CN101523866B - 用于分层全局负载平衡的系统和方法 - Google Patents
用于分层全局负载平衡的系统和方法 Download PDFInfo
- Publication number
- CN101523866B CN101523866B CN200780037294.3A CN200780037294A CN101523866B CN 101523866 B CN101523866 B CN 101523866B CN 200780037294 A CN200780037294 A CN 200780037294A CN 101523866 B CN101523866 B CN 101523866B
- Authority
- CN
- China
- Prior art keywords
- equipment
- branch
- polymerizer
- client
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
- H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
- H04L67/1004—Server selection for load balancing
- H04L67/1008—Server selection for load balancing based on parameters of servers, e.g. available memory or workload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
- H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
- H04L67/1004—Server selection for load balancing
- H04L67/1012—Server selection for load balancing based on compliance of requirements or conditions with available server resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
- H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
- H04L67/1029—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers using data related to the state of servers by a load balancer
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/2866—Architectures; Arrangements
- H04L67/288—Distributed intermediate devices, i.e. intermediate devices for interaction with other intermediate devices on the same level
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/2866—Architectures; Arrangements
- H04L67/289—Intermediate processing functionally located close to the data consumer application, e.g. in same machine, in same home or in same sub-network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/50—Network services
- H04L67/56—Provisioning of proxy services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
- H04L69/163—In-band adaptation of TCP data exchange; In-band control procedures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
- H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/2866—Architectures; Arrangements
- H04L67/2885—Hierarchically arranged intermediate devices, e.g. for hierarchical caching
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/50—Network services
- H04L67/51—Discovery or management thereof, e.g. service location protocol [SLP] or web services
Abstract
本发明所公开的系统和方法用于提供设备的分层以更加有效地跨越多个分支机构访问资源。方法包括如下步骤:由第一聚合器设备(400A)建立与第一多个分支机构设备(200A,...,200N)的连接;由第二聚合器设备(400B)建立与第二多个分支机构设备(200A’,...,200N’)的连接;第一多个分支机构设备不具有识别第二多个分支机构设备的信息;由第一聚合器设备(400A)从第一分支机构设备(200A)接收来自客户端访问资源的请求;由第一聚合器设备(400A)经由第二聚合器设备(400B)从第二多个分支机构设备(200A’,...,200N’)识别一个第二分支机构设备(200A’)以服务该请求;由第一聚合器设备(400A)向第一分支机构设备(200A)发送识别第二分支机构设备(200A’)的信息;并且由第一分支机构设备(200A)建立与第二分支机构设备(200A’)的连接。本发明也描述了对应的系统。
Description
技术领域
本发明主要涉及数据通信网络,更具体地,本发明涉及提供用于分支机构的全局和分层负载平衡的聚合器设备的系统和方法。
背景技术
公司或者企业网络可以服务许多分支机构。每个分支机构可以具有其自己的网络、服务器和资源。可以在分支机构布署设备,用来为位于分支机构的客户端或者服务器本地提供网关服务。在公司范围网络中,可以在每个分支机构布署分支机构设备。可以跨越这些分支机构布署诸如服务器、应用、数据文件的许多资源。此外,分支机构可以具有未充分利用的资源和可用的计算时间。
在任一分支机构,可以存在能够由其它分支机构的用户或者计算装置访问的可用的或者有用的资源。例如,第一分支机构的客户端可以想要访问第二分支机构的服务器上的诸如应用的资源。在一些实例中,第一分支机构的客户端不知道第二分支机构的资源的存在或者可用性。在其它实例中,由于分支机构的资源对于跨越公司网络的用户不能容易地使用,而被搁置不用。这将导致公司网络和布署的资源的低效率的使用。为了有利于分支机构的客户端访问另一个分支机构的资源,管理员需要人工并且特定地配置网关或者分支机构设备,以知道网络中其它设备。在资源遍布许多分支机构布署的情况下,每个分支机构设备需要被人工配置,以知道其它分支机构设备。这导致在配置和维持多个分支机构设备或者网关中的大量的时间和成本。
因此,期望提供减少分支机构配置而跨越企业和分支机构全局负载平衡资源的系统和方法。
发明内容
本发明涉及聚合器设备,以分层的形式和减少分支机构设备配置的方式来提供分支机构设备的聚合和负载平衡。任一分支机构设备可以被配置以知道或者识别单个聚合器设备400。例如,第一分支机构设备可以被配置以识别和连接到第一聚合器设备。第一分支机构设备可以不被配置为具有任何信息,并且因此可以不知道第二聚合器设备或者连接到第二聚合器设备的任一分支机构设备。以此方式,减少了分支机构设备的配置。虽然配置被减少,但是服务请求的分支机构设备可以访问聚合器设备所知道的任一其它设备。由于聚合器设备共享分支机构设备的信息,第一聚合器设备可以向第一分支机构设备识别标识经任一聚合器设备连接的任一分支机构设备的信息。以此方式,资源请求可以跨越所有的分支机构和分支机构设备被全局负载平衡。
在一方面,本发明涉及一种用于提供设备的分层以更加有效地跨越多个分支机构访问资源的方法。该方法包括如下步骤:由第一聚合器设备建立与第一多个分支机构设备的连接,并且由第二聚合器设备建立与第二多个分支机构设备的连接。第一多个分支机构设备可以不具有识别第二多个分支机构设备的信息。第二多个分支机构设备也可以不具有识别第一多个分支机构设备的信息。该方法包括由第一聚合器设备从第一多个分支机构的第一分支机构设备接收来自客户端访问资源的请求。由第一聚合器设备经由第二聚合器设备从第二多个分支机构设备识别一个第二分支机构设备以服务该请求。第一聚合器设备向第一分支机构设备或者客户端的其中之一发送识别第二分支机构设备的信息。该方法包括客户端建立与第二分支机构设备的连接。
在一个实施例中,该方法包括由第一分支机构设备发送识别第二分支机构设备的信息给客户端。在另一个实施例中,该方法包括由客户端经由第一分支机构设备通过第二分支机构设备与服务器建立第二连接。在一些实施例中,该方法包括由第一聚合器设备建立与第二聚合器设备的通信。在一个实施例中,第一聚合器设备将关于第一多个分支机构设备的信息通信给第二聚合器设备。在另一个实施例中,第二聚合器设备将关于第二多个分支机构设备的信息通信给第一聚合器设备。
在另一个实施例中,该方法包括由第一聚合器设备确定关于第一多个分支机构设备的每一个的性能或者操作特征的信息。在一些实施例中,该方法包括由第二聚合器设备确定第二多个分支机构设备的每一个的性能或者操作特征。在一个实施例中,该方法包括由第一或者第二聚合器设备基于性能或者操作特征的其中之一来选择第二分支机构设备。
在又一个实施例中,该方法包括由第一分支机构设备或者第二分支机构设备加速客户端和服务器之间的通信。该方法可以包括使用以下一个或者多个技术进行加速:1)压缩,2)TCP连接池,3)TCP连接多路复用,4)TCP缓冲,和5)高速缓存。在一些实施例中,第一聚合器设备或者第二聚合器设备被布署在数据中心。在另一个实施例中,客户端布署在第一分支机构。
在另一方面,本发明涉及用于提供设备的分层以更加有效地跨越多个分支机构访问资源的系统。该系统包括第一聚合器设备和第二聚合器设备。第一聚合器设备建立与第一多个分支机构设备的连接。第二聚合器设备建立与第二多个分支机构设备的连接。第一多个分支机构设备可以不具有识别第二多个分支机构设备的信息。第二多个分支机构设备也可以不具有识别第一多个分支机构设备的信息。该系统还包括发送来自客户端访问资源的请求给第一聚合器设备的第一多个分支机构的第一分支机构设备。第一聚合器设备经由第二聚合器设备从第二多个分支机构设备识别一个第二分支机构设备以服务该请求,并且向该第一分支机构设备发送识别第二分支机构设备的信息。该系统还包括建立与第二分支机构设备的连接的客户端。
在一个实施例中,第一分支机构设备发送识别第二分支机构设备的信息给客户端。在另一个实施例中,客户端经由第一分支机构设备通过第二分支机构设备与服务器建立第二连接。在一些实施例中,第一聚合器设备建立与第二聚合器设备的通信。在一个实施例中,第一聚合器设备将关于第一多个分支机构设备的信息通信给第二聚合器设备。在又一个实施例中,第二聚合器设备将关于第二多个分支机构设备的信息通信给第一聚合器设备。在一些实施例中,第一或者第二聚合器设备确定关于第一多个分支机构设备的每一个的性能或者操作特征的信息。在系统的另一个实施例中,第一聚合器设备基于性能或者操作特征的其中之一来选择第二分支机构设备。
在一些实施例中,第一分支机构设备或者第二分支机构设备加速客户端和服务器之间的通信。该加速技术可以包括以下技术中的一个或者多个:1)压缩,2)TCP连接池,3)TCP连接多路复用,4)TCP缓冲,和5)高速缓存。在其它实施例中,第一聚合器设备或者第二聚合器设备被布署在数据中心。在一个实施例中,客户端布署在第一分支机构。
在以下附图和描述中提出本发明的不同实施例的细节。
附图说明
该发明的前述和其它目的、方面、特征和优点,通过参见下述结合附图的细节描述将会更加明显并更好理解,其中:图1A是对于客户端通过设备访问服务器的网络环境的实施例的框图;图1B是用于通过设备从服务器传送计算环境到客户端的环境的实施例的框图;图1C和1D是计算装置的实施例的框图;图2A是用于处理客户端和服务器之间的通信的设备的实施例的框图;图2B是用于优化、加速、负载平衡和路由客户端和服务器之间的通信的设备的另一个实施例的框图;图3是用于通过设备与服务器通信的客户端的实施例的框图;图4A是跨越分支机构访问资源的聚合器设备的实施例的框图;图4B为负载平衡多个分支机构的聚合器设备的布署的另一个实施例的框图;和图5是描述使用聚合器设备实现分层负载平衡以跨越分支机构访问资源的方法实施例的步骤的流程图。
从下面结合附图所提出的详细描述,本发明的特征和优点将更明显,其中,相同的参考标记在全文中表示相应的元件。附图中,相同的附图标记通常表示相同的、功能类似、和/或结构类似的元件。
具体实施方式
A、网络和计算环境
在讨论设备和/或客户端的系统和方法的实施例的细节之前,讨论这些实施例所布署的网络和计算环境是有帮助的。现在参见图1A,描述了网络环境的实施例。概括来讲,网络环境包括通过一个或多个网络104、104’(总的称为网络104)与一个或多个服务器106a-106n(同样总的称为服务器106,或远程机器106)通信的一个或多个客户端102a-102n(同样总的称为本地机器102,或客户端102)。在一些实施例中,客户端102通过设备200与服务器106通信。
虽然图1A示出了在客户端102和服务器106间的网络104和网络104’,客户端102和服务器106可以位于同一个网络104上。网络104和104’可以是相同类型的网络或不同类型的网络。网络104和/或网络104’可为诸如企业内部网的局域网(LAN),城域网(MAN)、或者例如因特网或万维网的广域网(WAN)。在一个实施例中,网络104’可为专用网络并且网络104可为公用网络。在一些实施例中,网络104可为专用网络并且网络104”可为公用网络。在另一个实施例中,网络104和104’可都为专用网络。在一些实施例中,客户端102可位于公司企业的分支机构中,通过网络104上的WAN连接与位于公司数据中心的服务器106通信。
网络104和/或104’是任何类型和/或形式的网络,并且可包括任一下述网络:点对点网络,广播网络,广域网,局域网,电信网络,数据通信网络,计算机网络,ATM(异步传输模式)网络,SONET(同步光纤网络)网络,SDH(同步数字体系)网络,无线网络和有线网络。在一些实施例中,网络104可以包括无线链路,诸如红外信道或者卫星频带。网络104和/或104’的拓扑可为总线型、星型或环型网络拓扑。网络104和/或104’以及网络拓扑可以是对于本领域普通技术人员所熟知的、可以支持此处描述的操作的任何这样的网络或网络拓扑。
如图1A所示,设备200被示在网络104和104’之间,设备200也可被称为接口单元200或者网关200。在一些实施例中,设备200可位于网络104上。例如,公司的分支机构可在该分支机构中布署设备200。在其它实施例中,设备200可位于网络104’上。例如,设备200可位于公司的数据中心。在又另一个实施例中,多个设备200可布署在网络104上。在一些实施例中,多个设备200可布署在网络104’上。在一个实施例中,第一设备200与第二设备200’通信。在其它实施例中,设备200作为客户端102可以是位于同一或不同的网络104、104’上的任一客户端102或服务器106的一部分。一个或多个设备200可位于客户端102和服务器106之间的网络或网络通信路径中的任一点。
在一个实施例中,系统可包括多个逻辑分组的服务器106。在这些实施例中,服务器的逻辑分组可以被称为服务器群组38。在其中一些实施例中,服务器106可为地理上分散的。在一些情况中,群组38可以作为单个实体被管理。在其它实施例中,服务器群组38包括多个服务器群组38。在一个实施例中,服务器群组执行代表一个或者多个客户端102的一个或者多个应用。
在每个群组38中的服务器106可为不同种类。一个或多个服务器106可根据一种类型的操作系统平台(例如,由Washington,Redmond的Microsoft公司制造的WINDOWS NT)操作,而一个或多个其它服务器106可根据另一类型的操作系统平台(例如,Unix或Linux)操作。每个群组38的服务器106不需要与同一群组38内的另一个服务器106物理上接近。因此,逻辑分组作为群组38的服务器106的组可使用广域网(WAN)连接或中等区域网(MAN)连接来互联。例如,群组38可包括物理上位于不同大陆或大陆、国家、州、城市、校园或房间的不同区域的服务器106。如果服务器106使用局域网(LAN)连接或一些直接连接的形式进行连接,则在群组38中的服务器106间的数据发送速度将增加。
