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎによる例示的なルート分散６００を示す。この例では、アドバタイズメント６０２は、ＶＰＣ１５４ＢのＣＩＤＲ（クラスレスドメイン間ルーティング）のアドバタイズメント（例えば、ＢＧＰを介して）を表し、アドバタイズメント６０４は、ＶＰＣ１５４ＮのＣＩＤＲのアドバタイズメント（例えば、ＢＧＰを介して）を表す。ルートマップ６０６は、ＶＰＣ１５４ＢのＣＩＤＲのアドバタイズメント６０２を停止するためのルートマップを表し、ルートマップ６０８は、ＶＰＣ１５４ＮのＣＩＤＲのアドバタイズメント６０４を停止するためのルートマップを表す。ルートマップ６０６、６０８は、本質的に、特定のルート（例えば、ＶＰＣ１５４ＢのＣＩＤＲ、ＶＰＣ１５４ＣのＣＩＤＲ）をアドバタイズすることを回避するようにＢＧＰに指示することができる。このようにして、ルートマップ６０６、６０８は、特定のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎが特定のＢＧＰアドバタイズメントをＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎ（例えば、ルータ１５６、１６２、１６６）に送信することを防ぎ、それらのＶＰＣが、特定の宛先のトラフィックを、それらの宛先に対するポリシーを有していない特定のクラウドルータ（５０６Ａ、５０６Ｂ、５０６Ｎ）に送信しないことを確実にすることができる。したがって、ルートマップ６０６、６０８を使用して、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、それらがポリシーを有するＶＰＣ（例えば、１５４Ａ、１５４Ｂ、１５４Ｎ）からのトラフィックのみを受信することを確実にすることができる。

【0107】

図６では、クラウドルータ５０６Ａは、ＶＰＣ１５４Ｂ宛てのトラフィックのためのポリシーを運ぶが、ＶＰＣ１５４Ｎ宛てのトラフィックのためのポリシーを運ばない。したがって、クラウドルータ５０６Ａは、アドバタイズメント６０２をＶＰＣ１５４Ａ上の仮想ゲートウェイ１５６に送信し、ＶＰＣ１５４ＢのＣＩＤＲを仮想ゲートウェイ１５６にアドバタイズすることができるので、仮想ゲートウェイ１５６からＶＰＣ１５４Ｂに送信されるトラフィックは、クラウドルータ５０６Ｂまたは５０６Ｎの代わりにクラウドルータ５０６Ａを通過する。さらに、クラウドルータ５０６Ａは、ルートマップ６０８を実装して、クラウドルータ５０６ＡがＶＰＣ１５４ＮのＣＩＤＲをアドバタイズするのを阻止する。したがって、クラウドルータ５０６ＡがＶＰＣ１５４Ｂへのトラフィックを受信し、処理することを可能にする一方で、ＶＰＣ１５４Ｎへのトラフィックがクラウドルータ５０６Ａに送信されないことを確実にするために、アドバタイズメント６０２およびルートマップ６０８は、クラウドルータ５０６ＡがＶＰＣ１５４ＢのＣＩＤＲをアドバタイズするが、ＶＰＣ１５４ＮのＣＩＤＲをアドバタイズしないことを確実にする。

【0108】

一方、クラウドルータ５０６Ｂは、ＶＰＣ１５４Ｎ宛てのトラフィックのためのポリシーを運ぶが、ＶＰＣ１５４Ｂ宛てのトラフィックのためのポリシーを運ばない。したがって、クラウドルータ５０６Ｂは、アドバタイズメント６０４をＶＰＣ１５４Ａ上の仮想ゲートウェイ１５６に送信し、ＶＰＣ１５４ＮのＣＩＤＲを仮想ゲートウェイ１５６にアドバタイズすることができるので、仮想ゲートウェイ１５６からＶＰＣ１５４Ｎに送信されるトラフィックは、クラウドルータ５０６Ａまたは５０６Ｎの代わりにクラウドルータ５０６Ｂを通過する。さらに、クラウドルータ５０６Ｂは、ルートマップ６０６を実装して、クラウドルータ５０６ＢがＶＰＣ１５４ＢのＣＩＤＲをアドバタイズするのを阻止する。したがって、クラウドルータ５０６ＢがＶＰＣ１５４Ｎへのトラフィックを受信し、処理することを可能にする一方で、ＶＰＣ１５４Ｂへのトラフィックがクラウドルータ５０６Ｂに送信されないことを確実にするために、アドバタイズメント６０４およびルートマップ６０６は、クラウドルータ５０６ＢがＶＰＣ１５４ＮのＣＩＤＲをアドバタイズするが、ＶＰＣ１５４ＢのＣＩＤＲをアドバタイズしないことを確実にする。

【0109】

クラウドルータ５０６Ｎは、ＶＰＣ１５４ＢまたはＶＰＣ１５４Ｎ宛てのトラフィックのポリシーを運ばない。したがって、クラウドルータ５０６Ｎは、アドバタイズメント６０２または６０４をＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎ（またはルータ１５６、１６２、１６６）のいずれにも送信しない。この目的のために、クラウドルータ５０６Ｎは、ルートマップ６０６とルートマップ６０８の両方を実装して、クラウドルータ５０６ＮがＶＰＣ１５４ＢのＣＩＤＲおよびＶＰＣ１５４ＮのＣＩＤＲのアドバタイズメント６０２または６０４を送信するのを防ぐことができる。

