多种实施例涉及云数据中心、包括云数据中心的系统以及相关的方法。所述云数据中心可包括逻辑客户边缘路由器,该逻辑客户边缘路由器用于在私有企业网络内的地址和云网络中的逻辑网络内的地址间发送分组。逻辑网络可以具有被称为虚拟机的分配给私有企业网络的资源,并且可以与私有企业网共享公共IP地址空间。云数据中心处的目录可以将虚拟机的企业IP地址与逻辑网络内的云IP地址和位置IP地址相关联。当将分组发送到逻辑网络内的目的地时,云数据中心可以用两个专用报头,即cloudIP和locIP报头,对分组进行双重封装。
1.一种用于将云拓扑的资源合并到私有企业网络的方法,所述方法包括:xa0在云拓扑中的云数据中心中创建逻辑客户边缘路由器;xa0将所述私有企业网络内的IP子网提供给虚拟末节,所述虚拟末节包括含有被分配给所述私有企业网络并与虚拟末节外部的云资源分离的资源的云拓扑中的逻辑网络;xa0将来自IP子网的IP地址分配给所述虚拟末节内的每个资源;xa0在服务提供商接口中的提供商边缘路由器处提供虚拟路由器,以接口到所述私有企业网络的逻辑客户边缘路由器;xa0在云数据中心处的虚拟路由和转发表中添加关于所述IP子网的路由条目;xa0将所述路由条目分发给所述私有企业网络中的所有客户边缘路由器;以及xa0在云数据中心处的目录服务器中添加缺省条目,所述缺省条目将所有企业地址映射到云数据中心中的逻辑客户边缘路由器的位置IP地址和云IP地址。xa0
2.一种从私有企业网络中的源发送分组到分配给私有企业网络的云拓扑中的目的地的方法,所述方法包括:xa0将来自所述私有企业网络中的源的分组定向到云数据中心中的逻辑客户边缘路由器,所述云数据中心位于云拓扑中的虚拟末节中;xa0由云数据中心查询云数据中心中的目录服务,以确定目的地的云IP地址和位置IP地址;xa0在目的地位于所述虚拟末节内部的情况下,由云数据中心对所述分组进行封装,其中,首先用对应的目的地的云IP报头来封装所述分组,并且进一步地通过对应的目的地的位置IP报头来进一步封装所述分组;xa0由目的地的位置IP地址处的管理程序来解封装所述分组的位置IP报xa0头;以及xa0由目的地的云IP地址处的服务器来解封装所述分组的云IP报头。xa0
3.一种从分配给私有企业网络的云拓扑中的源发送分组到私有企业网络中的目的地的方法,所述方法包括:xa0由云拓扑中的虚拟末节内的管理程序接收来自所述管理程序宿主的虚拟机的分组;xa0由所述管理程序向在宿主所述管理程序的服务器处的转发表查询包括目的地IP地址的条目;xa0在所述转发表处没有条目时,由所述管理程序向所述虚拟末节中的云数据中心处的目录服务器查询位置IP地址和云IP地址;xa0封装分组,其中,首先用与所述云数据中心中的逻辑客户路由器的云IP地址对应的云IP报头来封装所述分组,并且进一步通过与所述云数据中心中的客户路由器对应的位置IP报头来进一步封装所述分组;xa0由所述云数据中心中的客户路由器解封装所述分组的位置IP报头;xa0由所述云数据中心中的客户路由器解封装所述分组的云IP报头;xa0由所述云数据中心中的客户路由器封装与所述私有企业网络中的目的地的IP地址对应的MPLS报头;xa0将分组递送给所述私有企业网络中的目的地;以及xa0由所述私有企业网络中的目的地处的客户路由器解封装所述MPLS报头。xa0
4.根据权利要求3所述的方法,进一步包括:xa0由所述管理程序计算安全令牌,所述安全令牌包括企业专用密钥、企业ID以及目的IP地址的组合。xa0
5.一种将云拓扑中的资源合并到私有企业网络的系统,所述系统包括:xa0虚拟末节,其包括云拓扑中的逻辑网络,包括分配给所述私有企业网络并与所述虚拟末节外部的云资源分离的资源,所述虚拟末节包括:xa0一系列服务器,每个服务器包括:xa0虚拟机,其包括所述服务器上被分配给所述私有企业网络的xa0资源,以及xa0管理程序,其宿主虚拟机,xa0数据中心互连交换机,可操作地耦合到至少所述一系列服务xa0器,以及xa0云数据中心,其连接到数据中心互连交换机,云数据中心将虚拟末节连接到所述私有企业网络;以及xa0服务提供商网络,用以将所述虚拟末节连接到私有企业网络。xa0
6.一种用于将私有企业网络扩展到云网络中的逻辑网络的系统,其中,所述云网络包括被分配给所述私有企业网络的资源,所述系统包括:xa0所述逻辑网络中与所述私有企业网络共享相同IP地址空间的一系列服务器,每个服务器包括:xa0包含所述服务器上分配给所述私有企业网络的资源的虚拟机,以及xa0宿主所述虚拟机的管理程序,以及xa0将所述逻辑网络连接到所述私有企业网络并与所述私有企业网络共享相同IP地址空间的所述逻辑网络中的逻辑客户端边缘路由器;以及xa0所述私有企业网络中的至少一个客户边缘路由器。xa0
7.根据权利要求6所述的系统,其中所述逻辑网络与所述逻辑网络外部的云资源分离。xa0
8.根据权利要求6所述的系统,进一步包括:xa0包括至少一个提供商边缘路由器的服务提供商网络,所述服务提供商网络连接所述私有企业网络中的客户边缘路由器和所述云网络中的逻辑网络内的逻辑客户边缘路由器。xa0
9.一种用于将云网络的资源合并到私有企业网络的方法,所述方法包括:xa0由云数据中心在云网络中的云数据中心中创建逻辑客户边缘路由器;xa0由所述云数据中心接收处于所述私有企业网络的地址空间内的IP子网;xa0由所述云数据中心从所述IP子网分配IP地址给所述云网络中逻辑网xa0络内的多个资源,所述云网络包括分配给所述私有企业网络的资源;xa0由逻辑客户边缘路由器在所述云数据中心处的虚拟路由和转发表中添加关于所述IP子网的路由条目;xa0由所述逻辑客户边缘路由器将所述路由条目转发给所述私有企业网络中的至少一个客户边缘路由器;以及xa0由所述逻辑客户边缘路由器在云数据中心处的目录服务器中添加缺省条目,所述缺省条目将与属于所述私有企业网络的装置关联的多个IP地址映射到云数据中心中的逻辑客户边缘路由器的位置IP地址和云IP地址。xa0
技术领域此处公开的实施例一般涉及网络基础架构以及互联网通信。
背景技术云计算网络是一种高度可伸缩的动态服务,其允许云计算提供商向互联网上的客户提供资源。云基础架构提供抽象层,使得客户不需要知道提供所请求的资源的云中的具体基础架构。这种服务帮助客户避免了在针对峰值使用的额外硬件方面的资金支出,因为客户可针对重负载使用云中的额外资源,而对于日常使用则使用私有企业网中已经到位的基础架构。例如,诸如作为服务的基础架构(IaaS)的系统,其允许客户在租用的计算机上运行其自己的计算机应用。这种系统允许对资源的可伸缩部署,其中,客户创建虚拟机,即,服务器实例,来运行他们选择的软件。客户可根据需要来创建、使用和损毁这些虚拟机,其中提供商通常对所使用的活动(active)服务器收费。然而,现有的服务并不处理所分配的诸如私有企业网内的资源之类的资源。这可能例如在应用向特定位置发送数据或者当内部网络和云网络使用不同的地址空间或寻址方案的情况下,引发问题。还存在与从恶意攻击隔离云资源以及确保与云网络资源的连接不危害内部网络基础架构相关的问题。此外,客户可能在处理不同组的内部和云资源而不是处理来自两个等价位置的资源时,面临增加的复杂度。因此,存在IaaS之外的将分配给云网络中的客户的资源无缝地合并到客户的现有私有企业网的需要。这种扩展将使全部所分配的云资源看起来与位于私有企业网内的资源相似,并表现得与其相似。这种实现将允许企业的工作负载无缝地延伸到专用私有企业网的资源与所分配的云拓扑中的资源的动态混合上。考虑到上述情况,将期望无缝地扩展私有企业网,以便包括云网络中的资源。更具体地,将期望实现私有企业网中的资源与所分配的云网络中的资源间的通信,使得客户可按照与私有网络上的资源相同的方式来处理云资源。基于对本说明书的阅读和理解,所属领域的技术人员将明了其它所期望的方面。
发明内容根据本发明对私有企业网到云网络的无缝扩展的需要,提出了对多种示例性实施例的简要概述。在下文的概述中,可能进行了一些简化和省略,这是为了突出和介绍多种示例性实施例的一些方面,而不是为了限制本发明的范围。接着是随后的部分中对优选示例性实施例的详细说明,其足以使本领域技术人员作出和使用创造性构想。多种示例性实施例涉及一种将云网络的资源合并到私有企业网络的方法。可包括:云数据中心,其创建云网络中云数据中心中的逻辑客户边缘路由器;接收处于私有企业网络的地址空间内的IP子网;将来自IP子网的IP地址分配给云网络中逻辑网络内的每个资源,所述云网络包括分配给所述私有企业网络的资源;为所述IP子网在云数据中心处的逻辑客户边缘路由器上的虚拟路由和转发表添加路由条目;将所述路由条目转发给私有企业网络中的所有客户边缘路由器;以及在目录服务器中添加缺省条目,所述缺省条目将所有企业地址映射到云数据中心中的逻辑客户边缘路由器的位置IP地址和云IP地址。多种示例性实施例还涉及一种向分配给私有企业网络的云网络中的目的地发送接收自私有企业网络中的源的分组的方法。可包括:云数据中心中的逻辑客户边缘路由器接收来自私有企业网络中的源的分组;向目录服务器查询目的地的云IP地址和位置IP地址;在逻辑客户边缘路由器确定目的地在逻辑网络内的情况下,封装所接收的分组;进一步使用目的地的相应位置IP报头对所接收的分组进行封装;以及向所述目的地转发所接收的分组,其中,所述逻辑客户边缘路由器通过所述目的位置IP地址将所接收的分组转发给目的云IP地址。多种示例性实施例还涉及一种转发源自分配给私有企业网络的云网络中的源的分组的方法。其可包括:管理程序接收来自云网络中的逻辑网络内的虚拟机的分组,所述云网络包括分配给私有企业网络的资源,在分组的目的地址不在宿主虚拟机的服务器上的虚拟路由和转发表中的情况下,向逻辑网络中的目录服务器查询目的地址;使用云IP报头对分组进行封装;用位置IP报头对分组进行进一步封装;以及将分组转发给位置IP地址。多种示例性实施例还包括一种将私有企业网络扩展到云网络中的逻辑网络的系统,所述云网络包括分配给所述私有企业网络的资源。其可包括:与所述私有企业网络共享相同IP地址空间的逻辑网络中的一系列服务器。每个服务器都包括:虚拟机,该虚拟机包括所述服务器上分配给所述私有企业网络的资源;以及宿主所述虚拟机的管理程序。所述系统还可包括:与所述私有企业网络共享相同IP地址空间的逻辑网络中逻辑客户边缘路由器,该逻辑客户边缘路由器将所述逻辑网络连接到所述私有企业网络;以及至少所述私有企业网络中的客户边缘路由器。多种示例性实施例还可包括一种云网络中的逻辑客户边缘路由器。该逻辑客户边缘路由器可包括:逻辑客户边缘路由器,该逻辑客户边缘路由器连接到私有企业网络中的至少一个客户边缘路由器以及宿主被分配给所述私有企业网络的虚拟机的服务器。所述私有网络中的客户边缘路由器和所述云网络中的逻辑客户边缘路由器和虚拟机可共享分配给所述私有企业网络的公共IP地址空间。按上述内容,多种示例性实施例将云资源放置到企业的私有地址空间内,由此将云资源无缝地整合到企业的现有拓扑中。多种实施例还通过将云资源放置到与网络外部的任何资源隔离的企业网络的安全分界线内,来确保安全性。客户由此可以按照与他或她配置和管理企业网络的内部资源相同的方式来配置云资源。除了这些益处,多种实施例还保留了云计算范例的优点,即,云资源的高度动态可伸缩性。
附图说明现在仅通过实例的方式参照附图来介绍根据实施例的设备和/或方法的一些实施例,其中:图1是用于将私有企业网络扩展到云网络的示例性网络的示意图;图2是使用L3协议的分组传输的示意图;图3是在扩展后的企业网络内建立的网络设备的示例性虚拟路由和转发表的示意图;图4是云网络内建立的网络设备的位置条目的示例性目录表的示意图;图5是示例性示出通过扩展后的企业网络传送的示例性数据报的内容的示意图;图6是将分组从私有企业网络内的位置发送到云网络内的目的地的方法的示例性实施例的流程图;图7是发送来自云网络内的位置的分组的方法的示例性实施例的流程图;以及图8是将所分配的云资源合并到私有企业网络的方法的示例性实施例的流程图。具体实施例现在参考附图,其中,相同的标号表示相同的组件或步骤,存在所公开的多种示例性实施例的广泛方面。图1是用于将私有企业网络扩展到云拓扑的示例性网络100的示意图。在多种示例性实施例中,网络100包括:私有企业网络101、服务提供商网络102、云网络103、客户边缘(CE)设备110a-h、提供商边缘设备111a-h、云数据中心CExa0112、数据中心互连113以及服务器114a-d,每个服务器114a-d都容纳管理程序115a-d和虚拟机116a-d。私有企业网络101、服务提供商网络102以及云网络103中的每个都可以是分组交换网络。这种分组交换网络可以是按照基于分组的协议来运行的任何网络。因此,网络101、102、103中的每个都可按照例如传输控制协议/互联网协议(TCP/IP)、多协议标签交换(MPLS)、异步传输模式(ATM)、帧中继、以太网、提供商骨干传输(PBT)或其它任何所属技术领域技术人员了解的合适的基于分组的协议来运行。更具体地,分组交换网络101、102、103可使用第3层协议,例如MPLS,作为虚拟专用网(VPN)来通信。私有企业网络101可以是合并了客户实体专用硬件的网络,并且可以被配置为使得企业内的设备占用相同的地址空间。在示例性实施例中,私有企业网络络101包括一系列客户边缘(CE)设备110a-e。在图1中示例性示出的实施例中,私有企业网络A(EntA)包含位于两个不同站点的客户边缘设备110a-e,所述两个站点通过服务提供商网络102彼此通信。在一些实施例中,私有企业网络101可包括在相同站点彼此直接连接的设备。私有企业网络101中的设备可共享相同的地址空间,例如,共享10.1IP前缀。私有企业网络101内的所有设备都可以位于同一安全分界线后面,使得网络安全可将安全分界线以内的设备与边界外的设备隔离,并控制安全边界处极少数所允许的通信。这允许诸如客户边缘设备110a-f的设备自由传递业务,而不必实现与跨越安全边界线相关的预防措施。服务提供商网络102可充当私有企业网络101的主机。服务提供商网102可包括一系列提供商边缘(PE)设备111a-h。服务提供商网络102可将私有企业网络101与其它网络连接,其它网络例如云网络103、其它私有企业网络、或者互联网等等。在一些实施例中,服务提供商网102可连接私有企业网络101的不同部分,尽管这些不同部分可能共享相同的地址空间。云网络103可包括一个或多个服务器114a-d,其可由云服务提供商拥有并通过互联网连接到网络中。例如,在基础架构服务模型中,云服务提供商可将位于云网络103中的特定资源分配给该云网络103的客户。这种特定资源可被分组为虚拟机116a-d。虚拟机116a可以是受位于私有企业网络101内的客户控制的云网络103中服务器114a上的服务器实例。客户可以具有随意创建、使用和损毁任何数量的虚拟机116a-d的能力。这种能力可以基于用户定义的准则,例如,带宽、储存能力以及处理需要。分配给客户的虚拟机116a-d可在云内部逻辑上彼此连接。在多种实施例中,分配给客户的所有虚拟机116a-d出现在相同的IP子网内,例如,诸如IP子网10.1.8/24。虚拟机116a-d可以物理上位于同一服务器114a上或位于不同的服务器114a-d上,但是保留彼此的逻辑连接。在一些实施例中,虚拟机116a可被移植到不同的物理位置,例如,云网络内的不同服务器114a。虚拟末节(virtualxa0stub,vstub)104可以是逻辑网络,该逻辑网络包括所有分配给特定客户的云网络103中的资源。因此,虚拟末节104可以包括:分配给客户的云网络103内的所有活动虚拟机116a-d;一系列管理程序115a-d,其可宿主(host)并控制所分配的虚拟机116a-d;数据中心互连113,其可以物理连接到包含所分配的虚拟机116a-d的每个服务器114a-d;以及云数据中心CExa0112,其可充当用于云网络103内所有所分配的虚拟机116a-d的集线器(hub)。如图1所示,虚拟末节104不需要其逻辑网络物理上邻近,并且可以包括连接不同物理服务器114a-d的连网组件,例如,数据中心互连113。虚拟末节可将分配给私有企业网络101的服务器114a-d与云网络103内但没有分配给该私有企业网络的一系列服务器119a、119b分离开。服务器系列119a、119b因此可以不连接到私有企业网络101或者不共享相同的地址空间。客户边缘(CE)设备110a可以是私有企业网络101内的节点。CE设备110a可以是网络节点,例如路由器或交换机,其被配置为向其它节点传送分组,所述其它节点例如是私有企业网络101内的其它客户边缘路由器、服务提供商网络102内的提供商边缘设备111a-h或云网络103内的云数据中心CExa0112。CE设备110a能够使用OSI参考模型的多个层,例如,使用MPLS的层3通信(L3MPLS),以及使用以太网和虚拟专用LAN服务(VPLS)的层2通信,与私有企业网络101内部和外部的其它设备通信。在一些实施例中,CE设备110a可以是居于物理设备上的虚拟路由器。每个提供商边缘(PE)设备111a-h都可以是服务提供商网络102内的节点,并且可以是路由器、交换机或相似的硬件设备。PE设备111a-h可以被配置为接收来自CE设备110a的分组,并在服务提供商网络102上传输这种分组。这些分组可被传送到私有企业网络101内的其它目的地、到云网络103内的目的地、或者到图1中未示出的其它网络中的目的地。云数据中心CExa0112可以是客户边缘路由器,并且可以由云服务提供商的客户运行的装备来实现。应当了解的是,尽管被称为“客户”边缘设备,但是云数据中心CExa0112也可以由云服务提供商或一些其它实体来拥有和/或运行。在一些实施例中,云数据中心CExa0112代表用于云网络103内的虚拟末节104的集线器。在一些实施例中,多个企业网络共享包含逻辑客户边缘路由器112的物理CE设备。在一些实施例中,云网络103还可以包含目录服务器。目录服务器可以保持映射条目的目录。如将在下文进一步详细讨论的,使用云IP地址(cloudIP)和位置IP地址(locIP),这些映射条目可将企业网内目的地的指定IP地址与云网络103内的目的地地址相关联。位置IP地址(locIP)标识虚拟末节104内特定交换机的位置,例如交换机117a。虚拟机116a具有locIP地址,该locIP地址指出其上驻留虚拟机116a的IP交换机117a。此外,不同的是,云IP地址(cloudIP)指出虚拟末节104内的每个虚拟机116a-d。因为设备可参考目录服务器以便替代所指定的IP地址,通过虚拟机的locIP和cloudIP地址来定位虚拟机,因此虚拟机116a可拥有与其位置逻辑上分离的不同地址。在一个实施例中,私有企业网络101内的源可使用企业网中的指定IP地址,以分组的形式向云网络103内的虚拟机116a发送信息。在这种情况下,云数据中心CExa0112可接收这种使用IP报头寻址的分组,并使用与云网络103内目的虚拟机116a对应的locIP地址报头和cloudIP地址报头两者,对接收到的发送给目的虚拟机116a的分组进行封装。云数据中心CExa0112可通过位于目录服务器上的目录,将企业ID(IP地址)与虚拟机的locIP和cloudIP地址相关联。如将在下面进一步详细讨论的,目录服务器内的目录可包含私有企业网络101和云网络103中活动服务器和虚拟机的地址条目。从一个网络发送到其它网络的分组可通过云数据中心CExa0112,云数据中心CExa0112使用目录将接到的分组的报头与其它网络中的必要报头相关联。例如,云数据中心CExa0112使用目录来查找cloudIP和locIP地址报头,以便在云网络中正确地发送分组。云数据中心CExa0112还可以使用目录来解封装源于云网络103的cloudIP和locIP地址报头,以便用适当的IP报头(例如L3报头)来封装分组,以便在服务提供商网络102和私有企业网络101内发送分组。虽然仅示出一个逻辑CE,替代性实施例可以包括多个逻辑CE。在这种实施例中,企业地址空间内的虚拟机116a-d可以被分配给不同的逻辑CE,每个逻辑CE充当独立的集线器。如下面讨论的,这种实施例还可以允许由每个逻辑CE而不是管理程序115a-d来进行目录查找。多个逻辑CE设备还可免除对于虚拟末节104内云目的地的locIP和cloudIP报头的需要,因为数据分组可以作为替代,被隧道传输到合适的集线器逻辑CE。数据中心互连113可以是连接到一系列服务器114a-d的交换机或一系列交换机。数据中心互连113可以将云数据中心CExa0112直接连接到所分配的一系列服务器114a-d。可替换地,数据中心互连113可以通过一系列中间交换机117a-c,连接到一系列服务器114a-d。在这种情况下,每个中间交换机117a-c可同时连接到多个服务器114a-d。中间交换机117a可以具有虚拟末节104内的唯一位置IP(locIP)地址。当在中间交换机117a连接的服务器114a中的一个上收到寻址到虚拟机116a的分组时,中间交换机117a可以从分组解封装locIP报头,并且然后可以将分组转发到具有相应cloudIP地址的服务器114a。服务器114a可以是向客户端提供计算服务的设备。更具体地,服务器可以是宿主计算资源的连网设备,所述计算资源例如是存储和处理容量,客户端用其来例如执行应用或者将文件存储到存储器中。因此,服务器114a-d可以是,例如,基于分类的服务器(即,刀片服务器),其包括多个槽,每个槽都能够持有物理服务器刀片。每个物理服务器114a-d都可以包括管理程序115a-d和至少一个虚拟机116a-d。一个或多个管理程序115a-d可以位于每个物理服务器114a-d上。在一个实施例中,管理程序115a-d宿主每个所分配的虚拟机116a-d,虚拟机116a-d物理地位于它们所占据的物理服务器上。每个管理程序115a-d由此都可以同时控制一个或多个虚拟机116a-d。管理程序115a-d可以知道企业信息,企业信息可以包括例如,管理程序115a-d宿主的每个虚拟机的cloudIP地址,以及宿主管理程序115a-d的中间交换机117a-c的locIP地址。管理程序115a-d因此识别其宿主的虚拟机116a-d的企业成员(即,企业ID)。管理程序115a-d还可以解释与其宿主的虚拟机116a-d相关的业务。当虚拟机116a-d向虚拟末节104外部的目的地发送分组时,管理程序115a-d可以用与云数据中心CExa0112关联的locIP报头和cloudIP报头这两者,对发送自管理程序115a-d宿主的虚拟机116a-d中的一个的分组进行封装。管理程序115a-d还可以对发送给管理程序115a-d宿主的虚拟机116a-d的分组的cloudIP报头进行解封装。在一些实施例中,管理程序115a-d识别其宿主的每个虚拟机116a-d的安全参数。这些安全参数可以包括,例如,当虚拟末节104改变大小时,阻止信息的任何非故意泄露的嵌入式客户ID。管理程序115a-d可以识别其它安全特征,例如下面将介绍的安全令牌(或成对的安全令牌),其可以阻止诸如恶意管理程序等这种实体的故意攻击以及其它远程登录攻击。图2是使用L3MPLS协议的分组传输的示意图。如图2所示,每个端点处的设备可使用IP地址来寻址目的地,其中,每个IP地址都在企业的IP地址空间内。如将在下面进一步详细讨论的,云网络103中的虚拟末节104指定有私有网络企业101的IP地址空间(图2中示为10.1)内的IP子网(图2中示为10.1.8)。相应地,虚拟末节104内的每个虚拟机116a-d也都指定有IP子网内的相应地址。应当了解的是,云网络103的本性可排除云网络103内特定的、静态IP地址的使用,以便确定虚拟机116a-d的位置。例如,虚拟机116a可以动态地移植到不同的物理服务器114d,使得在任意给定时间寻址特定的虚拟机116a时,都难以确定要使用的适当IP地址。因此,在云网络103内,通过虚拟机116a的企业ID、位置IP地址以及云IP地址来标识虚拟机116a。该寻址信息可存储在目录服务器中的目录中。相应地,分组到云网络103内的目的地的传输可能涉及对分组的双重封装,用内部云IP报头和外部位置IP报头来封装每个分组。例如,如果分组要被从云网络103内的虚拟机116a发送到私有企业网络101内的目的地,则封装分组的cloudIP和locIP报头对应于云数据中心CExa0112的地址,云数据中心CExa0112充当包含不同的云IP地址的虚拟末节106的集线器,其使用例如层3协议将分组转发给私有企业网络101内的恰当的IP地址。在图2示例性示出的实例中,IP地址为10.1.2.2的私有企业网络101中的源201(位置“A”)向目的虚拟机116a(位置“B”)发送分组,虚拟机116a在云网络103中的IP地址10.1.8.8处。源“A”201使用内部网关协议(IGP)路由,将分组203定向到私有企业网络101内的客户边缘路由器CE
Axa0110a。除了有效载荷之外,示例性分组203的报头包括源IP地址报头(10.1.2.2)和目的地IP地址报头(10.1.8.8)。使用MPLS标签栈,可通过服务提供商网络102中的至少一个提供商边缘设备111a,将分组发送到云网络103内的云数据中心CExa0112。如所属领域的技术人员容易了解的,可根据另外的协议,例如,层3隧道,通过私有企业网络101和服务企业网络103将分组发送到云数据中心CExa0112。尽管图2包括了单个提供商边缘设备111a,但是当分组被隧道传输到云数据中心CExa0112时,其它实施例可包括一系列连接的提供商边缘设备111a-f。基于对分组203的接收,云数据中心CExa0112于是可向目录服务器查询与云网络103内的目的地“B”关联的位置IP地址(locIP)和云IP地址(cloudIP)。如果云数据中心CExa0112找到对应的条目,则云数据中心CE112可用与目的地“B”关联的cloudIP报头和locIP报头对分组203进行双重封装,如经过双重封装的分组206所示。这种双重封装涉及用cloudIP报头对分组203的第一次封装,然后用外部locIP报头对修改后的分组的封装。云数据中心CExa0112于是通过数据中心互连113和云网络103,将经过双重封装的分组206发送给具有对应目的locIP地址的层3中间交换机117a。中间交换机117于是从分组206解封装locIP报头,并将修改后的分组209传送到对应的目的cloudIP地址。在与目的cloudIP地址对应的服务器114a处,服务器114a上的管理程序115a从修改后的分组209解封装cloudIP报头,并将分组210传送给服务器114a上的目的虚拟机“B”116a。在一些实施例中,管理程序115a还可以验证分组210中的安全令牌,以验证分组来自相同的企业网络。图3是容纳在云数据中心CExa0112的逻辑CE路由器的示例性虚拟路由和转发(VRF)表300。其它设备,例如私有企业网络101内的客户边缘设备110a-e和服务提供商网络102内的提供商边缘设备111a-h,也可以保持类似的VRF表300。entIP字段301对应于位置的企业ID。在示例性实施例中,虚拟末节104内的资源被指定在所指定的IP子网内的IP地址,使得云网络103和私有企业网络101两者中的资源共享同一地址空间。在示例性实施例中,云中的资源使用10.1.8/24作为IP子网(用/24表示子网内的24比特),而云外部的设备可以使用同一地址空间中的其它地址,例如,私有企业网络101中的客户边缘设备条目313使用所分配的10.1/16IP子网中的IP地址。locIP字段302对应于云网络103中的设备的位置IP地址。locIP对应于宿主条目的虚拟机116a的云网络103内的中间交换机117a的地址。在图3的示例性实施例中,虚拟机条目311具有位置IP地址20.2.2.8,对应于宿主对应虚拟机116a的中间交换机117a。cloudIP字段303可以对应于云网络103内虚拟机116a的cloudIP地址。locIP地址302处的中间交换机117a具有用于其宿主的每个虚拟机116a的不同的、非重叠cloudIP地址303。云数据中心可以在云网络103中的虚拟机116a-d之间分配cloudIP地址。在示例性实施例中,虚拟机条目具有cloudIPxa020.2.2.1,使得当中间交换机117a接收关于虚拟机116a的分组时,交换机可通过管理程序115a将分组转发到特定虚拟机20.2.2.1。nextHop字段304是指设备应当将分组发送到的企业网络中的下一位置。在示例性实施例中,条目313具有IP子网10.1/16内的entIP地址,其对应于私有企业网络101内的位置。相应地,由于locIP和cloudIP地址可能仅被云网络103内的地址所使用,所以该位置不具有可应用的locIP或cloudIP地址。因此,来自云数据中心CExa0112的相应nextHop条目到达所连接的供应商边缘设备111a,该供应商边缘设备111a基于对目的地是10.1/16子网内的分组的接收,将参考其自己的VRF表,并将分组转发给条目的相应nextHop地址。该过程将按顺序在每个设备上继续,直到分组最终到达私有企业网络101的10.1/16子网内的目的IP地址。图4是目录服务器内的示例性目录表。目录表400与云数据中心VRF表300相似,除了目录表400不保持nextHop字段304外,其保持了entIP字段、locIP字段以及cloudIP字段。这是因为目录表400不保持转发信息;而是,目录表400简单地保持关于私有企业网络101和云网络103两者中的位置的locIPxa0302和cloudIPxa0303地址的综合列表。在示例性实施例中,“缺省”条目411仅将IP
CA作为其locIPxa0302地址,并且没有可应用的cloudIPxa0303地址。缺省条目411指私有企业网络101内的设备,其不具有明确的locIPxa0302或cloudIPxa0303地址。IP
CA条目意味着具有目录400中未具体列为带有有效locIPxa0302和cloudIPxa0303地址的条目412的目的地的分组,应当被定向给云数据中心CExa0112,云数据中心CExa0112于是将使用其VRF表300,将分组转发给私有企业网络101内的恰当目的地。在示例性实施例中,虚拟机116可关闭。当虚拟机关闭时,可以删除目录服务器处目录400内的VM条目。在另一示例性实施例中,VM可以移植到不同的服务器,例如从114a移植到114c。在VM移植到另外的服务器114c的情况下,其locIP地址将在目录400中被更新,以反映VMxa0116a现在所处的新服务器114c。虚拟机116a还可以移植到新的云数据中心CE112。在过时条目的情况下(具有陈旧VRF表的设备),之前locIP地址处的交换机117a将把错误地寻址的分组转发给新的云数据中心CE处的目录服务器。目录服务器于是将通过单播来纠正过时交换机的VRF表。图5是系统中使用的数据报的示例性说明。数据报500可以代表分组。图5说明了双重封装后的分组的示例性数据报,除有效载荷501之外,经过双重封装的分组包含内部cloudIP报头和外部locIP报头两者、目的cloudIP地址503。数据包还可以包括安全令牌502。安全令牌可以包括例如企业专用密钥、企业ID和目的地IP地址的组合。管理程序115a可尝试验证安全令牌502,并且如果分组包含错误的安全令牌502,则丢弃分组。在一个实施例中,可通过成对的安全令牌502对分组进行编码。可从成对的密钥导出成对的安全令牌,成对的密钥是仅用于一个用户的私有密钥。通过将攻击定位到具有与恶意管理程序115a的安全关联的虚拟机116a-d,这可能有助于阻止来自恶意管理程序115a的攻击。此外,数据报500可以包括用于安全原因的客户IDxa0504,因为客户ID504阻止向不在虚拟末节104内的虚拟机116a-d发送分组。该情形可发生在例如,如果虚拟机116a-d移植或关闭并且设备继续向该虚拟机116发送业务的情况下。在一个实施例中,可以利用共享组密钥来对有效载荷501进行加密。共享的组密钥可以在指定客户组的成员间共享。图6是使用双重封装将分组203从私有企业网络101中的源发送到云网络103中的目的地的方法600的示例性实施例的流程图。在步骤601,来自私有企业网络101内的源“A”的分组可被传送给私有企业网络101内的逻辑CE设备101a,该逻辑CE设备101a可以通过服务提供商网络102内的至少PE设备111a,将分组转发给云网络103内的云数据中心CExa0112。在步骤S602,云数据中心CExa0112可以查询目录服务器。查询可以承担对目录400关于目的地“B”的位置IP(locIP)和云IP(cloudIP)的查找,如果位置在云网络103内的话。如果目的地“B”在云网络103内,则在步骤603,云数据中心CExa0112可取出相应的目的cloudIP地址和位置IP地址。在步骤S604,云数据中心CExa0112可用与取出的cloudIP地址对应的报头来封装分组。在步骤S605,云数据中心CExa0112可用与取出的locIP地址对应的报头来封装经过修改的分组。在步骤S606,云数据中心CExa0112可以通过云网络103,将经过双重封装的分组206传送到对应的locIP地址。在步骤607,locIP地址处的中间交换机117a可以从经过双重封装的分组206解封装locIP报头,并将修改后的分组209传送到对应的cloudIP地址。在步骤608,对应cloudIP地址处的服务器114a上的管理程序115a可解封装修改后的分组209,并将分组210传送到目的地“B”处的对应虚拟机116a。在替代性实施例中,在将分组210传送给虚拟机116a之前,管理程序115a可首先通过验证所包括的安全令牌502,确认收到的分组210。图7示例性示出从云网络103内的源发送分组的示例性方法700。在步骤701,源“B”的服务器114a上的管理程序115a接收来自源“B”虚拟机116a的分组210。在步骤702,管理程序115a检查目的地址是否在其VRF表中。如果存在关于目的地“A”201的转发条目,则跟随步骤704,然而,如果未列出目的地址“A”201,则跟随步骤703。在步骤704,管理程序115a用对应的cloudIP报头来封装分组210。在步骤705,管理程序115a于是用对应的locIP报头来封装经过修改的分组209。在步骤706,管理程序115a将经过双重封装的分组206发送给对应的locIP地址。在步骤707,如果目的地“A”在云网络103内,则对应locIP地址处的中间交换机117b从经过双重封装的分组206解封装locIP报头,并将修改后的分组209发送到对应的cloudIP地址。在步骤708,对应cloudIP地址处的管理程序115c解封装修改后的分组209。在步骤709,管理程序115c将分组传送到目的地“A”VMxa0116c。在一些实施例中,在将分组203发送到目的地“A”VM之前,管理程序115c为了验证首先检查修改后的分组的安全令牌502。在步骤702中,在确定目的地在私有企业网络101内时,方法700进行到步骤703。在步骤703,管理程序115a向目录服务器查询目的地“A”cloudIP地址和locIP地址。当目的地在私有企业网络101内时,对应的目的地locIP是连接到云数据中心CExa0112的中间交换机IPxa0117a的IP地址,并且对应的cloudIP地址是云数据中心CExa0112的IP。方法700进行到710,其对应于上文详细介绍的步骤704。然后,方法700进行到步骤711和712,其对应于上文详细介绍的步骤705和706。这导致经过双重封装的分组209的cloudIP地址对应于云数据中心CExa0112。相应地,在步骤712a中,云数据中心CExa0112确定locIP地址是否在其IP地址空间内。如果不在,则方法700进行到步骤707,因为分组被传递给云网络103内的另一VM。如果locIP在逻辑CExa0112的IP地址空间内,则方法700进行到步骤713,其中云数据中心CExa0112对经过双重封装的分组206进行其locIP和cloudIP报头两者的解封装。在步骤714,云数据中心CExa0112使用其VRF表300,查找私有企业网络101内目的地址“A”的对应条目。在步骤715,云数据中心CExa0112用层3报头来封装分组203,例如,与私有企业网络101内目的地“A”地址对应的MPLS报头。在步骤716,云数据中心CExa0112将MPLS分组通过私有企业网络101传送到目的地“A”201。在步骤717,私有企业网络101内目的地“A”地址处的客户边缘设备111a解封装MPLS分组的MPLS报头,并且在步骤718,客户边缘设备111a将分组203传送到对应的目的地址“A”201。图8示例性示出将所分配的云资源合并到私有企业网络的示例性方法。在步骤801,云数据中心创建逻辑客户边缘(CE)路由器、云数据中心CExa0112。逻辑CE路由器是像私有企业网络101内的客户边缘路由器那样作用的虚拟路由器。由于一个逻辑CE宿主一个虚拟末节104,所以云数据中心创建逻辑CE,并且云数据中心能够宿主多个虚拟末节。在步骤802,云数据中心将IP子网提供给逻辑CE路由器。逻辑CE路由器112充当虚拟末节104的集线器。虚拟末节104是包括云服务提供商分配给私有企业网络101的资源的云网络103内的逻辑网络。可将虚拟末节104内部的资源与虚拟末节104外部的其它云资源分离。在步骤803,对虚拟末节104内的每个资源分配所提供的IP子网内的地址,例如,当指定的IP子网是10.1.8/16时,为虚拟机116指定IP地址10.1.8.8。在步骤804,通过连接到私有企业网络101中的客户边缘设备110a和云数据中心CExa0112,服务提供商网络102内的提供商边缘路由器111b被提供有与虚拟末节104通过接口的联系。在步骤805,云数据中心可以将所提供的子网的路由条目412添加到云数据中心CExa0112内目录服务器上的目录400。由于虚拟末节104内的资源是所提供的IP子网内的地址,所以简单地添加子网就允许这些资源接收来自其它源的分组,因为关于子网的分组现在可被传送给云数据中心CE112,并且于是被转发到虚拟末节104内的正确地址。在步骤806,云数据中心CExa0112将更新过的路由信息转发给位于私有企业网络101内的客户边缘设备110a-d。在步骤807,云数据中心CExa0112将缺省条目添加到目录400,目录400将私有企业网络101中的设备110a-d的地址映射到云数据中心CExa0112,其中,私有网络内的地址具有与逻辑CExa0112的locIP和cloudIP地址对应的locIP和cloudIP地址。这使得对于从云网络103内发送到私有企业网络101内的目的地的分组,能够首先将分组发送到云数据中心CExa0112,其然后将分组转发到私有企业网络101内的适当目的地。云数据中心CExa0112因此充当私有企业网络101和云网络103中的设备间通信的主要集线器,因为这两个网络中的位置间的通信首先被转发到云数据中心CExa0112,云数据中心CExa0112于是使用目录服务器以适当的IP报头来封装分组,并通过其它网络将分组转发到其最终目的地。通过前述说明应当了解的是,可以在硬件和/或固件中实现本发明的各种示例性实施例。此外,可以将各种示例性实施例实现为存储在机器可读存储介质上的指令,该指令可由至少一个处理器读取并执行,以实现此处详细介绍的操作。机器可读存储介质可以包括用于以机器可读的形式存储信息的任何机制,例如网络节点(例如,路由器或交换机)。因此,机器可读存储介质可以包括只读存储器(ROM)、随机存取存储器(RAM)、磁盘存储媒介、光存储媒介、闪存设备、以及类似存储媒介。尽管以对特定示例性方面的具体参考的方式详细地介绍了各种示例性实施例,但是应当了解的是,本发明还能够实现为其它实施例,并且本发明的细节可在诸多明显方面进行修改。所属领域的技术人员容易了解的,可实施各种变型和修改而保留在本发明的精神和范围内。相应地,前述公开内容、说明和附图仅用于示例性目的,并且不以任何方式来限制本发明,本发明仅由权利要求来限定。
