特表 2024-540761 コンピューティングサービス拡張位置における管理されたレイヤ２接続性のための仮想ネットワークインターフェース

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-11-01

(54)【発明の名称】コンピューティングサービス拡張位置における管理されたレイヤ２接続性のための仮想ネットワークインターフェース

(51)【国際特許分類】

   H04L 41/0895 20220101AFI20241025BHJP

   H04L 61/2592 20220101ALI20241025BHJP

   H04L 41/40 20220101ALI20241025BHJP

   H04L 61/5007 20220101ALI20241025BHJP

   H04L 61/5038 20220101ALI20241025BHJP

【ＦＩ】

H04L41/0895

H04L61/2592

H04L41/40

H04L61/5007

H04L61/5038

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024529745

(86)(22)【出願日】2022-11-15

(85)【翻訳文提出日】2024-05-20

(86)【国際出願番号】 US2022079858

(87)【国際公開番号】W WO2023097150

(87)【国際公開日】2023-06-01

(31)【優先権主張番号】17/537,232

(32)【優先日】2021-11-29

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】507303550

【氏名又は名称】アマゾン・テクノロジーズ・インコーポレーテッド

(74)【代理人】

【識別番号】100098394

【弁理士】

【氏名又は名称】山川 茂樹

(72)【発明者】

【氏名】ストーン，エリック・サミュエル

(72)【発明者】

【氏名】リグオーリ，アンソニー・ニコラス

(72)【発明者】

【氏名】マレン，ジョナサン

(72)【発明者】

【氏名】バー，マシュー・ブラウン

(72)【発明者】

【氏名】ケイディ，スティーブン・アンソニー

(72)【発明者】

【氏名】ロビンソン，スティーヴン・ダグラス

(72)【発明者】

【氏名】アヴラハム，タル

(72)【発明者】

【氏名】クック，タティアナ

(72)【発明者】

【氏名】スビサ，クリント・ジョセフ

(72)【発明者】

【氏名】オストロフスキー，ヴィタリー

(72)【発明者】

【氏名】チョクロン，ジョナサン

(72)【発明者】

【氏名】シーガル，アヴィグドール

(72)【発明者】

【氏名】カトゥルル，アビシェク

(57)【要約】

仮想化コンピューティングサービスの拡張サーバのネットワーキングマネージャは、データリンク層フレームが拡張サーバにおいて取得されたことを検出する。ネットワーキングマネージャは、フレームの宛先メディアアクセスコントロール（ＭＡＣ）アドレスがコンピュートインスタンスにアタッチされたローカルプレミスアクセス仮想ネットワークインターフェースのＭＡＣアドレスと一致すると判定することに応答して、フレームのコンテンツの少なくとも一部を拡張サーバで実行しているコンピュートインスタンスに配信する。ローカルプレミスアクセス仮想ネットワークインターフェースに、仮想化コンピューティングサービスによって管理されるＩＰアドレスの範囲からインターネットプロトコル（ＩＰ）アドレスが割り当てられない。
【選択図】図１

【特許請求の範囲】

【請求項1】

システムであって、前記システムが、
プロバイダネットワークの仮想化コンピューティングサービスのコントロールプレーンサーバであって、前記プロバイダネットワークのデータセンタに位置する、前記コントロールプレーンサーバと、
前記仮想化コンピューティングサービスの拡張サーバのネットワーキングマネージャであって、前記拡張サーバが、前記プロバイダネットワーク外部のプレミスに位置する、前記ネットワーキングマネージャと、を備え、
前記コントロールプレーンサーバが、
クラウドアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスのコンピュートインスタンスにアタッチさせ、前記コンピュートインスタンスが、前記拡張サーバで実行され、前記クラウドアクセス仮想ネットワークインターフェースに、前記仮想化コンピューティングサービスで構成された隔離仮想ネットワークのＩＰアドレスの範囲から、第１のインターネットプロトコル（ＩＰ）アドレスが割り当てられ、
ローカルプレミスアクセス仮想ネットワークインターフェースを前記コンピュートインスタンスにアタッチさせ、前記ローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによって特定のメディアアクセス制御（ＭＡＣ）アドレスが割り当てられ、前記ローカルプレミスアクセス仮想ネットワークインターフェースに、前記隔離仮想ネットワークの前記ネットワークアドレスの範囲からＩＰアドレスが割り当てられないように構成され、
前記ネットワーキングマネージャが、
前記拡張サーバで受信された第１のデータリンク層フレームが、前記仮想化コンピューティングサービスのサブストレートネットワークの仮想ホストネットワークアドレスのセット内の宛先アドレスを有する第１のＩＰパケットを含むと少なくとも判定することに応答して、
前記仮想化コンピューティングサービスのカプセル化プロトコルを利用して、前記第１のＩＰパケットから第２のＩＰパケットを抽出し、
前記第２のＩＰパケットの前記宛先アドレスが前記第１のＩＰアドレスと一致するとの判定に応答して、前記第２のＩＰパケットを前記コンピュートインスタンスに配信し、
前記拡張サーバで受信された第２のデータリンク層フレームの宛先ＭＡＣアドレスが、前記特定のＭＡＣアドレスと一致するとの判定に応答して、前記第２のデータリンク層フレームが、前記第１のＩＰパケットの前記宛先アドレスを有するＩＰパケットを含まず、前記カプセル化プロトコルを利用せずに、前記第２のデータリンク層フレームのコンテンツの少なくとも一部を前記コンピュートインスタンスに配信する、ように構成される、前記システム。

【請求項2】

前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、前記コンピュートインスタンスを起動するための要求を取得するようにさらに構成され、前記ローカルプレミスアクセス仮想ネットワークインターフェースが、前記コンピュートインスタンスを起動するための前記要求に応答して、作成され、かつ前記コンピュートインスタンスにプログラムでアタッチされる、請求項１に記載のシステム。

【請求項3】

前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、前記コンピュートインスタンスを終了するための要求を受信したことに応答して、前記特定のＭＡＣアドレスが再利用可能であるという指示を記憶し、
前記特定のＭＡＣアドレスを別のローカルプレミスアクセス仮想ネットワークインターフェースに割り当て、
前記他のローカルプレミスアクセス仮想ネットワークインターフェースを別のコンピュートインスタンスにプログラムでアタッチするようにさらに構成される、請求項１に記載のシステム。

【請求項4】

前記コントロールプレーンサーバが、
前記コンピュートインスタンスが代わりに起動される前記仮想化コンピューティングサービスのクライアントからプログラムによるインターフェースを介して受信した入力に基づいて、前記特定のＭＡＣアドレスの少なくとも一部を判定するようにさらに構成される、請求項１に記載のシステム。

【請求項5】

前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、（ａ）前記クラウドアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関連するメトリクスの第１のセット、及び（ｂ）前記ローカルプレミスアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関連するメトリクスの第２のセットを提供させるようにさらに構成される、請求項１に記載のシステム。

【請求項6】

コンピュータ実施方法であって、
仮想化コンピューティングサービスのコントロールプレーンサーバによって、第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスの第１のコンピュートインスタンスにアタッチさせることであって、前記コントロールプレーンサーバが、プロバイダネットワークのデータセンタに位置し、前記第１のコンピュートインスタンスが、前記データセンタ外部のプレミスに位置する特定のサーバで実行され、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによって第１のメディアアクセス制御（ＭＡＣ）アドレスが割り当てられる、前記アタッチさせることと、
前記特定のサーバのネットワーキングマネージャによって、前記特定のサーバで受信された第１のデータリンク層フレームが前記特定のサーバに割り当てられた特定の宛先アドレスを有する第１のＩＰパケットを含むと判定することに応答して、
前記仮想化コンピューティングサービスのカプセル化プロトコルを使用して、前記第１のＩＰパケットから第２のＩＰパケットを抽出することと、
前記第２のＩＰパケットを前記第１のコンピュートインスタンスに配信することと、
前記ネットワーキングマネージャによって、前記特定のサーバで受信された第２のデータリンク層フレームの宛先ＭＡＣアドレスが前記第１のＭＡＣアドレスと一致すると判定することに応答して、前記第２のデータリンク層フレームのコンテンツの少なくとも一部を前記第１のコンピュートインスタンスに配信することと、を含む、前記コンピュータ実施方法。

【請求項7】

プログラムによる要求に応答して、前記特定のサーバにおいて前記第１のコンピュートインスタンスを起動する前に、前記コントロールプレーンサーバによって前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを作成することをさらに含む、請求項６に記載のコンピュータ実施方法。

【請求項8】

前記コントロールプレーンサーバにおいてプログラムによるインターフェースを介して、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関して適用されるセキュリティ設定の指示を取得することであって、前記セキュリティ設定が、データリンク層フレームが受け入れられる送信元についての制限を含む、前記取得することと、
前記ネットワーキングマネージャによって、前記セキュリティ設定を施行することであって、前記第２のデータリンク層フレームの前記コンテンツの一部を前記第１のコンピュートインスタンスに配信する前に、前記第２のデータリンク層フレームが受信される送信元が、前記制限に違反しないことを検証することを含む、前記施行することと、をさらに含む請求項６～７のいずれか１項に記載のコンピュータ実施方法。

【請求項9】

プログラムによるインターフェースを介して受信された１つまたは複数の要求に応答して、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスからデタッチさせること、及び前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを第２のコンピュートインスタンスにアタッチさせることと、
前記第１のローカルプレミスアクセス仮想ネットワークインターフェースが前記第２のコンピュートインスタンスにプログラムでアタッチされた後、前記第２のコンピュートインスタンスが実行されるサーバで受信された第３のデータリンク層フレームの宛先ＭＡＣアドレスが前記第１のＭＡＣアドレスと一致すると判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第２のコンピュートインスタンスに配信することと、をさらに含む、請求項６～７のいずれか１項に記載のコンピュータ実施方法。

【請求項10】

前記コントロールプレーンサーバによって、第２のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスにアタッチさせることであって、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに第２のＭＡＣアドレスが割り当てられ、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによってインターネットプロトコル（ＩＰ）アドレスが割り当てられない、前記アタッチさせることと、
前記ネットワーキングマネージャによって、前記第２のＭＡＣアドレスを宛先として有する第３のデータリンク層フレームが前記特定のサーバで受信されたと判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第１のコンピュートインスタンスに配信することと、をさらに含む、請求項６～８のいずれか１項に記載のコンピュータ実施方法。

【請求項11】

非一時的コンピュータアクセス可能記憶媒体であって、プロセッサ上で実行されると、
仮想化コンピューティングサービスの拡張サーバにおけるネットワーキングマネージャによって、第１のデータリンク層フレームが前記拡張サーバにおいて取得されたことを検出し、
前記ネットワーキングマネージャによって、前記第１のデータリンク層フレームの宛先メディアアクセス制御（ＭＡＣ）アドレスが前記第１のコンピュートインスタンスにアタッチされた第１のローカルプレミスアクセス仮想ネットワークインターフェースの特定のＭＡＣアドレスと一致すると判定することに応答して、前記第１のデータリンク層フレームのコンテンツの少なくとも一部を前記拡張サーバ上で実行している第１のコンピュートインスタンスに配信し、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに、前記仮想化コンピューティングサービスによって管理されるＩＰアドレスの範囲からインターネットプロトコル（ＩＰ）アドレスが割り当てられない、プログラム命令を記憶する、前記非一時的コンピュータアクセス可能記憶媒体。

【請求項12】

前記プロセッサ上で実行されると、
プログラムによるインターフェースを介して示されるレート制限に少なくとも一部基づいて、前記第１のコンピュートインスタンスからデータリンク層フレームが送信されるレートを抑制する、さらなるプログラム命令を記憶する、請求項１１に記載の非一時的コンピュータアクセス可能記憶媒体。

【請求項13】

前記プロセッサ上で実行されると、
ブロードキャストデータリンク層フレームが前記拡張サーバで受信されたことを検出することに応答して、前記ネットワーキングマネージャによって、前記ブロードキャストデータリンク層フレームのコンテンツの少なくとも一部を、前記第１のコンピュートインスタンス、及び第２のローカルプレミスアクセス仮想ネットワークインターフェースがプログラムでアタッチされる第２のコンピュートインスタンスを含む、前記拡張サーバの複数のコンピュートインスタンスに配信する、さらなるプログラム命令を記憶する、請求項１１～１２のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【請求項14】

前記プロセッサ上で実行されると、
前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスからデタッチすることに続いて、前記ネットワーキングマネージャによって、前記拡張サーバで受信された第２のデータリンク層フレームのコンテンツが前記第１のコンピュートインスタンスに配信されるべきでないと判定し、前記第２のデータリンク層フレームの宛先ＭＡＣアドレスが前記特定のＭＡＣアドレスと一致する、さらなるプログラム命令を記憶する、請求項１１～１３のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【請求項15】

前記第１のデータリンク層フレームが、アドレス解決プロトコル（ＡＲＰ）、ドメインホスト構成プロトコル（ＤＨＣＰ）、または前記外部サーバが位置するプレミスにおけるローカルネットワーク内で実施されるカスタムデータリンク層アプリケーションのうちの１つに従ってフォーマットされたメッセージを含む、請求項１１～１４のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【発明の詳細な説明】

【背景技術】

【0001】

多くの企業及び他の組織は、（例えば、ローカルネットワークの一部として）同一場所に設置されている、または（例えば、１つもしくは複数のプライベートもしくはパブリック中間ネットワークを介して接続された）複数の別個の地理的位置に位置しているコンピューティングシステムを用いるなどして、自身の業務をサポートする多数のコンピューティングシステムを相互接続するコンピュータネットワークを運用している。例えば、単一の組織によって、及び単一の組織の代わりに運用されるプライベートデータセンタ、ならびに顧客にコンピューティングリソースを提供するための主体によって事業として運用されるパブリックデータセンタなど、著しい数の相互接続されたコンピューティングシステムを収容するデータセンタが、一般的なものとなっている。いくつかのパブリックデータセンタ運用者は、様々な顧客が所有するハードウェアのためのネットワークアクセス、電力、及びセキュアな設置設備を提供し、他のパブリックデータセンタ運用者は、顧客による使用のために利用可能にされたハードウェアリソースも含む「フルサービス」設備を提供する。

【0002】

コモディティハードウェアのための仮想化技術の出現は、多様なニーズを有する多くの顧客のために大規模なコンピューティングリソースを管理することに関して利益をもたらし、様々なコンピューティングリソースを複数の顧客により効率的かつセキュアに共有することが可能となった。例えば、仮想化技術は、単一の仮想化ホストによってホストされる１つまたは複数の「ゲスト」仮想マシンを各ユーザに提供することによって、単一の物理仮想化ホストを複数のユーザ間で共有することを可能にし得る。そのような各仮想マシンは、ユーザに自分が所与のハードウェアコンピューティングリソースの唯一の運用者であると錯覚させる個別の論理コンピューティングシステムとして機能するソフトウェアシミュレーションを表すことがあり、また様々な仮想マシン間にアプリケーション分離及びセキュリティをも提供する。同一ホスト上でいくつかの異なる仮想マシンをインスタンス化することは、データセンタにおける全体的なハードウェア利用レベルの上昇を助けることもあり、投資においてより高いリターンをもたらす。場合によっては、仮想化管理技術及びそれに関連するリソース管理性の利点が、クラウドプロバイダのデータセンタ以外のプレミスに拡張されることがある。

【図面の簡単な説明】

【0003】

【図1】少なくともいくつかの実施形態による、管理されたオープンシステム相互接続モデルのレイヤ２通信に使用されるローカルプレミスアクセス仮想ネットワークインターフェースが、仮想化コンピューティングサービスの拡張サーバにおいて起動されたコンピュートインスタンスにプログラムでアタッチされ得る、システム環境の例を示す。

【図2】少なくともいくつかの実施形態による、論理ネットワークがサブストレートネットワーク上に構成される仮想化コンピューティングサービスにおけるマッピングサービス及びカプセル化プロトコルの使用例を示す。

【図3】少なくともいくつかの実施形態による、コントロールプレーントラフィックがプロバイダネットワークのデータセンタから、仮想化コンピューティングサービスによって管理されるコンピュートインスタンスが起動される外部プレミスまでセキュアに流れることを可能にする、拡張トラフィック仲介デバイスの使用例を示す。

【図4】少なくともいくつかの実施形態による、拡張サーバにおけるコンピュートインスタンスのネットワーク構成例を示す。

【図5】少なくともいくつかの実施形態による、拡張サーバにおける仮想化コンピューティングサービスの別個の隔離仮想ネットワーク内に構成されたコンピュートインスタンスが、ＶＣＳ拡張プレミスにおけるデバイスと通信するためにネットワークケーブルを共有し得る、構成例を示す。

【図6】少なくともいくつかの実施形態による、それぞれのセキュリティ及び性能関連プロパティを有するいくつかのローカルプレミスアクセス仮想ネットワークインターフェースが、仮想化コンピューティングサービスの拡張サーバにおいて構成され得る、構成例を示す。

【図7】少なくともいくつかの実施形態による、ローカルプレミスアクセス仮想ネットワークインターフェースの構成及び使用に関連する、プログラムによるインタラクションの例を示す。

【図8】少なくともいくつかの実施形態による、ローカルプレミスアクセス仮想ネットワークインターフェースを構成及び利用するために実行され得る、動作の態様を示す流れ図である。

【図9】少なくともいくつかの実施形態による、拡張サーバのコンポーネントの例を示す。

【図10】少なくともいくつかの実施形態で使用され得るコンピューティングデバイスの例を示すブロック図である。

【発明を実施するための形態】

【0004】

いくつかの実施形態及び例示の図面の例として実施形態が本明細書中に記載されているが、当業者は、実施形態が、記載された実施形態または図面に限定されないことを認識するであろう。それらについての図面及び詳細な説明は、実施形態を特定の開示される形式に限定することを意図しておらず、逆に、その意図は、添付の特許請求の範囲によって定義される趣旨及び範囲内にある全ての修正物、均等物、及び代替物をカバーすることである。本明細書で使用される見出しは、構成のみを目的としており、説明または請求項の範囲を限定するために使用されることを意味しない。本出願の全体を通じて使用されるように、用語「ｍａｙ」は、必須という意味（即ち、必要であることを意味する）ではなく、許容的な意味（即ち、～する見込みを有することを意味する）において使用される。同様に、用語「ｉｎｃｌｕｄｅ」、「ｉｎｃｌｕｄｉｎｇ」、及び「ｉｎｃｌｕｄｅｓ」は、限定しないが、～を含むことを意味する。特許請求の範囲で使用されるとき、用語「ｏｒ（または）」は、包括のｏｒ（または）として使用され、排他のｏｒ（または）としては使用されない。例えば、句「ｘ、ｙ、またはｚのうちの少なくとも１つ」は、ｘ、ｙ、及びｚのいずれか１つ、ならびにそれらの任意の組み合わせを意味する。特に明記しない限り、「ａ」または「ａｎ」などの冠詞は、概して、本出願全体を通して１つまたは複数の記載された項目を含むと解釈すべきである。したがって、「～するように構成されたデバイス」などの句は、１つまたは複数の列挙されたデバイスを含むことを意図する。そのような１つまたは複数の列挙されたデバイスは、記載された列挙を実行するようにまとめて構成されることもある。例えば、「列挙Ａ、Ｂ、及びＣを実行するように構成されたプロセッサ」は、列挙Ｂ及びＣを実行するように構成された第２のプロセッサと連動して動作する列挙Ａを実行するように構成された第１のプロセッサを含み得る。

【0005】

本開示は、プロバイダネットワークのデータセンタ外部のプレミス及び外部プレミスのローカルデバイスをセットアップして、プロバイダネットワークまたはクラウドコンピューティング環境の仮想化コンピューティングサービス（ＶＣＳ）のコンピュートインスタンス間の管理されたオープンシステム相互接続モデルレイヤ２（ＯＳＩ Ｌ２）通信を可能にするための方法及び装置に関する。このような外部プレミスには、顧客のデータセンタ、製造設備、レストランなどが含まれることがあり、外部プレミスの所有者は、ローカルサーバにおけるＶＣＳコンピュートインスタンス内でアプリケーションを実行することを希望し、また、プレミスに位置する非ＶＣＳデバイス（ＶＣＳによって管理または所有されていないデバイス）とコンピュートインスタンスとの間のＯＳＩ Ｌ２接続を必要とする、アプリケーション及びプロトコルを実施することも希望する。プロバイダネットワークのデータセンタにおけるＶＣＳによってサポートされる様々なタイプの特徴及び機能が外部プレミスに拡張されるため、外部プレミスは、ＶＣＳ拡張プレミスと呼ばれる。ＶＣＳコンピュートインスタンスが外部プレミスで実行されるローカルサーバは、ＶＣＳ拡張サーバまたは「アウトポスト」サーバと呼ばれる。