服务器106可指文件服务器、应用服务器、web服务器、代理服务器或者网关服务器。在一些实施例中,服务器106可以有作为应用服务器或者作为主应用服务器工作的能力。在一个实施例中,服务器106可包括活动目录。客户端102也可称为客户端节点或端点。在一些实施例中,客户端102有能力作为在服务器上搜索对应用的访问的客户端节点工作,也有能力作为提供对用于其它客户端102a-102n所寄载的应用的访问的应用服务器工作。
在一些实施例中,客户端102与服务器106通信。在一个实施例中,客户端102可与群组38中的服务器106之一直接通信。在另一个实施例中,客户端102执行程序邻近应用以与群组38内的服务器106通信。在又另一个实施例中,服务器106提供主节点的功能。在一些实施例中,客户端102通过网络104与群组38中的服务器106通信。通过网络104,客户端102例如可以请求执行在群组38中的服务器106a-106n寄载的各种应用,并接收应用执行结果的输出用于显示。在一些实施例中,只有主节点提供要求识别和提供地址信息的功能,其中的地址信息与寄载所请求的应用的服务器106’相关。
在一个实施例中,服务器106提供网络(Web)服务器的功能。在另一个实施例中,服务器106a接收来自客户端102的请求,将该请求转发到第二服务器106b并以来自服务器106b对该请求的响应通过客户端102来响应该请求。在又另一个实施例中,服务器106获得客户端102可用的应用的列举以及地址信息,该地址信息与服务器106相关,该服务器106寄载由该应用的列举所识别的应用。在又一个实施例中,服务器106使用网络接口呈现对客户端102的请求的响应。在一个实施例中,客户端102直接与服务器106通信以访问所识别的应用。在另一个实施例中,客户端102接收应用输出数据,诸如显示数据,该应用输出数据通过对在服务器106上所识别的应用的执行而产生。
现在看图1B,示出了在客户端102上用于传送和/或操作计算环境的网络环境。在一些实施例中,服务器106包括用于向一个或多个客户端102传送计算环境或应用和/或数据文件的应用传送系统190。总的来说,客户端10通过网络104、104’和设备200与服务器106通信。例如,客户端102可驻留在公司的远程办公室里,例如分支机构,并且服务器106可驻留在公司数据中心。客户端102包括客户端代理120以及计算环境15。计算环境15可执行或操作用于访问、处理或使用数据文件的应用。计算环境15、应用和/或数据文件可通过设备200和/或服务器106被传送。
在一些实施例中,设备200加速计算环境15或者其任一部分到客户端102的传送。在一个实施例中,设备200通过应用传送系统190加速计算环境15的传送。例如,可使用此处描述的实施例来加速从中央公司数据中心到远程用户位置(例如公司的分支机构)的应用可处理的流应用和数据文件的传送。在另一个实施例中,设备200加速客户端102和服务器106之间的传输层通信量。设备200可以提供加速技术用于加速从服务器106到客户端102的任一传输层有效载荷,诸如:1)传输层连接池,2)传输层连接多路复用,3)传输控制协议缓冲,4)压缩,以及5)高速缓存。在一些实施例中,设备200响应来自客户端102的请求提供服务器106的负载平衡。在其它实施例中,设备200充当代理或者访问服务器来提供对一个或者多个服务器106的访问。在另一个实施例中,设备200提供从客户端102的第一网络104到服务器106的第二网络104’的安全虚拟专用网络连接,诸如SSL VPN 连接。在又一些实施例中,设备200提供客户端102和服务器106之间的连接和通信的应用防火墙安全、控制和管理。
在一些实施例中,基于多个执行方法并且基于通过策略引擎195所应用的任一验证和授权策略,应用传送管理系统190提供应用传送技术来传送计算环境到用户的桌面(远程的或者其它的)。使用这些技术,远程用户可以从任一网络连接装置100获取计算环境并且访问服务器所存储的应用和数据文件。在一个实施例中,应用传送系统190可驻留在服务器106上或在其上执行。在另一个实施例中,应用传送系统190可驻留在多个服务器106a-106n上或在其上执行。在一些实施例中,应用传送系统190可在服务器群组38内执行。在一个实施例中,执行应用传送系统190的服务器106也可存储或提供应用和数据文件。在另一个实施例中,一个或多个服务器106的第一组可执行应用传送系统190,并且不同的服务器106n可存储或提供应用和数据文件。在一些实施例中,应用传送系统190、应用和数据文件中的每个可驻留或位于不同的服务器上。在又一个实施例中,应用传送系统190的任何部分可驻留、执行、或被存储于或分发到设备200或多个设备。
客户端102可以包括计算环境15,用于执行使用或者处理数据文件的应用。客户端102通过网络104、104’和设备200可以请求来自服务器106的应用和数据文件。在一个实施例中,设备200可以转发来自客户端102的请求到服务器106。例如,客户端102可以不具有本地存储或者本地可访问的应用和数据文件。响应请求,应用传送系统190和/或服务器106可以传送应用和数据文件到客户端102。例如,在一个实施例中,服务器106可以按照应用流来发送应用以在客户端102上的计算环境15中操作。
一些实施例中,应用传送系统190包括Citrix Systems,Inc.的CitrixAccess SuiteTM的任何部分,诸如MetaFrame或者Citrix Presentation ServerTM和/或Microsoft公司制造的任一的Windows Terminal Services。在一个实施例中,应用传送系统190可以通过远程显示协议或者通过基于远程或者基于服务器计算的其它方式来传送一个或者多个应用到客户端102或者用户。在另一个实施例中,应用传送系统190可以通过应用流来传送一个或者多个应用到客户端或者用户。
在一个实施例中,应用传送系统190包括策略引擎195,用于控制和管理对应用执行方法和应用的传送的访问、选择。在一些实施例中,策略引擎195确定用户或者客户端102可以访问的一个或者多个应用。在另一个实施例中,策略引擎195确定应用应该如何被传送到用户或者客户端102,例如执行方法。在一些实施例中,应用传送系统190提供多个传送技术,从中来选择应用执行的方法,诸如基于服务器的计算、流式传输或者本地传送应用到客户端120用于本地执行。
在一个实施例中,客户端102请求应用程序的执行并且包括服务器106的应用传送系统190选择执行应用程序的方法。在一些实施例中,服务器106从客户端102接收证书。在另一个实施例中,服务器106从客户端102接收对于可用应用的列举的请求。在一个实施例中,响应该请求或者证书的接收,应用传送系统190列举对于客户端102可用的多个应用程序。应用传送系统190接收请求来执行所列举的应用。应用传送系统190例如响应策略引擎的策略,选择预定数量的方法之一来执行所列举的应用。应用传送系统190可以选择执行应用的方法,使得客户端102接收通过执行服务器106上的应用程序所产生的应用输出数据。应用传送系统190可以选择执行应用的方法,使得本地机器10在检索包括应用的多个应用文件之后本地执行应用程序。在又一个实施例中,应用传送系统190可以选择执行应用的方法,以通过网络104流式传输应用到客户端102。
客户端102可以执行、操作或者以其它方式提供应用,应用可为任何类型和/或形式的软件、程序或者可执行指令,例如任何类型和/或形式的web浏览器、基于web的客户端、客户端-服务器应用、瘦客户端计算客户端、ActiveX控件、或者Java程序、或者可以在客户端102上执行的任一其它类型和/或形式的可执行指令。在一些实施例中,应用可以是代表客户端102在服务器106上执行的基于服务器或者基于远程的应用。在一个实施例中,服务器106可以使用任一瘦客户端或者远程显示协议来显示输出到客户端102,诸如由Florida,Ft.Lauderdale的CitrixSystemsInc.制造的独立计算架构(ICA)协议,或者由Washington,Redmond的Microsoft公司制造的远程桌面协议(RDP)。应用可使用任何类型的协议,并且它可为,例如,HTTP客户端、FTP客户端、Oscar客户端或Telnet 客户端。在其它实施例中,应用包括涉及到VoIP通信的任何类型的软件,例如软IP电话。在进一步的实施例中,应用包括涉及到实时数据通信的任何应用,例如用于流式传输视频和/或音频的应用。
在一些实施例中,服务器106或服务器群组38可运行一个或多个应用,例如提供瘦客户端计算或远程显示表示应用的应用。在一个实施例中,服务器106或服务器群组38作为一个应用来执行Citrix Systems Inc.的Citrix Access SuiteTM的任一部分(例如MetaFrame或CitrixPresentation ServerTM),和/或Microsoft公司制造的WindowsTerminal Services中的任意一个。在一个实施例中,该应用是位于Florida,Fort Lauderdale的Citrix Systems Inc.开发的ICA客户端。在其它实施例中,该应用包括由位于Washington,Redmond的Microsoft公司开发的远程桌面(RDP)客户端。另外,服务器106可以运行一个应用,它例如可以是提供电子邮件服务的应用服务器,例如由位于Washington,Redmond的Microsoft公司制造的Microsoft Exchange,web或Internet服务器,或者桌面共享服务器,或者协作服务器。在一些实施例中,任一应用可以包括任一类型的所寄载的服务或产品,例如位于California,Santa Barbara的Citrix Online Division提供的GoToMeetingTM,位于California,Santa Clara的WebEx Inc.提供的WebExTM,或者位于Washington,Redmond的Microsoft公司提供的Microsoft Office Live Meeting。
客户端102、服务器106和设备200可以布署为和/或执行在任一类型和形式的计算装置上,诸如能够在任一类型和形式的网络上通信并执行此处描述的操作的计算机、网络装置或者设备。图1C和1D描述用于实现客户端102、服务器106或者设备200的实施例的计算装置100的框图。如图1C和1D所示,每个计算装置100包括中央处理单元101,以及主存储单元122。如图1C所示,计算装置100可以包括虚拟显示装置124、键盘126和/或诸如鼠标的定点设备127。每个计算装置100也可包括其它可选择的部件,例如一个或多个输入/输出装置130a-130b(总的使用标号130表示),以及与中央处理单元101通信的高速缓存存储器140。
中央处理单元101是响应并处理从主存储单元122取得的指令的任何逻辑电路。在许多实施例中,中央处理单元由微处理器单元提供,例如:由California,Mountain View的Intel公司制造的;由IIIinois,Schaumburg的Motorola公司制造的;由Califirnia,Santa Clara的Transmeta公司制造的;由New York,White Plains的InternationalBusiness Machines公司制造的、RS/6000处理器;或者由California,Sunnyvale的Advanced Micro Devices公司制造的。计算装置100可以基于任一这些处理器或者能够进行如此处描述操作的任一其它处理器。
主存储单元122可以是一个或多个存储芯片,这些存储芯片可以存储数据并允许微处理器101直接访问任何存储位置,例如静态随机存取存储器(SRAM)、突发(Burst)SRAM或同步突发(SynchBurst)SRAM(BSRAM),动态随机存取存储器(DRAM)、快页模式(Fast Page Mode)DRAM(FPM DRAM)、增强型DRAM(EDRAM)、扩展数据输出(Extended Data Output)RAM(EDO RAM)、扩展数据输出(Extended Data Output)DRAM(EDO DRAM)、突发扩展数据输出DRAM(BEDO DRAM)、增强型DRAM(EDRAM)、同步DRAM(SDRAM)、JEDEC SRAM、PC100 SDRAM、双数据率SDRAM(DDR SDRAM)、增强型SDRAM(ESDRAM)、同步链接DRAM(SLDRAM)、直接Rambus DRAM(DRDRAM)或者铁电RAM(FRAM)。主存储器122可以基于任一上述的存储器芯片或者能够进行如此处描述的操作的任一其它可用的存储器芯片。在图1C所示的实施例中,处理器101通过系统总线150(下面将更详细的介绍)与主存储器122通信。图1C描述计算装置100的实施例,其中处理器通过存储器端口103直接与主存储器122通信。例如,在图1D中,主存储器122可为DRDRAM。
图1D描述的实施例中,主处理器101通过次级总线,有时称为“背端”总线,直接与高速缓存存储器140通信。在其它实施例中,主处理器101使用系统总线150与高速缓存存储器140通信。高速缓存存储器140通常具有比主存储器122更快的响应时间,并通常通过SRAM、BSRAM、或EDRAM来提供。在图1C所示的实施例中,处理器101通过本地系统总线150与各种I/O装置130通信。各种总线可以被用于连接中央处理单元101到任一I/O装置130,包括VESA VL总线、ISA总线、EISA总线、微通道结构(MCA)总线、PCI总线、PCI-X总线、PCI-Express总线、或者NuBus。对于这样的实施例,其中I/O装置是视频显示器124,处理器101可使用高级图形端口(AGP)与显示器124通信。图1D描述了计算机100的实施例,其中主处理器101通过HyperTransport,RapidI/O或者InfiniBand与I/O装置130直接通信。图1D也描述了一个实施例,其中本地总线和直接通信是混合的:处理器101使用本地互联总线与I/O装置130通信,而与I/O设备130直接通信。
计算装置100可以支持任何适合的安装装置116,例如用于接收诸如3.5英寸、5.25英寸软盘或ZIP盘的软盘驱动器、CD-ROM驱动器、CD-R/RW驱动器、DVD-ROM驱动器、各种格式的磁带驱动器、USB装置、硬盘驱动器、或者适用于安装软件、程序(例如任一客户端代理120或其中一部分)的任一其它装置。计算装置100还可以包括存储装置128,诸如一个或者多个硬盘驱动器或者独立磁盘的随机阵列,用于存储操作系统和其它相关软件,以及用于存储诸如涉及客户端代理120的任一程序的应用软件程序。可选地,任一安装装置116也可以被用作存储装置128。此外,操作系统和软件可从可引导介质运行,诸如一种用于GNU/Linux的可引导CD,该可引导CD可自knoppix.net作为GNU/Linux分发获得。
此外,计算装置100可以包括通过多个连接来对接到局域网(LAN)、广域网(WAN)或者因特网的网络接口118,该多个连接包括但不限于标准电话线、LAN或WAN链路(如802.11、T1、T3、56kb、X.25)、宽带连接(例如,ISDN、帧中继、ATM)、无线连接或它们的任一或者全部的一些组合。网络接口118可以包含内置网络适配器、网络接口卡、PCMCIA网卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器或适合将计算装置100对接到能够通信并执行此处所描述的操作的任一类型网络的任一其它装置。在计算装置100中可提供多个种类的I/O装置130a-130n的多个种类。输入装置包括键盘、鼠标、轨迹板、轨迹球、麦克风、以及绘画板。输出装置包括视频显示器、扬声器、喷墨打印机、激光打印机、及染料升华(dye-sublimation)打印机。如图1C所示,I/O装置130可以由I/O控制器123控制。I/O控制器可以控制诸如键盘126和定点设备127(例如鼠标或者光学笔)的一个或者多个I/O装置。此外,I/O装置也可为计算装置100提供存储器128和/或安装介质116。在另其它实施例中,计算装置100可以提供USB连接用来接收手持USB存储装置,例如由California,LosAlamitos的Twintech Industry Inc.制造的USB闪烁驱动器系列装置。
在一些实施例中,计算装置100可以包括多个显示装置124a-124n或与其相连,这些显示装置可以是相同或不同的类型和/或形式。同样的,I/O装置130a-130n中的任意一个和/或I/O控制器123可以包括任一类型和/或形式的适当硬件、软件或软硬件组合以支持、启用或提供计算装置100对多个显示装置124a-124n的连接和使用。例如,计算装置100可以包括任一类型和/或形式的视频适配器、视频卡、驱动器和/或库,以与显示装置124a-124n对接、通信、连接或使用显示装置。在一个实施例中,视频适配器可以包括多个连接器以与多个显示装置124a-124n对接。在其它实施例中,计算装置100可以包括多个视频适配器,每个视频适配器与显示装置124a-124n中的一个或多个连接。在一些实施例中,计算装置100的操作系统的任一部分都可以被配置用于使用多个显示器124a-124n。在其它实施例中,显示装置124a-124n中的一个或多个可以由一个或多个其它计算装置提供,诸如(例如通过网络)与计算装置100连接的计算装置100a和100b。这些实施例可以包括被设计和构造的任一类型的软件,以使用另一个计算机的显示装置作为计算装置100的第二显示装置124a。本领域的普通技术人员会认识和意识到可以将计算装置100配置成拥有多个显示装置124a-124n的各种方式和实施例。