【0110】

上に示したように、アドバタイズメント６０２および６０４ならびにルートマップ６０６および６０８を使用することにより、ＶＰＣ１５４Ａ～Ｎからのトラフィックが、そのトラフィックのポリシーを運ぶクラスタ５０４内のクラウドルータまたはクラウドルータのサブセットを介してルーティングされることを確実にしながら、クラスタ５０４内のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎにポリシーを分散することができる。

【0111】

上記のようにルートがプルーニングされると、これは、トラフィックが、指定されたクラウドルータまたはそのトラフィックの宛先ＶＰＣにサービスを提供するクラウドルータのサブセットにヒットすることを確実にする。したがって、２つのＶＰＣ（または）２つのＥＰＧなどのエンティティのペアに関連付けられているポリシーは、例えば、各々が宛先ＶＰＣまたはＥＰＧのうちの１つにサービスを提供する２つのクラウドルータ（例えば、ポリシーエージェント）でプログラムされ得る。

【0112】

１つのＶＰＣからのトラフィックは、宛先ＶＰＣに応じて、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎのうちのいずれかにヒットする可能性があることに留意されたい。ソースルーティングチェックを可能にするために、すべてのクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎは、ルートを学習することができるが、所与のルートを他のＶＰＣに分散できるのは１つ（またはサブセット）のクラウドルータだけである。ソースルーティングチェックは、ＶＰＣ内の不正なエンドポイントが通信するのを防ぐのに役立つ。これにより、クラウドルータの出力インターフェースにのみ特定のポリシーを適用できる柔軟性が得られる。一部のシナリオでは、出口インターフェースにのみポリシーを適用すると、スケールを拡大できる。例えば、ＶＰＣ１５４ＡおよびＶＰＣ１５４Ｂがポート４４３でＶＰＣ１５４Ｎと通信できるようにするには、入口トンネルインターフェースに適用する場合は２つのルールが必要であるが、出口インターフェースに適用する場合は１つのルールのみが必要である。さらに、送信元ルートチェックがないと、この例では共有サブネットであるＶＰＣサブネットＳ１は、ＶＰＣ間で通信できるが、この例では厳密にプライベートであるサブネットＳ２は、他のＶＰＣ間で通信することができない。

【0113】

本明細書で説明するように、これらのアプローチにより、クラスタ５０４内のクラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎでポリシーを弾力的にスケーリングすることができ、それによりＡＷＳの２５０ルール制限などのネイティブクラウドリソースの制限を回避できる。さらに、前述に加えて、セキュリティを強化するために、特定のセキュリティポリシーをパブリッククラウド１０４上のエンドポイント１５８、１６４、１６８に実装することもできる。これにより、ＶＰＣ内の他のエンドポイントから、インターネットまたは他のＶＰＣからの不正なトラフィックを防ぐために、外部クラウドルータを使用できない可能性があるＶＰＣ（例えば、ＶＰＣ１５４Ａ、ＶＰＣ１５４Ｂ、ＶＰＣ１５４Ｎなど）内のエンドポイント通信のホワイトリストポリシーモデルを提供することができる。ホストインスタンスでセキュリティポリシーを提供するクラウドのセキュリティモデルは、エンドポイント保護の観点からきめ細かいセキュリティアプローチであり、妥協されないものとする。以下の提案されたスキームは、クラウドルータ５０６Ａ、５０６Ｂ、５０６Ｎを介してスケールを提供しながら、エンドポイントでのルールの数への最小限の追加でこれを達成することができる。

【0114】

エンドポイント１５８、１６４、１６８のセキュリティルールは、ＶＰＣ ＣＩＤＲ内のトラフィック（すなわち、ハブＶＰＣ５０２にヒットしないトラフィック）のセキュリティグループ（例えば、１６０Ａ、１６０Ｂ、１６０Ｎ）ルールと、クラスタ５０４内のクラウドルータからＶＰＣの外部から来るトラフィックに対する最小セットのＩＰルールとを扱うことができる。これらのルールは、１つ以上のルート集約スキームに基づき得る。ホワイトリストモデルでは、これらのルールがないと、ＶＰＣの外部からのトラフィックがドロップされる可能性がある。同時に、エンドポイントへのトラフィックのパスにあるクラウドルータに適用できるため、より詳細なポリシーは必要ない。

【0115】

例示的なシステムおよび概念を説明してきたので、本開示は、次に、図７に示される方法に移る。本明細書に概説されるステップは例示であり、それらの任意の組み合わせで実装することができ、特定のステップを除外、追加、または変更する組み合わせを含む。

【0116】

ステップ７０２で、この方法は、クラウドファブリック（例えば、１００）内のクラウドサイト（例えば、１０４）上に、制御プレーンルータのセット（例えば、１４０Ａ、１４０Ｎ）および複数のデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）を配備することを含むことができる。マルチクラウドファブリック（例えば、１０４）は、図１Ａおよび１Ｂに示されるように、オンプレミスサイト（例えば、１０２）および１つ以上のクラウドサイト（例えば、１０４、１０６）を含むことができる。複数のデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）は、クラウドサイト（例えば、１０４）に関連付けられたデータプレーントラフィックを処理するように構成され得る。さらに、制御プレーンルータのセット（例えば、１４０Ａ、１４０Ｎ）は、クラウドサイト（例えば、１０４）に関連付けられた制御プレーントラフィックを処理し、オンプレミスサイト（例えば、１０２）とルーティング情報を交換するように構成され得る。ルーティング情報には、ルート、ルートまたはホップの変更（例えば、２０４）、ＢＧＰまたはＥＶＰＮ ＢＧＰデータなどの制御プレーンデータを含むことができる。

