JP2022546563A - 複数のドメインにまたがるポリシープレーンの統合 - Google Patents

Abstract

セグメントルーティングを介してＳＤＷＡＮを相互接続するためのシステム、方法、およびコンピュータ可読媒体。ＳＤＷＡＮファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別することができる。第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続するセグメントルーティングドメインは、ＳＤＷＡＮファブリックのＷＡＮアンダーレイ上に形成できる。第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信は、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間に形成されたセグメントルーティングドメインを介してセグメントルーティングを実行することによって制御できる。【選択図】図６

Description

関連出願の相互参照
本出願は、２０１９年９月４日に出願され、ＰＯＬＩＣＹ ＰＬＡＮＥ ＩＮＴＥＧＲＡＴＩＯＮ ＡＣＲＯＳＳ ＭＵＬＴＩＰＬＥ ＤＯＭＡＩＮＳと題する米国非仮特許出願第１６／５６０，８４９号の利益および優先権を主張し、その全体を参照することにより、その内容が本明細書によって明示的に援用される。

本開示の主題は、概して、コンピュータネットワーキングの分野に関し、より詳細には、セグメントルーティングを介してＳＤＷＡＮを相互接続するためのシステムおよび方法に関する。

エンタープライズネットワークの状況は、絶えず進化している。モバイルデバイスおよびモノのインターネット（ＩｏＴ）デバイスのトラフィック、サービスとしてのソフトウェア（ＳａａＳ）のアプリケーション、ならびにクラウドの採用に対する需要が高まっている。加えて、セキュリティのニーズが高まっており、特定のアプリケーションは、適切な操作のために優先順位付けおよび最適化を必要とすることがある。この複雑さが増すにつれて、高可用性および拡張性を提供しながら、コストおよび運用費を削減することが求められている。

従来のワイドエリアネットワーク（ＷＡＮ）アーキテクチャは、この進化する状況下で大きな課題に直面している。従来のＷＡＮアーキテクチャは通常、複数のマルチプロトコルラベルスイッチング（ＭＰＬＳ）トランスポート、またはアクティブ／バックアップ方式で使用されるインターネットまたはロングタームエボリューション（ＬＴＥ）リンクと組み合わせたＭＰＬＳからなり、ほとんどの場合、インターネットまたはＳａａＳのトラフィックが、インターネットアクセスのために、中央データセンターまたは地域ハブにバックホールされる。これらのアーキテクチャに関する問題は、不十分な帯域幅、高い帯域幅コスト、アプリケーションのダウンタイム、低いＳａａＳ性能、複雑な操作、クラウド接続のための複雑なワークフロー、長い展開時間およびポリシーの変更、アプリケーションの可視性の制限、ネットワークの保護の難しさを含み得る。

近年、これらの課題に対処するために、ソフトウェア定義エンタープライズネットワークソリューションが開発された。ソフトウェア定義エンタープライズネットワーキングは、ソフトウェア定義ワイドエリアネットワーク（ＳＤＷＡＮ）とソフトウェア定義ローカルエリアネットワーク（ＳＤＬＡＮ）の両方を含む、ソフトウェア定義ネットワーキング（ＳＤＮ）のより広範なテクノロジーの一部である。ＳＤＮは、基盤をなすネットワークインフラストラクチャをアプリケーションから抜き取り得る、ネットワーク管理の一元化手法である。このデータプレーン転送とコントロールプレーンの分離により、ネットワークオペレータはネットワークのインテリジェンスを一元化し、さらなるネットワークの自動化、運用の簡素化、一元化されたプロビジョニング、監視、およびトラブルシューティングを提供し得る。ソフトウェア定義エンタープライズネットワーキングは、ＳＤＮのこれらの原則をＷＡＮおよびローカルエリアネットワーク（ＬＡＮ）に適用することができる。

現在、ＳＤＷＡＮを組み合わせて、単一のネットワーク、例えば非常に大規模なネットワークを形成することができる。例えば、地域のキャンパスネットワークは、１つ以上のエンティティの非常に大規模なネットワークを形成することができる。具体的には、１つの大規模なＳＤＷＡＮを構築する代わりに、ＳＤＷＡＮの階層を作成して、地域のＳＤ－ＷＡＮネットワーク／クラウドを構築することによってネットワークを形成することができる。多くの場合、これらの地域のＳＤＷＡＮは、ハブサイト、データセンター、および／またはコロケーション施設において終了する。複数のＳＤＷＡＮを介してネットワークを形成する際に、ＳＤＷＡＮ間の通信を容易にすること、例えばＳＤＷＡＮを相互接続することは、ネットワークが適切に機能することを保証するために重要である。ただし、個別のＳＤＷＡＮを相互接続することは、達成するのが困難である。具体的には、ＳＤＷＡＮをサポートするＳＤＷＡＮファブリックを介して個別のＳＤＷＡＮを相互接続することは、適切に実装するのが困難である。したがって、より大規模なネットワークを形成する個別のＳＤＷＡＮを相互接続するシステムおよび方法に対する必要性が存在する。より具体的には、ＳＤＷＡＮが形成されるＳＤＷＡＮファブリックを介して個別のＳＤＷＡＮを相互接続するシステムおよび方法に対する必要性が存在する。

本開示ならびにその特徴および利点をより完全に理解してもらうために、添付の図面と併せて、以下の説明を参照する。

一実施形態による、高レベルネットワークアーキテクチャの例を示す。 一実施形態による、ネットワークトポロジの例を示す。 一実施形態による、オーバーレイネットワークを管理するためのプロトコルの動作を示す図の例を示す。 一実施形態による、ネットワークをセグメント化するための仮想プライベートネットワークの動作を示す図の例を示す。 データセンターなどの例示的なネットワーク環境の図を示す。 ネットワーク環境の別の例を示す。 相互接続されたＳＤＷＡＮの例示的なネットワーク環境を示す。 ネットワークデバイスの例を示す。 システムのコンポーネントが、バスを使用して互いに電気的に通信している、バスコンピューティングシステムの例を示す。

例示的な実施形態の説明
以下に記載される詳細な説明は、実施形態の様々な構成を説明することを意図しており、本開示の主題を実施することができる唯一の構成を表すことを意図するものではない。添付の図面は、本明細書に組み込まれ、詳細な説明の一部を構成する。詳細な説明は、本開示の主題のより完全な理解をもたらすことを目的とした特定の詳細を含む。しかしながら、本開示の主題が、本明細書に記載される特定の詳細に限定されず、これらの詳細なしで実施できることは、明らかであり、分かるであろう。場合によっては、本開示の主題の概念を曖昧にすることを回避するために、構造およびコンポーネントが、ブロック図で示される。

概要
本発明の態様は、独立請求項で述べられ、好ましい特徴は、従属請求項で述べられる。一態様の特徴は、単独で、または他の態様と組み合わせて、各態様に適用され得る。

方法は、ＳＤＷＡＮファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別することを含むことができる。ＳＤＷＡＮファブリックを介したセグメントルーティングドメインは、第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続するＷＡＮアンダーレイ上に形成できる。第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信は、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間に形成されたセグメントルーティングドメインを介してセグメントルーティングを実行することによって制御できる。

様々な実施形態では、セグメントルーティングドメインは、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のＷＡＮアンダーレイを通る複数のパスを事前に構築することにより、ＳＤＷＡＮファブリックを介して形成できる。複数のパスは、セグメントルーティングドメインを介した第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信を制御するために選択可能である。

特定の実施形態では、複数のパスは、セグメントルーティングドメインを介した第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信を制御するために変更可能であり得る。

様々な実施形態では、セグメントルーティングドメイン内のパスを形成するＷＡＮアンダーレイ内のリンクの性能測定値を収集できる。セグメントルーティングドメインを介したセグメントルーティングは、ＷＡＮアンダーレイ内のリンクの性能測定値に基づいて制御して、セグメントルーティングドメイン内のパス上の第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信を制御することができる。

特定の実施形態では、ＷＡＮアンダーレイ内のリンクの性能測定値は、ＷＡＮアンダーレイ内のリンクにおける輻輳、レイテンシ、パケットドロップの数、およびジッタの量の１つまたは組み合わせを含むことができる。

様々な実施形態では、性能測定値は、ＷＡＮアンダーレイ内のリンクを形成するノードからのストリーミングテレメトリデータとして集めることができる。

特定の実施形態では、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のセグメントルーティングドメイン内のパスを識別することができる。セグメントルーティングドメイン内のパスは、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間で送信できるデータの特定のトラフィッククラスに関連付けることができる。次に、セグメントルーティングドメイン内の特定のパス上の第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータの送信は、データのトラフィッククラス、およびパスとデータの特定のトラフィッククラスとの関連付けに基づいて制御することができる。第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のセグメントルーティングドメイン内の識別されたパス内の２つのノードは、セグメントルーティングコントローラによってＷＡＮアンダーレイ内のパス計算要素ノードとして構成できる。

様々な実施形態では、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のセグメントルーティングドメイン内のパスの性能の健全性を確認することができる。セグメントルーティングドメイン内の新しいパスは、セグメントルーティングドメイン内のパスの性能の健全性に基づいて識別できる。新しいパスは、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間で送信できるデータの特定のトラフィッククラスに関連付けることができる。新しいパスを介した特定のトラフィッククラスのデータの送信は、特定のトラフィッククラスへの新しいパスの関連付けに基づいて制御できる。新しいパスが特定のトラフィッククラスに関連付けられて、以前に特定のトラフィッククラスに関連付けられていたパスを置き換えることができる。さらに、新しいパスは、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間で特定のトラフィッククラスのデータを送信するためのサービス品質要件に基づいて識別できる。

特定の実施形態では、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間で特定のトラフィッククラスのデータを送信するためのサービス品質要件を確認することができる。サービス品質要件に基づいて、第１のＳＤＷＡＮとＳＤＷＡＮの間のセグメントルーティングドメイン内の適切なパスを識別することができる。次に、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のセグメントルーティングドメイン内の適切なパス上の特定のトラフィッククラスのデータの送信は、セグメントルーティングを介して制御できる。

様々な実施形態では、セグメントルーティングドメインは、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間でデータを送信するためにメディアアクセス制御セキュリティ（ＭＡＣｓｅｃ）暗号化を利用することができる。

システムは、１つ以上のプロセッサと、命令を記憶した少なくとも１つのコンピュータ可読記憶媒体とを含むことができ、命令は、１つ以上のプロセッサによって実行されるときに、１つ以上のプロセッサに、ＳＤＷＡＮファブリックの第１のＳＷＡＮおよび第２のＳＤＷＡＮを識別させる。命令はまた、１つ以上のプロセッサに、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のＷＡＮアンダーレイを通る複数の選択可能なパスを事前に構築することにより、ＳＤＷＡＮファブリックのＷＡＮアンダーレイ上で第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続するＳＤＷＡＮファブリックを介してセグメントルーティングドメインを形成させることができる。さらに、命令は、１つ以上のプロセッサに、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間に形成されたセグメントルーティングドメインを介してセグメントルーティングを実行することにより、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信を制御させることができる。

プロセッサによって実行されるときに、プロセッサに、ＳＤＷＡＮファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別させる命令を記憶した、非一時的コンピュータ可読記憶媒体。命令はまた、プロセッサに、ＳＤＷＡＮファブリックのＷＡＮアンダーレイ上で第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続するＳＤＷＡＮファブリックを介してセグメントルーティングドメインを形成させることができる。さらに、命令は、プロセッサに、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間に形成されたセグメントルーティングドメイン内の１つ以上の変更可能なパスを介してセグメントルーティングを実行することにより、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信を制御させることができる。

例示的な実施形態
図１は、本技術の態様を実装するためのネットワークアーキテクチャ１００の例を示す。ネットワークアーキテクチャ１００の実装形態の例は、Ｃｉｓｃｏ（登録商標）ＳＤＷＡＮアーキテクチャである。ただし、当業者は、ネットワークアーキテクチャ１００および本開示で論じられる任意の他のシステムについて、同様のまたは代替の構成で追加のまたはより少ないコンポーネントが存在し得ることを理解するであろう。本開示で提供される説明図および例は、簡潔さおよび明快さのためである。他の実施形態は、異なる数および／またはタイプの要素を含み得るが、当業者は、そのような変形例が本開示の範囲から逸脱しないことを理解するであろう。