在进一步的实施例中,I/O装置130可为在系统总线150和外部通信总线间的桥170,外部通信总线例如USB总线、Apple Desktop总线、RS-232串行连接、SCSI总线、FireWire总线、FireWire800总线、Ethernet总线、AppleTalk总线、Gigabit Ethernet总线、异步传输模式总线、HIPPI总线、Super HIPPI总线、SerialPlus总线、SCI/LAMP总线、FibreChannel总线、或者串行连接(Serial Attached)小型计算机系统接口总线。
图1C和图1D中描述的种类的计算装置100通常在操作系统的控制下操作,该操作系统控制任务的调度和对系统资源的访问。计算装置100可运行任何操作系统,例如任何版本的Windows操作系统,不同版本的Unix和Linux操作系统,用于Macintosh计算机的任何版本的Mac任何嵌入式操作系统,任何实时操作系统,任何开放源操作系统,任何专有操作系统,用于移动计算装置的任何操作系统,或者可以在计算装置上运行并执行此处所述操作的任何其它操作系统。典型的操作系统包括:由Washington,Redmond的Microsoft公司制造的WINDOWS 3.x、WINDOWS 95、WINDOWS 98、WINDOWS 2000、WINDOWSNT 3.51、WINDOWS NT 4.0、WINDOWS CE和WINDOWS XP;由California,Cupertino的Apple计算机公司制造的MacOS;由New York,Armonk的International Business Machines制造的OS/2;以及由Utah,Salt Lake City的Caldera公司发布的可自由获得的操作系统Linux,以及除此之外的任一类型和/或形式的Unix操作系统。
在其它实施例中,计算装置100可以具有与该装置相容的不同的处理器、操作系统和输入装置。例如,在一个实施例中,计算机100是palm Inc.制造的Treo180、270、1060、600或者650的智能电话。在此实施例中,Treo智能电话在PalmOS操作系统的控制下运行并且包括触针输入装置以及五向导向装置。此外,计算装置100可以是任一工作站、桌面计算机、膝上型或笔记本计算机、服务器、手持计算机、移动电话、任一其它计算机、或能够通信并有足够的处理器能力和存储容量以执行此处所述的操作的其它形式的计算或者电信装置。
B、设备架构
图2A示出设备200的一个示例实施例。图2A中的设备200的架构只是通过示意的方式提供,并不意于要限制本发明。如图2所示的,设备200包括硬件层206和分为用户空间202和内核空间204的软件层。
硬件层206提供硬件元件,在内核空间204和用户空间202内的程序和服务在该硬件元件上被执行。硬件层206也提供结构和元件,使得内核空间204和用户空间202内的程序和服务对于设备200既在内又向外进行数据通信。如图2所示,硬件层206包括用于执行软件程序和服务的处理单元262、用于存储软件和数据的存储器264、用于在网络上发送和接收数据的网络端口266以及用于执行涉及在网络上被发送和接收的数据的加密套接字协议层处理的功能的加密处理器260。在一些实施例中,中央处理单元262可在单一的处理器中执行加密处理器260的功能。另外,硬件层206可包括用于每个处理单元262和加密处理器260的多个处理器。处理器262可以包括以上结合图1C和1D所述的任一处理器101。在一些实施例中,中央处理单元262可在单一的处理器中执行加密处理器260的功能。另外,硬件层206可包括用于每个处理单元262和加密处理器260的多个处理器。例如,在一个实施例中,设备200包括第一处理器262和第二处理器262’。在其它实施例中,处理器262或者262’包括多核处理器。
虽然设备200的硬件层206通常被示出带有加密处理器260,但是处理器260可为执行涉及任何加密协议的功能的处理器,例如加密套接字协议层(SSL)或者传输层安全(TLS)协议。在一些实施例中,处理器260可为通用处理器(GPP),并且在进一步的实施例中,可为具有用于执行任何安全相关协议的处理的可执行指令。
虽然在图2中设备200的硬件层206被示出具有一些元件,但是设备200的硬件部分或部件可包括计算装置的任何类型和形式的元件、硬件或软件,例如此处结合图1C和1D示出和讨论的计算装置100。在一些实施例中,设备200可包括服务器、网关、路由器、交换机、桥接器或其它类型的计算或网络装置,并且具有与此相关的任何硬件和/或软件元件。
设备200的操作系统分配、管理或另外分离可用的系统存储器到内核空间204和用户空间204。在示例的软件架构200中,操作系统可为任何类型和/或形式的Unix操作系统,虽然本发明并未如此限制。同样的,设备200可运行任何操作系统,例如任何版本的Windows操作系统,不同版本的Unix和Linux操作系统,用于Macintosh计算机的任何版本的Mac任何嵌入式操作系统,任何网络操作系统,任何实时操作系统,任何开源操作系统,任何专有操作系统,用于移动计算装置或网络装置的任何操作系统,或者可以在设备200上运行并执行此处所述操作的任何其它操作系统。
内核空间204被保留用于运行内核230,包括任一设备驱动器、内核扩展或其它内核相关软件。就像本领域技术人员所知的,内核230是操作系统的核心,并提供对设备104的资源和硬件相关元件的访问、控制和管理。根据设备200的实施例,内核空间204也包括与高速缓存管理器232协同工作的多个网络服务或进程,有时也称为集成的高速缓存,其益处此处将进一步详细描述。另外,内核230的实施例将依赖于通过设备200安装、配置或其它使用的操作系统的实施例。
在一个实施例中,设备200包括一个网络堆栈267,例如基于TCP/IP的堆栈,用于与客户端102和/或服务器106通信。在一个实施例中,使用网络堆栈267与诸如网络108的第一网络以及第二网络110通信。在一些实施例中,设备200终止第一传输层连接,例如客户端102的TCP连接,并建立到服务器106的第二传输层连接,用于由客户端102使用,例如,在设备200和服务器106处终止第二传输层连接。可通过单一的网络堆栈267建立第一和第二传输层连接。在其它实施例中,设备200可包括多个网络堆栈,例如267或267’,并且可在一个网络堆栈267建立或终止第一传输层连接,在第二网络堆栈267’可建立或者终止第二传输层连接。例如,一个网络堆栈可用于在第一网络上接收和发送网络包,并且另一个网络堆栈用于在第二网络上接收和发送网络包。在一个实施例中,网络堆栈267包括用于排队一个或多个网络包的缓冲器243,其中网络包由设备200发送。
如图2所示,内核空间204包括高速缓存管理器232、高速层2-7集成包引擎240、加密引擎234、策略引擎236以及多协议压缩逻辑238。在内核空间204或内核模式而不是用户空间202中运行这些组件或进程232、240、234、236和238提高这些组件中的每个的单独的和结合的性能。内核操作意味着这些组件或进程232、240、234、236和238在设备200的操作系统的核地址空间中运行。例如,在内核模式中运行加密引擎234通过移动加密和解密操作到内核来提高加密性能,从而减少在内核模式中的存储空间或内核线程与在用户模式中的存储空间或线程之间的转换的数量。例如,在内核模式中获得的数据可以不需要传输或拷贝到运行在用户模式的进程或线程,例如从内核级数据结构到用户级数据结构。在另一个方面,也可减少内核模式和用户模式之间的上下文切换的数量。另外,任何组件或进程232、240、234、236和238的同步和其之间的通信在内核空间204中可被更有效地执行。
在一些实施例中,组件232、240、234、236和238的任何部分可在内核空间204中运行或操作,而这些组件232、240、234、236和238的其它部分可在用户空间202中运行或操作。在一个实施例中,设备200使用内核级数据结构来提供对一个或多个网络包的任何部分的访问,例如,包括来自客户端102的请求或者来自服务器106的响应的网络包。在一些实施例中,可以由包引擎240通过到网络堆栈267的传输层驱动器接口或过滤器获得内核级数据结构。内核级数据结构可包括通过与网络堆栈267相关的内核空间204可访问的任何接口和/或数据、由网络堆栈267接收或发送的网络业务或包。在其它实施例中,任何组件或进程232、240、234、236和238可使用内核级数据结构来执行组件或进程的期望的操作。在一个实施例中,当使用内核级数据结构时,组件232、240、234、236和238在内核模式204中运行,而在另一个实施例中,当使用内核级数据结构时,组件232、240、234、236和238在用户模式中运行。在一些实施例中,内核级数据结构可被拷贝或传输给第二内核级数据结构,或任何期望的用户级数据结构。
高速缓存管理器232可包括软件、硬件或软件和硬件的任一组合,以提供对任何类型和形式的内容的高速缓存访问、控制和管理,例如对象或由源服务器106服务的动态产生的对象。由高速缓存管理器232处理和存储的数据、对象或内容可包括任何格式的数据,例如标记语言,或通过任何协议通信。在一些实施例中,高速缓存管理器232复制存储在其它地方的原始数据或先前被计算、产生或发送的数据,其中相对于读高速缓存存储元件,原始数据可能需要更长的访问时间以便取得、计算或获得。一旦数据被存储在高速缓存存储元件中,将来的使用可通过访问高速缓存的副本而非再取回或再计算原始数据而实现,因而减少了访问时间。在一些实施例中,高速缓存存储元件nat包括设备200的存储器264中的数据对象。在其它实施例中,高速缓存存储元件可包括具有比存储器264更快的存取时间的存储器。在另一个实施例中,高速缓存存储元件可以包括设备200的任何类型和形式的存储元件,诸如硬盘的部分。在一些实施例中,处理单元262可提供被高速缓存管理器232使用的高速缓存存储器。在又一个实施例中,高速缓存管理器232可使用存储器、存储设备或处理单元的任何部分和组合来高速缓存数据、对象或其它内容。
另外,高速缓存管理器232包括用于执行此处描述的设备200的技术的任一实施例的任何逻辑、功能、规则或操作。例如,高速缓存管理器232包括基于无效时间周期的终止,或者从容户端102或服务器106接收无效命令,无效对象的逻辑或功能。在一些实施例中,高速缓存管理器232可作为在内核空间204中执行的程序、服务、进程或任务来操作,并且在其它实施例中在用户空间202中执行。在一个实施例中,高速缓存管理器232的第一部分在用户空间202内执行,而第二部分在内核空间204内执行。在一些实施例中,高速缓存管理器232可包括任何类型的通用处理器(GPP),或者任何其它类型的集成电路,例如现场可编程门阵列(FPGA)、可编程逻辑器件(PLD)或者专用集成电路(ASIC)。
策略引擎236可包括,例如,智能统计引擎或其它可编程应用。在一个实施例中,策略引擎236提供配置机制以允许用户识别、指定、定义或配置高速缓存策略。在一些实施例中,策略引擎236也访问存储器以支持数据结构,例如查找表或哈希(hash)表,以启用用户选择的高速缓存策略决定。在其它实施例中,策略引擎236可包括任何逻辑、规则、功能或操作以决定和提供除了对安全、网络业务、网络访问、压缩或其它任何由设备200执行的功能或操作的访问、控制和管理之外的对设备200所高速缓存的对象、数据、或内容的访问、控制和管理。特定高速缓存策略的其它实施例在此处进一步进行了描述。
加密引擎234包括用于控制任何安全相关协议处理,例如SSL或TLS,或其相关的任何功能的任何逻辑、商业规则、功能或操作。例如,加密引擎234加密并解密通过设备200通信的网络包,或其任何部分。加密引擎234也可代表客户端102a-102n、服务器106a-106n或设备200来安装或建立SSL或TLS连接。同样的,加密引擎234提供SSL处理的卸载和加速。在一个实施例中,加密引擎234使用隧道协议来提供在客户端102a-102n和服务器106a-106n间的虚拟专用网络。在一些实施例中,加密引擎234与加密处理器260通信。在其它实施例中,加密引擎234包括运行在加密处理器260上的可执行指令。
多协议压缩引擎238包括用于压缩一个或多个网络包协议(例如被设备200的网络堆栈267使用的任何协议)的任何逻辑、商业规则、功能或操作。在一个实施例中,多协议压缩引擎238双向压缩在客户端102a-102n和服务器106a-106n间任何基于TCP/IP的协议,包括消息应用编程接口(MAPI)(电子邮件email)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用Internet文件系统(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议以及IP语音(VoIP)协议。在其它实施例中,多协议压缩引擎238提供基于超文本标记语言(HTML)的协议的压缩,并且在一些实施例中,提供任何标记语言的压缩,例如可扩展标记语言(XML)。在一个实施例中,多协议压缩引擎238提供任何高性能协议的压缩,例如为设备200设计的用于设备200通信的任何协议。在另一个实施例中,多协议压缩引擎238使用修改的传输控制协议(例如事务TCP(T/TCP)、带有选择确认的TCP(TCP-SACK)、带有大窗口的TCP(TCP-LW)、例如TCP-Vegas协议的拥塞预报协议以及TCP电子欺骗协议)来压缩任何通信或其任何有效载荷。
同样的,多协议压缩引擎238通过桌面客户端,例如Micosoft Outlook和非web瘦客户端,诸如由通用企业应用像Oracle、SAP和Siebel启动的任何客户端,甚至移动客户端,例如便携式个人计算机,来加速用户访问应用的执行。在一些实施例中,多协议压缩引擎238通过在内核模式204内部执行并与访问网络堆栈267的包处理引擎240集成,可以压缩TCP/IP协议承载的任何协议,例如任何应用层协议。
集成高速层2-7的包引擎240,通常也称为包处理引擎,或包引擎,通过网络端口266负责设备200接收和发送的包的内核级处理的管理。集成高速层2-7的包引擎240可包括在处理期间用于排队一个或多个网络包的缓冲器,例如用于网络包的接收或者网络包的发送。另外,集成高速层2-7的包引擎240通过网络端口266与一个或多个网络堆栈267通信以发出和接收网络包。集成高速层2-7的包引擎240与加密引擎234、高速缓存管理器232、策略引擎236和多协议压缩逻辑238协同工作。更具体地,配置加密引擎234以执行包的SSL处理,配置策略引擎236以执行涉及业务管理的功能,例如请求级内容切换以及请求级高速缓存重定向,并配置多协议压缩逻辑238以执行涉及数据压缩和解压缩的功能。
集成高速层2-7的包引擎240包括包处理定时器242。在一个实施例中,包处理定时器242提供一个或多个时间间隔以触发输入的(即接收的,或者输出的(即发送的))网络包的处理。在一些实施例中,集成高速层2-7的包引擎240响应于定时器242处理网络包。包处理定时器242向包引擎240提供任一类型和形式的信号以通知、触发或传送时间相关的事件、间隔或发生。在许多实施例中,包处理定时器242以毫秒级运行,例如100ms、50ms、或25ms。例如,在一些实施例中,包处理定时器242提供时间间隔或者使由集成高速层2-7的包引擎240以10ms时间间隔处理网络包,而在其它实施例中,以5ms时间间隔,并且在又进一步的实施例中,短到3、2或1ms时间间隔。集成高速层2-7的包引擎240在操作期间可与加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238对接、集成或通信。同样的,响应于包处理定时器242和/或包引擎240,可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩逻辑238的任何逻辑、功能或操作。因此,可在由包处理定时器242提供的时间间隔粒度(例如小于或等于10ms的时间间隔)执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩逻辑238的任何逻辑、功能或操作。例如,在一个实施例中,响应于集成高速层2-7的包引擎240和/或包处理定时器242,高速缓存管理器232可执行任何高速缓存对象的无效。在另一个实施例中,高速缓存对象的终止或无效时间被设定为与包处理定时器242的时间间隔相同的粒度级,例如每10ms。
与内核空间204形成对比,用户空间202是操作系统的存储区域或部分,被用户模式应用或在用户模式中以其它方式运行的程序所使用。用户模式应用不能直接访问内核空间204并且为了访问内核服务而使用服务调用。如图2所示,设备200的用户空间202包括图形用户界面(GUI)210、命令行接口(CLI)212、壳服务(shellservice)214、健康监控程序216以及守护(daemon)服务218。GUI 210和CLI 212提供一种方法,通过该方法系统管理员或其它用户可与设备200的操作相互作用并控制该设备200的操作,例如通过设备200的操作系统,并且或者是用户空间202或者内核空间204。GUI 210可为任何类型和形式的图形用户界面,并且可通过文本、图形或其它任一类型的程序或应用来呈现,例如浏览器。CLI 212可为任何类型和形式的命令行或基于文本的接口,例如通过操作系统提供的命令行。例如,CLI 212可包括壳(shell),该壳是使得用户能够与操作系统交互的工具。在一些实施例中,可通过bash、csh、tcsh或者ksh类型的壳提供CLI 212。壳服务214包括程序、服务、任务、进程或可执行指令以支持由用户通过GUI 210和/或CLI 212的与设备200或者操作系统的交互作用。