【0006】

コンピュートインスタンスは、ＶＣＳのコントロールプレーンサーバ（プロバイダネットワークのデータセンタに位置する）と拡張サーバとの間に確立されたセキュアなネットワーク経路を介して送信されるコマンドを使用してセットアップされ得る。複数タイプの仮想ネットワークインターフェース、即ちＶＮＩ（ＶＣＳによって管理され、ＶＣＳによって物理ネットワークインターフェースにマッピングされる論理デバイス）は、クラウドアクセスＶＮＩ（ＣＶＮＩ）及びローカルプレミスアクセスＶＮＩ（ＬＶＮＩ）を含み、ＶＣＳコンピュートインスタンスのためのネットワーク接続を有効にするために使用され得る。ＶＮＩ（「エラスティックネットワークインターフェース」、即ちＥＮＩとも呼ばれ得る）は、ＩＰ（インターネットプロトコル）アドレス及び／またはメッセージの出入りを管理するセキュリティ設定などの様々なネットワーク関連属性を、必ずしも物理ネットワークカードを再構成することなく、コンピュートインスタンス間で容易に転送することを可能にする。このような属性の転送は、コンピュートインスタンスが実行されるホストの特定のハードウェアネットワークインターフェースカード（ＮＩＣ）とは関係なく、ＶＮＩをあるコンピュートインスタンスからプログラムでデタッチし、別のコンピュートインスタンスにプログラムでアタッチすることによって達成され得る。例えば、ＶＣＳクライアントまたは顧客の要求により、ＶＮＩが作成または修正されると、ＶＮＩのプロパティ（ＩＰアドレス、メディアアクセス制御（ＭＡＣ）アドレス、セキュリティルールなど）を示すメタデータが、ＶＣＳの管理コンポーネントによって記憶または更新される。

【0007】

クラウドアクセス仮想ネットワークインターフェイス（ＣＶＮＩ）を拡張サーバのコンピュートインスタンスにプログラムでアタッチすることによって、コンピュートインスタンスは、クライアントに代わってＶＣＳ内に確立された、隔離仮想ネットワーク（ＩＶＮ）内のＩＰ（インターネットプロトコル）アドレスで構成され得る。ＣＶＮＩの使用の結果、拡張サーバにおいて実行されているコンピュートインスタンスは、他のプロバイダネットワークリソース（例えば、プロバイダネットワークデータセンタ内の仮想化サーバにおいて実施された他のコンピュートインスタンス、ストレージサービス、データベースサービスなどの他のプロバイダネットワークサービスの中のリソースなど）に対して、コンピュートインスタンスがプロバイダネットワークのデータセンタで起動されている場合に提供される接続と同等の接続を提供している。ＶＣＳコントロールプレーンを使用して管理されるＯＳＩ Ｌ２接続を提供するために、ローカルプレミスアクセス仮想ネットワークインターフェース（ＬＶＮＩ）と呼ばれる第２のタイプの仮想ネットワークインターフェースもまた、拡張サーバのコンピュートインスタンスにプログラムでアタッチされ得る。ＭＡＣアドレスは、ＶＣＳコントロールプレーンによってＬＶＮＩに割り当てられ、このアドレスは、ルータまたはゲートウェイなどの仲介ネットワーキングデバイスを必要とすることなく、コンピュートインスタンスと顧客がセットアップしたオンプレミスネットワーク内のデバイスとの間の双方向ＯＳＩ Ｌ２通信（必要に応じてブロードキャストを含む）に利用され得る。ＬＶＮＩ及びＣＶＮＩの組み合わせを使用することによって、ＶＣＳ拡張サーバにおいてセットアップされたコンピュートインスタンスは、したがって、ローカルオンプレミスリソース（ＯＳＩ Ｌ２経由）及びクラウドベースリソース（ＩＰ経由）に同じくらい容易にアクセスすることができ、オンプレミスリソースの管理者は、ローカルトラフィック用の仲介ネットワーキングデバイスを構成または管理する苦労をしなくてもよい。

【0008】

当業者が本開示に照らして理解するように、ある実施形態は、（ａ）拡張サーバ上のＶＣＳコンピュートインスタンスで実行されているプログラムが、プロバイダネットワークのデータセンタリソースへの完全な接続を依然として維持しながら、拡張プレミスのゲートウェイまたはルータなどの仲介デバイスを構成する必要なく、拡張プレミスにおけるＯＳＩレイヤ２で実行されているアプリケーション及びプロトコルに関与することを可能にすること、ならびに（ｂ）例えば、共通のツールセットを使用して、クラウドアクセス仮想ネットワークインターフェース及びローカルプレミスアクセス仮想ネットワークインターフェースの両方の構成及び管理を可能にすることによって、拡張プレミスのローカルネットワーク管理者のユーザエクスペリエンスを向上させること、のいくつかまたは全てを含む様々な利点を実現することが可能であり得る。

【0009】

いくつかの実施形態によれば、システムは、プロバイダネットワークの仮想化コンピューティングサービス（ＶＣＳ）の１つまたは複数のコントロールプレーンサーバ（ＣＰＳ）と、ＶＣＳの拡張サーバ（ＥＳ）において実行しているネットワーキングマネージャと、を含み得る。ＣＰＳは、プロバイダネットワークの１つまたは複数のデータセンタ内に位置してもよく、ＥＳは、ＶＣＳ拡張プレミスと呼ばれる、プロバイダネットワークのデータセンタ外部のプレミスに位置してもよい。ＣＰＳは、様々な実施形態において、ＥＳで実行しているＶＣＳのコンピュートインスタンス（例えば、仮想マシン）に少なくとも１対の仮想ネットワークインターフェース（ＶＮＩ）をプログラムでアタッチさせ得る。プログラムによるアタッチのプロセスは、少なくともいくつかの実施形態では、ＣＰＳからＥＳのローカル管理コンポーネントにコマンドまたは要求を送信することを伴い得る。クラウドアクセスＶＮＩ即ちＣＶＮＩと呼ばれるＶＮＩの１つに、その要求に応じて拡張サーバが構成されるＶＣＳクライアントに代わって、ＶＣＳにおいて構成された隔離仮想ネットワーク（ＩＶＮ）のＩＰアドレス範囲からＩＰアドレスが割り当てられてもよく、コンピュートインスタンス、ストレージサービスのストレージサーバ、データベースサービスのデータベースサーバなどの、プロバイダネットワークのデータセンタのリソースとの通信に主に利用されてもよい。ＩＶＮ（仮想プライベートクラウドとも呼ばれる）は、所与のＶＣＳクライアントに割り当てられたネットワーク化リソース（例えば、コンピュートインスタンスを含む）の集合体を含んでもよく、それらは、他の隔離仮想ネットワーク内の他のクライアントに割り当てられたリソースから論理的に隔離されている（かつデフォルトではアクセスできない）。ＩＶＮが代わりに確立されるクライアントは、ＩＶＮのリソースのためのネットワーク構成に関して大幅な柔軟性が付与される場合がある。例えば、コンピュートインスタンスについてのプライベートＩＰアドレスは、他のＩＶＮ内の他のリソースに同一のＩＰアドレスが割り当てられている可能性、クライアントの選択のサブネットがＩＶＮ内で確立され得る可能性、ＩＶＮに関する着信トラフィック及び発信トラフィックのためにクライアントによってセキュリティルールがセットアップされ得る可能性などを考慮する必要なしに、クライアントによって選択されてもよい。少なくともいくつかの実施形態では、ＣＶＮＩには、クライアントによって選択されたプライベートＩＰアドレス範囲内からアドレスが割り当てられてもよい。ＣＶＮＩとは対照的に、ローカルプレミスアクセスＶＮＩ（ＬＶＮＩ）または単にローカルＶＮＩと呼ばれる、コンピュートインスタンスにプログラムでアタッチされる第２のＶＮＩには、ＩＶＮのＩＰアドレスが割り当てられないことがある。ＣＰＳは、メディアアクセス制御（ＭＡＣ）アドレスをＬＶＮＩに割り当ててもよく、これは、様々な実施形態において、拡張プレミスにおいて非ＶＣＳデバイスとのＯＳＩデータリンク層（レイヤ２）通信のための送信元アドレスまたは宛先アドレスとして使用されてもよい。

【0010】

拡張サーバのネットワーキングマネージャ（例えば、仮想化管理ソフトウェアの一部として、及び／または拡張サーバの仮想化管理オフロードハードウェアカードにおいて実施され得る）は、様々な実施形態において、拡張サーバで受信されたデータリンク層フレームまたはメッセージにどのように応答するかを判定する役割をし得る。いくつかの実施形態では、プロバイダネットワークデータセンタ内のＶＣＳ仮想化サーバにサブストレートアドレスが割り当てられるのと同様に、拡張サーバには、ＶＣＳのサブストレートネットワークまたは基礎となる物理ネットワーク内からＩＰアドレスが割り当てられ得る。拡張サーバで受信されたデータリンク層フレームが、宛先アドレスとしてサブストレートアドレスを有する第１のＩＰパケットを含むとの判定に応答して、ネットワーキングマネージャは、ＶＣＳのカプセル化プロトコルを利用して、第１のＩＰパケットから第２のＩＰパケットを抽出し得る。抽出されたＩＰパケットの宛先アドレスが、拡張サーバで起動されたコンピュートインスタンスのＣＶＮＩに割り当てられたＩＰアドレスと一致する場合（そのようなコンピュートインスタンスが複数存在することがあり、それらの１つより多くにＣＶＮＩがアタッチされていることがあることに留意されたい）、抽出されたＩＰパケットは、様々な実施形態においてネットワーキングマネージャによってそのコンピュートインスタンスに配信され得る。

【0011】

対照的に、受信したデータリンク層フレームが、サブストレート宛先アドレスを有するＩＰパケットを含まない場合、ネットワーキングマネージャは、受信したフレームの宛先ＭＡＣアドレスが、拡張サーバで実行しているコンピュートインスタンスのいずれかのＬＶＮＩに割り当てられたＭＡＣアドレスと一致するかどうかを判定しようとしてもよく、カプセル化プロトコルは、使用されなくてもよい。一致するＭＡＣアドレスを有するＬＶＮＩが見つかった場合、ネットワーキングマネージャは、様々な実施形態において、受信したフレームのコンテンツの少なくとも一部を、そのＬＶＮＩがアタッチされているコンピュートインスタンスに配信し得る。受信したフレームが（特別な宛先ＭＡＣアドレスを有する）ブロードキャストフレームである場合もあってもよく、その場合、少なくともいくつかの実施形態では、ネットワーキングマネージャは、受信したフレームのコンテンツを、（ａ）拡張サーバにおいて実行されている、（ｂ）ＬＶＮＩがアタッチされている、かつ（ｃ）Ｌ２ブロードキャストフレームを受け入れるように構成されている、０個以上のコンピュートインスタンスのそれぞれに配信し得る（いくつかの実施形態では、１つまたは複数のコンピュートインスタンスまたはそれらにアタッチされたＬＶＮＩへのブロードキャストフレームの配信を防ぐための構成設定が使用され得ることに留意されたい）。

【0012】

いくつかの実施形態では、ＬＶＮＩは、コンピュートインスタンスの起動要求に応答して実行されるワークフローの一部として、拡張サーバのコンピュートインスタンスにアタッチされ得る。他の実施形態では、（例えば、最終的にプログラムでアタッチされるコンピュートインスタンスの起動に先立って）ＬＶＮＩを作成するため、及び／またはＬＶＮＩを指定されたコンピュートインスタンスにプログラムでアタッチするために、別個のプログラムによる要求が、ＶＣＳクライアントによってサブミットされてもよい。同様に、いくつかの実施形態では、ＣＶＮＩは、起動ワークフローの一部としてコンピュートインスタンスに自動的にアタッチされてもよいが、少なくともいくつかの実施形態では、ＣＶＮＩを作成及び／またはそれらをアタッチするためにも、プログラムによる要求がサブミットされてもよい。

【0013】

少なくとも一実施形態では、ＶＣＳは、ＭＡＣアドレスのプールを維持し、そこから個々のＭＡＣアドレスがＬＶＮＩに割り当てられ、そこに、廃止されるＬＶＮＩのＭＡＣアドレスが再利用のために返される。いくつかの実施形態では、デフォルトで、ＬＶＮＩは、それがアタッチされていたコンピュートインスタンスが実行を終了するときに削除または廃止されてもよく、ＬＶＮＩのＭＡＣアドレスが再利用可能であるという指示が、コンピュートインスタンスを終了するための要求が受信されると（またはコンピュートインスタンスがエラーもしくは障害などの他の理由で終了すると）、ＶＣＳコントロールプレーンに記憶されてもよい。このようなＭＡＣアドレスは、例えば、そのＬＶＮＩを別のコンピュートインスタンスにプログラムでアタッチする前に、ＶＣＳコントロールプレーンによって後で別のＬＶＮＩに再割り当てされてもよい。一実施形態では、ＶＣＳクライアントは、指定されたプロパティを満たす（例えば、クライアントによって示される、指定された部分文字列と一致する）ＭＡＣアドレスが、クライアントのコンピュートインスタンスにアタッチされるべきＬＶＮＩに使用されることを要求してもよい。ＶＣＳが、ＶＣＳが使用を許可されているＭＡＣアドレスのセットの中からクライアントの要求を満たすＭＡＣアドレスを識別できる場合、そのＭＡＣアドレスが使用されてもよい。このようにして、ＶＣＳクライアントは、少なくともいくつかの場合に、クライアントのＬＶＮＩに利用されるＭＡＣアドレスに影響を与えることができる場合がある。

【0014】

少なくともいくつかの実施形態によれば、ＶＣＳは、所与のコンピュートインスタンスにアタッチされたＶＮＩごとにそれぞれのメトリクスのセットを収集し、プログラムによるインターフェースを介してＬＶＮＩメトリクス及びＣＶＮＩメトリクスを（必要に応じて）別々に、ＶＮＩが代わりに使用されているクライアントに提供し得る。このようなメトリクスは、異なる実施形態では、例えば、それぞれのＶＮＩを使用して受信／送信されたメッセージの合計数、受信／送信された合計バイト数、異なるＩＰアドレス及び／またはＭＡＣアドレス間でのインバウンド／アウトバウンドトラフィックの分布などを含み得る。少なくともいくつかの実施形態では、クライアントは、プログラムによる要求を使用して、クライアントのＬＶＮＩに割り当てられたＭＡＣアドレスを取得し得る。

【0015】

様々な実施形態において、ＬＶＮＩに関連付けられたデータリンク層トラフィックは、拡張サーバをオンプレミスネットワークスイッチ（拡張プレミスにおいてセットアップされ、ＶＣＳではなくクライアントによって管理される、物理ネットワークの一部）にリンクする物理ケーブル（例えば、イーサネットケーブル）を介して送信され得る。オンプレミスネットワークにおいて構成された他のデバイスは、ＯＳＩ Ｌ２フレームを使用してＬＶＮＩがアタッチされているコンピュートインスタンスと通信してもよく、例えば、異なる実施形態では、モノのインターネット（ＩｏＴ）デバイス、産業オートメーションデバイス（例えば、製造設備において自動化されたタスクのパイプラインを実施するコンポーネント）、拡張サーバが代理として構成されるＶＣＳクライアントによって所有／管理されるサーバなどを含んでもよい。ＶＣＳクライアントは、様々な実施形態において、ＬＶＮＩに関連付けられたトラフィックのためにセキュリティ設定（例えば、ＶＬＡＮ（仮想ローカルエリアネットワーク）識別子またはタグを使用して表現されて、ローカルプレミスＯＳＩレイヤ２トラフィックのＶＬＡＮベースのセグメント化を可能にし得る、フレームが受信され得る送信元またはフレームが送信され得る宛先についての制限）を指定してもよく、ネットワーキングマネージャは、拡張サーバで受信される、または拡張サーバから送信されるデータリンク層フレームの配置を判定するときに、そのようなセキュリティ設定を適用してもよい。

【0016】

ＬＶＮＩ（及び／またはＣＶＮＩ）は、様々な実施形態において、ＭＡＣアドレス及び／またはＩＰアドレスなどのプロパティを保持しながら、コンピュートインスタンスからプログラムによりデタッチされ、異なるコンピュートインスタンスに再アタッチされ得る。以前にアタッチされていたコンピュートインスタンスＣｌ１からのデタッチ後にＬＶＮＩがアタッチされるコンピュートインスタンスＣｌ２は、同じ拡張サーバまたは異なる拡張サーバにおいて実行され得る。少なくともいくつかの実施形態では、Ｃｌ２は、Ｃｌ１とは異なるＩＶＮの一部として（例えば、そのＣＶＮＩを介して）構成され得る。いくつかの実施形態では、複数のＬＶＮＩ（及び／またはＣＶＮＩ）が、所与のコンピュートインスタンスにアタッチされてもよい。例えば、そのコンピュートインスタンスが実行されている拡張サーバのネットワークマネージャによるローカルプレミスＯＳＩレイヤ２トラフィックのセグメント化を容易にするために、複数のＬＶＮＩが所与のコンピュートインスタンスにアタッチされてもよく、例えば、異なるＶＬＡＮ識別子／タグに関連付けられたメッセージが、それぞれのＬＶＮＩを使用してハンドリングされてもよい。所与のＭＡＣアドレスを有するＬＶＮＩがコンピュートインスタンスからデタッチされた後、ネットワーキングマネージャは、様々な実施形態において、宛先として指示されたそのＭＡＣアドレスを有するフレームをもはやそのコンピュートインスタンスに配信できないことがある。ＬＶＮＩのＭＡＣアドレスを使用して送信／受信されるＯＳＩ Ｌ２メッセージは、いくつかの実施形態では、特に、アドレス解決プロトコル（ＡＲＰ）、ドメインホスト構成プロトコル（ＤＨＣＰ）、または拡張プレミスのローカルネットワーク内で実施されたカスタムデータリンク層アプリケーションのメッセージを含み得る。

【0017】

少なくともいくつかの実施形態では、ＶＣＳは、プロバイダネットワークまたはクラウドコンピューティング環境の一連のサービスの１つとして実施されてもよい。クラウドプロバイダネットワーク（単に「クラウド」と呼ばれることもある）は、ネットワークアクセス可能なコンピューティングリソース（計算、ストレージ、及びネットワーキングリソース、アプリケーション、ならびにサービスなど）のプールを指し、これらは仮想化され、またはベアメタルであってもよい。クラウドは、顧客のコマンドに応答して、プログラムでプロビジョニング及びリリースされ得る構成可能なコンピューティングリソースの共有プールへの便利なオンデマンドネットワークアクセスを提供し得る。これらのリソースは、変動する負荷に合わせて調整されるように、動的にプロビジョニングされ、再構成され得る。したがって、クラウドコンピューティングは、公衆アクセス可能なネットワーク（例えば、インターネットまたはセルラ通信ネットワーク）を経てサービスとして配信されるアプリケーション、ならびにそれらのサービスを提供するクラウドプロバイダデータセンタ内のハードウェア及びソフトウェアの両方と見なされ得る。

【0018】

クラウドプロバイダネットワークは、いくつかのリージョンとして形成されてもよく、ここで、リージョンとは、クラウドプロバイダがデータセンタをクラスタ化する別個の地理的領域である。このようなリージョンは、その境界が国、州などの境界と必ずしも一致しないことがあるため、プロバイダネットワークで定義されたリージョンとも呼ばれることもある。各リージョンは、プライベート高速ネットワーク、例えば、ファイバ通信接続を介して相互に接続された２つ以上のアベイラビリティゾーンを含み得る。アベイラビリティゾーン（アベイラビリティドメイン、または単に「ゾーン」とも呼ばれる）は、別のアベイラビリティゾーンとは別個の電源、別個のネットワーク、及び別個の冷却を有する１つまたは複数のデータセンタ設備を含む、分離された障害ドメインを指す。データセンタとは、クラウドプロバイダネットワークのサーバを収容しそれに電力と冷却を提供する物理的な建物または筐体を指す。リージョン内のアベイラビリティゾーンは、同じ自然災害が同時に１つより多くのアベイラビリティゾーンをオフラインにしないように、互いに十分離れて配置されることが好ましい。顧客は、トランジットセンタ（ＴＣ）経由で、公衆アクセス可能なネットワーク（例えば、インターネット、セルラ通信ネットワーク）を介して、クラウドプロバイダネットワークのアベイラビリティゾーンに接続し得る。ＴＣは、顧客をクラウドプロバイダネットワークにリンクする主要なバックボーンロケーションと見なされることができ、他のネットワークプロバイダ設備（例えば、インターネットサービスプロバイダ、電気通信プロバイダ）に配置され、（例えばＶＰＮまたは直接接続を介して）アベイラビリティゾーンにセキュアに接続され得る。各リージョンは、冗長性のために２つ以上のＴＣを運用し得る。リージョンは、各リージョンを少なくとも１つの他のリージョンに接続するグローバルネットワークに接続されている。クラウドプロバイダネットワークは、エッジロケーション及びリージョンのエッジキャッシュサーバ（ポイントオブプレゼンス、即ちＰｏＰ）を経て、これらのリージョンの外部にあるが、これらのリージョンとネットワーク化されているポイントオブプレゼンスからコンテンツを配信し得る。コンピューティングハードウェアのこの区分化及び地理的分散により、クラウドプロバイダネットワークは、高度のフォールトトレランス及び安定性を有する地球規模の低レイテンシリソースアクセスを顧客に提供することが可能となる。