この例では、ネットワークアーキテクチャ１００は、オーケストレーションプレーン１０２、管理プレーン１２０、制御プレーン１３０、およびデータプレーン１４０を含むことができる。オーケストレーションプレーン１０２は、オーバーレイネットワークにおけるエッジネットワークデバイス１４２（例えば、スイッチ、ルータなど）の自動オンボーディングを支援することができる。オーケストレーションプレーン１０２は、１つ以上の物理または仮想ネットワークオーケストレータアプライアンス１０４を含むことができる。ネットワークオーケストレータアプライアンス１０４は、エッジネットワークデバイス１４２の初期認証を実行し、制御プレーン１３０とデータプレーン１４０のデバイスとの間の接続を調整し得る。いくつかの実施形態では、ネットワークオーケストレータアプライアンス１０４はまた、ネットワークアドレス変換（ＮＡＴ）の後方に位置するデバイスの通信を可能にし得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＢｏｎｄアプライアンスは、ネットワークオーケストレータアプライアンス１０４として動作し得る。

管理プレーン１２０は、ネットワークの集中構成および監視を担当することができる。管理プレーン１２０は、１つ以上の物理または仮想ネットワーク管理アプライアンス１２２を含み得る。いくつかの実施形態では、ネットワーク管理アプライアンス１２２は、グラフィカルユーザインターフェースを介してネットワークの一元化管理を提供して、ユーザがエッジネットワークデバイス１４２およびリンク（例えば、インターネットトランスポートネットワーク１６０、アンダーレイおよびオーバーレイネットワーク内のＭＰＬＳネットワーク１６２、４Ｇ／ＬＴＥネットワーク１６４）を監視し、構成し、かつ維持することを可能にし得る。ネットワーク管理アプライアンス１２２は、マルチテナンシーをサポートし、異なるエンティティ（例えば、エンタープライズ、エンタープライズ内の部門、部門内のグループなど）に関連付けられた論理的に分離されたネットワークの一元化管理を可能にし得る。あるいは、またはさらに、ネットワーク管理アプライアンス１２２は、単一のエンティティのための専用のネットワーク管理システムであり得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＭａｎａｇｅアプライアンスは、ネットワーク管理アプライアンス１２２として動作し得る。

制御プレーン１３０は、ネットワークトポロジを構築および維持し、トラフィックが流れる場所を決定することができる。コントロールプレーン１３０は、１つ以上の物理または仮想ネットワークコントローラアプライアンス１３２を含み得る。ネットワークコントローラアプライアンス１３２は、各ネットワークデバイス１４２への安全な接続を確立し、制御プレーンプロトコル（例えば、オーバーレイ管理プロトコル（ＯＭＰ）（以下でさらに詳細に説明する）、オープンショートパスファースト（ＯＳＰＦ）、インターミディエイト・システム・トゥ・インターミディエイト・システム（ＩＳ－ＩＳ）、ボーダーゲートウェイプロトコル（ＢＧＰ）、マルチキャストルーティングプロトコル（ＰＩＭ）、インターネットグループ管理プロトコル（ＩＧＭＰ）、インターネット制御通知プロトコル（ＩＣＭＰ）、アドレス解決プロトコル（ＡＲＰ）、双方向フォワーディング検出（ＢＦＤ）、リンク集約制御プロトコル（ＬＡＣＰ）など）を介してルートおよびポリシー情報を配信し得る。いくつかの実施形態では、ネットワークコントローラアプライアンス１３２は、ルートリフレクタとして動作し得る。ネットワークコントローラアプライアンス１３２はまた、エッジネットワークデバイス１４２間およびエッジネットワークデバイス１４２の間のデータプレーン１４０内の安全な接続を調整し得る。例えば、いくつかの実施形態では、ネットワークコントローラアプライアンス１３２は、ネットワークデバイス１４２の間で暗号鍵情報を配信し得る。これにより、ネットワークは、インターネット鍵交換（ＩＫＥ）なしで、安全なネットワークプロトコルまたはアプリケーション（例えば、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）、トランスポート層セキュリティ（ＴＬＳ）、セキュアシェル（ＳＳＨ）など）をサポートし、ネットワークのスケーラビリティを有効化すすることが可能になり得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＳｍａｒｔコントローラは、ネットワークコントローラアプライアンス１３２として動作し得る。

データプレーン１４０は、制御プレーン１３０からの決定に基づいてパケットを転送することを担当することができる。データプレーン１４０は、物理または仮想ネットワークデバイスであり得るエッジネットワークデバイス１４２を含み得る。エッジネットワークデバイス１４２は、１つ以上のデータセンターまたはコロケーションセンター１５０、キャンパスネットワーク１５２、ブランチオフィスネットワーク１５４、ホームオフィスネットワーク１５４内などの、またはクラウド（例えば、サービスとしてのインフラストラクチャ（ＩａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、ＳａａＳ、および他のクラウドサービスプロバイダネットワーク）内などの組織の様々なネットワーク環境のエッジで動作し得る。エッジネットワークデバイス１４２は、１つ以上のインターネットトランスポートネットワーク１６０（例えば、デジタル加入者回線（ＤＳＬ）、ケーブルなど）、ＭＰＬＳネットワーク１６２（または他のプライベートパケット交換ネットワーク（例えば、メトロイーサネット、フレームリレー、非同期転送モード（ＡＴＭ）など）、モバイルネットワーク１６４（例えば、３Ｇ、４Ｇ／ＬＴＥ、５Ｇなど）、または他のＷＡＮ技術（例えば、同期光ネットワーク（ＳＯＮＥＴ）、同期デジタル階層（ＳＤＨ）、高密度波長分割多重（ＤＷＤＭ）、または他の光ファイバ技術、リース回線（例えば、Ｔｌ／Ｅｌ、Ｔ３／Ｅ３など）、公衆交換電話網（ＰＳＴＮ）、統合サービスデジタルネットワーク（ＩＳＤＮ）、または他のプライベート回線交換ネットワーク、超小型衛星通信地球局（ＶＳＡＴ）または他の衛星ネットワークなど）を介すなどした、１つ以上のＷＡＮトランスポートを介したサイトの間の安全なデータプレーン接続を提供し得る。エッジネットワークデバイス１４２は、タスクの中でもとりわけ、トラフィック転送、セキュリティ、暗号化、サービス品質（ＱｏＳ）、およびルーティング（例えば、ＢＧＰ、ＯＳＰＦなど）を担当することができる。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ ｖＥｄｇｅルータが、エッジネットワークデバイス１４２として動作することができる。

図２は、ネットワークアーキテクチャ１００の様々な態様を示すためのネットワークトポロジ２００の例を示す。ネットワークトポロジ２００は、管理ネットワーク２０２、一対のネットワークサイト２０４Ａおよび２０４Ｂ（集合的に、２０４）（例えば、データセンター１５０、キャンパスネットワーク１５２、ブランチオフィスネットワーク１５４、ホームオフィスネットワーク１５６、クラウドサービスプロバイダネットワーなど）、および一対のインターネットトランスポートネットワーク１６０Ａおよび１６０Ｂ（総称して、１６０）を含み得る。管理ネットワーク２０２は、１つ以上のネットワークオーケストレータアプライアンス１０４、１つ以上のネットワーク管理アプライアンス１２２、および１つ以上のネットワークコントローラアプライアンス１３２を含み得る。この例では、管理ネットワーク２０２は単一のネットワークとして示されているが、当業者は、管理ネットワーク２０２の各要素が任意の数のネットワークに分散され、かつ／またはサイト２０４と同じ場所に位置し得ることを理解するであろう。この例では、管理ネットワーク２０２の各要素には、トランスポートネットワーク１６０Ａまたは１６０Ｂのいずれかを介して到達し得る。

各サイトは、１つ以上のサイトネットワークデバイス２０８に接続された１つ以上のエンドポイント２０６を含み得る。エンドポイント２０６は、汎用コンピューティングデバイス（例えば、サーバ、ワークステーション、デスクトップコンピュータなど）、モバイルコンピューティングデバイス（例えば、ラップトップ、タブレット、携帯電話など）、ウェアラブルデバイス（例えば、腕時計、眼鏡または他のヘッドマウントディスプレイ（ＨＭＤ）、イヤーデバイスなど）などを含むことができる。エンドポイント２０６はまた、農業機器（例えば、家畜追跡および管理システム、給水デバイス、無人航空機（ＵＡＶ）など）、コネクテッドカーおよび他の車両、スマートホームセンサおよびデバイス（例えば、警報システム、セキュリティカメラ、照明、アプライアンス、メディアプレーヤ、ＨＶＡＣ機器、ユーティリティメータ、窓、自動ドア、ドアベル、ロックなど）、オフィス機器（例えば、デスクトップ電話、コピー機、ファクシミリ機など）、ヘルスケアデバイス（例えば、ペースメーカ、生体センサ、医療機器など）、産業用機器（例えば、ロボット、工場機械、建設機器、産業用センサなど）、小売機器（例えば、自動販売機、店舗販売時点情報管理（ＰＯＳ）デバイス、無線周波数識別（ＲＦＩＤ）タグなど）、スマートシティデバイス（例えば、街灯、パーキングメータ、廃棄物管理センサなど）、輸送および物流機器（例えば、回転式改札口、レンタカートラッカ、ナビゲーションデバイス、在庫モニタなど）など、モノのインターネット（ＩｏＴ）デバイスまたは機器を含むことができる。

サイトネットワークデバイス２０８は、物理または仮想スイッチ、ルータ、および他のネットワークデバイスを含み得る。この例では、サイト２０４Ａは１対のサイトネットワークデバイスを含むように示され、サイト２０４Ｂは単一のサイトネットワークデバイスを含むように示されているが、サイトネットワークデバイス２０８は、多層（例えば、コア、配信、アクセス層）、スパインアンドリーフ、メッシュ、ツリー、バス、ハブおよびスポークなどを含む任意のネットワークトポロジ内の任意の数のネットワークデバイスを備え得る。例えば、いくつかの実施形態では、１つ以上のデータセンターネットワークは、Ｃｉｓｃｏ（登録商標）アプリケーションセントリックインフラストラクチャ（ＡＣＩ）アーキテクチャを実装してもよく、かつ／または１つ以上のキャンパスネットワークは、Ｃｉｓｃｏ（登録商標）ソフトウェア定義アクセス（ＳＤ－アクセスまたはＳＤＡ）アーキテクチャを実装してもよい。サイトネットワークデバイス２０８は、エンドポイント２０６を１つ以上のエッジネットワークデバイス１４２に接続することができ、エッジネットワークデバイス１４２を使用して、トランスポートネットワーク１６０に直接接続し得る。

いくつかの実施形態では、「カラー」を使用して個々のＷＡＮトランスポートネットワークを識別することができ、異なるＷＡＮトランスポートネットワークに異なるカラー（例えば、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ビズインターネット、メトロイーサネット、ｌｔｅなど）を割り当てることができる。この例では、ネットワークトポロジ２００は、インターネットトランスポートネットワーク１６０Ａのための「ビズインターネット」と呼ばれるカラー、および、インターネットトランスポートネットワーク１６０Ｂのための「パブリックインターネット」と呼ばれるカラーを利用し得る。

いくつかの実施形態では、各エッジネットワークデバイス２０８は、ネットワークコントローラアプライアンス１３２へのデータグラムトランスポート層セキュリティ（ＤＴＬＳ）またはＴＬＳ制御接続を形成し、各トランスポートネットワーク１６０を介して任意のネットワーク制御アプライアンス１３２に接続し得る。いくつかの実施形態では、エッジネットワークデバイス１４２はまた、ＩＰＳｅｃトンネルを介して他のサイトのエッジネットワークデバイスにセキュアに接続することもできる。いくつかの実施形態では、ＢＦＤプロトコルをこれらのトンネルの各々内で使用して、損失、レイテンシ、ジッタ、およびパス障害を検出し得る。

エッジネットワークデバイス１４２上で、カラーを使用して、個々のＷＡＮトランスポートトンネルを識別するかまたは区別することに役立てることができる（例えば、単一のエッジネットワークデバイス上で同じカラーが２回使用されることはない場合がある）。カラー自体も重要な意味を持つ。例えば、メトロイーサネット、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ｐｒｉｖａｔｅ２、ｐｒｉｖａｔｅ３、ｐｒｉｖａｔｅ４、ｐｒｉｖａｔｅ５、ｐｒｉｖａｔｅ６のカラーは、プライベートネットワークのために、または、トランスポートＩＰエンドポイントのＮＡＴアドレス指定がない場所で使用できるプライベートカラーと見なすことができる（例えば、同じカラーの２つのエンドポイント間にＮＡＴがない場合があるため）。エッジネットワークデバイス１４２がプライベートカラーを使用する場合、ネイティブ、プライベート、アンダーレイＩＰアドレスを使用して他のエッジネットワークデバイスへのＩＰＳｅｃトンネルを構築しようとしてもよい。パブリックカラーは、３ｇ、ｂｉｚ、インターネット、ブルー、ブロンズ、ｃｕｓｔｏｍ１、ｃｕｓｔｏｍ２、ｃｕｓｔｏｍ３、デフォルト、ゴールド、グリーン、ＬＴＥ、パブリックインターネット、レッド、シルバーを含み得る。パブリックカラーは、（ＮＡＴが関与している場合）ポストＮＡＴ ＩＰアドレスへのトンネルを構築するためにエッジネットワークデバイス１４２によって使用されてもよい。エッジネットワークデバイス１４２がプライベートカラーを使用し、かつ他のプライベートカラーと通信するためにＮＡＴを必要とする場合、構成におけるキャリア設定は、エッジネットワークデバイス１４２がプライベートＩＰアドレスを使用するかパブリックＩＰアドレスを使用するかを指示することができる。この設定を使用すると、一方または両方がＮＡＴを使用しているときに、２つのプライベートカラーが、セッションを確立することができる。

図３は、ネットワーク（例えば、ネットワークアーキテクチャ１００）のオーバーレイを管理するためにいくつかの実施形態で使用され得るＯＭＰの動作を示す図３００の例を示す。この例では、ＯＭＰメッセージ３０２Ａおよび３０２Ｂ（総称して、３０２）は、それぞれ、ネットワークコントローラアプライアンス１３２とエッジネットワークデバイス１４２Ａおよび１４２Ｂとの間で往来伝送され得、ここで、ルートプレフィックス、ネクストホップルート、暗号鍵、ポリシー情報などの制御プレーン情報は、それぞれのセキュアなＤＴＬＳまたはＴＬＳ接続３０４Ａおよび３０４Ｂを介して交換できる。ネットワークコントローラアプライアンス１３２は、ルートリフレクタと同様に動作することができる。例えば、ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２からルートを受信し、それらに任意のポリシーを処理し、適用し、かつ、オーバーレイ内の他のエッジネットワークデバイス１４２にルートをアドバタイズし得る。定義されたポリシーがない場合、エッジネットワークデバイス１４２は、フルメッシュトポロジと同様に動作し得、各エッジネットワークデバイス１４２は、別のサイトの別のエッジネットワークデバイス１４２に直接接続し、各サイトから完全なルーティング情報を受信することができる。

ＯＭＰは、３つのタイプのルートをアドバタイズすることができる。
・エッジネットワークデバイス１４２のローカルサイトまたはサービス側から学習したプレフィックスに対応し得るＯＭＰルート。プレフィックスは、静的ルートもしくは接続ルートとして、またはＯＳＰＦまたはＢＧＰプロトコルなどの内部から発信し、オーバーレイ全体で伝送できるようにＯＭＰに再配信できる。ＯＭＰルートは、トランスポートロケーション（ＴＬＯＣ）情報（ＢＧＰネクストホップＩＰアドレスに類似している可能性がある）などの属性ならびに、発信元、発信者、設定、サイト識別子、タグ、および仮想プライベートネットワーク（ＶＰＮ）などの他の属性をアドバタイズできる。ＯＭＰルートは、ＯＭＰルートが指すＴＬＯＣがアクティブな場合、転送テーブルにインストールされ得る。

・トランスポートネットワーク１６０に接続するエッジネットワークデバイス１４２上の論理トンネル終端点に対応し得るＴＬＯＣルート。いくつかの実施形態では、ＴＬＯＣルートは、一意に識別され、ＩＰアドレス、リンクカラー、およびカプセル化（例えば、汎用ルーティングカプセル化（ＧＲＥ）、ＩＰＳｅｃなど）を含む３つ組によって表され得る。システムＩＰアドレス、カラー、およびカプセル化に加えて、ＴＬＯＣルートはまた、ＴＬＯＣプライベートおよびパブリックＩＰアドレス、キャリア、プリファレンス、サイト識別子、タグ、および重みなどの属性を伝達することもできる。いくつかの実施形態では、アクティブなＢＦＤセッションがそのＴＬＯＣと関連付けられているときに、ＴＬＯＣは、特定のエッジネットワークデバイス１４２上でアクティブ状態にあり得る。

・エッジネットワークデバイス１４２のローカルサイトに接続され、サービス挿入で使用するために他のサイトにアクセス可能であってもよいサービス（例えば、ファイアウォール、分散型サービス拒否（ＤＤｏＳ）緩和策、ロードバランサー、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、ＷＡＮオプティマイザーなど）を表すことができるサービスルート。加えて、これらのルートはまた、ＶＰＮを含むこともでき、ＶＰＮラベルを更新タイプで送信して、どのようなＶＰＮがリモートサイトでサービスされるかをネットワークコントローラアプライアンス１３２に通知することができる。

図３の例では、ＯＭＰは、エッジネットワークデバイス１４２とネットワークコントローラアプライアンス１３２との間に確立されたＤＴＬＳ／ＴＬＳトンネル３０４上で実行されていることが示されている。さらに、図３００は、ＷＡＮトランスポートネットワーク１６０Ａを介してＴＬＯＣ３０８Ａと３０８Ｃとの間に確立されたＩＰＳｅｃトンネル３０６Ａ、および、ＷＡＮトランスポートネットワーク１６０Ｂを介してＴＬＯＣ３０８ＢとＴＬＯＣ３０８Ｄとの間に確立されたＩＰＳｅｃトンネル３０６Ｂを示す。ＩＰＳｅｃトンネル３０６Ａおよび３０６Ｂが確立されると、これらのＩＰＳｅｃトンネルの各々の全体にわたってＢＦＤを有効にすることができる。

図４は、ネットワーク（例えば、ネットワークアーキテクチャ１００）のセグメント化を提供するためにいくつかの実施形態で使用され得るＶＰＮの動作を示す図４００の例を示す。ＶＰＮは、互いに分離でき、独自の転送テーブルを有することができる。インターフェースまたはサブインターフェースは、単一のＶＰＮの下で明示的に構成でき、２つ以上のＶＰＮの一部ではないことが可能である。ＯＭＰルート属性において、およびパケットカプセル化において、パケットが属するＶＰＮを識別することができるラベルが使用され得る。ＶＰＮ番号は、０～６５５３０の値を有する４バイトの整数であり得る。いくつかの実施形態では、ネットワークオーケストレータアプライアンス１０４、ネットワーク管理アプライアンス１２２、ネットワークコントローラアプライアンス１３２、および／またはエッジネットワークデバイス１４２は、それぞれ、トランスポートＶＰＮ４０２（例えば、ＶＰＮ番号０）および管理ＶＰＮ４０４（例えば、ＶＰＮ番号５１２）を含むことができる。トランスポートＶＰＮ４０２は、ＷＡＮトランスポートネットワーク（例えば、ＭＰＬＳネットワーク１６２およびインターネットトランスポートネットワーク１６０）にそれぞれ接続する１つ以上の物理または仮想ネットワークインターフェース（例えば、ネットワークインターフェース４１０Ａおよび４１０Ｂ）を含むことができる。ネットワークコントローラアプライアンス１３２への、またはネットワークコントローラアプライアンス１３２とネットワークオーケストレータアプライアンス１０４との間のセキュアなＤＴＬＳ／ＴＬＳ接続は、トランスポートＶＰＮ４０２から開始できる。加えて、制御プレーン１３０が確立され得、かつＩＰＳｅｃトンネル３０６（図示せず）がリモートサイトに接続できるように、静的なまたはデフォルトのルートまたは動的なルーティングプロトコルをトランスポートＶＰＮ４０２内に構成して、適切なネクストホップ情報を取得することができる。

管理ＶＰＮ４０４は、ネットワークインターフェース４１０Ｃを介して、ネットワークオーケストレータアプライアンス１０４、ネットワーク管理アプライアンス１２２、ネットワークコントローラアプライアンス１３２、および／またはエッジネットワークデバイス１４２との間で帯域外管理トラフィックを伝達することができる。いくつかの実施形態では、管理ＶＰＮ４０４は、オーバーレイネットワークの全体にわたって伝達されなくてもよい。

トランスポートＶＰＮ４０２および管理ＶＰＮ４０４に加えて、ネットワークオーケストレータアプライアンス１０４、ネットワーク管理アプライアンス１２２、ネットワークコントローラアプライアンス１３２、またはエッジネットワークデバイス１４２は、１つ以上のサービス側ＶＰＮ４０６を含むこともできる。サービス側ＶＰＮ４０６は、１つ以上のローカルサイトネットワーク４１２に接続し、かつユーザデータトラフィックを伝達する１つ以上の物理または仮想ネットワークインターフェース（例えば、ネットワークインターフェース４１０Ｄおよび４１０Ｅ）を含むことができる。サービス側ＶＰＮ４０６は、ＯＳＰＦまたはＢＧＰ、仮想ルータ冗長プロトコル（ＶＲＲＰ）、ＱｏＳ、トラフィックシェーピング、ポリシングなどの機能を使用可能にできる。いくつかの実施形態では、サイト４１２でネットワークコントローラアプライアンス１３２から受信されたＯＭＰルートを、サービス側ＶＰＮルーティングプロトコルに再配信することによって、ユーザデータトラフィックを、ＩＰＳｅｃトンネルを介して他のサイトに向けることができる。次に、サービスＶＰＮルートをＯＭＰルーティングプロトコルにアドバタイズすることによって、ローカルサイト４１２からのルートを他のサイトにアドバタイズすることができ、これは、ネットワークコントローラアプライアンス１３２に送信され、ネットワーク内の他のエッジネットワークデバイス１４２に再配信され得る。この例では、ネットワークインターフェース４１０Ａ～Ｅ（総称して４１０）が物理インターフェースであることが示されているが、当業者は、トランスポートおよびサービスＶＰＮ内のインターフェース４１０も代わりにサブインターフェースであり得ることを理解するであろう。

図５Ａは、データセンターなどの例示的なネットワーク環境５００の図を示す。場合によっては、ネットワーク環境５００は、クラウド環境をサポートおよび／またはホストすることができるデータセンターを含むことができる。ネットワーク環境５００は、ネットワーク環境５００の物理層またはインフラストラクチャ（例えば、アンダーレイ）を表すことができるファブリック５２０を含むことができる。ファブリック５２０は、ファブリック５２０内のトラフィックをルーティングまたはスイッチングするために相互接続できる、スパイン５０２（例えば、スパインルータまたはスイッチ）およびリーフ５０４（例えば、リーフルータまたはスイッチ）を含むことができる。スパイン５０２は、ファブリック５２０内のリーフ５０４を相互接続することができ、リーフ５０４は、ファブリック５２０を、アプリケーションサービス、サーバ、仮想マシン、コンテナ、エンドポイントなどを含むことができるネットワーク環境５００のオーバーレイまたは論理部分に接続することができる。したがって、ファブリック５２０内のネットワーク接続は、スパイン５０２からリーフ５０４に、およびその逆に流れることができる。リーフ５０４とスパイン５０２との間の相互接続は、ルーティングの失敗を回避するために冗長にすることができる（例えば、複数の相互接続）。いくつかの実施形態では、リーフ５０４およびスパイン５０２は、任意の所与のリーフがスパイン５０２の各々に接続され、任意の所与のスパインがリーフ５０４の各々に接続されるように、完全に接続することができる。リーフ５０４は、例えば、トップオブラック（「ＴｏＲ」）スイッチ、アグリゲーションスイッチ、ゲートウェイ、入力および／または出力スイッチ、プロバイダエッジデバイス、ならびに／あるいは任意の他のタイプのルーティングまたはスイッチングデバイスであり得る。

リーフ５０４は、テナントまたは顧客のパケットのルーティングおよび／またはブリッジング、ならびにネットワークポリシーまたはルールの適用を担当することができる。ネットワークポリシーおよびルールは、１つ以上のコントローラ５１６によって駆動され、および／またはリーフ５０４などの１つ以上のデバイスによって実装もしくは執行される。リーフ５０４は、他の要素をファブリック５２０に接続することができる。例えば、リーフ５０４は、サーバ５０６、ハイパーバイザ５０８、仮想マシン（ＶＭ）５１０、アプリケーション５１２、ネットワークデバイス５１４などをファブリック５２０に接続することができる。このような要素は、オーバーレイネットワークなど、１つ以上の論理または仮想の層またはネットワーク内に存在することができる。場合によっては、リーフ５０４は、ネットワーク環境５００およびファブリック５２０全体での通信を可能にするために、そのような要素（例えば、サーバ５０６）との間でパケットをカプセル化およびカプセル化解除することができる。リーフ５０４は、他のデバイス、サービス、テナント、またはワークロードに、ファブリック５２０へのアクセスを提供することもできる。場合によっては、リーフ５０４に接続されたサーバ５０６は、同様に、リーフ５０４との間でパケットをカプセル化およびカプセル化解除することができる。例えば、サーバ５０６は、サーバ５０６によってホストされるかまたはそれに接続されるオーバーレイまたは論理層と、ファブリック５２０によって表され、かつリーフ５０４を介してアクセスされるアンダーレイ層との間でパケットをトンネリングするための、１つ以上の仮想スイッチまたはルータまたはトンネルエンドポイントを含むことができる。

アプリケーション５１２は、ソフトウェアアプリケーション、サービス、コンテナ、アプライアンス、機能、サービスチェーンなどを含むことができる。例えば、アプリケーション５１２は、ファイアウォール、データベース、ＣＤＮサーバ、ＩＤＳ／ＩＰＳ、ディープパケットインスペクションサービス、メッセージルータ、仮想スイッチなどを含むことができる。アプリケーション５１２からのアプリケーションは、複数のエンドポイント（サーバ５０６、ＶＭ５１０など）によって配信、チェーン、またはホストされるか、あるいは単一のエンドポイントから完全に動作または実行される。

ＶＭ５１０は、ハイパーバイザ５０８によってホストされる仮想マシン、またはサーバ５０６上で実行される仮想マシンマネージャにすることができる。ＶＭ５１０は、それぞれのサーバ上のゲストオペレーティングシステム上で実行されるワークロードを含むことができる。ハイパーバイザ５０８は、ＶＭ５１０を作成、管理、および／または実行するソフトウェア、ファームウェア、および／またはハードウェアの層を提供することができる。ハイパーバイザ５０８は、ＶＭ５１０がサーバ５０６上のハードウェアリソースを共有することを可能にし、サーバ５０６上のハードウェアリソースが複数の別個のハードウェアプラットフォームとして現れることを可能にすることができる。さらに、サーバ５０６上のハイパーバイザ５０８は、１つ以上のＶＭ５１０をホストすることができる。

場合によっては、ＶＭ５１０を他のサーバ５０６に移行することができる。サーバ５０６は、同様に、ネットワーク環境５００内の他の物理的な場所に移行することができる。例えば、特定のリーフに接続されているサーバを変更して、異なるリーフまたは追加のリーフに接続することができる。このような構成または展開の変更には、移行対象のリソースならびに他のネットワークコンポーネントに適用される設定、構成、およびポリシーの修正が含まれる場合がある。

場合によっては、１つ以上のサーバ５０６、ハイパーバイザ５０８、および／またはＶＭ５１０は、テナントもしくは顧客スペースを表すか、またはそこに常駐することができる。テナントスペースは、１つ以上のクライアントまたはサブスクライバに関連付けられているワークロード、サービス、アプリケーション、デバイス、ネットワーク、および／またはリソースを含むことができる。したがって、ネットワーク環境５００内のトラフィックは、特定のテナントポリシー、スペース、合意、構成などに基づいてルーティングできる。さらに、アドレス指定は、１つ以上のテナント間で異なる場合がある。いくつかの構成では、テナントスペースを論理セグメントおよび／またはネットワークに分割し、他のテナントに関連付けられた論理セグメントおよび／またはネットワークから分離することができる。テナント間のアドレス指定、ポリシー、セキュリティ、および構成情報は、コントローラ５１６、サーバ５０６、リーフ５０４などによって管理できる。

ネットワーク環境５００の構成は、論理レベル、ハードウェアレベル（例えば、物理）、および／またはその両方で実装できる。例えば、構成は、ソフトウェア定義ネットワーキング（ＳＤＮ）フレームワーク（例えば、ＡＣＩまたはＶＭＷＡＲＥ ＮＳＸ）を介して、エンドポイントタイプおよび／またはアプリケーショングループもしくはプロファイルなどのエンドポイントまたはリソース属性に基づいて、論理および／またはハードウェアレベルで実装できる。説明のために、１人または複数の管理者は、コントローラ５１６を介して論理レベル（例えば、アプリケーションまたはソフトウェアレベル）で構成を定義することができ、コントローラ５１６は、ネットワーク環境５００を介してそのような構成を実装または伝播することができる。いくつかの例では、コントローラ５１６は、ＡＣＩフレームワーク内のアプリケーションポリシーインフラストラクチャコントローラ（ＡＰＩＣ）であり得る。他の例では、コントローラ５１６は、ＮＳＸマネージャなどの他のＳＤＮソリューションに関連付けられるための１つ以上の管理コンポーネントであり得る。

このような構成は、ネットワーク環境５００内のトラフィックをルーティングおよび／または分類するためのルール、ポリシー、優先順位、プロトコル、属性、オブジェクトなどを定義することができる。例えば、このような構成では、エンドポイントグループ、セキュリティグループ（ＳＧ）、ＶＭタイプ、ブリッジドメイン（ＢＤ）、仮想ルーティングおよび転送インスタンス（ＶＲＦ）、テナント、優先順位、ファイアウォールルールなどに基づいてトラフィックを分類および処理するための属性およびオブジェクトを定義することができる。他の例示的なネットワークオブジェクトおよび構成の例については、以下で詳しく説明する。トラフィックのポリシーおよびルールは、トラフィックに関連付けられたプロトコル、トラフィックに関連付けられたＥＰＧ、トラフィックに関連付けられたＳＧ、トラフィックに関連付けられたネットワークアドレス情報など、トラフィックのタグ、属性、または他の特性に基づいて執行できる。このようなポリシーおよびルールは、リーフ５０４、サーバ５０６、ハイパーバイザ５０８、コントローラ５１６など、ネットワーク環境５００内の１つ以上の要素によって執行できる。前述のように、ネットワーク環境５００は、ＣＩＳＣＯ ＡＣＩまたはＶＭＷＡＲＥＮＳＸなどの１つ以上の特定のＳＤＮソリューションに従って構成できる。これらの例示的なＳＤＮソリューションについて以下で簡単に説明する。

ＡＣＩは、スケーラブルな分散型執行を通じて、アプリケーション中心またはポリシーベースのソリューションを提供することができる。ＡＣＩは、ネットワーク、サーバ、サービス、セキュリティ、要件などの宣言型構成モデルの下での物理環境および仮想環境の統合をサポートする。例えば、ＡＣＩフレームワークは、セキュリティ、ＱｏＳ、サービスなどの共通の構成要件を共有するエンドポイントまたはアプリケーションのコレクションを含むことができるＥＰＧを実装する。エンドポイントは、ネットワーク環境５００に接続されているＶＭ、コンテナ、ホスト、物理サーバなどの仮想／論理または物理デバイスであり得る。エンドポイントは、ＶＭ名、ゲストＯＳ名、セキュリティタグ、アプリケーションプロファイルなど、１つ以上の属性を持つことができる。アプリケーション構成は、エンドポイントではなく、ＥＰＧ間で、契約の形式で直接適用できる。リーフ５０４は、着信トラフィックを異なるＥＰＧに分類することができる。分類は、例えば、ＶＬＡＮ ＩＤ、ＶＸＬＡＮネットワーク識別子（ＶＮＩＤ）、ＮＶＧＲＥ仮想サブネット識別子（ＶＳＩＤ）、ＭＡＣアドレス、ＩＰアドレスなどのネットワークセグメント識別子に基づくことができる。

場合によっては、ＡＣＩインフラストラクチャでの分類は、サーバなどのホスト上で実行できるＡＣＩ仮想エッジ（ＡＶＥ）、例えばサーバ上で実行されているｖＳｗｉｔｃｈによって実装できる。例えば、ＡＶＥは、指定された属性に基づいてトラフィックを分類し、ネットワークセグメント識別子（例えば、ＶＬＡＮ ＩＤ）などの様々な識別子で様々な属性ＥＰＧのパケットにタグを付けることができる。最後に、リーフ５０４は、パケットをそれらの識別子に基づいてそれらの属性ＥＰＧと結び付け、ポリシーを執行することができ、これは、１つ以上のコントローラ５１６によって実装および／または管理できる。リーフ５０４は、ホストからのトラフィックがどのＥＰＧに属するかを分類し、それに応じてポリシーを執行することができる。

別の例示的なＳＤＮソリューションは、ＶＭＷＡＲＥ ＮＳＸに基づく。ＶＭＷＡＲＥ ＮＳＸを使用すると、ホストは、トラフィックを分類および処理できる分散ファイアウォール（ＤＦＷ）を実行することができる。３つのタイプのＶＭ、すなわち、アプリケーション、データベース、およびウェブＶＭが、単一の層２ネットワークセグメントに配置されている場合を考察されたい。トラフィック保護は、ＶＭタイプに基づいてネットワークセグメント内で提供できる。例えば、ＨＴＴＰトラフィックは、ウェブＶＭ間では許可され、ウェブＶＭとアプリケーションまたはデータベースＶＭ間では許可されない場合がある。トラフィックを分類してポリシーを実装するために、ＶＭＷＡＲＥ ＮＳＸは、特定のＶＭ（例えば、ウェブＶＭ、アプリケーションＶＭ、データベースＶＭ）をグループ化するために使用できるセキュリティグループを実装することができる。ＤＦＷルールは、特定のセキュリティグループのポリシーを実装するように構成できる。説明のために、前の例のコンテキストでは、ＤＦＷルールは、ウェブ、アプリケーション、およびデータベースのセキュリティグループ間のＨＴＴＰトラフィックをブロックするように構成できる。

ここで図５Ａに戻ると、ネットワーク環境５００は、リーフ５０４、サーバ５０６、ハイパーバイザ５０８、ＶＭ５１０、アプリケーション５１２、およびコントローラ５１６を介して、ＶＭＷＡＲＥ ＥＳＸｉホスト、ＷＩＮＤＯＷＳ ＨＹＰＥＲ－Ｖホスト、ベアメタル物理ホストなどの様々なホストを展開することができる。ネットワーク環境５００は、様々なハイパーバイザ５０８、サーバ５０６（例えば、物理および／または仮想サーバ）、ＳＤＮオーケストレーションプラットフォームなどと相互運用することができる。ネットワーク環境２００は、宣言型モデルを実装して、アプリケーション設計および全体的なネットワークポリシーとのそれの統合を可能にすることができる。

コントローラ５１６は、ファブリック情報、アプリケーション構成、リソース構成、ＳＤＮインフラストラクチャのアプリケーションレベル構成モデリング、管理システムまたはサーバとの統合などへの一元化されたアクセスを提供することができる。コントローラ５１６は、ノースバウンドＡＰＩを介してアプリケーションプレーンとインターフェースし、かつサウスバウンドＡＰＩを介してデータプレーンとインターフェースする制御プレーンを形成することができる。

前述のように、コントローラ５１６は、ネットワーク環境５００内の構成のためのアプリケーションレベルのモデルを定義および管理することができる。場合によっては、アプリケーションまたはデバイスの構成を、ネットワーク内の他のコンポーネントによって管理および／または定義することもできる。例えば、ＶＭまたはコンテナなどのハイパーバイザまたは仮想アプライアンスは、サーバまたは管理ツールを実行して、仮想アプライアンスの構成および設定を含む、ネットワーク環境５００内のソフトウェアおよびサービスを管理することができる。

上に示したように、ネットワーク環境５００は、１つ以上の異なるタイプのＳＤＮソリューション、ホストなどを含むことができる。明確化および説明の目的で、本開示の様々な例は、ＡＣＩフレームワークを参照して説明され、コントローラ５１６は、コントローラ、ＡＰＩＣ、またはＡＰＩＣコントローラと互換的な意味で参照される。ただし、本明細書でのテクノロジーおよび概念は、ＡＣＩソリューションに限定されず、他のＳＤＮソリューション、ならびにＳＤＮソリューションを展開しない可能性のある他のタイプのネットワークを含む他のアーキテクチャおよびシナリオで実装されてもよいことに留意されたい。

さらに、本明細書で参照されるように、「ホスト」という用語は、サーバ５０６（例えば、物理または論理）、ハイパーバイザ５０８、ＶＭ５１０、コンテナ（例えば、アプリケーション５１２）などを指すことができ、任意のタイプのサーバまたはアプリケーションソリューションを実行するかまたは含むことができる。「ホスト」の非限定的な例には、分散仮想スイッチ（ＤＶＳ）、ＡＶＥノード、ベクトルパケット処理（ＶＰＰ）スイッチなどの仮想スイッチまたはルータ、ＶＣＥＮＴＥＲおよびＮＳＸ ＭＡＮＡＧＥＲ、ベアメタル物理ホスト、ＨＹＰＥＲ－Ｖホスト、ＶＭ、ＤＯＣＫＥＲコンテナなどが含まれ得る。