使用健康监控程序216来监控、检查、报告并确保网络系统正常地运行以及用户通过网络接收所请求的内容。健康监控程序216包括一个或多个程序、服务、任务、进程或可执行指令,为监控设备200的任何行为而提供逻辑、规则、功能或操作。在一些实施例中,健康监控程序216拦截并检查通过设备200传递的任何网络业务。在其它实施例中,健康监控程序216通过任何合适的方法和/或机制与一个或多个下述设备对接:加密引擎234、高速缓存管理器232、策略引擎236、多协议压缩逻辑238、包引擎240、守护服务218以及壳服务214。同样的,健康监控程序216可调用任何应用编程接口(API)以确定设备200的任何部分的状态、情况或健康。例如,健康监控程序216可基于周期性地查验或发送状态查询以检查程序、进程、服务或任务是否被激活并当前正在运行。在另一个示例中,健康监控程序216可检查由任何程序、进程、服务或任务提供的任何状态、错误或历史日志以确定设备200任何部分的任何条件、情况或错误。
守护服务218是连续地或在后台中运行的程序,并且处理由设备200接收的周期性服务请求。在一些实施例中,守护服务向其它程序或进程转发请求,例如向合适的另一个守护服务218。如本领域技术人员所公知,守护服务218可无人监护的运行,以执行连续的或周期性的系统范围功能,例如网络控制,或者执行任何期望的任务。在一些实施例中,一个或多个守护服务218运行在用户空间202中,而在其它实施例中,一个或多个守护服务218运行在内核空间。
现在参见图2B,描述了设备200的另一个实施例。总的来说,设备200提供以下服务、功能性或者操作的一个或者多个:用于一个或者多个客户端102和一个或者多个服务器106之间的通信的SSL VPN连接性280、转换/负载平衡284、域名服务解析286、加速288和应用防火墙290。在一个实施例中,设备200包括由Florida,Ft.Lauderdale的Citrix Systems Inc.制造的任一网络装置,称为Citrix NetScaler装置。服务器106的每一个可以提供一个或者多个网络相关服务270a-270n(称为服务270)。例如,服务器106可以提供http服务270。设备200包括一个或者多个虚拟服务器或者虚拟互联网协议服务器,称为vServer、VIP服务器或者仅是VIP275a-275n(此处也称为vServer 275)。vServer275根据设备200的配置和操作来接收、拦截或者以其它方式处理客户端102和服务器106之间的通信。
vServer 275可以包括软件、硬件或者软件和硬件的任一组合。vServer275可包括在设备200中的用户模式202、内核模式204或者其任一组合中运行的任一类型和形式的程序、服务、任务、进程或者可执行指令。vServer 275包括任一逻辑、功能、规则或者操作,以执行此处所述技术的任一实施例,诸如SSL VPN 280、转换/负载平衡284、域名服务解析286、加速288和应用防火墙290。在一些实施例中,vServer 275建立到服务器106的服务270的连接。服务275可以包括能够连接到设备200、客户端102或者vServer 275并与之通信的任一程序、应用、进程、任务或者可执行指令集。例如,服务275可以包括web服务器、http服务器、ftp、电子邮件或者数据库服务器。在一些实施例中,服务270是守护进程或者网络驱动器,用于监听、接收和/或发送用于应用的通信,诸如电子邮件、数据库或者企业应用。在一些实施例中,服务270可以在特定的IP地址、或者IP地址和端口上通信。
在一些实施例中,vServer 275应用策略引擎236的一个或者多个策略到客户端102和服务器106之间的网络通信。在一个实施例中,该策略与vServer275相关。在另一个实施例中,该策略基于用户或者用户组。在又一个实施例中,策略为通用的并且应用到一个或者多个vServer 275a-275n和通过设备100通信的任一用户或者用户组。在一些实施例中,策略引擎的策略具有基于通信的任一内容应用该策略的条件,通信的内容诸如互联网协议地址、端口、协议类型、包中的首部或者域、或者通信的上下文,诸如用户、用户组、vServer 275、传输层连接、和/或客户端102或者服务器106的标识或者属性。
在其它实施例中,设备200和策略引擎236通信或者对接,以确定远程用户或者远程客户端102访问计算环境15、应用、和/或来自服务器106的数据文件的验证和/或授权。在另一个实施例中,设备200和策略引擎236通信或者对接,以确定远程用户或者远程客户端102的验证和/或授权来使得应用传送系统190传送一个或者多个计算环境15、应用、和/或数据文件。在又一个实施例中,设备200基于对远程用户或者远程客户端103的策略引擎236的验证和/或授权来建立VPN或者SSLVPN连接。在一个实施例中,设备102基于策略引擎236的策略来控制网络业务和通信会话的流。例如,设备200可以基于策略引擎236来控制对计算环境15、应用或者数据文件的访问。
在一些实施例中,vServer 275与客户端102经客户端代理120建立传输层连接,诸如TCP或者UDP连接。在一个实施例中,vServer 275监听和接收来自客户端102的通信。在其它实施例中,vServer 275与客户端服务器106建立传输层连接,诸如TCP或者UDP连接。在一个实施例中,vServer 275建立到运行在服务器106上的服务器270的互联网协议地址和端口的传输层连接。在另一个实施例中,vServer 275将到客户端102的第一传输层连接与到服务器106的第二传输层连接相关联。在一些实施例中,vServer 275建立到服务器106的传输层连接池并且经由池化的传输层连接多路复用客户端请求。
在一些实施例中,设备200提供客户端102和服务器106之间的SSL VPN连接280。例如,第一网络102上的客户端102请求建立到第二网络104’上的服务器106的连接。在一些实施例中,第二网络104’是不能从第一网络104路由的。在其它实施例中,客户端102位于公用网络104上,并且服务器106位于专用网络104’上,例如企业网。在一个实施例中,客户端代理120拦截第一网络104上的客户端102的通信,加密该通信,并且经第一传输层连接发送该通信到设备200。设备200将第一网络104上的第一传输层连接与到第二网络104上的服务器106的第二传输层连接相关联。设备200接收来自客户端代理102的所拦截的通信,加密该通信,并且经第二传输层连接发送该通信到第二网络104上的服务器106。第二传输层连接可以是池化的传输层连接。同样的,设备200提供用于两个网络104、104’之间的客户端102的端到端安全传输层连接。
在一个实施例中,设备200寄载虚拟专用网络104上的客户端102的内部网内部网协议或者intranetIP 282地址。客户端102具有本地网络识别符,诸如互联网协议(IP)地址和/或第一网络104上的主机名称。当经设备200连接到第二网络104’,对于第二网络104’上的客户端102,设备200建立、分配或者以其它方式提供IntranetIP,其是网络识别符,诸如IP地址和/或主机名称。设备200在第二或者专用网络104’上监听和接收使用客户端建立的IntranetIP 282的指向客户端102的任一通信。在一个实施例中,设备200用作或者代表第二专用网络104上的客户端102。例如,在另一个实施例中,vServer 275监听和响应到客户端102的IntranetIP 282的通信。在一些实施例中,如果第二网络104’上的计算装置100发送请求,设备200如同客户端102一样来处理该请求。例如,设备200可以响应对客户端IntranetIP 282的查验。在另一个实施例中,设备可以与请求和客户端IntranetIP 282连接的第二网络104上的计算装置100建立连接,诸如TCP或者UDP连接。
在一些实施例中,设备200提供一个或者多个以下加速技术288以在客户端102和服务器106之间通信:1)压缩;2)解压缩;3)传输控制协议池;4)传输控制协议多路复用;5)传输控制协议缓冲;和6)高速缓存。在一个实施例中,设备200通过开启与每一服务器106的一个或者多个传输层连接并且维持这些连接以允许由客户端经因特网的重复数据访问,来为服务器106缓解由重复开启和关闭到客户端102的传输层连接所带来的许多处理负载。该技术在此处被称为“连接池”。
在一些实施例中,为了无缝拼接从客户端102经池化的传输层连接到服务器106的通信,设备200通过在传输层协议级修改序列号和确认号来翻译或多路复用通信。这被称为“连接多路复用”。在一些实施例中,不需要应用层协议交互作用。例如,在入站包(即,从客户端102接收的包)的例子中,包的源网络地址被改变到设备200的输出端口的地址,并且目的网络地址被改变到指定的服务器的地址。在出站包(即,从服务器106接收的包)的例子中,源网络地址从服务器106的地址被改变为设备200的输出端口的地址,并且目的地址从设备200的地址被改变到请求客户端102的地址。包的序列号和确认号也被翻译为到客户端102的设备200的传输层连接上的客户端102所期待的序列号和确认。在一些实施例中,传输层协议的包校验和被重新计算以计及这些翻译。
在另一个实施例中,设备200提供转换或者负载平衡功能性284用于客户端102和服务器106之间的通信。在一些实施例中,基于层4或者应用层请求数据,设备200分发业务并且将客户端请求指向服务器106。在一个实施例中,尽管网络层或者网络包的层2识别目的服务器106,但设备200确定服务器106利用传输层包的有效载荷所承载的应用信息和数据来分发网络包。在一个实施例中,设备200的健康监控程序216监控服务器的健康来确定分发客户端请求用于哪个服务器106。在一些实施例中,如果设备200探测到服务器106不可用或者具有超过预定阈值的负载,设备200可以将客户端请求指向或者分发到另一个服务器106。
在一些实施例中,设备200用作域名服务(DNS)解析器或者以其它方式提供来自客户端102的DNS请求的解析。在一些实施例中,设备拦截由客户端102发送的DNS请求。在一个实施例中,设备200以设备200所寄载的或其IP地址来响应客户端的DNS请求。在此实施例中,客户端102发送用于域名的网络通信到设备200。在另一个实施例中,设备200以第二设备200’所寄载的或其IP地址来响应客户端的DNS请求。在一些实施例中,设备200使用由设备200确定的服务器106的IP地址来响应客户端的DNS请求。
在又一个实施例中,设备200提供用于客户端102和服务器106之间通信的应用防火墙功能性290。在一个实施例中,策略引擎236提供用于探测和阻断非法请求的规则。在一些实施例中,应用防火墙290防御拒绝服务(DoS)攻击。在其它实施例中,设备检查所拦截的请求的内容,以识别和阻断基于应用的攻击。在一些实施例中,规则/策略引擎236包括一个或者多个应用防火墙或者安全控制策略,用于提供保护各种类别和类型的基于web或者因特网的漏洞,诸如以下一个或者多个:1)缓冲溢出,2)CGI-BIN参数操纵,3)表格/隐藏域操纵,4)强迫测览,5)cookie或者会话中毒,6)中断的访问控制列表(ACL)或者弱的口令,7)跨站脚本攻击(XSS),8)命令注入,9)SQL注入,10)错误独发敏感信息漏,11)密码学的不安全使用,12)服务器误配置,13)后门和调试选项,14)web站点毁损,15)平台或者操作系统漏洞,和16)零天攻击。在实施例中,应用防火墙290为以下一个或者多个以检查或者分析网络通信的形式来提供HTML格式域保护:1)返回所需要的域,2)不允许增加的域,3)只读和隐藏域施行,4)下拉列表和单选按钮域一致,5)表域最大长度施行。在一些实施例中,应用防火墙290确保没有修改cookie。在其它实施例中,应用防火墙290通过执行合法的URL来防御强迫浏览。【0076】在又另一些实施例中,应用防火墙290保护包括在网络通信中的任一机密信息。应用防火墙290可以根据引擎236的规则或者策略来检查或者分析任一网络通信,以识别网络包的任一域中的任一机密信息。在一些实施例中,应用防火墙290识别网络通信中的信用卡号、口令、社会安全号码、名称、患者号码、接触信息和年龄的一个或者多个的出现。网络通信的编码部分可以包括这些出现或者机密信息。基于这些出现,在一个实施例中,应用防火墙290可以采取作用于网络通信上的策略,诸如阻止网络通信的发送。在另一个实施例中,应用防火墙290可以重写、移动或者以其它方式掩蔽该所识别的出现或者机密信息。C、客户端代理
现在看图3,描述客户端代理120的实施例。客户端102包括客户端代理120,用于经网络104与设备200和/或服务器106来建立和交换通信。总的来说,客户端102在计算装置100上操作,该计算装置100拥有带有内核模式302以及用户模式303的操作系统,以及带有一个或多个层310a-310b的网络堆栈310。客户端102可以已经安装和/或执行一个或多个应用。在一些实施例中,一个或多个应用可通过网络堆栈310与网络104通信。诸如web浏览器的应用之一也可包括第一程序322。例如,可在一些实施例中使用第一程序322来安装和/或执行客户端代理120,或其中任一部分。客户端代理120包括拦截机制或者拦截器350,用于拦截经由网络堆栈310来自一个或者多个应用的网络通信。
客户端102的网络堆栈310可包括任何类型和形式的软件、或硬件或其组合,用于提供与网络的连接和通信。在一个实施例中,网络堆栈310包括用于网络协议组的软件实现。网络堆栈310可包括一个或多个网络层,例如为本领域技术人员所公认和了解的开放式系统互联(OSI)通信模型的任何网络层。同样的,网络堆栈310可包括任一类型和形式的协议,这些协议用于OSI模型的任何以下层:1)物理链路层,2)数据链路层,3)网络层,4)传输层,5)会话层,6)表示层,以及7)应用层。在一个实施例中,网络堆栈310可包括在互联网协议(IP)的网络层协议上的传输控制协议(TCP),通常称为TCP/IP。在一些实施例中,可在Ethernet协议上承载TCP/IP协议,Ethernet协议可包括IEEE广域网(WAN)或局域网(LAN)协议的任何族,例如被IEEE 802.3覆盖的那些协议。在一些实施例中,网络堆栈310包括任何类型和形式的无线协议,例如IEEE 802.11和/或移动互联网协议。
考虑基于TCP/IP的网络,可使用任何基于TCP/IP的协议,包括消息应用编程接口(MAPI)(电子邮件)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用因特网文件系统(CIFS)协议(文件传输)、独立计算框架(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议,以及IP语音(VoIP)协议。在另一个实施例中,网络堆栈310包括任何类型和形式的传输控制协议,诸如修改的传输控制协议,例如事务TCP(T/TCP),带有选择确认的TCP(TCP-SACK),带有大窗口的TCP(TCP-LW),拥塞预测协议,例如TCP-Vegas协议,以及TCP电子欺骗协议。在其它实施例中,任何类型和形式的用户数据报协议(UDP),例如IP上UDP,可被网络堆栈310使用,诸如用于语音通信或实时数据通信。
另外,网络堆栈310可包括支持一个或多个层的一个或多个网络驱动器,例如TCP驱动器或网络层驱动器。网络驱动器可被包括作为计算装置100的操作系统的一部分或者作为计算装置100的任何网络接口卡或其它网络访问组件的一部分。在一些实施例中,网络堆栈310的任何网络驱动器可被定制、修改或调整以提供网络堆栈310的定制或修改部分,用来支持此处描述的任何技术。在其它实施例中,设计并构建加速程序120以与网络堆栈310协同操作或工作,上述网络堆栈310由客户端102的操作系统安装或以其它方式提供。
网络堆栈310包括任何类型和形式的接口,用于接收、获得、提供或以其它方式访问涉及客户端102的网络通信的任何信息和数据。在一个实施例中,网络堆栈310的接口包括应用编程接口(API)。接口也可包括任何函数调用、钩子或过滤机制、事件或回调机制、或任何类型的接口技术。网络堆栈310通过接口可接收或提供与网络堆栈310的功能或操作相关的任何类型和形式的数据结构,例如对象。例如,数据结构可包括涉及到网络包的信息和数据,或一个或多个网络包。在一些实施例中,数据结构包括在网络堆栈310的协议层处理的网络包的一部分,例如传输层的网络包。在一些实施例中,数据结构325包括内核级数据结构,而在其它实施例中,数据结构325包括用户模式数据结构。内核级数据结构可包括在内核模式302中操作的网络堆栈310的部分获得的或涉及的数据结构,或者运行在内核模式302中的网络驱动器或其它软件,或者通过在操作系统的内核模式中运行或操作的服务、进程、任务、线程或其它可执行指令获得或接收的任何数据结构。