【0117】

場合によっては、制御プレーンルータのセット（例えば、１４０Ａ、１４０Ｎ）は、リモートサイトごとに複数の制御プレーンルータ（例えば、１０２、１０６）を含むことができる。例えば、いくつかの実装形態では、制御プレーンルータのセット（例えば、１４０Ａ、１４０Ｎ）は、リモートサイトごとに２つの制御プレーンルータを含むことができる。複数（例えば、２つ以上）の制御プレーンルータは、制御プレーンの冗長性を提供することができ、リモートサイト（例えば、１０２、１０６）および／またはマルチクラウドファブリック内のファブリックコントローラ（例えば、１１０、１１２、１１４、１１６）など、マルチクラウドファブリック（例えば、１００）内のネットワークデバイスとの制御プレーンセッション（例えば、ＢＧＰセッション）を確立し、ルーティング情報を交換するために使用することができる。

【0118】

ステップ７０４において、この方法は、複数のデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）からのデータプレーンルータの異なるセットを、クラウドサイト（例えば、１０４）内の異なるアドレス空間に関連付けられたデータプレーントラフィックに割り当てて、データプレーントラフィックとデータプレーンルールータとの分散マッピングを生成することを含むことができる。例えば、複数のデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）の異なるサブセット（例えば、１つ以上）は、異なるアドレス空間（または異なるアドレス空間内のルーティングデバイス）に関連付けられたデータプレーントラフィックに関連付けられるか、または処理するように構成され得る。異なるアドレス空間は、例えば、異なるＶＰＣ（例えば、１５４Ａ、１５４Ｂ、１５４Ｎ）、異なるＶＮＥＴ（例えば、１７８Ａ、１７８Ｂ、１７８Ｎ）、異なるＶＲＦ（例えば、１３６Ａ、１３６Ｂ、１３６Ｎ）、異なるルーティングおよび転送またはネットワークコンテキスト、異なるプライベートネットワーク、異なる仮想ネットワーク、異なるサブネット、異なるネットワークセグメントまたはリージョンなどを含むことができる。

【0119】

異なるアドレス空間（または異なるアドレス空間）に関連付けられたデータプレーントラフィックに割り当てられたデータプレーンルータの異なるセットの各々は、その特定のデータプレーンルータのセットに割り当てられた特定のデータプレーントラフィックを処理するように構成することができる。例えば、データプレーンルータ１５２Ａは、ＶＰＣ１５４Ａおよび／またはその関連するデータプレーントラフィックに割り当てられ、ＶＰＣ１５４Ａのデータプレーントラフィックを処理するように構成され得る。同様に、データプレーンルータ１５２Ｂは、ＶＰＣ１５４Ｂおよび／またはその関連するデータプレーントラフィックに割り当てられ得、ＶＰＣ１５４Ｂのデータプレーントラフィックを処理するように構成され得、データプレーンルータ１５２Ｎは、ＶＰＣ１５４Ｎおよび／またはその関連するデータプレーントラフィックに割り当てられ、ＶＰＣ１５４Ｎのデータプレーントラフィックを処理するように構成されていてもよい。このようにして、ＶＰＣ１５４Ａ、１５４Ｂ、および１５４Ｎに関連付けられたデータプレーントラフィックの処理は、異なるデータプレーンルータ（例えば、１５２Ａ、１５２Ｂ、１５２Ｎ）に分散され、それにより、スケーラビリティが向上する。

【0120】

ステップ７０６で、この方法は、オンプレミスサイト（例えば、１０２）に、データプレーントラフィックとデータプレーンルータとの分散マッピングを反映（ルーティングエントリ）し、アドレス空間ごとに、データプレーンルータの異なるセットのうち、どのセットがそのアドレス空間のデータプレーントラフィックを処理するかを識別する、制御プレーンルータのセット（例えば、１４０Ａ、１４０Ｎ）のうちの１つからのルーティングエントリを提供することとを含むことができる。例えば、制御プレーンルータ１４０Ａは、オンプレミスサイト（例えば、１０２）および／またはクラウドコントローラ（例えば、コントローラ１１２またはマルチサイトクラウドコントローラ１１０）と、ＢＧＰまたはＥＶＰＮ ＢＧＰセッションなどの制御プレーンセッションを確立して、オンプレミスサイト（例えば、１０２）へのルーティングエントリを提供してもよい。ルーティングエントリには、クラウドサイト（例えば１０４）へのデータプレーントラフィックのルートを含むことができる。例えば、ルーティングエントリは、ＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎ、および／またはルータ１５６、１６２、１６６などのＶＰＣ１５４Ａ、１５４Ｂ、１５４Ｎに関連付けられたトラフィックを処理するように構成されたネットワーキングデバイスへのデータプレーントラフィックのルートまたはホップを含むことができる。場合によっては、ルーティングエントリは、ネクストホップの変更や更新、ＢＧＰプロパティなど、他のルーティングまたは制御セッション情報を含むことができる。

