VPC自动对等互连的制作方法

vpc自动对等互连
1.相关申请的交叉引用
2.本技术要求于2019年11月1日提交的题为“vpc自动对等互连(vpc auto-peering)”的美国临时申请no.62/929,392的申请日权益，所述美国临时申请的公开内容通过引用在此并入本文。


背景技术：

3.目前，如果云客户想要创建彼此对等互连的虚拟私有云(vpc)网络，则他们必须在对等互连的两侧显式地配置连接。特别地，每个vpc必须指定朝向另一vpc的显式对等互连配置，这能够导致云客户需要设置大量显式配置。例如，如果vpc集线器要与600个其他vpc连接，则vpc集线器将需要600种配置，而其他600个vpc中的每个都需要其自身的配置。除了创建配置之外，还必须维持配置。对等互连的数量越大，创建和维持配置所需的工作量就越大。


技术实现要素：

4.本公开提供了一种在诸如vpc的虚拟网络之间创建自动对等互连关系而不需要显式双向配置的可能方式。在这方面，为客户提供了一种简单、简略的方式来通过策略自动地创建大量对等互连。
5.本公开的一个方面提供了一种方法，包括由第一虚拟私有云(vpc)以第一模式操作，其中第一模式启用与第二vpc的自动对等互连；由第一vpc识别第二vpc；在无需操作者干预的情况下由第一vpc自动地请求以发起与第二vpc的对等互连；以及当该请求被第二vpc接受时，由第一vpc建立对等互连连接。
6.根据一些示例，该方法还可以包括由第一vpc确定所识别的第二vpc是否满足一个或多个预定义策略。一个或多个预定义策略可以指定其中包括第二vpc的组织是否被批准用于对等互连。根据一些示例，一个或多个预定策略还可以指定其中包括第二vpc的组织中的项目是否被批准用于对等互连。在一些示例中，一个或多个策略限制子网和路由的交换。
7.根据一些实施方式，该方法还可以包括将自动对等互连过滤策略推送到第二vpc。
8.第二vpc可以以第一模式或以第二模式操作，其中第二vpc侦听自动对等互连请求。
9.本公开的另一方面提供了一种方法，包括由第二虚拟私有云(vpc)以第二模式操作，其中处于第二模式的第二vpc侦听来自第一vpc的自动对等互连请求；由第二vpc接收来自第一vpc的发起与第二vpc的对等互连的请求；由第二vpc基于一个或多个策略而确定是否与第一vpc对等互连；以及当根据一个或多个策略批准第一vpc时，在无需操作者干预的情况下由第二vpc自动地与第一vpc进行对等互连。
10.根据一些示例，一个或多个策略可以指定其中包括第一vpc的组织是否被批准用于对等互连。一个或多个策略还可以指定其中包括第一vpc的组织中的项目是否被批准用于对等互连。
11.在一些示例中，一个或多个策略可以限制子网和路由的交换。该方法还可以包括将自动对等互连过滤策略推送到第一vpc。第一vpc可以以启用了自动对等互连的第一模式操作。
12.本公开的另一方面提供了一种系统，包括第一虚拟私有云(vpc)中的多个虚拟机、耦接到多个虚拟机的控制器。该控制器包括一个或多个处理器，该一个或多个处理器被配置成以第一模式操作第一vpc，其中第一模式启用与第二vpc的自动对等互连；识别第二vpc，其中，在无需操作者干预的情况下由第一vpc自动请求以发起与第二vpc的对等互连；并且当请求被第二vpc接受时，在第一vpc与第二vpc之间建立对等互连连接。
13.在一些实施方式中，一个或多个处理器还被配置成确定所识别的第二vpc是否满足一个或多个预定义策略。一个或多个预定义策略可以指定其中包括第二vpc的组织是否被批准用于对等互连。一个或多个预定策略还可以指定其中包括第二vpc的组织中的项目是否被批准用于对等互连。一个或多个策略可以限制子网和路由的交换。