此外,网络堆栈310的一些部分可在内核模式302中执行或操作,例如,数据链路或网络层,而其它部分在用户模式303中执行或操作,例如网络堆栈310的应用层。例如,网络堆栈的第一部分310a可为应用提供对网络堆栈310的用户模式的访问,而网络堆栈310的第二部分310a提供对网络的访问。在一些实施例中,网络堆栈的第一部分310a可包括网络堆栈310的一个或多个更上层,例如层5-7的任一层。在其它实施例中,网络堆栈310的第二部分310b包括一个或多个较低的层,例如层1-4的任一层。网络堆栈310的每个第一部分310a和第二部分310b可包括网络堆栈310的任何部分,在任意一个或多个网络层,在用户模式203、内核模式202,或其组合,或在网络层的任何部分或者指向网络层的接口点,或用户模式303和内核模式302的任何部分或指向用户模式303和内核模式302的接口点。
拦截器350可以包括软件、硬件、或者软件和硬件的任一组合。在一个实施例中,拦截器350在网络堆栈310的任一点拦截网络通信,并且重定向或者发送网络通信到由拦截器350或者客户端代理120所期望的、管理的或者控制的目的地。例如,拦截器350可以拦截第一网络的网络堆栈310的网络通信并且发送该网络通信到设备200,用于在第二网络104上发送。在一些实施例中,拦截器350包括含有诸如被构建和设计来与网络堆栈310对接并一同工作的网络驱动器的驱动器的任一类型的拦截器350。在一些实施例中,客户端代理120和/或拦截器350操作在网络堆栈310的一个或者多个层,诸如在传输层。在一个实施例中,拦截器350包括过滤器驱动器、钩子机制、或者对接到网络堆栈的传输层的任一形式和类型的合适网络驱动器接口,诸如通过传输驱动器接口(TDI)。在一些实施例中,拦截器350对接到诸如传输层的第一协议层和诸如传输协议层之上的任一层的另一个协议层,例如,应用协议层。在一个实施例中,拦截器350可以包括遵守网络驱动器接口规范(NDIS)的驱动器,或者NDIS驱动器。在另一个实施例中,拦截器350可以包括微型过滤器或者迷你端口驱动器。在一个实施例中,拦截器350或其部分在内核模式202中操作。在另一个实施例中,拦截器350或其部分在用户模式203中操作。在一些实施例中,拦截器350的一部分在内核模式202中操作,而拦截器350的另一部分在用户模式203中操作。在其它实施例中,客户端代理120在用户模式203中操作,但通过拦截器350对接到内核模式驱动器、进程、服务、任务或者操作系统的部分,诸如以获取内核级数据结构225。在其它实施例中,拦截器350为用户模式应用或者程序,诸如应用。
在一个实施例中,拦截器350拦截任一传输层连接请求。在这些实施例中,拦截器350执行传输层应用编程接口(API)调用以设置目的信息,诸如到期望位置的目的IP地址和/或端口用于定位。在此方式中,拦截器350拦截并且重定向传输层连接到由拦截器350或者客户端代理120控制或者管理的IP地址和端口。在一个实施例中,拦截器350设置用于到客户端102的本地IP地址和端口的连接的目的信息,其中客户端代理120正在监听该客户端102的本地IP地址和端口。例如,客户端代理120可以包括为重定向的传输层通信监听本地IP地址和端口的代理服务。在一些实施例中,客户端代理120随后将重定向的传输层通信传送到设备200。
在一些实施例中,拦截器350拦截域名服务(DNS)请求。在一个实施例中,客户端代理120和/或拦截器350解析DNS请求。在另一个实施例中,拦截器发送所拦截的DNS请求到设备200用于DNS解析。在一个实施例中,设备200解析DNS请求并且将DNS响应通信到客户端代理120。在一些实施例中,设备200经另一个设备200’或者DNS服务器106来解析DNS请求。
在又一个实施例中,客户端代理120可以包括两个代理120和120’。在一个实施例中,第一代理120可以包括在网络堆栈310的网络层操作的拦截器350。在一些实施例中,第一代理120拦截诸如因特网控制消息协议(ICMP)请求(例如,查验和跟踪路由)的网络层请求。在其它实施例中,第二代理120’可以在传输层操作并且拦截传输层通信。在一些实施例中,第一代理120在网络堆栈210的一层拦截通信并且与第二代理120’对接或者将所拦截的通信传送到第二代理120’。
客户端代理120和/或拦截器350可以以对网络堆栈310的任一其它协议层透明的方式在协议层操作或与之对接。例如,在一个实施例中,拦截器350可以以对诸如网络层的传输层之下的任一协议层和诸如会话、表示或应用层协议的传输层之上的任一协议层透明的方式在网络堆栈310的传输层操作或与之对接。这允许网络堆栈310的其它协议层如所期望的进行操作并无需修改以使用拦截器350。同样的,客户端代理120和/或拦截器350可以与传输层对接以安全、优化、加速、路由或者负载平衡通过由传输层承载的任一协议所提供的任一通信,诸如TCP/IP上的任一应用层协议。
此外,客户端代理120和/或拦截器可以以对任一应用、客户端102的用户和与客户端102通信的诸如服务器的任一其它计算装置透明的方式在网络堆栈310上操作或与之对接。客户端代理120和/或拦截器350可以以无需修改应用的方式被安装和/或执行在客户端102上。在一些实施例中,客户端102的用户或者与客户端102通信的计算装置未意识到客户端代理120和/或拦截器350的存在、执行或者操作。同样的,在一些实施例中,客户端代理120和/或拦截器350以对应用、客户端102的用户、诸如服务器的另一个计算装置、或者由拦截器350对接到的协议层之上和/或之下的任一协议层透明的方式被安装、执行、和/或操作。
客户端代理120包括加速程序302、流客户端306和/或收集代理304。在一个实施例中,客户端代理120包括由Florida,Fort Lauderdale的Citrix SystemsInc.开发的独立计算架构(ICA)客户端或其任一部分,并且也指ICA客户端。在一些实施例中,客户端120包括应用流客户端306,用于从服务器106流式传输应用到客户端102。在一些实施例中,客户端代理120包括加速程序302,用于加速客户端102和服务器106之间的通信。在另一个实施例中,客户端代理120包括收集代理304,用于执行端点检测/扫描并且收集用于设备200和/或服务器106的端点信息。
在一些实施例中,加速程序302包括客户端侧加速程序,用于执行一个或多个加速技术以加速、增强或以其它方法改进客户端与服务器106的通信和/或对服务器106的访问,例如访问由服务器106提供的应用。加速程序302的可执行指令的逻辑、功能和/或操作可以执行一个或多个以下的加速技术:1)多协议压缩,2)传输控制协议池,3)传输控制协议多路复用,4)传输控制协议缓冲,以及5)通过高速缓存管理器的高速缓冲。另外,加速程序302可执行由客户端102接收和/或发送的任何通信的加密和/或解密。在一些实施例中,加速程序302以集成的方式或者格式执行一个或者多个加速技术。另外,加速程序302可以在作为传输层协议的网络包的有效载荷所承载的任一协议或者多协议上执行压缩。
流客户端306包括用于接收和执行从服务器106所流式传输的应用的应用、程序、进程、服务、任务或者可执行指令。服务器106可以流式传输一个或者多个应用数据文件到流客户端306,用于播放、执行或者以其它方式引起客户端102上的应用被执行。在一些实施例中,服务器106发送一组压缩或者打包的应用数据文件到流客户端306。在一些实施例中,多个应用文件被压缩并存储在文件服务器上档案文件中,例如CAB、ZIP、SIT、TAR、JAR或其它档案文件。在一个实施例中,服务器106解压缩、解包或者解档应用文件并且将该文件发送到客户端102。在另一个实施例中,客户端102解压缩、解包或者解档应用文件。流客户端306动态安装应用或其部分,并且执行该应用。在一个实施例中,流客户端306可以为可执行程序。在一些实施例中,流客户端306可以能够启动另一个可执行程序。
收集代理304包括应用、程序、进程、服务、任务或者可执行指令,用于识别、获取和/或收集关于客户端102的信息。在一些实施例中,设备200发送收集代理304到客户端102或者客户端代理120。收集代理304可以根据设备的策略引擎236的一个或者多个策略被配置。在其它实施例中,收集代理304发送在客户端102上所收集的信息到设备200。在一个实施例中,设备200的策略引擎236使用所收集的信息来确定和提供客户端到网络104的连接的访问、验证和授权控制。
在一个实施例中,收集代理304包括端点检测和扫描机制,其识别并且确定客户端的一个或者多个属性或者特征。例如,收集代理304可以识别和确定以下任意一个或者多个客户端侧属性:1)操作系统和/或操作系统的版本,2)操作系统的服务包,3)运行的服务,4)运行的进程,和5)文件。收集代理304也可以识别和确定客户端上以下任意一个或者多个的存在或者版本:1)防病毒软件,2)个人防火墙软件,3)防蠕虫软件,和4)互联网安全软件。策略引擎236可以具有基于客户端或者客户端侧属性的任意一个或者多个属性或者特征的一个或者多个策略。
在一些实施例中,仍旧参见图3,第一程序322可以被用于自动地、静默地、透明地或者以其它方式安装和/或执行客户端代理120或其部分,诸如拦截器350。在一个实施例中,第一程序322包括插件组件,例如ActiveX控件或Java控件或脚本,其加载到应用并由应用执行。例如,第一程序包括被web浏览器应用载入和运行的ActiveX控件,例如在存储器空间或应用的上下文中。在另一个实施例中,第一程序322包括可执行指令组,该可执行指令组被例如浏览器的应用载入并执行。在一个实施例中,第一程序322包括被设计和构造的程序以安装客户端代理120。在一些实施例中,第一程序322通过网络从另一个计算装置获得、下载、或接收客户端代理120。在另一个实施例中,第一程序322是用于在客户端102的操作系统上安装例如网络驱动器的程序的安装程序或即插即用管理器。
D、分层全局负载平衡
现在参见图4A,描述了跨越分支机构对资源进行负载平衡的聚合器设备400A-400B(此处也称为聚合器设备400)的分层的实施例。总的来说,第一聚合器设备400A被连接到提供服务给分支机构405A-405N的第一组分支机构设备200A-200N(也称为分支机构设备200)。第二聚合器设备400B被连接到提供服务给分支机构405A’-405N’的第二组分支机构设备200A’-200N’。第一聚合器设备405A和第二聚合器设备400B互相建立连接以通信关于各自分支机构设备的性能和操作特征的信息410A、410A’和410B、410B’。使用该信息410、420,聚合器设备400A-400N中的任一个能够执行负载平衡/转换284,以从第一组分支机构设备200A-200N或者第二组分支机构设备200A’-200N’中选择分支机构设备200,来服务来自客户端102的访问资源的请求。
任一分支机构设备200A-200N或者200A’-200N’可以被配置为知道或者识别单个聚合器设备400。例如,第一分支机构设备200A可以被配置以识别和连接到第一聚合器设备400A。第一分支机构设备200A可以不被配置为具有任何信息,并且因此可以不知道第二聚合器设备400B或者连接到第二聚合器设备400B的任一分支机构设备200A’-200N’。以此方式,减少了分支机构设备200的配置。虽然该配置被减少,但是服务请求的分支机构设备可以访问聚合器设备400所知道的任一其它设备200A-200N’。由于聚合器设备400A-400B共享关于分支机构设备200A-200N’的信息,第一聚合器设备200能够向第一分支机构设备200识别通过任一聚合器设备400A-400B连接的任一分支机构设备200A-200N’的信息。
在一些实施例中,分支机构设备200提供结合图2A和2B所述的设备200的任何功能、操作和服务。分支机构设备200A’-200N’为其各自分支机构405A’-405N’的任一计算装置和用户提供加速288、负载平衡/转换284、SSL VPN 280和/或应用防火墙服务290。分支机构设备200A-200N为其各自分支机构405A-405N的任一计算装置和用户提供加速288、负载平衡284、转换、SSL VPN 280和/或应用防火墙服务290。在一个实施例中,分支机构设备200A’-200N’的每一个提供同样的功能、操作和服务。在其它实施例中,分支机构设备200的每一个可以提供与另一个分支机构设备不同的功能、操作或者服务。例如,第一分支机构设备200A可以提供SSL VPN 280和加速288,而第二分支机构设备200A’可以向负载平衡/转换284提供SSL VPN 280。第三分支机构设备200N可以仅提供SSL VPN 280,而第四分支机构设备200N提供加速288。进一步的例子中,第五分支机构设备200B可以提供加速288,而第六分支机构设备200C提供应用防火墙290功能。
虽然分支机构设备200总的被描述为分支机构405中的设备200,但是分支机构设备200可以为被布署在网络104、105’中的任一位置的设备200。例如,分支机构设备200可以被布署在数据中心。在另一个例子中,分支机构设备200可以被布署在公司LAN 104的子网或者网络段上。在另一个实施例中,分支机构设备200A可以被布署在第一公司LAN上,而第二分支机构设备200B’布署在第二公司LAN上。在一些例子中,分支机构设备200可以被布署在同一网络104、104’上,作为聚合器设备400。所以,尽管设备200在图4A中被描述为分支机构设备200,但是其不限于仅在分支机构405的操作。
聚合器设备400包括软件、硬件或者软件和硬件的任一组合。在一个实施例中,聚合器设备400包括逻辑、功能或者操作(诸如通过聚合器450)来确定、收集和聚合关于一个或者多个分支机构设备200的信息410。例如,信息410可以包括关于分支机构设备200的状态、负载或者性能的信息。在一个实施例中,聚合器450包括应用、进程、服务、任务或可执行指令集。聚合器450包括用于接收和存储关于任一分支机构设备200的信息410的任一类型、形式和组合的数据结构、对象、文件和/或数据库。在一些实施例中,聚合器450以被组织或者被整理的方式来存储与分支机构设备200的名称或者识别符相关的或者由其识别的信息410。例如,可以通过设备200的识别符来索引信息410。在一些实施例中,聚合器450存储时间数据或者将其与信息410关联,诸如记录的时间或者涉及事件的时间。
在一个实施例中,聚合器设备400和/或聚合器450从分支机构设备经由连接来接收信息410。在一些实施例中,聚合器设备400和分支机构设备200建立传输层连接或者通过传输层连接通信,诸如TCP或者UDP连接。在其它实施例中,聚合器设备400和分支机构设备200保持连接。在其它实施例中,聚合器设备400和分支机构设备200基于需要建立连接,例如当其需要通信时连接和重连。
在一些实施例中,聚合器设备400与预定数量的分支机构设备200建立连接或者通信。在其它实施例中,聚合器设备400收集和聚合关于预定数量分支机构设备200的信息。在一个实施例中,分支机构的预定数量为31。在另一个实施例中,分支机构的预定数量为32。在又一个实施例中,分支机构的预定数量为16、48、60、96、128或者256。在进一步的实施例中,分支机构的预定数量为10、20、30、40、50、60、70、80、90、100、150、200或者250。聚合器设备400可以连接的或者从其收集信息的分支机构的数量可以依赖于网络104、104’、设备200、分支机构405、分支机构网络104的操作或者性能特征以及跨越分支机构的应用、数据和用户的资源使用。在一些实施例中,分支机构设备200的预定数量可以不设置或者配置,或者以其它方式仅由聚合器设备400的存储器、容量和性能限制。
在另一个实施例中,聚合器设备400从其所连接的每一个分支机构设备200请求信息410。在一些实施例中,聚合器设备400依据到分支机构设备200的连接的建立来请求信息。在其它实施例中,聚合器设备400从分支机构设备200以预定的频率请求信息410,诸如每隔1秒或者1毫秒。例如,聚合器设备400可以每隔1秒为了信息410而轮询其每个分支机构设备200A-200N。在一些实施例中,聚合器设备400在预定的时间周期上从分支机构设备200请求信息410,诸如1个小时每隔1秒。在又一个实施例中,聚合器设备400依据事件从分支机构设备200请求信息410,诸如接收来自客户端102的请求,或者接收DNS请求。
信息410可以包括涉及或者相关分支机构设备200、分支机构设备200的网络104、和/或诸如通过客户端102、服务器106或者聚合器设备400的到分支机构设备200的任一连接的操作和/或性能特征的任一类型和形式的数据、统计、状态或者信息。在一些实施例中,信息410包括关于连接到分支机构设备200的任一客户端102和/或服务器106的操作和/或性能的数据。在一个实施例中,分支机构设备200确定关于其连接到的或者服务的任一客户端102和/或服务器106的操作和/或性能信息,并且在这些客户端102和/或服务器106上建立信息410。在此实施例中,分支机构设备200可以提供该信息410到聚合器设备400。