【0121】

ステップ７０８で、方法は、クラウドサイト（例えば、１０４）での１つ以上の条件に基づいて、クラウドサイト（例えば、１０４）で、クラウドサイト（例えば、１０４）に関連付けられた特定のアドレス空間のデータプレーントラフィックを処理するように構成された１つ以上のデータプレーンルータ（例えば、２０２）を配備することを含むことができる。例えば、１つ以上の条件に基づいて、データプレーンルータ（例えば、２０２）をクラウドサイト（例えば、１０４）に配備して、ＶＰＣ１５４Ｎ、ＶＰＣ１５４Ｎのルータ１６６、および／またはＶＰＣ１５４Ｎの任意の要素（例えば、ＥＰ１６８）に関連付けられたデータプレーントラフィックを扱う、または処理することができる。１つ以上の条件は、例えば、過負荷状態、帯域幅の必要性、最小しきい値に達する利用可能な帯域幅、しきい値を下回るパフォーマンス、追加のルーティング機能の必要性、サービス要件の違反などを含み得る。例えば、ＶＰＣ１５４Ｎに関連付けられたデータプレーントラフィックのルーティング機能および利用可能な帯域幅を増やすために、１つ以上の追加のデータプレーンルータの配備をトリガする最小帯域幅しきい値または最大負荷しきい値を設定することができる。このようにして、クラウドサイト（例えば、１０４）のデータプレーントラフィックのルーティング機能を、必要に応じて、弾性のある／スケーラブルな、および動的に調整することができる。

【0122】

ステップ７１０において、この方法は、オンプレミスサイト（例えば、１０２）に、１つ以上のデータプレーンルータ（例えば、ステップ７０８で配備されたデータプレーンルータ２０２）を、特定のアドレス空間に関連付けられたデータプレーントラフィックのネクストホップとして識別する（更新されたルーティング情報）制御プレーンルータのセットのうちの１つから更新されたルーティング情報を提供することを含むことができる。更新されたルーティング情報は、ステップ７０８で配備された１つ以上のデータプレーンルータ（例えば、２０２）を、特定のアドレス空間（例えば、ＶＰＣ１５４Ｎ、ルータ１６６、ＥＰ１６８など）へのデータプレーントラフィックのネクストホップまたはデータプレーンルータとして識別するネクストホップ変更（例えば、２０４）を含むことができる。オンプレミスサイト（例えば、１０２）は、更新されたルーティング情報を使用して、ルートまたはルートのテーブルを更新して、特定のアドレス空間へのデータプレーントラフィックのホップとして１つ以上のデータプレーンルータを識別することができる。場合によっては、この方法は、更新されたルーティング情報を、パブリッククラウド１０６、マルチサイトコントローラ１１０などのマルチクラウドファブリック（例えば、１００）内の他のデバイスまたはサイトに提供して、１つ以上のデータプレーンルータ（例えば、２０２）を、特定のアドレス空間に関連付けられたデータプレーントラフィックのネクストホップまたはホップとして識別し、ルーティング情報の受信者に、１つ以上のデータプレーンルータ（例えば、２０２）が、特定のアドレス空間に関連付けられたデータプレーントラフィックを処理するように構成されていることを通知することも含むことができる。

【0123】

場合によっては、方法は、１つ以上のクラウドサイト（例えば、１０４、１０６）内のそれぞれのタイプのプライベートネットワークコンストラクト（例えば、ＶＰＣまたはＶＮＥＴ）を、オンプレミスサイト（例えば、１０２）の特定のタイプのプライベートコンストラクト（例えば、ＶＲＦ）に関連付けられたポリシーおよび構成設定のセットに一致するように変換して、マルチクラウドファブリック（例えば、１００）にわたって正規化されたプライベートまたは仮想ネットワークを生成することと、正規化されたプライベーネットワークを介して、オンプレミスサイト（例えば、１０２）と、１つ以上のクラウドサイト（例えば、１０４および１０６）との間の相互接続を提供することを含み得る。場合によっては、次いで、マルチクラウドファブリック（例えば、１００）のサイト間トラフィックを、正規化されたプライベートネットワークを使用してルーティングすることができる。

【0124】

いくつかの態様では、方法は、オンプレミスサイト（例えば、１０２）のポリシーコンストラクト（例えば、ＥＰＧ、ＶＲＦなど）を１つ以上のクラウドサイト（例えば、１０４、１０６）のそれぞれのポリシーコンストラクト（例えば、セキュリティグループ、アプリケーションセキュリティグループ、ＶＰＣ、ＶＮＥＴなど）にマッピングすることであって、オンプレミスサイト（例えば、１０２）のポリシーコンストラクトは、１つ以上のクラウドサイト（例えば、１０４、１０６）のそれぞれのポリシーコンストラクトとは異なるタイプのポリシーコンストラクトである、マッピングすることと、それぞれのポリシーコンストラクトからの各ポリシーコンストラクトを変換して、それぞれのポリシーコンストラクトからのポリシーコンストラクトにマッピングされたオンプレミスサイト（例えば、１０４）からのポリシーコンストラクトのうちのそれぞれ１つをミラーリングする（例えば、ＥＰＧ３０２をセキュリティグループ３０４Ａおよびアプリケーションセキュリティグループ３０４Ｂに変換する）ことと、それぞれのポリシーコンストラクトからのポリシーコンストラクト（例えば、パブリッククラウド１０４および／またはパブリッククラウド１０６からのポリシーコントラクト）、およびそれぞれのポリシーコンストラクトからのポリシーコンストラクトにマッピングされたオンプレミスサイト（例えば、１０２）からのポリシーコンストラクトのうちのそれぞれ１つのうちの少なくとも１つにある１つ以上のエンドポイントに関連付けられたトラフィックの受信に応答して、トラフィックに、それぞれのポリシーコンストラクトからのポリシーコンストラクト、およびオンプレミスサイトからのポリシーコンストラクトのうちのそれぞれ１つに関連付けられたポリシーのセットを適用することと、によって、マルチクラウドファブリック（例えば、１００）にわたって、複数のポリシーコンストラクト（例えば、ＥＰＧ１３０～１３４、セキュリティグループ１６０Ａ～Ｎ、アプリケーションセキュリティグループ１８０Ａ～Ｎなど）を正規化することを含み得る。