14.根据一些示例，一个或多个处理器还被配置成将自动对等互连过滤策略推送到第二vpc。
15.在一些实施方式中，控制器还可以被配置成操作第一vpc以识别第三vpc；在无需操作者干预的情况下由第一vpc自动请求以发起与第三vpc的对等互连；并且当请求被第三vpc接受时，在第一vpc与第三vpc之间建立对等互连连接。
附图说明
16.图1a是图示根据本公开的各方面的自动对等互连的示例的框图。
17.图1b是图示根据本公开的各方面的使用用于策略匹配的控制器的自动对等互连的示例的框图。
18.图1c是图示根据本公开的各方面的用户定义的群组内的自动对等互连的示例的框图。
19.图2是图示根据本公开的各方面的不同vpc的关系框图。
20.图3是图示根据本公开的各方面的vpc的部件的框图。
21.图4是图示根据本公开的各方面的示例用例的框图。
22.图5是图示根据本公开的各方面的另一示例用例的框图。
23.图6是图示根据本公开的各方面的示例方法的流程图。
24.图7是图示根据本公开的各方面的另一示例方法的流程图。
具体实施方式
25.图1a图示了vpc之间的自动对等互连的示例。自动对等互连是在vpc级别创建的，并且是vpc级别的配置。虽然本文的示例描述了vpc之间的自动对等互连，但应该理解的是，vpc可以包括任意多种类型的虚拟网络中。
26.vpc可以被配置成以一种或多种模式操作。例如，vpc可能具有“自动对等互连”模式，从而允许接通或关闭自动对等互连。当为特定vpc接通了自动对等互连时，该vpc可能会寻求与其他vpc的连接，诸如匹配一个或多个预定义策略的其他vpc。另外，接通了自动对等互连的特定vpc可能会打开以接受来自匹配一个或多个预定义策略的其他vpc的连接请求。
用于请求连接的策略可以与接受连接请求的策略相同或不同。根据一些示例，vpc可以被设置成“侦听”模式，在这种模式下，它被打开以与匹配预定义策略的任何其他vpc对等互连，但不会主动寻求确立其他连接。
27.根据一些示例，vpc的对等互连模式(自动和/或侦听)能够基于对等互连策略而变化。例如，对于来自名称以字母
‘
b’开头的vpc的对等互连请求，vpc a可以以侦听模式操作，对于名称以字母“c”开头的vpc，以仅对等互连(例如，仅寻求连接)模式操作，并且对于名称以“d”开头的vpc，以对等互连 侦听模式操作。
28.如图1a中所示，vpc a 50可以被设置成侦听模式。为此，vpc a 50被打开以接受来自其他vpc 70(诸如，vpc n1、vpc nm等)的请求。虽然仅示出了几个其他vpc 70，但应当理解，vpc a 50可以接受来自任何数量的其他vpc的连接。
29.vpc a 50可以确定是否接受来自其他vpc 70的连接。例如，vpc a50可以确定另一vpc，诸如vpc n1，是否匹配预定义策略。
30.根据一个示例，策略可以包括用于限制对等互连的vpc之间共享子网和路由的导入/导出过滤策略。此类策略可以包括用于接受连接请求的一个或多个规则。例如，此类规则可以指定具体组织、组织内的项目、和/或项目内被批准用于连接的vpc。根据一些示例，此类策略可以包括访问权限。例如，此类访问权限可以由vpc所属的组织或对vpc具有控制的其他实体指派。
31.例如，虽然一些策略可以指定给定组织内的任何vpc都被批准，但是其他策略可以指定另一组织的特定项目内的仅选定的几个vpc被批准。此外，一些政策可能明确地指示连接请求应被拒绝的特定vpc、项目或组织。
32.图1b图示了另一示例，其中控制器10促进vpc之间的自动对等互连。例如，每个vpc 50、vpc 72、vpc 74可以具有相关联的对等互连策略。对等互连策略可以提供由相关联的vpc允许的对等互连规则。例如，规则可以指示被允许的其他特定vpc、其他类型的vpc、位置、所有者或对应于vpc的其他信息。策略可以存储在每个vpc 50、vpc 72、vpc74处，在控制器10处，或独立地存储在控制器10可访问的存储器设备中。
33.控制器10可以访问vpc的对等互连策略，并且对它们进行比较。基于该比较，控制器10可以确定vpc 50、vpc 72、vpc 74中的哪一个能够彼此确立对等互连。在示出的示例中，控制器10确定vpc a 50的对等互连策略允许与vpc b 72对等互连，并且vpc b 72的对等互连策略允许与vpc a 50对等互连。因此，控制器向voc 50、voc 72指示它们可以彼此对等互连。该指示可以包括例如从控制器传输到vpc 50、vpc 72的消息或指令。在其他示例中，该指示可以存储在控制器10处或其他地方，vpc可以周期性地访问该其他地方的地址以识别所允许的经确定的对等互连。
34.图1c是图示群组内自动对等互连的示例的框图。例如，vpc的群组可以由用户(诸如，组织的管理员或其他类型的用户)定义。可以基于任意vpc的若干特性(诸如策略、所有者、位置、利用率、应用类型或处置的作业等)而将vpc添加到群组中。
35.当一个或多个vpc被添加到群组时，vpc可以自动地与群组内的其他vpc对等互连。例如，如图所示，该群组包括vpc a 50、vpc b 72和vpc c 74。在一些示例中，可以通知vpc 50、vpc 72、vpc 74它们被包括在群组中，并且可以向它们通知群组中的其他vpc。因此，这些vpc 50、vpc 72、vpc 74中的每个可以与群组中的每个其他vpc对等互连。
36.参照图2，例如，组织a可以包括若干项目240。例如，组织a可以是在一个或多个实体位置/建筑物中运营的公司、企业单位或任何其他企业、协会等。根据一些示例，组织a可以由其他组织(诸如，组织b)可辨识的唯一组织标识符表示。
37.例如，项目240中的每个可以是组织的子组织或其他子单位、产品或应用、部门、团队、平台等。每个项目可以包括一个或多个vpc 250至vpc 254。虽然图2中示出了几个vpc，但应当理解，给定项目中可以包括任何数量的vpc。此外，在一些实例中，给定的vpc可能会同时包括在组织内的多个不同项目中。
38.与组织a类似，单独的组织b可以包括一个或多个项目260，每个项目包括零个或多个vpc 270、vpc 272。组织b可能与组织a无关。在其他示例中，组织b可以与组织a做生意或以其他方式利用来自组织a的信息。仅举例来说，组织a可能是提供数据库服务(项目1)的公司，而组织b可能是具有使用数据库服务的web前端(项目2)的单独公司。因此，组织b的vpc 270可能会寻求与组织a的vpc 250连接。
39.如果vpc不再需要具有显式对等互连配置，则可以实现本地过滤策略。本地过滤策略可以是限制子网和路由的交换的过滤策略，并且可以在vpc配置级别应用。
40.根据另一示例，策略可以包括对等点过滤策略。返回参照图1a，例如，如果vpc a50仅被配置成在没有导入/导出策略的情况下接受自动对等互连请求，则它可能能够接受对等点过滤策略。在这方面，发起vpc 70(例如，vpc n1)应该能够将导入/导出策略推送到vpc a 50。
41.当对等互连被自动地创建时，在一些示例中，可以在创建vpc(诸如寻求发起与vpc a 50的连接的vpc n1)上表达过滤策略。在其他示例中，可以在接受vpc(诸如接受来自vpc n1的请求的vpc a)上表达过滤策略。
42.在创建vpc上表达过滤策略的情况下，可以在vpc级别处将用于创建vpc的过滤策略配置为“自动对等互连本地过滤策略”。可以在创建vpc上将关于接受vpc的过滤策略配置为“自动对等互连对等点过滤策略”。
43.在接受vpc上表达过滤策略的情况下，接受vpc还可以将其自身的用于过滤的本地策略配置为“自动对等互连本地过滤策略”。接受vpc还可以任选地将过滤策略推送到创建vpc作为“自动对等互连对等点过滤策略”。本地策略可能优先于由对等点推送的“对等点过滤策略”。
44.在一些情况下，一个vpc对其所有自动创建的对等点可能仅具有单个导入/导出策略。在其他情况下，不同的过滤策略的集合可能会应用于不同的自动创建的vpc的集合。在这种情况下，可以用对应的过滤策略来允许多个自动创建/自动接受策略。
45.图3图示了示例vpc。vpc可以包括若干计算设备，诸如虚拟机362至366、载荷平衡器370和控制器390。虽然示出了这些计算设备中的仅几个，但是应当理解，每个vpc可以包括任何数量的计算设备，并且第一vpc中的计算设备的数量可能与第二vpc中的计算设备的数量不同。此外，应当理解，例如当硬件被移除、替换、升级或扩展时，每个vpc中的计算设备的数量可能会随着时间而变化。
46.根据一些示例，计算设备可以包括在一个或多个主机上运行的一个或多个虚拟机362至366。虚拟机362至366中的每个可以运行操作系统和应用。虽然图2中图示了仅几个虚拟机362至366，但应当理解，任何数量的虚拟机可以由任何数量的主机计算设备支持。此
外，应当理解，图3中图示的配置仅为示例，并且每个vpc中的计算设备可以具有可能彼此相同或不同的各种结构和部件。
47.载荷平衡器370可以在虚拟机362至366之间分配作业或任务。例如，计算设备可能具有不同的能力。例如，不同的计算设备可能具有不同的处理速度、工作量等。例如，当接收到执行新任务的命令时，载荷平衡器370可以确定哪个虚拟机362至366负责处置新任务。此外，载荷平衡器370可以监视虚拟机362至366中的每个的计算能力并且根据需要做出调整。例如，如果一个虚拟机发生故障，则载荷平衡器370可以将其进程移动到一个或多个其他虚拟机。在其他示例中，如果一个虚拟机接近能力饱和而另一虚拟机具有可用性，则载荷平衡器370可以移动作业，或者可以仅将新作业发送到具有可用性的虚拟机。
48.控制器390可以与vpc和其他vpc中的计算设备通信。例如，控制器390接收来自其他vpc的连接请求并确定是否接受该连接。作为另一示例，控制器390可以寻找匹配预定义策略的其他vpc，并且向那些vpc发起连接请求。
49.控制器390可以包含处理器398、存储器392和通常存在于通用计算机中的其他部件。存储器392能够存储可由处理器398访问的信息，包括能够由处理器398执行的指令396。存储器还能够包括可由处理器398检索、操纵或存储的数据394。
50.存储器392可能是一种能够存储处理器398可访问的信息的非暂时性计算机可读介质，诸如硬盘驱动器、固态驱动器、磁带驱动器、光存储、存储卡、rom、ram、dvd、cd-rom、可写和只读存储器。处理器398能够是众所周知的处理器或其他鲜为人知的处理器类型。替代地，处理器398能够是专用控制器，诸如asic。
51.指令396能够是由处理器398直接执行的指令集，诸如机器代码，或间接执行的指令集，诸如脚本。在这方面，术语“指令”、“步骤”和“程序”在本文中能够可互换使用。指令396能够以目标代码格式存储以供处理器398直接处理，或以包括在需要时被解释或被预先编译的脚本或独立源代码模块的集合的其他类型的计算机语言存储。
52.能够由处理器398根据指令396来检索、存储或修改数据394。举例来说，虽然系统和方法不受特定数据结构的限制，但是数据394能够存储在计算机寄存器中，存储在关系数据库中作为具有多个不同字段和记录的表或xml文档。数据394也能够被格式化为计算机可读格式，诸如但不限于二进制值、ascii或unicode。此外，数据394能够包括足以识别相关信息的信息，诸如数字、描述性文本、专有代码、指标、对存储在其他存储器(包括其他网络位置)中的数据的引用、或者被函数用来计算相关数据的信息。
53.如图3的示例中所示，数据394可以包括用于自动地与外部vpc对等互连的一个或多个策略。例如，策略可以包括导入/导出策略、对等点过滤策略、本地过滤策略等。可以访问所述策略以确定是发起还是接受请求。根据一些示例，可以将策略推送到寻求连接的外部vpc。
54.虽然图3在功能上将处理器398和存储器392图示为在同一块内，但处理器398和存储器392实际上可以包括多个处理器和存储器，所述多个处理器和存储器可以或可以不存储在同一物理外壳内。例如，指令396和数据394中的一些能够存储在可移除cd-rom上，而其他的能够存储在只读计算机芯片内。指令和数据中的一些或全部能够存储在物理上远离处理器398但仍可由处理器访问的位置。类似地，处理器398实际上能够包括处理器的集合，所述处理器可以并行操作也可以不并行操作。
55.图4图示了第一示例用例，其中使vpc在轴辐式模型中对等互连。例如，vpc a 450可以是集线器。因此，集线器vpc a 450将其自身设置成侦听或接受模式。vpc a 450允许多个“辐条”vpc 461至vpc 465与它连接。辐条vpc 461至vpc 465中的每个可以在不同时间连接到集线器vpc 450，例如当建立了辐条vpc 461至vpc 465时，当它们需要与集线器vpc 450协作时，或者在任何其他时间。类似地，辐条vpc 461至vpc465可以在不同的持续时间内保持与集线器vpc 450的对等互连。因此，虽然在一些实例中，所有vpc 461至vpc 465可以同时与集线器vpc 450对等互连，但在其他实例中，在给定时间可仅使辐条vpc 461至vpc 465的子集对等互连。在这方面，当多租户服务公开服务时，新的客户端vpc能够在它们出现并且由iam策略允许时与所述服务连接。
56.图5图示了另一示例用例，其中使多个vpc 552至vpc 558在全网格模型中对等互连。在该模型中，使每个vpc都与每个其他vpc对等互连。例如，组织中的所有vpc可以彼此对等互连。可以在所有vpc 552至vpc 558上应用策略以创建自动对等互连。在这种情况下，对等互连双方上的vpc都希望进行对等互连，并且因此创建vpc或接受vpc之间的区别不太相关。因此，所有vpc 552至vpc 558都可以配置自动对等互连创建和/或自动对等互连接受，并且vpc 552至vpc 558可能能够自动计算和创建它们的对等互连。
57.虽然图4和图5图示了两个不同的示例用例，但是应当理解，更多用例也是可能的。仅举例来说，一些vpc可以与一些其他vpc对等互连，诸如其中一些vpc可能不与每一个其他vpc对等互连的网格模型。
58.示例方法
59.除了上述和附图中图示的操作之外，现在还将描述各种操作。应当理解，不必按照下面描述的精确次序执行以下操作。而是，能够以不同的次序或同时处置各种步骤，并且也可以添加或省略各步骤。
60.图6图示了vpc之间的自动对等互连的示例方法600。仅举例来说，方法800可以由第一vpc内的控制器和第二vpc内的控制器执行，诸如结合图2所描述的控制器。
61.在框605中，第一vpc以自动对等互连模式操作。在这种模式中，第一vpc可以搜索被配置成允许自动对等互连的其他vpc。同时，在框650中，第二vpc以自动对等互连模式或侦听模式操作，在该模式下，第二vpc被配置成接受来自其他vpc的发起对等互连的请求。根据一些示例，第二vpc可以以自动对等互连模式寻求连接并侦听请求，但仅以侦听模式侦听请求。
62.在框610中，第一vpc可以检测第二vpc。例如，第二vpc可以广播第一vpc可检测到的一些信息。根据另一示例，集中式配置模型可以实现自动对等互连。可以使用任意多种不同机制来检测第二vpc，并且在一些实例中，此类机制可能取决于架构。
63.在框615中，第一vpc确定是否发起与第二vpc的对等互连。例如，第一vpc引用一个或多个配置文件，所述配置文件可以存储在vpc处或远程存储。一个或多个配置文件包括用于确定哪些vpc将发起对等互连的规则。例如，一个或多个配置文件可以针对经批准的vpc指定组织标识符、项目标识符和/或vpc标识符。一个或多个配置文件还可以列出第一vpc不应尝试与其发起对等互连的特定组织、项目或vpc。在框620中，第一vpc决定是否发起与第二vpc的对等互连。如果决定不发起对等互连，则过程可以返回框605。
64.如果第一vpc在框620中决定发起对等互连，则它将在框625中发起对等互连。例
如，第一vpc可以向第二vpc发送请求。该请求可以包括例如识别第一vpc的信息。根据一些示例，该请求可以包括更多信息，诸如请求对等互连的持续时间、与第一vpc对等互连的其他vpc等。在框655中，第二vpc从第一vpc接收对等互连请求。
65.在框660中，第二vpc确定是否与第一vpc对等互连。例如，第二vpc可以查阅其自动对等互连配置文件中的一个或多个。此类配置文件可以指定第二vpc应与之对等互连的特定vpc。在指定特定vpc时，配置文件可以指定被批准或拒绝的组织、项目和/或vpc。
66.如果第二vpc在框665中决定不与第一vpc对等互连，则可以在框670中拒绝来自第一vpc的请求。然而，如果第二vpc决定与第一vpc对等互连，则可以在框675中建立对等互连。
67.图7图示了示例方法700，其中控制器使用vpc的策略来促进对等互连。
68.在框710中，控制器访问关于多个vpc的对等互连策略。例如，策略可以存储在控制器内、在vpc处或在控制器可访问的任何其他位置。每个对等互连策略可以对应于特定vpc，并且可以指示由该特定vpc允许的对等互连连接的规则、参数或其他指南。
69.在框720中，控制器比较经访问的对等互连策略。例如，控制器可以个别地或共同地分析对等互连策略。
70.在框730中，控制器基于框720的比较来确定哪些vpc能够彼此对等互连。例如，该比较可以返回指示第一vpc和第二vpc的策略具有允许在第一vpc与第二vpc之间对等互连的一些相同规则的结果。根据其他示例，第一vpc和第二vpc可能具有不同的特性并且它们的策略可以包括不同的规则，但是第一vpc的策略允许与第二vpc对等互连，而第二vpc的策略允许与第一vpc对等互连。因此，在任一示例中，控制器可以将第一vpc和第二vpc识别为用于彼此对等互连的候选。
71.在框740中，控制器向所确定的vpc指示它们之间的对等互连被批准。举例来说，控制器可以向第一vpc和第二vpc发送指示它们可以继续彼此对等互连的消息或其他通信。
72.如本文所述的自动对等互连是有利的，因为它促进了多个vpc对等互连的创建和管理。因此，能够使用更少的时间、劳动力和其他资源来创建和维持vpc对等互连。另外，此类自动对等互连降低了人为误差的可能性。
73.除非另有说明，否则前述替代示例不是相互排斥的，而是可以以各种组合实现以达成独特的优势。因为可以在不背离权利要求所限定的主题的情况下利用上面讨论的特征的这些和其他变型和组合，所以应当以说明的方式而非限制权利要求所限定的主题的方式来理解实施例的前述描述。另外，本文所描述的示例的提供以及措辞为“诸如”、“包括”等条款不应被解释为将权利要求的主题限制为具体示例；而是，所述示例意在说明许多可能的实施例中的仅一个。此外，不同附图中相同的附图标记可以识别相同或相似的元件。