【0019】

クラウドプロバイダネットワークは、仮想化コンピュートサービス（ＶＣＳ）、データ処理サービス（複数可）（例えば、マップリデュース、データフロー、及び／または他の大規模データ処理技術）、データストレージサービス（例えば、オブジェクトストレージサービス、ブロックベースストレージサービス、またはデータウェアハウスストレージサービス）、ネットワーク機能仮想化サービスまたはパケット処理サービス、及び／または任意の他のタイプのネットワークベースサービス（様々な他のタイプのストレージ、処理、分析、通信、イベントハンドリング、視覚化、及びセキュリティサービスを含み得る）に加えて含み得る、様々なコンピューティングリソースまたはサービスを実施し得る。このようなサービスの運用をサポートするために必要なリソース（例えば、計算リソース及びストレージリソース）は、クラウドプロバイダネットワークのユーザによって要求され、ユーザアカウントでプロビジョニングされ得るリソースとは対照的に、クラウドプロバイダに関連付けられたアカウントでプロビジョニングされ得る。

【0020】

様々なネットワークアクセス可能なサービスは、異なる実施形態においてプロバイダネットワークの１つまたは複数のデータセンタにおいて実施され得る。ネットワークアクセス可能なコンピューティングサービスは、エラスティックコンピュートクラウドサービス（様々な実施態様では、エラスティックコンピュートサービス、仮想マシンサービス、コンピューティングクラウドサービス、コンピュートエンジン、またはクラウドコンピュートサービスと呼ばれる）が含まれ得る。このサービスは、変化する計算リソース及び／またはメモリリソースを有するコンピュートインスタンス（ゲスト仮想マシン、または単に「インスタンス」とも呼ばれる）を供給してもよく、これらは、コンピュート仮想化サービス（様々な実施態様では、エラスティックコンピュートサービス、仮想マシンサービス、コンピューティングクラウドサービス、コンピュートエンジン、またはクラウドコンピュートサービスと呼ばれる）によって管理される。一実施形態では、仮想コンピュートインスタンスのそれぞれが、いくつかのインスタンスタイプまたはファミリーのうちの１つに対応し得る。インスタンスタイプは、そのハードウェアタイプ、計算リソース（例えば、仮想化中央処理装置（ＶＣＰＵまたはＶＣＰＵコア）の数、タイプ、及び構成）、メモリリソース（例えば、ローカルメモリの容量、タイプ、及び構成）、ストレージリソース（例えば、ローカルにアクセス可能なストレージの容量、タイプ、及び構成）、ネットワークリソース（例えば、そのネットワークインターフェース及び／またはネットワークケイパビリティの特性）、ハードウェアアクセラレータリソース及び／または他の適当な記述的特性（ベースライン性能保証及びそのベースライン上で定期的にバーストする能力を有する「バースト可能」インスタンスタイプ、または固定量のリソースが割り当てられ、かつ保証されるバースト不可能もしくは専用インスタンスタイプなど）によって特徴付けられ得る。各インスタンスタイプは、特定の比率の処理、ローカルストレージ、メモリ、及びネットワークリソースを有してもよく、異なるインスタンスファミリは、異なるタイプのこれらのリソースも有することがある。所与のインスタンスタイプ内で、複数サイズのこれらのリソース構成が利用可能であり得る。インスタンスタイプ選択機能を使用して、例えば顧客からの入力に（少なくとも部分的に）基づいて、顧客のためにインスタンスタイプを選択し得る。例えば、顧客は、事前定義されたインスタンスタイプのセットからインスタンスタイプを選択することができる。別の例として、顧客は、インスタンスタイプの所望のリソース及び／またはインスタンスが実行されるワークロードの要件を指定してもよく、インスタンスタイプ選択機能が、そのような指定に基づいてインスタンスタイプを選択してもよい。要求されたインスタンスタイプに適したホストは、収集されたネットワーク性能メトリクス、異なる利用可能なホストにおけるリソース使用率レベルなどの要因に少なくとも部分的に基づいて選択され得る。いくつかの実施形態では、クライアントからのプログラムによる要求に応答して、いくつかの異なるインスタンスタイプのインスタンスが、拡張プレミスにおいて（例えば、ＬＶＮＩがアタッチされて）起動され得る。

【0021】

プロバイダネットワークのコンピューティングサービスは、コンテナオーケストレーション及び管理サービス（様々な実施態様では、コンテナサービス、クラウドコンテナサービス、コンテナエンジン、またはコンテナクラウドサービスと呼ばれる）も含み得る。コンテナは、アプリケーションが実行されるコンピューティング環境からアプリケーションを抽象化する、ソフトウェアアプリケーションの論理パッケージ化を表す。例えば、ソフトウェアアプリケーションのコンテナ化バージョンは、ソフトウェアコード及びそのコードによって使用される依存関係を含み、それによってアプリケーションは、適当なコンテナエンジン（例えば、Ｄｏｃｋｅｒ（登録商標）またはＫｕｂｅｒｎｅｔｅｓ（登録商標）コンテナエンジン）をホストする任意のインフラストラクチャ上で一貫して実行され得る。コンピュータシステム全体をエミュレートする仮想マシン（ＶＭ）と比較して、コンテナは、オペレーティングシステムレベルで仮想化し、よって、典型的には、ホストコンピューティングシステム上でアプリケーションを実行するためのより軽量なパッケージを表す。既存のソフトウェアアプリケーションは、ソフトウェアアプリケーションを適切な方法でパッケージ化すること、及びアプリケーションをコンテナエンジンで実行可能にするために使用される他のアーティファクト（例えば、コンテナイメージ、コンテナファイル、またはその他の構成）を生成することによって、「コンテナ化」され得る。いくつかの実施態様では、コンテナエンジンは、仮想マシンインスタンス上で実行可能であり、仮想マシンインスタンスは、説明されたネットワーク性能メトリクスに少なくとも部分的に基づいて選択される。いくつかの実施形態では、パケット処理サービス、データベースサービス、ワイドエリアネットワーキング（ＷＡＮ）サービスなどの他のタイプのネットワークアクセス可能なサービスも、クラウドプロバイダネットワークにおいて実施され得る。

【0022】

クラウドプロバイダネットワークのトラフィック及び動作は、様々な実施形態において、論理コントロールプレーン上で行われるコントロールプレーン動作、及び論理データプレーン上で行われるデータプレーン動作という２つのカテゴリに大まかに細分され得る。データプレーンは、分散コンピューティングシステムを通したユーザデータの移動を表し、コントロールプレーンは、分散コンピューティングシステムを通した制御信号の移動を表す。コントロールプレーンは、概して、１つまたは複数の制御サーバにわたって分散され、１つまたは複数の制御サーバによって実施される、１つまたは複数のコントロールプレーンコンポーネントを含む。コントロールプレーントラフィックは、概して、システム構成及び管理（例えば、リソース配置、ハードウェア容量管理、診断モニタリング、またはシステム状態情報）などの管理動作を含む。データプレーンは、クラウドプロバイダネットワーク上に実施される顧客リソース（例えば、コンピューティングインスタンス、コンテナ、ブロックストレージボリューム、データベース、またはファイルストレージ）を含む。データプレーントラフィックは、概して、顧客リソースへ、及び顧客リソースからの顧客データの転送などの、非管理動作を含む。あるコントロールプレーンコンポーネント（例えば、仮想化コンピューティングサービス用のコントロールプレーンなどのティア１コントロールプレーンコンポーネント）は、典型的には、データプレーンサーバとは別のサーバのセット上で実施されるが、他のコントロールプレーンコンポーネント（例えば、分析サービスなどのティア２コントロールプレーンコンポーネント）は、仮想化サーバをデータプレーンと共有してもよく、コントロールプレーントラフィック及びデータプレーントラフィックは、別の／別個のネットワークを経て送信されてもよい。

【0023】

図１は、少なくともいくつかの実施形態による、管理されたオープンシステム相互接続モデルのレイヤ２通信に使用されるローカルプレミスアクセス仮想ネットワークインターフェースが、仮想化コンピューティングサービスの拡張サーバにおいて起動されたコンピュートインスタンスにプログラムでアタッチされ得る、システム環境の例を示す。図示するように、システム１００は、プロバイダネットワーク１０１の仮想化コンピューティングサービス（ＶＣＳ）１１０のリソース及びアーティファクトを含む。ＶＣＳ１１０は、例えば、コンピュートインスタンス１３０を起動、終了、または再構成するための要求を含む、クライアントデバイス１８５（ラップトップ、デスクトップ、モバイルコンピューティングデバイスなど）からのプログラムによる要求をサブミットするためにクライアントによって使用され得る、１つまたは複数のプログラムによるインターフェース１８８を実施し得る。プログラムによるインターフェース１８８は、例えば、１つまたは複数のウェブベースコンソール、コマンドラインツール、グラフィカルユーザインターフェース、ＡＰＩなどを含み得る。ＶＣＳクライアントによってサブミットされた要求は、ＶＣＳのコントロールプレーンサーバ１１１のセットに向けられ、これにより、対応する内部要求またはコマンドがＶＣＳの様々な他のコンポーネントで実施され得る。

【0024】

図１に示される実施形態では、様々なハードウェアサーバが、ＶＣＳクライアントに代わってコンピュートインスタンス１３０をセットアップするために使用され得る。ＶＣＳ１１０の運用者は、例えば、仮想化サーバ（ＶＳ）１２５Ａ、１２５Ｂ、及び１２５Ｃを含む、プロバイダネットワーク１０１の１つまたは複数のデータセンタに、様々なカテゴリの標準化されたサーバを含むラックをセットアップしてもよい。ＣＩ１３０Ａ、１３０Ｂ、１３０Ｃ、１３０Ｄ、１３０Ｅ、または１３０Ｃなどの様々なカテゴリのコンピュートインスタンス（ＣＩ）が、コントロールプレーンにサブミットされたクライアント要求に応答してデータセンタのサーバで起動され得る。基盤となる仮想化サーバのケイパビリティが互いに異なる場合があるのと同様に、異なるセットのサーバで起動されるコンピュートインスタンスもケイパビリティが異なることがある。例えば、ＣＩ１３０Ａは、計算集約型アプリケーション向けに最適化され得るが、ＣＩ１３０Ｂ及び１３０Ｃは、ストレージ集約型タスク向けに最適化されてもよい。

【0025】

クライアントがプロバイダネットワークデータセンタでコンピュートインスタンスを取得及び使用できるようにすることに加えて、ＶＣＳ１１０は、様々な実施形態において、クライアントがプロバイダネットワーク外部のプレミスでコンピュートインスタンスを要求することも可能にし得る。例えば、図示した実施形態では、プレミス１２１を所有／管理するクライアント（Ｃ２）からの要求に応答して、ＶＣＳの論理拡張が、クライアントプレミス１２１にセットアップされてもよい。したがって、クライアントプレミスは、いくつかの実施形態では、ＶＣＳ拡張プレミスと呼ばれ得る。ＶＣＳ拡張リソースグループ（ＥＲＧ）１２２と呼ばれるＶＣＳ管理リソースのグループが、クライアントプレミス１２１において構成され得る。ＥＲＧ１２２は、図示した実施形態では、ＥＳ１２７などの１つまたは複数のＶＣＳ拡張サーバ（ＥＳ）を含み得る。所与のＥＳは、図示した実施形態では、０個以上のコンピュートインスタンス（ＣＩ１３０Ｋなど）だけでなく、ネットワーキングマネージャ１５５ならびにＶＣＳコントロールプレーンからのコマンドに対する応答を受信及び調整するＥＳ構成マネージャ１５４などの様々な管理コンポーネントを含み得る。

【0026】

ＶＣＳコントロールプレーンで受信されたクライアント要求に応答してコンピュートインスタンスがＶＳ１２５で起動され得るのと同様に、コンピュートインスタンスは、図示した実施形態では、コントロールプレーンと拡張サーバとの間に確立されたセキュアな通信チャネルを介してＶＣＳ拡張サーバで起動され得る。さらに、ＶＣＳコントロールプレーンサーバは、０個以上の仮想ネットワークインターフェース（ＶＮＩ）をＣＩ１３０Ｋなどのコンピュートインスタンスにアタッチさせてもよい。ＶＮＩは、様々な実施形態において、コンピュートインスタンスが実行されているサーバの物理ネットワーキングデバイス（ネットワークインターフェースカード、即ちＮＩＣなど）の設定を修正しなくてもコンピュートインスタンスとの関連付け／関連付け解除が行われ得る、ネットワーク関連プロパティ（例えば、ＩＰアドレス、ＭＡＣアドレス、インバウンド／アウトバウンドトラフィックのためのセキュリティルールなど）のセットを示す、ＶＣＳコントロールプレーンに記憶されたメタデータエントリのセットとして表されてもよい。

【0027】

ＶＣＳ１１０は、サブストレートネットワークとも呼ばれる物理ネットワーク１１５を含んでもよく、物理ネットワーク１１５には、図示した実施形態では仮想化サーバが接続され得る。リンク１１１Ａ、１１１Ｂ、及び１１１Ｃは、ＶＳとサブストレートネットワーク１１５との間の物理接続を示す。図示した実施形態では、ＥＳ１２７などの拡張サーバにサブストレートネットワークアドレスを関連付けるために、トンネリングベース技術が使用されてもよく、この関連付けは、直線１１７で表される。したがって、ＶＣＳ拡張サーバは、事実上サブストレートネットワーク１１５に統合され得る。

【0028】

図１に示す実施形態では、物理インフラストラクチャとしてサブストレートネットワーク１１５を使用して、論理ネットワーク１１６Ａまたは１１６Ｂなどの、論理ネットワークのセットが構成され得る。論理ネットワークの例は、少なくともいくつかの実施形態では、ＶＣＳクライアントに代わって確立される隔離仮想ネットワーク（ＩＶＮ）を含み得る。例えば、図１に示されるシナリオでは、論理ネットワーク１１６ＡはクライアントＣ１のＩＶＮを含み得るが、論理ネットワーク１１６ＢはクライアントＣ２のＩＶＮを含み得る。図示した実施形態では、ネットワークアドレスが割り当てられるクラウドアクセスＶＮＩ（ＣＶＮＩ）をプログラムでアタッチすることによって、コンピュートインスタンス１３０に、ＶＣＳコントロールプレーンサーバにより論理ネットワーク内のネットワークアドレスが提供され得る。したがって、例えば、ＶＳ１２５ＡのＣＩ１３０Ａは、要素１１２Ａで示されるように、ＣＶＮＩ１６０Ａを介して論理ネットワーク１１６Ａ内に構成されてもよい。ＶＳ１２５ＢのＣＩ１３０Ｂは、直線１１２Ｄで示されるように、ＣＶＮＩ１６０Ｂを使用して論理ネットワーク１１６Ｂ内に構成されてもよい。ＶＳ１２５ＢのＣＩ１３０Ｃは、直線１１２Ｃで示されるように、ＣＶＮＩ１６０Ｃを使用して論理ネットワーク１１６Ａ内に構成されてもよい。ＶＳ１２５ＣのＣＩ１３０Ｄは、直線１１２Ｅで示されるように、ＣＶＮＩ１６０Ｄを使用して論理ネットワーク１１６Ｂ内に構成されてもよい。ＣＩ１３０Ｅは、直線１１２Ｂで示されるように、ＣＶＮＩ１６０Ｅを使用して論理ネットワーク１１６Ａ内に構成されてもよい。加えて、ＶＣＳコントロールプレーンサーバはまた、図１に示されるシナリオの直線１１２Ｆで示されるように、ＣＶＮＩ１６０Ｆ（論理ネットワーク１１６Ｂ内のＩＰアドレスが割り当てられる）を使用して、論理ネットワーク１１６Ｂの一部として拡張サーバ１２７で実行しているＣＩ１３０Ｋを構成してもよい。仮想化サーバ及び拡張サーバが接続される基礎となるサブストレートネットワークを使用して論理ネットワークのエンティティ（コンピュートインスタンス１３０など）へ向けられる、またはエンティティから向けられるネットワークトラフィックを管理及びルーティングするために、図２に関して以下でさらに詳細に説明するように、マッピングサービス及び／またはカプセル化プロトコルがＶＣＳ１１０において採用され得る。

【0029】

クライアントプレミス１２１は、図示した実施形態では、スイッチ１４４または類似のネットワーキング仲介デバイスを有するローカルネットワーク１９２を含み得る。センサまたはスマート家電を含むＩｏＴデバイス、クライアント管理アプリケーションを実行するサーバ、産業オートメーションデバイスなどの、様々なタイプのクライアント所有デバイスまたはクライアント管理デバイスは、クライアントプレミスローカルネットワーク１９２の一部として構成され得る。いくつかのこのようなクライアントプレミスデバイス１７７は、１１８Ｂなどのケーブルを介してスイッチ１４４に物理的にリンクされ得る。

【0030】

少なくともいくつかの実施形態では、その要求に応じて拡張サーバ１２７がＶＣＳによって構成されるクライアントＣ２は、ある数のクライアントプレミスデバイス１７７と拡張サーバのＣＩ１３０Ｋとの間でＯＳＩレイヤ２において通信を確立することを望み得る。このような通信の管理を容易にするために、ローカルプレミスアクセス仮想ネットワークインターフェース（ＬＶＮＩ）１６２は、図示した実施形態では、ＶＣＳコントロールプレーンによってＣＩ１３０Ｋにプログラムでアタッチされるようにしてもよい。ＭＡＣアドレスは、ＶＣＳコントロールプレーンサーバによってＬＶＮＩ１６２に割り当てられ得るが、論理ネットワーク１１６Ｂ内のＩＰアドレスは、ＬＶＮＩに割り当てられないことがある。ＭＡＣアドレスは、図示した実施形態では物理ケーブル１１８Ａを介してローカルネットワーク１９２から受信したインバウンドトラフィックをＣＩ１３０Ｋに向けるためにネットワーキングマネージャ１５５によって使用され得る。ＣＶＮＩ１６０Ｆに割り当てられた論理ネットワークアドレスは、対照的に、少なくともいくつかの実施形態では、プロバイダネットワークデータセンタ内のリソースとの通信に使用され得る。ＥＲＧ１２２は、ＥＳ１２７または別のＥＳサーバで実行している１つまたは複数の他のコンピュートインスタンス（図１には示されない）を含み得ることに留意されたい。このような拡張プレミスコンピュートインスタンス間のネットワーク通信は、場合によってはＯＳＩレイヤ２を使用して（例えば、ＥＳにアタッチされたネットワーキングカードのハードウェアループバックインターフェースを利用して）、またはＩＰ及び他の上位レベルのプロトコルを使用して、通信がそのために生成されるアプリケーション、送信元及び宛先のコンピュートインスタンスが同一のＥＳ上で実行中であるかどうかなどの要因に依存して、送信されてもよい。場合によっては、ＶＣＳのカプセル化プロトコルは、ＥＲＧのコンピュートインスタンスの少なくともいくつかの対の間で送信されるＩＰパケットに採用されることがある。