図５Ｂは、ネットワーク環境５００の別の例を示す。この例では、ネットワーク環境５００は、ファブリック５２０内のリーフ５０４に接続されたエンドポイント５２２を含む。エンドポイント５２２は、サーバ、クライアント、ＶＭ、ハイパーバイザ、ソフトウェアコンテナ、アプリケーション、リソース、ネットワークデバイス、ワークロードなどの物理および／または論理もしくは仮想エンティティにすることができる。例えば、エンドポイント５２２は、物理デバイス（例えば、サーバ、クライアント、スイッチなど）、アプリケーション（例えば、ウェブアプリケーション、データベースアプリケーションなど）、論理または仮想リソース（例えば、仮想スイッチ、仮想サービスアプライアンス、仮想化ネットワーク機能（ＶＮＦ）、ＶＭ、サービスチェーンなど）、ソフトウェアリソース（アプリケーション、アプライアンス、ＶＮＦ、サービスチェーンなど）を実行するコンテナ、ストレージ、ワークロードまたはワークロードエンジンなどを表すオブジェクトにすることができる。エンドポイント５２２は、アドレス（例えば、アイデンティティ）、場所（例えば、ホスト、ネットワークセグメント、ＶＲＦインスタンス、ドメインなど）、１つ以上の属性（例えば、名前、タイプ、バージョン、パッチレベル、ＯＳ名、ＯＳタイプなど）、タグ（例えば、セキュリティタグ）、プロファイルなどを有することができる。

エンドポイント５２２は、それぞれの論理グループ５１８に関連付けることができる。論理グループ５１８は、エンドポイントタイプ（例えば、ＶＭタイプ、ワークロードタイプ、アプリケーションタイプなど）、１つ以上の要件（例えば、ポリシー要件、セキュリティ要件、ＱｏＳ要件、顧客要件、リソース要件など）、リソース名（例えば、ＶＭ名、アプリケーション名など）、プロファイル、プラットフォームまたはオペレーティングシステム（ＯＳ）の特性（例えば、ゲストおよび／またはホストＯＳを含むＯＳタイプまたは名前など）、関連付けられたネットワークまたはテナント、１つ以上のポリシー、タグなどの１つ以上の属性に従って一緒にグループ化されたエンドポイント（物理および／または論理もしくは仮想）を含む論理エンティティとすることができる。例えば、論理グループは、一緒にグループ化されたエンドポイントのコレクションを表すオブジェクトとすることができる。説明のために、論理グループ１はクライアントエンドポイントを含むことができ、論理グループ２はウェブサーバエンドポイントを含むことができ、論理グループ３はアプリケーションサーバエンドポイントを含むことができ、論理グループＮはデータベースサーバエンドポイントを含むことができる。いくつかの例では、論理グループ５１８は、ＡＣＩ環境内のＥＰＧおよび／または別のＳＤＮ環境内の他の論理グループ（例えば、ＳＧ）である。

エンドポイント５２２へのおよび／またはエンドポイント５２２からのトラフィックは、論理グループ５１８に基づいて、分類、処理、管理などすることができる。例えば、論理グループ５１８を使用して、エンドポイント５２２との間でトラフィックを分類すること、エンドポイント５２２との間でトラフィックにポリシーを適用すること、エンドポイント５２２間の関係を定義すること、エンドポイント５２２の役割（例えば、エンドポイントがサービスを消費するのか提供するのか）を定義すること、エンドポイント５２２との間でトラフィックにルールを適用すること、エンドポイント５２２との間でトラフィックにフィルタまたはアクセス制御リスト（ＡＣＬ）を適用すること、エンドポイント５２２との間でトラフィックの通信パスを定義すること、エンドポイント５２２に関連付けられた要件を執行すること、エンドポイント５２２などに関連付けられたセキュリティおよび他の構成を実装することなどを行うことができる。

ＡＣＩ環境では、論理グループ５１８は、ＡＣＩにおいて契約を定義するために使用されるＥＰＧとすることができる。契約は、ＥＰＧ間で行われる通信の内容および方法を指定するルールを含むことができる。例えば、契約は、サービスを提供するもの、サービスを消費するもの、およびその消費関係に関連するポリシーオブジェクトを定義することができる。契約は、通信パスと、ＥＰまたはＥＰＧ間の通信または関係のすべての関連要素とを定義するポリシーを含むことができる。例えば、ウェブＥＰＧは、クライアントＥＰＧが消費するサービスを提供することができ、その消費は、フィルタ（ＡＣＬ）と、ファイアウォール検査サービスおよびサーバ負荷分散などの１つ以上のサービスを含むサービスグラフとの対象になる。

前述のように、エンタープライズネットワークの状況は、絶えず進化している。モバイルデバイスおよびＩｏＴデバイスのトラフィック、ＳａａＳのアプリケーション、ならびにクラウドの採用に対する需要が高まっている。加えて、セキュリティのニーズが高まっており、特定のアプリケーションは、適切な操作のために優先順位付けおよび最適化を必要とすることがある。この複雑さが増すにつれて、高可用性および拡張性を提供しながら、コストおよび運用費を削減することが求められている。

従来のＷＡＮアーキテクチャは、この進化する状況下で大きい課題に直面している。従来のＷＡＮアーキテクチャは通常、複数のＭＰＬＳトランスポート、またはアクティブ／バックアップ方式で使用されるインターネットまたはＬＴＥリンクと組み合わせたＭＰＬＳからなり、ほとんどの場合、インターネットまたはＳａａＳのトラフィックが、インターネットアクセスのために、中央データセンターまたは地域ハブにバックホールされる。これらのアーキテクチャに関する問題は、不十分な帯域幅、高い帯域幅コスト、アプリケーションのダウンタイム、低いＳａａＳ性能、複雑な操作、クラウド接続のための複雑なワークフロー、長い展開時間およびポリシーの変更、アプリケーションの可視性の制限、ネットワークの保護の難しさを含み得る。

近年、これらの課題に対処するために、ソフトウェア定義エンタープライズネットワークソリューションが開発された。ソフトウェア定義エンタープライズネットワーキングは、ＳＤＷＡＮとＳＤＬＡＮの両方を含むＳＤＮのより広範なテクノロジーの一部である。ＳＤＮは、基盤をなすネットワークインフラストラクチャをアプリケーションから抜き取り得る、ネットワーク管理の一元化手法である。このデータプレーン転送とコントロールプレーンの分離により、ネットワークオペレータはネットワークのインテリジェンスを一元化し、さらなるネットワークの自動化、運用の簡素化、一元化されたプロビジョニング、監視、およびトラブルシューティングを提供し得る。ソフトウェア定義エンタープライズネットワーキングは、ＳＤＮのこれらの原則をＷＡＮおよびＬＡＮに適用することができる。

現在、ＳＤＷＡＮを組み合わせて、単一のネットワーク、例えば非常に大規模なネットワークを形成することができる。例えば、地域のキャンパスネットワークは、１つ以上のエンティティの非常に大規模なネットワークを形成することができる。具体的には、１つの大規模なＳＤＷＡＮを構築する代わりに、ＳＤＷＡＮの階層を作成して、地域のＳＤ－ＷＡＮネットワーク／クラウドを構築することによってネットワークを形成することができる。多くの場合、これらの地域のＳＤＷＡＮは、ハブサイト、データセンター、および／またはコロケーション施設において終了する。複数のＳＤＷＡＮを介してネットワークを形成する際に、ＳＤＷＡＮ間の通信を容易にすること、例えばＳＤＷＡＮを相互接続することは、ネットワークが適切に機能することを保証するために重要である。ただし、個別のＳＤＷＡＮを相互接続することは、達成するのが困難である。具体的には、ＳＤＷＡＮをサポートするＳＤＷＡＮファブリックを介して個別のＳＤＷＡＮを相互接続することは、適切に実装するのが困難である。したがって、より大規模なネットワークを形成する個別のＳＤＷＡＮを相互接続するシステムおよび方法に対する必要性が存在する。より具体的には、ＳＤＷＡＮが形成されるＳＤＷＡＮファブリックを介して個別のＳＤＷＡＮを相互接続するシステムおよび方法に対する必要性が存在する。

本は、セグメントルーティングを介してＳＤＷＡＮを相互接続することにより、これらの問題／不一致を解決するためのシステム、方法、およびコンピュータ可読媒体を含む。具体的には、ＳＤＷＡＮファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別することができる。セグメントルーティングドメインは、第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続するＳＤＷＡＮファブリックを介して形成できる。具体的には、セグメントルーティングドメインはＳＤＷＡＮファブリックのＷＡＮアンダーレイ上に形成されて、第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続することができる。第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信は、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間に形成されたセグメントルーティングドメインを介してセグメントルーティングを実行することによって制御できる。

本システム、方法、およびコンピュータ可読媒体は、いくつかの理由で、現在のクロスドメイン執行技術よりも有利である。具体的には、エンドツーエンドＳＤＷＡＮソリューションの利点は、ＷＡＮコア／アンダーレイ上に構築されたセグメントルーティングドメインを介してＳＤＷＡＮを相互接続し、ＳＤＷＡＮを効果的に接続してエンドツーエンドＳＤＷＡＮソリューションを作成することによって実現できる。さらに、セグメントルーティングドメインを使用してＳＤＷＡＮを相互接続すると、（例えばコントローラから）ソフトウェアでインスタンス化された構造を使用してＷＡＮコアを介してパスを構築するための機能が提供される。以下のように、セグメントルーティングの特徴であるヘッドエンドの意思決定およびパス選択のメカニズムにより、トラフィックの特性に基づいて特定のトラフィックのパスを選択して、ＳＤＷＡＮ間のデータ送信をより効率的に制御することができる。さらに、セグメントルーティングを使用することで、ＳＤＷＡＮ間のデータ送信をより効率的に制御するために、パスをリアクティブに変更することができる。これは、ＳＤＷＡＮを接続するために使用される一般的なネットワーク構造よりも有利であり、ＳＤＷＡＮは、パスの変更が事前に構築されていない限り、通常は、ＳＤＷＡＮ間のデータ送信を制御する際にパスの変更を実装できない。

図６は、相互接続されたＳＤＷＡＮの例示的なネットワーク環境６００を示す。例示的なネットワーク環境６００は、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を含む。第１および第２のＳＤＷＡＮ６０２および６０４は、ネットワーク環境において適用可能なＳＤＷＡＮであり得る。例えば、第１および第２のＳＤＷＡＮ６０２および６０４は、データセンター、キャンパスネットワーク、地域オフィスネットワーク、および他の適用可能なクラウド環境の一部として形成できる。さらに、第１および第２のＳＤＷＡＮ６０２および６０４は、適用可能なＳＤＮアーキテクチャを使用して実装および管理できる。例えば、第１および第２のＳＤＷＡＮ６０２および６０４は、図１に示されるネットワークアーキテクチャ１００を使用して実装できる。第１および第２のＳＤＷＡＮ６０２および６０４は、同じエンタープライズネットワークの一部であり得る。例えば、第１および第２のＳＤＷＡＮ６０２および６０４は、異なる場所にあるエンタープライズのキャンパスネットワークおよびデータセンターを含むことができる。

第１および第２のＳＤＷＡＮ６０２および６０４は、ＳＤＷＡＮファブリックの一部として形成できる。具体的には、第１および第２のＳＤＷＡＮ６０２および６０４は、ＳＤＷＡＮファブリックの、図６に示されるアンダーレイネットワーク６０６などの適用可能なアンダーレイネットワークによって形成できる。第１および第２のＳＤＷＡＮ６０２および６０４は、アンダーレイネットワーク６０６とは別個に実装されるように示されているが、これは、例示の目的で行われており、第１および第２のＳＤＷＡＮ６０２および６０４の全部または一部は、実際には、アンダーレイネットワーク６０６上に形成できる。したがって、アンダーレイネットワーク６０６は、第１および第２のＳＤＷＡＮ６０２および６０４を含むＳＤＷＡＮファブリックの一部を形成することができる。

アンダーレイネットワーク６０６は、１つ以上の適用可能なネットワークによって形成できる。具体的には、アンダーレイネットワーク６０６は、ブロードバンドネットワーク、ＭＰＬＳネットワーク、セルラネットワーク、および／またはプライベート相互接続ネットワークを介して形成できる。さらに、アンダーレイネットワーク６０６は、１つ以上のネットワークサービスプロバイダの１つ以上のネットワークを介して形成できる。具体的には、アンダーレイネットワーク６０６は、異なるネットワークサービスプロバイダのセルラネットワークおよびブロードバンドネットワークによって形成できる。アンダーレイネットワーク６０６は、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を相互接続するＷＡＮアンダーレイとして機能することができる。具体的には、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４は、アンダーレイネットワーク６０６を介して互いにデータを交換し、それにより、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を相互接続することができる。

セグメントルーティングドメイン６０８は、アンダーレイネットワーク６０６を介して形成されて、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を相互接続することができる。次に、データは、セグメントルーティングドメイン６０８を介して第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間で送信されて、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を相互接続することができる。具体的には、第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間のデータ送信は、セグメントルーティングドメイン６０８を介した第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間のデータの送信を制御することにより、セグメントルーティングを使用して制御できる。セグメントルーティングドメイン６０８を介して第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を相互接続することにより、エンドツーエンドＳＤＷＡＮソリューションの利点を実現することができる。具体的には、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４は、ＳＤＷＡＮを相互接続するための典型的なソリューション、例えばＩＰＳＥＣソリューションよりも、より効率的かつより安全に互いに通信することができる。

アンダーレイネットワーク６０６内でセグメントルーティングドメイン６０８を形成することの一部として、１つ以上のパスが識別され、ＳＤＷＡＮ６０２および６０４を接続するためにアンダーレイネットワーク６０６内に構築され得る。パスは、アンダーレイネットワーク６０６内の複数の適用可能なネットワークデバイスから形成されて、アンダーレイネットワーク６０６を介してＳＤＷＡＮ６０２および６０４を接続することができる。次に、後でより詳細に説明するように、パスは、トラフィックタイプに基づいて選択可能であって、セグメントルーティングを使用してセグメントルーティングドメイン６０８を介したＳＤＷＡＮ６０２とＳＤＷＡＮ６０４との間のトラフィックの送信を制御することができる。続いて、トラフィックは、セグメントルーティングを使用して第１および第２のＳＤＷＡＮ６０２および６０４の間でトラフィックを送信することの一部として、選択されたパス上で送信され得る。セグメントルーティングドメイン６０８は、メディアアクセス制御セキュリティ（ＭＡＣｓｅｃ）暗号化を使用して第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間でトラフィックを送信することができる。

セグメントルーティングドメイン６０８を通るパスは、適用可能なソフトウェアコントローラ、例えば、セグメントルーティングドメイン６０８に関連付けられたセグメントルーティングコントローラ／パス計算要素コントローラによって構築できる。セグメントルーティングドメイン６０８を介して事前定義されたパスを確立する際に、セグメントルーティングコントローラは、選択されたパスに従ってＳＤＷＡＮＳ６０２とＳＤＷＡＮ６０４との間でトラフィックをルーティングするようにセグメントルーティングドメイン６０８を構成することができる。具体的には、セグメントルーティングコントローラは、パスのセグメントのリストを、セグメントルーティングドメイン６０８内のヘッドエンドルータ／プロバイダエッジルータに信号で送ることができる。パスのセグメントのリストを使用して、プロバイダエッジルータにおいて、パスに対応する単一のフローごとの状態をプログラムすることができる。次に、プロバイダエッジルータは、セグメントルーティングを使用してパスを介してトラフィックを送信するために、セグメントのリストをパケットヘッダに挿入できる。さらに、セグメントルーティングコントローラは、パスのバインディングセグメントＩＤ（「ＢＳＩＤ」）を、セグメントルーティングドメイン６０８内のプロバイダエッジルータに追加することができる。ＢＳＩＤは、パスに関連付けられたトラフィックの特定のポリシーに一意に関連付けられるか、特定のポリシーを識別することができる。次に、例えばプロバイダエッジルータによって、ポリシーを使用して、セグメントルーティングを使用してパスを介してトラフィックを送信することができる。

様々な実施形態では、プロバイダエッジルータは、ＷＡＮアンダーレイ内のルート計算要素ノードとして機能することができる。具体的には、プロバイダエッジルータは、パケットヘッダにセグメントを挿入し、ＢＳＩＤ／ポリシーを使用してパスを通るトラフィックを制御することにより、ルート計算要素ノードとして機能することができる。セグメントルーティングコントローラは、パス内の２つのノードをプログラムして、ルート計算要素ノードとして機能させることができる。例えば、セグメントルーティングコントローラは、パスのセグメントのリストおよびＢＳＩＤを、ＷＡＮアンダーレイ内の２つのプロバイダエッジルータに信号で送ることができる。

パスは、適用可能なコントローラ、例えば、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４のいずれかまたは両方のためのＳＤＷＡＮコントローラにプッシュでき、例えば、パスの選択をプッシュすることができる。具体的には、パスの選択は、前述の技法に従ってセグメントルーティングコントローラがパスを構成した後でまたはそれと併せて、ＳＤＷＡＮコントローラにプッシュできる。より具体的には、セグメントルーティングコントローラは、パスのＢＳＩＤおよび他の適用可能な属性、例えばパス内のセグメントのリストをＳＤＷＡＮコントローラにプッシュすることができる。次に、ＳＤＷＡＮコントローラは、セグメントルーティングコントローラによって確立されたパスを使用して、セグメントルーティングドメイン６０８を介してトラフィックを送信するように、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４を構成することができる。具体的には、ＳＤＷＡＮコントローラは、セグメントルーティングドメイン６０８を介してセグメントルーティングコントローラによって確立されたパスを通るトラフィックの送信を容易にするポリシーを用いて、第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４内のエッジルータを構成することができる。

セグメントルーティングドメイン６０８を通るパスは、トラフィックの特定のクラスに一意に関連付けることができる。次に、特定のトラフィッククラスのトラフィックは、特定のトラフィッククラスに関連付けられたセグメントルーティングドメイン内の特定のパスを介して、第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間で送信できる。トラフィッククラスは、トラフィックの１つ以上の適用可能な特性によって定義できる。具体的には、トラフィッククラスは、トラフィックに関連付けられたユーザグループ、アプリケーショングループ、ＶＰＮグループ、送信元、および宛先の１つまたは組み合わせに基づいて定義できる。例えば、トラフィッククラスは、ネットワークサービスアクセスの提供の一部として実行される特定のアプリケーションに関連付けられたデータを含むことができる。別の例では、トラフィッククラスは、ネットワークサービスアクセスを提供する際に特定のクライアントとの間で送信されるデータを含むことができる。

トラフィックの特定のクラスに基づいてセグメントルーティングドメイン６０８を介してトラフィックを送信する際に、トラフィッククラスに基づいてトラフィック送信を制御するためのポリシーを実装することができる。ポリシーは、少なくとも部分的には管理者が定義できる。例えば、管理者は、セグメントルーティングドメイン６０８を介して制御するための特定のトラフィッククラスを定義することができる。ポリシーは、例えばセグメントルーティングコントローラによって確立された、セグメントルーティングドメイン６０８を通る特定のパスを識別して、トラフィックの特定のクラスを送信することもできる。適用可能なコントローラは、トラフィックタイプに基づいてセグメントルーティングドメイン６０８を介したトラフィック送信を制御するためのポリシーを実装することができる。例えば、ＳＤＷＡＮコントローラは、トラフィッククラスに基づいてセグメントルーティングドメイン６０８を介したトラフィック送信を制御するために、第１および第２のＳＤＷＡＮ６０２および６０４内の適用可能なエッジルータにポリシーをプログラムすることができる。別の例では、セグメントルーティングコントローラは、トラフィッククラスに基づいてセグメントルーティングドメイン６０８を介してトラフィックを送信するためのポリシーに対応するＢＳＩＤを用いて、アンダーレイネットワーク６０６内の適切なプロバイダエッジルータをプログラムすることができる。

セグメントルーティングドメイン６０８を介して特定のトラフィック、例えば特定のトラフィッククラスを送信するためのパスは、アンダーレイネットワーク６０６内のリンクの性能特性／測定値に基づいて選択できる。特に、特定のパスは、性能測定値に基づいてセグメントルーティングを実行することの一部として、アンダーレイネットワーク６０６内のリンクの性能測定値に基づいて識別および構築できる。性能測定値は、アンダーレイネットワーク６０６内のリンクを介したデータの送信に関連する適用可能な測定基準を含むことができる。例えば、性能測定値は、リンクの輻輳、リンクのレイテンシ、リンクのパケットドロップの数、およびリンクのジッタの量の１つまたは適切な組み合わせを含むことができる。性能測定値は、アンダーレイネットワーク６０６内のリンクを形成するノードから受信されたテレメトリデータから識別できる。テレメトリデータは、ノードから、適用可能なコントローラ、例えばＳＤＷＡＮコントローラおよびセグメントルーティングコントローラのいずれかまたは両方にストリーミングできる。次に、コントローラは、ストリーミングテレメトリデータから、アンダーレイネットワーク６０６内のリンクの性能測定値を識別することができる。

さらに、セグメントルーティングドメイン６０８を介して特定のトラフィック、例えば特定のトラフィッククラスのトラフィックを送信するためのパスは、特定のトラフィックの送信に関連付けられたサービス品質要件に基づいて選択できる。サービス品質要件は、トラフィッククラスに基づいてトラフィックに固有であり得る。次に、セグメントルーティングドメイン６０８を介してトラフィックの特定のクラスを送信するためのパスは、特定のトラフィッククラスのサービス品質要件に基づいて識別および確立できる。サービス品質要件は、第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間でトラフィックを送信するための適用可能な性能要件を含むことができる。具体的には、サービス品質要件は、第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間で、例えば特定のトラフィッククラスの、データを送信するための帯域幅およびレイテンシのしきい値／要件のいずれかまたは両方を含むことができる。レイテンシ要件は、送信元と宛先の間でデータを送信するための、しきい値一方向データ送信時間、およびしきい値ラウンドトリップデータ遅延時間を含むことができる。帯域幅の要件は、送信元と宛先の間でデータを送信するためのしきい値データ送信レートを含むことができる。例えば、アプリケーションのサービス品質要件は、アプリケーションに関連するトラフィックが、特定の期間にわたって特定の平均ビットレートで第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間で送信されるべきであることを指定することができる。

セグメントルーティングドメイン６０８を介して特定のトラフィック、例えばトラフィッククラスを送信するためのパスは、トラフィックに関連するサービス品質要件、およびアンダーレイネットワーク６０６内のリンクの性能測定値の両方に基づいて選択できる。次に、選択されたパスは、セグメントルーティングを介して第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間でトラフィックを送信するために、セグメントルーティングドメイン６０８を介して確立／構築できる。具体的には、パスは、特定のトラフィックのサービス品質要件を満たすリンクを使用して識別および構築できる。例えば、セグメントルーティングコントローラは、第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間でトラフィックの特定のクラスを送信するための帯域幅しきい値を満たす帯域幅を有するパスを形成するリンクを選択することができる。

サービス品質要件とアンダーレイネットワーク６０６内のリンクの性能測定値の両方に基づいてセグメントルーティングドメイン６０８を通るパスを選択する例では、第１のＳＤＷＡＮ６０２内のＳＤＷＡＮ対応ルータ、例えばｖＥｄｇｅ Ｒｏｕｔｅｒ（登録商標）は、トラフィックのクラスに関連付けられたアプリケーションを識別し、アンダーレイネットワーク６０６を介した第２のＳＤＷＡＮ６０４への特定のパスを選択することができる。ＳＤＷＡＮ対応ルータは、アンダーレイネットワーク６０６について収集された性能測定値に基づいて特定のパスを選択することができる。ＳＤＷＡＮ対応ルータによって選択されたパスは、アンダーレイネットワーク６０６を通る最短パスである可能性がある。ただし、パスは、アプリケーションのサービス品質要件、例えばアプリケーションのレイテンシしきい値または帯域幅許容誤差を満たさない可能性がある。その後、ルータは、識別されたパスをＳＤＷＡＮコントローラに送信することができる。ＳＤＷＡＮコントローラは、例えば、セグメントルーティングドメイン６０８内のアンダーレイネットワーク６０６を介してアプリケーションのパスを確立するための要求の一部として、識別されたパスならびにアプリケーションのサービス品質要件をセグメントルーティングコントローラに送信することができる。さらに、ＳＤＷＡＮコントローラは、アプリケーションに関連するトラフィックの第１のＳＤＷＡＮ６０２および第２のＳＤＷＡＮ６０４内の送信元および宛先を送信することができる。

さらにこの例では、セグメントルーティングコントローラは、アプリケーションのサービス品質要件を満たすアンダーレイネットワーク６０６を通るパスを識別することができる。具体的には、セグメントルーティングコントローラは、ＳＤＷＡＮ対応ルータによって識別されたパスと比較したときに、アプリケーションのサービス品質要件を満たす次の最短パスを識別することができる。セグメントルーティングコントローラは、アンダーレイネットワーク６０６において、例えばリンクを形成するノードによって収集されたテレメトリデータから決定された、リンクの性能測定値に基づいて、アプリケーションのサービス品質要件を満たすアンダーレイネットワーク６０６を通るパスを識別することができる。

次に、セグメントルーティングコントローラは、セグメントルーティングドメイン６０８を通るパスを確立するための前述の技法を使用して、セグメントルーティングドメイン６０８内のパスを確立することができる。具体的には、セグメントルーティングコントローラは、パス内のリンクセグメントのリストを使用して、パス内のプロバイダエッジルータをプログラムすることができる。さらに、セグメントルーティングコントローラは、ポリシーのＢＳＩＤを使用してプロバイダエッジルータをプログラムして、パスを通るアプリケーショントラフィックのフローを制御することができる。次のように、セグメントルーティングコントローラは、パスの識別情報、例えば、パス内のリンクセグメント、パスのポリシーのＢＳＩＤ、および／またはパスが確立されていることの表示を送信することができる。次に、ＳＤＷＡＮコントローラは、セグメントルーティングドメイン６０８内のパスを介してアプリケーションのトラフィックを送信するように、第１のＳＤＷＡＮ６０２および／または第２のＳＤＷＡＮ６０４を構成することができる。例えば、ＳＤＷＡＮコントローラは、アプリケーションのデータを、セグメントルーティングドメイン６０８内のパス、例えばセグメントルーティングドメイン６０８内のパスのプロバイダエッジノードに送信するように、第１のＳＤＷＡＮ６０２内のエッジノード、例えばＳＤＷＡＮ対応ルータを構成することができる。

前述の技術を使用して、ＳＤＷＡＮコントローラとセグメントルーティングコントローラの両方の動作を同期させて、サービス品質要件を満たしながら、セグメントルーティングドメイン６０８を介してデータを送信することができる。次に、これにより、ＳＤＷＡＮコントローラは、ＳＤＷＡＮアプリケーションのためにアンダーレイネットワーク６０６内で利用可能な低レイテンシパスを利用することができる。

第１のＳＤＷＡＮ６０２と第２のＳＤＷＡＮ６０４との間で特定のクラスのトラフィックを送信するために使用されるセグメントルーティングドメイン６０８を通るパスを修正して、トラフィックを送信するために使用される新しいパスを効果的に作成することができる。あるいは、セグメントルーティングドメイン６０８を通る全く新しいパスを形成して、第１および第２のＳＤＷＡＮ６０２および６０４の間で特定のクラスのトラフィックを送信することができる。新しいパス、例えば、修正されたパスまたは全く新しいパスが識別され、特定のトラフィッククラスに関連付けられて、以前に特定のトラフィッククラスに関連付けられていたパスを置き換えることができる。次のように、特定のクラスのトラフィックは、トラフィックの特定のトラフィッククラスとの新しいパスまたは修正されたパスの関連付けに基づいて、新しいパスまたは修正されたパスを介して送信できる。

新しいパスは、セグメントルーティングドメイン６０８を通るパスの監視された性能の健全性に基づいて確立できる。パスの健全性は、第１および第２のＳＤＷＡＮ６０２および６０４の間でデータを送信する際のパスの性能測定値に従って定義できる。具体的には、ＳＤＷＡＮコントローラは、例えば受信されたテレメトリデータによって示される、パス内のリンクの性能測定値に基づいて、セグメントルーティングドメインを介してトラフィックを送信するパスの健全性を監視することができる。例えば、パスの健全性は、パスの負荷レベル、パスのレイテンシ、パスのパケットドロップの数、および／またはパスのジッタに基づいて決定されるスコアを含むことができる。次に、ＳＤＷＡＮコントローラは、しきい値健全性レベルに関するパスの健全性に基づいて、例えばパスの健全性がしきい値健全性レベルを下回る場合、新しいパスの確立を促進することができる。

新しいパスは、本明細書で説明する技法を使用して確立できる。具体的には、セグメントルーティングコントローラは、例えば、セグメントルーティングドメイン６０８を通るパスを修正することによって、またはセグメントルーティングドメイン６０８を通る全く新しいパスを識別することによって、新しいパスを識別することができる。さらに、セグメントルーティングコントローラは、以前のパスに関連付けられたトラフィックのサービス品質要件に基づいて、新しいパスを識別することができる。例えば、セグメントルーティングコントローラは、アプリケーションの帯域幅要件を満たす新しいパスを識別することができる。セグメントルーティングコントローラは、ＳＤＷＡＮコントローラによって識別されたパスに基づいて、新しいパスを識別することができ、これは、ＳＤＷＡＮコントローラがパスを識別し、セグメントルーティングコントローラが、サービス品質要件を満たす次の最短パスを識別することに関して前述した技法と同様である。

図７は、ネットワークデバイス７００（例えば、スイッチ、ルータ、ネットワークアプライアンスなど）の例を示す。ネットワークデバイス７００は、マスター中央処理ユニット（ＣＰＵ）７０２、インターフェース７０４、およびバス７０６（例えば、ＰＣＩバス）を含み得る。適切なソフトウェアまたはファームウェアの制御下で作動する場合、ＣＰＵ７０２は、パケット管理、エラー検出、および／またはルーティング関数を実行することを担当することができる。ＣＰＵ７０２は、好ましくは、オペレーティングシステムおよび任意の適切なアプリケーションソフトウェアを含むソフトウェアの制御下でこれらすべての機能を達成する。ＣＰＵ７０２は、ＭｏｔｏｒｏｌａのマイクロプロセッサファミリーまたはＭＩＰＳマイクロプロセッサファミリーからのプロセッサなどの１つ以上のプロセッサ７０８を含み得る。代替実施形態では、プロセッサ７０８は、ネットワークデバイス７００の動作を制御するための特別に設計されたハードウェアであり得る。一実施形態では、メモリ７１０（不揮発性ＲＡＭおよび／またはＲＯＭなど）もまた、ＣＰＵ７０２の一部を形成し得る。ただし、メモリをシステムに結合することができる多くの異なる方式がある。

インターフェース７０４は、インターフェースカード（場合によってはラインカードと呼ばれる）として提供できる。インターフェース７０４は、ネットワークを介したデータパケットの送信および受信を制御し、場合によってはネットワークデバイス７００と共に使用される他の周辺機器をサポートすることができる。提供され得るインターフェースの中には、イーサネットインターフェース、フレームリレーインターフェース、ケーブルインターフェース、ＤＳＬインターフェース、トークンリングインターフェースなどがある。加えて、高速トークンリングインターフェース、無線インターフェース、イーサネットインターフェース、ギガビットイーサネットインターフェース、非同期転送モード（ＡＴＭ）インターフェース、高速シリアルインターフェース（ＨＳＳＩ）、パケットオーバーＳＯＮＥＴ（ＰＯＳ）インターフェース、ファイバ分散データインターフェース（ＦＤＤＩ）などの、様々な非常に高速のインターフェースが提供され得る。インターフェース９０４は、適切な媒体との通信に適したポートを含み得る。場合によっては、インターフェース７０４はまた、独立したプロセッサ、かつ場合によっては揮発性ＲＡＭも含み得る。独立したプロセッサは、パケット交換、メディア制御、および管理などの通信集約型タスクを制御し得る。通信集約型タスクのために別個のプロセッサを提供することによって、インターフェース７０４は、ＣＰＵ７０２がルーティング計算、ネットワーク診断、セキュリティ機能などを効率的に実行することを可能にし得る。

図７に示されるシステムは、一実施形態のネットワークデバイスの一例であるが、このシステムは、本技術が実装できる唯一のネットワークデバイスアーキテクチャでは決してない。例えば、通信ならびにルーティング計算および他のネットワーク機能を処理することができる単一のプロセッサを有するアーキテクチャを使用することもできる。さらに、他のタイプのインターフェースおよび媒体もまた、ネットワークデバイス７００と共に使用できる。

ネットワークデバイスの構成にかかわらず、システムは、本明細書に記載されるローミング、ルート最適化、およびルーティング機能のための汎用ネットワーク動作およびメカニズムのためのプログラム命令を記憶するように構成された１つ以上のメモリまたはメモリモジュール（メモリ７１０を含む）を使用し得る。プログラム命令は、例えば、オペレーティングシステムおよび／または１つ以上のアプリケーションの動作を制御し得る。１つのメモリまたは複数のメモリはまた、モビリティバインディング、登録、および関連付けテーブルなどのテーブルを記憶するように構成され得る。

図８は、システムのコンポーネントが、バス８０５を使用して互いに電気的に通信している、バスコンピューティングシステム８００の例を示す。コンピューティングシステム８００は、処理ユニット（ＣＰＵまたはプロセッサ）８１０と、読み取り専用メモリ（ＲＯＭ）８２０およびランダムアクセスメモリ（ＲＡＭ）８２５などのシステムメモリ８１５を含む様々なシステムコンポーネントをプロセッサ８１０に結合し得るシステムバス８０５と、を含むことができる。コンピューティングシステム８００は、プロセッサ８１０に直接接続されているか、プロセッサ８１０に近接しているか、またはプロセッサ８１０の一部分として統合された高速メモリのキャッシュ８１２を含むことができる。コンピューティングシステム８００は、プロセッサ８１０による速いアクセスのために、メモリ８１５、ＲＯＭ８２０、ＲＡＭ８２５、および／または記憶デバイス８３０からキャッシュ８１２にデータをコピーすることができる。このようにして、キャッシュ８１２は、データを待機している間のプロセッサの遅延を回避するという性能向上を提供することができる。これらおよび他のモジュールは、プロセッサ８１０を制御して、様々なアクションを実行することができる。他のシステムメモリ８１５も同様に利用可能であり得る。メモリ８１５は、異なる性能特性を有する複数の異なるタイプのメモリを含むことができる。プロセッサ８１０は、任意の汎用プロセッサおよびハードウェアモジュール、またはプロセッサ８１０を制御するように構成された、記憶デバイス８３０に記憶されたモジュール１ ８３２、モジュール２ ８３４、およびモジュール３ ８３６のようなソフトウェアモジュール、ならびにソフトウェア命令が実際のプロセッサ設計に組み込まれた専用プロセッサを含むことができる。プロセッサ８１０は、本質的に、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを包含する完全に自己完結型のコンピューティングシステムであり得る。マルチコアプロセッサは、対称または非対称であり得る。

コンピューティングデバイス８００とのユーザインタラクションを可能にするために、入力デバイス８４５は、発話用マイクロフォン、ジェスチャまたはグラフィック入力用のタッチ保護スクリーン、キーボード、マウス、モーション入力、発話などの任意の数の入力メカニズムを表すことができる。出力デバイス８３５はまた、当業者に知られている出力メカニズムのうちの１つ以上とすることができる。場合によっては、マルチモーダルシステムは、ユーザがコンピューティングデバイス８００と通信するために複数のタイプの入力を提供することを可能にし得る。通信インターフェース８４０は、ユーザ入力およびシステム出力を統御および管理することができる。特定のハードウェア配置での動作に対する制約はないため、ここでの基本的特徴は、基本的特徴が開発される際に改善されたハードウェア配置またはファームウェア配置に容易に置き換えることができる。

記憶デバイス８３０は、不揮発性メモリでとすることができ、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ、読み取り専用メモリ、およびそれらのハイブリッドなどの、コンピュータによってアクセス可能であるデータを記憶することができるハードディスクまたは他のタイプのコンピュータ可読媒体とすることができる。

上記に論じられたように、記憶デバイス８３０は、プロセッサ８１０を制御するためのソフトウェアモジュール８３２、８３４、８３６を含むことができる。他のハードウェアまたはソフトウェアモジュールが企図される。記憶デバイス８３０は、システム接続部８０５に接続できる。いくつかの実施形態では、特定の機能を実行するハードウェアモジュールは、その機能を実行するための、プロセッサ８１０、バス８０５、出力デバイス８３５などの必要なハードウェアコンポーネントに関連してコンピュータ可読媒体に記憶されたソフトウェアコンポーネントを含むことができる。

要約すると、セグメントルーティングを介してＳＤＷＡＮを相互接続するためのシステム、方法、およびコンピュータ可読媒体について説明した。ＳＤＷＡＮファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別することができる。第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを相互接続するセグメントルーティングドメインは、ＳＤＷＡＮファブリックのＷＡＮアンダーレイ上に形成できる。第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間のデータ送信は、第１のＳＤＷＡＮと第２のＳＤＷＡＮとの間に形成されたセグメントルーティングドメインを介してセグメントルーティングを実行することによって制御できる。

説明を明確にするために、場合によっては、様々な実施形態は、デバイス、デバイスコンポーネント、ソフトウェアで具体化される方法におけるステップもしくはルーチン、またはハードウェアとソフトウェアとの組み合わせを含む機能ブロックを含む個々の機能ブロックを含むものとして提示され得る。

いくつかの実施形態では、コンピュータ可読記憶デバイス、媒体、およびメモリは、ビットストリームなどを含むケーブルまたは無線信号を含むことができる。しかしながら、言及される場合、非一時的コンピュータ可読記憶媒体は、エネルギ、搬送波信号、電磁波、および信号自体などの媒体を明示的に除外する。

上述した例にかかる方法は、コンピュータ可読媒体に記憶されているか、または別様にそれから利用可能であるコンピュータ実行可能命令を使用して実装されることができる。そのような命令は、例えば、汎用コンピュータ、専用コンピュータ、もしくは専用処理デバイスに特定の機能または機能のグループを実行させるかまたは別様に構成する命令およびデータを含むことができる。使用されるコンピュータリソースの部分は、ネットワーク経由でアクセス可能とすることができる。コンピュータ実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令とすることができる。命令、使用される情報、および／または説明された例にかかる方法中に作成された情報を記憶するために使用されることができるコンピュータ可読媒体の例は、磁気ディスクまたは光ディスク、フラッシュメモリ、不揮発性メモリを備えたＵＳＢデバイス、ネットワーク記憶デバイスなどを含む。

これらの開示による方法を実装するデバイスは、ハードウェア、ファームウェア、および／またはソフトウェアを含むことができ、様々なフォームファクタのいずれかを取ることができる。このようなフォームファクタのいくつかの例として、サーバ、ラックマウントデバイス、デスクトップコンピュータ、ラップトップコンピュータなどの汎用コンピューティングデバイス、またはタブレットコンピュータ、スマートフォン、携帯情報端末、ウェアラブルデバイスなどの汎用モバイルコンピューティングデバイスが挙げられる。本明細書に記載される機能はまた、周辺機器またはアドインカードで具体化され得る。そのような機能はまた、さらなる例として、単一のデバイスで実行される異なるチップまたは異なるプロセスの間の回路基板上に実装されることもできる。

命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、およびそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。

添付の特許請求の範囲の範疇の態様を説明するために、様々な例および他の情報が使用されたが、当業者であれば、多種多様な実装形態を導出するために、これらの例を使用することができるように、そのような例における特定の特徴または構成に基づいて、特許請求の範囲のいかなる制限も示唆されるべきではない。さらに、一部の主題は、構造的特徴および／または方法ステップの例に対して固有の言語で記載されている場合があるが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの記載された特徴または行為に限定されないことを理解されたい。例えば、そのような機能は、本明細書において識別されているコンポーネント以外のコンポーネントで、異なって配布され、または実施されることができる。むしろ、記載された特徴およびステップは、添付の特許請求の範囲の範疇のシステムおよび方法のコンポーネントの例として開示される。

Claims (23)

1. 方法であって、
   ソフトウェア定義ワイドエリアネットワーク（ＳＤＷＡＮ）ファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別することと、
   前記ＳＤＷＡＮファブリックのワイドエリアネットワーク（ＷＡＮ）アンダーレイ上で前記第１のＳＤＷＡＮおよび前記第２のＳＤＷＡＮを相互接続する前記ＳＤＷＡＮファブリックを介してセグメントルーティングドメインを形成することと、
   前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間に形成された前記セグメントルーティングドメインを介してセグメントルーティングを実行することにより、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御することと、を含む、方法。
2. 前記ＳＤＷＡＮファブリックを介して前記セグメントルーティングドメインを形成することが、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記ＷＡＮアンダーレイを通る複数のパスを事前に構築することをさらに含み、前記複数のパスが、前記セグメントルーティングドメインを介した前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御するために選択可能である、請求項１に記載の方法。
3. 前記複数のパスが、前記セグメントルーティングドメインを介した前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御するために変更可能である、請求項２に記載の方法。
4. 前記セグメントルーティングドメイン内のパスを形成する前記ＷＡＮアンダーレイ内のリンクの性能測定値を収集することと、
   前記ＷＡＮアンダーレイ内の前記リンクの前記性能測定値に基づいて前記セグメントルーティングドメインを介してセグメントルーティングを実行して、前記セグメントルーティングドメイン内の前記パス上の前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御することと、をさらに含む、請求項１～３のいずれか一項に記載の方法。
5. 前記ＷＡＮアンダーレイ内の前記リンクの前記性能測定値が、前記ＷＡＮアンダーレイ内の前記リンクにおける輻輳、レイテンシ、パケットドロップの数、およびジッタの量の１つまたは組み合わせを含む、請求項４に記載の方法。
6. 前記性能測定値が、前記ＷＡＮアンダーレイ内の前記リンクを形成するノードからのストリーミングテレメトリデータとして集められる、請求項４または５に記載の方法。
7. 前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内のパスを識別することと、
   前記セグメントルーティングドメイン内の前記パスを、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で送信できるデータの特定のトラフィッククラスに関連付けることと、
   前記データのトラフィッククラス、および前記パスと前記データの特定のトラフィッククラスとの関連付けに基づいて、前記セグメントルーティングドメイン内の特定のパス上の前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータの送信を制御することと、をさらに含む、請求項１～６のいずれか一項に記載の方法。
8. 前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の識別されたパス内の２つのノードが、セグメントルーティングコントローラによって前記ＷＡＮアンダーレイ内のパス計算要素ノードとして構成される、請求項７に記載の方法。
9. 前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の前記パスの性能の健全性を確認することと、
   前記セグメントルーティングドメイン内の前記パスの前記性能の健全性に基づいて、前記セグメントルーティングドメイン内の新しいパスを識別することと、
   前記新しいパスを、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で送信できる前記データの特定のトラフィッククラスに関連付けることと、
   前記特定のトラフィッククラスへの前記新しいパスの関連付けに基づいて、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記新しいパスを介した前記特定のトラフィッククラスのデータの送信を制御することと、をさらに含む、請求項７または８に記載のシステム。
10. 前記新しいパスが前記特定のトラフィッククラスに関連付けられて、以前に前記特定のトラフィッククラスに関連付けられていたパスを置き換える、請求項９に記載の方法。
11. 前記新しいパスが、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で前記特定のトラフィッククラスの前記データを送信するためのサービス品質要件に基づいて識別される、請求項９または１０に記載の方法。
12. 前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で特定のトラフィッククラスのデータを送信するためのサービス品質要件を確認することと、
    前記サービス品質要件に基づいて、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の適切なパスを識別することと、
    セグメントルーティングを介して、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の前記適切なパス上の前記特定のトラフィッククラスのデータの送信を制御することと、をさらに含む請求項７～１１に記載のシステム。
13. 前記サービス品質要件が、前記特定のトラフィッククラスのデータを送信するための帯域幅要件およびレイテンシ要件のいずれかまたは両方を含む、請求項１２に記載の方法。
14. 前記セグメントルーティングドメインが、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間でデータを送信するためにメディアアクセス制御セキュリティ（ＭＡＣｓｅｃ）暗号化を利用する、請求項１～１３のいずれか一項に記載の方法。
15. システムであって、
    １つ以上のプロセッサと、
    命令を記憶した少なくとも１つのコンピュータ可読記憶媒体と、を備え、前記命令が、前記１つ以上のプロセッサによって実行されるときに、前記１つ以上のプロセッサに、
    ソフトウェア定義ワイドエリアネットワーク（ＳＤＷＡＮ）ファブリックの第１のＳＤＷＡＮおよび第２の
    ＳＤＷＡＮを識別することと、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のワイドエリアネットワーク（ＷＡＮ）アンダーレイを通る複数の選択可能なパスを事前に構築することにより、前記ＳＤＷＡＮファブリックの前記ＷＡＮアンダーレイ上で前記第１のＳＤＷＡＮおよび前記第２のＳＤＷＡＮを相互接続する前記ＳＤＷＡＮファブリックを介してセグメントルーティングドメインを形成することと、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間に形成された前記セグメントルーティングドメインを介してセグメントルーティングを実行することにより、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御することと、を含む動作を実行させる、システム。
16. 前記１つ以上のプロセッサによって実行されるときに、前記１つ以上のプロセッサに、
    前記セグメントルーティングドメイン内のパスを形成する前記ＷＡＮアンダーレイ内のリンクの性能測定値を収集することと、
    前記ＷＡＮアンダーレイ内の前記リンクの前記性能測定値に基づいて前記セグメントルーティングドメインを介してセグメントルーティングを実行して、前記セグメントルーティングドメイン内の前記パス上の前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御することと、を含む動作をさらに実行させる前記命令、請求項１５に記載のシステム。
17. 前記１つ以上のプロセッサによって実行されるときに、前記１つ以上のプロセッサに、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内のパスを識別することと、
    前記セグメントルーティングドメイン内の前記パスを、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で送信できるデータの特定のトラフィッククラスに関連付けることと、前記データのトラフィッククラス、および前記パスと前記データの特定のトラフィッククラスとの関連付けに基づいて、前記セグメントルーティングドメイン内の特定のパス上の前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータの送信を制御することと、を含む動作をさらに実行させる前記命令、請求項１５または１６に記載のシステム。
18. 前記１つ以上のプロセッサによって実行されるときに、前記１つ以上のプロセッサに、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の前記パスの性能の健全性を確認することと、
    前記セグメントルーティングドメイン内の前記パスの前記性能の健全性に基づいて、前記セグメントルーティングドメイン内の新しいパスを識別することと、
    前記新しいパスを、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で送信できる前記データの特定のトラフィッククラスに関連付けることと、
    前記特定のトラフィッククラスへの前記新しいパスの関連付けに基づいて、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記新しいパスを介した前記特定のトラフィッククラスのデータの送信を制御することと、を含む動作をさらに実行させる前記命令、請求項１７に記載のシステム。
19. 前記１つ以上のプロセッサによって実行されるときに、前記１つ以上のプロセッサに、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間で特定のトラフィッククラスのデータを送信するためのサービス品質要件を確認することと、
    前記サービス品質要件に基づいて、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の適切なパスを識別することと、
    セグメントルーティングを介して、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間の前記セグメントルーティングドメイン内の前記適切なパス上の前記特定のトラフィッククラスのデータの送信を制御することと、を含む動作をさらに実行させる前記命令、請求項１７または１８に記載のシステム。
20. 命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記命令が、プロセッサによって実行されるときに、前記プロセッサに、
    ソフトウェア定義ワイドエリアネットワーク（ＳＤＷＡＮ）ファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別することと、
    前記ＳＤＷＡＮファブリックのワイドエリアネットワーク（ＷＡＮ）アンダーレイ上で前記第１のＳＤＷＡＮおよび前記第２のＳＤＷＡＮを相互接続する前記ＳＤＷＡＮファブリックを介してセグメントルーティングドメインを形成することと、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間に形成された前記セグメントルーティングドメイン内の１つ以上の変更可能なパスを介してセグメントルーティングを実行することにより、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御することと、を含む動作を実行させる、非一時的コンピュータ可読記憶媒体。
21. 装置であって、
    ソフトウェア定義ワイドエリアネットワーク（ＳＤＷＡＮ）ファブリックの第１のＳＤＷＡＮおよび第２のＳＤＷＡＮを識別するための手段と、
    前記ＳＤＷＡＮファブリックのワイドエリアネットワーク（ＷＡＮ）アンダーレイ上で前記第１のＳＤＷＡＮおよび前記第２のＳＤＷＡＮを相互接続する前記ＳＤＷＡＮファブリックを介してセグメントルーティングドメインを形成するための手段と、
    前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間に形成された前記セグメントルーティングドメインを介してセグメントルーティングを実行することにより、前記第１のＳＤＷＡＮと前記第２のＳＤＷＡＮとの間のデータ送信を制御するための手段と、備える、装置。
22. 請求項２～１４のいずれか一項に記載の方法のステップを実装するための手段をさらに備える、請求項２１に記載の装置。
23. プロセッサ上で実行されるときに、前記プロセッサに、請求項１～１４のいずれか一項に記載の方法のステップを実行させる命令を備える、コンピュータプログラム、コンピュータプログラム製品、またはコンピュータ可読媒体。

Images