【0125】

例えば、オンプレミスサイト１０２のＥＰＧ１３０は、パブリッククラウド１０４のセキュリティグループ１６０Ａおよびパブリッククラウド１０６のアプリケーションセキュリティグループ１８０Ａにマッピングすることができる。次いで、パブリッククラウド１０４のセキュリティグループ１６０Ａおよびパブリッククラウド１０６のアプリケーションセキュリティグループ１８０Ａは、変換されて、ＥＰＧ１３０をミラーリングすることができる（例えば、同じポリシーを同じタイプのトラフィックおよび／または宛先に適用する）。次いで、パブリッククラウド１０４またはパブリッククラウド１０６が、ＥＰＧ１３０に関連付けられたトラフィックおよび／またはＥＰＧ１３０に関連付けられたエンドポイントを受信した場合、パブリッククラウド１０４またはパブリッククラウド１０６は、トラフィックをＥＰＧ１３０（またはＥＰＧ１３０をミラーリングする変換されたセキュリティグループ）に関連付けられたものとして分類し、変換されたセキュリティグループまたはアプリケーションセキュリティグループを使用して、ＥＰＧ１３０に関連付けられたポリシーを適用することができる。

【0126】

いくつかの態様において、マルチクラウドファブリック（例えば、１００）にわたる複数のポリシーコンストラクトの正規化は、オンプレミスサイト（例えば、１０２）内のポリシーコンストラクトを他のクラウドサイト（例えば、１０４、１０６）にストレッチすることによって達成することができる。例えば、場合によっては、方法は、オンプレミスサイト（例えば、１０２）から１つ以上のクラウドサイト（例えば、１０４、１０６）にポリシーコンストラクト（例えば、ＥＰＧ１３０、ＥＰＧ１３２、ＥＰＧ１３４、ＶＲＦ１３６Ａ、ＶＲＦ１３６Ｂ、ＶＲＦ１３６Ｎなど）をストレッチして、１つ以上のクラウドサイトの各々にストレッチされたポリシーコンストラクト（例えば、４０２）を生成することを伴うことができる。各クラウドサイトのストレッチされたポリシーコンストラクトは、オンプレミスサイト（例えば、１０２）からのポリシーコンストラクトをミラーリングすることができる。

【0127】

この例を続けると、方法は、ストレッチされたポリシーコンストラクト（例えば、４０２）にマッピングされた１つ以上のクラウドサイト（例えば、１０４、１０６）内のエンドポイント（例えば、ＥＰ１５８、１６４、１６８、１８４、１８８、１９２）ごとに、オンプレミスサイト（例えば、１０２）に、エンドポイントのアドレス（例えば、ＩＰアドレス、ＩＰプレフィックス、サブネットなど）を提供することと、エンドポイントのアドレスをオンプレミスサイト（例えば、１０２）上のシャドウポリシーコンストラクト（例えば、４０６）にマッピングすることであって、１つ以上のクラウドサイト（例えば、１０４、１０６）の各々で、ストレッチされたポリシーコンストラクト（例えば、４０２）をミラーリングする、マッピングすることと、オンプレミスサイト（例えば、１０２）からのポリシーコンストラクトの各エンドポイントについて、そのエンドポイントを、１つ以上のクラウドサイト（例えば、１０４、１０６）の各々のシャドウポリシーコンストラクト（例えば、４０６）にマッピングすることと、を含むことができる。それぞれのシャドウポリシーコンストラクトは、オンプレミスサイト（例えば、１０２）からのポリシーコンストラクトをミラーリングすることができる。このようにして、ＥＰＧまたはＶＲＦなどのオンプレミスサイト（例えば、１０２）内の１つ以上のポリシーコンストラクトを、１つ以上のクラウドサイト（例えば、１０４、１０６）にわたって正規化することができる。場合によっては、オンプレミスサイト（例えば、１０２）内のすべてのポリシーコンストラクト、または１つ以上のクラウドサイト（例えば、１０４、１０６）に関連するオンプレミスサイト（例えば、１０２）内のすべてのポリシーコンストラクトは、マルチクラウドファブリック（例えば、１００）にわたって正規化して、オンプレミスサイト（例えば、１０２）のポリシーモデルに基づく均一または一貫性のあるポリシーモデルまたはポリシーアプリケーションを維持することができる。

【0128】

いくつかの態様において、マルチクラウドファブリック（例えば、１００）にわたる複数のポリシーコンストラクトの正規化は、マルチクラウドファブリック（例えば、１００）内の異なるサイト上のポリシーコンストラクト間の契約またはポリシーを使用することによって達成され得る。例えば、場合によっては、方法は、オンプレミスサイト（例えば、１０２）内のポリシーコンストラクト（例えば、ＥＰＧ１３０）に基づいて、１つ以上のクラウドサイト（例えば、１０４、１０６）の各々の関連するポリシーコンストラクト（例えば、４２２）を作成することと、オンプレミスサイト（例えば、１０２）内のポリシーコンストラクト（例えば、ＥＰＧ１３０）と１つ以上のクラウドサイト（例えば、１０４、１０６）の各々の関連するポリシーコンストラクト（例えば、４２２）との間のトラフィックに対するセキュリティポリシー（例えば、４２４）を確立することと、を含むことができる。方法はまた、１つ以上のクラウドサイト（例えば、１０４、１０６）の各々における関連するポリシーコンストラクト（例えば、４２２）ごとに、オンプレミスサイト（例えば、１０２）において、関連するポリシーコンストラクト（例えば、４２２）をミラーリングするシャドウポリシーコンストラクト（例えば、４２６）をプロビジョニングすることと、オンプレミスサイト（例えば、１０２）におけるポリシーコンストラクト（例えば、ＥＰＧ１３０）に対して、１つ以上のクラウドサイト（例えば、１０４、１０６）の各々において、オンプレミスサイト（例えば、１０２）におけるポリシーコンストラクト（例えば、ＥＰＧ１３０）をミラーリングするシャドウポリシーコンストラクト（例えば、４２８）をプロビジョニングすることとも含み得る。

【0129】

方法は、関連するポリシーコンストラクト（例えば、４２２）にマッピングされる１つ以上のクラウドサイト（例えば、１０４、１０６）内の各エンドポイント（例えば、１５８、１６４、１６８、１８４、１８８、１９２）ごとに、オンプレミスサイト（例えば、１０２）に、エンドポイントのアドレス（例えば、ＩＰアドレス、ＩＰプレフィックス、サブネットなど）を提供することと、１つ以上のクラウドサイト（例えば、１０４、１０６）内の各エンドポイントを、各エンドポイントのアドレスに基づいてオンプレミスサイト（例えば、１０２）にプロビジョニングされたシャドウポリシーコンストラクト（例えば、４２６）にマッピングすることと、オンプレミスサイト（例えば、１０２）内のポリシーコンストラクト（例えば、ＥＰＧ１３０）の各エンドポイントを、１つ以上のクラウドサイト（例えば、１０４、１０６）の各々のシャドウポリシーコンストラクト（例えば、４２８）にマッピングすることと、をさらに含むことができる。

【0130】

場合によっては、方法には、マルチクラウドファブリック（例えば、１００）で発見された他のエンドポイントを、適切な正規化されたポリシーコンストラクトにマッピングすることを含み得る。例えば、方法は、クラウドサイト（例えば、１０４または１０６）で新しいエンドポイントを発見することに応答して、オンプレミスサイト（例えば、１０２）に新しいエンドポイントのアドレスを提供することと、新しいエンドポイントのアドレスに基づいて、オンプレミスサイト（例えば、１０２）でプロビジョニングされたシャドウポリシーコンストラクト（例えば、４２６）に新しいエンドポイントをマッピングすることと、を含み得る。このようにして、新しく発見されたエンドポイントをマルチクラウドファブリック（例えば、１００）の関連するポリシーコンストラクトにマッピングして、マルチクラウドファブリック（例えば、１００）にわたって新しく発見されたエンドポイントのポリシーを正規化することができる。エンドポイントのアドレスは動的または動的に割り当てられる場合があるため、そのエンドポイントをホストしているサイトは、オンプレミスサイト（例えば、１０２）などの他のサイトにエンドポイントのアドレスを報告することができ、そのため、エンドポイントのアドレスを使用して、他のサイトで、および／またはマルチクラウドファブリック（例えば、１００）にわたって、エンドポイントを特定のポリシーコンストラクトにマッピングすることができる。

【0131】

いくつかの態様では、方法は、クラウドサイト（例えば、１０４または１０６）内のエンドポイントに関連付けられたセキュリティポリシー（例えば、５０８、５１０）を、クラウドサイト内の複数のデータプレーンルータ（例えば、５０６Ａ～Ｎ）に分散させることを含むことができ、各データプレーンルータは、そのデータプレーンルータにマッピングされたクラウドサイト内のエンドポイントのセットに関連付けられたセキュリティポリシーのそれぞれのサブセットを受信する。方法はまた、クラウドサイト内の複数のデータプレーンルータ（例えば、５０６Ａ～Ｎ）からの各データプレーンルータによって、エンドポイントのセットに関連付けられたルートのそれぞれのセット（例えば、５１２または５１４）を、クラウドサイト（例えば、１０４または１０６）内のプライベートまたは仮想ネットワーク（例えば、１５４Ａ～Ｎまたは１７８Ａ～Ｎ）に関連付けられたトラフィックを処理するように構成された、そのデータプレーンルータまたはそれぞれのルータ（例えば、１５６、１６２、１６６、１８２、１８６、または１９０）にマッピングされたエンドポイントのセットのうちの１つ以上を含むクラウドサイト（例えば、１０４または１０６）内の各プライベートネットワークまたは仮想ネットワーク（例えば、１５４Ａ～Ｎまたは１７８Ａ～Ｎ）にアドバタイズすることを含むことができる。

【0132】

方法はまた、ボーダーゲートウェイプロトコル（ＢＧＰ）ルートマップ（例えば、６０６、６０８）に基づいて、クラウドサイト内の複数のデータプレーンルータ（例えば、５０６Ａ～Ｎ）からの各データプレーンルータが、そのデータプレーンルータにマッピングされていないクラウドサイト内のエンドポイントのものに関連付けられたルートをアドバタイズすることを防止することと、エンドポイントのセットうちの１つ以上に関連付けられたトラフィックを受信することに応答して、エンドポイントのセットうちの１つ以上にマッピングされたデータプレーンルータを介して、エンドポイントのセットに関連付けられたセキュリティポリシーのそれぞれのサブセットのうちの１つ以上を、エンドポイントのセットうちの１つ以上に関連付けられた受信されたトラフィックに適用することと、を含むことができる。

【0133】

次に、本開示は、スイッチ、ルータ、クライアントデバイス、エンドポイント、サーバなどの例示的なネットワークデバイスおよびコンピューティングデバイスを示す図８および９に移る。