【0031】

データリンク層フレームがＥＳ１２７で受信されると、ネットワーキングマネージャ１５５は、図示した実施形態ではその処分を担当し得る。ネットワーキングマネージャは、フレームのコンテンツを検査して、フレームが、その宛先アドレスとしてＥＳ１２７のサブストレートアドレスを有するＩＰパケットを含むかどうかを判定し得る。フレームがそのようなＩＰパケットを含む場合、ネットワーキングマネージャは、ＶＣＳのカプセル化プロトコルを使用して、第１のＩＰパケットから第２のＩＰパケットを抽出し得る。抽出されたＩＰパケットの宛先アドレスが、ＥＳで実行中のいずれかのＣＩ（ＣＩ１３０Ｋなど）の論理ネットワークアドレス（ＣＶＮＩアドレス）と一致する場合、抽出されたＩＰパケットは、ネットワーキングマネージャによってそのＣＩに配信され得る（そうでない場合、抽出されたＩＰパケットは、少なくともいくつかの実施形態では破棄され得る）。フレームがサブストレート宛先ＩＰアドレスを有するＩＰパケットを含まなかった場合、ネットワーキングマネージャは、フレームの宛先ＭＡＣアドレスを検査し、図示した実施形態では、アタッチされたＬＶＮＩが同一のＭＡＣアドレスを有する１３０ＫなどのＣＩにそれを配信し得る。ブロードキャストデータフレーム（宛先ＭＡＣアドレスがＬＶＮＩのＭＡＣアドレスと一致しない特別なアドレスである）は、図示した実施形態では、ネットワーキングマネージャによってＥＳの１つまたは複数のＣＩに配信され得る。ブロードキャストフレームではなく、一致するＭＡＣアドレスがなく、サブストレート宛先ＩＰアドレスを有するＩＰパケットを含まないフレームは、図示した実施形態ではドロップされ得る。

【0032】

図２は、少なくともいくつかの実施形態による、論理ネットワークがサブストレートネットワーク上に構成される仮想化コンピューティングサービスにおけるマッピングサービス及びカプセル化プロトコルの使用例を示す。図示したシナリオは、そのような論理ネットワーク（ＶＣＳのデータセンタまたは外部プレミスのいずれか）内にセットアップされたコンピュートインスタンス間のトラフィックフローを可能にするために実行する必要があり得る、ネットワーキング関連動作の種類を示すために提示されている。図１では、例として、ＩＰ（インターネットプロトコル）バージョン４のアドレスが使用されているが、少なくともいくつかの実施形態では、ＩＰｖ６などの他のプロトコルに従ってフォーマットされたアドレスが使用されてもよい。図２に示される特定のＩＰアドレスは例として選択されたものであり、本明細書で説明される技術は、いかなる特定のアドレスまたはアドレス範囲にも限定されないことに留意されたい。

【0033】

図示した実施形態では、ＶＣＳデータセンタ２１０における２つの仮想化サーバ（ＶＳ）及び拡張サーバ（ＥＳ）が示されている。ＶＳ２２５Ａ及び２２５Ｂはそれぞれ、例えば、サブストレートネットワーク内に構成されたトップオブラックスイッチにリンクされた１つまたは複数のイーサネットまたは類似のケーブルを介して、ＶＣＳのサブストレートネットワークに物理的に接続され得る。ＥＳ２２６は、プロバイダネットワークによって管理／所有されていない少なくともいくつかのネットワークリンク（例えば、公衆インターネットのリンク、及び／または他のネットワークサービスプロバイダによって所有されているプライベートリンク）を介してＶＣＳデータセンタに接続され得るが、それでも、以下で詳細に説明される技術を使用して、サブストレートネットワークのネットワークアドレスが割り当てられ得る。サブストレートアドレス１９２．１６８．０．３は、ＶＳ２２５Ａに割り当てられ、サブストレートアドレス１９２．１６８．１．３は、ＶＳ２２５Ｃに割り当てられ、サブストレートアドレス１９２．１６８．１．４は、ＥＳ２２６に割り当てられる。

【0034】

図示した実施形態では、仮想化サーバで起動されたコンピュートインスタンスには、隔離仮想ネットワーク内のネットワークアドレスが割り当てられ得る。例えば、（ＶＳ２２５Ａの）ＣＩ２３０Ａ、（ＶＳ２２５Ｂの）２３０Ｄ、及び（ＥＳ２２６の）２３０Ｇは、全て同一のＩＶＮ２３３Ａ内に構成され、それぞれのＩＶＮプライベートアドレス１０．０．０．２、１０．０．０．４、及び１０．０．０．３がそれぞれ割り当てられ得る。同様に、ＣＩ２３０Ｂ及び２３０Ｃは、ＩＶＮ２３３Ｂ内のＩＶＮプライベートアドレス１０．０．０．２及び１０．０．０．３が割り当てられ得る。前に示したように、ＣＩに割り当てられたプライベートアドレスに対してＩＶＮ内で使用されるアドレス範囲は、互いに重複し得ることに留意されたい。したがって、ＣＩ２３０Ａ及び２３０Ｂは、別個のＩＶＮ（２３３Ａ及び２３３Ｂ）内で同一のプライベートアドレス１０．０．０．２を有する。いくつかの実施形態では、ＩＶＮ内アドレスは、少なくともデフォルトでは、ＩＶＮの外部に公表されず、またはアクセス可能にされないという点で、プライベートであると見なされ得る。少なくともいくつかの実施形態では、上述したように、プライベートアドレスは、それぞれのクラウドアクセス仮想ネットワークインターフェース（ＣＶＮＩ）に割り当てられてもよく、ＣＶＮＩは、コンピュートインスタンスにプログラムでアタッチされ、または関連付けられてもよい。少なくともいくつかの実施形態では、対照的に、サブストレートアドレスの少なくともいくつかは、例えば仮想化サーバにおいて、物理ネットワークインターフェースカード、即ちＮＩＣ（またはＮＩＣエミュレータ）に割り当てられてもよい。

【0035】

あるＣＩで発信されたネットワークパケットを別のＣＩに送信するために、図示した実施形態では、送信元及び宛先のＩＶＮプライベートアドレス、送信元及び宛先が属するＩＶＮ、ならびに基礎となる仮想化サーバのサブストレートアドレスの、３つのタイプのネットワーク情報が考慮される必要があり得る。例えば、ＣＩ２３０Ａで発信され、ＣＩ２３０Ｇを宛先とするパケットは、その送信元（プライベート）アドレスを１０．０．０．２とし、宛先アドレスを１０．０．０．３として示してもよい。しかしながら、パケットは実際には、その意図した宛先に到達するために、サブストレートネットワークアドレス１９２．１６８．０．３からサブストレートネットワークアドレス１９２．１６８．１．４に転送されなければならない場合がある。カプセル化プロトコル２４４（サブストレートネットワークの送信元／宛先に関連付けられたより大きな「拡張」パケット内の論理ネットワークの送信元／宛先に関連付けられたパケットをエンベロープまたはカプセル化するために使用される）及びＶＣＳの関連マッピングサービス２４５が、図示した実施形態においてこのタイプの転送を達成するために使用され得る。ＶＣＳのネットワーキング仮想化管理コンポーネント（拡張サーバで実行中のネットワーキングマネージャ、及びＶＳ２２５の仮想化管理ハードウェア／ソフトウェアスタックで実行中のネットワーキングマネージャを含む）は、プロトコルのカプセル化及びカプセル化解除動作を実施し、マッピングサービス２４５を利用して、そのような転送に含まれるパケットが送信されるべき特定のサブストレートアドレスを判定し得る。

【0036】

パケットがＣＩ２３０ＡからＣＩ２３０Ｇに送信される上記の例では、マッピングサービス２４５は、ＶＳ２２５Ａに関連付けられたネットワーキングマネージャに、ＩＶＮ２３３Ａについて、宛先プライベートアドレス１０．０．０．３がサブストレートアドレス１９２．１６８．１．４に対応することを示し得る。ＶＳ２２５Ａに関連付けられたネットワーキングマネージャは、元のパケットを内部に含み、サブストレート送信元アドレス１９２．１６８．０．３、サブストレート宛先アドレス１９２．１６８．１．４を有し、ＩＶＮ２３３Ａをパケットがその中で転送されているＩＶＮとして識別する、カプセル化パケットを生成し得る。外部プレミス２２０の受信側では、ＥＳ２２６で実行中のネットワーキングマネージャが、カプセル化パケットから元のパケットを抽出（カプセル化解除）し、それを宛先ＣＩ２３０Ｇに提供し得る。いくつかの実施形態では、パケットが信頼できる／有効な送信元からのものであることを保証するために、ネットワーキングマネージャは、元のパケットを抽出する前にマッピングサービスに問い合わせて、逆マッピングを実行（例えば、パケットの発信元を識別）してもよい。したがって、マッピングサービス２４５は、妥当性が確認されていないパケットを開くことを防止することによってセキュリティを提供し得る。逆方向に送信されるパケットの場合、少なくともいくつかの実施形態では、ネットワーキングマネージャは、マッピングサービスに問い合わせて宛先の正しいサブストレートアドレスを取得し、必要なカプセル化動作を実行し得る。

【0037】

図３は、少なくともいくつかの実施形態による、コントロールプレーントラフィックがプロバイダネットワークのデータセンタから、仮想化コンピューティングサービスによって管理されるコンピュートインスタンスが起動される外部プレミスまでセキュアに流れることを可能にする、拡張トラフィック仲介デバイスの使用例を示す。プロバイダネットワークのデータセンタ３０１に位置するＶＣＳ３１０のデータプレーンリソース３４５は、前述したものと類似の隔離仮想ネットワーク（ＩＶＮ）のセットに編成され得る。例えば、クライアントＣ１に代わってＩＶＮ３１５Ａがセットアップされ、クライアントＣ２に代わってＩＶＮ３１５Ｂが確立されるなどであってもよく、クライアントにはそれぞれのＩＶＮ内のネットワーク構成設定に関して柔軟性が与えられる。ＩＶＮ３１５Ａは、仮想化サーバ３１７Ａ及び３１７Ｂで実行されるコンピュートインスタンスを含んでもよく、ＩＶＮ３１５Ｂは、仮想化サーバ３１７Ｊ及び３１７Ｋで起動されるコンピュートインスタンス（ＣＩ）（ＣＩ３２５Ａなど）を含んでもよい。ＶＣＳコントロールプレーンリソース３４１は、ＶＣＳ拡張リソースグループ（ＥＲＧ）をセットアップするための要求の受信及び応答、データセンタ仮想化サーバまたは拡張サーバ３６０におけるインスタンス構成要求、追加の仮想化サーバのプロビジョニング、データプレーンリソースの正常性のモニタリングなどの管理タスクを担当する、図示した実施形態における３０２Ａ及び３０２Ｂなどのコントロールプレーンサーバ（ＣＰＳ）のセット３０２を含み得る。

【0038】

図３に示される実施形態では、各拡張サーバ３６０は、データセンタ３０１以外のいくつかのプレミスでＶＣＳデータプレーン機能を拡張する拡張リソースグループの一部としてセットアップされ得る。例えば、拡張サーバ（ＥＳ）３６０Ａは、クライアントＣ２の顧客プレミス３３２ＣにおけるＥＲＧ３３５Ａの一部としてセットアップされ、ＥＳ３６０Ｂは、クライアントＣ１に代わって顧客プレミス３３２ＡにおけるＥＲＧ３３５Ｂの一部としてセットアップされ、ＥＳ３６０Ｃは、クライアントＣ２の第２の顧客プレミス３３２ＢのＥＲＧ３３５Ｃにおいてセットアップされる。ＥＳはそれぞれ、コントロールプレーンリソース３４１から管理コマンドを受信し、それらをＥＳで実行する役割をする、それぞれの構成マネージャ（ＥＣＭ）（ＥＳ３６０ＡのＥＣＭ３６１など）を含み得る。ＥＳ３６０に加えて、外部プレミス３３２Ａ、３３２Ｂ、及び３３２Ｃの少なくともいくつかは、非ＶＣＳデバイス（例えば、ＶＣＳコンピュートインスタンスをホストするために利用されないサーバ）も含み得る。例えば、図示した実施形態では、プレミス３３２Ａは、非ＶＣＳデバイス３２３Ｂを含んでもよく、プレミス３３２Ｂは、非ＶＣＳデバイス３２３Ｃを含んでもよく、プレミス３３２Ｃは、非ＶＣＳデバイス３２３Ａを含んでもよい。非ＶＣＳデバイスは、ローカルプレミスアクセスＶＮＩ（ＬＶＮＩ）及びローカルプレミスネットワーク３６８Ａ、３６８Ｂ、または３６８Ｃのリンクを経て送信されるＯＳＩレイヤ２メッセージを使用して、ＥＳで起動されるコンピュートインスタンス（ＣＩ３２５Ｐ、３２５Ｑ、または３２５Ｒなど）と通信し得る。したがって、拡張サーバは、（例えば、ＶＣＳサブストレートネットワークに使用される範囲から拡張サーバに割り当てられたアドレスを使用して、）ローカルオンプレミスネットワーク及び１つまたは複数のＶＣＳネットワークを含む複数のネットワーク内に構成され得る。ＥＳ３６０の様々なケイパビリティは、ＥＳ３６０がＶＣＳコントロールプレーンによって代わりに構成されるクライアントのニーズに応じて互いに異なり得ることに留意されたい。例えば、ＥＳ３６０Ａは、ＥＳ３６０Ｂとは異なる、またはより多くのＣＰＵを有してもよく、ＥＳ３６０Ｃは、ＥＳ３６０Ａよりも多くのメモリ、または異なるＣＰＵアーキテクチャを有してもよい、などである。また、図３では各外部プレミスに単一のＥＳのみが示されているが、少なくともいくつかの実施形態では、単一の外部プレミス内でＶＣＳコンピュートインスタンスをホストするために複数のそのようなＥＳが配置され、使用され得ることに留意されたい。

【0039】

ＶＣＳのクライアントの観点から見ると、様々な実施形態において、ＥＲＧは、ＶＣＳのケイパビリティのローカル拡張を表してもよく、インターネットにアクセスできる任意の所望の物理的位置にセットアップされ、ＶＣＳ及びクライアントに受け入れ可能な拡張サーバを収容し得る。ＶＣＳ自体の観点から見ると、ＥＲＧは、顧客が選択したプレミス内に物理的に位置しながら、コアＶＣＳインフラストラクチャと同一のプロバイダネットワークデータセンタに仮想的に位置すると考えられ得る。様々な実施形態において、ＥＲＧが、顧客が選択した位置にセットアップされると、ＥＲＧのリソースは、プロバイダネットワークのデータセンタに位置するＶＣＳのコントロールプレーンコンポーネントによって管理され得る。したがって、少なくともいくつかの実施形態では、所与のプレミスでＥＲＧをセットアップ及び使用することによって、ＶＣＳのコントロールプレーンケイパビリティをローカルに複製する必要がない場合がある。その代わりに、コントロールプレーンコマンドをプロバイダネットワークのデータセンタからＥＲＧのＰＶＭＤに送信するためにセキュアなネットワーク接続がセットアップされてもよく、ＥＲＧのリソースが、主にデータプレーン動作に充てられてもよい。

【0040】

いくつかの実施形態では、ＥＲＧのＥＳで起動されるコンピュートインスタンス（ＣＩ）の１つまたは複数が、ＩＶＮ３１５内に構成されてもよい（例えば、ＣＩが、ＩＶＮのアドレス範囲内のアドレスを有するクラウドアクセス仮想ネットワークインターフェース（ＣＶＮＩ）にプログラムによりアタッチされてもよい、ＣＩが、ＩＶＮのコンピュートインスタンスのデータベースに含まれてもよい、ＩＶＮ内のＣＩのメンバーシップに関する情報が、ＶＣＳのマッピングサービスに提供されてもよい、など）。場合によっては、ＥＲＧで実行されているＣＩが、プロバイダネットワークデータセンタ内のＣＩも含むＩＶＮに含まれてもよく、そのようなＥＲＧは、ＩＶＮを拡張すると言える場合がある。例えば、ＥＲＧ３３５Ａは、図３のクライアントＣ２のＩＶＮ３１５Ｂを拡張し、ＥＲＧ３３５Ｂは、クライアントＣ１用に構成されたＩＶＮ３１５Ａを拡張する。いくつかのＥＲＧは、ＶＣＳデータセンタ内のいかなるコンピュートインスタンスも含まないＩＶＮ内で構成されたＣＩを含んでもよく、またはＩＶＮ内で構成すらされなくてもよい。

【0041】

外部プレミス３３２は、ＶＣＳサブストレートネットワークに直接アクセスできないため、データセンタ３０１におけるコンピュートインスタンスに必要となるよりも、外部プレミスでコンピュートインスタンスを構成するために、追加の作業がＶＣＳから必要となる場合がある。図３に示す実施形態では、ＥＳ構成マネージャ（ＥＣＭ）３６１が、いくつかの機能を実行し得る。例えば、ＥＣＭは、１つまたは複数のセキュアチャネル（仮想プライベートネットワーク（ＶＰＮ）トンネルなど）３６６（例えば、チャネル３６６Ａ、３６６Ｂ、または３６６Ｃ）を介して、ＶＣＳの１つまたは複数の拡張トラフィック仲介機器（ＥＴＩ）３７７との接続を確立してもよい。ＥＣＭとＶＣＳコントロールプレーン（及びデータプレーン）との間のトラフィックは、ＶＣＳによって制御または管理されていない物理ネットワークパスを経て流れる必要があり、したがってそのような物理ネットワークパスは、ＶＣＳの観点から信頼できない場合があるため、セキュアチャネル３６６が必要となり得る。ＥＴＩ３７７は、プロバイダネットワークのデータセンタ３０１内のコンピューティングデバイスで（例えば、ＶＣＳコントロールプレーンに代わってセットアップされた１つまたは複数のコンピュートインスタンス及び／またはＩＶＮを使用して）実施されてもよく、ＥＴＩは、外部プレミスとプロバイダネットワークのデータセンタとの間のトラフィックに関する１つまたは複数のセキュリティ動作を実行するように構成され得る。コントロールプレーンコマンドは、図示した実施形態では、ＥＴＩで確立されたセキュアチャネルを使用して、プロバイダネットワークのデータセンタから外部プレミスへの一方向へのみ流れることが許可され得る。対照的に、データプレーントラフィックは、様々な実施形態において、外部プレミスとプロバイダネットワークとの間でいずれの方向に流れてもよい。様々な実施形態における、プロバイダネットワークデータセンタと外部プレミスとの間でコントロールプレーン及びデータプレーンのトラフィックが流れる方法に関する追加の詳細が、以下で提供される。

【0042】

ＥＳ３６０のＥＣＭはまた、少なくともいくつかの実施形態では、ＶＣＳサブストレートネットワークのネットワークアドレス（即ち、ＶＣＳサブストレートネットワーク内の仮想化サーバに割り当てられたアドレスの範囲から選択されたネットワークアドレス）をＥＳに割り当て得る。ＥＳに割り当てられたサブストレートアドレスはまた、少なくともいくつかの実施形態ではＥＴＩ３７７のうちの１つに割り当てられてもよく、これにより、ＥＴＩはプロバイダネットワークデータセンタ内でＥＳのプロキシまたは代表として機能することが可能となる。

【0043】

加えて、ＥＣＭは、少なくともいくつかの実施形態では、ＥＲＧ３３５内のＥＳ３６０で起動されるＣＩに関連する構成コマンドの仲介として機能し得る。例えば、ＶＣＳのクライアントは、ＥＲＧにおけるＣＩの構成動作についての要求をＶＣＳコントロールプレーンに（ＥＴＩでセットアップされたセキュアチャネル以外の経路を使用して）サブミットしてもよく、要求の指示は、ＥＴＩからそのＥＲＧのＥＣＭに提供されてもよい。この指示に応答して、コンピュートインスタンスの１つまたは複数の構成動作が、ＣＳＳにおいて実行され得る。少なくともいくつかの実施形態では、ＥＣＭは、ＥＳにおける１つまたは複数のトリガ条件の検出（電力及び／またはインターネット接続の検出など）に応答してインスタンス化され得る。ＥＣＭは、次いで、例えば、ＥＳが代わりに構成されるＶＣＳクライアントからの追加の構成ガイダンスを必要とすることなく、１つまたは複数のプロバイダネットワークデータセンタの１つまたは複数のＶＣＳコンポーネント（例えば、ＥＴＩ３７７）とのセキュアなネットワーク接続の自動確立を自動的に開始（または少なくとも自動確立に関与）し得る。接続が確立された後、様々な実施形態において、クライアントは、プロバイダネットワークリソースのみを使用するコンピュートインスタンスに関してこのようなコマンドが発行される方法と同様の方法で、ＥＳにおいてコンピュートインスタンスをインスタンス化する（及び／またはＬＶＮＩをアタッチするなど、コンピュートインスタンスに関連する他の動作を実行する）ためのコマンドを発行し得る。ＶＣＳクライアントの観点から見ると、ＶＣＳの機能は、ここで、ローカルリソース（及び、必要に応じてプロバイダネットワークデータセンタに位置するリソース）を使用してシームレスに利用され得る。ＥＲＧでセットアップされたコンピュートインスタンスは、様々な実施形態では、非ＶＣＳデバイス３２３、及び必要に応じてプロバイダネットワークデータセンタまたは外部プレミスでセットアップされる他のＣＩと、通信し得る。ＥＲＧでセットアップされる少なくともいくつかのＣＩ、及びそのようなＣＩをビルディングブロックとして使用する関連する上位サービスは、いくつかの実施形態では、プロバイダネットワークデータセンタへの接続が一時的に中断されている期間中であっても機能し続け得る。特に、（例えば、法令順守、セキュリティ、または他の理由で）顧客のデータセンタに記憶されている大量のアプリケーションデータに低レイテンシでアクセス及び処理したいＶＣＳ顧客にとって、アプリケーションデータと同じ場所に位置するＶＣＳ ＣＩをセットアップする能力は、様々な実施形態において非常に有益であり得る。