在一些实施例中,操作和/或性能特征信息410包括关于任一以下对于分支机构设备200、客户端102或者服务器的信息:1)负载;2)连接的数量和类型;3)资源使用;4)资源可用性;5)未完成请求的数量;6)所发送的请求的数量;7)服务的客户端的数量;8)响应时间信息,包括平均和历史响应时间;9)连接的错误、状态、性能或者带宽;和10)会话的数量、和其状况或状态。在另一个实施例中,信息410包括与设备200的任一IP或者网络层信息、或者设备200的或者设备200服务的客户端和/或服务器的连接有关的信息。例如,信息410可以包括设备200的路由表,用于执行网络地址翻译,诸如用于SSL VPN连接。
聚合器设备400A-400B的每一个可以共享或者以其它方式与其它聚合器设备对所聚合的信息410进行通信。第一聚合器设备400A与第二聚合器设备400B建立诸如TCP或者UDP传输层连接的连接。在一个实施例中,第二聚合器设备400B使用此连接。在另一个实施例中,第二聚合器设备400B与第一聚合器设备400A建立诸如TCP或者UDP传输层连接的连接。在一个实施例中,聚合器设备400A-400B可以依据引导或者启动来建立互相之间的连接或者通信信道。在其它实施例中,聚合器设备400A-400B可以依据配置改变或者事件来建立连接。在另一个实施例中,聚合器设备400A-400B可以在网络104上发布广播以确定另一个聚合器设备400的存在或者可用性。
在一个实施例中,第一聚合器设备400A发送其信息410A到第二聚合器设备400B。第二聚合器设备400B存储所接收的信息410A为信息410A’,如图4A所示。在一些实施例中,信息410A’与信息410A被聚合或者组合。在其它实施例中,信息410A’与信息410A关联。在另一个实施例中,第二聚合器设备400B发送其信息410B到第一聚合器设备400A。第一聚合器设备400A存储所接收的信息410B作为信息410B’,如图4A所示。在一些实施例中,信息410B’与信息410B被聚合或者组合。在其它实施例中,信息410B’与信息410B相关联。第一和第二聚合器设备400A-400B可以交换或者提供信息410A和410B一次,或者以诸如每隔1毫秒或者1秒的预定频率。在一些实施例中,第一和第二聚合器设备400A-400B使用请求/回复消息机制或者协议来互相发送信息410A-410B。在其它实施例中,第一和第二聚合器设备400A-400B具有定制或者专用交换协议,用于交换关于分支机构设备200A-200N’的信息410A-410B。
通过交换信息410A-410B,第一聚合器设备400A和第二聚合器设备400B的每一个具有第一组一个或者多个分支机构设备200A-200N和第二组一个或者多个分支设备200A’-200N’上的信息410A和410B。虽然第一聚合器设备400A正收集、聚合和监控关于分支机构设备200A-200N的信息410A,但是第一聚合器设备400A得到关于分支机构设备200A’-200N’的、由第二聚合器设备400B收集、聚合和监控的信息410B。同样,虽然第二聚合器设备400B正收集、聚合和监控关于分支机构设备200A’-200N’的信息410B,但是第二聚合器设备400B得到关于分支机构设备200A-200N的、由第一聚合器设备400A收集、聚合和监控的信息410A。
使用聚合器设备400A-400B,在一个实施例中,第一分支机构设备200A仅需要知道第一聚合器设备400A的标识或者互联网协议信息,但通过聚合器设备400A获取其它分支机构设备200A’-200N’的标识。例如,依据从客户端接收对资源的请求,第一分支机构设备200A可以转发请求到聚合器设备400a。相应地,聚合器设备400A可以发送聚合器设备400B所监控的分支机构设备200A’-200N’的标识以服务该请求。在一些实施例中,这简化了每个或者任一分支机构设备200的配置,而同时允许任一分支机构设备200A-200N以通过另一个分支机构设备200A’-200N’访问资源服务或者连接到资源。以此方式,客户端可以经由任一分支机构设备200A-200N’使用通过聚合器设备400A-400B收集的信息410A-410B来跨越任一分支机构405A-405N访问资源。在其它实施例中,客户端102能够直接连接到任一聚合器400A-400N,并且得到对任一分支机构设备200的负载平衡。
聚合器设备400A-400B包括负载平衡/转换284功能性、操作和/或逻辑,用于确定和提供对于任一分支机构设备200、分支机构405的客户端102、或者经由分支机构405或者分支机构设备200访问的服务器106的负载平衡服务。在一个实施例中,使用信息410A和410B’,第一聚合器设备400A能够确定来自任一分支机构设备200A-200N’的分支机构设备200,以服务来自客户端102的请求。在另一个实施例中,使用信息410A’和410B,第二聚合器设备400B能够确定来自任一分支机构设备200A-200N’的分支机构设备200,以服务来自客户端102的请求。此外,聚合器设备400A-400N能够使用信息410A、410N来确定经由分支机构设备200访问的资源,诸如服务器106,以服务请求。以此方式并且在一些实施例中,对于跨越所有分支机构405A-405N’的分支机构设备200A-200N和所有资源的聚合,聚合器设备400A-440N提供负载平衡和转换信息。
在一些实施例中,聚合器设备400包括分支机构设备200的任一功能性、操作或者服务。例如,除了此处所述的聚合器设备400的负载平衡284和聚合操作,聚合器设备可以执行加速、SSL VPN或者应用防火墙功能性。第一聚合器设备400A和第二聚合器设备400B可以被布署在同一网络104和/或不同网络104、104’上。在一些实施例中,可以布署附加的聚合器设备400以按比例扩大来服务多个分支机构405和分支机构设备200。
现在参见图4B,描述布署多个聚合器设备的另一个实施例。总的来说,布署多个聚合器设备400A、400B和400N以提供对以下多个分支机构的聚合和/或负载平衡服务:分支机构1-31 405A-405N、分支机构32-63 405A’-405N’、和分支机构64-N405A”-405N”。第一聚合器设备400A连接到第一组一个或者多个分支机构设备405A-405N并且获取该第一组一个或者多个分支机构设备405A-405N上的信息410。第二聚合器设备400B连接到第二组一个或者多个分支机构设备405A’-405N’并且获取该第二组一个或者多个分支机构设备405A’-405N’上的信息410。第三聚合器设备400N连接到第三组一个或者多个分支机构设备405A”-405N”并且获取该第三组一个或者多个分支机构设备405A”-405N”上的信息410。
每个聚合器设备400A-400N可以互相交换信息410,以识别、了解和获取其它分支机构设备200A-200N、200A’-200N’、200A”-200N”上的信息410。在一个实施例中,第一聚合器设备400A与第二聚合器设备400B以及第三聚合器设备400N建立连接。在另一个实施例中,第二聚合器设备400B与第一聚合器设备400A以及第三聚合器设备400N建立连接。在又一个实施例中,第三聚合器设备400N与第二聚合器设备400B以及第一聚合器设备400A建立连接。通过任一这些连接,聚合器设备400可以询问、接收、发送或者以其它方式得到其当前可以不连接的一组一个或者多个分支机构设备200上的信息410。
在一些实施例中,每个聚合器设备400可以连接到不同于另一个聚合器设备400的多个分支机构设备200并且获取和监控该多个分支机构设备200上的信息410。例如,第一聚合器设备400A可以监控和获取2、3、4、5或者10个设备200上的信息410,而第二聚合器设备200监控和获取20、30或者31个设备200上的信息410。在进一步的例子中,第三聚合器设备400C可以监控和获取单个分支机构设备200或者任一数量分支机构设备200上的信息410。虽然图4B中所示的布署描述服务三组多个分支机构的三个聚合器设备400A-400N,但是可以布署任意个聚合器设备400来服务任意个分支机构405。
在一个实施例中,在图4B中以虚线连接描述的诸如聚合器设备400N’的聚合器设备可以被用作主聚合器节点或者设备400。例如,在一些实施例中,主聚合器设备400N’可以不直接收集来自分支机构设备200的信息410,而聚合来自收集这些信息的其它聚合器设备400A-400N的信息410。在一些实施例中,主聚合器设备400N对于任一其它聚合器设备400用作备份服务。例如,在一个例子中,如果聚合器设备400A曾被关机或者被重启,启动聚合器设备400A可以获取来自主聚合器设备400N’的最近存储的信息410。在其它实施例中,聚合器设备400A-400N的每一个建立与主聚合器设备400N’的连接,以提供或者更新主聚合器设备400N’上的信息410和/或也从其它设备400获取其还不具有的信息410。
使用图4B中所示的布署架构,在一些实施例中,可以布署任意数量的聚合器设备400以对任意数量的分支机构405进行规模负载平衡和聚合服务。当分支机构405和/或分支机构设备200的数量增加时,由于仅需要被配置以知道存在的聚合器设备400A或者新布署的聚合器设备400N,所以分支机构设备200的配置保持相对简单。通过在聚合设备200之间的信息410的聚合和交换,任一客户端或者分支机构设备200可以跨越任一分支机构405访问资源。
参见图5,描述用于通过聚合设备400实现聚合和负载平衡的方法500的实施例的步骤。总的来说,在步骤505,第一聚合器设备405A建立与第一多个分支机构设备200A-200N的连接并且获取该第一多个分支机构设备200A-200N上的信息410A。在步骤510,第二聚合器设备410A建立与第二多个分支机构设备200A’-200N’的连接并获取该第二多个分支机构设备200A’-200N’上的信息410B。一个或者多个第一组分支机构设备200A-200N可以不具有任何信息或者被配置以识别任一第二组分支机构设备200A’-200N’。在步骤515,第一和第二聚合器设备400A-400B互相之间建立连接或者通信。在步骤520,第一和第二聚合器设备400A-400N交换关于第一和第二组分支机构设备200的标识、操作和性能信息410。在步骤525,第一聚合器设备400A接收来自客户端102访问资源的请求。例如,第一分支机构设备200A可以发送该请求到第一聚合器设备400A,诸如为图4A中描述的客户端102A。在另一个例子中,客户端102可以发送该请求到的聚合器设备400A,诸如图4A中所示的客户端102b和102n。在步骤530,第一聚合器设备通过从第二聚合器设备400B接收的信息410,从第二组分支机构设备200A’-200N’选择第二分支机构设备200A’以服务该请求。在步骤540,第一聚合器设备200直接地或经由服务于客户端102的第一分支机构设备200A为客户端102发送所选择的第二分支机构设备200A’上的信息。在步骤545,客户端102直接地或者经由第一分支机构设备200A建立与第二分支机构设备200A’的连接。
在进一步的细节中,在步骤505,第一聚合器设备200A建立与一个或者多个分支机构设备200A-200N的任一类型和形式的连接。在一个实施例中,第一聚合器设备200A建立诸如TCP或者UDP的传输层连接到分支机构设备200A-200N。在一个实施例中,任一分支机构设备200A-200N请求与聚合器设备400A的连接。在另一个实施例中,聚合器设备400A请求与任一分支机构设备200A-200N的连接。在一些实施例中,任一分支机构设备200A-200N可以具有传输层连接到诸如客户端代理120的一个或者多个客户端102。在另一个实施例中,任一分支机构设备200A-200N可以具有传输层连接到诸如服务270的一个或者多个服务器106。
第一聚合器设备400A可以通过任一的其到任一的第一组分支机构设备200A-200N的连接来获取关于这些设备的信息410。在一个实施例中,第一聚合器设备400A依据连接的建立来获取来自分支机构设备200的信息410。在另一个实施例中,第一聚合器设备400A依据预定的频率从分支机构设备200获取信息410,诸如每隔1毫秒或者1秒的轮询。在一些实施例中,第一聚合器设备400A通过请求/回复机制从分支机构设备200获取信息410。在又一个实施例中,分支机构设备200在启动时或者以预定频率发送信息410到聚合器设备400A,诸如将信息每隔1毫秒或者1秒推进到聚合器400中。
与步骤505类似地,在步骤510,第二聚合器设备400B建立诸如传输层连接的连接到第二组一个或者多个分支机构设备200A’-200N’。第二组分支机构设备200A’-200N’可以具有传输层连接到一个或者多个客户端102和/或服务器106。第二聚合器设备400B可以通过任一的其到任一的第二组分支机构设备200A’-200N’的连接来获取关于这些设备的信息410。第二聚合器设备400B可以在任一时间或者以任一频率来接收、请求或者获取信息410。
虽然第一聚合器设备400A具有第一组分支机构设备200A-200N上的信息410A并且第二聚合器设备400B具有第二组分支机构设备200A’-200N’上的信息410B,但是第一聚合器设备400A可以不知道任一第二组分支机构设备200A’-200N’的标识或者不具有该任一第二组分支机构设备200A’-200N’上的信息。类似地,第二聚合器设备400B可以不知道任一第一组分支机构设备200A-200N的标识或者不具有该任一第一组分支机构设备200A-200N上的信息。在一些实施例中,第一组分支机构设备200A-200N的第一分支机构设备200A不知道任一第二组分支机构设备200A’-200N’的标识或者不具有该任一第二组分支机构设备200A’-200N’上的信息。在其它实施例中,第二组分支机构设备200A’-200N’的第二分支机构设备200A’不知道任一第二组分支机构设备200A-200N的标识或者不具有该任一第二组分支机构设备200A-200N上的信息。
在步骤515,第一聚合器设备400A和第二聚合器设备400B通过诸如传输层连接建立通信,例如TCP或者UDP。在一些实施例中,第一聚合器设备400A和第二聚合器设备400B在互相之间建立一个用于通信的连接。在其它实施例中,第一聚合器设备400A建立与第二聚合器设备400B的连接,而第二聚合器设备400B建立与第一聚合器设备400A的连接。
在步骤520,聚合器设备400A和400B可以以周期为基础交换信息410,诸如每隔1秒或者1毫秒的频率。在一些实施例中,聚合器设备400A依据来自分支机构设备200的信息410的接收来发送该信息410到另一个聚合器设备400B。在一个实施例中,聚合器设备400A和400B交换或者接收来自主聚合器设备400N’的信息410。通过信息410的交换或者接收,每个聚合器设备400A-400B具有每组分支机构设备上的信息410A、410B。虽然第一聚合器设备400A连接到第一组分支机构设备200A-200N,但是第一聚合器设备400A也获取了第二组分支机构设备200A’-200N’上的信息410B’。类似地,虽然第二聚合器设备400B连接到第二组分支机构设备200A’-200N’,但是第二聚合器设备400B也获取了第一组分支机构设备200’-200N上的信息410A’。使用两组信息410A、410B,聚合器设备400能够做出转换和负载平衡的决定,以跨越所有的分支机构设备200和分支机构405访问资源。
在步骤525,聚合器设备400的其中之一接收来自客户端的访问资源的请求。在一个实施例中,客户端102发送该请求到聚合器设备400。在另一个例子中,分支机构设备200代表该客户端102发送请求到聚合器设备400。在又一个实施例中,另一个聚合器设备400B可以发送该请求到聚合器设备400A。在一些实施例中,请求包括连接请求,诸如TCP或者UDP连接请求,或者VPN请求。在其它实施例中,请求包括会话请求,诸如SSL或者TLS会话,或者诸如到所寄载的服务的应用会话。在另一个实施例中,请求包括域名服务(DNS)请求,诸如解析域名。在一个实施例中,请求包括执行应用的请求,诸如经由应用传送系统500。在其它实施例中,请求包括验证或者授权请求。在又一个实施例中,请求包括接收计算环境15的一部分的请求,诸如应用或者其中一部分,或者数据文件。
在步骤535,响应于请求的接收,聚合器设备400确定、识别和选择分支机构设备200,以服务该请求。聚合器设备400使用任一的信息410A、410B来确定适合于服务请求的分支机构设备200。在一个实施例中,聚合器设备400使用信息410来确定、识别和选择由分支机构设备200访问或者服务的服务器106。在一些实施例中,聚合器设备400分析或者处理信息410的任一的操作和/或性能特征来确定适合用于请求的设备200。在其它实施例中,聚合器设备400可以保持客户端102和分支机构设备200之间的持续性。例如,聚合器设备400可以为当前服务客户端102、最近服务过该客户端102或者之前已经服务过该客户端102的分支机构设备200指定客户端102。
在一些实施例中,第一聚合器设备400A从第二组分支机构设备200A’-200N’中识别和选择第二分支机构设备200A’。在一个实施例中,第一聚合器设备400A从第一组分支机构设备200A-200N中识别和选择第一分支机构设备200A。在其它实施例中,第二聚合器设备400B从第一组分支机构设备200A-200N中识别和选择第一分支机构设备200A。在又一个实施例中,第二聚合器设备400B从第二组分支机构设备200A’-200N’中识别和选择第二分支机构设备200A’。