【0134】

図８は、スイッチング、ルーティング、および他のネットワーキング操作を実行するのに好適な例示的なネットワークデバイス８００を示す。ネットワークデバイス８００は、中央処理ユニット（ＣＰＵ）８０４、インターフェース８０２、および接続部８１０（例えば、ＰＣＩバス）を含む。適切なソフトウェアまたはファームウェアの制御下で動作する場合、ＣＰＵ８０４は、パケット管理、エラー検出、および／またはルーティング関数を実行する責任を負う。ＣＰＵ８０４は、好ましくは、オペレーティングシステムおよび任意の適切なアプリケーションソフトウェアを含むソフトウェアの制御下でこれら全ての機能を達成する。ＣＰＵ８０４は、マイクロプロセッサのＩＮＴＥＬ Ｘ８６ファミリからのプロセッサなどの１つ以上のプロセッサ８０８を含み得る。場合によっては、プロセッサ８０８は、ネットワークデバイス８００の操作を制御するために特別に設計されたハードウェアであり得る。場合によっては、メモリ８０６（例えば、不揮発性ＲＡＭ、ＲＯＭなど）もまた、ＣＰＵ８０４の一部を形成する。ただし、メモリをシステムに結合することができる多くの異なる方式がある。

【0135】

インターフェース８０２は、通常、モジュラーインターフェースカード（「ラインカード」と称されることもある）として提供される。一般に、それらはネットワークを介したデータパケットの送受信を制御し、ネットワークデバイス８００で使用される他の周辺機器をサポートする場合がある。提供され得るインターフェースの中には、イーサネットインターフェース、フレームリレーインターフェース、ケーブルインターフェース、ＤＳＬインターフェース、トークンリングインターフェースなどがある。加えて、高速トークンリングインターフェース、ワイヤレスインターフェース、イーサネットインターフェース、ギガビットイーサネットインターフェース、ＡＴＭインターフェース、ＨＳＳＩインターフェース、ＰＯＳインターフェース、ＦＤＤＩインターフェース、ＷＩＦＩインターフェース、３Ｇ／４Ｇ／５Ｇセルラーインターフェース、ＣＡＮ ＢＵＳ、ＬｏＲＡなど、様々な非常に高速なインターフェースが提供される場合がある。一般に、これらのインターフェースには、適切な媒体との通信に適したポートが含まれている場合がある。場合によっては、独立したプロセッサと、場合によっては揮発性ＲＡＭも含まれることがある。独立したプロセッサは、パケット交換、媒体制御、信号処理、暗号処理、管理などの通信集約型タスクを制御することができる。通信集約型タスクのために別個のプロセッサを提供することにより、これらのインターフェースは、マスターマイクロプロセッサ８０４がルーティング計算、ネットワーク診断、セキュリティ機能などを効率的に実行することを可能にする。

【0136】

図８に示されるシステムは、本技術の１つの特定のネットワークデバイスであるが、本技術が実装され得る唯一のネットワークデバイスアーキテクチャであることを意味するものではない。例えば、通信ならびにルーティング計算などを処理する単一のプロセッサを備えるアーキテクチャがよく使用される。さらに、他のタイプのインターフェースおよび媒体もまた、ネットワークデバイス８００とともに使用され得る。

【0137】

ネットワークデバイスの構成に関係なく、本明細書で説明するローミング、ルート最適化、およびルーティング関数のための汎用ネットワーク操作およびメカニズムのためのプログラム命令を格納するように構成された１つ以上のメモリまたはメモリモジュール（メモリ８０６を含む）を使用することができる。プログラム命令は、例えば、オペレーティングシステムおよび／または１つ以上のアプリケーションの操作を制御することができる。１つ以上のメモリはまた、モビリティバインディング、登録、および関連付けテーブルなどのテーブルを格納するように構成され得る。メモリ８０６はまた、様々なソフトウェアコンテナおよび仮想化実行環境およびデータを保持することができる。

【0138】

ネットワークデバイス８００はまた、ルーティングおよび／またはスイッチング操作を実行するように構成され得る特定用途向け集積回路（ＡＳＩＣ）８１２を含むことができる。ＡＳＩＣ８１２は、接続部８１０を介してネットワークデバイス８００内の他のコンポーネントと通信して、データおよび信号を交換し、例えば、ルーティング、スイッチング、および／またはデータ格納操作などのネットワークデバイス８００による様々なタイプの操作を連携することができる。

【0139】

図９は、システムのコンポーネントが、バスなどの接続部９０５を使用して互いに電気的に通信するコンピューティングシステムアーキテクチャ９００を示す。例示的なシステム９００は、処理ユニット（ＣＰＵまたはプロセッサ）９１０と、読み出し専用メモリ（ＲＯＭ）９２０およびランダムアクセスメモリ（ＲＡＭ）９２５などのシステムメモリ９１５を含む様々なシステムコンポーネントをプロセッサ９１０に結合するシステム接続部９０５とを含む。システム９００は、プロセッサ９１０に直接接続されているか、近接しているか、またはプロセッサ９１０の一部として統合されている高速メモリのキャッシュを含むことができる。システム９００は、プロセッサ９１０による高速アクセスのために、メモリ９１５および／またはストレージデバイス９３０からキャッシュ９１２にデータをコピーすることができる。このようにして、キャッシュは、データを待機している間のプロセッサ９１０の遅延を回避するパフォーマンス向上を提供することができる。これらおよび他のモジュールは、様々なアクションを実行するために、プロセッサ９１０を制御するか、または制御するように構成され得る。他のシステムメモリ９１５も同様に利用可能であり得る。メモリ９１５は、異なるパフォーマンス特性を有する複数の異なるタイプのメモリを含むことができる。プロセッサ９１０は、任意の汎用プロセッサと、プロセッサ９１０を制御するように構成されたストレージデバイス９３０に格納された第１サービス９３２、第２サービス９３４、および第３サービス９３６のようなハードウェアまたはソフトウェアサービスと、ソフトウェア命令が実際のプロセッサ設計に組み込まれている特別目的プロセッサとを含むことができる。プロセッサ９１０は、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを含む完全に自己完結型のコンピューティングシステムであり得る。マルチコアプロセッサは、対称または非対称であり得る。