【0044】

ＶＣＳ３１０が実施されるプロバイダネットワークのデータセンタ３０１において、コントロールプレーンリソース３４１は、図示した実施形態では、（ＶＣＳの１つまたは複数のサーバにおいてハードウェア及びソフトウェアの何らかの組み合わせを使用して実施される）１つまたは複数の拡張接続マネージャ（ＥＸＣＭ）３７８を含み得る。ＥＸＣＭは、例えば、コントロールプレーンで受信されたプログラムによる要求に応答して、セキュアチャネルを介した接続がＥＣＭ３６１などのＥＣＭと確立されるべきであると判定し得る。いくつかの実施形態では、ＥＣＭは、ＥＣＭがオンラインになり、外部プレミスのローカルプレミスネットワークを介してインターネットに接続されると、セキュアな接続に対する要求をＶＣＳコントロールプレーンに（例えば、公衆インターネットの経路を介して）送信し得る。セキュアな接続を可能にするために、拡張トラフィック仲介機器（ＥＴＩ）３７７のセットが、ＥＸＣＭによってセットアップされ得る。ＥＴＩ３７７は、例えば、様々な実施形態では、拡張サーバプロキシ（ＥＳＰ）及びトンネルエンドポイント（プロバイダネットワーク側トンネルエンドポイントと呼ばれる）を含み得る。いくつかの実施形態では、ＥＳＰ及びトンネルエンドポイントは、ＶＣＳのそれぞれのコンピュートインスタンスを含み得る。少なくとも１つの実施形態では、ＥＳＰは、（ＶＣＳクライアントの代わりにセットアップされたＩＶＮとは異なる）ＶＣＳコントロールプレーンの代わりに確立された１つのＩＶＮ内にセットアップされてもよいが、トンネルエンドポイントは、ＶＣＳコントロールプレーンのために確立された別のＩＶＮ内にセットアップされ得る。

【0045】

いくつかの実施形態では、仮想ネットワークインターフェース（ＶＮＩ）は、ＥＸＣＭによってＥＳＰにプログラムでアタッチされ得る。少なくともいくつかの実施形態では、ＥＳＰにアタッチされたＶＮＩには、ＥＳＰがそのために構成されるＥＳ３６０に割り当てられた同一のサブストレートネットワークアドレスが割り当てられ得る。少なくともいくつかの実施形態では、ＥＣＭはＥＸＣＭからサブストレートネットワークアドレスの指示を受信し、そのアドレスをＥＳ３６０に割り当て得る。ＥＣＭは、プロバイダネットワーク側トンネルエンドポイントと確立されたセキュアな（例えば、暗号化された）ネットワークトンネルの外部エンドポイントとして機能し得る。様々なトンネリングプロトコル（例えば、標準ＶＰＮプロトコル、ＶＣＳ内で利用されるカスタマイズされたプロトコルなど）のいずれかが、様々な実施形態において、潜在的に信頼できないネットワークを経てプロバイダネットワークと外部プレミスとの間のパケット送信に使用され得る。

【0046】

ＥＳＰ及びＥＳには同一のサブストレートネットワークアドレスが割り当てられているため、ＶＣＳコントロールプレーンは、図示した実施形態では、実際にＥＳを対象としているコントロールプレーンコマンド（例えば、クライアントが発行した要求に応答して生成された構成コマンド）の宛先として、ＥＳＰを使用し得る。したがって、ＶＣＳコントロールプレーンの観点から見ると、ＥＳは、ＶＣＳのサブストレートネットワークを介してアクセスされ得る単なる別の仮想化サーバのように見えることがある。コントロールプレーンコマンドが生成されると、それはＥＳＰで受信され、コマンドのバージョンが、チャネル３６６を介して送信され得る。いくつかの実施形態では、ＥＳＰ及び／またはプロバイダネットワーク側トンネルエンドポイントは、コマンドをＥＣＭに送信する前に、コマンドに１つまたは複数のセキュリティ関連の変換動作を適用し得る。例えば、ＶＣＳコントロールプレーンからプロキシで取得されたコマンドのバージョンは、いくつかの実施形態では、１つまたは複数のセキュリティトークン（例えば、コマンドの結果として実行される動作の要求元のアイデンティティを検証するために使用でき、要求元がその動作を要求するのに必要な許可を有する、トークン）を含んでもよく、ＥＳＰは、ＥＲＧにおいてＥＣＭに転送されるコマンドのバージョンからトークンを取り除きまたは除外し得る。少なくともいくつかの実施形態では、元のセキュリティトークンが変換されてもよく、セキュリティトークンの変換されたバージョンが、コマンドの転送されたバージョンに含まれてもよい。少なくとも１つの実施形態では、それぞれのメッセージ認証コード（例えば、ハッシュベースのメッセージ認証コード、即ちＨＭＡＣを含む）が、ＥＳＰからＥＳに送信されるアウトバウンドコントロールプレーンコマンドに対して生成され得る。様々な実施形態において、ＥＳＰは、所与のＥＣＭに送信される全てのアウトバウンド通信メッセージのログを記録してもよく、ログに記録されたメッセージは、必要に応じてＥＳが代わりにセットアップされるクライアントによって検査されてもよい。いくつかの実施形態では、少なくとも２つの仮想ネットワークインターフェースが、所与のＥＳＰに関連付けられてもよく、１つはＶＣＳコントロールプレーンからコマンドを取得するために使用され、もう１つはトンネルエンドポイントと通信するために使用される。

【0047】

いくつかの実施形態では、データプレーントラフィックはまた、例えば、コントロールプレーントラフィックに使用されるチャネルとは別のセキュアチャネルまたはトンネルを介して、ＶＣＳと外部プレミスとの間を流れてもよい。データプレーントラフィックは、このようなトンネルを経ていずれの方向にも流れてもよく、プロキシの使用を伴わないこともある。一実施形態では、ＥＳに割り当てられたアドレスと同一のサブストレートアドレスを有するＶＮＩも、ＥＳへの／からのデータプレーントラフィックのためにＶＣＳ内にセットアップされ得る。

【0048】

図４は、少なくともいくつかの実施形態による、拡張サーバにおけるコンピュートインスタンスのネットワーク構成例を示す。ＶＣＳクライアントが所与のコンピュートインスタンスで実行したい特定のアプリケーションに応じて、図示した実施形態では、少なくとも３つのネットワーク構成のいずれかが、ＶＣＳコントロールプレーンによって所与のＣＩのためにセットアップされ得る。

【0049】

ＣＩ４１０は、ＶＣＳ拡張サーバ４０１における第１のネットワーク構成の例を表し、ＣＩで実行しているアプリケーションのセットは、プロバイダネットワークデータセンタに位置するリソースと通信し、ローカルプレミスネットワークの他のデバイスのリソースとも通信する。ＣＩ４１０は、アタッチされたＣＶＮＩ４１５Ａ及びアタッチされたＬＶＮＩ４１７Ａを有する。ローカルプレミスネットワークのデバイスへの／からのＯＳＩレイヤ２メッセージ４２３Ａは、ＬＶＮＩ４１７Ａに割り当てられたＭＡＣアドレスを送信元／宛先ＭＡＣアドレスとして利用する。プロバイダネットワークデータセンタへの／からのデータプレーンメッセージ４２２Ａは、アタッチされたＣＶＮＩ４１５Ａに割り当てられたＩＰアドレスを送信元／宛先ＩＰアドレスとして利用する。ＶＣＳコントロールプレーンからの管理コマンド４２１Ａ（例えば、ＣＩを起動／終了するためのコマンド、またはＣＩの様々な構成設定を変更するためのコマンドを含む）も、例えば、セキュアチャネル及び上述した種類のＥＣＭなどの仲介を使用して、ＣＩ４１０に配信され得る。

【0050】

ＣＩ４１２で表される第２の種類のネットワーク構成では、ＥＳで実行しているＣＩは、アタッチされたＬＶＮＩを有しないことがあるが、アタッチされたＣＶＮＩ４１５Ｂを有し得る。ＶＣＳコントロールプレーンからの管理コマンド４２１Ｂは依然として、ＣＩ４１２で受信されてもよく、ＣＶＮＩのＩＰアドレスを使用するデータプレーンメッセージ４２２Ｄは、プロバイダネットワークのデータセンタのリソースと交換されてもよいが、ＣＶＮＩのＭＡＣアドレスを使用するＯＳＩレイヤ２メッセージは交換できない。いくつかの実施形態では、ＣＩ４１２の構成を有するＣＩとＣＩ４１０の構成を有するＣＩとの間のデータプレーンメッセージは、プロバイダネットワークデータセンタを介して、または拡張プレミスでセットアップされたローカルネットワーキング仲介デバイスを介して、転送され得る。少なくとも１つの実施形態では、最適化として、ＣＩ４１２とＣＩ４１０との間のデータプレーンメッセージが、矢印４７７で示されるように、ＥＳのネットワーキングマネージャによって実施されるハードウェアループバックメカニズムを使用して送信され得る。

【0051】

図４のＣＩ４１４は、第３のタイプのネットワーク構成の実施例である。ＣＩ４１５Ｂには、ＣＶＮＩ４１５Ｂ及びＬＶＮＩ４１７Ｂがアタッチされているが、ＣＶＮＩ４１５Ｂ（及び／またはＣＶＮＩ４１５Ｂにアドレスが割り当てられたＩＶＮ）のセキュリティパラメータは、プロバイダネットワークデータセンタへの／からのデータプレーントラフィックが禁止されるように設定されている。ＯＳＩレイヤ２メッセージ４２３Ｂは、ＬＶＮＩ４１７Ｂに割り当てられたＭＡＣアドレスを使用してローカルプレミスネットワークのデバイスと交換されてもよく、ＶＣＳコントロールプレーンからの管理コマンド４２１Ｃは、ＣＩ４１４で受信されてもよい。ＣＩ４１４について示される構成のタイプは、例えば、（ａ）ＣＶＮＩが、例えばコントロールプレーンコマンドを受信するために、ＶＣＳ構成ルールに基づいてＣＩにアタッチされなければならない、（ｂ）クライアントが、プレミスにおける非ＶＣＳデバイスへのＯＳＩ Ｌ２接続を必要とするアプリケーションにＣＩの使用を望んでいる、（ｃ）クライアントが、ＣＩをＶＣＳデータプレーントラフィックから隔離することを望んでいる、実施形態において、利用されてもよい。一実施形態では、クライアントが、（両方のＣＩにＬＶＮＩがアタッチされている）ＣＩ４１４とＣＩ４１０との間のＯＳＩレイヤ２での通信を可能にしたい場合、矢印４７８で示されるように、ＥＳのネットワーキングマネージャによって実施されるハードウェアループバックメカニズムが使用され得る。いくつかの実施形態では、図４に示されるもの以外の他のタイプのネットワーク構成が、拡張サーバのＣＩに採用され得る。

【0052】

いくつかの実施形態では、別個のＩＶＮに属するＣＩが、所与のＶＣＳ拡張サーバにおいて起動され得る。図５は、少なくともいくつかの実施形態による、拡張サーバにおける仮想化コンピューティングサービスの別個の隔離仮想ネットワーク内に構成されたコンピュートインスタンスが、ＶＣＳ拡張プレミスにおけるデバイスと通信するためにネットワークケーブルを共有し得る、構成例を示す。ＶＣＳ拡張サーバ５０１は、ＣＩ５１０Ａ及びＣＩ５１０Ｂ、ならびにネットワーキングマネージャ５５５を含む。ＣＩ５１０Ａは、ＶＣＳクライアントによってアプリケーションセット５６１Ａを実行するために使用され、ＣＩ５１０Ｂは、異なるアプリケーションセット５６１Ｂを実行するために使用される。拡張サーバ５０１が代わりにセットアップされるＶＣＳクライアントは、両方のアプリケーションセットと（潜在的に別個の）オンプレミスデバイスのセットとの間のＯＳＩ Ｌ２通信を依然として可能にしながら、２つのアプリケーションセットを隔離したい場合がある。

【0053】

したがって、図示した実施形態では、ＣＩ５１０Ａは、ＩＶＮ５４４ＡのＩＰアドレス５２５ＡをＣＩ５１０ＡにアタッチされたＣＶＮＩ５１５Ａに割り当てることによって、ＩＶＮ５４４Ａ内に構成されてもよく、ＣＩ５１０Ｂは、ＩＶＮ５４４ＢのＩＰアドレス５２５ＢをＣＩ５１０ＢにアタッチされたＣＶＮＩ５１５Ｂに割り当てることによって、異なるＩＶＮ５４４Ｂ内に構成されてもよい。ＯＳＩ Ｌ２接続を可能にするために、共有ネットワークケーブル５７０（例えば、イーサネットケーブル）が、ＶＣＳ拡張サーバ５０１の物理ネットワークインターフェースをオンプレミスのローカルネットワークスイッチ５４４にリンクするために使用されてもよく、それぞれのＬＶＮＩ５１７（例えば、５１７Ａまたは５１７Ｂ）は、２つのＣＩにアタッチされてもよい。ＯＳＩ Ｌ２フレーム５０７Ａは、ネットワークケーブル５７０を介してＣＩ５１０Ａとローカルネットワークデバイスとの間で交換されてもよく、ＯＳＩ Ｌ２フレーム５０７Ｂもまた、同じネットワークケーブル５７０を使用してＣＩ５１０Ｂとローカルネットワークデバイスとの間で交換されてもよく、ネットワーキングマネージャは、両方のフレームのセットのための仲介（論理的にはスイッチと同様）として機能する。

【0054】

図示した実施形態では、多様な非ＶＣＳデバイスが、５７３Ａ、５７３Ｂ、及び５７３Ｃなどのそれぞれのネットワークケーブルを介して、ローカルネットワークスイッチ５４４にアタッチされてもよく、これらのデバイスのいくつかまたは全てが、ＥＳ５０１において実行された１つまたは複数のＣＩと、ＯＳＩレイヤ２で通信し得る。このようなデバイスは、特に、オンプレミスＤＨＣＰサーバ５７５、非ＶＣＳ汎用サーバ５７１、及び／または１つもしくは複数のＩｏＴデバイス５７２を含み得る。いくつかの実施形態では、複数のネットワークケーブルが、拡張サーバとローカルネットワークのデバイス（ネットワークスイッチなど）との間にアタッチされ得ることに留意されたい。例えば、そのようなケーブルの１つが、公衆インターネットを経たトンネリングを介してプロバイダネットワークデータセンタリソース及びＶＣＳコントロールプレーンと通信するために使用されてもよく、別のケーブルが、ローカルネットワークとのＯＳＩレイヤ２トラフィックに使用されてもよい。

【0055】

いくつかの実施形態では、ＶＣＳクライアントは、所与の拡張サーバにおける異なるコンピュートインスタンスにアタッチされたＬＶＮＩのローカルプレミストラフィックに対してカスタムトラフィック管理ポリシーを適用することを決定し得る。図６は、少なくともいくつかの実施形態による、それぞれのセキュリティ及び性能関連プロパティを有するいくつかのローカルプレミスアクセス仮想ネットワークインターフェースが、仮想化コンピューティングサービスの拡張サーバにおいて構成され得る、構成例を示す。図６に示すシナリオの例では、ＶＣＳ拡張サーバ６０１は、コンピュートインスタンスＣＩ６１０Ａ及びＣＩ６１０Ｂの対を含む。ＣＩ６１０Ａは、アプリケーションセット６６１Ａに使用され、ＣＶＮＩ６１５Ａ及びＬＶＮＩ６１７Ａがアタッチされている。ＣＩ６１０Ｂは、アプリケーションセット６６１Ｂに使用され、ＣＶＮＩ６１５Ｂならびに２つのＬＶＮＩ６１７Ｂ及び６１７Ｃがアタッチされている。ＶＣＳのＩＶＮ内のＩＰアドレス６２５Ａは、ＣＶＮＩ６１５Ａに割り当てられ、ＩＶＮ内のＩＰアドレス６２５Ｂ（アドレスがＣＶＮＩ６１５Ａに割り当てられているものと同一のＩＶＮまたは異なるＩＶＮであってもよい）も、ＣＶＮＩ６１５Ｂに割り当てられる。

【0056】

ＣＩ６１０及びＬＶＮＩ６１７が代わりに構成されるＶＣＳクライアントは、図示した実施形態では、ＬＶＮＩのＭＡＣアドレスを利用してそれぞれのＯＳＩレイヤ２トラフィックに対してセキュリティ及び性能関連ルールの異なるセットを適用するように構成される。それぞれのセキュリティ設定６４４Ａ、６４４Ｂ、及び６４４Ｃは、それぞれＬＶＮＩ６１７Ａ、６１７Ｂ、及び６１７ＣのためのＶＣＳコントロールプレーンのプログラムによるインターフェースを介して、クライアントによって指定され得る。加えて、それぞれのトラフィックレート制限６４５Ａ、６４５Ｂ、及び６４５Ｃは、それぞれＬＶＮＩ６１７Ａ、６１７Ｂ、及び６１７ＣのためのＶＣＳコントロールプレーンのプログラムによるインターフェースを介して、クライアントによって指定され得る。セキュリティ設定では、例えば、ネットワーキングマネージャによって受信されたブロードキャストフレームを、ＬＶＮＩがアタッチされているコンピュートインスタンスに送信すべきかどうか、指定されたＶＬＡＮタグまたは識別子を有するフレームをコンピュートインスタンスに配信すべきか否か、などのプロパティを指定し得る。図示した実施形態では、トラフィックレート制限は、所与のＣＩ（または所与のＣＩの所与のＬＶＮＩ）からのアウトバウンドＯＳＩレイヤ２トラフィックを抑制するために使用され得る。いくつかの実施形態では、（例えば、図５に示されるスイッチへの）共有ネットワークケーブルが、拡張サーバをローカルプレミスネットワークの残りと接続するために使用され得るため、そのようなレート制限は、このようなケーブル上の利用可能な帯域幅がＶＣＳクライアントの目的に従って分割されることを保証するのに有用であり得ることを想起されたい。ＶＣＳコントロールプレーンサーバにおいてクライアントからプログラムによるインターフェースを介して取得されたセキュリティ設定及びレート制限は、拡張サーバの拡張構成マネージャ（ＥＣＭ）及び／または拡張サーバのネットワーキングマネージャに送信されてもよく、少なくともいくつかの実施形態では、その設定は、ネットワーキングマネージャによって適用または施行されてもよい。図６に示すもの以外の他のＬＶＮＩパラメータもまた、またはその代わりに、いくつかの実施形態ではＶＣＳクライアントによってカスタマイズされてもよい。

【0057】

図７は、少なくともいくつかの実施形態による、ローカルプレミスアクセス仮想ネットワークインターフェースの構成及び使用に関連する、プログラムによるインタラクションの例を示す。図１のＶＣＳ１１０に特徴及び機能が類似しているＶＣＳ７１２は、図７に示される実施形態では、１つまたは複数のウェブベースコンソール、コマンドラインツール、グラフィカルユーザインターフェース、アプリケーションプログラミングインターフェース（ＡＰＩ）などのプログラムによるインターフェース７７７のセットを実施し得る。ＶＣＳのクライアント７１０は、プログラムによるインターフェースを介してＶＣＳコントロールプレーンにＣｏｎｆｉｇｕｒｅＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒ要求７１４をサブミットして、プロバイダネットワークのデータセンタ外部の指定されたプレミスにおいて、前述した種類の少なくとも１つの拡張サーバの確立を要求し得る。要求されたサーバが、プロビジョニングされ、オンラインになった後、図示した実施形態では、ＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒＯｎｌｉｎｅ応答メッセージ７１６がクライアントに送信され得る。場合によっては、必要なサーバコンポーネントをプロバイダネットワークから外部プレミスに発送または送信し、次いで（例えば、標準サーバラック内の）サーバを構成し、サーバをインターネットにアタッチし、サーバの電源をオンにするのに、ある程度の時間が（例えば、数日または数週間）かかる場合があり、ＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒＯｎｌｉｎｅメッセージは、少なくともいくつかの実施形態では、これら全てのタスクが完了した後にのみ送信され得ることに留意されたい。上述したように、外部プレミスにおける拡張サーバ構成マネージャは、少なくともいくつかの実施形態では、拡張サーバの初期構成の一部として、プロバイダネットワークのデータセンタに位置する、ＶＣＳコントロールプレーンにおける拡張接続マネージャとセキュアチャネルを介して接続を確立してもよい。