在步骤540,响应于客户端请求,聚合器设备400为客户端102或者服务该客户端102的设备200发送关于所选择的分支机构设备200的信息。在一个实施例中,聚合器设备400直接发送设备200的标识或者选择到客户端102,诸如到客户端代理120。在另一个实施例中,聚合器设备400发送设备200的标识或者选择到分支机构设备200。在一些实施例中,聚合器设备400识别所选择的分支机构设备200的IP地址或者域名或者其它IP层信息到客户端102或者分支机构设备。在其它实施例中,聚合器设备400识别连接到所选择分支机构设备200的信息到客户端102或者分支机构设备200。
在步骤545,客户端102建立与聚合器设备400所选择或者识别的分支机构设备200的连接。在一些实施例中,客户端102诸如经由客户端代理120建立与所选择分支机构设备200的传输层连接,例如TCP或者UDP。在其它实施例中,连接到客户端102的分支机构设备200例如代表客户端102建立传输层连接到所选择分支机构设备。在一些实施例中,客户端102与所选择的分支机构设备200建立SSL VPN连接。在一些实施例中,所选择的分支机构设备200提供或者建立到一个或者多个服务器106的连接。例如,分支机构设备200可以具有到服务器106上的客户端请求被多路复用的池化的传输层连接。在又一些实施例中,所选择的分支机构设备200可以为客户端102提供附加的负载平衡/转换功能性284。在另一个实施例中,所选择的分支机构设备200提供加速或者应用防火墙服务到客户端102。
虽然方法500的实施例以上通常结合访问来自分支机构405和/或分支机构设备200的资源的客户端102被描述,但是方法500可以通过访问来自任一位置的聚合器设备400的任一客户端102来实现。例如,如图4A所示,客户端102b和102n可以访问聚合器设备400,而无需首先访问分支机构设备200。在一个实施例中,客户端102b或者102n可以位于因特网上并且连接到聚合器设备200。在其它实施例中,客户端102a或者102n可以位于同一网络104上,诸如LAN,作为聚合器设备400A-400N。聚合器设备400能够负载平衡客户端请求,并且将客户端102b-102n指向所选择的分支机构设备200。
考虑到此处所描述的聚合器设备的结构、功能和操作,聚合器设备提供简化了的分支机构设备的配置,同时提供分支机构设备的可扩展的、分层的布署。通过在以分层方式布署的聚合器设备中交换分支机构设备信息,任一的聚合器设备能够做出负载平衡和转换决定来访问任一分支机构设备、或者通过分支机构设备提供的任一资源。虽然分支机构设备可以被配置为与聚合器设备通信或者被聚合器设备可知,但是分支机构设备通过此处讨论的聚合和负载平衡技术可以获悉或者获取其它分支机构资源的信息。该聚合器设备全局负载平衡来自跨越所有分支机构和分支机构设备的任一位置的任一客户端的资源请求。
Claims (26)
1.一种提供设备的分层以更加有效地跨越多个分支机构访问资源的方法,该方法包括:
(a)由第一聚合器设备建立与第一多个分支机构设备的连接,所述第一多个分支机构设备提供服务给多个分支机构;
(b)由第二聚合器设备建立与第二多个分支机构设备的连接,所述第二多个分支机构设备提供服务给另外多个分支机构,所述第一多个分支机构设备不具有识别所述第二多个分支机构设备的信息;
(c)建立所述第一聚合器设备和第二聚合器设备之间的连接以交换关于分支机构设备的所聚合的信息,该分支机构设备不知道接收该信息的聚合器设备,所述第一聚合器设备从所述第二聚合器设备接收由所述第二聚合器设备收集的关于所述第二多个分支机构操作的所聚合的信息;
(d)由所述第一聚合器设备从所述第一多个分支机构的第一分支机构设备接收来自客户装置访问资源的请求;
(e)由所述第一聚合器设备经由来自所述第二聚合器设备的所聚合的信息从所述第二多个分支机构设备识别一个第二分支机构设备以服务所述请求;
(f)由所述第一聚合器设备向所述第一分支机构设备发送识别所述第二分支机构设备的信息;和
(g)由所述客户装置建立与所述第二分支机构设备的连接。
2.权利要求1的方法,其中,步骤(f)还包括由所述第一分支机构设备发送识别所述第二分支机构设备的信息给所述客户装置。
3.权利要求1的方法,包括由所述客户装置经由所述第一分支机构设备与服务器通过所述第二分支机构设备建立第二连接。
4.权利要求1的方法,包括由所述第一聚合器设备建立与所述第二聚合器设备的通信。
5.权利要求3的方法,包括由所述第一聚合器设备将关于所述第一多个分支机构设备的信息通信给所述第二聚合器设备。
6.权利要求3的方法,包括由所述第二聚合器设备将关于所述第二多个分支机构设备的信息通信给所述第一聚合器设备。
7.权利要求1的方法,由所述第一聚合器设备确定关于所述第一多个分支机构设备的每一个的性能或者操作特征的其中之一的信息。
8.权利要求1的方法,由所述第二聚合器设备确定所述第二多个分支机构设备的每一个的性能或者操作特征的其中之一。
9.权利要求7的方法,其中,步骤(e)包括由所述第一聚合器设备基于所述性能或者操作特征的其中之一来选择所述第二分支机构设备。
10.权利要求3的方法,包括由所述第一分支机构设备或者所述第二分支机构设备的其中之一加速所述客户装置和所述服务器之间的通信。
11.权利要求10的方法,其中,加速包括以下一个或者多个技术的使用:
压缩;
TCP连接池;
TCP连接多路复用;
TCP缓冲;和
高速缓存。
12.权利要求1的方法,其中,所述第一聚合器设备或者所述第二聚合器设备的其中之一被布署在数据中心。
13.权利要求1的方法,其中,所述客户装置布署在所述第一分支机构。
14.一种用于提供设备的分层以更加有效地跨越多个分支机构访问资源的系统,该系统包括:
第一聚合器设备,用于建立与第一多个分支机构设备的连接,所述第一多个分支机构设备提供服务给多个分支机构;
第二聚合器设备,用于建立与第二多个分支机构设备的连接,所述第二多个分支机构设备提供服务给另外多个分支机构,所述第一多个分支机构设备不具有识别所述第二多个分支机构设备的信息;以及
其中在所述第一聚合器设备和第二聚合器设备之间建立连接以交换关于分支机构设备的所聚合的信息,该分支机构设备不知道接收该信息的聚合器设备,所述第一聚合器设备从所述第二聚合器设备接收由所述第二聚合器设备收集的关于所述第二多个分支机构操作的所聚合的信息;
所述第一多个分支机构的第一分支机构设备发送来自客户装置的访问资源的请求给所述第一聚合器设备;
其中,所述第一聚合器设备经由所述第二聚合器设备从所述第二多个分支机构设备识别一个第二分支机构设备以服务所述请求,并且向所述第一分支机构设备发送识别所述第二分支机构设备的信息;并且
所述客户装置建立与所述第二分支机构设备的连接。
15.权利要求14的系统,其中,所述第一分支机构设备发送识别所述第二分支机构设备的信息给所述客户装置。
16.权利要求14的系统,其中,所述客户装置经由所述第一分支机构设备与服务器通过所述第二分支机构设备建立第二连接。
17.权利要求14的系统,其中,所述第一聚合器设备建立与所述第二聚合器设备的通信。
18.权利要求17的系统,其中,所述第一聚合器设备将关于所述第一多个分支机构设备的信息通信给所述第二聚合器设备。
19.权利要求14的系统,其中,所述第二聚合器设备将关于所述第二多个分支机构设备的信息通信给所述第一聚合器设备。
20.权利要求14的系统,其中,所述第一聚合器设备确定关于所述第一多个分支机构设备的每一个的性能或者操作特征的其中之一的信息。
21.权利要求14的系统,其中,所述第二聚合器设备确定所述第二多个分支机构设备的每一个的性能或者操作特征的其中之一。
22.权利要求21的系统,其中,所述第一聚合器设备基于所述性能或者操作特征的其中之一来选择所述第二分支机构设备。
23.权利要求14的系统,其中,所述第一分支机构设备或者所述第二分支机构设备的其中之一加速所述客户装置和服务器之间的通信。
24.权利要求23的系统,其中,加速包括以下一个或者多个技术的使用:
压缩;
TCP连接池;
TCP连接多路复用;
TCP缓冲;和
高速缓存。
25.权利要求14的系统,其中,所述第一聚合器设备或者所述第二聚合器设备的其中之一被布署在数据中心。
26.权利要求14的系统,其中,所述客户装置布署在所述第一分支机构。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US11/462,345 | 2006-08-03 | ||
US11/462,345 US8626946B2 (en) | 2006-08-03 | 2006-08-03 | Systems and methods for hierarchical global load balancing |
PCT/US2007/075037 WO2008017012A2 (en) | 2006-08-03 | 2007-08-02 | Systems and methods for hierarchical global load balancing |
Publications (2)
Publication Number | Publication Date |
---|---|
CN101523866A CN101523866A (zh) | 2009-09-02 |
CN101523866B true CN101523866B (zh) | 2013-10-30 |
Family
ID=38834980
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN200780037294.3A Active CN101523866B (zh) | 2006-08-03 | 2007-08-02 | 用于分层全局负载平衡的系统和方法 |
Country Status (6)
Country | Link |
---|---|
US (1) | US8626946B2 (zh) |
EP (1) | EP2070296B1 (zh) |
CN (1) | CN101523866B (zh) |
CA (1) | CA2659061A1 (zh) |
HK (1) | HK1132111A1 (zh) |
WO (1) | WO2008017012A2 (zh) |
Families Citing this family (33)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7117239B1 (en) | 2000-07-28 | 2006-10-03 | Axeda Corporation | Reporting the state of an apparatus to a remote computer |
US7185014B1 (en) | 2000-09-22 | 2007-02-27 | Axeda Corporation | Retrieving data from a server |
US8108543B2 (en) | 2000-09-22 | 2012-01-31 | Axeda Corporation | Retrieving data from a server |
US7254601B2 (en) | 2001-12-20 | 2007-08-07 | Questra Corporation | Method and apparatus for managing intelligent assets in a distributed environment |
US7178149B2 (en) | 2002-04-17 | 2007-02-13 | Axeda Corporation | XML scripting of soap commands |
US7966418B2 (en) | 2003-02-21 | 2011-06-21 | Axeda Corporation | Establishing a virtual tunnel between two computer programs |
US8572721B2 (en) * | 2006-08-03 | 2013-10-29 | Citrix Systems, Inc. | Methods and systems for routing packets in a VPN-client-to-VPN-client connection via an SSL/VPN network appliance |
US8079077B2 (en) | 2006-08-08 | 2011-12-13 | A10 Networks, Inc. | System and method for distributed multi-processing security gateway |
US8332925B2 (en) | 2006-08-08 | 2012-12-11 | A10 Networks, Inc. | System and method for distributed multi-processing security gateway |
US7769869B2 (en) * | 2006-08-21 | 2010-08-03 | Citrix Systems, Inc. | Systems and methods of providing server initiated connections on a virtual private network |
US8370479B2 (en) | 2006-10-03 | 2013-02-05 | Axeda Acquisition Corporation | System and method for dynamically grouping devices based on present device conditions |
US20080102747A1 (en) * | 2006-10-31 | 2008-05-01 | Mohammed Didarul Alam | SSL-Based Mobile Virtual Private Networking Solution |
US8065397B2 (en) | 2006-12-26 | 2011-11-22 | Axeda Acquisition Corporation | Managing configurations of distributed devices |
US8289975B2 (en) * | 2009-06-22 | 2012-10-16 | Citrix Systems, Inc. | Systems and methods for handling a multi-connection protocol between a client and server traversing a multi-core system |
US8862696B2 (en) * | 2009-09-08 | 2014-10-14 | Sony Corporation | Interconnecting applications on personal computers and mobile terminals through a web server |
US8966112B1 (en) | 2009-11-30 | 2015-02-24 | Dell Software Inc. | Network protocol proxy |
WO2011120000A2 (en) * | 2010-03-26 | 2011-09-29 | Citrix Systems, Inc. | Systems and methods for link load balancing on a multi-core device |
US10169094B2 (en) * | 2011-04-27 | 2019-01-01 | Hewlett Packard Enterprise Development Lp | Dynamic transaction-persistent server load balancing |
US9118618B2 (en) | 2012-03-29 | 2015-08-25 | A10 Networks, Inc. | Hardware-based packet editor |
US9596286B2 (en) | 2012-05-25 | 2017-03-14 | A10 Networks, Inc. | Method to process HTTP header with hardware assistance |
JP2015534769A (ja) | 2012-09-25 | 2015-12-03 | エイ10 ネットワークス インコーポレイテッドA10 Networks, Inc. | データネットワークにおける負荷分散 |
US10021174B2 (en) | 2012-09-25 | 2018-07-10 | A10 Networks, Inc. | Distributing service sessions |
US10256631B2 (en) | 2013-03-04 | 2019-04-09 | University of Vemont and State Agricultural College | Systems and methods for random-access power management using packetization |