【0140】

コンピューティングデバイス９００とのユーザインタラクションを可能にするために、入力デバイス９４５は、スピーチ用のマイクロフォン、ジェスチャまたはグラフィック入力用のタッチセンシティブスクリーン、キーボード、マウス、モーション入力、スピーチなどの任意の数の入力メカニズムを表すことができる。出力デバイス９３５はまた、当業者に既知の一部の出力メカニズムのうちの１つ以上であり得る。場合によっては、マルチモーダルシステムは、ユーザがコンピューティングデバイス９００と通信するために複数のタイプの入力を提供することを可能にし得る。通信インターフェース９４０は、一般に、ユーザ入力およびシステム出力を統治および管理することができる。特定のハードウェア構成での操作に制限はないため、ここでの基本機能は、開発時に改善されたハードウェアまたはファームウェア構成に簡単に置き換えることができる。

【0141】

ストレージデバイス９３０は、不揮発性メモリであり、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ（ＲＡＭ）９２５、読み取り専用メモリ（ＲＯＭ）９２０、およびそれらのハイブリッドなど、コンピュータがアクセス可能なデータを格納することができるハードディスクまたは他のタイプのコンピュータ可読媒体であり得る。

【0142】

ストレージデバイス９３０は、プロセッサ９１０を制御するためのサービス９３２、９３４、９３６を含むことができる。他のハードウェアまたはソフトウェアモジュールが企図される。ストレージデバイス９３０は、システム接続部９０５に接続することができる。一態様では、特定の機能を実行するハードウェアモジュールは、その機能を実行するために、プロセッサ９１０、接続部９０５、出力デバイス９３５などの必要なハードウェアコンポーネントに関連して、コンピュータ可読媒体に格納されたソフトウェアコンポーネントを含むことができる。

【0143】

説明を明確にするために、場合によっては、本技術は、ソフトウェアで具体化される方法におけるデバイス、デバイスコンポーネント、ステップもしくはルーチン、またはハードウェアとソフトウェアの組み合わせを含む機能ブロックを含む個々の機能ブロックを含むものとして提示され得る。

【0144】

いくつかの実施形態では、コンピュータ可読記憶デバイス、媒体、およびメモリは、ビットストリームなどを含むケーブルまたは無線信号を含むことができる。しかしながら、言及される場合、非一時的コンピュータ可読記憶媒体は、エネルギー、搬送波信号、電磁波、および信号自体などの媒体を明示的に除外する。

【0145】

上記の例による方法は、コンピュータ可読媒体に格納されているか、他の場合にはそれから利用可能であるコンピュータ実行可能命令を使用して実装することができる。そのような命令は、例えば、特定の機能または機能のグループを実行するために、汎用コンピュータ、専用コンピュータ、または専用処理デバイスを引き起こすか、あるいは構成する命令およびデータを含むことができる。使用されるコンピュータリソースの部分は、ネットワーク経由でアクセス可能であり得る。コンピュータの実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令であり得る。命令、使用される情報、および／または説明された例による方法中に作成された情報を格納するために使用され得るコンピュータ可読媒体の例には、磁気ディスクまたは光ディスク、フラッシュメモリ、不揮発性メモリを備えたＵＳＢデバイス、ネットワークストレージデバイスなどが含まれる。

【0146】

これらの開示による方法を実装するデバイスは、ハードウェア、ファームウェア、および／またはソフトウェアを含むことができ、様々なフォームファクタのいずれかを取ることができる。このようなフォームファクタの典型的な例には、ラップトップ、スマートフォン、スモールフォームファクタのパーソナルコンピュータ、携帯情報端末、ラックマウントデバイス、スタンドアロンデバイスなどが挙げられる。本明細書で説明される機能はまた、周辺機器またはアドインカードで具体化され得る。このような機能は、さらなる例として、単一のデバイスで実行される異なるチップまたは異なるプロセスの間の回路基板上に実装することもできる。

【0147】

命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、およびそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。

【0148】

添付の特許請求の範囲の範疇の態様を説明するために、様々な例および他の情報を使用したが、当業者であれば、多種多様な実装形態を導出するために、これらの例を使用することができるように、かかる例における特定の特徴または構成に基づいて、特許請求の範囲のいかなる制限も示唆されるべきではない。さらに、一部の主題は、構造的特徴および／または方法ステップの例に固有の言語で記載されている場合があるが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの記載された特徴または行為に限定されないことを理解されたい。例えば、かかる機能は、ここで特定されている構成要素以外の構成要素で、異なって配布し、または実行することができる。むしろ、記載された特徴およびステップは、添付の特許請求の範囲の範疇のシステムおよび方法の構成要素の例として開示される。

【0149】

「少なくとも１つ」のセットと記載される特許請求項の文言は、セットの１つのメンバーまたはセットの複数のメンバーが特許請求項を満たしていることを示す。例えば、「ＡおよびＢのうちの少なくとも１つ」と記載される特許請求項の文言は、Ａ、Ｂ、またはＡおよびＢを意味する。

【図1A】

【図1B】

【図2A】

【図2B】

【図3】

【図4A】

【図4B】

【図5】

【図6】

【図7】

【図8】

【図9】