【0058】

図示した実施形態では、クライアント７１０は、ＣｒｅａｔｅＬＶＮＩｓ要求７１８を介して１つまたは複数のＬＶＮＩの作成を要求し、ＣｒｅａｔｅＣＶＮＩｓ要求７２３を介して１つまたは複数のＣＶＮＩの作成を要求し得る。いくつかの実施形態では、このようなＬＶＮＩ及び／またはＣＶＮＩは、プログラムでアタッチされるコンピュートインスタンスの起動前に作成されてもよい。これに応答して、要求されたＬＶＮＩ／ＣＶＮＩのプロパティを示すメタデータ（例えば、名前、説明、クライアントによって指定／要求された場合はＩＰアドレス、クライアントによって指定／要求された場合はＭＡＣアドレス、セキュリティルール、該当する場合はトラフィックレート制限など）が、ＶＣＳコントロールプレーンに記憶され得る。ＬＶＮＩ－ＩＤｓメッセージ７２０は、いくつかの実施形態では、要求されたＬＶＮＩの作成が成功したことを示し、必要に応じて後続のインタラクションで使用され得る、作成されたＬＶＮＩの識別子を提供して、クライアントに送信され得る。ＣＶＮＩ－ＩＤｓメッセージ７２５は、要求されたＣＶＮＩが作成された後にクライアントに送信されてもよく、必要に応じて後続のインタラクションで使用され得る、作成されたＬＶＮＩの識別子を提供することを示す。

【0059】

図示した実施形態では、コンピュートインスタンスは、ＬａｕｎｃｈＣＩＡｔＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒ要求７２７に応答して拡張サーバで起動され得る。起動要求のパラメータは、ＶＮＩ（例えば、１つまたは複数のＣＶＮＩ及び／またはＬＶＮＩ）がＣＩにプログラムでアタッチされる方法を管理し得る。場合によっては、クライアントは、ＶＣＳコントロールプレーンがインスタンス起動時に指定されたＩＶＮ内に少なくとも１つのＣＶＮＩを作成してアタッチすること、及び／またはＶＣＳが、インスタンス起動時にＶＣＳが選択したＭＡＣアドレスを有する少なくとも１つのＬＶＮＩを作成してアタッチすることを要求し得る。その他の場合、クライアントは、インスタンスが起動され、ＣＩＬａｕｎｃｈｅｄメッセージ７２８がクライアントで受信されるまで、１つまたは複数のＶＮＩのアタッチを延期し得る。

【0060】

図示した実施形態では、クライアントは、ＡｔｔａｃｈＶＮＩＴｏＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒＣＩ要求７３０をＶＣＳにサブミットすることによって、拡張サーバにおけるＣＩへの１つまたは複数のＶＮＩ（例えば、ＬＶＮＩもしくはＣＶＮＩまたはその両方）のプログラムによるアタッチを要求し得る。必要に応じて、クライアントは、アタッチされるＶＮＩ（例えば、ＣＶＮＩまたはＬＶＮＩ）の識別子を指定してもよく、またはＶＣＳコントロールプレーンが新たなＶＮＩを作成してアタッチすることを要求してもよい。図示した実施形態では、ＶＮＩとＣＩとの関連付けを示すメタデータがＶＣＳコントロールプレーンに記憶され、拡張サーバに伝播された後、ＶＮＩＡｔｔａｃｈｅｄメッセージ７３２が、クライアントに送信され得る。

【0061】

図示した実施形態では、ＬＶＮＩまたはＣＶＮＩは、ＤｅｔａｃｈＶＮＩＦｒｏｍＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒＣＩ要求７３４に応答して、ＶＣＳコントロールプレーンによってＣＩからプログラムでデタッチされ得る。このようなデタッチは、ＭＡＣアドレス及び／またはＩＰアドレスなどのＶＮＩの他のプロパティの少なくともいくつかを保持しながら、ＶＮＩとＶＮＩがアタッチされているＣＩとの関連付けの指示を削除することを含み得る。ＶＮＩＤｅｔａｃｈｅｄメッセージ７３６は、ＶＮＩがＣＩから関連付けを解除されたことを示すためにクライアントに送信され得る。

【0062】

図示した実施形態では、ＤｅｓｃｒｉｂｅＶＮＩｓ要求７４１は、指定されたＶＮＩのセット（例えば、ＬＶＮＩ、ＣＶＮ、または両方のタイプのＶＮＩ）及び／またはＣＩにアタッチされた全てのＶＮＩのプロパティを見るために、クライアント７１０によってサブミットされ得る。ＶＮＩ（複数可）のプロパティは、１つまたは複数のＶＮＩｎｆｏメッセージ７４３を介してクライアントに提示され得る。例えば、クライアントはＤｅｓｃｒｉｂｅＶＮＩ要求を使用して、（ＬＶＮＩをＣＩにアタッチする前、またはアタッチ後に）ＬＶＮＩのＭＡＣアドレスを取得してもよく、その情報を使用してオンプレミスネットワーク内で構成変更を行ってもよく、オンプレミスネットワークからのＯＳＩ Ｌ２トラフィックは、そのＬＶＮＩがアタッチされたＣＩと交換される。

【0063】

上述したように、例えば図６の文脈において、クライアントは、ＬＶＮＩ（及び／またはＣＶＮＩ）のセキュリティ設定またはトラフィックレート制限などの様々なプロパティをカスタマイズしたい場合がある。いくつかの実施形態では、所望の設定を示すＣｈａｎｇｅＶＮＩＳｅｔｔｉｎｇｓ要求７４７は、プログラムによるインターフェース７７７を使用してクライアントによりサブミットされ得る。ＶＮＩ用に記憶されたメタデータは、それに従って修正されてもよく、ＶＮＩＳｅｔｔｉｎｇｓＣｈａｎｇｅｄ応答メッセージ７４９が、クライアントに送信されてもよい。

【0064】

ＶＣＳは、異なる実施形態では、ＶＮＩに割り当てられたアドレスを使用してメッセージが受信／送信される速度、メッセージのサイズの分布、トラフィックレートの傾向など、特定のＣＶＮＩ及びＬＶＮＩに関連する様々なタイプのメトリクスを収集し得る。クライアントは、図示した実施形態ではＧｅｔＶＮＩＭｅｔｒｉｃｓ要求７５１をサブミットすることによって、例えば、ＶＮＩタイプごとまたはＶＮＩごとに、ＬＶＮＩ及び／またはＣＶＮＩのメトリクスを要求し得る。要求されたメトリクスは、１つまたは複数のＭｅｔｒｉｃｓＳｅｔ応答メッセージ７５３において提供され得る。

【0065】

いくつかの実施形態では、ＬＶＮＩは、ＶＣＳでサポートされるより汎用的なＶＮＩ構成物の特別なケースとして（ＶＣＳコントロールプレーンによって）扱われてもよい。このような実施形態では、クライアント７１０が、ＶＮＩがＬＶＮＩとして使用されることを指定せずにＶＮＩの作成またはアタッチを要求した場合、ＶＣＳは、ＶＮＩがＣＶＮＩとして使用されること（例えば、ＶＮＩにＩＶＮアドレスが割り当てられること、など）をデフォルトで仮定してもよい。このような汎用ＶＮＩ構成物がサポートされている実施形態では、ＶＣＳクライアント７１０は、ＩＶＮサブネットの構成設定を利用して、ＩＰアドレス（即ち、ＣＶＮＩ ＩＰアドレス）がそのサブネットのＩＰアドレス範囲内にあるＣＩに対して構成されることを示し得る。ＶＣＳクライアントは、ＳｅｔＳｕｂｎｅｔＡｔｔｒｉｂｕｔｅｓＦｏｒＬＶＮＩｓ要求７５５をサブミットして、指定されたＩＶＮの指定されたサブネット内に構成されたコンピュートインスタンスについて、そのＣＩにアタッチされたＶＮＩのアレイまたはリスト内の指定された整数インターフェースインデックスにおける任意のＶＮＩが、ＬＶＮＩとして利用され、または扱われることを示し得る。これに応じて、ＶＣＳは、ＬＶＮＩインデックスをサブネットの属性として記憶し、（例えば、インデックスを指定するアタッチ要求に応答して）そのインデックスにおいてその後アタッチされたＶＮＩをＬＶＮＩとして扱ってもよい。ＳｕｂｎｅｔＡｔｔｒｉｂｕｔｅｓＳｅｔメッセージ７５７は、ＶＣＳからクライアントに送信されてもよい。ＬＶＮＩを構成するためのサブネット属性方法により、クライアントは、（ＬＶＮＩに正しいインターフェースインデックスが使用される限り）ＬＶＮＩに固有のパラメータを使用することなく単に他のＶＮＩに使用されるのと同じタイプのプログラムによる要求をＬＶＮＩに対して使用し得るため、ＶＣＳクライアントのためのＬＶＮＩの管理が簡略化され得る。図７に示されるもの以外の、ＬＶＮＩ、ＣＶＮＩ、及び拡張サーバの使用に関連するプログラムによるインタラクションは、少なくともいくつかの実施形態ではＶＣＳによってサポートされ得ることに留意されたい。さらに、図７は、プログラムによるインタラクションが発生しなければならない必要なシーケンスを示すことを意図したものではない。例えば、ＤｅｓｃｒｉｂｅＶＮＩ要求は、図７のＬａｕｎｃｈＣＩＡｔＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒ要求よりも下の位置に示されているが、ＬａｕｎｃｈＣＩＡｔＥｘｔｅｎｓｉｏｎＳｅｒｖｅｒ要求の前にＤｅｓｃｒｉｂｅＶＮＩ要求がサブミットされてもよい。

【0066】

図８は、少なくともいくつかの実施形態による、ローカルプレミスアクセス仮想ネットワークインターフェースを構成及び利用するために実行され得る、動作の態様を示す流れ図である。要素８０１に示すように、図１のプロバイダネットワーク１０１のＶＣＳ１１０と特徴及び機能が類似のＶＣＳの拡張サーバ（ＥＳ）は、図示した実施形態では、プロバイダネットワークのデータセンタ外部のプレミスに構成され得る。ＥＳの構成は、ＶＣＳのコントロールプレーンサーバ（ＣＰＳ）からＥＳで実行しているＥＳ構成マネージャ（ＥＣＭ）へのセキュアチャネルを介した接続の確立を含み得る。ＥＣＭは、様々な実施形態では、他のタスクの中でも特に、ＶＣＳコントロールプレーンからの要求／コマンドに応答してＥＳでコンピュートインスタンス（ＣＩ）を起動する役割をし得る。ＥＳはまた、様々な実施形態において、ＥＳで起動されたＣＩとＥＳの外部の通信エンドポイントとの間のネットワークトラフィックのフロー、及びＥＳのＣＩ間のネットワークトラフィックのフローを管理する役割のネットワーキングマネージャを含み得る。

【0067】

ＥＳがセットアップされているＶＣＳクライアントからの要求に応答して、ＶＣＳコントロールプレーンは、ＣＩ、ＣＩ１をＥＳで起動させ得る。図示した実施形態では、ローカルプレミスアクセス仮想ネットワークインターフェース（ＬＶＮＩ）は、ＶＣＳコントロールプレーンによってプログラムでＣＩ１にアタッチされてもよく、クラウドアクセス仮想ネットワークインターフェース（ＣＶＮＩ）も、ＣＩにプログラムでアタッチされてもよい（要素８０４）。少なくともいくつかの実施形態では、ＶＣＳのコントロールプレーンサーバは、クライアントからプログラムインターフェースを介してＬＶＮＩまたはＣＶＮＩをＣＩにアタッチするための要求を受信してもよく、一方コントロールプレーンサーバは、内部要求／コマンドをＥＳにおける構成管理コンポーネントまたはネットワーキングマネージャに送信してもよい。これによって、アタッチ動作が完了する。ＣＶＮＩには、ＶＣＳで構成された隔離仮想ネットワーク（ＩＶＮ）のアドレス範囲からＩＰアドレスＩＰＡｄｄｒ１が割り当てられ得る。ＬＶＮＩには、ＶＣＳコントロールプレーンによってＭＡＣアドレスＭ１が割り当てられ得るが、そのＩＶＮ内から、またはＶＣＳによって管理されるＩＰアドレスのいかなる範囲内からもＩＰアドレスは割り当てられない。少なくともいくつかの実施形態では、ネットワーキングマネージャに、アタッチされたＣＶＮＩ及びアタッチされたＬＶＮＩに関連する構成情報（例えば、ＩＰアドレス及びＭＡＣアドレスを含む）がＶＣＳコントロールプレーンから提供され得る。

【0068】

ＥＳでは、ネットワーキングマネージャは、ＶＣＳのカプセル化プロトコルを利用して、ＶＣＳ内（またはプロバイダネットワークの他のサービス内）の宛先アドレスを有するＣＩ１からのアウトバウンドＩＰパケットを変換し得る（要素８０７）。プレミスのローカルネットワーク内の宛先ＭＡＣアドレスを有する（またはブロードキャストに使用される宛先アドレスを有する）アウトバウンドデータリンク層フレームが、ネットワーキングマネージャによって、ＥＳを仲介デバイスに接続するケーブルを介してプレミスにおけるネットワークスイッチまたは他の類似のネットワーキング仲介デバイスに向けられ得る。

【0069】

インバウンドデータリンク層フレームＤＬＬＦは、ＥＳの物理ネットワーキングインターフェース（例えば、ネットワークインターフェースカードまたその等価物）で取得され（要素８１０）、ネットワーキングマネージャによって処理され得る。いくつかの実施態様では、ＤＬＬＦは、ＤＬＬＦが受信された送信元がプロバイダネットワークリソースであったかどうか、またはＥＳが位置するプレミスのローカルデバイスから受信したかどうかを示す、関連メタデータ（例えば、下位ドライバソフトウェアまたはハードウェアネットワーキングコンポーネントによってそれが配置される送信元キューの指示）を有し得る。このような実施態様では、そのようなメタデータは、最初にネットワーキングマネージャによってチェックされて、ＤＬＬＦが送信された送信元の種類が判定されてもよく、次いで、送信元に関する情報が、ＤＬＬＦがどのように処理されるべきかを判定するために、ＤＬＬＦのコンテンツと共に使用されてもよい。例えば、ＶＣＳのカプセル化プロトコルは、ＤＬＬＦがプロバイダネットワークリソースから受信された場合にのみ、以下で説明するように使用されてもよい。要素８１３に対応する動作で判定されるように、ＤＬＬＦが、以前に（例えば、ＥＳの初期構成中に）ＥＳに割り当てられたＶＣＳサブストレートネットワークアドレスである宛先アドレスＳＤＡを有するＩＰパケットＩＰＰ１を含む場合、ネットワーキングマネージャは、ＶＣＳのカプセル化プロトコルを使用して、ＩＰＰ１内にカプセル化された第２のＩＰパケットＩＰＰ２を抽出し得る（要素８１９）。ＩＰＰ２の宛先ＩＰアドレスが、ＣＩ１のＣＶＮＩに割り当てられたＩＰアドレスＩＰＡｄｄｒ１などの、ＥＳで実行している任意のＣＩのＣＶＮＩに割り当てられたＩＰアドレスと一致する場合、ネットワーキングマネージャは、第２のＩＰパケットＩＰＰ２のコンテンツをそのＣＩに配信し得る。万が一、ＥＳにおけるＣＩのＣＶＮＩと一致するＩＰアドレスが存在しない場合に、図示した実施形態では、ＩＰＰ２がドロップされる場合がある。いくつかの実施態様では、上述の種類のメタデータが使用されないことがある。

【0070】

少なくともいくつかの実施形態では、ＤＬＬＦが宛先アドレスとしてＳＤＡを有するＩＰパケットを含まない場合、ネットワーキングマネージャは、ＤＬＬＦの宛先ＭＡＣアドレスを使用して、ＤＬＬＦコンテンツが配信されるべき１つまたは複数のＣＩを識別しようとし得る。ＤＬＬＦ宛先ＭＡＣアドレスが、ＥＳ上で実行中の任意のＣＩに割り当てられたＭＡＣアドレス（ＣＩ１のＬＶＮＩに割り当てられたＭＡＣアドレスＭ１など）と一致する場合（要素８１６に対応する動作で判定される）、ネットワーキングマネージャは、図示した実施形態では、ＤＬＬＦコンテンツの少なくともサブセットをそのＣＩに配信し得る（要素８５９）。

【0071】

ＬＶＮＩのＭＡＣアドレスとの正確な一致が見つからない場合、ネットワーキングマネージャは、ＤＬＬＦがブロードキャストフレームであるかどうかを判定し得る（要素８２２）。ＤＬＬＦがブロードキャストフレームである場合、そのコンテンツは、図示した実施形態では、（例えば、ＬＶＮＩのセキュリティ設定または他のパラメータに基づいて）ブロードキャストフレームを受け入れるように構成されたＬＶＮＩを有するＥＳで実行している全てのＣＩに配信され得る（要素８２５）。そうでない場合、ネットワーキングマネージャは、ＣＶＮＩ ＩＶＮのＩＰアドレス一致またはＬＶＮＩのＭＡＣアドレス一致を使用してＤＬＬＦのための適当な宛先ＣＩを見つけることができず、ＤＬＬＦがブロードキャストフレームではなかったため、様々な実施形態においてＤＬＬＦがドロップされてもよい（要素８２８）。要素８１０以降に対応する動作は、図示した実施形態ではネットワークマネージャによって少なくともいくつかのインバウンドデータリンク層フレームに対して繰り返され得る。

【0072】

様々な実施形態において、図８の流れ図に示される動作のいくつかは、図に示される順序とは異なる順序で実施されてもよく、または順次ではなく並行して実行されてもよいことに留意されたい。例えば、いくつかの実施形態では、インバウンドメッセージのための宛先ＣＩを識別するために、ＭＡＣアドレスベースのチェック（要素８１６及び８５９）が、ＩＰアドレスベースのチェック（要素８１３及び８１９）の前に実行されてもよい。さらに、図８に示される動作のいくつかは、１つまたは複数の実施態様では必要とされないことがある。

【0073】

いくつかの実施形態では、着信メッセージを拡張サーバのコンピュートインスタンスに向ける役割をするネットワーキングマネージャは、拡張サーバのオフロードカードにおいて少なくとも部分的に実施され得る。図９は、少なくともいくつかの実施形態による、拡張サーバのコンポーネントの例を示す。図示されるように、ＶＣＳ拡張サーバ（ＥＳ）９０２は、プライマリ物理プロセッサセット９０４、メインメモリ（例えば、ランダムアクセスメモリ、即ちＲＡＭの１つまたは複数のモジュール）９０８、部分的にオフロードされた仮想化マネージャ（ＰＶＭ）９７０、ならびに上述した種類のＬＶＮＩ及び／またはＣＶＮＩがプログラムでアタッチされ得るＣＩ９５０Ａ、９５０Ｂ、及び９５０ＣなどのＣＩ９５０を含み得る。いくつかの実施形態では、ＣＩ９５０の個々のＣＩは、ゲスト仮想マシン（ＧＶＭ）と呼ばれるそれぞれの仮想マシンを含み得る。ＥＳ９０２は、いくつかの他のコンポーネント、例えば様々な永続ストレージデバイスも含んでもよく、それらは、混乱を避けるために図９には示されていない。プライマリ物理プロセッサセット９０４は、図示した実施形態におけるｐＣＰＵ９０５Ａ～９０５Ｃを含むいくつかの物理ＣＰＵ（ｐＣＰＵ）を含み得る。ｖＣＰＵまたは仮想ＣＰＵと呼ばれるｐＣＰＵの仮想化バージョンは、ＣＩのライフタイム中に、ＰＶＭ９７０によって個々のＣＩに割り当てられ得る。各ＣＩ９５０は、オペレーティングシステムのそれぞれのインスタンス（例えば、オペレーティングシステム９５２Ａ～９５２Ｂ）、及び仮想化コンピューティングサービスのクライアントに代わって実行されているアプリケーションのセット（例えば９５４Ａ～９５４Ｃ）を含み得る。アプリケーション９５４及び／または関連するオペレーティングシステム９５２のうちの１つまたは複数は、上述のようにＬＶＮＩを使用してローカルプレミスネットワーク内のデバイスとデータリンク層メッセージを交換し得る。

【0074】

ＰＶＭ９７０は、図示した実施形態では、オポチュニスティックストリップドダウンハイパーバイザ９２０（ｐＣＰＵ上で実行する）と、ｐＣＰＵを使用しない１つまたは複数のオフロードされた仮想化マネージャコンポーネント（ＯＶＭＣ）９７２と、を含み得る。ＯＶＭＣ９７２は、例えば、仮想化コントローラ９１５と、オフロードカード９１０におけるネットワーキングマネージャ９１６の少なくとも一部と、を含み得る。ネットワーキングマネージャは、オフロードカード９１０のネットワークケーブルポート９９１に接続されたケーブルを介してＥＳで受信されたデータリンク層フレームを検査し、そのフレームのコンテンツが前述の方法論（例えば、ＣＶＮＩのＩＶＮアドレスが、宛先ＣＩを選択するために使用されるかどうか、またはＬＶＮＩのＭＡＣドレスが使用されるかどうか）を使用して配信されるＣＩを判定し得る。ケーブルの他端は、図４の文脈で説明したように、ローカルネットワークスイッチに接続され得る。いくつかの実施形態では、ＯＶＭＣの個々のＯＶＭＣは、それぞれのシステムオンチップ設計を使用して実施され得る。図示した実施形態では、両方のＯＶＭＣ９７２が単一のオフロードカード９１０（例えば、ペリフェラルコンポーネントインターコネクトエクスプレス、即ちＰＣＩｅカード）内に組み込まれるとして示されているが、異なる実施形態では、ＯＶＭＣの配置及び編成に関する他の手法が採用され得る。例えば、一実施形態では、単一のシステムオンチップ実施態様は、仮想化コントローラ及びネットワーキングマネージャの機能を実行するために使用されてもよく、それによって、２つの異なるＯＶＭＣの必要性がなくなる。別の実施形態では、それぞれのオフロードカードが、仮想化コントローラ９１５及びネットワーキングマネージャ９１６のために使用され得る。仮想化コントローラは、その名前によって示唆されるように、図示した実施形態では、ＥＳ９０２で実行される仮想化管理作業の多くを編成または調整する役割をし得る。例えば、それは、ブートするＰＶＭのコンポーネントの最初のものであり、ＰＶＭの他のコンポーネントの起動をトリガする、ＶＣＳコントロールプレーンと通信する、ＣＩに関するメモリ割り当て決定をする、などを行ってもよい。ネットワーキングマネージャ９１６は、図示した実施形態では、１つまたは複数のネットワーキングプロトコル（例えば、ＶＣＳ内で使用されるカプセル化プロトコルを含む）を実施する、及びＣＩとＥＳの外部のネットワーキングエンドポイントとの間の仲介として機能する役割をし得る。

【0075】

ハイパーバイザ９２０は、図示した実施形態では、少なくともいくつかの従来のハイパーバイザによって行われる作業の多くが代わりにＯＶＭＣ９７２によってハンドリングされてもよく、それによってハイパーバイザ９２０の複雑性及びサイズが低減するため、ストリップドダウンとして説明され得る。加えて、ハイパーバイザ９２０は、ほとんどの状況下で、ハイパーバイザがＣＰＵサイクルを用いる前、ＣＩがｐＣＰＵ９０５の制御を自発的に放棄するまで待機し得るため、オポチュニスティックとして示され得る。よって、例えば、特定のＣＩ９５０がＩ／Ｏ要求（Ｉ／Ｏは完了に約Ｔ１の時間がかかることが見込まれる）を発行し、Ｉ／Ｏ要求に対する応答が受信されるまでｐＣＰＵを明け渡すと、ハイパーバイザはこの機会を利用して、ＣＩがｐＣＰＵの使用を見込まない間、ｐＣＰＵを使用して１つまたは複数の仮想化管理タスク（通常時間Ｔ２がかかり得る、Ｔ２＜＜Ｔ１）を行い得る。このようにして、図示した実施形態では、ハイパーバイザ９２０のアプリケーション９５４の性能に与える影響は最小限であり得る。

【0076】

ハイパーバイザ９２０はそれ自体、図示した実施形態では、オペレーティングシステムカーネルレベルコンポーネントのセット９２２、ハイパーバイザコーディネータ９２５、１つまたは複数のＧＶＭマネージャ９２８、分離／セキュリティコンポーネント９２９、及び／またはメッセージングマネージャ９３１を含む、いくつかのサブコンポーネントを含み得る。ハイパーバイザコーディネータ９２５、ＧＶＭマネージャ９２８のそれぞれ、分離／セキュリティコンポーネント９２９、及び／またはメッセージングマネージャ９３１は、少なくともいくつかの実施形態では、それぞれのユーザモードプロセスとして実施され得る。様々な実施形態では、これらのコンポーネントの少なくともいくつかは、簡易な特化されたプロトコルを用いてパイプを介して互いに通信するそれぞれの静的にリンクされたプログラムのインスタンスとして実施され得る。ハイパーバイザのサブコンポーネントは、図示した実施形態では、デフォルトで受動的な、または休止したままであってもよく、イベント（他のサブコンポーネントからのメッセージ、ＣＩによって開始されたコンテキストの切替えなど）にのみ応答して反応しアクティブ化する。いくつかの実施態様では、例えば、ハイパーバイザサブコンポーネントのいくつかは、典型的には、大部分の時間、ポーリングシステムコール（ｅｐｏｌｌ（）またはその均等物など）でブロックされたままであってもよい。

【0077】

カーネルレベルコンポーネント９２２は、ＣＩによって発行されたＶＭ ｅｘｉｔ命令（例えば、ＣＩがｐＣＰＵを明け渡すとき）への初期応答などの様々な下位レベルの演算に対するサポートを提供し得る。ハイパーバイザコーディネータ９２５は、その名前から示されるように、他のサブコンポーネントの動作を調整する役割をし得る。ハイパーバイザコーディネータ９２５は、例えば、ＯＶＭＣ９７２とハイパーバイザとの間の通信に使用され得るＡＰＩを実施してもよく、ＣＩの起動及び終了を開始する（例えば、ＣＩを起動または終了するためにＶＣＳコントロールプレーンから要求を受信したＯＶＭＣの要求により）、ＧＶＭマネージャによって収集されたメトリクスを公開する、デバッグケイパビリティを提供する、などを行う。

【0078】

各ＧＶＭマネージャ９２８は、コーディネータ９２５によって提供される仕様に基づいて各ＣＩを起動またはインスタンス化する、ＧＶＭのメトリクス及びログをモニタリングするなどの役割をし得る。いくつかの実施形態では、ＧＶＭマネージャ９２８はまた、例えばＣＩのＩ／Ｏ要求をトラップし、それらをＯＶＭＣの助けを得て完了するメモリマップドＩ／Ｏ動作に変換することによって、あるデバイスに対するＣＩによって要求されたＩ／Ｏ動作を支援し得る。少なくともいくつかの実施形態では、最小権限のセキュリティ関連原則に従って、ＧＶＭマネージャ９２８は、ＣＩのインスタンス化の間に可能な限り早く、それ自体の権限の多くをドロップし得る。例えば、１つまたは複数のｖＰＣＵ（仮想ＣＰＵ）スレッドがＣＩに対して生成され、ＣＩのメモリがマッピングされた後、ＧＶＭマネージャは、その権限のいくつかを無効にして、セキュリティが破られる機会を減少させ得る。いくつかの実施形態では、ＧＶＭマネージャとＣＩとの間に１対１のマッピングがあってもよく、他の実施形態では、単一のＧＶＭマネージャが複数のＧＶＭを担当してもよい。

【0079】

メッセージングマネージャ９３１は、例えば、仮想化コントローラによってキューベースのプロトコルを用いて発行されたコマンドをハイパーバイザ内のパイプメッセージに変換することによって、仮想化コントローラ９１５とハイパーバイザとの間の仲介として機能し得る。セキュリティ及び分離コンポーネント９２９は、例えば、ＣＩ間のデータの意図しない共有を回避し得るように、ＣＩが終了するときにＣＩのメモリをスクラブまたはクリーンアップする役割をし得る。いくつかの実施形態では、ネットワーキングマネージャ機能の少なくとも一部が、ハイパーバイザで実施され得る。ＰＶＭは、少なくともいくつかの実施形態では追加のコンポーネント（図９に図示せず）を含んでもよく、少なくとも一実施形態では、図９に示されるＰＶＭコンポーネントの１つまたは複数は必要でない場合があることに留意されたい。

【0080】

少なくともいくつかの実施形態では、本明細書中に記載するタイプの技術を実施するサーバ（例えば、ＶＣＳコントロールプレーン機能及び／または外部サーバ機能を含む）は、１つもしくは複数のコンピュータアクセス可能な媒体を含む、または１つもしくは複数のコンピュータアクセス可能な媒体にアクセスするように構成された、汎用コンピュータシステムを含み得る。図１０は、そのような汎用コンピューティングデバイス９０００を例示する。例示される実施形態では、コンピューティングデバイス９０００は、入力／出力（Ｉ／Ｏ）インターフェース９０３０を介して、システムメモリ９０２０（不揮発性及び揮発性の両方のメモリモジュールを含み得る）に連結された、１つまたは複数のプロセッサ９０１０を含む。コンピューティングデバイス９０００は、Ｉ／Ｏインターフェース９０３０に連結されたネットワークインターフェース９０４０をさらに含む。

【0081】

様々な実施形態において、コンピューティングデバイス９０００は、１つのプロセッサ９０１０を含むユニプロセッサシステム、またはいくつかのプロセッサ９０１０（例えば、２つ、４つ、８つ、もしくは別の適当な数）を含むマルチプロセッサシステムであってもよい。プロセッサ９０１０は、命令を実行することが可能な任意の適当なプロセッサであってもよい。例えば、様々な実施形態では、プロセッサ９０１０は、ｘ８６、ＰｏｗｅｒＰＣ、ＳＰＡＲＣ、ＡＲＭ、もしくはＭＩＰＳ ＩＳＡ、または任意の他の適当なＩＳＡなどの様々な命令セットアーキテクチャ（ＩＳＡ）のいずれかを実施する汎用プロセッサまたは組み込みプロセッサであってもよい。マルチプロセッサシステムでは、各プロセッサ９０１０が、一般的には同じＩＳＡを実施し得るが、必ずしもそうでなくてもよい。いくつかの実施態様では、グラフィックス処理ユニット（ＧＰＵ）及び／またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）は、従来のプロセッサの代わりに、または従来のプロセッサに加えて使用されてもよい。

【0082】

システムメモリ９０２０は、プロセッサ（複数可）９０１０によってアクセス可能な命令及びデータを記憶するように構成され得る。少なくともいくつかの実施形態では、システムメモリ９０２０は、揮発性部分及び不揮発性部分の両方を含んでもよく、他の実施形態では、揮発性メモリのみが使用されてもよい。様々な実施形態では、システムメモリ９０２０の揮発性部分は、スタティックランダムアクセスメモリ（ＳＲＡＭ）、同期ダイナミックＲＡＭ、または任意の他のタイプのメモリなどの任意の適当なメモリ技術を使用して実施され得る。システムメモリ（例えば、１つまたは複数のＮＶＤＩＭＭを含み得る）の不揮発性部分について、いくつかの実施形態では、ＮＡＮＤフラッシュデバイスを含むフラッシュベースのメモリデバイスが使用され得る。少なくともいくつかの実施形態では、システムメモリの不揮発性部分は、スーパーキャパシタまたは他の蓄電デバイス（例えば、バッテリ）などの電源を含み得る。様々な実施形態では、メモリスタベースの抵抗ランダムアクセスメモリ（ＲｅＲＡＭ）、３次元ＮＡＮＤ技術、強誘電ＲＡＭ、磁気抵抗ＲＡＭ（ＭＲＡＭ）、または様々なタイプの相変化メモリ（ＰＣＭ）のうちのいずれかが、少なくともシステムメモリの不揮発性部分に対して使用され得る。例示される実施形態では、上述のそれらの方法、技術、及びデータなどの１つまたは複数の所望の機能を実施するプログラム命令及びデータは、コード９０２５及びデータ９０２６として、システムメモリ９０２０内に記憶されて示されている。

【0083】

一実施形態では、Ｉ／Ｏインターフェース９０３０は、ネットワークインターフェース９０４０、または様々なタイプの永続的及び／または揮発性記憶デバイスなどの他の周辺インターフェースを含む、プロセッサ９０１０、システムメモリ９０２０、及びデバイス内の任意の周辺デバイス間のＩ／Ｏトラフィックを協調させるように構成され得る。いくつかの実施形態では、Ｉ／Ｏインターフェース９０３０は、あるコンポーネント（例えば、システムメモリ９０２０）からのデータ信号を、別のコンポーネント（例えば、プロセッサ９０１０）による使用に適したフォーマットに変換するために、任意の必要なプロトコル、タイミング、または他のデータ変換を実行し得る。いくつかの実施形態では、Ｉ／Ｏインターフェース９０３０は、例えば、ペリフェラルコンポーネントインターコネクト（ＰＣＩ）バス規格またはユニバーサルシリアルバス（ＵＳＢ）規格の変形などの様々なタイプの周辺バス（様々な種類のハードウェアアクセラレータ及び／またはオフローダを含む）を通してアタッチされるデバイスに対するサポートを含み得る。いくつかの実施形態では、Ｉ／Ｏインターフェース９０３０の機能は、例えば、ノースブリッジ及びサウスブリッジなどの２つ以上の別々のコンポーネントに分割され得る。また、いくつかの実施形態では、システムメモリ９０２０へのインターフェースなどのＩ／Ｏインターフェース９０３０の機能のうちのいくつかまたは全てが、プロセッサ９０１０に直接組み込まれ得る。

【0084】

ネットワークインターフェース９０４０は、データが、コンピューティングデバイス９０００と、例えば、図１～図９に例示されるような他のコンピュータシステムまたはデバイスなどの、１つまたは複数のネットワーク９０５０にアタッチされる他のデバイス９０６０との間で交換されることを可能にするように構成され得る。様々な実施形態では、ネットワークインターフェース９０４０は、例えば、イーサネットネットワークのタイプなどの任意の適当な有線または無線の一般データネットワークを介した通信をサポートし得る。さらに、ネットワークインターフェース９０４０は、アナログ音声ネットワークもしくはデジタルファイバ通信ネットワークなどの電気通信／テレフォニネットワークを介した、ファイバチャネルＳＡＮなどのストレージエリアネットワークを介した、または任意の他の適当なタイプのネットワーク及び／またはプロトコルを介した、通信をサポートし得る。

【0085】

いくつかの実施形態では、システムメモリ９０２０は、図１から図９の文脈で議論される方法及び装置を実施するために使用されるプログラム命令及びデータの少なくともサブセットを記憶するように構成されたコンピュータアクセス可能な媒体の一実施形態を表し得る。しかしながら、他の実施形態では、プログラム命令及び／またはデータは、異なるタイプのコンピュータアクセス可能な媒体で受信、送信、または記憶され得る。概して言えば、コンピュータアクセス可能な媒体は、Ｉ／Ｏインターフェース９０３０を介してコンピューティングデバイス９０００に連結される、磁気媒体または光媒体、例えば、ディスクまたはＤＶＤ／ＣＤなどの非一時的記憶媒体またはメモリ媒体を含み得る。非一時的コンピュータアクセス可能な記憶媒体はまた、システムメモリ９０２０または別のタイプのメモリとして、コンピューティングデバイス９０００のいくつかの実施形態に含まれ得る、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ ＳＤＲＡＭ、ＲＤＲＡＭ、ＳＲＡＭなど）、ＲＯＭなどの任意の揮発性または不揮発性媒体を含み得る。いくつかの実施形態では、複数の非一時的コンピュータ可読記憶媒体は、１つもしくは複数のプロセッサ上でまたは１つもしくは複数のプロセッサにわたって実行されると、上述の方法及び技術の少なくともサブセットを実施するプログラム命令をまとめて記憶し得る。コンピュータアクセス可能媒体は、さらに、ネットワークインターフェース９０４０を介して実施され得るような、ネットワーク及び／または無線リンクなどの通信媒体を介して伝送される送信媒体、または電気信号、電磁信号、もしくはデジタル信号などの信号を含み得る。図１０に示されるような複数のコンピューティングデバイスのうちの一部または全てが、様々な実施形態では、説明された機能を実施するために使用されてもよく、例えば、様々な異なるデバイス及びサーバ上で実行するソフトウェアコンポーネントが、機能を提供するために協働し得る。いくつかの実施形態では、説明された機能の一部は、汎用コンピュータシステムを使用して実施されることに加えて、またはその代わりに、記憶デバイス、ネットワークデバイス、または専用コンピュータシステムを使用して実施され得る。本明細書で使用される「コンピューティングデバイス」という用語は、少なくとも全てのこれらのタイプのデバイスを指し、これらのタイプのデバイスに限定されない。

【0086】

本開示の実施形態は、以下の条項を鑑みて説明され得る。

【0087】

条項１．
システムであって、前記システムが、
プロバイダネットワークの仮想化コンピューティングサービスのコントロールプレーンサーバであって、前記プロバイダネットワークのデータセンタに位置する、前記コントロールプレーンサーバと、
前記仮想化コンピューティングサービスの拡張サーバのネットワーキングマネージャであって、前記拡張サーバが、前記プロバイダネットワーク外部のプレミスに位置する、前記ネットワーキングマネージャと、を備え、
前記コントロールプレーンサーバが、
クラウドアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスのコンピュートインスタンスにアタッチさせ、前記コンピュートインスタンスが、前記拡張サーバで実行され、前記クラウドアクセス仮想ネットワークインターフェースに、前記仮想化コンピューティングサービスで構成された隔離仮想ネットワークのＩＰアドレスの範囲から、第１のインターネットプロトコル（ＩＰ）アドレスが割り当てられ、
ローカルプレミスアクセス仮想ネットワークインターフェースを前記コンピュートインスタンスにアタッチさせ、前記ローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによって特定のメディアアクセス制御（ＭＡＣ）アドレスが割り当てられ、前記ローカルプレミスアクセス仮想ネットワークインターフェースに、前記隔離仮想ネットワークの前記ネットワークアドレスの範囲からＩＰアドレスが割り当てられないように構成され、
前記ネットワーキングマネージャが、
前記拡張サーバで受信された第１のデータリンク層フレームが、前記仮想化コンピューティングサービスのサブストレートネットワークの仮想ホストネットワークアドレスのセット内の宛先アドレスを有する第１のＩＰパケットを含むと少なくとも判定することに応答して、
前記仮想化コンピューティングサービスのカプセル化プロトコルを利用して、前記第１のＩＰパケットから第２のＩＰパケットを抽出し、
前記第２のＩＰパケットの前記宛先アドレスが前記第１のＩＰアドレスと一致するとの判定に応答して、前記第２のＩＰパケットを前記コンピュートインスタンスに配信し、
前記拡張サーバで受信された第２のデータリンク層フレームの宛先ＭＡＣアドレスが、前記特定のＭＡＣアドレスと一致するとの判定に応答して、前記第２のデータリンク層フレームが、前記第１のＩＰパケットの前記宛先アドレスを有するＩＰパケットを含まず、前記カプセル化プロトコルを利用せずに、前記第２のデータリンク層フレームのコンテンツの少なくとも一部を前記コンピュートインスタンスに配信する、ように構成される、前記システム。

【0088】

条項２．
前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、前記コンピュートインスタンスを起動するための要求を取得するようにさらに構成され、前記ローカルプレミスアクセス仮想ネットワークインターフェースが、前記コンピュートインスタンスを起動するための前記要求に応答して、作成され、かつ前記コンピュートインスタンスにプログラムでアタッチされる、条項１に記載のシステム。

【0089】

条項３．
前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、前記コンピュートインスタンスを終了するための要求を受信したことに応答して、前記特定のＭＡＣアドレスが再利用可能であるという指示を記憶し、
前記特定のＭＡＣアドレスを別のローカルプレミスアクセス仮想ネットワークインターフェースに割り当て、
前記他のローカルプレミスアクセス仮想ネットワークインターフェースを別のコンピュートインスタンスにプログラムでアタッチするようにさらに構成される、条項１に記載のシステム。

【0090】

条項４．
前記コントロールプレーンサーバが、
前記コンピュートインスタンスが代わりに起動される前記仮想化コンピューティングサービスのクライアントからプログラムによるインターフェースを介して受信した入力に基づいて、前記特定のＭＡＣアドレスの少なくとも一部を判定するようにさらに構成される、条項１に記載のシステム。

【0091】

条項５．
前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、（ａ）前記クラウドアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関連するメトリクスの第１のセット、及び（ｂ）前記ローカルプレミスアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関連するメトリクスの第２のセットを提供させるようにさらに構成される、条項１に記載のシステム。

【0092】

条項６．
コンピュータ実施方法であって、
仮想化コンピューティングサービスのコントロールプレーンサーバによって、第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスの第１のコンピュートインスタンスにアタッチさせることであって、前記コントロールプレーンサーバが、プロバイダネットワークのデータセンタに位置し、前記第１のコンピュートインスタンスが、前記データセンタ外部のプレミスに位置する特定のサーバで実行され、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによって第１のメディアアクセス制御（ＭＡＣ）アドレスが割り当てられる、前記アタッチさせることと、
前記特定のサーバのネットワーキングマネージャによって、前記特定のサーバで受信された第１のデータリンク層フレームが前記特定のサーバに割り当てられた特定の宛先アドレスを有する第１のＩＰパケットを含むと判定することに応答して、
前記仮想化コンピューティングサービスのカプセル化プロトコルを使用して、前記第１のＩＰパケットから第２のＩＰパケットを抽出することと、
前記第２のＩＰパケットを前記第１のコンピュートインスタンスに配信することと、
前記ネットワーキングマネージャによって、前記特定のサーバで受信された第２のデータリンク層フレームの宛先ＭＡＣアドレスが前記第１のＭＡＣアドレスと一致すると判定することに応答して、前記第２のデータリンク層フレームのコンテンツの少なくとも一部を前記第１のコンピュートインスタンスに配信することと、を含む、前記コンピュータ実施方法。

【0093】

条項７．
プログラムによる要求に応答して、前記特定のサーバにおいて前記第１のコンピュートインスタンスを起動する前に、前記コントロールプレーンサーバによって前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを作成することをさらに含む、条項６に記載のコンピュータ実施方法。

【0094】

条項８．
前記第２のデータリンク層フレームが、前記特定のサーバにおいて、（ａ）前記プレミスにおけるモノのインターネット（ＩｏＴ）デバイス、または（ｂ）前記プレミスにおける産業オートメーションデバイス、のうちの１つから受信される、条項６～７のいずれか１項に記載のコンピュータ実施方法。

【0095】

条項９．
前記第２のデータリンク層フレームが、前記プレミスのローカルネットワークのネットワークスイッチに接続されたケーブルを介して前記特定のサーバで受信される、条項６～８のいずれか１項に記載のコンピュータ実施方法。

【0096】

条項１０．
プログラムによるインターフェースを介して受信された１つまたは複数の要求に応答して、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスからデタッチさせること、及び前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを第２のコンピュートインスタンスにアタッチさせることと、
前記第１のローカルプレミスアクセス仮想ネットワークインターフェースが前記第２のコンピュートインスタンスにプログラムでアタッチされた後、前記第２のコンピュートインスタンスが実行されるサーバで受信された第３のデータリンク層フレームの宛先ＭＡＣアドレスが前記第１のＭＡＣアドレスと一致すると判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第２のコンピュートインスタンスに配信することと、をさらに含む、請求項６～９のいずれか１項に記載のコンピュータ実施方法。

【0097】

条項１１．
前記第１のコンピュートインスタンスが、前記仮想化コンピューティングサービスの第１の隔離仮想ネットワーク内に構成され、前記第２のコンピュートインスタンスが、前記仮想化コンピューティングサービスの第２の隔離ネットワーク内に構成される、条項１０に記載のコンピュータ実施方法。

【0098】

条項１２．
前記コントロールプレーンサーバによって、第２のローカルプレミスアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスの前記特定のサーバで起動された第２のコンピュートインスタンスにアタッチさせることであって、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに第２のＭＡＣアドレスが割り当てられ、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによってインターネットプロトコル（ＩＰ）アドレスが割り当てられない、前記アタッチさせることと、
前記ネットワーキングマネージャによって、前記特定のサーバで受信された第３のデータリンク層フレームの宛先ＭＡＣアドレスが前記第２のＭＡＣアドレスと一致すると判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第２のコンピュートインスタンスに配信することと、をさらに含む、条項６～９のいずれか１項に記載のコンピュータ実施方法。

【0099】

条項１３．
プログラムによるインターフェースを介して受信した要求に応答して、前記第１のＭＡＣアドレスを提供することをさらに含む、条項６～９のいずれか１項に記載のコンピュータ実施方法。

【0100】

条項１４．
前記コントロールプレーンサーバによって、第２のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスにアタッチさせることであって、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに第２のＭＡＣアドレスが割り当てられ、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによってインターネットプロトコル（ＩＰ）アドレスが割り当てられない、前記アタッチさせることと、
前記ネットワーキングマネージャによって、前記第２のＭＡＣアドレスを宛先として有する第３のデータリンク層フレームが前記特定のサーバで受信されたと判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第１のコンピュートインスタンスに配信することと、をさらに含む、条項６～９のいずれか１項に記載のコンピュータ実施方法。

【0101】

条項１５．
前記コントロールプレーンサーバにおいてプログラムによるインターフェースを介して、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関して適用されるセキュリティ設定の指示を取得することであって、前記セキュリティ設定が、データリンク層フレームが受け入れられる送信元についての制限を含む、前記取得することと、
前記ネットワーキングマネージャによって、前記セキュリティ設定を施行することであって、前記第２のデータリンク層フレームの前記コンテンツの一部を前記第１のコンピュートインスタンスに配信する前に、前記第２のデータリンク層フレームが受信される送信元が、前記制限に違反しないことを検証することを含む、前記施行することと、をさらに含む条項６～９のいずれか１項に記載のコンピュータ実施方法。

【0102】

条項１６．
非一時的コンピュータアクセス可能記憶媒体であって、プロセッサ上で実行されると、
仮想化コンピューティングサービスの拡張サーバにおけるネットワーキングマネージャによって、第１のデータリンク層フレームが前記拡張サーバにおいて取得されたことを検出し、
前記ネットワーキングマネージャによって、前記第１のデータリンク層フレームの宛先メディアアクセス制御（ＭＡＣ）アドレスが前記第１のコンピュートインスタンスにアタッチされた第１のローカルプレミスアクセス仮想ネットワークインターフェースの特定のＭＡＣアドレスと一致すると判定することに応答して、前記第１のデータリンク層フレームのコンテンツの少なくとも一部を前記拡張サーバ上で実行している第１のコンピュートインスタンスに配信し、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに、前記仮想化コンピューティングサービスによって管理されるＩＰアドレスの範囲からインターネットプロトコル（ＩＰ）アドレスが割り当てられない、プログラム命令を記憶する、前記非一時的コンピュータアクセス可能記憶媒体。

【0103】

条項１７．
前記プロセッサ上で実行されると、
プログラムによるインターフェースを介して示されるレート制限に少なくとも一部基づいて、前記第１のコンピュートインスタンスからデータリンク層フレームが送信されるレートを抑制する、さらなるプログラム命令を記憶する、条項１６に記載の非一時的コンピュータアクセス可能記憶媒体。

【0104】

条項１８．
前記プロセッサ上で実行されると、
ブロードキャストデータリンク層フレームが前記拡張サーバで受信されたことを検出することに応答して、前記ネットワーキングマネージャによって、前記ブロードキャストデータリンク層フレームのコンテンツの少なくとも一部を、前記第１のコンピュートインスタンス、及び第２のローカルプレミスアクセス仮想ネットワークインターフェースがプログラムでアタッチされる第２のコンピュートインスタンスを含む、前記拡張サーバの複数のコンピュートインスタンスに配信する、さらなるプログラム命令を記憶する、条項１６～１７のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【0105】

条項１９．
前記プロセッサ上で実行されると、
前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスからデタッチすることに続いて、前記ネットワーキングマネージャによって、前記拡張サーバで受信された第２のデータリンク層フレームのコンテンツが前記第１のコンピュートインスタンスに配信されるべきでないと判定し、前記第２のデータリンク層フレームの宛先ＭＡＣアドレスが前記特定のＭＡＣアドレスと一致する、さらなるプログラム命令を記憶する、条項１６～１８のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【0106】

条項２０．
前記第１のデータリンク層フレームが、アドレス解決プロトコル（ＡＲＰ）、ドメインホスト構成プロトコル（ＤＨＣＰ）、または前記プレミスにおけるローカルネットワーク内で実施されるカスタムデータリンク層アプリケーションのうちの１つに従ってフォーマットされたメッセージを含む、条項１６～１９のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【0107】

結論
様々な実施形態は、コンピュータアクセス可能媒体に関する前述の説明に従って実施された命令及び／またはデータの受信、送信、または記憶をさらに含み得る。概して言えば、コンピュータアクセス可能媒体は、磁気媒体または光学媒体、例えば、ディスクまたはＤＶＤ／ＣＤ－ＲＯＭ、ＲＡＭ（例えばＳＤＲＡＭ、ＤＤＲ、ＲＤＲＡＭ、ＳＲＡＭなど）、ＲＯＭなどの揮発性媒体もしくは不揮発性媒体などの記憶媒体またはメモリ媒体と、ネットワーク及び／または無線リンクなどの通信媒体を介して伝送される電気信号、電磁信号、またはデジタル信号などの送信媒体または送信信号と、を含み得る。

【0108】

図に示され本明細書に説明される様々な方法は、方法の例示的実施形態を表す。方法は、ソフトウェア、ハードウェア、またはこれらの組み合わせで実施され得る。方法の順序は、変更されてもよく、様々な要素が、追加、再順序付け、組み合わせ、省略、修正などされてもよい。

【0109】

本開示の利点を有する当業者に明白であるように、様々な修正及び変更が行われてもよい。全てのそのような修正及び変更を含むことを意図しており、したがって、上記説明が限定的な意味ではなく、例示的であると考えるべきである。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【手続補正書】

【提出日】2024-05-20

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

システムであって、前記システムが、
プロバイダネットワークの仮想化コンピューティングサービスのコントロールプレーンサーバであって、前記プロバイダネットワークのデータセンタに位置する、前記コントロールプレーンサーバと、
前記仮想化コンピューティングサービスの拡張サーバのネットワーキングマネージャであって、前記拡張サーバが、前記プロバイダネットワーク外部のプレミスに位置する、前記ネットワーキングマネージャと、を備え、
前記コントロールプレーンサーバが、
クラウドアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスのコンピュートインスタンスにアタッチさせ、前記コンピュートインスタンスが、前記拡張サーバで実行され、前記クラウドアクセス仮想ネットワークインターフェースに、前記仮想化コンピューティングサービスで構成された隔離仮想ネットワークのＩＰアドレスの範囲から、第１のインターネットプロトコル（ＩＰ）アドレスが割り当てられ、
ローカルプレミスアクセス仮想ネットワークインターフェースを前記コンピュートインスタンスにアタッチさせ、前記ローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによって特定のメディアアクセス制御（ＭＡＣ）アドレスが割り当てられ、前記ローカルプレミスアクセス仮想ネットワークインターフェースに、前記隔離仮想ネットワークの前記ネットワークアドレスの範囲からＩＰアドレスが割り当てられないように構成され、
前記ネットワーキングマネージャが、
前記拡張サーバで受信された第１のデータリンク層フレームが、前記仮想化コンピューティングサービスのサブストレートネットワークの仮想ホストネットワークアドレスのセット内の宛先アドレスを有する第１のＩＰパケットを含むと少なくとも判定することに応答して、
前記仮想化コンピューティングサービスのカプセル化プロトコルを利用して、前記第１のＩＰパケットから第２のＩＰパケットを抽出し、
前記第２のＩＰパケットの前記宛先アドレスが前記第１のＩＰアドレスと一致するとの判定に応答して、前記第２のＩＰパケットを前記コンピュートインスタンスに配信し、
前記拡張サーバで受信された第２のデータリンク層フレームの宛先ＭＡＣアドレスが、前記特定のＭＡＣアドレスと一致するとの判定に応答して、前記第２のデータリンク層フレームが、前記第１のＩＰパケットの前記宛先アドレスを有するＩＰパケットを含まず、前記カプセル化プロトコルを利用せずに、前記第２のデータリンク層フレームのコンテンツの少なくとも一部を前記コンピュートインスタンスに配信する、ように構成される、前記システム。

【請求項2】

前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、前記コンピュートインスタンスを起動するための要求を取得するようにさらに構成され、前記ローカルプレミスアクセス仮想ネットワークインターフェースが、前記コンピュートインスタンスを起動するための前記要求に応答して、作成され、かつ前記コンピュートインスタンスにプログラムでアタッチされる、請求項１に記載のシステム。

【請求項3】

前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、前記コンピュートインスタンスを終了するための要求を受信したことに応答して、前記特定のＭＡＣアドレスが再利用可能であるという指示を記憶し、
前記特定のＭＡＣアドレスを別のローカルプレミスアクセス仮想ネットワークインターフェースに割り当て、
前記他のローカルプレミスアクセス仮想ネットワークインターフェースを別のコンピュートインスタンスにプログラムでアタッチするようにさらに構成される、請求項１に記載のシステム。

【請求項4】

前記コントロールプレーンサーバが、
前記コンピュートインスタンスが代わりに起動される前記仮想化コンピューティングサービスのクライアントからプログラムによるインターフェースを介して受信した入力に基づいて、前記特定のＭＡＣアドレスの少なくとも一部を判定するようにさらに構成される、請求項１に記載のシステム。

【請求項5】

前記コントロールプレーンサーバが、
プログラムによるインターフェースを介して、（ａ）前記クラウドアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関連するメトリクスの第１のセット、及び（ｂ）前記ローカルプレミスアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関連するメトリクスの第２のセットを提供させるようにさらに構成される、請求項１に記載のシステム。

【請求項6】

コンピュータ実施方法であって、
仮想化コンピューティングサービスのコントロールプレーンサーバによって、第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記仮想化コンピューティングサービスの第１のコンピュートインスタンスにアタッチさせることであって、前記コントロールプレーンサーバが、プロバイダネットワークのデータセンタに位置し、前記第１のコンピュートインスタンスが、前記データセンタ外部のプレミスに位置する特定のサーバで実行され、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによって第１のメディアアクセス制御（ＭＡＣ）アドレスが割り当てられる、前記アタッチさせることと、
前記特定のサーバのネットワーキングマネージャによって、前記特定のサーバで受信された第１のデータリンク層フレームが前記特定のサーバに割り当てられた特定の宛先アドレスを有する第１のＩＰパケットを含むと判定することに応答して、
前記仮想化コンピューティングサービスのカプセル化プロトコルを使用して、前記第１のＩＰパケットから第２のＩＰパケットを抽出することと、
前記第２のＩＰパケットを前記第１のコンピュートインスタンスに配信することと、
前記ネットワーキングマネージャによって、前記特定のサーバで受信された第２のデータリンク層フレームの宛先ＭＡＣアドレスが前記第１のＭＡＣアドレスと一致すると判定することに応答して、前記第２のデータリンク層フレームのコンテンツの少なくとも一部を前記第１のコンピュートインスタンスに配信することと、を含む、前記コンピュータ実施方法。

【請求項7】

プログラムによる要求に応答して、前記特定のサーバにおいて前記第１のコンピュートインスタンスを起動する前に、前記コントロールプレーンサーバによって前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを作成することをさらに含む、請求項６に記載のコンピュータ実施方法。

【請求項8】

前記コントロールプレーンサーバにおいてプログラムによるインターフェースを介して、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに関連付けられたネットワークトラフィックに関して適用されるセキュリティ設定の指示を取得することであって、前記セキュリティ設定が、データリンク層フレームが受け入れられる送信元についての制限を含む、前記取得することと、
前記ネットワーキングマネージャによって、前記セキュリティ設定を施行することであって、前記第２のデータリンク層フレームの前記コンテンツの一部を前記第１のコンピュートインスタンスに配信する前に、前記第２のデータリンク層フレームが受信される送信元が、前記制限に違反しないことを検証することを含む、前記施行することと、をさらに含む請求項６～７のいずれか１項に記載のコンピュータ実施方法。

【請求項9】

プログラムによるインターフェースを介して受信された１つまたは複数の要求に応答して、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスからデタッチさせること、及び前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを第２のコンピュートインスタンスにアタッチさせることと、
前記第１のローカルプレミスアクセス仮想ネットワークインターフェースが前記第２のコンピュートインスタンスにプログラムでアタッチされた後、前記第２のコンピュートインスタンスが実行されるサーバで受信された第３のデータリンク層フレームの宛先ＭＡＣアドレスが前記第１のＭＡＣアドレスと一致すると判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第２のコンピュートインスタンスに配信することと、をさらに含む、請求項６～７のいずれか１項に記載のコンピュータ実施方法。

【請求項10】

前記コントロールプレーンサーバによって、第２のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスにアタッチさせることであって、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに第２のＭＡＣアドレスが割り当てられ、前記第２のローカルプレミスアクセス仮想ネットワークインターフェースに、前記コントロールプレーンサーバによってインターネットプロトコル（ＩＰ）アドレスが割り当てられない、前記アタッチさせることと、
前記ネットワーキングマネージャによって、前記第２のＭＡＣアドレスを宛先として有する第３のデータリンク層フレームが前記特定のサーバで受信されたと判定することに応答して、前記第３のデータリンク層フレームのコンテンツの少なくとも一部を前記第１のコンピュートインスタンスに配信することと、をさらに含む、請求項６～７のいずれか１項に記載のコンピュータ実施方法。

【請求項11】

非一時的コンピュータアクセス可能記憶媒体であって、プロセッサ上で実行されると、
仮想化コンピューティングサービスの拡張サーバにおけるネットワーキングマネージャによって、第１のデータリンク層フレームが前記拡張サーバにおいて取得されたことを検出し、
前記ネットワーキングマネージャによって、前記第１のデータリンク層フレームの宛先メディアアクセス制御（ＭＡＣ）アドレスが前記第１のコンピュートインスタンスにアタッチされた第１のローカルプレミスアクセス仮想ネットワークインターフェースの特定のＭＡＣアドレスと一致すると判定することに応答して、前記第１のデータリンク層フレームのコンテンツの少なくとも一部を前記拡張サーバ上で実行している第１のコンピュートインスタンスに配信し、前記第１のローカルプレミスアクセス仮想ネットワークインターフェースに、前記仮想化コンピューティングサービスによって管理されるＩＰアドレスの範囲からインターネットプロトコル（ＩＰ）アドレスが割り当てられない、プログラム命令を記憶する、前記非一時的コンピュータアクセス可能記憶媒体。

【請求項12】

前記プロセッサ上で実行されると、
プログラムによるインターフェースを介して示されるレート制限に少なくとも一部基づいて、前記第１のコンピュートインスタンスからデータリンク層フレームが送信されるレートを抑制する、さらなるプログラム命令を記憶する、請求項１１に記載の非一時的コンピュータアクセス可能記憶媒体。

【請求項13】

前記プロセッサ上で実行されると、
ブロードキャストデータリンク層フレームが前記拡張サーバで受信されたことを検出することに応答して、前記ネットワーキングマネージャによって、前記ブロードキャストデータリンク層フレームのコンテンツの少なくとも一部を、前記第１のコンピュートインスタンス、及び第２のローカルプレミスアクセス仮想ネットワークインターフェースがプログラムでアタッチされる第２のコンピュートインスタンスを含む、前記拡張サーバの複数のコンピュートインスタンスに配信する、さらなるプログラム命令を記憶する、請求項１１～１２のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【請求項14】

前記プロセッサ上で実行されると、
前記第１のローカルプレミスアクセス仮想ネットワークインターフェースを前記第１のコンピュートインスタンスからデタッチすることに続いて、前記ネットワーキングマネージャによって、前記拡張サーバで受信された第２のデータリンク層フレームのコンテンツが前記第１のコンピュートインスタンスに配信されるべきでないと判定し、前記第２のデータリンク層フレームの宛先ＭＡＣアドレスが前記特定のＭＡＣアドレスと一致する、さらなるプログラム命令を記憶する、請求項１１～１２のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【請求項15】

前記第１のデータリンク層フレームが、アドレス解決プロトコル（ＡＲＰ）、ドメインホスト構成プロトコル（ＤＨＣＰ）、または前記外部サーバが位置するプレミスにおけるローカルネットワーク内で実施されるカスタムデータリンク層アプリケーションのうちの１つに従ってフォーマットされたメッセージを含む、請求項１１～１２のいずれか１項に記載の非一時的コンピュータアクセス可能記憶媒体。

【国際調査報告】