US10027761B2 (en) | 2013-05-03 | 2018-07-17 | A10 Networks, Inc. | Facilitating a secure 3 party network session by a network device |
US20150180750A1 (en) * | 2013-12-19 | 2015-06-25 | Jvl Ventures, Llc | Systems, methods, and computer program products for service processing |
US10020979B1 (en) | 2014-03-25 | 2018-07-10 | A10 Networks, Inc. | Allocating resources in multi-core computing environments |
US9806943B2 (en) | 2014-04-24 | 2017-10-31 | A10 Networks, Inc. | Enabling planned upgrade/downgrade of network devices without impacting network sessions |
US11150618B2 (en) | 2016-09-21 | 2021-10-19 | University Of Vermont And State Agricultural College | Packetized energy management control systems and methods of using the same |
CN109844654B (zh) | 2016-09-21 | 2023-04-28 | 佛蒙特大学及州立农业学院 | 条件控制负载和双向分布式储能系统的随机的基于分组的功率管理系统和方法 |
US10791168B1 (en) | 2018-05-21 | 2020-09-29 | Rafay Systems, Inc. | Traffic aware network workload management system |
US11502908B1 (en) | 2021-06-02 | 2022-11-15 | Zscaler, Inc. | Geo tagging for advanced analytics and policy enforcement on remote devices |
US11863391B2 (en) | 2021-06-04 | 2024-01-02 | Zscaler, Inc. | Distributed telemetry and policy gateway in the cloud for remote devices |
US11329905B1 (en) | 2021-08-19 | 2022-05-10 | Zscaler, Inc. | Distributed adaptive probability for population selection of remote devices in a network |
Family Cites Families (24)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6061341A (en) * | 1997-12-16 | 2000-05-09 | Telefonaktiebolaget Lm Ericsson (Publ) | Use of transmission control protocol proxy within packet data service transmissions in a mobile network |
US6606744B1 (en) | 1999-11-22 | 2003-08-12 | Accenture, Llp | Providing collaborative installation management in a network-based supply chain environment |
US7130807B1 (en) | 1999-11-22 | 2006-10-31 | Accenture Llp | Technology sharing during demand and supply planning in a network-based supply chain environment |
US7124101B1 (en) | 1999-11-22 | 2006-10-17 | Accenture Llp | Asset tracking in a network-based supply chain environment |
US6671818B1 (en) | 1999-11-22 | 2003-12-30 | Accenture Llp | Problem isolation through translating and filtering events into a standard object format in a network based supply chain |
US8176186B2 (en) | 2002-10-30 | 2012-05-08 | Riverbed Technology, Inc. | Transaction accelerator for client-server communications systems |
US7650416B2 (en) * | 2003-08-12 | 2010-01-19 | Riverbed Technology | Content delivery for client-server protocols with user affinities using connection end-point proxies |
US7634230B2 (en) | 2002-11-25 | 2009-12-15 | Fujitsu Limited | Methods and apparatus for secure, portable, wireless and multi-hop data networking |
US7185096B2 (en) * | 2003-05-27 | 2007-02-27 | Sun Microsystems, Inc. | System and method for cluster-sensitive sticky load balancing |
US8484348B2 (en) * | 2004-03-05 | 2013-07-09 | Rockstar Consortium Us Lp | Method and apparatus for facilitating fulfillment of web-service requests on a communication network |
US8533737B2 (en) | 2004-03-18 | 2013-09-10 | Global Infotek, Inc. | System and method for interfacing distributed systems with different frameworks |
US7773581B2 (en) * | 2004-03-19 | 2010-08-10 | Ericsson Ab | Method and apparatus for conferencing with bandwidth control |
US20060072482A1 (en) * | 2004-10-06 | 2006-04-06 | Nokia Corporation | Service routing |
US7987272B2 (en) | 2004-12-06 | 2011-07-26 | Cisco Technology, Inc. | Performing message payload processing functions in a network element on behalf of an application |
WO2006074072A2 (en) | 2004-12-30 | 2006-07-13 | Citrix Systems, Inc. | Systems and methods for providing client-side acceleration techniques |
US8151323B2 (en) | 2006-04-12 | 2012-04-03 | Citrix Systems, Inc. | Systems and methods for providing levels of access and action control via an SSL VPN appliance |
US8572721B2 (en) | 2006-08-03 | 2013-10-29 | Citrix Systems, Inc. | Methods and systems for routing packets in a VPN-client-to-VPN-client connection via an SSL/VPN network appliance |
US8694684B2 (en) | 2006-08-21 | 2014-04-08 | Citrix Systems, Inc. | Systems and methods of symmetric transport control protocol compression |
US8312120B2 (en) | 2006-08-22 | 2012-11-13 | Citrix Systems, Inc. | Systems and methods for providing dynamic spillover of virtual servers based on bandwidth |
US7853679B2 (en) | 2007-03-12 | 2010-12-14 | Citrix Systems, Inc. | Systems and methods for configuring handling of undefined policy events |
US7853678B2 (en) | 2007-03-12 | 2010-12-14 | Citrix Systems, Inc. | Systems and methods for configuring flow control of policy expressions |
US8484656B2 (en) | 2007-03-12 | 2013-07-09 | Citrix Systems, Inc. | Systems and methods for providing global server load balancing of heterogeneous devices |
US7865589B2 (en) | 2007-03-12 | 2011-01-04 | Citrix Systems, Inc. | Systems and methods for providing structured policy expressions to represent unstructured data in a network appliance |
US8490148B2 (en) | 2007-03-12 | 2013-07-16 | Citrix Systems, Inc | Systems and methods for managing application security profiles |
-
2006
- 2006-08-03 US US11/462,345 patent/US8626946B2/en active Active
-
2007
- 2007-08-02 CA CA002659061A patent/CA2659061A1/en not_active Abandoned
- 2007-08-02 EP EP07813684.3A patent/EP2070296B1/en active Active
- 2007-08-02 CN CN200780037294.3A patent/CN101523866B/zh active Active
- 2007-08-02 WO PCT/US2007/075037 patent/WO2008017012A2/en active Application Filing
-
2009
- 2009-12-10 HK HK09111553.7A patent/HK1132111A1/zh not_active IP Right Cessation
Also Published As
Publication number | Publication date |
---|---|
WO2008017012A3 (en) | 2008-03-27 |
EP2070296A2 (en) | 2009-06-17 |
US8626946B2 (en) | 2014-01-07 |
CA2659061A1 (en) | 2008-02-07 |
US20080034111A1 (en) | 2008-02-07 |
WO2008017012A2 (en) | 2008-02-07 |
HK1132111A1 (zh) | 2010-02-12 |
CN101523866A (zh) | 2009-09-02 |
EP2070296B1 (en) | 2015-10-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN101523866B (zh) | 用于分层全局负载平衡的系统和方法 | |
CN101636998B (zh) | 用于ssl/vpn业务的基于应用的拦截和授权的系统和方法 | |
CN101523806B (zh) | 用于使用动态响应时间来确定网络服务的响应度的方法和设备 | |
CN101523865B (zh) | 用于使用http-察觉的客户端代理的系统和方法 | |
CN102301338B (zh) | 用于基于健康的溢出的系统和方法 | |
CN101523850A (zh) | 用于提供多模式传输层压缩的系统和方法 | |
CN101981887B (zh) | 用于配置和细粒度策略驱动web内容检测和重写的系统和方法 | |
CN102292960B (zh) | 用于基于ssl vpn用户进行全局服务器负载平衡的系统和方法 | |
CN102292961B (zh) | 用于对由域名服务(dns)获得的ip地址进行转换的系统和方法 | |
CN102714657B (zh) | 用于经由tcp选项插入客户机ip地址的系统和方法 | |
US9185019B2 (en) | Systems and methods for providing dynamic connection spillover among virtual servers | |
CN102292955B (zh) | 用于负载平衡实时流传输协议的系统和方法 | |
CN102224722B (zh) | 用于对象速率限制的系统和方法 | |
CN102771084B (zh) | 用于在多核gslb设备中管理静态邻近性的系统和方法 | |
US8116207B2 (en) | Systems and methods for weighted monitoring of network services | |
US8141164B2 (en) | Systems and methods for dynamic decentralized load balancing across multiple sites | |
CN103560905B (zh) | 用于配置、应用和管理网络装置的面向对象策略表达式的系统和方法 | |
US20080034057A1 (en) | Systems and methods for managing a plurality of user sessions in a virtual private network environment | |
CN102292708A (zh) | 用于策略的http调出的系统和方法 | |
CN102577302A (zh) | 用于在具有流量管理的连接中使用端点审计的系统和方法 | |
CN101682619A (zh) | 用于基于用户选择的规格进行负载平衡的系统和方法 | |
CN102771083A (zh) | 用于全局服务器负载平衡的IPv6和IPv4 DNS的混合模式的系统和方法 | |
CN103384250A (zh) | 用于ssl/vpn业务的基于应用的拦截和授权的系统和方法 | |
CN102763374A (zh) | 用于基于策略地集成到水平地部署的wan优化设备的系统和方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant |