(57)【要約】仮想グローバルネットワークを介して装置を接続するためのシステム及び方法が開示される。一実施形態では、ネットワークシステムは、第１のエンドポイント装置と通信する第１の装置と、第２のエンドポイント装置と通信する第２の装置とを含んでよい。第１の装置及び第２の装置は通信パスで接続されてよい。通信パスは、１以上の中間トンネルを含んでよい。中間トンネルは、各エンドポイント装置を１以上の中間アクセスポイントサーバと１以上の制御サーバとへ接続する。
2018507639.tif 000002
【特許請求の範囲】
【請求項１】
グローバル仮想ネットワークを介して装置を接続するネットワークシステムにおいて、
第１のエンドポイント装置と通信する第１の装置と、
第２のエンドポイント装置と通信する第２の装置と、
前記第１のエンドポイント装置と前記第２のエンドポイント装置とを接続する通信パスであって、各エンドポイント装置を１以上の中間アクセスポイントサーバと１以上の制御サーバとに接続する１以上の中間トンネルを含む、通信パスと、
を含むネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムにおいて、
前記第１のエンドポイント装置と前記中間アクセスポイントサーバとの少なくとも１つは、ドメインネームシステムルックアップを実行して、前記第２の装置を検索するように構成される、ネットワークシステム。
【請求項３】
請求項１に記載のネットワークシステムにおいて、
前記第１のエンドポイント装置と前記中間アクセスポイントサーバとの少なくとも１つは、キャッシュからドメインネームシステムルックアップを実行して、前記第２の装置を検索するように構成される、ネットワークシステム。
【請求項４】
請求項１に記載のネットワークシステムにおいて、
前記中間アクセスの少なくとも１つは、コンテンツをキャッシュするよう構成される、ネットワークシステム。
【請求項５】
請求項１に記載のネットワークシステムにおいて、
前記エンドポイント装置と前記中間アクセスポイントサーバとの少なくとも１つは、スマートルーティングを実行するよう構成される、ネットワークシステム。
【請求項６】
請求項５に記載のネットワークシステムにおいて、
前記スマートルーティングは、最善帯域幅、最低レイテンシ、最小ホップ及びパケット無損失の少なくとも１つに基づく、ネットワークシステム。
【請求項７】
請求項５に記載のネットワークシステムにおいて、
前記スマートルーティングは、リアルタイム統計及び履歴的統計の少なくとも１つに基づく、ネットワークシステム。
【請求項８】
請求項１に記載のネットワークシステムにおいて、
前記エンドポイント装置と前記中間アクセスポイントサーバとの少なくとも１つはファイアウォールサービスを実行するよう構成される、ネットワークシステム。
【請求項９】
請求項８に記載のネットワークシステムにおいて、
前記第１のエンドポイント装置は、前記第１の装置と前記中間アクセスポイントサーバとの間でファイアウォールサービスを提供する、ネットワークシステム。
【請求項１０】
請求項８に記載のネットワークシステムにおいて、
中間アクセスポイントサーバは、第１のエンドポイント装置と、他の中間アクセスポイントサーバ又は前記第２のエンドポイント装置との間でファイアウォールサービスを提供する、ネットワークシステム。
【発明の詳細な説明】
【関連出願の相互参照】
【０００１】
本願は、米国仮特許出願第62/108,987号（２０１５年１月２８日出願）、米国仮特許出願第62/144,293号（２０１５年４月７日出願）、米国仮特許出願第62/151,174号（２０１５年４月２２日出願）、米国仮特許出願第62/174,394号（２０１５年６月１１日出願）、国際出願PCT/US2015/064242号（２０１５年１２月７日出願）、米国仮特許出願第62/266,060号（２０１５年１２月１１日出願）、国際出願PCT/US2016/012178号（２０１６年１月５日出願）の優先権を主張するものであり、当該出願の開示全体をここに参照のために取り込む。米国仮特許出願第62/089,113号（２０１４年１２月８日出願）及び米国仮特許出願第62/100,406号（２０１５年１月６日出願）の開示全体をここに参照のために取り込む。
【技術分野】
【０００２】
本開示は、ネットワークに関し、特にグローバル仮想ネットワーク（GVN）の構成及び動作に関する。
【背景技術】
【０００３】
近年、ラストワンマイルでの接続性は非常に改善した一方、距離、プロトコル制限、ピアリング、妨害、他の問題及び脅威に関する事項によって、長距離コネクティビティや情報処理量（スループット）について、依然問題が存在する。GVNは、標準的なインターネット接続のオーバーザトップで、セキュアネットワークの最適化サービスをクライアントに提供する。
【０００４】
これは、GVNの構成部分や、GVN要素として機能することができる関連技術の記述の概略である。GVN要素は、GVNエコシステムとは独立して又はGVNのエコシステム内で動作する。このとき例えば、それらの要素は、それら自身の目的のため、例えばGCNフレームワークを用いる。また、それらの要素は、GVNの性能及び効率を向上するために展開可能である。
【０００５】
この概要はまた、GVNのいくつかの又は全てのコンポーネントを使用するスタンドアロンの配置として、他の技術がどのようGVNから利益を受けるかを開示し、又は、その利益を用いて、既存のGVN上の独立したメカニズムとしていずれが迅速に展開可能かを開示する。
【０００６】
人間は２００ミリ秒以上の遅延を知覚することができるる。典型的にはこれが、出来事に対する平均的な人間の反応速度である。レイテンシが大きければ、（例えばシンクライアントからクラウド上のサーバへの）オンラインシステム、顧客関係管理（ＣＲＭ）、企業資源計画（ＥＲＰ）及び他のシステムは不十分にしか機能せず、タイムアウトにより機能を停止するおそれがある。パケット損失が大きいハイレイテンシは、接続を使用不可能にする。仮にデータが通過しても、特定のポイントでの甚大な遅延は、乏しいユーザエクスペリエンス（ＵＸ）をもたらす。この場合、結果として、ユーザはその状況を受け入れることを拒絶し、実際には、乏しい伝送サービスは使えないものとなる。
【０００７】
これらの問題に対処するために、様々な技術が発展している。そのような技術の１つはＷＡＮ最適化であり、典型的にはローカルエリアネットワーク（ＬＡＮ）の端のハードウェア（ＨＷ）装置を伴う。これは、他のＬＡＮの端にある他のＷＡＮ最適化ＨＷ装置へのトンネルを構築し、それらの間でワイドエリアネットワーク（ＷＡＮ）を形成する。この技術は、２つの装置が互いに接続する、安定的な接続状態を想定する。ＷＡＮオプティマイザは、データフローを圧縮及び安全化するよう試み、これによりしばしば速度は増加する。ＷＡＮ最適化を採用する商用ドライバは、送信されるデータボリュームを節約し、データ送信のコストを低減するよう試みる。これの不利な点は、それがしばしばポイントツーポイントであることと、２つの装置間のインターネット接続が良くないときに苦労することである。その理由は、それらの間のインターネットを通るトラフィックフローのパスに対する制御がほぼないからである。これに対処するために、WANオプティマイザのユーザはしばしば、MPLS若しくはDDN線又は他の専用回路上でWANを稼働することを選択する。これにより費用が増加し、通常は、再び、ポイントツーポイント接続が硬直し不安定になる。
【０００８】
本願の記載時点のマーケットにおいて、ベンダグループはハードウェアを販売することに焦点をあてるが、そのハードウェア装置間のインターネット上の接続サービスには焦点をあてない。他のグループのベンダはサービスプロバイダであり、簡易なエンドポイント装置又はソフトウェアを提供可能である。そのソフトウェアは、顧客によって顧客自身の装置にインストールされ、サービスプロバイダのクラウドサーバに接続する。それは、彼らがまとめて提供するサービスへのリンクとしてのものだが、彼らは主として、サービス提供に焦点をあてている。
【０００９】
直接リンク（例えばMPLS、DDN、専用回路又は他のタイプの固定的なポイントツーポイント接続）は、接続品質及びサービス品質（Ｑｏｓ：Quality of Service）の保証を提供する。それらは高価で、しばしば、インストールに非常に長い時間を要する。その理由は、接続の両端のPOPからラインを物理的に引く必要があるからである。ポイントツーポイントのトポロジは、１つのLAN内から他のLANのリソースへと、この直接接続ＷＡＮを介して接続するときには、良好に機能する。しかし、一般のインターネットへのゲートウェイ（GW）が一端のＬＡＮ（例えば企業の本社）に位置するとき、支社のある国のリモートLANからのトラフィックは、GWを通してインターネットへとルーティングされる。トラフィックがインターネットを介して、その支社と同じ国にあるサーバに流れ戻るとき、速度が落ちる。トラフィックは、LANからWANを介し、GWが位置するLANへと向かい、次いでインターネットを介して元の国のサーバへと戻らなくてならず、次いで、インターネットを通してGWへ戻り、専用線からLAN内のクライアント装置へと戻らなくてはならない。本質的には、この近くのサイトにアクセスするためのわずかなグローバルレイテンシのグローバルトランジット時間の２倍又は３倍（又はそれより悪い）がかかる。これを克服するために、適切な構成変更及び追加装置を有する他のインターネット線の代替接続性により、そのようなシステムの両端で、インターネットへのローカルなトラフィックが提供される。
【００１０】
一方のLANから他方のLANへのWANリンクを作成する他の選択肢は、トンネル（例えばIPSec又は２つのルータ、ファイアウォール、又は同様のエンド装置間の他のプロトコルトンネル）を構築することを伴う。これらは通常暗号化され、圧縮及び他のロジックを提供して、接続性を向上するよう試みる。２つのポイント間のルート上では、ほとんど制御を行うことができない。この理由は、それらがインターネット上の様々な中間参加者のポリシーに依存するからである。それら参加者は、ネットワーク及びピア上を介して、他のキャリア及び／又はネットワークオペレータへトラフィックを伝送する。ファイアウォール及びルータ、スイッチ及び多くの機器ベンダからの他の装置は、それらファームウェアへと構築されたトンネリングオプションを有する。
【００１１】
ソフトウェア（SW）上の仮想プライベートネットワーク（VPN）は、クライアント装置とＶＰＮサーバとの間のトンネルを介して、プライバシーを提供する。これらは暗号化の利点を有し、いくつかの場合には圧縮の利点をも有する。しかし、ここで再び、ＶＰＮクライアントとＶＰＮサーバとの間のトラフィックがどのように流れるかについて、制御をほぼ行うことができない。ＶＰＮサーバとホストサーバとの間や、ホストクライアントと宛先にある他の装置との間も同様である。これらはポイントツーポイントの接続であり、ＶＰＮ及びいくつかの技術を用いて装置毎にクライアントソフトウェアをインストールし、各装置の接続を維持する必要がある。VPNサーバの出口ポイントが通信パスを介して宛先ホストサーバ又はホストクライアントのすぐそばにある場合、性能は良い。そうでなければ、有用性の観点から、性能上の欠陥や不満が顕著であろう。しばしばVPNユーザにとって、１つのＶＰＮサーバから切断して、他のＶＰＮサーバに再接続することが必要である。これにより、１つの地域からコンテンツへのローカルアクセスは、他の地域からそのコンテンツへのローカルアクセスに比べて良質である。
【００１２】
グローバル仮想ネットワーク（GVN）は、インターネットのオーバーザトップのコンピュータネットワークのタイプであり、世界中に分散した装置網を使用して、グローバルセキュアネットワークの最適化サービスを提供する。当該装置は、アプリケーションプログラムインタフェース（API）、データベース（DB）複製及び他の手法を介して、アドバンストトンネル、協働、及び通信互いにセキュアにリンクされる。グローバル仮想ネットワーク（GVN）におけるトラフィックルーティングは常に、アドバンストスマートルーティング（ＡＳＲ）によって管理される最善の通信パスを介する。そのＡＳＲは、ビルダ、マネージャ、テスタ、アルゴリズム解析及び他の方法を組合せた自動システムによって強化され、経時変化する状況及び学習内容に適合し、システムを構成及び再構成する。
【００１３】
GVNは、１以上の通常のインターネット接続のオーバーザトップで、安全、信頼、迅速、安定、正確及び集中的な同時接続性を与えるサービスを提供する。これらの利益は、ラッピング、カムフラージュ又は暗号化されたトンネルによる複数の接続を通過するデータフローを圧縮することによって達成される。そのトンネルは、ＥＰＤとＥＰＤの近傍にあるアクセスポイントサーバ（SRV_AP）との間のものである。EPDとSRV_APとの間の接続品質は、継続的に監視される。
【００１４】
GVNは、ハードウェア（HW）エンドポイント装置（EPD）と、インストールされたソフトウェア（SW）、データベース（DB）及びGVNシステムの自動モジュールとの組合せである。当該自動化モジュールは例えば、ニュートラルなアプリケーションプログラミングインタフェースメカニズム（NAPIM）、バックチャネルマネージャ、トンネルマネージャ、及び他の特徴等である。他の特徴は、EPDを、分散インフラストラクチャ装置（例えばGVN内のアクセスポイントサーバ（SRV_AP）及び中央サーバ（SRV_CNTRL））へ接続させるものである。
【００１５】
アルゴリズムは現在のネットワーク状態を断続的に分析し、傾向や長期にわたる過去の性能を考慮することで、トラフィックが通るべき最善のルートを判定する。またアルゴリズムは、トラフィックをプッシュして通すものとしてどれが最善のSRV_AP又は一連のSRV_APサーバであるかを判定する。コンフィグレーション（構成）、通信パス及び他の変更は、自動的に実行される。実行中は、最小限のユーザインタラクション又は干渉が要求され、又は、何らのユーザインタラクション又は干渉も要求されない。
【００１６】
EPD及びSRV_APにおけるアドバンストスマートルーティングは、できるだけ簡素に言うところのGVNの「第３層」を通って、最も理想的なパスを経由して発信元から宛先へとトラフィックが流れることを確実にする。この第３層は、GVNに接続されたクライアント装置によって、通常のインターネットパスとして視認される。しかしそこでは、ホップ数は少なく、安全性は高く、且つほとんどの場合、同一の宛先へと通常のインターネットを介して流れるトラフィックよりも、レイテンシが低い。ロジック及び自動化は、GVNの「第２層」で動作し、ここではGVNのソフトウェアは、基礎的なルーティング並びに仮想インタフェース（VIF）及び複数トンネルの構築、通信パスの結合を、自動的に監視及び制御する。GVNの第３及び第２層は、GVNにおける動作的な「第１層」の上位に存在する。第１層は、下位のインターネットネットワークの装置と相互に通信する。
【発明の概要】
【００１７】
仮想グローバルネットワークを介して装置を接続するためのシステム及び方法が開示される。ネットワークシステムは、第１のエンドポイント装置と通信する第１の装置を含んでよい。ネットワークシステムは、第２のエンドポイント装置と通信する第２の装置を含んでよい。第１の装置及び第２の装置は通信パスで接続されてよい。通信パスは、１以上の中間トンネルを含んでよい。中間トンネルは、各エンドポイント装置を１以上の中間アクセスポイントサーバと１以上の制御サーバとへ接続する。
【００１８】
本実施形態の他の態様によれば、第１のエンドポイント装置及び中間アクセスポイントサーバの少なくとも１つは、ドメインネームシステム（DNS）ルックアップを実行して、第２の装置を検索するように構成される。
【００１９】
本実施形態の他の態様によれば、第１のエンドポイント装置及び中間アクセスポイントサーバの少なくとも１つは、キャッシュからドメインネームシステム（DNS）ルックアップを実行して、第２の装置を検索するように構成される。
【００２０】
本実施形態の他の態様によれば、中間アクセスポイントサーバの少なくとも１つはコンテンツをキャッシュするよう構成される。
【００２１】
本実施形態の他の態様によれば、エンドポイント装置と中間アクセスポイントサーバとの少なくとも１つは、グローバル仮想ネットワークに基づいてスマートルーティングを実行するよう構成される。
【００２２】
本実施形態の他の態様によれば、スマートルーティングは最善帯域幅、最低レイテンシ、最小ホップ及びパケット無損失の少なくとも１つに基づく。
【００２３】
本実施形態の他の態様によれば、スマートルーティングはリアルタイム統計及び履歴的統計の少なくとも１つに基づく。
【００２４】
本実施形態の他の態様によれば、エンドポイント装置と中間アクセスポイントサーバとの少なくとも１つは、ファイアウォールサービスを実行するよう構成される。
【００２５】
本実施形態の他の態様によれば、ファイアウォールサービスは、第１の装置と中間アクセスポイントサーバとの間にある。
【００２６】
本実施形態の他の態様によれば、ファイアウォールサービスは、第１の装置と中間アクセスポイントサーバと第２のエンドポイント装置との間にある。
【図面の簡単な説明】
【００２７】
本開示の一層の理解を支援にするために、添付する図面が参照される。ここでは、類似の要素は類似の番号又は参照符号により示される。これらの図面は、本開示を限定するものとして解釈してはならない。当該図面は例示のみを意図したものである。
【図１】グローバル仮想ネットワーク（「GVN」）によって使用され可能にされる技術のブロック図である。
【図２】インターネットのハイレベルなブロック図である。
【図３】ドメインネームシステム（DNS）を介した数値的なインターネットプロコトル（IP）アドレスに対するユニバーサルリソースロケータ（URL）解決を示すブロック図である。
【図４】ホストクライアント装置（C##）から他のホストクライアント又はホストサーバ装置（S##）へデータが通る、アップストリームパス及びダウンストリームパスを簡易的に示す図である。
【図５】ホストクライアント装置（C##）から他のホストクライアント又はホストサーバ装置（S##）へデータが通るパスにおける境界スイッチを簡易的に示す図である。
【図６】インターネット上に存在する脅威及び問題のいくつかの例を示す図である。
【図７】コンテンツデリバリネットワーク（CDN）解決及び地域に特化したコンテンツデリバリを示す図である。
【図８】プロキシサーバの動作を示す図である。
【図９】２つのゲートウェイ装置間で構築されるポイントツーポイントトンネルを示す図である。
【図１０】装置スコープ、システム全体スコープ、通信スコープ及び装置協働の間での安全面での関係を示す図である。
【図１１】グローバル仮想ネットワークの装置間の情報フローを示す図である。
【図１２】GVNにおけるいくつかの装置の自動化を支援するスタックを示す図である。
【図１３】インターネット又はダークファイバ上のバックボーンセグメントを含むGVNトポロジを示す図である。
【図１４】GVNによって可能になるクラウドにおける、分散ファイアウォール（FW）を示す図である。
【図１５】グローバル仮想ネットワークによって強化されたクラウドにおける、複数周縁ファイアウォール（MPFW）を示す図である。
【図１６】グローバル仮想ネットワーク（GVN）の一部として協働する３つのタイプのネットワーク装置のソフトウェアアーキテクチャの論理図である。
【図１７】バックボーン及び八角形ルーティングを有するハブアンドスポークのトポロジを用いたGVNを示す図である。
【図１８】北米、欧州及びアジアにおける幾つかのGVNグローバルノードとそれらの対応サービスエリアとの間のバックボーン接続を示す。
【図１９】GVN内の様々の装置間の接続を示す図である。
【図２０】GVNモジュールと装置とがどのように相互作用するかを示す図である。
【図２１】GVNモジュールと装置とがどのように相互作用するかの追加の詳細を示す図である。
【図２２】GVNモジュールと装置とがどのようにインターネット上の他の装置と相互作用するかを示す図である。
【図２３】エンドポイント装置（EPD）とアクセスポイントサーバ（SRV_AP）との間の複数トンネル接続を示す図である。
【図２４】インターネットが今日どのように動作するかの簡易的な例を示す図である。ここでは、ホップ数又は有効時間（TTL）や、ピアリング関係及び関連ルーティングポリシーにより採用されるパスが考慮される。
【図２５】性能を向上するためのインフラストラクチャの戦略的配置を示す図である。
【図２６】GVNが技術（例えばNetwork Slingshot）をどのように組み入れることができるかを示す図である。
【図２７】様々なGVN装置のデータベース上のテーブルがどのように互いに関連するかを示す図である。
【図２８】様々なモジュール、メカニズム、技術及びGVN内の他のコンポーネントの間での協働を示す図である。
【図２９】GVNのアドバンストスマートルーティング（ASR）の特徴を示す図である。
【図３０】クライアント（C）とサーバ（S）との間の一連の暗号化トンネルの構築を示す図である。
【図３１】ピアペアにおける２つのピアによって要求される情報のフローを示す図である。
【図３２】GVNトンネルの中立性及びセキュリティに関するGVNの第３層を示す図である。
【図３３】GVNトンネルの中立性及びセキュリティに関するGVNの第３層を示す図である。
【図３４】GVNトンネルの中立性及びセキュリティに関するGVNの第３層を示す図である。
【図３５】GVNトンネルの中立性及びセキュリティに関するGVNの第３層を示す図である。
【図３６】様々なネットワーク構造をネットワークタペストリへと共に組み合わせることを示す図である。
【図３７】自動化された装置協働に関して、GVN内の通信パスを示す図である。
【図３８】動的なトンネル構築についての問題及び難題を示す図である。
【図３９】２つのLANを２以上のEPDを介してワイドエリアネットワーク（WAN）へとブリッジングすることを示す図である。
【図４０】GVN上で動作する複数周縁ファイアウォールメカニズム（MPFWM）を示す図である。
【図４１】インターネットのオーバーザトップ（OTT）で構築されるGVNスタックを示す図である。
【図４２】インターネットプロトコルIPスタック、OSIモデル及びGVNネットワークスタックを比較する図である。
【図４３】多くの可能なルートを介した国家間のグローバルなインターネットフローを示す図である。
【図４４】インターネットプロトコルIPスタック、OSIモデル及びGVNネットワークスタックを比較する図である。
【図４５】GVNを介した２つのLANの間のトンネルを示す図である。
【図４６】GVN層１、層２、層３の動作を示す図である。
【図４７】アドバンストスマートルーティング（ASR）の特徴と、エンドポイント装置（EPD）内のGVNの地理的宛先メカニズムの要素とを示す図である。
【図４８】トラフィックがGVNを介して通る、様々な同時的パスの一例を示す図である。
【図４９】１つの装置から第２の装置への自動アドバンストスマートルーティング（ASR）を示す図である。
【図５０】BB／周縁下バックボーン層と、IP／周縁上インターネット層とを示す図である。
【図５１】グローバル仮想ネットワーク（GVN）内のアドバンストスマートルーティング（ASR）のフローチャートを示す図である。
【図５２】発信元から宛先へGVNを介して利用可能な様々なルートのフローチャートを示す図である。
【図５３】開始装置から終了装置へのトラフィックルーティングの選択を管理するアルゴリズムのフローチャートを示す図である。
【図５４】GVNにおける自動装置協働と情報交換とに必要とされるモジュールを示す図である。
【図５５】EPD、SRV_CNTRL及びSRV_AP間の、GVNのニュートラルなＡＰＩメカニズム（NAPEVI）を介した通信を示す図である。
【図５６】GVN装置間でNAPIMを介して利用可能な、様々なタイプの通信を示す図である。
【図５７】グローバル仮想ネットワーク（GVN）内の異なるタイプの装置間でのAPIコールグループを示す図である。
【図５８】クライアント上での開始から、サーバ装置への送信を介して、クライアントへの返信までのＡＰＩコールで採用されるステップを示す図である。
【図５９】地理的宛先機能を達成するための、EPDとSRV_APとの間のインタラクションを概略的に示す図である。
【図６０】地理的宛先内での装置協働を示す図である。
【図６１】グローバルに分散された並行ファイルシステム（PFS）がGVN内でどのように動作するかを示す図である。
【発明を実施するための形態】
【００２８】
図１は、グローバル仮想ネットワーク（「GVN」）によって使用され可能にされる技術のブロック図である。この図は、GVNコア要素G0、GVNモジュールG100及びグローバル仮想ネットワークGVNによって可能となる技術G200を含む。GVNコアは、メカニズムG1、その構成コンポーネント部分であるトポロジG2、構成G3、ロジックG4、及び制御G5の層を含む。GVNコアG0はまた、GVN要素G6に対する関係を有する。
【００２９】
GVNは、プラグイン及び／又はスタンドアロンのGVNモジュールG100を含むことができる。GVNモジュールG100は、ニュートラルなAPIメカニズム（「NAPIM」）G102（PCT/US16/12178に記載）、地理的宛先（「Geo-D」）G104（PCT/US15/64242に記載）、アドバンストスマートルーティング（「ASR」）G106、接続G108、及び他のモジュールG110（米国仮特許出願US62/151,174に記載）を含むが、これらに限られない。
【００３０】
GVNはまたプラットフォームを提供し、他の技術を含むことができる。他の技術は、ネットワークタペストリG202、MPFWMG204、ネットワークスリングショットG206、ネットワークビーコンG208、ティックのグラニュラリティG210及び他の技術G212を含むが、これらに限られない。これらは、米国仮特許出願第62/174,394号と、米国仮特許出願第62/266,060号に記載される。
【００３１】
GVNによって可能になるGVNモジュール（G100）及び技術（G200）は、既存のGVNの上位で、GVNの一部のコンポーネントとして動作可能であり、又は、独立してGVNの全ての又はいくつかの隔離された部分を用いて自身のスタンドアロン動作を支援可能である。
【００３２】
図２は、インターネットのハイレベルなブロック図である。平均的なユーザは、インターネットがどのように機能するかにつき、非常に大雑把で概略的な理解しか有さない。ホストソース2100は開始点であり、クライアント装置を示す。クライアント装置は、コンピュータ、携帯電話、タブレット、ラップトップコンピュータ又は他のクライアントであってよい。このクライアントは、インターネット2200を介してホストサーバ2300へ接続して、コンテンツを送信又は検索する。又はこのクライアントは、他のホストクライアント2303に接続して情報を送信又は検索する。
【００３３】
技術力をほぼ有さないユーザは、ホストサーバへのトラフィックにつき、そのデータがインターネットを通過することを理解せずに、パス2P002を通ると考えることがある。又は、彼らは、トラフィックはパス2P006を介して他のクライアント装置へ直接流れると考えるかもしれない。
【００３４】
それがどのように動作するかにつき何らかの理解を有するユーザは、トラフィックはパス2P004を介してインターネット2200へ流れ、次いでパス2P102を介してホストサーバターゲット2300へ流れると理解し、又は、パス2P104を介してホスト（クライアント）ターゲット2302へ流れると理解するであろう。
【００３５】
技術的な知識をより有するユーザは、更に、Ｅメールを送信するとき、そのEメールがクライアント装置2100を離れ、パス2P004を通過してインターネット2200に達し、次いでパス2P202を介してメールサーバ2202に達すると理解する。Ｅメールの受信者は、ホストクライアント2302を介してパス2P104に沿ってインターネットへと、次いでパス2P204を下ってメールサーバ2202に対し、Ｅメールを検索するリクエストを生成する。
【００３６】
インターネットに対する平均的な理解は、この程度のものである。
【００３７】
図３は、ドメインネームシステム（DNS）を介した数値的なインターネットプロコトル（IP）アドレスに対するユニバーサルリソースロケータ（URL）解決を示すブロック図である。
【００３８】
ホストクライアント（Ｃ）3100からホストサーバ（Ｓ）3300に対するコンテンツリクエスト3000又はプッシュは、ファイル、ストリーム又はデータブロックとして、ホストクライアント（Ｃ）3100からホストサーバ（Ｓ）3300へ流れる。ホストSからホストCへと、ファイル、ストリーム又はデータブロックとしてレスポンス又はコンテンツ伝送3002が返される。ホストサーバ（S）とクライアントサーバ（CS）関係にあるホストクライアント装置3100は、リモートホストサーバ（S）からコンテンツにアクセスするリクエストを生成し、又は、リモートホストサーバ（S）へ、ユニバーサルリソースロケータ（URL）又は他のネットワークに到達可能なアドレスを介して、データを送信する。
【００３９】
ホストクライアント（C）3100からインターネット3206への最初の接続は、3P02として図示される。これは、ホストクライアント（C）から（直接対向可能な）存在点（POP）3102への接続である。他の場合、ホストクライアント（C）は、ローカルエリアネットワーク（LAN）に配置され、次いで存在点（POP）を介してインターネットに接続し、ラストワンマイル接続として参照可能である。存在点（POP）3102は、インターネットサービスプロバイダ（ISP）によって、エンドポイントからネットワーク及びその相互接続子を介してインターネットへ提供される接続を示す。これは、ケーブル、ファイバ、DSL、イーサネット、衛星、ダイヤルアップ及び他の接続方法であってよいがこれらに限られない。URLが数値的なアドレスではなくドメインネームのとき、このURLはドメインネームシステム（DNS）サーバ3104に送信され、そこでドメインネームはIPv4、IPv6、又はルーティング目的の他のアドレスへ解釈される。
【００４０】
ホストクライアント（C）3100からホストサーバ（S）3300へのトラフィックは、（POP3102と3302との間の遷移を示す）インターネット3206を介してルーティングされる。当該変遷は、ピアリング、バックホール又はネットワーク境界の他の遷移を含む。
【００４１】
POP3102とドメインネームシステム3104との間の接続3P04は、ユニバーサルリソースロケータ（URL）から数値アドレスをルックアップし、ターゲットサーバ（S）のIPv4アドレス又は他の数値アドレスを取得するために用いられる。当該接続3P04は、POPから直接的に、又はインターネット3206を介してアクセス可能である。ISPのPOP3102からインターネット3206への接続3P06は、シングルホーム又はマルチホームであってよい。同様に、インターネット3206からリモートISPへの接続3P08は、シングルホーム又はマルチホームであってよい。この接続は一般に、ISPの又はインターネットデータセンタ（IDC）の、インターネットに面したPOP3302に対するものである。リモートISPのPOP3302からホストサーバ（S）への接続3P10は、直接的であってよいし、複数ホップを介してよい。
【００４２】
URL又はホスト名から数値アドレスへの、ドメインネームシステムを介したルックアップは、今日のインターネット上では標準的である。システムは、DNSサーバが必須であることや、DNSサーバでの結果は最新のものであり信頼できることを想定する。
【００４３】
図４は、ホストクライアント装置（C##）から他のホストクライアント又はホストサーバ装置（S##）へデータが通る、アップストリームパス及びダウンストリームパスを簡易的に示す図である。装置の符号（C01又はS08等）で使用される番号は、個別の装置の場所を示すラベリング目的で使用される。番号自体は、１つの装置が他の装置より大きいことや、より強力であることを意味しないし示唆もしない。
【００４４】
図４は、ホストクライアント装置（C##）、ホストサーバ装置（S##）、スイッチ（SW##）、ルータ（R##）、地域ルータ（RR##)）、エッジルータ（C##）、コアルータ（CR##）を示す。通信パス又はパイプ（P##）は、２つの装置間の通信を示す。ラインの厚さはパイプのサイズ又は帯域幅容量を示す。ラインが細いほど、メガビット／秒（Mbps）は小さい。ラインが太いほど、Mbps又はギガビット／秒（Gbps）の量は多い。P##の長さは実際の縮尺と関係ない。ホップカウント又は有効時間（TTL）、レイテンシ又はラウンドトリップタイム（RTT）は、装置間のP##を示す際に考慮されていない。
【００４５】
簡易ローカルエリアネットワーク（LAN）は、スイッチ（SW）SW01から下流にある。それは、クライアント装置C01及びC04への有線接続P01及びP04で構成される。無線接続は、無線ハブWLAN01と無線クライアント装置C02及びC03との間の破線P02及びP03で示される。
【００４６】
LANと、インターネットサービスプロバイダ（ISP）の存在点（POP）R01との間の接続P05はまた、ラストワンマイルとして参照されてよい。このPOPR01はハブであり、他のスポークP06、P07、P08及びP09を、クライアントの対応スイッチ（例えばSW02、SW03、SW04及びSW05）へ接続する。地域ルータ（RR）RR02へのアップストリームパスP16が存在する。
【００４７】
このハブアンドスポークトポロジは、POPR02、R03及びR04や、対応スイッチ（例えばSW06、SW07、SW08、SW09、SW10、SW11、SW12、SW13、SW14、SW15、SW16、SW17、SW18、SW19及びSW20）へのスポーク接続（例えばP10、Pll、P12、P13、P14、P15、P51、P52、P53、P54、P55、P56、P57、P58及びP86）や、その地域ルータ（例えばRR02、RR03、RR04及びRR05）への接続（例えばP17、P18、P46及びP28）についても示される。
【００４８】
地域ルータRR02からエッジルータER02への更なるアップストリーム接続P19は、ISPネットワークのエッジルータへの接続を示す。エッジルータER02は、コアルータCR03へのリンクP20を有する。これは、インターネットのバックボーンとみなされる。CR01とCR02との間のリンクP32は、非常に大きなタイプのバックボーンを記載する。これは、バックホールネットワークと称される。様々な国を接続するときは、ネットワークは国際バックホールネットワークと称されてよい。
【００４９】
POPR01及びR02は、共に地域ルータRR02へ接続される。このことは、これら２つのPOPが同一ISPのネットワーク内に位置することを示してよいが、これに限られない。
【００５０】
ルータR01のネットワーク内の装置とルータR04のネットワーク内の装置との間の接続については、トラフィックは多くの可能なパス（例えばP16->P19->P20->P30->P31->P24->P27->P28）の１つをたどってよい。これは、２以上の異なるISPのネットワーク間の接続ピアリングを開示し、トラフィックが通過するインフラストラクチャの所有者に応じて、中間にある潜在的な他のキャリアピアを開示する。バックボーンを通過するトラフィックは潜在的に最大の容量を有するパイプによって伝達される。ルータR01とR04との間のトラフィックは、パスP16->P41->P44->P23->P27->P28を経由して流れてよい。パスは短く見えるが、この第２のパスは、パイプのサイズ、中間装置、ピアリング関係及び（２つの他のISP間のトラフィックを伝達するためのエッジルータER03を制御する）中間ISPのポリシーのために、最も非効率である。それらの間にネックが存在してよい。
【００５１】
他の特徴は、ホストサーバS08からS12の接続にあり、これらはスイッチSW13に接続される。これは、インターネットデータセンタ（IDC）内又はLAN内であってよい。スイッチSW13は、P53を介してルータR03に接続し、P46を介して地域ルータRR04にも接続する。この接続P46は、接続性向上のために、専用回線又は直接デジタル接続であってよい。
【００５２】
この図に示される他の特徴は、P32はパスとして最も上流であり、個別のホスト装置はパスの最も下流にある。コアルータCR04、CR06及びCR07から下流は、地域ルータRR##に接続されるエッジルータER##である。地域ルータRR##はPOP内に配置されるルータR##に接続される。
【００５３】
本開示で記載されていない可能性が存在してよい。実際、各ルータR##は、スイッチSW##に対して、より多くのスポークを有する。また、装置間に広範囲により多くのパイプP##が存在する。同等の地域ルータR##又はエッジルータER##装置の層、又は他のものが、順に、より多く存在してよい。
【００５４】
図５は、ホストクライアント装置（C##）から他のホストクライアント又はホストサーバ装置（S##）へデータが通るパスにおける境界スイッチを簡易的に示す図である。これは、１つの例外を除き、図４と非常に類似する。コアルータCR01及びCR02の間のバックボーン上で、それらの間のピアリングパス上のいくつかの点で、一連の境界スイッチ400が存在する。そのそれぞれがバックボーン全体に関して、限定的な容量を有する。それらのスイッチを通して混雑が発生し得る。
【００５５】
図６は、インターネット上に存在する脅威及び問題のいくつかの例を示す図である。ネットワークパスは簡素化される。エンドポイント装置（EPD）からの脅威及び中間装置からの他の脅威に着目して接続の外観が記載される。
【００５６】
ホストサーバ装置207からコンテンツを検索するための、ホストクライアント装置C002からのリクエストは、P109->PI05->PI03->PI02->P101をたどるべきであり、インターネット101を通過して、CP01->CP02->P205->P207とたどる。適法なインターネットデータセンタ（IDC）には、ロードバランサ（負荷分散装置）が存在してよい。これは、トラフィックを健全なホストサーバ207へ（P207を介して）又は、感染したホストサーバ206へ（P206を介して）トラフィックを送信する。感染したホストサーバは、マルウェア、ウィルス又は他の悪意のコンテンツをクライアント装置C002へ送信する。
【００５７】
他の脅威は、なりすましたホストサーバ114への、適法なトラフィックのリダイレクトである。上述したようにトラフィックは、C02と207との間のパスをたどるべきである。しかし、なりすましたサーバは適法なトラフィックをそらす。トラフィックは依然としてパス（P109->P105->P103->P102->P101）をたどり、インターネット101を通過する。しかし、適法なサーバへの途中でCP01を通過する代わりに、トラフィックはP113及びP114を介して通過し、なりすましサーバ114へ送信される。
【００５８】
なりすましサーバは、インターネットユーザに対して本当のサーバのようにみせかけることによって、機密情報、資格情報又は他のデータをフィッシングするよう構成される。平均的なユーザは、正当なサーバとなりすましサーバとの区別がつかないおそれがある。なりすましサーバは第三者によって使用され、空のトラフィック又は変更されたコンテンツを返信することで、クライアントへの正当なトラフィック伝送を阻害する。
【００５９】
公共のドメインネームシステム（DNS）サーバは、インターネット上で利用可能であり、クライアント装置によってクエリされてユニフォームリソースロケータ（URL）を数値的なIPアドレスへと解釈する。例えばドメインネームwww.thisdomain.comはIPv4又はIPv6アドレスへ解釈される。これによって、ホストクライアント装置からのトラフィックは、ホストサーバ装置へのルートを発見することができる。
【００６０】
もしDNSサーバ（例えば212、116）が、感染した112又はなりすまし114であれば、解釈された数値的なIPアドレスは不正確に導かれるトラフィックであり、不当な又は誤った宛先装置へ向かう。DNSがインターネット上で改悪される他の例としては、装置を不正確に動作させて、結果を伝送しないか又は不正確な結果を伝送することである。マスターDNSレジストリサーバからDNSサーバへ変更を伝達するには、明確で正しい接続を必要とする。さもなければ有効でインデックスされた結果は、古く不正確なものになり得る。DNSルックアップを保護し安全化する一例は、セキュアDNS（DNSSEC）サーバ110とP19を介するその接続である。これは、クライアント装置がDNSサーバ110へ接続可能であることと、それらのハンドシェイクが干渉されないこととに依存する。
【００６１】
仮にホストクライアントとホストサーバ装置とが正しく動作しても、インターネットが暗号化されていなければ、ホストサーバ（例えばメールサーバ203）への通信パス内の中間点に挿入されたスニッファ又は傍受装置204が、データを傍受し捕捉し得る。メールサーバ203へのトラフィックは、インターネット201からP202、POP202、P203を介してメールサーバ203へ流れる。スニッファ又は傍受装置204は、P204を介して204を通ってP222へとトラフィックをプルする。ユーザが通信パス内のホップのIPアドレスを、インターネットのインフラストラクチャの一部としての他のルータではなく、不法な装置に属しているものとして特定的に識別できない限り、この類の干渉を検出することは非常に難しい。
【００６２】
感染装置213、215及び216のグループを含むボットネットからの高まる脅威は、コマンド及び制御（C&C）サーバ（例えば214）によって制御される。これらの装置は、調和して動作し、バルク攻撃（例えば分散サービス拒否攻撃（DDoS）等）を実行する。ここでは、ホストサーバ装置は、容量を超える非常に多くのリクエストによって圧倒され、正当なホストクライアント装置からのリクエストを切断する。ホストサーバ装置は遅延し又はそれを全く解決できなくなる。
【００６３】
ボットネットはまた、C&Cサーバの協働のもと、密かなハッキング攻撃を実行するために用いられる。これにより、辞書パスワード攻撃を試みる異なるソースIPアドレスの大部分は、完全にブロックすることが困難である。これは、同一の攻撃が単一のIPアドレスからくる場合よりも困難である。
【００６４】
ボットネットはまた、SPAMメール、フィッシングEメール、マルウェア分散及び他の悪意目的のための分散メカニズムでもある。
【００６５】
国家ファイアウォール（例えば304）は、情報の自由な流れに対する障害である。これらは、国家が望ましくないとみなすトラフィックの流れを阻止する検閲ツールとして役立つ。これはまた、産業的機密、企業的機密、又は他の機密を密かに盗取する傍受装置として役立つ。時刻、合計インターネットトラフィック及びこれらの国家ファイアウォールの健全性に応じて、それらを通過するトラフィックは、レイテンシ遅延、パケット損失を経験し、又は、ボトルネックを形成する最大帯域幅（又は上記全ての組合せや他の問題であってよい）を形成する。
【００６６】
上記の例示的実施形態は、いくつかの問題及び脅威を開示するにすぎない。より多くのものが存在し、時として新たな脅威が現れる。
【００６７】
図７は、コンテンツデリバリネットワーク（CDN）解決及び地域に特化したコンテンツデリバリを示す図である。コンテンツデリバリネットワーク（CDN）は、コンテンツをクライアントに提供するとき、速度、柔軟性、負荷分散の点で大きな利点を提供する。コンテンツリクエスト7REQ000は、ホストクライアント（C）7100からホストサーバ（S）へと流れ、コンテンツデリバリの返信7RESP002のフローは、ホストサーバ（S）からホストクライアント（C）7100へ、ファイル、ストリーム又はデータブロックとして戻る。
【００６８】
ホストクライアント（C）7100は装置（例えばラップトップ、デスクトップ、コンピュータ、電話機、タブレット又は、ホストサーバ（S）との間のクライアント−サーバ（CS）関係における他の装置）であってよい。ホストクライアント（C）は、ユニバーサルリソースロケータ（URL）を介してリモートホストサーバ（S）によって提供されるコンテンツへアクセスするリクエストを生成する。
【００６９】
POP7102、DNSサーバ7104、インターネット7300は、上述のような通常の方法で動作する。
【００７０】
CDNインフラストラクチャの場合は、CDMマップマーカ7200は、CDN制御サーバ7202と協働して動作する。CDNマップマーカ7200及びCDN制御サーバ7202は、どの地域にホストクライアント装置が位置するか、及び、コンテンツ提供のためにどのCDNサーバへホストクライアントが接続すべきかを判定する。例えば、ホストクライアント7100が地域Aにあれば、それは地域A7504内のCDNサーバへ、地域A7404内のサーバのPOPを介してルーティングされる。地域B内のホストクライアント7100は、地域B7402内のサーバのPOPを介して地域B7502内のCDNサーバに接続する。地域C内のホストクライアント7100は、地域C7400内のサーバのPOPを介して地域C7500内のCDNサーバに接続する。
【００７１】
7P00、POP7102及び7P004を介した最初のCDNマップマーカ7200のルックアップは非常に早い。あるいはもしCDNマップマーカサーバがクライアント装置から遠い地域に位置すれば、比較的長いルックアップ時間がかかる。一度ルックアップが実行されると、トラフィックは7P008を介して最も近い、及び／又は、最善に利用可能なCDNサーバへ流れる。
【００７２】
図示の目的で、地域は地理的なエリアとして定義され、他の地理的なエリアとは異なるものとする。それは必ずしも広いエリアを示す必要がないが、そうであってもよい。それはまた、１つの地域から他の地域への長い距離を示してもよいし、それらは互いに非常に近接してもよい。キーポイントは、１つの地域にあるクライアントは、CDNサーバを介してその地域からコンテンツを受信することと、他の地域から受信するのではないことである。
【００７３】
この例示的な実施形態では、各地域のコンテンツは、他の地域のコンテンツとは異なる。CDNサーバ7500、7502及び7504とオリジンサーバ7600との間には、地域コンテンツサーバ7700、7702及び7704があり、これらは、各地域のCDNサーバへ、地域的に特化したコンテンツを発行する。このコンテンツは、各地域内のクライアントに提供される。
【００７４】
１つの地域（例えば地域C）のクライアント7100が、他の地域のサーバ7502又は7504によって提供されるコンテンツを必要とするとき、それらが何を実行しようが、それらは自身の地域のサーバ7500からのみ、コンテンツの提供を受ける。仮にそれらが、コンテンツの受信先として望む地域のコンテンツサーバへ接続を試みても、それらは他のコンテンツにアクセス不可能である。それらは、選択の余地無く、それらの地域からコンテンツの提供を受け続けるだけである。ローカルDNSルックアップ7104は、それらの地域のCDNサーバ7500へのIPポインティングを解決するだけである。これは、グローバルIPアドレスが、それらの地域（グローバルIPの場合）のCDNだけへとマッピングされるからである。あるいは他の理由であってよい。結果として、クライアントは7P404又は7P402にて地理的にブロックされ得る。
【００７５】
現在の地理的位置に基づく、7P008を介した標準接続は、ブロックの対象ではない。トラフィックは流れ、ホストクライアント7100はホストサーバ7500を介してその地理的位置についてのコンテンツを受信する。
【００７６】
現在の地理的位置7502及び7504と異なるターゲットについては、トラフィックは7P402及び／又は7P408で停止され、ホストクライアントはリモートの地理的宛先からのコンテンツを受けられない。それらは、現在の位置7500内のサーバに接続するように強制され、又は、CDN制御システム7202の構成又はポリシーに応じて、何も受信できないか、エラーメッセージ又は望まないコンテンツを受信する。
【００７７】
図８は、プロキシサーバの動作を示す図である。ホストクライアント（C）からホストサーバ（S）へのコンテンツリクエスト又はプッシュ8REQ000は、ファイル、ストリーム又はデータブロックとして流れる。ホスト（S）からホスト（C）へと、ファイル、ストリーム又はデータブロックとしてレコンテンツデリバリ8RESP002が返される。ホストサーバ8500とクライアントサーバ（CS）関係にあるホストクライアント8100は、ユニバーサルリソールロケータ（URL）を介して、リモートホストサーバ（S）からコンテンツにアクセスするリクエストを生成する。このリクエストは、プロキシクライアントソフトウェアを実行するゲートウェイ（GW）装置8102を介してなされる。他の場合、プロキシクライアントソフトウェアは、ホストクライアント8100上で直接実行可能である。プロキシクライアントソフトウェアは、暗号化状態又は非暗号化状態で、ゲートウェイGWから存在点（POP）へのパス8P02と、WAN8308（インターネットの一部）へのパス8P04と、プロキシサーバ8306へのパス8P6とを介して、リモート地域にあるプロキシサーバ8306へ接続する。トラフィックはプロキシサーバ8306からパス8P16を介してオープンなインターネット8300へと出て、また、POP8302へのパス8P12と、パス8P10とを介してホストサーバ8500へ接続する。
【００７８】
ホストサーバはトラフィックを、プロキシサーバのIPアドレス及び地理的位置から来るものとして見る。このIPがターゲット地域におけるサーバによって定義されるものと同一の地域にあれば、所望のコンテンツが提供される。このローカリゼーションを促進するために、プロキシサーバは通常、プロキシサーバが位置するのと同一の地域にあるDNSサーバ8404へ接続する。
【００７９】
図９は、２つのゲートウェイ装置9A1と9A2との間で構築されるポイントツーポイントトンネルTUNを示す図である。各装置9A1と9B1とは、端9EDGE-1及び9EDGE-2にあり、それらの端は、インターネットEH3からEH15までと、それらに対応するローカルエリアネットワーク（LAN）9A2と9B2との間にある。
【００８０】
EH1からEH17までの基準線は、点から点へのホップの数を記述する。EH3からEH15までのホップの数は仮定のものであり、図示の目的で提供される。ホップ数は、現実世界の接続パスにおいて、それより多くても少なくてもよい。9A2から、9A1、9TUN、9B1及び9B2までのトンネル9TUNをクライアントが用いるときのホップ数は約４又は５であり、視認可能である。
【００８１】
この例示的実施形態は、LAN9A2がそれらのゲートウェイ9A1を介して１つのインターネットサービスプロバイダ9ISP-1のネットワークへ接続するときと、LAN9B2がそれらのゲートウェイ9B1を介して他のインターネットサービスプロバイダ9ISP-3のネットワークへ接続するときの概要を開示する。この例示的実施形態は更に、9ISP-1が9ISP-3と直接ピアリングしないことを示す。9ISP-1と9ISP-3の両方は、ネットワークトラフィックが、双方向に、他のインターネットサービスプロバイダ9ISP-2のネットワークを通過しなければならないという条件を有する。9ISP-1と9ISP-2との間の相互接続は、ピアリングポイント9PP-01として定義され、9ISP-3から9ISP-2については、9PP-02として定義される。
【００８２】
この例示的実施形態のポイントは、第三者インターネットサービスプロバイダ又は同等の者（例えばバックボーン又はバックホールプロバイダ）にとって、インターネットを通して、他のインターネットサービスプロバイダのトラフィックを伝送することは一般的であるということである。9ISP-2がそのトラフィックをどのように伝送するかについては、9ISP-1又は9ISP-3によってほぼ制御不可能である。9ISP-1の顧客9A2は、サービス問題についてプロバイダ9ISP-1に直接苦情を伝えることができ、9B2は直接9ISP-3に苦情を伝えることができる。もし問題が9ISP-2に関する場合、9A2又は9B2が直接的に9ISP-2に影響を与えることはほとんどない。
【００８３】
任意の装置上で潜在的な混雑が生じうる。しかし、9PP-01及び9PP-02は、ピアリングポイントなので、関心エリアである。ルーティング及び総合的な接続のサービス品質に対する制御は制限される。結果として、ポイントツーポイントのトンネルにとって、長距離にわたって高品質で安定的な接続を維持することは困難である。特に、第三者ネットワークを通過するトラフィック部分が存在するときは困難である。
【００８４】
図１０は、装置スコープ1080及びシステム全体スコープ1090の間でのセキュリティ面での関係を示す図である。これは、通信スコープ1098及び装置協働1089も示す。
【００８５】
装置スコープ1080に関して、GVNはクライアントデータのプライバシー、ネットワークデータフロー、資格証明書、ピアペア情報を保護し、また、物理装置をハッキングから保護し、そこに含まれる所有権コードを、タンパリング、盗取及び他の脅威から保護する。
【００８６】
システム全体スコープ1090は、ハッキング又は他の攻撃的トラフィック（例えばDDoS攻撃）からの保護、動作不調に対する保護を含み、最適以下の装置又はパスにルーティングを実行し、負荷を分散させて広げ、リソース、IPアドレスの不足や他のグローバル問題に対する保護を行う。
【００８７】
通信スコープ1098は、GVN、主にトラフィックトンネルTUNを介したトラフィックプッシュのためのパスに焦点を当てる。それはまた、GVNの外部ネットワークと内部ネットワークとの間の出入口ポイント（EIP）に及ぶ。ストリームハイジャック、中間者攻撃、情報ソースの感染（例えば、悪意DNS等）、他の脅威からの保護が存在する。更に、様々なネットワークセグメント及びそれらのプロパティの品質テストにより、GVNは、完全なパスQoSを理解し、問題に対処することができる。
【００８８】
装置協働1089のセキュリティの特徴は、適切に、GVN内の様々な装置による動作の完全性を保護することができる。セキュアバックチャネル、アンチハッキングメカニズム、DNSセーフティネット、様々なデータベース保護（例えば循環キー、ニュートラルAPIメカニズム（NAPEVI）、自動テスト、アップデート、ピアペア関係、検証及び他のモジュール等）はシステム完全性を維持する。
【００８９】
図１１は、グローバル仮想ネットワークの装置間の情報フローを示す図である。中央リポジトリはデータベースB200を有し、ファイルストレージHFS200は中央制御サーバ（SRV_CNTRL）200上にあってよい。
【００９０】
P###が付された装置間の通信パスは、APIコール、データベース複製、直接ファイル転送、組み合わせ（例えば、APIコールを介したデータベース複製）、又は他の情報交換の形態を示すことができる。太線である11P200100、11P200300、11P200500、11P100200、11P100300、11P10011500、11P300200、11P300500及び11P500200は、ピアのペアを有するGVN装置間の通信を表し、それゆえ、互いの特権的な関係を表す。
【００９１】
SRV_CNTRL200から11P200100を介してEPD100へ、11P200300を介してSRV_AP300へ、又はP11P200500を介して他の装置11500へと図示されるピアペア通信の循環パターンが存在する。EPD100は11P100200を介してSRV_CNTRL200と通信し、11P100300を介してSRV_AP300と通信し、11P1001500を介して他の装置11500と通信する。
【００９２】
実施形態では、装置間で共有される情報のループが存在する（例えばEPD100がSRV_CNTRL200から11P100200を介して情報をリクエストする場合、当該情報は11P200100を介してEPD100へと返信される）。
【００９３】
他の実施形態では、装置は他の装置へ関連情報を報告する。例えばSRV_AP300は11P300200を介してSRV_CNTRL200へ報告する。SRV_CNTRL200は11P200100を介してEPD100へ又はSRVAP300へ情報を送信する。またSRV_CNTRL200は、11P200300を介してSRVAP300へ報告し、11P200500を介して他の装置11500へ報告する。
【００９４】
更に他の実施形態では、完全なループは必要でなくてよく、例えばEPD100等の装置から11P100200を介してSRV_CNTRL200へログ情報を送信するときは、この情報を更にその先へ転送する必要はない。しかし、ロギング情報はその後、SRV_CNTRL200上のリポジトリから、11P200500を介して、長期ログ格納サーバ11500へ移動されてよい。
【００９５】
直接リンク11P100300は、装置EPD100とSRV_AP300との間にある。直接リンク11P300500はSRV_AP300から他の装置11500への間にある。直接リンクはSRV_CNTRL200による関わりを必要としない、装置間通信を伴う。
【００９６】
SRV_CNTRL200からのプッシュ情報は、11P306を介して発行されるＲＳＳフィード又は他のタイプの情報であってよい。SRV_CNTRL200からのAPIは、伝統的なAPIトランザクション又はRESTfulAPIコールであってよく、リクエストは11P302REQを介して生成され、レスポンスは11P302RESPを介して受信される。プッシュ情報及びAPI要素が提示され、ピアペア関係、特権状態及び、GVN装置を有する類似のシステムアーキテクチャを共有しない装置を示す。
【００９７】
図１２は、GVNにおけるいくつかの装置の自動化を支援するスタックを示す。特にこの図は、自動装置協働及びネットワーキングと、O/S管理とに必要なモジュールを示す。
【００９８】
EPD100はエンドポイント装置である。SRV_AP300はアクセスポイントサーバであり、ターゲット宛先地域に位置する。SRV_CNTRL200は中央制御サーバであり、EPD及びSRV_APの両方によってアクセス可能であり、また、グラフィック宛先メカニズムを支援する他の装置、他のGVNモジュール、コンポーネント又はサーバによってもアクセス可能である。
【００９９】
各装置EPD100、SRV_AP300及びSRV_CNTRL200は、自身についての情報を、リスト、ファイル、データベーステーブル、レコードの形式でローカル情報リポジトリ又は他の手段に格納する。このリポジトリはまた、ピア装置関係についての情報を含み、ログや他の関連動作情報を格納する。SRV_CNTRL200はまた、追加の格納機能を有する。その役割は、他の関連装置へ又は接続先のピア装置へ情報を提供することや、現在の状況を評価し、中央制御のような案内機能（例えばサーバ可用性リストの発行や他の機能）を提供する。ニュートラルなAPIメカニズム（NAPIM）は、装置とその接続先のピアとの間で情報を送信する。当該メカニズムはまた、API自体を更新するために用いることができる。
【０１００】
SRV_CNTRL200上のデータベースS293は、自身についての情報のリポジトリとして動作し、他の装置のための中央リポジトリとしても動作する。多くの異なるSRV_CNTRL200サーバが、多くの場所でマルチマスターとして動作可能である。各データベースは、トンネル情報、ピア情報、トラフィック情報、キャッシュ情報及び他の情報を含む特定の情報を格納可能である。セキュリティ及び他の側面（ハートビート機能、トリガされるスクリプト及び他のメカニズムを含む）は、各装置によって独立して管理される。
【０１０１】
GVNソフトウェアD196、D296及びD396は、トンネルビルダ／マネージャ、仮想インタフェースマネージャ、自動スマートルーティング、テストモジュール、セキュリティ、ロギング及び他の機能を含む。図１１はまた、オペレーティングシステム（O/S）レベルのパッケージD195、D295及びD395を示し、ハードウェア及びソフトウェアドライバ、ドライバ、インストールされたパッケージを含む。これらは、システムのハードウェアコンポーネントの上位に構築される、これらに依存するソフトウェアパッケージ及び他のアイテムを含む。
【０１０２】
図１３は、インターネット又はダークファイバ上のバックボーンセグメントを含むGVNトポロジを示す図である。国際特許出願PCT/US15/64242に開示される、リモートネットワーク地域からのコンテンツ検索のためのシステム及び方法は、複数ファイルが共に、大きいファイルへと集められ、「チェーンキャッシュ」を介したファイル転送によって、１つの地理的地域から他の地理的地域へと送信される、という特徴を開示する。この特徴を有効なものにするために、ファイルト転送は可能な限り速い必要がある。様々なデータペイロード「ファイル」の群の転送のために、本発明の情報スリングショット方法は、大きいデータブロックを、世界の一端から他端へと、先行技術の方法よりも速く移動させる。
【０１０３】
図１３を参照すると、複数のゾーンが開示される。ゾーンとはすなわち、LANゾーン0(ZL00)、LANゾーン1(ZL10)、インターネットゾーン0(ZIOO)、インターネットゾーン1(ZI10)、インターネットゾーン2(ZI20)、インターネットゾーン3(ZI30)、インターネットデータセンターゾーン2(ZD20)及びインターネットデータセンターゾーン3(ZD30)である。
【０１０４】
地域又はゾーンZD20におけるSRV_BBX1372は、ダークファイバ接続13P220を介し、ダークファイバ13220を通して他の地域又はゾーンZD30におけるSRV_BBX1380に接続可能である。SRV_BBX1372は、13P220上のリモートダイレクトメモリアクセス（RDMA）を介し、パス13P82を介してSRV_BBX1380のスタックをバイパスして、パラレル（並行）ファイルスストレージPFS1382へファイルを直接書き込む。SRV_BBX1380は本発明を用いて、13P220上のリモートダイレクトメモリアクセス（RDMA）を介し、パス13P74を介してSRV_BBX1372のスタックをバイパスして、パラレルファイルスストレージPFS1374へファイルを直接書き込む。
【０１０５】
パス13P210は、IPv4又は何らかの標準インターネットプロトコルであってよく、それの上で、トラフィックはSRV_AP1330からSRV_AP13310へパス13Ｐ210を介して流れる。これは、トンネル又は他のタイプの通信パスを介したGVNのオーバーザトップである。
【０１０６】
これは、様々なタイプのネットワーク構造が、より良いネットワークタペストリへと結合されることを示す。これらの構造は、米国仮特許出願第62/174,394号に記載されるように、シームレスに編み込まれる。これは、スタンドアロンの方法であってよいし、様々なネットワークセグメントを含むより良いネットワークパス内で、１つのネットワークセグメントとして統合されてもよい。この例示的な実施形態は、グローバル仮想ネットワーク（GVN）、その様々な装置、通信パス及び他の実施形態のトポロジを示す。これは、様々な地理的な地域又はゾーン若しくは領域が、様々なタイプのパスで共にどのようにリンクされるかを示す。
【０１０７】
図１４は、GVNによって可能になるクラウドにおける、分散ファイアウォール（FW）を示す図である。GVNのトポロジの性質によって、装置間通信、安全なトラフィックパス、ファイアウォールメカニズムはクラウド上にあってよいし、又は仮想化されてもよい。出入口ポイント（EIP）を介したGVNへの又はGVNからオープンなインターネット14000へのフローにおいてファイアウォール144はホップに対向する状態であり、クラウドファイアウォールリソース（例えば、144-2、144-3等）を割り当てることができるクラウドファイアウォール（CFW）負荷分散装置144LBが存在する。
【０１０８】
このオンデマンドのスケーラビリティは、GVNのクライアントに対し多くの利点を提供する。クラウドに入ってくる脅威としての攻撃を緩和することによって、クライアントのラストワンマイルは影響を受けない。制御ノード及びアナライザと結合されたこのクラウドファイアウォールは、攻撃中の地域におけるFWが、種類、ソース、シグネチャ及び攻撃の他の特徴に気づくことを可能にし、これによりターゲットが変わったときに、攻撃に気づき、攻撃を阻止するように準備することができる。更に、過去及び現在の攻撃についての情報は、GVNのニュートラルなAPIメカニズム（NAPIM）を介して他のCFWインスタンスへ共有されるので、これによりグローバルな脅威に気づくことが可能である。これはまた、図１５に関して説明されるように、同時実行タイプのFWメカニズムの利点を提供する。
【０１０９】
図１５は、グローバル仮想ネットワークによって強化されたクラウドにおける、複数周縁ファイアウォール（MPFW）を示す図である。GVNトンネル15TUN0は、エンドポイント装置（EPD）15100と、EPD15100の近傍にあるアクセスポイントサーバ（SRV_AP）15300との間のインターネットのオーバーザトップ（OTT）である。
【０１１０】
この例示的実施形態で示される３つの周縁は、クライアント位置とインターネットへのリンクとの間の境界を示す15M1と、SRV_AP15300の近傍にあるデータセンタにおけるクラウド上の境界である15M2と、SRV_AP15300と同一のデータセンタ又はSRV_AP15302の近傍位置にある他の場所における他の境界である15M3である。
【０１１１】
トンネル15TUN2は15TUN0と類似するが、１つの態様において異なる。その態様とは、15TUN2は、移動可能である個人的なエンドポイント装置（PEPD）15130に接続し、それゆえ、有線又は無線の公衆アクセス又は他のネットワークを介してSRV_AP1530に接続し、GVNに統合することである。
【０１１２】
SRV_AP15300及びSRV_AP15302の各々は、1以上のSRV_AP装置を示し、それを通してEPD15100及び／又はEPD15130は、1以上の複数トンネルを介して接続する。
【０１１３】
これらは、例示的実施形態で開示される３つのタイプのファイアウォールである。FWローカル15442はファイアウォールの一例であり、クライアントはこれを用いて、ローカルエリアネットワーク（LAN）を内部的な脅威から保護する。これは典型的には、EPD15100とLAN15000との間に配置される。このFW15442は、IPアドレス、ポートブロッキング、転送及び他の機能等の特徴を提供する。図示される他の２つのタイプのファイアウォールの１つは、15M3に置かれるFWSPI15446であり、これはステートフルパケットインスペクション（SPI）を提供する。もう１つは15M2に置かれるFWDPI15444であり、これはディープパケットインスペクション（DPI）を提供する。
【０１１４】
SPIとDPIとの差は、性能と視認性とのトレードオフと関連する。SPIは、パケットのヘッダにて、形式違反の情報又はパターンを検索し、又はIPアドレス、ポート若しくは他の情報を、現在のパケットフローに対する既知の脅威のリストと照合する。DPは、その名が示唆する通り、パケット全体をより詳細に検索する。複数部分のマルチパケット通信の場合は、一連のパケットのコンパイルを見て、転送中のデータに対する洞察を得る。
【０１１５】
全てのファイアウォールは、入ってくる又は出ていくトラフィックの両方に対するルールを調査し適用するよう構成可能であり、他の関連機能を提供するよう構成可能である。多くの場合クライアントは、SPIの効率性と、DPIの、徹底的だがリソースと時間とを集中的に必要とする性質とで、選択を迫られる。
【０１１６】
GVNは、クラウド内の様々なポイントで、これらのFWを分散する機会を提供する。様々なタイプのファイアウォールは、トラフィックフローを邪魔することなく、互いに決まった手順で動作する。
【０１１７】
15M3のFWSPI15446の位置を確認することによって、EIPリモート15310を介したインターネット15302に対する最も近い端や、既知のソースIPアドレスからの攻撃トラフィックの大部分や、又は悪意があると認識されたヘッダを有する攻撃トラフィックの大部分は、阻止される。トラフィックはSRV_AP15302から15T10を介してFWSPI15446へ流れ、15T12を介して戻る。FWSPI15446はCFD負荷分散装置（図１４参照）であってよく、これはオンデマンドの大量のリソースを有する。15M3におけるSRVAPは、巨大な容量を有するマルチホーンのバックボーンであってよい。したがって、この第１の周縁では、攻撃は捕捉され、GVN内の帯域幅は保護される。
【０１１８】
次の周縁15M2では、FWDPI15444は、全てのトラフィックフローを流すことができ、また、SRV_AP15300から15T20を介してトラフィックのコピーを受信することができる。それは、15T22を介してトラフィックを返してもよいし、返さなくてもよい。キーポイントとしては、DPIの特徴は、追跡の指標であり、特定のトラフィックを流すことができる一方でその結果を分析及び記録することを可能にする。このFWDPI15444はまた、CFWであってよく、負荷を分散し、大規模なイベントに対処するためのリソースが必要なときに、オンデマンドでリソースを利用可能にする。このとき、個別のクライアントは、通常時にインフラストラクチャを維持するためのコスト負担を管理又は保持する必要がない。
【０１１９】
FWSPI15446及びFWDPI15444からの情報は、内部通信パス15P6を介して互いに共有される。その情報は、GVMのNAPIMによって、又はGVNトンネルを介して、又は、GVNバックチャンネルを介して、又は他の通信パスを介して伝送される。各FWメカニズムはまた、GVNの中央制御サーバ（SRV_CNTRL）15200と情報を共有する。この情報は、世界中の他のFWSPI及びFWDPIへと中継される。これにより攻撃ベクトル、ソース、ペイロード、及び他の関連情報はデータベース内で利用可能となり、もってSPI及びDPIチェックは確認すべき評価基準を有する。グローバルな情報分散は追加のセーフティネットを提供するので、そのことは規模に関して、より良い効率性をもたらす。
【０１２０】
クライアントLAN外且つクラウド内の攻撃トラフィックを捕捉することは、クライアントのラストワンマイルのインターネット接続性が、望まないトラフィックによって溢れることを阻止する。スケーラブルなCFWへトラフィックをオフロードすることは、クライアントに対して多くの利点を提供する。
【０１２１】
FWlocal15442は、スタンドアロン装置、EPD15100内で実行するソフトウェアアプリケーション（APP）、又は他の種類のFW装置であってよい。
【０１２２】
FWSPI15446及びFWDPI15444装置並びに関連装置（例えば負荷分散装置、クラウドファイアウォール又は他の装置）は、オーダーメードであってよいし、クライアントへ選択肢のうち最善のものを提供する他のベンダによって提供される、在庫品であってよい。これらの装置は、トラフィックを受信及び転送し、脅威を識別するが、最も重要なこととして、脅威を発見したことを通知して、他の装置から脅威についてのプロフィール及び他の情報を受信しなくてはならないことである。
【０１２３】
脅威データが蓄積すると、コンテンツ、パターン、攻撃ベクトル、及びFWによって収集された他の情報について分析が実行される。この分析は基礎を提供し、これを通して、新たな潜在的脅威に対して発見的分析を適用可能である。
【０１２４】
これは、GVNのセキュアネットワーク最適化（SNO）サービスによって、又は、セキュアトンネル及び通信パスの両方によって接続される関連装置を含む類似ネットワークによってのみ、達成される。
【０１２５】
図１６は、グローバル仮想ネットワーク（GVN）の一部として協働する３つのタイプのネットワーク装置のソフトウェアアーキテクチャの論理図である。図示の通り、ソフトウェア及びハードウェアはネットワーク装置内に分散されてよいし、異なる回路基板、プロセッサ、ネットワークインタフェースカード、ストレージ及びメモリにわたって分散されてよい。
【０１２６】
開示されるネットワーク装置の１つは、エンドポイント装置（EPD）100である。記載されるネットワーク装置の他のものは、中央サーバ（SRV_CNTRL）200である。３つ目の装置はアクセスポイントサーバ（SRV_AP）装置300である。
【０１２７】
EPD100は、通信パスによって示される暗号化トンネルを介してSRV_AP300へ接続される。その通信パスは、暗号化トンネルSYSC04から、存在点（POP）SYS406、通信パスSYS06、WANSYS400、通信パスSYSCP10、POPSYS402を介して通信パスSYSCP12までのパスである。WANSYS400を通過するパスは、通常の、非暗号化インターネットを通ってよい。
【０１２８】
装置EPD100及びSRV_AP300の各々は、SRV_CNTRL装置200へと、通信パスSYSCP08を介して接続されてよい。
【０１２９】
EPD100及びSRV_AP300のソフトウェアアーキテクチャは互いに非常に類似するが、各装置の役割による動作の違いやモジュールの違いを有する。
【０１３０】
各装置の最低レベルは、メモリ（RAM）106、206及び306と、プロセッサ（CPU）102、202及び302と、ネットワークインタフェース（NIC）108、208及び308である。これら全ては、ハードウェアレベル上であってよい。オペレーティングシステム（Ｏ／Ｓ）110、210及び310は、LINUXシステム又は同等のシステム（例えばＤＥＢＩＡＮ又は他のもの）であってよい。オペレーティングシステムについての開示は、ルーティング、ホスティング、通信及び他のシステムレベルの動作のための、パッケージ及び構成を含んでよい。
【０１３１】
オペレーティングシステム110、210及び310の上位には、世界的仮想ネットワークの（GVNの）オペレーティングシステムのシステムソフトウェア層112、212及び312が存在する。カスタムコマンド、システムモジュール、マネージャ、及び他の構成部分がここで動作する。GVNの他のコンポーネントも同様である。GVNの各タイプの装置は、役割に応じて、システムソフトウェア層の一部又は全部、あるいは他の部分を有してよい。
【０１３２】
本例示的実施形態において、データベースモジュールDb120、220及び320と、ホスティングモジュール122、222及び322とは、リスニング、送信、処理、格納、検索、並びに、GVNのニュートラルなAPIメカニズム（NAPIM）、グラフィックユーザインタフェース（GUI）及び他のサーバサイドのスクリプトホストサイトの他の関連する基礎レベル動作、について構成される。データベース120、220及び320（Db）モジュールは、MySQL又は同等のもの（例えばMaria Db）であってよい。ホスティングモジュール122、222及び322は、Apache、PHPスクリプト又は他のタイプのホスティング言語であってよい。コマンドラインスクリプトが使用され、Bash、C、PHP、Pearl、Python又は他の言語で記述されてよい。
【０１３３】
ビリングモジュールは協働し、情報（例えば、消費モデルによって課金されるトンネルトラフィックにより消費されるデータ量）を共有する。アカウンティング（会計）モジュールACC132、232及び332はEPD100上で動作し、SRV_AP300は対応するビリング（課金）モジュールを有する。両方共、レポートスクリーン、決済フォーム、Eメール送信される明細書、及びGVNによって生成される他の財務データに対する財務情報を提供する。
【０１３４】
SRV_CNTRL200は、リポジトリマネージャ238を有し、これは課金情報、トンネルマネージャ情報及び、GVN内の様々な装置によって使用される他のデータを処理する。リポジトリマネージャ238は、ピアペア情報、資格情報、及び他の情報の共有についての協働処理を処理する。当該共有は、GVNのニュートラルなAPIメカニズム（NAPIM）を介して他のAPIピアへ接続する個々の装置に対する共有である。
【０１３５】
EPD100は、APIモジュール130を有し、SRV_CNTRLはAPIモジュール230を有し、SRV_AP300はAPIモジュール330を有する。例示的実施形態を簡易に説明するために、装置毎にAPIモジュールが１つだけ示される。実際、装置は、GVN内の機能に応じて、クライアント及びサーバの結合した役割を有してよい。
【０１３６】
SRV_CNTRL200上のキャッシュマネージャは、GVNの多くの装置にわたって分散された、様々なチェーンキャッシュのマスターインデックスを管理する。EPD100上の圧縮エンジン136及びSRV_AP300上の336は、データの圧縮及び解凍を管理する。それらは共に、ファイル上又はデータベーステーブル内に、伝送データをストリーミングするために格納される。
【０１３７】
EPD100上のアドバンストスマートルーティング（ASR）モジュール150は、EPD100からGVNのルートを介して、宛先に対する最善の出口ポイントへのトラフィックをルーティングする。
【０１３８】
SRV_AP300上のリモートフェッチャーボット311は、地理的宛先メカニズム（Geo-D）のコアコンポーネントである。
【０１３９】
SRV_CNTRL200上のDNSマネージャ254は、マスターDNSインデックスを管理し、これは様々なGVN装置上のDNSサーバ（例えばEPD100上のDNS154等）をシードする。
【０１４０】
SRV_CNTRL200上のロガーマネージャは、ローカルログと、APIコールを介して装置によってリポジトリへ共有されるログとの両方を管理する。本例示的実施形態のロギングマネージャは、動作上のイベント、APIアクション及びトランザクションを記録する機能を提供する。ロガーはまた他の役割を有するとともに、GVN動作の様々な態様を処理する。
【０１４１】
EPD100上のローカルキャッシュ152及びSRV_AP300上のローカルキャッシュ352は、ローカルにデータをキャッシュする。
【０１４２】
GVNマネージャ272は、SRV_CNTRL200上で動作し、SRV_CNTRL200及びGVNの他の装置上で、システムの様々なコンポーネントの動作を制御する。
【０１４３】
ローカルDNSサーバ及びEPD100上のキャッシュ154と、SRV_AP300上の354は、迅速でローカルな検索のため、DNSルックアップのキャッシュを可能にする。所定の時間がすぎると、DNS154及び354は完全にフラッシュされ、個別アイテムは一掃され、検索されたルックアップについてのタイムアウトセットは削除される。
【０１４４】
EPD100上では、コンテンツデリバリエージェント（CDA）158が存在する。これは、Geo-Dのコンポーネントである。SRV_AP300上には、コンテンツプルエージェント（CPA）が存在し、これもGeo-Dのコンポーネントである。CPA358は、SRV_300上でBOT311と協働し、遠くの地域から、その地域からシーディングするローカルDNS354を用いて、コンテンツをプルする。CPA358は、トンネル、キャッシュ及び他のGVN改良要素を用いて、フェッチされたコンテンツをCDA158へ送信する。
【０１４５】
EPD100上、SRV_CNTRL200上及びSRV_AP300上のファイアウォール（FW）（不図示）は動作して、装置及び、装置と他のものとの間の通信パスの両方へのアクセスを保護する。
【０１４６】
EPD_100及びSRV_AP300上の接続マネージャ（不図示）は、装置と装置間通信パスとの間のトンネルを管理する。SRV_CNTRL200の215上の圧縮マネージャは、ローカルに圧縮を管理すると共に、EPD100上の圧縮エンジン136と、SRV_AP300上の圧縮エンジン336と、GVNの他の装置上の圧縮エンジンと、協働する。EPD上のルーティングは、ASR150、Geo-D及び他の要素と協働して、トラフィックのルーティングを管理する
【０１４７】
SDB100、200及び300におけるデータベーステーブルの構造は、装置動作について同等であるが、各々に対するデータは、装置タイプに特化し、各装置は、装置特有のアイデンティティを有する。SRV_CNTRL200上で、リポジトリデータベースSDB202は、全ての装置について一意の情報が格納される場所である。この情報はリポジトリマネージャ238によって、API資格証明書、トンネル情報又は他の情報を装置に通信するために使用可能である。
【０１４８】
各装置のデータベース内に格納されるのは、アイデンティティ、装置自体の又はそのピアのペアとなるパートナーについてのピア情報、トランザクションリスト、キューデータ及び他の情報である。ここで開示される以外にも、本開示の方法及びデータベースには他の使用方法がある。しかし、この例示的実施形態は、少しの例示的なコア機能要素だけに及ぶ。
【０１４９】
［トポロジ］
図１７は、バックボーン及び八角形ルーティングを有するハブアンドスポークのトポロジを用いたGVNを示す図である。図１７は、２つの異なる地域である17-RGN-A及び17-RGN-BにおけるGVNのネットワークトポロジを示すとともに、地域がパス17-P0A及び17-P0Bを介してグローバル接続性17-RGN-ALLへどのように接続されるかを示す。更に、図１７は、２つの地域の各々において、ハブアンドスポーク接続を示す。図１７は図１５に類似し、各地域において複数の出入口ポイント（EIP）を追加する。これは、ハブアンドスポークモデルへスポークを追加するのと同様である。
【０１５０】
SRV_BBX17-280及びSRV_BBX17-282は、バックボーンの交換サーバであり、グローバル接続を提供する。SRV_BBXは、地域においてグローバルリンクとして機能する、１以上の負荷分散サーバであってよい。17-17-RGN-Aにおけるアクセスポイントサーバ（SRV_AP）17-302、17-304及び17-306はSRV_BBX17-280へ接続する。中央制御サーバ（SRV_CNTRL）17-200は、その地域内の全ての装置にサービスを提供し、また、１以上の複数マスターSRV_CNTRLサーバであってよい。エンドポイント装置（EPD）17-100から17-110は、１以上の複数SRV_CNTRLサーバへ、１以上の複数協働トンネルを介して接続する。
【０１５１】
この図はまた、各地域に複数の出入口ポイント（EIP）17-EIP420、17-EIP400、17-EIP430及び17-EIP41を追加する。これは、オープンなインターネットへのパス（からのパス）を有するハブアンドスポークモデルへスポークが追加されるのと同様である。このトポロジは、GVNを通してルーティングすることで、リモート地域のEIPへのEPD接続を提供可能である。代替的には、このトポロジはまた、同一地域のEIPへのEPD接続を支援し、同一地域のEPDへの接続を支援し、又は、リモート地域のEPDへの接続を支援する。これらの接続は、GVNを介してセキュアに最適化される。
【０１５２】
図１８は、北米、欧州及びアジアにおける幾つかのGVNグローバルノードとそれらの対応サービスエリアとの間のバックボーン接続を示す。図１８の右下の凡例の枠に記載されるように、ここで示される各ゾーンは、ネットワーキングの観点から、グローバルノードとして記載される。グローバルノードは高性能ネットワークリンクを介して互いに接続される。点同士の間のレイテンシが低いほど、情報は速く転送可能である。
【０１５３】
グローバルノードの周りの２つの輪は接続品質ゾーンのタイプを示し、これは例えば、ソース情報が位置する中心からの半径内にある。これは簡易版である。というのも、多くの要因がこれらのゾーンのサイズ及び形を決定するからである。しかし、２つのゾーンは互いに差別化可能である。最も狭いものは高性能ゾーンであり、そうでないものは最適サービスエリアである。
【０１５４】
クエリを行うクライアント、サーバ又は他のタイプの装置がグローバルノードから遠いほど、情報が流れるための時間は長くなる。いくつかの点ではその距離は非常に長いので、QoS低減が起こり、装置はもはや高性能ゾーンにいないが、最適サービスゾーンにいることになる。
【０１５５】
QoSが所定の閾値を下回ると、装置は最適サービスエリアの外に位置する。それ故、それとグローバルノードとの間の距離は非常に長くなる。その結果、セキュリティ面での例外はあれど、GVNによって提供される利点が論点となる。
【０１５６】
図１８は、米国カリフォルニア州サンノゼのゾーンSJC18-01と、米国ニューヨーク州のニューヨークのJFK18-02と、オランダ国アムステルダムのAMS18-11と、日本国東京のNRT18-21と、中国特別行政区香港のHKG18-22とを示す。世界中には、グローバルノードを配置するのに、他にも多くの合理的な場所がある。しかし、図示の簡素化のため、例示目的でそのうち少しだけが示される。
【０１５７】
図１８はまた、各グローバルノード間の代表的なパス（例えばJFK18-02とAMS18-11との間のパス）を示す。実際、２点間には海底ケーブルである複数のパスがある。
【０１５８】
図１９は、GVN内の様々な装置間の接続を示す図であり、スポークにおける装置からハブ装置への複数の接続パスを示す。SRV_BBX（バックボーン交換サーバ）19-800及び19-810は、最善のインターネットデータセンタ（IDC）に対するクライアントの位置に基づく。最善のインターネットデータセンタに対するクライアントの位置は、グローバルな場所をパス19-BB2及び19-BB6を介して接続しつつもターゲット地域へサービスを提供するパイプと中間点とに関する。
【０１５９】
SRV_BBXは、サービス提供先の地域のハブとして動作する。ハブは互いに、インターネットにおけるイーサネットリンクのオーバーザトップのトンネルによって、直接イーサネットリンク上のトンネルによって、ファイバ上のインフィニバンドによって、イーサネット上のインフィニバンドによって、又は地域間接続に関する他の形態によって、接続される。各ハブは、グローバル地域内の１つのエリアにサービスを提供する様々なSRV_APサーバ（例えば19-302、19-306、19-308）へ、サービスを提供する。SRV_AP19-312、19-316及び19-318は、グローバル地域の他のエリアにサービスを行う。
【０１６０】
エンドポイント装置（EPD）（例えば19-100から19-128）は、その場所、ネットワーク接続性、ピアリング及び他の関連要因に関して、最適なSRV_APサーバへ接続する。これらの要因は常に変化し、それ故、複数のSRV_APサーバへの複数トンネルは常時EPDによって維持される。各EPDは同時に、様々な（１以上の）SRV_APサーバへ接続する。
【０１６１】
これらは、EPD、SRV_AP及び他の場所における出入口ポイントである。ここでは、トラフィックはGVNからインターネットへ出て、又はインターネットからGVNに入る。GVNは、可能な限り遠くまで、トラフィックを安全化及び最適化する。
【０１６２】
SRV_AP装置（例えばSRV_AP19-308及びSRV_AP19-318）はまた、トンネルパス（例えば19P60）を通して、互いに接続する。これにより、２つのEPD（例えばEPD19-110）は、パス19P22、19P60及び19P58を介してEPD19-128と接続可能である。
【０１６３】
ニュートラルなAPIメカニズムの情報交換のために、中央制御サーバ（SRV_CNTRL）19-200は、様々な装置（例えばSRV_AP19-302）とパス（例えば19P62）を介してリンクする。EPDはまた、SRV_CNTRL19-200とNAPIMパスを介して接続する。この例示的実施形態を比較的簡易にするために、NAPIMのEPDからSRV_CNTRLへのパスは図示しない。
【０１６４】
SRV_CNTRLと様々な装置との間で交換されるNAPIM情報は、利用統計、トンネル構築情報（例えばIPアドレス、ポート、プロトコル、セキュリティに関する資格証明書、証明書、キー、及び他の情報共有）を共有するために用いられ、GVNについて、自動化された安全な動作を可能にする。
【０１６５】
図２０は、GVNモジュールと装置とがどのように相互作用するかを示す図である。グローバル仮想ネットワーク（GVN）は、様々な装置を含む。これらは独立して、又は、他の装置と協働して動作する。各々の役割は、そのタイプと主な機能に基づいて異なってよいが、それらは類似のコードベース、データベーススキーマ、及び他のアーキテクチャ要素に従う。
【０１６６】
インフラストラクチャは地域にインストールされ、EPD及びPEPDの動作を支援する。装置（例えばエンドポイント装置（EPD）100、ポータブルエンドポイント装置（PEPD）及びエンドポイントハブ（EPH））は、様々なLAN、PAN及びGVNに対する他のネットワークを、トンネルを介してアクセスポイントサーバ（SRV_AP）300へ接続する。各装置は、ローカルにホストされた自身のデータベースを有する。
【０１６７】
地域ごとに、各タイプの複数のサーバ（複数のマスターSRV_CNTRL）や他のタイプのサーバによって冗長性がもたらされる。中央データリポジトリは中央制御サーバ（SRV_CNTRL）200上に配置される。SRV_CNTRLのジョブは、GVNのニュートラルなAPIメカニズムを介して様々な装置に接続することである。GVNのNAPIMを介したAPIコールは、パス20P02を介した装置間通信（例えばEPD100からSRV_BC20-502）のために実行される。装置ID及びSRV_CNTRL上のDbリポジトリにおける登録／地域マッピングは、APIピアのペア関係の管理を可能にし、適切なサーバ可用性リスト（SAL）を生成し、ロギングを受け入れる。これは、SRV_APとGWサーバとについての関係及び接続を効率的に管理することを可能にする。
【０１６８】
GVNのバックエンドサーバ及びインフラストラクチャ装置は、バックチャネルサーバ（SRV_BC）20-502、セキュアブートサーバ（SRV_SB）20-504、認証、承認、アカウンティングサーバ（SRV_AAA）20-508、ロギングサーバ（SRV_LOG）20-516及び他のものを含む。
【０１６９】
ゲートウェイサーバ及び他の装置は、SRV_CNTRL200へ、コネクタ20AD0を介して接続され、AllDevsハブ20AD2を介してゲートウェイ装置に接続される。これは、ゲートウェイEメールサーバ（SRV_GW_Mail）20-510、金融取引のためのゲートウェイサーバ（SRV_GW_FIN）20-518、及び／又は、他のSRVGW*20-512の１つのタイプとして、第三者接続のためのゲートウェイサーバ（SRV_GW_TPC）を含むことができる。
【０１７０】
特定の役割を有して動作するゲートウェイサーバは、その機能的な役割のために調整され、それらを保護するように安全化される。Eメールゲートウェイサーバに権限を付与することによって、それは安全なEメール送信者又は受信者として設定される。これは、動作のコンフィグレーション、メンテナンス及び観察を要する。しかし、同時に、他のサーバはEメールを処理する必要がなく、それらの装置は管理負荷から解放される。全ての装置は、Eメールをデータペイロードにより転送することができる。そのデータペイロードは、Eメール送信を要求するアクションコールによってAPIへ送信される。ペイロードにおけるフラグは、Eメールが即座に送信されるべきか、特定の時刻に送信されるべきか、又は、どの優先度で送信されるべきかについて示すことができる。それをどのように送信するかについては、他の設定により管理できる。SRV_GW_EMAILは、これらのデータペイロードを受信し、それらをEメール送信キューに追加する。Eメールマネージャは、そのEメールをいつどのように送信するかを処理し、それに応じてイベントのログをとる。エラーメッセージ（Bounceback）、返信、他の入ってくるEメールはまた、１つのポイントサーバタイプのSRV_GW_EMAILによって処理される。
【０１７１】
ロギングサーバ及び他の装置はまた、GVN装置によって20AD4を介してアクセス可能である。
【０１７２】
図２１は、GVNモジュールと装置とがどのように相互作用するかの追加の詳細を示す図である。追加の詳細は、通信パス（例えばSRV_BC4-502からSRV_CNTRL200への21Q00）を含み、これは、バックチャンネルサーバから中央制御サーバへと情報を報告する。キーポイントとしては、GVN装置は、それ自身、そのピア、その接続オプションのための情報及び動作のための他の情報を必要とする一方で、性能や他のデータをSRV_CNTRL200及び／又は他の装置へ共有することは、より良いシステムの全体像を可能にすることである。継続的なフィードバックループは、より良い決定を行うために、オンザフライの自動調整及び学習を可能にする。
【０１７３】
図２２は、GVNモジュール及び装置の、トポロジ及び接続と、それらがどのようにインターネット上の他の装置と相互作用するかを示す図である。図２２に示される通信パスは、外部パス（PE）、（トラフィック用の）トンネルのパス（PT）、制御パス（CP）、暗号化システムパス(EP)、GVNの装置間のAPI通信パス(PA)等である。
【０１７４】
中央サーバ(SRV_CNTRL)200は、重要なシステム情報を保持する、ファイルのリポジトリ及びデータベースを含む。SRV_CNTRLは、API通信用のPAパスを介して全てのGVN装置に接続することができる。エンドポイント装置（EPD）100は、協働する様々な潜在的通信パスを介した、ローカルエリアネットワーク(LAN)とインターネットとの間のネットワークアクセスポイントである。
【０１７５】
EPD内のアドバンストスマートルーティング(ASR)は、ローカルトラフィックを、それに最も近いインターネット22-010へ、22-PE00、存在点(POP)22-020、及び22-PE02を介して送信することができる。バックチャネルサーバ(SRV_BC)22-502は、EPD100へ、バックチャネル接続を介して、22ES04、22-010、22ES02、201及び22ES020を介して接続する。ES##パスは、暗号化された制御パスであり、トンネルのパスを伝送するトラフィックとは独立する。
【０１７６】
EPD100は、22PT00及び22PT02を介してSRV_AP300へ、22PT04及び22PT08を介してSRV_AP22-302へ、22PT10及び22PT12を介してSRV_AP22-306へ、22PT14及び22PT16を介してSRV_AP22-308へと、複数アクセスポイントサーバ(SRV_AP)の各々へのトンネルを維持する。
【０１７７】
この図は正しい縮尺ではないが、例えばSRV_AP22-302及びSRVAP300は同一地域にあり、GVNから出て、22PE04、POP22-022、22PE08からインターネット22-012へ進み、又は、22PE16、POP22-026、22PE12からインターネット22-012へ進む。両方のEPDは、ドメインネームサービス(DNS)サーバ22-402に対するローカルDNSルックアップを実行可能である。
【０１７８】
SRVAP22-302及びSRV_AP300の両方は、それぞれ、22PA02及び22PA08を介してSRV_CNTRL200へのAPI通信パスを維持する。
【０１７９】
ゲートウェイ装置(SRV_GW)22-514は、SRV_AP22-302及びSRV_AP300と同一の地域に位置する。これは、Eメールを送信し、金融取引と、GVNのSRV_GW装置の他の機能とを処理することができる。
【０１８０】
SRV_AP22-306は、22PA10を介してSRV_CNTRL200へ接続する。その地域における、インターネット22-014への出口ポイントは、22PE20、POP22-024及び22PE22を介してインターネット22-014へ向かうものである。
【０１８１】
SRV_GWサーバ22-516は、22PA24を介してSRV_CNTRL200へ接続し、インターネット22-014へ、22PE26、POP22-024及び22PE22を介して接続する。
【０１８２】
SRV_AP22-304は、22PA18を介してSRV_CNTRL200へ接続する。その地域における、インターネット22-016への出口ポイントは、22PE26、POP22-028及び22PE30を介する。
【０１８３】
SRV_GW22-512は、22PA14を介してSRV_CNTRLへ接続し、22PA16を介してSRV_APへ接続する。SRV_GW22-516からのローカルトラフィックは、22PE28、POP22-208、22PA30介してインターネット22-016へ出る。
【０１８４】
GVN内には他の装置が存在し、それらは特定の役割（例えばバックアップサーバSRV_Backup22-522及びロギングサーバSRV_Logging22-516）に従事する。これらはそれぞれ、22PA20及び22PA22を介してSRV_CNTRLへと接続される。それらはSRV_CNTRL200又は他の装置から、PA##パスを介してSRV_Backup22-522又はSRV_Logging22-516へ中継されたデータを受け付ける。
【０１８５】
この開示されたGVNのトポロジは、EPD100からのトラフィックが、複数のトンネルを介した複数のSRV_APサーバへのトラフィックについて、地域ごとに複数の選択肢を有することを可能にする。他の装置は、効率的な使用の目的で、情報を複数の装置へ分散させることを確実にする。
【０１８６】
図２３は、エンドポイント装置（EPD）100、23-102及び23-158と、アクセスポイントサーバ（SRVAP）300及び23-302との間の複数のトンネル接続を示す図である。これらのトンネルは、クライアントデータトラフィック、内部システムデータ又は他の転送のために使用可能である。この図は更に、グローバル仮想ネットワーク（GVN）インフラストラクチャ装置（例えば中央サーバ（SRV_CNTRL）200、バックチャネルアドミンサーバ（SRV_BC）23-502等）をGVN内の他の装置と接続することを示す。
【０１８７】
SRV_BC23-502は、EPD100へのバックチャネルトンネル23PA02、EPD23-102への23P018、EPD23-158への23PA06、SRV_AP23-302への23TP50を確立及び維持する（以下同様）。１つのSRV_BCが動作しない場合には、より多くのSRVBCサーバがGVN内に存在することで冗長性をもたらすことがある。このとき、SRV_BCサーバを、接続先の装置に近い戦略的な位置に配置することで、最善の性能を確実にする。
【０１８８】
EPD100は、１つのLAN23-002を、GVNを介して、データが通る様々なパスへ接続する。例えばEPD100は、３つの複数トンネル23TP00、23TP02又は23TP04のうち１つを介し、SRV_AP300、パス23PE00、インターネット23-410を介して出口ポイントへ接続する。
【０１８９】
他のパスは、SRV_AP300から、３つの複数チャネル23TP10、23TP12又は23TP14のうち１つを介してSRV_AP23-302へと向かうパスである。
【０１９０】
SRV_AP23-302からのパスの選択肢の１つは、23-382を介したインターネット23-412出口ポイントへのパスである。
【０１９１】
インターネット23-412からGVNへの外部エントリポイントX-IP305は、非GVN装置がGVNを介して装置にアドレスし到達するという接続を可能にする。これにより、GVNによって伝送されるトラフィックの進行中に、GVNの増進を実現する。
【０１９２】
GVNによって実現される他の利益は、クラウド内サービス提供パートナー組織の位置における、EPD23-158に対する安全なトンネル接続性である。この接続性は、GVNを介したそれらのサーバへの、及びLAN23-152の位置での関連サービスへの安全なトンネルに関するものである。
【０１９３】
LAN23-002からLAN23-012へのLAN-WAN-LANブリッジは、23-002から、23CP02、GWD23-004、23CP04、EPD100、23TP00 23TP02 23TP04、SRV_AP300、23TP10 23TP12 23TP14、SRV_AP23-302、23TP20 23TP22 23TP24、EPD23-102、23CP14、GWD23-014、及び23CP12を介してLAN23-012までの通信パスを介して可能である。このブリッジによって伝送される全てのトラフィックは、GVNメカニズムによって保護され改善される。
【０１９４】
２つの装置間の複数トンネル（例えば、23TP00、23TP02若しくは23TP04と、23TP10、23TP12若しくは23TP14と、23TP20、23TP22若しくは23TP24）は、１つのトンネルへトラフィックを送信することによって、単一の通信パスを提供可能である。あるいは、２以上のトンネルが共に集められ、２以上のバウンドトンネルがあたかも１つのトンネルであるかのようにトラフィックを伝送してよい。
【０１９５】
ピアのペアと、他の装置へのトンネルとの間のAPI通信パスを有するSRV_CNTRL200は、パス（例えば23PA00からEPD100へ、23TP30から23-302、23TP22、EPD23-102へ、23PA04から23-302、23TP60、EPD23-158へ、又は、他の潜在的な選択肢でよい）を介したファイル転送及びデータ交換のために用いることができる。
【０１９６】
この例示的実施形態において、他の通信パスが可能である。また、GVNを介した通信パスに別の選択肢が存在してよい。この例示的実施形態において、全てのトンネルは、GVNの第３層を介するリンクを示す。リンクの各々は、インターネットのオーバーザトップのGVN第１層上に構築される。
【０１９７】
図２４は、インターネットが今日どのように動作するかの簡易的な例を示す図である。ここでは、ホップ数又は有効時間（TTL）や、ピアリング関係及び関連ルーティングポリシーにより採用されるパスが考慮される。
【０１９８】
A0はインターネットサービスプロバイダ（ISP）のネットワークを示す。A1からA06までは、存在点（POP）を示す。これらのPOPは更に、スイッチ装置又はクライアント装置に接続し、それらをインターネットへリンクさせる。このホップ及びスポーク構造は、より広いISPのネットワーク内の、ネットワーククラスタを示す。端に円を有する線は、この接続を示す。本例示的実施形態においては、簡易化の目的で、A1、A2、A3及び他のPOPはラストワンマイルネットワークに対するリンクを示さない。しかし、それは示唆されるものとする。各POPは、ネットワーク（例えばローカルエリアネットワーク（LAN）又はインターネットデータセンタ（IDC））に対する自身のハブアンドスポーク接続を有する。そのネットワークは、POPを介してインターネット接続を有する。
【０１９９】
H0はシングルホーンのISPの一例である。このことは、それとインターネットとの間の１つのパスに依存することを意味する。このパスが切断され又は落ちれば、このISPからより広いインターネットへの接続は切断される。
【０２００】
B0は、マルチホーンのISPの一例であり、それと他のISPネットワークとの間の５つの接続が図示される。１つのパスが利用不可能であっても、依然としてトラフィックはインターネットを通って流れることができる。もっとも、このルートは直接的なルートではない。
【０２０１】
1X1及び1X2、インターネット相互接続点（IX）の一例であり、これは、バックボーンを又はバックボーン専用の接続を介して、独立して互いにリンクすることができる。IXは、ISP及び他のものが「ミートミールーム（meet-me room）」又は同等の構成において、ネットワークピアリングへの直接的ネットワークのために、互いに接続可能な場所である。
【０２０２】
ISP及び他のISPのネットワーク間には通信パスが存在し、IX又は中間ルータがそれらの間に存在する。これらのバックボーン通信パスは、両端に矢印を有する線によって図示される。中間装置は、両端に矢印を有する線同士の間の円によって図示される。IX間のバックホール接続性は、両端に矢印を有する点線で図示される。他ページ結合子IBH1は、国際的バックホール（IBH）を示すために使用される。1X2はまた、他のIX（本例示的実施形態では図示せず）に対する接続を有する。
【０２０３】
パスAXl-1->AX1-2->1X1->GXl-1を介する、A0からG0までのISP間の直接的な効率的接続を図示するために、中間ホップは４つだけ存在する。これが最も効率的なルートである。
【０２０４】
パスの障害によって生じる遠回りのパスを図示する。パスGXl-1がダウンすれば、G0を通過すると定められたH0又はA0からのトラフィックは、1X1を介してGXl-1へ行くことができない。代替手段としては、トラフィックがB0及びE0を介してG0へ行くことである。ルートは、A0からAXl-1、X1-2、1X1及びGXl-1という４つの中間ホップだけを通るはずだったが、今や、より多くのホップとしてAXl-1、AX1-2、1X1、BX1-4、BX1-3、BX1-2、BXl-1、BO、EB-5、EB-4、EB-3、EB-2、EB-1、EO、GE-3、GE-2、及びGE-1を通ってG0に到達する必要がある。もしGX101がダウンすれば、トラフィックがG0に到達するために、17の中間ホップ、及び、対応するより高いレイテンシが必要である。
【０２０５】
同時にG0から1X1へのトラフィックは、単一の中間ホップとしてGX1-1を通るはずだったが、今や、GOからEO、BOを通って1X1へ行かなければならない。
【０２０６】
この余計なトラフィックは、接続性を損ない、高いレイテンシと、混雑に関連するパケット損失との原因となりうる。IXを介したピアリングにより、通常、大量のトラフィックを処理するために、より大きい容量及び能力を有する。GOから1X1への単一の中間ホップGXl-1が利用不可能のとき、代替ルートによる追加ホップ（TTL）及びレイテンシ（RTT）は、非常に多くのホップと所要時間とを要する。これによりパケットが好ましくないものとしてマークされ、又は、インターネット上のサービスがタイムアウトすることになる。
【０２０７】
IXを介し且つバックホールを用いた２つのISPネットワーク間の最善の接続は、パスH2からH0、HXl-1、HX1-2、1X1、X1X2-1、X1X2-2、IX-2、DX2-2、DX2-1、D0及びD2へのパスで示される。これは、POPからPOPで、合計１２のホップである。
【０２０８】
次の直接パスはB0を介するもので、合計１６ホップである。パスは、H2からHO、HX1-1、HX1-2、1X1、BX1-4、BX1-3、BX1-2、BXl-1、BO、DB-4、DB-3、DB-2、DB-1、DO及びD2へと通る。
【０２０９】
次の直接パスはA0及びC0を介するもので、合計１９ホップである。パスは、H2からHO、HXl-1、HXl-2、1X1、AX1-2、AXl-1、A0、AC-1、AC-2、AC-3、AC-4、AC-5、C0、CD-I、CD-2、CD-3、D0及びD2を通る。
【０２１０】
間接的だが可能なパス（例えばG9、E0、B0及びF0を介する）は、ルーティングポリシーとピアリング関係とにより、３０ホップである。パスは、H2からH0、HXl-1、HXl-2、1X1、GXl-1、G0、GE-1、GE-2、GE-3、E0、EB-1、EB-2、EB-3、EB-4、EB-5、B0、FB-5、FB-4、FB-3、FB-2、FB-1、F0、DF-5、DF-4、DF-3、DF-2、DF-1、D0、D2を通る。
【０２１１】
不適切に形成された又は不正確なルーティングポリシーであって、発信元と宛先との間の中間装置を管理するポリシーによって、トラフィックが宛先に到達不可能なとき、ループが発生する。例えばC0からのトラフィックがG0に行きたいとき、B0はトラフィックをE0に送信するであろうと考えて、B0に行くことを選択してよい。この理由は、C0が、B0とE0とは互いに近接しており、それが最善なパスであると考えることがあるからである。しかし、B0はE0と直接ピアリングしないかもしれないが、F0と強力なピアリング関係を有するかもしれない。F0はまた、ピアリング関係を有さず、E0に到達するパスを有さない。このため、それはトラフィックをD0に送信する。D0は選択肢を２つだけ有し、トラフィックをC0又はB0へ送信する。どちらの場合も、最終的な結果はループであり、望まないトラフィックとなる。ループの原因は他にある。例えば欠陥のあるルーティングテーブル、装置故障、ハッキング、又は他の悪意のある行動等である。
【０２１２】
非常に多くのホップと非常に高いレイテンシによる最終的な結果は、タイムアウト又はパケットのドロップである。
【０２１３】
図２５は、性能を向上するためのインフラストラクチャの戦略的配置を示す図である。この実施形態において、３又は４つのキーポイントが存在する。すなわち、SRV_APサーバ及び他のGVNインフラストラクチャの戦略的配置が、図示された例示的ネットワークトポロジ上の全てのポイント間で、最適なピアリング及び性能を確実にすることである。
【０２１４】
インストールされ、且つ、IX1-IDC、B5、IX2-IDC、及びもしかしたらD5にて動作して、最適なルーティング選択肢とフェイルオーバとを含むSRV_APサーバは、他の全てのネットワークとのピアリングと、SRV_APとの間の安定したパスとを提供する。このとき、任意の故障パスの周辺でルーティングを行う選択肢もある。この戦略的配置は、他の性能向上のための弾力性及び可能性を提供する。
【０２１５】
図２６は、GVNが技術（例えばネットワークスリングショット（Sling shot））をどのように組み入れて、距離にわたって利点をシームレスに実現するかを示す図である。ネットワークスリングショットは更に、米国仮特許出願第US62/266,060号に開示される。
【０２１６】
最初の境界は、インターネットとGVNとの間のGVN EIP 26-322である。次の境界は、セキュア周縁26-182である。層を用いた安全なアプローチは、GVNが基づくコアインフラストラクチャを保護する。
【０２１７】
GVNとGVNバックボーンとの間のセキュア（安全）な周縁26-182の境界は、高速グローバルネットワークを保護する。周縁26-822上のGVNセクションは、安全なGVNトンネルを介して、オープンインターネットのオーバーザトップ（OTT）を流れる。セキュアな周縁縁26-182の下で、GVN接続は、ダークファイバ上又はインターネットから直接に到達できない他の接続上で、様々なプロトコルを用いる。
【０２１８】
スーパーコンピュータノード26-538は、セキュアな周縁26-832内（下）で動作可能である。これは、発展的な特徴を有する純粋に内部的なネットワーク（例えば、並行ファイルシステム（PFS）26-602装置へのリモートな直接メモリアクセス（RDMA））を操作可能である。
【０２１９】
図２７は、様々なGVN装置のデータベース上のテーブルが、どのように互いに関連するか、及び、それらが相互作用する方法を示す図である。例えば、SRV_CNTRL上のリポジトリデータベースDB2300は、装置や、GVNのニュートラルなAPIメカニズム（NAPIM）を介した装置間インタラクションに関連する様々なテーブルを有する。データベースDB_2300における装置レジストリDBT_2310等のテーブルは、REPO_ACTIVEとして指定される。このことは、それが多くのソースから情報を受信すること、それが読み書き可能であること、それは選択的又は完全な複製のための情報ソースとしてクエリされることが可能であることを意味する。その複製は、データベースEPDローカルデータベースDB_2100の一部としての、装置アイデンティティDBT_2102等のテーブルに対する複製である。このテーブルDBT_2101は、記号SEL_REP+Wを有し、これはDBT_2310からの選択的複製を可能にすると共に、それが関連アイデンティティを装置レジストリへ報告することを可能にする。
【０２２０】
情報の制御及び公開は、データマネージャによって管理される。データベーステーブルタイプの表記は、通常の読み書きテーブルについてはREGULARを、読み取り専用の複製テーブルについてはREP_INFOを、読み取り専用で部分的に複製されるテーブル（関連列のみ有する）についてはSEL_REPを、装置レジストリDBT_2310についてのリポジトリ上の全てのソースから組み合われたテーブルについてはREPOS_ACTIVEを、含む。他の可能性としては、SRV_LOGS上のデータベースDB2800上に結合されたソーステーブルからのLOGGINGを含む。これらのテーブル表記は例示のみを目的とし、現実世界で使用する際には異なってよい。用法に応じて、より多くのテーブル又は他のタイプのものが存在する。
【０２２１】
図２８は、様々なモジュール、メカニズム、技術及びGVN内の他のコンポーネントの間での協働を示す図である。
【０２２２】
GVNには３つの層が存在する。すなわち、層１は、物理的なネットワーク層（例えば、そのオーバーザトップ（OTT）にGVNが構築されるインターネット）である。層３は、GVNネットワーク層であり、クライアント装置はこれを宛先への部分的又は完全パスと見る。層２はそれら２つの間の論理層である。
【０２２３】
物理的状態28-00と相互作用するコンポーネントが存在する。28-20における動的構築モジュールは、GVNの接続性を維持するよう努める。本開示における連結試行セクションは、GVNの関連モジュールを、物理的な28-00及び動的な28-20へリンクさせる。例えばアドバンストスマートルーティング（ASR）モジュールG106が適切に機能するためには、複数のアクセスポイントサーバ（SRV_AP）GP106が、適切なルーティング及びピアリングGR106と共に、様々な場所に配置されなければならない。EPDが最適なSRV_APを選択してそれと接続を確立可能にするためには、どのSRV_APが最適であるかの情報が必要である。ASRサーバ可用性モジュールSA106は、ASRテストマネージャTM106によって提供される情報に基づいて、その特定のEPDにつきサーバを順位付けする。EPDが新たなトンネルを確立することを要求すると、EPDはサーバ可用性リストSA106を用いて新たなトンネルを構築する。次いで、TM106を介してトンネル上でテストが実行される。
【０２２４】
他の実施形態では、NAPIMG102が動作するためには、それはホストサーバ上でAPIリスナ及びハンドラHL102を必要とする。NAPIM内のホストクライアント及びホストサーバの両方にて、オペレーションマネージャOM102が実行して、準備、次いで送信、ハンドリング、APIリクエスト及びレスポンスの処理、を実行する。NAPIMの動的構築は、ピア管理PM102、関連NAPIMアクションAM102の管理、及び物理的なTP102及び動的なTM102でのトランザクションとを含む。
【０２２５】
［構築］
図２９は、GVNのアドバンストスマートルーティング（ASR）の特徴を示す図である。具体的には、この図は、世界の様々な場所における、複数パスから出口ポイントへの、エンドポイント装置（EPD）におけるGVNのアドバンストスマートルーティング（ASR）の特徴を示す。
【０２２６】
この例示的実施形態のトラフィックは、接続された装置（例えばホストクライアント101）からLANA102で開始する。この例示的実施形態で図示されるトラフィックのターゲット地域は次のとおりである。１）GVNトンネルによって性能が必ずしも改善しない場所であるPOP401にある、ローカルトラフィック。２）暗号化トンネルTUN1内をインターネット203へ伝送されるローカルトラフィック。３）他の地域へのトラフィックであって、TUN2を介したSRV_AP301へのトラフィック。この地域では、インターネット303にアクセスする。４）TUN3を介した他のリモート地域へのトラフィック。SRV_AP501上に何らかのASRを有する。
【０２２７】
EPD103内のDNSキャッシュ103-4は、各ターゲット地域にてDNSサーバからDNSルックアップを実行する。その地域は、インターネット402に対するDNS404、インターネット203に対するDNS204、インターネット303に対するDNS304、インターネット503に対するDNS504を含む。インターネットDNSキャッシュ103-4は、パスDP4を介してアクセス可能である。
【０２２８】
EPD103における、物理的ネットワークインタフェースコントローラ（NIC）のハードウェア装置は、４つのポートを含む。ETHO103-9はWANポートであり、EPD103をネットワークアクセスポイント（NAP）、P401、ISPのPOP401を介してインターネット402へ接続する。EPDからの全てのトラフィックは、GVNネットワークの第１層としてこの接続を介して進む。この接続の上位のTUNトンネルは、GVNの第３層である。ETH1103-1は、パスP102を介してLANA102へと接続されるローカルエリアネットワーク（LAN）ポートである。ETH2103-2は、パスP104を介してLANB104へと接続される他の物理的LANポートである。最後に、ブリッジBR0103-3として動作する仮想インタフェース（VIF）が存在する。これは、LANインタフェース103-1及び103-2を、それぞれ内部パスDP1及びDP2を介して連結する。
【０２２９】
LANブリッジBR0103-3からのトラフィックは、装置パスDP3を介して、仮想インタフェース（VIF）のチェーンへ送信される。アドバンストスマートルーティング（ASR）は、各VIFで適用される。IPアドレスのルーティングテーブルは、トラフィックフローを、各VIFから２以上の出口ポイントの１つへと向ける。最後のVIFは、「他の全ての」残りのトラフィックに対し、１つだけ、可能な出口ポイントを有してよい。
【０２３０】
例えばVIFO103-5において、ローカルトラフィックはP401を介して出る。VIF0103-5を介した他の全てのトラフィックは、チェーン内の次のVIFであるVIF1103-6へと、DP5を介して送信される。VIF1103-6からインターネット203へと向けられるトラフィックは、P201を介してEPD103を出て、暗号化トンネルTUN1、SRVAP201、パスP202、POP202、P203を介してインターネット203へ進む。そこから、SRV_DNS204とパスP204とを介して、地域的DNSルックアップがクエリされる。ホストクライアント205又はホストサーバ206への接続は、それぞれP205及びP206を介してなされる。
【０２３１】
VIF1103-6からの任意の残りのトラフィックは、パスDP6を介してVIF2103-7へと送信される。VIF2103-7に適用されるルーティングテーブルに基づいて、インターネット303とそこに接続される装置（例えばホストサーバ306）とへ向けられる全てのトラフィックは、VIF2を出て、パスP301、TUN2、SRV_AP301等を介してインターネット303へ進み、その後も進む。
【０２３２】
VIF2103-7からの更なる残りのトラフィックは、VIF3103-8へと送信される。VIF3103-8からの全てのトラフィックは、暗号化トンネルTUN3を介してSRV_AP501へ送信される。ASRルーティングはSRV_AP501で適用される。インターネット503内のＩＰアドレスへ向けられたトラフィックは、パスP502及びPOP502を介してインターネット503へ送信される。
【０２３３】
SRV_AP501からインターネット603へと向けられるトラフィックは、接続された暗号化トンネルTUN4、SRV_AP601、パスP602、POP602、P603を介してインターネット603へ進み、それ以降も進む。
【０２３４】
インターネット603の地域におけるDNSルックアップは、SRV_DNS604に対してなされる。そこの装置への接続は、例えば、P605を介してホストサーバ605又は他の装置に対して行うことができる。
【０２３５】
このASRメカニズムは、様々なトラフィック結合点で使用され、様々なターゲット地域内のインターネット上の最善の出口ポイントへトラフィックを送信することを最適化する。これは、地理的宛先を指定したトラフィックに関するものであり、他の利点がGVNによって実現される。
【０２３６】
図３０は、クライアント（C）とサーバ（S）との間の一連の暗号化トンネルの構築を示す図である。ステップ30-0から30-18は、CとSとの間の、簡易化された一連の通信を示す。
【０２３７】
最初のステップは、CによってSに対し接続を開くことである（30-0）。次のステップは、Sによって接続ハンドシェイクを承認することである。もしハンドシェイクデータが形式違反であり又は予期された形式に沿っていなければ、プロセスはここで停止し得る。
【０２３８】
30-4にて、ハンドシェイクについての返信及び承認を受けると、CはSへ証明書を提示する。Sは要求されるセキュリティ情報と共にこれを用いて、それらの間でセキュアソケットレイヤ（SSL）接続を構築する（30-8）。Cから受信したこの証明書は、S上の対応する証明書鍵と比較される。もし証明書が失効し又は不正確であれば、SSL接続は確立できず、プロセスは停止する。
【０２３９】
この接続は、CからSへトンネルについての情報を送信するために用いられる（30-10）。当該情報は、パスフレーズ、メトリック、及び、トンネルメトリックに関する他の情報を含む。当該他の情報は、どのIPアドレス及びポートを各装置がトンネルトラフィックのために用いるか、及び他の情報を含む。
【０２４０】
Sは、トンネルメトリック、パスフレーズ及び他の情報についての自身のバージョンに対して、この情報を有効にする（30-12）。もし情報が不正確なら、プロセスはこのステップで停止する。
【０２４１】
有効化が成功すると、SはCへと返信し、提供されたコンフィグレーション設定で、トンネルを開始又は構築するプロセスを開始する（30-14）。
【０２４２】
一旦トンネルが構築されると、C、S又はその両方にルートが適用される（30-16）。トンネルが構築されても、それにルートを付加するプロセス中に、トラフィックはそのトンネルを介して流れないかもしれない。あるいは、トラフィックがそのトンネルを流れることが可能であっても、データ漏洩のリスクが存在する。全てのルートが適用されるまで、ターゲットIPアドレスへのトラフィックは、暗号化されず又はそのトンネルを通ることなく、デフォルトのインターネットへの出口パスを出るかもしれない。このため、リスクが発生する。一旦ルートがトンネルに付加されると、次のトラフィックは保護される。この理由は、それが当該トンネルを介して伝送されるからである。トンネルに適用されるルーティングテーブルのサイズに応じて、この遅延は非常に長時間になりうる。
【０２４３】
全てのルートがトンネルに適用されると、トンネルは利用可能であり、トラフィックはそれを通じてプッシュされる（30-18）。
【０２４４】
図３１は、ピアペアにおける２つのピアによって要求される情報のフローを示す図である。このピアは、クライアント（C）及びサーバ（S）か、P-2-Pトポロジにおけるピアと他のピアか、のどちらかである。本例示的実施形態内では、表記及び記載の簡易化の目的で、CtoS（CからS）及びP-2-Pは、同一タイプの２つのピアの関係を示す。ここでは、CtoSが記載される。GVNは主に、装置間でCtoS関係を用いる。しかし、その方法及び技術はまた、トンネル構築のために、P-2-Pのピアペアに適用可能である。
【０２４５】
暗号化トンネルはその性質上、安全な通信パスである。これを通してデータが流れうる。クライアント及びサーバが距離的に分離され、それらの間の通信がオープンな非暗号化インターネットを通す場合、暗号化トンネルは、データを安全に交換するために理想的なチャネルである。もし人間のネットワーク管理者がどちらかの端にいれば、その者は装置をプログラムすることができる。しかし、セキュリティ情報（例えばパスフレーズ、キー及び他の情報）を中継するには困難がある。一部の者は音声通話を用いて協働し、他の者は安全なウェブサイトを介して一連のポスティングを行い、情報を共有する。他の方法が用いられてよい。１つのトンネルを手作業で設定することは重荷でありうる。複数のトンネルを管理することは煩わしい。
【０２４６】
ピアのペアにおける２つの装置間で自動的に一連の暗号化トンネルを構築するためには、情報を安全に共有するニーズがある。トンネル情報はまた、最新であり且つ安全に装置上に格納される必要がある。更に、確立プロセス中に、対処されるべき脅威が存在する。トンネルの稼働中、対処されるべき他の脅威が存在する。
【０２４７】
SRV_CNTRL31D00は中央サーバであり、データベーステーブル内のリポジトリ管理情報、安全ファイル格納システム内に格納されたファイル、メモリ内のリスト及び他の関連情報を含む。SRV_CNTRLはまた、アルゴリズム及びメカニズムを有し、特定のデータを評価し、情報レポートを生成する。
【０２４８】
クライアント装置31D02は装置を示し、特定のIPアドレス及びポートを介して、サーバ装置へ接続を「ダイアル」することによって、トンネルの構築を開始する。GVNに同時に接続される多くのクライアント32D02装置が存在しうる。これらは類似のソフトウェア及び構成を有し、クライアント間で異なる要因（一意の装置アイデンティティ、UUID、クライアント毎且つトンネル毎に一意の情報）を有する。
【０２４９】
サーバ装置31D06は装置を示し、特定のIPアドレス及びポート上で、クライアント接続試行をリスニングする。もしクライアントが正確なプロトコル及び確立シーケンスに従い、正しい資格証明書及び他のセキュリティ情報を提示すれば、サーバは、クライアントがそれへのトンネルを構築することを許可する。GVNに同時に接続される多くのサーバ装置31D06が存在しうる。これらは類似のソフトウェア及び構成を有し、異なる要因（一意の装置アイデンティティ、UUID、一意の情報）を有する。
【０２５０】
トンネル情報31S2は、クライアント装置31D02及びサーバ装置31D06上に格納された情報を示す。各装置は、複数のトンネルを確立可能である。各トンネルはトンネル情報とセキュリティ情報とについて、自身のセットを有する。いくつかのトンネル情報セットは、現在アクティブなトンネルを構築するために用いられてよく、他のトンネル情報セットは、将来のトンネルのために留保されてよい。
【０２５１】
CとSとの間の特定の情報（例えば一方が他方に提示するパスフレーズ）は同様である。他の情報は、適用範囲に応じて異なってよい。２点間でトンネルを構築するために必要な情報は次のものを含む。すなわち、クライアント／サーバトポロジ及び設定、トンネルによって使用される、各エンドポイントのIP及びポート、トンネルメトリック（MTUサイズ、プロトコル、及びその動作に用いられる他の情報を含む）、パスフレーズ及びトンネルに用いられるセキュリティプロトコルについての他の情報、SSL証明書及び、トンネル構築前の情報交換を保護するための情報、及び他の情報である。この情報は、GVNのニュートラルなAPIの特定のAPIアクションコールを用いて、装置間で共有される。
【０２５２】
トンネル前処理31S0は、装置31D02及び31D06と、SRV_CNTRL上のリポジトリ31D00との間での情報の受信及び共有プロセスを示す。API通信パスAPI-31CP0、API-31CP2、API-31CP4及びAPI-31CP6は、リクエスト−レスポンスの情報交換を示し、矢印は一方の装置から他方の装置への情報フローの方向を示す。
【０２５３】
サーバ31D06は、パスAPI-31CP0を介して、SRV_CNTRL31D00装置における情報受信31C-0モジュールへ情報を報告する。SRV_CNTRL31D00は、サーバから情報を受信し、関連アイデンティティ、トンネル、現在の負荷、及び他の情報を、そのリポジトリに格納する。例えばSRV_CNTRL31D00上のアルゴリズム及びAIロジックは、サーバ負荷を分析する。クライアント31D02装置からの、現在の及び予期される要求に基づいてサーバ可用性C-lマトリックスは更新される。サーバ可用性C-1の情報は、GVNの直接ファイル共有（又は他の方法）を用いて、GVNのAPIから情報共有3lC-6モジュール、APIコールパスAPI-31CP6を介してクライアント31D02へと、クライアントデータベース複製によって伝送される。
【０２５４】
クライアント31D02は、パスAPI-31CP2を介して、SRV_CNTRL31D00装置の情報受信31C-0モジュールへ情報を報告する。この情報は、SRV_CNTRL31D00のリポジトリに格納される。クライアント31D02からの特定のトンネル情報は、パスAPI-31CP4を介して、情報共有3lC-6モジュールによって、サーバ31D04と共有される。
【０２５５】
SRV_CNTRL31D00は、サーバ毎にクライアント31C-4の最新リストをコンパイルし、それは情報共有3lC-6とパスAPI-31CP4を介してサーバ31D-6へ発行される。
【０２５６】
もしクライアント31D02又はサーバ31D06が、最新トンネル情報を用いたトンネルの確立中に問題を検出したとき、一方又は他方の装置は、トンネル情報の新たなセットが、それぞれAPI-31CP2又はAPI-31CP0を介してSRV_CNTRLによって生成されるよう、要求することができる。新たなトンネル情報セットは、情報共有31C-6を介して、ペアリングする両方のピアと共有される。クライアント情報31D02はAPI-31CP4を介して送信され、サーバ情報D02はAPI-31CP6を介して送信される。
【０２５７】
クライアントリスト31C-4及びサーバ31D06の最新状態は、サーバ可用性31C-2に直接影響を与える。
【０２５８】
各サーバ31D06は、クライアントリスト31C04を組織し、安全化し、調整する必要がある。これは、サーバ31D06の共有リソースへの新たなトンネルを構築するよう試みる。この情報は流動的であり、SRV_CNTRL31D00へのセキュアAPIコールを介して定期的に更新される必要がある。
【０２５９】
装置間で情報を安全に調和させるニーズは、それらの間のトンネルの完全性を保護するために不可欠である。
【０２６０】
トンネル構築31S4段階は、情報共有31C-6を介したトンネル確立のプロセスを開示する。トンネルを構築する、クライアントサーバ間のステップについては、図３０を参照されたい。パス31TP0は、クライアント31D02と情報交換31C-10との間のパスを示し、パス31TP2は情報交換3lC-10からサーバ31D06へのパスを示す。
【０２６１】
確立脅威31C-8は、トンネル確立中の、情報交換31C-10に対する脅威を指す。もしトンネルタイプのシグネチャが可視的（visible）であれば、トンネル確立31CC-8中に脅威があるおそれがある（例えば、不当な中間者からの偽のトランスポートレイヤセキュリティ（TLS）ハンドシェイク、ハンドシェイク上のTLSエラー、ポート及びIP識別がブロック又は阻害されること、フィルタリング装置によるタイムアウト、ISP、ファイアウォール又は中間装置によるリセットパケット送信、又は他の脅威）。
【０２６２】
もし情報交換3lC-10が成功すれば、トンネル構築ステップ3lC-12が実行される。このときルートが適用され、他の関連アクションは、トンネルTUNがクライアント31D02とサーバ31D06との間で安全に構築されることを可能にする。
【０２６３】
トンネルアップ31S6は、トラフィックの通常フローがトンネルを通るときを記述する。装置間に情報を伝達することは不可欠である。SRV_CNTRLD00が、様々なクライアント31D02及びサーバ装置31D06についての一意の情報を管理するニーズが存在する。それらの間に構築される複数のトンネルについての情報も同様である。
【０２６４】
装置間の情報交換は、定期的に生じる必要がある。この理由は、新たな動的なトンネルを生成するニーズが繰り返し生じるからである。IPアドレス上のいくつかのポートはブロックされ又はブロックされるようになるおそれがある。そのIPアドレスに対するポートを単純に変更することで、トンネルを確立することと、データを流すこととが可能になる。更に、各トンネルは、IPアドレス毎に１以上の一意のポートを必要とする。これにより、トンネル間の衝突を避けることができる。クライアント装置31D02が、新たなトンネル情報が作成されることを要求すると、ランダムなポート番号が生成され、ターゲットサーバ31D06上の特定のIPアドレスに対するポート可用性が、２以上の要因についてチェックされる。２以上の要因は次のものを含む。すなわち、そのポートが既存のトンネルによって既に使用されているか否か（動作中か、又は、動作可能になることができるスタンバイ中のものか）、あるいは、そのポートがその特定のクライアント31D02／サーバ31D06のピアペアによって使用されたことがあるか否か、あるいは、ブロックされたことがあるか否か、である。いずれの場合も、新たにランダムな番号が生成される。IPアドレス毎に、65536個のポートが存在する。特定の番号が、特定の装置のために予約されている。例えば5500個のポートがあれば、60036個のポートが利用可能である。これらはランダムナンバージェネレータによって使用可能であり、下限は5001個、上限は65536個である。トンネルが解体され、ポートがピアペアについてブロックされたとしてマークされると、他のピアペアにとって利用可能となる。ポートを解放することは、ポートの消耗を避けるのに必要である。したがって、SRV_CNTRL31D00によってIP及びポート通信の組合せを追跡することが必要である。
【０２６５】
トンネルは、ステップを通して自身の確立を支援するが、それには制限もある。セキュアであっても、ほとんどのトンネルは確立中に可視的である。それがどの種類のトンネルであるかについてのハンドシェイク及びシグネチャは、動作中に可視的である。手動でキーを設定することは不便であり、頻繁に変更されることもない。もし長期間使用されれば、それが故障するリスクは増大する。したがってキーは、頻繁に新たなキーへ変更されるべきである。
【０２６６】
自動システムは、情報（新たなキー、IPアドレスに対するポート及び他の情報）が作成されることと、ピアペアの両端にとってこの情報が利用可能であることを確実にする必要がある。これによってトンネルは構築又は再構築される。両端はトンネルを構築可能なように構成及び準備されている必要がある。したがって、ピアペア間での情報交換はセキュアである必要があり、さもなければトンネル自体のセキュリティの完全性は妥協されてしまう。
【０２６７】
トンネルが稼働され（トンネルアップとなり）トラフィックをプッシュする間、動作上の脅威31C-14が存在する。トンネルシグネチャは、可視的であってよい（例えばトンネルはスニフ（sniff）可能であり、不明瞭でない）。トンネルのタイプが検出できれば、トンネルの構造は既知である。このことにより、パケットストリームが横取りされるリスクが生じ、また、暴力的キー破壊（brute force key breaking）がトンネルのコンテンツを復号化するために用いられるリスクが生じる。また、もしリセットコード又は他のトンネル制御コードが既知であれば、リセット信号がトンネルを破壊する可能性がある。したがって、ピアペアにおけるクライアント31D02とサーバ31D06装置との間のトンネルセキュリティ及び完全性を維持するために、情報の更新及び共有が自動化され安全である必要がある。
【０２６８】
GVN構造は、装置が、最新の情報に基づいてピアペア間において、自動で安全なトンネル確立に対応することを可能にする。セキュリティ特徴及び方法論の組み合わせは、自己強化的な保護手法を提供する。
【０２６９】
図３２乃至３５は、ホップ数をベースインターネット接続のホップと比較しつつ、GVNトンネルの中立性及びセキュリティに関するGVNの第３層を示す図である。これらの図におけるLANとの用語は、一般的なものを意図し、家庭、オフィス、又はインターネットデータセンタ（IDC）のネットワークを提示する。装置は、LANに接続されるクライアント又はサーバである。図３２は、LANからEPD、SRV_AP、及びインターネットへのGVNトンネルを示す。図３３は、LANからEPD、SRV_AP、EPD及びLANへのGVNトンネルを示す。図３４は、LANからEPD、SRV_AP、SRV_AP、EPD及びLANへのGVNトンネルを示す。図３５は、ピアリングポイントを含む追加要素として、図３４における、LANからEPD、SRV_AP、SRV_AP、EPD及びLANへのGVNトンネルを示す図である。
【０２７０】
４つ全ての図面は、EH1からEH17までの基準線を共通要素として含み、ベースインターネット接続の外部ホップを示す。各ホップ間の距離は正しい縮尺ではなく、ホップ数以外の何も示さない。他の共通要素は、ローカルエリアネットワークLAN1と、一端のゲートウェイ装置GWD1と、他のLAN2と、他端のGWD2とを含む。この例示的実施形態の各変形例はまた、アクセスポイントサーバAP-1に接続された、GVNエンドポイント装置EPD-1を有する。これらの装置間にはトンネルが存在し、GVNの第３層内には、装置NHl及びNH2毎に１つのニュートラルホップが存在する。
【０２７１】
図３２は、LANからEPD、SRV_AP、及びインターネットへのGVNトンネルを示す。トンネルはまた、他の方向に動作することができ、インターネットからGVN及びLANへのエントリアクセスを提供する。AP-1とインターネットとの間には存在点POP-1が存在する。他のPOP-2は、インターネットとGWD2との間にあり、そのLANの接続のためのネットワークアクセスポイント（NAP）を示す。
【０２７２】
図３３は、LANからEPD、SRV_AP、EPD及びLANへのGVNトンネルを示す。この変形例は、１つのSRV_APを介した、２つのLANの端の間の、エンドツーエンドのGVNトンネルを示す。この変形例と図３２との間の差は、トンネルが、EH3からEH15まで、インターネットを介した通過する範囲の全体にわたって延びることである。第２のEPD-2が示される。
【０２７３】
EPD-1とAP-1との間には１つのトンネルがある。これは、AP-1とEPD-2との間の第２のトンネルに連結される。GVNの第３層内には、NHl、NH2及びNH3で示される３つのニュートラルホップが存在する。これに対して、EH3とEH15との間のベースインターネット上には１３のホップが存在する。
【０２７４】
したがって、LAN1からLAN2までの合計ホップ数は、最低で７ホップ（LAN1、GWD1、NHl、NH2、NH3、GWD2、LAN2）である。エンドツーエンドの数は、EH1及びEH17に示される両端の２つの内部ホップを含み、最低で１７ホップである。
【０２７５】
図３４は、LANからEPD、SRV_AP、SRV_AP、EPD及びLANへのGVNトンネルを示す。この変形例は、２つ（またそれ以上）のSRV_APを介した２つのLANの端の間の、エンドツーエンドのGVNトンネルを示す。この変形例と図３３との間の差は、第２のAP-2がパスに挿入され、AP-1からAP-2と、AP-2からEPD-2との他の連結を示すことである。他の追加の内部ニュートラルホップによって、GVNの第３層内のホップカウントは８になる。
【０２７６】
図３５は、ISPとネットワーク端との間のピアリングポイントを含む追加要素として、図３４における、LANからEPD、SRV_AP、SRV_AP、EPD及びLANへのGVNトンネルを示す図である。この変形例は、２つのLANの端の間の、２つのSRV_APを介したエンドツーエンドのGVNトンネルを示す。これは更に、異なるインターネットサービスプロバイダ（ISP）についての更なる情報を示す。ISPは、EH-3とEH-15との間のインターネットの特定部分にわたって、トラフィックを伝送する。
【０２７７】
この変形例と図３４との間の差は、追加要素が示されることである。図９に示すような次の要素が、例示的実施形態のこの変形例に付加される。a)EDGE-1は、LAN-1の装置とISP-1のPOPとの間のネットワークアクセス接続についての境界点である。b)PP-01は、ISP-1及びISP-2ネットワークの間のピアリングが生じる場所である。c)PP-02は、ISP-2及びISP-3のネットワークの間でピアリングが生じる場所である。d)EDGE-2は、LAN-2の装置とISP-3のPOPとの間のネットワークアクセス接続の境界点である。
【０２７８】
PP-1にSRVAP-1を配置して、このSRV_APがISP-1及びISP-2の両方に直接ピアリング可能にすることによって、いくつかの利点が実現される。PP-2にSRVAP-2を配置して、このSRV_APがISP-2及びISP-3の両方に直接ピアリング可能にすることによって、更なる利点が実現される。もしISP-2のネットワークが理想的でなければ、代替的にGVNによって、トラフィックがISP-2の周囲の別のルート、ライン、ISP又はキャリアへ、代替的にルーティングされるようにすることができる。
【０２７９】
GVNにおけるニュートラルな第３層を介するホップ数は、図３４と同様、８のままである。ISP間の距離は正しい縮尺ではない。更に、ISPのネットワーク内ではより多くのホップが存在し得るが、簡易化の目的により、図示される量は簡易化される。
【０２８０】
図３３、３４及び３５は全て、APホップでのトンネル連結を示す。しかしこれは、LAN1及びLAN2内のクライアント装置によっては、単一のトンネルとして見られる。この単一のトンネルは、GVNのニュートラルな第３層を示す。ここでは、通常、インターネット及び他のトンネル（例えばIPSec、オープンVPN、PPTP又はその他）上を通過する全てのトラフィック（TCP、UDP及び他のプロトコル）を流すことができる。GVNの第３層によって、他の利点が実現される。そのいくつかには、より低いTTLや、ルーティングに対するより広い制御が可能である機能や、他の利点が含まれる。
【０２８１】
図３５は、様々なネットワーク構造をネットワークタペストリへと共に組み合わせることを示す図である。この例示的な実施形態は、物理層での様々なネットワーク構造をオーバーザトップ（OTT）で共に組み合わせることを示す。ここでグローバル仮想ネットワーク（GVN）が動作する。物理層36102におけるこれらの構造は、ネットワークセグメントのチェーンを含み、これは例えばIPv4、IPv6を利用可能であってよいし、ただ１つ又はその他のプロトコルを利用可能であってよい。エンドポイント装置（EPD）36100からLAN(36000)へは、IPv4及び／又はPv6であってよい。EPD36100とアクセスポイントサーバ（SRV_AP）36300との間のトンネルTUN36P2は、一方の、他の又は両方のプロトコルであってよい。
【０２８２】
出入口ポイント（EIP）36302は、GVNからインターネットレベルのネットワーク構造への出口ポイント及び入口ポイントを示す。パス36P04は、IPv4インターネットネットワーク36400への接続を示し、パス36P06はIPv6インターネットネットワーク36600への接続を示す。
【０２８３】
キーポイントは、GVNのタペストリは、構造のエンドツーエンドのリンク（例えばIPv4インターネット36408からLAN3600内のIPv4や、IPv6インターネット3608からLAN36000へ）を可能にする。このことは、仮に物理レベル36102でいくつかの非類似セグメントが存在しても当てはまる。
【０２８４】
図３７は、自動装置協働のためのGVN内通信パスを示す。この例示的な実施形態は、ニュートラルなAPIメカニズム（NAPIM）37202、37206又は37208によって使用される通信パス（例えばP37202-C）を示す。これは、共に動作してグローバル仮想ネットワーク（GVN）を構成する様々な装置間の自動インタラクションのためのものである。
【０２８５】
キーとなる動作態様は自動化され、迅速な全体的レスポンスを支援する。これらはインフラストラクチャ動作、ハートビートルーティン、接続、テスト及び診断、並びに他の機能性を含む。
【０２８６】
インフラストラクチャ動作は、例えば、装置が動作させるシステムソフトウェアとパッケージとを、予測可能性を有し信頼可能なソースから最新に維持することや、GVNモジュール、データベース及び他の動作を維持することを含む。例えばエンドポイント装置（EPD）100は、中央制御サーバ（SRV_CNTRL）200を、API37202を介して、パスP37202-B及び37202-Cに沿ってクエリすることができる。他の実施形態では、Eメールゲートウェイサーバ（SRV_GW_Email）37310は、SRV_CNTRL200からのシステムパッケージを更新することができる。SRV_CNTRL200は、連結システムソフトウェアにとって信頼できるソースである。
【０２８７】
他のアイテム（例えば、デーモン又は他の反復周期的動作を介して実行するハートビート機能）は、サービスを維持し、稼働し、健全に保つことを含む。また、他のアイテムは、装置（例えばアクセスポイントサーバ（SRV_AP）300）から報告することや、API37202を介してパスP37202-AからP37202-Cを通ってSRV_CNTRL200へ報告することを含む。また、（例えばAPI37208を介して、パスP37208-AからP37208-Cを通る）冗長パスが存在する。他のハートビート機能は、キューを動作させて空の状態にし、また、ログデータ及び他の動作を複製可能である。
【０２８８】
（例えばEPD100とSRV_AP300との間のトンネルP37206-C等の）接続のため、関連情報が、トンネルの両端、SRV_AP300のリスナ、及びイニシエータEPD100によって要求される。この情報は、各装置又はトンネルに関連したピアペア情報を含む。両方とも、API37202を介して独立パスによりSRV_CNTRL200と通信する。
【０２８９】
仮想インタフェースにフックされた複数トンネルや、装置間の１より多いトンネルオプション（例えばEPD100からSRV_AP200、又はSRVAP200からSRV_AP20x）の存在により、複数トンネル、ルート又は他の情報の管理のため、様々な異なるAPIコールが要求される。
【０２９０】
サーバ可用性を強化するアルゴリズムは、様々な種類の情報を全体的に分析して、EPDへSRV_APサーバのリストを提供することに依存する。これを用いることで、それらはトンネルを介して接続可能である。各トンネルは、一端のIPアドレス及びポートがGVNにマッピングされてルーティングがクリアとなり、変化する情報が最新となることを要求する。自動装置協働は、これを支援する。
【０２９１】
情報共有のためのキーコンポーネントは、テスト及び診断データのそれのためのものである。そのデータは、層１の物理ネットワークから、GVN構築層３から、又はGVN層２のロジックからのデータである。この接続情報は、SRV_CNTRL200上での分析のためにより多くの情報を提供する。このデータの複製はまた、API37208又は他の通信パスを介してロギングサーバへなされる。分析結果はまた、ロギングサーバ上に格納可能である。
【０２９２】
APIメカニズム自身のアクション機能を更新、追加又は否定するための内部セキュリティ監査によって、APはまた、それ自身についての情報（例えばピアペア資格情報、ID及び他の情報、各々のキュー、調整のためのトランザクションログ）を、ピアリングにおける各ペアに対し更新するために使用可能である。
【０２９３】
システム及びリソースの監視及び報告がキーとなる。このとき、サービスを維持し稼働させること、ホスティングが動作すること、データベースエンジンが維持されて稼働すること、及び、セキュリティシステムが稼働すること、についての情報が自動的に伝送される。
【０２９４】
図３８は、動的なトンネル構築についての問題及び難題を示す図である。この例では、ファイル、データベース構造及び他のデータを、リポジトリ38R-00からGVNの装置38D-00へ転送する。この例が、動的なトンネル構築についての問題及び難題を示す。殆どの場合、リポジトリ38R-00は、GVNの中央サーバ（SRV_CNTRL）上にある。装置38D-00は、エンドポイント装置（EPD）、アクセスポイントサーバ（SRV_AP）、ゲートウェイサーバ（SRV_GW_XX）、又は他のGVNの装置であってよい。
【０２９５】
装置タイプに応じて、新たに作成された装置は、マスターディスクのクローンをロードされ、第１のブート中に構成されてよい。あるいは、リモートサーバの場合は、第１のブートスクリプトは、安全にサーバに転送されて実行され、ベースシステムファイルをプルする。他の潜在的な処理は、事前にロードされたファイルとリモートでロードされたファイルとを組み合わせることである。
【０２９６】
第１のブートスクリプトを実行すると、最新のデータベース構造は、リポジトリ38R-00のデータベース構造リポジトリ38R-06-Aから、装置38D-00上のデータベース38D-04へと複製される。データベースを設定するデータは、38P06を介して、DBデータリポジトリ38R-06-Bからアイデンティティ情報モジュール38S-00へ送信される。38S-00を通るいくつかのデータは、フィルタリング及び修正され、アイデンティティ情報（例えば装置ID、他のUUID要素、及び、修正のない直接コピーとして渡される他のデータ）を組み入れる。
【０２９７】
装置のタイプ及び世界的に一意な装置識別子（UUTD）に基づいて、装置38D-00にとって適切なデータは、パス38P16を介してデータベース38D-04へと送信される。いくつかの情報はまた、テンプレートコンフィグレーション（構成）ファイルへと設定され、これは、装置38D-00上のソフトウェア及びコンフィグレーションファイルストレージ38D-02上にクローン（複製）される。装置毎に一意なアイデンティティ情報は、装置属性、名称及びUUTD情報、資格証明書／キー、キーアジャスタ、他の情報を含む。
【０２９８】
システムパッケージ及び他のモジュールのための設定ファイルは、リポジトリ38R-00上のリ設定ファイルリポジトリ38R-02-Bからクローンされ、パス38P02を介して、装置38D-00上のソフトウェア及びコンフィグレーションファイルストレージ38D-02へ送信される。いくつかの「工場出荷時の設定」及び他のファイルはまた、パス38P10を介して、装置38D-0上のセキュアファイルストレージ38D06へコピーされる。セキュアファイルストレージ38D-06は、GVNのファイル及びフォルダマネージャによって管理される。38D-06からのファイルはまた、38P12を介して、必要なときに38D-02へクローンされる。これは例えば、工場出荷時の設定へと戻す必要がある場合である。
【０２９９】
リポジトリ39R-00からのコードベースファイル39R-02-Aは、ソフトウェア及びコンフィグレーションファイルストレージ38D-02へ、パス38P00を介してコピーされ、また、セキュアファイルストレージ38D-06へパス38P8を介してコピーされる。
【０３００】
上記は、第１のブート、更新、定期的データ交換及び他の動作中に、ファイル及びデータをリポジトリから装置へロードすることを示す。図３９は、２つのLANを２以上のEPDを介してワイドエリアネットワーク（WAN）へとブリッジングすることを示す図である。より具体的には、この図は、２つのLAN39-000及び39-010を、ワイドエリアネットワーク（WAN）へと、EPDを介してブリッジングすることを示す。各EPDはまず、アクセスポイントサーバSRV_AP39-200へ、インターネット接続のオーバーザトップ（OTT）で構築されるベーストンネルを介して接続する。
【０３０１】
ベース接続パスOTTは、EPD39-100からパス39-PO02を介した、存在点（POP）39-002、インターネット39-004及びSRV_AP39-200のPOP39-006へのパスである。ベース接続パスOTTは、EPD39-110から、パス39-PO12を介して、存在点（POP）39-012、インターネット39-014及びSRV_AP39-200のPOP39-016へのパスである。
【０３０２】
POP39-006からPOP39-016への通過パス39-P06は、SRV_APを通過し公衆ネットワーク上のルーティングに依存することによって、インターネットを介したパスであってよい。もしEPD39-100がインターネットを介してEPD39-102へ接続することを希望する場合、GVN又はEPDの制御を受けないポリシーに基づいて、異なるルートをたどってよい。
【０３０３】
EPD39-100は、それ自身とSRV_AP39-200との間にトンネルTUN39-P10を構築する。
【０３０４】
EPD39-102は、それ自身とSRV_AP39-200との間にトンネルTUN39-P12を構築する。これらのトンネルの１つ又は両方は、暗号化又は安全化されてよいし、されなくてもよい。別のトンネルが存在してよく、内部トンネルINTTUN39-P20は、他の複数のトンネルの両方を通り、SRVAP39-200にて連結される。内部トンネルを通してトラフィックが流れる。このトンネルは通信パスであってよく、これを通してWANが構築される。
【０３０５】
トンネル及びベース接続は、異なるネットワークプロトコルを用いてよい。GVNによって提供されるネットワークタペストリは、異なるネットワークプロトコルを混合したものであってよい。これは、様々なネットワークセグメントのチェーンへマッピングされる。他方で同時に、GVNは内部トンネル内の、ネットワークタイプのエンドツーエンドであってよい。
【０３０６】
図４０は、GVN上で動作する複数周縁メカニズム（MPFWM）を示す。この実施形態は、グローバル仮想ネットワーク（GVN）内で、第２段階のオーバーザトップ（OTT）要素40TOP88がどのように存在するかを示す。第１段階のOTT40TOP86にて、GVN40-86は、ベースインターネット接続40-82を動作させる。複数周縁ファイアウォールメカニズム40-88の構築の場合、それはGVNのOTTで動作されるので、第２段階のオーバーザトップ要素40TOP88として解釈され得る。
【０３０７】
図４１は、インターネットのオーバーザトップ（OTT）で構築されるGVNスタックを示す図である。この実施形態は、インターネット41-000のオーバーザトップで構築されるGVNスタック41-800を開示する。この図は、TUN41-100-300及びTUN41-100-302を介した、EPD100と２つのSRV_APサーバ300及び302との間の接続を示す。これら２つのトンネルは、EPDと最善の最新アクセスポイントサーバ（SRV_AP）との間の複数トンネルオプションの一例である。その複数トンネルオプションは、サーバ可用性及び他の要素（例えば宛先、トラフィックタイプ、発信元と宛先との間の様々なネットワークセグメントのQoS等）に基づく。
【０３０８】
タペストリ41-500は、個別のネットワークセグメントの様々なネットワークプロトコルや、GVNパスを「通過する」エンドツーエンドのプロトコルを一緒に組み合わせたものである。
【０３０９】
クラスタGVN装置41-600は、GVNの装置間ルートの物理層を示す。
【０３１０】
インターネットのOTTのGVNグローバルネットワーク及び他のリンク経由41-700は、GVN層２のロジックである。ここでは、モジュール（例えば地理的宛先、DNS管理、アドバンストスマートルーティング（ASR）／グローバルASR（GASR）、サーバ可用性、トンネル管理、及びビルダモジュール等）が動作する。
【０３１１】
GVN41-800は、クライアントユーザが見るネットワークを示す。
【０３１２】
図４２は、インターネットプロトコルIPスタックB2、OSIモデルC2、及びGVNスタックC3を比較する。
【０３１３】
IPスタックは、ネットワークインタフェースT1、インタフェースT2、トランスポートT3及びアプリケーションT4を含む。
【０３１４】
非GVNトラフィックとクライアントにとって見えない物理トンネルとがETHNICN1を介して出るためには、クライアントによって見られるIPスタックは、ネットワークインタフェースT1層の要素R1、インタフェースT2層のR2A、トランスポートT3層のR3A又はR3B、アプリケーションT4層のR4A、R4B又はR4Cをたどる。
【０３１５】
GVNトンネル及びネットワークを通るトラフィックにつき、クライアントは、ネットワークインタフェースT1層で、R4CでのGVNトラフィックを見て、インターネットT2層でR5を見て、トランスポートT3層でR6A又はR6Bを見て、アプリケーションT4層でR7A、R7B又はR7Cを見る。
【０３１６】
トンネルを介したIPトラフィックにつき、クライアントによってOSIモデルが用いられてよいが、GVNはネットワークインタフェースG1、インターネットG2、トランスポートG3、GVNルーティング及びロジックG4、GVNインターネットG5、トランスポートG6、アプリケーションG7という自身のスタックを有する。
【０３１７】
［ロジック］
図４３は、多くの可能なルートを介した国家間のグローバルなインターネットフローを示す図である。国家間のグローバルインターネット上のトラフィックは、ピア間を、多くの可能なルートを介しつつ、異なる相互接続子を通過して流れる。
【０３１８】
地域（例えばアジア）内の国家におけるインターネットは、主に地上及び水中のリンクの両方によって、互いに接続される。典型的には、一方の国から他の国へのトラフィックが、中間にある第３の又はそれ以上の国を通過するときに、それらは連鎖する。
【０３１９】
43-X01は、アジアから欧州への最も直接的なルートを示す。例えば43-X01を介して香港からパリへ向かう場合、通るルートに応じて、レイテンシは180ミリ秒と250ミリ秒の間である。
【０３２０】
43-X02は、間接的で、より長いパスである。ここでのトラフィックはインターネットを介して自然にプッシュされる。ここでトラフィックは、アジアから米国西海岸43-400へリンク43-P400を介して進み、その後米国東海岸43-402へリンク43P402を介して進み、その後リンク43P600を介して欧州43-600内の上陸点へ進む。43-X02を介するレイテンシは、これは、欧州内の宛先によって、約396ミリ秒から550ミリ秒又はそれ以上であってよい。
【０３２１】
地域を出る前に、トラフィックは１つの国から１以上の他の国へ中継されなければならず、その後国際的バックボーンへアクセス可能である。例えば中国43-000からのトラフィックは、リンク43P002から香港43-002へ流れ、その後リンク43P006を介して日本国43-006へ流れる。トラフィックが地域を出る前であっても、これらの追加の地域内ホップは50ミリ秒から150ミリ秒又はそれ以上をRTTへ上乗せする。
【０３２２】
宛先地域に一旦入ると、トラフィックは、大西洋間リンク43P600から１つの国（例えば英国43-600）へ上陸する。トラフィックは、英国43-600からリンク43-600を介してフランス国43-602へ流れ、次いで、リンク43P606を介してドイツ国43-606へ流れる。これらの追加の地域内ホップは、宛先に応じて、30ミリ秒からそれ以上のミリ秒をRTTに上乗せし得る。
【０３２３】
国際的バックホールの質はピア間で変化する。各々のピアは、様々なRTTのQoS時間を有する。通常のインターネット上のルート及び対応する速度は、中間の参加者によって決定される。これらはほとんどの場合、最も安い価格に基づき、遅いRTT速度で伝送を行う。高いレイテンシは低品質のネットワーク上で対処すべき唯一の問題ではない。これらは通常、高いレベルの混雑と、それに対応した過大なパケット損失とを伴う。損失を生じる遅いリンクは、性能を著しく落とす。
【０３２４】
図４４は、インターネットプロトコルIPスタック、OSIモデル及びGVNネットワークスタックを再び比較する図である。この実施形態は、様々な概念的なネットワークモデル（例えばTCP/IPスタックB2、オープンシステム相互接続モデル（OSI）A2又はC2）や、変形例（例えばGVNスタックA3内のTCP/IPモデル、GVNC3のモデル）を比較する。
【０３２５】
２つの視点が提示される。クライアント視点A1は、左右に並んだA2とA3とを比較する。グローバル仮想モデルネットワークC1はC2とC3とを比較する。また、ツリー接続層B2が存在する。
【０３２６】
TCP/IPモデルB2内では、イーサネットプロトコルR1に対応するネットワークインタフェースT1が存在する。インターネットT2は、インターネットプロトコル（IP）R2に対応する。トランスポートT3層は、TCPプロトコルR3A及びUDPプロトコルR3Bに対応する。他のプロトコルがこの層に存在して動作してよい。これの上位はアプリケーション層T4であり、ここではハイパーテキストトランスファープロトコルHTTPR4A、メールサービスPOP3R4B及びGVNアプリケーションが存在する。他のアプリケーション（例えばファイル転送プロトコル（FTP）又は他のサービス）がこの層内に存在してよい。
【０３２７】
B2の範囲内でTCP/IPモデルをOSIモデルと比較すると、OSIデータリンクS9及び物理リンクS8がT1と並行である。OSIネットワークS10はT2と並行である。OSIトランスポートS11は、T3と並行である。
【０３２８】
OSIセッションS12、プレゼンテーションS13、アプリケーションS14の層は、GVNアプリケーションR4Cの範囲内である。
【０３２９】
GVNB3を通るTCP/IPモデルは、R4C上方のネットワークツリーへの拡張を構築する。
【０３３０】
クライアントの視点から見れば、層Tl、T2、T3及びT4は、単一のTCP/IPモデル層T5へと組み合わされ、GVNのニュートラルな第３層のネットワークインタフェース層となる。これは、OSIモデルA2を、物理S1層及びデータリンクS2層と比較する。
【０３３１】
R4Cの上位には、第３層内の内部レイヤ表現が存在する。内部IP層はR5にあり、これはインターネットT6のレベルA3と、A2ネットワークのレベルS3とに対応する。
【０３３２】
TCPプロトコルR6A及びUDPプロトコルR6B並びにこのレベルは、A3レベルのトランスポートT7とA2レベルのトランスポートS4とに対応する。他のプロトコルがこの層に存在して動作してよい。
【０３３３】
クライアント視点のアプリケーション層T8は、インターネットプロトコル（例えばFTPR7A、HTTPR7B及びPOP3）と対応する。OSIモデルは、アプリケーション層T8を３つの層に分割する。すなわち、セッションS5、プレゼンテーションS6及びアプリケーションS7である。
【０３３４】
GVNの３層モデル内では、A1は第３層内の動作を記述し、一方、B1及びB2は第１層内の動作を記述する。T4におけるGVNアプリケーションR4C及びC1のもとでの動作は、どのように第２層が機能して、第３層が第１層の上位で動作することを可能にするかを記述する。
【０３３５】
GVNの第３層でのネットワークの動作と、第１層でのそれとの間には類似性がある。
【０３３６】
ネットワーク接続N0は、通常のインターネットN1上の、WANN2を介した、専用回路N3、MPLS線N4又はインターネットへの他のリンクであってよい。
【０３３７】
図４５は、GVNを介した２つのLANの間のトンネルを示す図である。具体的には、この図は、LAN45-000からLAN45-002までの、GVNパス45P00から45P10を介した内部パスと、内部トンネル45L300を通るセグメントとを示す。45H0から45H8までには５つのホップが存在し、それらは、２つのLAN間のいずれの方向においても、クライアントにとって可視的である。45L300を通るパスは、クライアントにとって可視的なGVN層である。
【０３３８】
GVNのレベル１ネットワーク層45L100は、様々な異なるタイプのネットワークセグメント（エンドツーエンド）についての物理ネットワーク層を示す。この図では示されないが、ホップ及びネットワークセグメントの数は、クライアントにとって可視的な内部トンネル45L300内のそれらと少なくとも等しく、おそらくそれ以上である。
【０３３９】
ロジック層のレベル2ロジック45L200はロジックである。ここでは、様々なネットワークセグメント統合、ルーティング及び他のGVN動作が生じる。
【０３４０】
もしクライアントパスがトンネルを通してIPv6であれば（IPv4セグメントだけであれば45-104のようになるが）、内部IPv6トラフィックはカプセル化され、その結果、ネットワーク層45L100でのネットワークタイプにかかわらず、ネイティブIPv6のエンドツーエンドのままである。
【０３４１】
図４６は、パスP01からP13までを介したベースレベルのネットワークを、GVNT01からT03までのネットワークと比較するものである。
【０３４２】
ベースインターネットレベルCTN140での重要な測定は、LANからGVNまでであり、EPD46-100及びSRVAP46-300を介する。ここに対して、帯域幅BW、レイテンシΔt=Ams、パケット損失、及び他の要因に対する接続性メトリックが評価される。接続の他端では、CTN142にて、類似の測定BW、At=Cms、パケット損失及び他の要因が、EPD46-102からGVNへのトラフィックのオンランピング（on-ramping）を測定する。SRV_AP46-300とSRV_AP46-302との間のGVNを介して、GVNの地域間OTTについて、様々なインターネットセグメントCTN340、測定BW、At=Bms、パケット損失及び他の要因が評価される。GVN層３のGVN4-3を通した全体的なパスレイテンシは、レイテンシA＋B＋Cの合計ミリ秒として算出可能である。
【０３４３】
GVN層３のGVN4-3、ASR及び他の特徴は、GVNを通るトラフィックが、どこをどのように流れるかを管理する。これは、ターゲット地域及びトラフィックタイプ、GVNを通るセグメントのQoS及び他の要因に基づいて、トラフィックを送信するのに最適なトンネルを判定することを含む。
【０３４４】
GVN層１のGVN4-1にて、ベースネットワーク接続の物理状態が監視され、どの上位でGVNトンネルとそれらを通るパスとを構築するかについての最適なルート選択肢を判定するために、テストされる。GVNパスは、SRV_AP、SRV_BBX及び他のGVNハードウェア装置を通る連結トンネルを通過する。これはまた、どのトンネルを作成し、使用を継続するか、及びどれを否定するかを判定可能である。
【０３４５】
GVN装置２のGVN4-2におけるメカニズム、モジュール及びコンポーネント部分は、層３のGVN4-3とGVN層１のGVN4-1との間のトンネル配置（plumbing）の設定、テスト、管理及び動作を支援する。トンネルテスト46-310は、EPD4100とSRV_AP46-300とにおける層３において、トンネルテスタ46-312を介して実行される。
【０３４６】
図４７は、アドバンストスマートルーティング（ASR）の特徴と、エンドポイント装置（EPD）内のGVNの地理的宛先メカニズムの要素とを示す図である。これは、複数DNSソースを用いて、複数パスを介して世界の様々な地域にある出口ポイントへトラフィックを送信することを含む。この例示的実施形態で示されるターゲット地域は次のようなものである。１）ローカルトラフィックはVIF347-118からインターネット47-004までローカルである。２）他の地域のインターネット47-002へ向けられるトラフィックは、VIF147-112からTUN1102-6、パス47P48及びSRVAP47-300まで進み、その後パス47P50を介してインターネット47-002へ進む。３）他の地域のインターネット47-006についてのトラフィックは、VIF247-116からTUN2102-8、パス47P52、SRV_AP47-302まで進み、その後パス47P54を介してインターネット47-006へ進む。４）他の地域のインターネット47-008についてのトラフィックは、VIF347-118からTUN3102-10、パス47P56、SRV_AP47-304まで進み、その後パス47P62を介してインターネット47-008へ進む。
【０３４７】
SRVAP47-304は更なる詳細を含み、APロジック47-314及びコンテンツプルエージェント47-318のコンポーネントの機能を示す。更にEPD100は、より詳細なフローチャートを含み、その内部的な機能コンポーネントを示す。
【０３４８】
トンネルTUN1102-6、TUN2102-8及びTUN3102-10並びに、VIFであって、仮想インタフェースVIF147-112、VIF247-116及びVIF347-118の各々にルートテーブルが適用されたVIFを通るトラフィックフローは、仮想インタフェース及びトンネルと類似の方法で動作する。
【０３４９】
DNSキャッシュ47-114は、共にローカルDNSを介する複数DNSソースからシーディングされる。クエリメカニズム47-110は、パス47P38、インターネット47-004、SRV_DNS47-104及び47P34を介する。リモートDNSクエリメカニズム47-108は、コンテンツプルエージェント（CPA）47-318、47P44及びSRV_DNS47-114を介してDNSクエリを生成可能である。
【０３５０】
地理的宛先メカニズム（Geo-D）は、47P04を介してルーティング情報をルーティングマネージャ47-104へプッシュし、コンテンツデリバリエージェント（CDA）47-106をCPA47-318と接続する。JO1を介した47P30から47P40へのパスは、CDA47-106と協働するCPA47-318の協働を抽出して示すものである。CPAとCDAとの間の通信は依然として、トンネル及び／又はAPIコールを介し、チェーンキャッシュを介し、又はトンネルを通る転送である。あるいは、当該転送は他のメカニズムを介してよい。
【０３５１】
この例示的な実施形態では、Geo-Dを介して、CPA47-318は全ての地域的コンテンツを、ホストサーバ47-110から47P66を介してコンテンツをプルし、インターネット47-008から47P62を介してSRV_AP47-304へプルする。ホストサーバ47-110は宛先コンテンツをホスティングし、このコンテンツ内部で、CPA47-318は他のコンテンツに対するリンクを検出する。CPA47-318は次いで、47P64を介してホストサーバ47-108からコンテンツストリームをプルする。他のコンテンツが、47P68を介してホストサーバ47-112からプルされてよい。多くのウェブサイトにとって、１つにサーバ上に、ページや、他のサーバからストリームする動画ファイルや、他のサーバから提供されるグラフィックをホストすることは一般的である。
【０３５２】
図４８は、トラフィックがGVNを介して通る、様々な同時的パスの一例を示す図である。EDGE-1の左側はLAN側を示す。右側はインターネットに面する側を示す。EDGE-2の右側はLAN側を示し、左側はインターネットに面する側を示す。
【０３５３】
LAN001内の装置からのトラフィックは、EPD101を出て、P002を介して暗号化トンネルP003からSRV_AP102へ進む。次いでそのトラフィックは、一般のインターネット106へ出て、パスH005を介してホストクライアント又はサーバ装置D005へ到達する。LAN201内の装置からのトラフィックは、EPD301を出て、P103からSRV_AP302へと進み、P106を介してインターネット106へ進み、H005を介してホストクライアント及びサーバ装置D005へ到達する。
【０３５４】
EPD101は、P003からSRV_AP102、P006、インターネット106、P106、SRV_AP302、P103及びEPD301へとリンクすることができる。パスP003及びP103を介したEPDとSRV_APとの間には、セキュアトンネルがある。エンドツーエンドのトンネルにとって完全なセキュリティを確保するために、EPD間のパスは、EPD101からP005、SRV_AP103、P007、WAN107、P107、SRV_AP302、P105及びEPD301を介する。
【０３５５】
EPD101は、P003を介してSRV_AP102へセキュアトンネルを構築して、そしてそこから、P201、WAN103、P202、SRV_AP104を介した他のセキュアトンネルへのリンクを確立可能であり、パスP203を介してリモート地域にあるインターネット105へ出て、そこから、パスH002を介してホストクライアント及びサーバ装置D002へ進むことができる。
【０３５６】
EPD301は、P103を介してSRV_AP302へセキュアトンネルを構築し、そしてそこから、P301、WAN303、P302、SRV_AP304を介した他のセキュアトンネルへリンク可能であり、パスP303を介してリモート地域にあるインターネット305へ出て、そこから、パスH004を介してホストクライアント及びサーバ装置D004へ進むことができる。
【０３５７】
EPD101はまた、EPD101、SRV_102、SRV_AP302及びSRV_AP304の間にあるセキュアトンネルを介してインターネット305における各装置へ達することができ、そこからインターネット305に出ることができる。
【０３５８】
EPD301はまた、EPD301、SRV_302、SRV_AP102及びSRV_AP104の間にあるセキュアトンネルを介してインターネット105における各装置へ達することができ、そこからインターネット105に出ることができる。
【０３５９】
エンドツーエンドトンネル間、オープンインターネット上の出口ポイントへのトンネル間、複数のSRV_AP装置を介したトンネル間等のルーティングのための選択肢は他にも多くある。
【０３６０】
この実施形態で示される重要な点は、GVNによって伝送されるクライアントトラフィックは、（クライアント視点から見ればインターネットを介したパスと同一の）GVNの第３層によって伝送され、それを通して結果的に任意のトラフィックを伝送可能であることである。これは、改善の利点と、GVNによって提供される一層のセキュリティレベルとを実現する。
【０３６１】
例えばパスP008は、ファイアウォールGW002装置とファイアウォールGW202装置との間のWAN最適接続を示し、これはLAN-WAN-LANブリッジを作成する。装置間通信は、GVNの第３層内で伝送され、GW002及びGW202にとって透明である。
【０３６２】
簡易化の目的で、存在点（POP）ネットワークアクセスポイントはこの図には示されない。インターネットからのパス及びインターネットへのパス（例えばインターネット105から装置D002へのパス）は、H002の途中にPOPを有さない。
【０３６３】
この例示的実施形態でのWANは、インターネットの上位におけるGVN装置間のセキュアトンネルを示す。WANについての任意の言及はGVNの第３層のものであり、全てのGVNは依然として第１層を通過する。
【０３６４】
図４９は、開始点49-000における１つの装置からエンド装置49-800への自動アドバンストスマートルーティング（ASR）を示す図である。ルートが利用不可能であれば、自動アドバンストスマートルーティングはルートを構築可能である。これには、新たなトンネルを構築することや最適パスの内部ルーティングを更新することを含むが、これらに限られない。
【０３６５】
テーブル１乃至５は、このアルゴリズムによってデータポイントとして用いられ、ルーティング目的（例えば、GVNからアクセスポイントサーバを介してオープンなインターネットへのトラフィックにとって最適な出口ポイントを判定すること）で使用される。このデータはまた、アルゴリズムによって使用され、他のルートと比較してどのルートが良いかを優先順位付けすることを支援する。
【０３６６】
表１は、発信元から宛先への様々な利用可能パスを提示し、パス順位の評価を含む。
【表１】
2018507639.tif 000003
【０３６７】
2018507639.tif 000004
【０３６８】
評価は、要因の数に基づいたルートについての算出値である。評価0.00は、不可能なルートを示唆する。評価1.00は、有線速度のレイテンシにおいて、最も高い帯域幅を有する最も完全なルートを示唆する。RT_IDは、１つのルートを他のルートから区別するためのルートID番号である。これは、使用、テスト及びロギング上の目的である。これは、GVNを介した様々なルートの品質を判定するために使用される。RT_IDは、ルートリストから特定のルートを識別するためのものである。
【０３６９】
表２は、サーバ可用性マトリックスを示す。
【表２】
2018507639.tif 000005
【０３７０】
サーバ可用性マトリックス内の情報は、サーバID、サーバIPアドレスID、ポート番号、EPD_IPフィールド、パラメータフィールド（セキュリティ、コンフィグレーション設定を含む）、フラグ状態及びタイムスタンプを含む。
【０３７１】
PRIは、EPDが接続するために使用する、重み付けされたサーバ優先順位である。優先度１は、最低の優先度を示す。０は、サーバが現在到達不可能であることを示す。これは、レコードが最新か否かを示すフラグ状態で区別される。PRIは、同一のテーブル内又は他の関連テーブル内で維持されてよい。その理由は、PRIが絶えず変化する値であり、他のテーブルが履歴ロギング及び分析を許可するからである。
【０３７２】
フラグ状態０は、それがスタンバイエントリであることを示す。フラグ状態１は、それがアクティブであり使用可能であることを示す。フラグ状態−１は、それが退出し使用不可能であることを示す。
【０３７３】
表３は、完全なパスのレイテンシや、コンポーネントネットワークセグメントのレイテンシを示す。
【表３】
2018507639.tif 000006
【０３７４】
LANからEPDを介してGVN（又はインターネットや、様々なネットワークセグメントの組み合わせ）へのパスは、パスの合計レイテンシ（又はラウンドトリップタイムRTTとして既知）を有する。これは、発信元から宛先への及び発信元への戻りのICMPピング（ping）の時間（ミリ秒（ms））である。
【０３７５】
最善のルートを評価するために、それはネットワークセグメントのグループへと分解され、合計ネットワークパスの成分を構成する。様々なセグメントを評価することにより、ルーティングについての情報が提供され、使用可能なデータポイントが提供される。パス評価は常に、オープンなインターネットを通過するトラフィックと比較して、インターネットのGVNOTTを通過するトラフィックに対して、追加的な優先度の重みを提供する。
【０３７６】
合計パスのレイテンシは、レイテンシの合計である。すなわち、LANからEPDと、EPDからSRV_APと、GVNトランスポートと、GVN出口から宛先へのレイテンシの合計である。
【０３７７】
表４は、ルートのサービス属性についての測定品質を提示する。
【表４】
2018507639.tif 000007
【０３７８】
この表は、ソースピアと、他の位置又は地域にある他のピアとの間のルートについての、現在及び過去のQoS（サービス品質）の結果のログとして維持される。これは、リアルタイムで使用されて、現実世界の状況に基づいたQoS予想判定を行うことができる。この表は、各発信元装置に設けられ、ルート性能を示す。
【０３７９】
様々な要因が、ライン品質を比較するために用いられる。これらは、システム負荷（Load）、セキュリティ（SEC）、レイテンシ（RTT）、パケット損失（R-reliability）、帯域幅（BW）、ホップ数（EFF-efficiency）、及び他の要因（ラインパラメータを評価するために使用可能な値のアレイ）を含む。
【０３８０】
各点及びそれらの間のネットワークセグメントについて基準線は、リソース間で比較が実行可能であるように使用される。リソースは、異なるハードウェア構成並びにネットワーク速度、帯域幅及び他の評価を有する。
【０３８１】
L_IDは、ロギングされるルート情報についての行IDを示す。
【０３８２】
RT_IDはパスIDである。パスは、ベースインターネットを介するパス、トンネル、連結トンネル又は他のGVN関連ルートを介するパスを示す。
【０３８３】
Reg_IDはターゲット地域のIDである。
【０３８４】
RTTは、過去の基準に基づいたラウンドトリップタイム又はレイテンシである。値1.0は標準であり、値が1.0より大きい場合はレイテンシが通常より低いことを示す。値が1.0より低い場合はレイテンシが通常より高いことを示す。
【０３８５】
SECはセキュリティの評価である。値1.0はセキュアであることを示し、値0.0は全くセキュアでないことやリソースが危険であることを示す。これは、セキュリティテスト、性能ロギング、及び他のデータポイントに基づく。1.0より低い任意の値は、懸念材料である。
【０３８６】
Rは信頼度であり、ルート上のパケット損失に関する。例えば、R=0.97は、ルート上に3%のパケット損失が生じることを示す。値R=1.0は、パッケージ損失が0%であることと、信頼度が100%であることを示す。１より大きい評価値は、ルートを下って送信されるパケットが並行して複製されることを示す。R=2.0は、送信された複製パケットにつき、信頼度が100%であることを示す。
【０３８７】
EFFは、ホップ数の観点で、ルート長に関してラインの効率性を示し、その過去の平均に基づく。EFF値1.0は、ホップ数が通常であることを示す。それが1より小さいことは、ホップ数が通常よりも多いことを示唆する。値が1より大きい場合、ホップ数が通常より低いことを示唆する。
【０３８８】
BW（帯域幅）は、２点間の完全なネットワークセグメントと組み合わされたベース接続についての、ライン評価に基づく。BW値1.0は、BWの100%が利用可能であることを示唆する。値0.5は、BWの50%だけが、ルートBW評価に基づいて利用可能であることを示唆する。もし値が1より大きければ（例えば2.0であれば）、このことは、そのルートのBW容量評価の200%が利用及び使用可能であることを示唆する。例えば２点間の1GigEベース接続について、0.55の評価は、550Mbpsが利用可能であることを示す。2.0の評価は、2GigEが利用可能であること等を示す。
【０３８９】
RT_ID=1の場合、SEC（セキュリティ）値1.0は、それが100%セキュアであることを示す。値が１より大きいRTT=1.1及びBW=2.0は、ある点から他の点へのそのルートの接続性が、それらの点の間の平均的なルートの基準性能と比べて、10%低いレイテンシと、２倍の帯域幅とを有することを示す。
【０３９０】
例えば、RT_ID=5の場合、0.80のセキュリティ評価は、進行するセキュリティリスクが存在することを示し、BW評価0.30は、サーバが攻撃（DDoS又はブルートフォース（Brute Force））にさらされていることを示す。このとき、複数のセキュリティ脅威（例えば複数の同時リクエスト攻撃）が、利用可能なBW（帯域幅）を飽和させてSEC（セキュリティ）品質を下げる。
【０３９１】
フラグ状態1は、最新のアクティブルートを示す。フラグ状態0は、現在使用されてない、過去のルート性能を示す。タイムスタンプは、UNIXタイムスタンプ（エポック以来の秒数）として、時刻を示す。
【０３９２】
L_ID=3及びL_ID=5は、２つの異なるUNIXタイムスタンプ1448674238と1448848558とにおける、発信元から地域Reg_ID=44へのルートを比較するものである。これは、以前の時刻での評価後、性能が改善したことを示す。負荷は、Load=0.7に対してLoad=0.9であり良くなっている。ネットワーク接続のファンダメンタルもまた、改善している。
【０３９３】
この表はまた、各ルートのQoS要素を比較することによって、発信元装置からターゲット地域への２つのルートのうち良い方を判定するために使用される。例えば、L_ID=5及びL_ID=6は共に、発信元からReg_ID=44への最新ルート（フラグ状態1）を示す。もっともそれらのルートはRT_ID=5及びRT_ID=9とは異なる。ボードにわたって２つのうち良い方はRT_ID=9であり、サーバ可用性リストにおいてより高い優先度によって、重み付けされる。
【０３９４】
表５は、ターゲット地域における出入口ポイント（EIP）のリストを評価し順位付けする。
【表５】
2018507639.tif 000008
【０３９５】
ATRフィールドは属性フィールドである。これは属性のアレイであり、EIPの仕様（RAM、コア、ストレージ空間、他の要因等）を記述するために用いられる。S_IDフィールドはサーバIDを保持する。IP_IDフィールドは、IPアドレスIDを保持する。帯域幅（BW）は、GigEにおいて測定される。例えば20Mbpsは0.02であり、100Mbpsは0.1であり、1GigEは1であり、40GigEは40である。
【０３９６】
QoS（サービス品質）は、サーバが接続及びトラフィックを処理するための、最新のEIP（出入口ポイント）の適性を示す。1.0のQoSは、EPDが接続するサーバの理想的な状態を示す。その理想的な状態とは、許容される利用可能なBW（帯域幅）を有し、負荷（サーバ、RAM、CPU、NIC及び他の要因のリソース負荷）がほぼないことである。
【０３９７】
1.0未満のQoSは、サーバが使用中であることを示す。QoSがゼロに近づくことは、それが容量の飽和によって完全に使用不可能に近づいていることを意味する。システムの基準及び健全性として、0.40未満のQoSは、サーバが非常に低い評価の優先度をつけられることを意味する。これによって、より健全なQoSを有するサーバは、リストの上位に現れるように重み付けされ、それ故、接続を受け付け、何らのサーバにも負荷をかけない。
【０３９８】
この評価及び順位付けメカニズムはまた、物理インフラストラクチャの構築をどのようにスケールアウトするかについての判定要素として使用される。
【０３９９】
図５０は、BB／周縁下バックボーン層50-382と、IP／周縁上インターネット層50-822との間の、セキュア周縁50-182を示す図である。
【０４００】
２つの自然な保護手法が、適切に存在する。１つ目は、パス50-TR6B22及び50-TR6B32を介して２つの層を連結するだけの方法であり、それはセキュア周縁を通過する必要がある。唯一の有効なGVNトラフィックは、両方のロジカルチェックを介して一方向に通過可能であるもう一方の適切な安全手段は、セキュア周縁50-182の上下のネットワークタイプが異なることである。
【０４０１】
図５１は、グローバル仮想ネットワーク（GVN）内のアドバンストスマートルーティング（ASR）のフローチャートを示す図である。
【０４０２】
エンドポイント装置（EPD）103へ接続されたローカルエリアネットワーク（LAN）102内のホストクライアント101装置の開始点から、GVNはEPDへ、複数の潜在的な終点への複数の通信パスを提供する。このフローチャートは、パケットが通るルーティングロジックについてのハイレベルな図である。この理由は、それが、最適性能のためにASRを用いてGVNを通過するからである。ホストクライアント101の視点から、トラフィックはインターネットプロトコル（IP）ネットワークを通って流れる。このとき、GVNの第３層において、ホップ数は最小であり、可能なレイテンシは最善である。GVNの第１層は、仮想インタフェース、トンネル、ルーティング及び他のネットワークポリシーの構築の自動構成を行うベースインターネットである。GVNの第２層は、アルゴリズム、ソフトウェア及びロジックが層３と層１との間の動作を管理する場所である。
【０４０３】
第１のメインルーティングの決定は、EPOD内のロジックゲート104にて実行する。ここでは、トラフィックはEPDが位置するローカルインターネット107へ、P104を介して出る。あるいはトラフィックは、P107を介して、セキュアラッピングされ不明瞭であるトンネルを通ってアクセスポイントサーバ（SRV_AP）110へ進む。アクセスポイントサーバ（SRV_AP）110は、SRV_AP110が位置する地域へ最善の接続性を提供する。トラフィックがSRV_AP110へ出るより先に、それはルーティングロジックゲート111を通過する。インターネット113へローカルに出るトラフィックは、パスP111を介して、ホストクライアント115又はホストサーバ116に進む。もしトラフィックがローカルでなく、他の地域へ中継されれば、それはパスP116を介してトンネル118を通り、次のSRV_AP119へ進む。
【０４０４】
SRV_AP119にて、多くの可能なルーティング選択肢の３つが、トラフィックが通るパスによって示される。ロジックゲート126は、トラフィックがとどまってローカルインターネット129に出るべきか否かを判定し、あるいは、トラフィックがトンネルを通ってP126を介して他の地域127におけるSRV_APに進むべきか否かを判定する。他の可能性は、パスP119によって示される。これは、SRV_AP119から遠くの地域にある他のEPD121へのトンネルを示す。これはEPD103からEPD121へのパスであり、多くのブリッジトンネルを介してブリッジングされる。
【０４０５】
更なる可能性は、トラフィックが、EPD接続P121を介して、LAN122におけるクライアント装置125及び126へ到達することである。LAN122内にはEPD121が位置する。
【０４０６】
図５２は、発信元C52-002から宛先S52-502への、GVNを介した利用可能な様々なルートのフローチャートを示す図である。より多くの可能な組み合わせが存在するが、図示及び説明しない。
【０４０７】
クライアントC52-002からEPD52-108へのパス52CP00は、クライアントからLANを通ってEPDへ向かうときの性能を測定するために使用可能である。最善ルートをマッチングすることは、テストと、可能なパスのリアルタイムデータを評価することとの後に達成される。GVNは、EPDから、第１のホップ52CP00を介して、アクセスポイントサーバ（SRV_AP）52-102、52-104、52-106、52-202及び52-204へ入る。
【０４０８】
EPDから第１のSRV_APへのパスは、EPDからGVNへの入口ポイントとして定義され、適宜に測定される。SRV_APからSRV_APへの内部ホップは内部ルートをたどる。内部ルートは常に最善のパス接続性を維持するよう努める。これらはインターネットのOTTで、バックボーン上で、ダークファイバ上で、又は他の関連ルーティング上であってよい。
【０４０９】
GVNからの最善の出口ポイントはまた、そのリモート地域にてローカルに、また、発信元から宛先への全体ネットワークセグメントにわたって全体的に、追跡される。
【０４１０】
テストは、評価すべき様々な要因を考慮して、各セグメント、セグメントの組み合わせ、及び、一端から他端への合計ネットワークパス上で実行可能である。トラフィックタイプ及びパスの判定は、データ属性及びプロファイルQos条件に依存してよい。メインパスの選択は常に、パス上のトラフィックにとって最善の要因に基づく。このメカニズムの機能は、宛先と発信元との間のパス同士を照合して、最善の可能な双方向のルートを流すものである。
【０４１１】
表６は、IPアドレスのリストであり、IPアドレス、プロトコル及びポートに基づいてローカルに維持される。
【表６】
2018507639.tif 000009
【０４１２】
このテーブルは、どのIPアドレスをローカルに維持するかを追跡し、これによりEIP（出入口ポイント）は、EPD上に直接的であるか、EPDと同一の地域のSRV_APを介するかである。
【０４１３】
LRI_IDフィールドは、ローカルルートIPアドレスIDを保持する。地域値0は、ローカルに維持すべきIPアドレスであって、そのローカルEIPのEPDからインターネットへ直接向かうべきIPアドレスを示す。地域値1から300は、国及び領域を示す。地域IDが大きいほど、よりきめ細やかなグラニュラリティを示す。IP4_Addressフィールドは、IPv4アドレスを保持する。
【０４１４】
列（プロトコル又はポート）の下のアスタリスク（「*」）は、可能な範囲内又は列挙された可能な値のセット内の全ての潜在的な値に及ぶ、ワイルドカードを意味する。もし１以上の値が１つの列に存在し、カンマによって分離されれば、それは、１より多いポート、プロトコル及び他のカラム値が使用可能であることを示す。明示されたこれらの値だけはテーブルによる影響を受ける。特定されない他の値はデフォルト動作に従う。
【０４１５】
表７は、IPアドレスの範囲、それらのターゲット地域の宛先ID及び、どのEPDIDにこれらのルールが適用されるか、のリストである。
【表７】
2018507639.tif 000010
【０４１６】
GDReg_IDフィールドは、地理的宛先IDを保持する。地域値0は、ローカルに維持すべきIPアドレスであって、そのローカルEIPのEPDからインターネットへ直接向かうべきIPアドレスを示す。地域値1から300は、国及び領域を示す。地域IDが大きいほど、よりきめ細やかなグラニュラリティを示す。IP4_Start及びIPv4_Endフィールドは、開始及び終了のIPv4アドレスを保持する。
【０４１７】
表８は、地理的宛先メカニズムによって使用される、国及び他の地理的地域についてのIPアドレスのベース参照である。使用されるIPアドレスの数が大きいため、CIDR表記が使用される。
【表８】
2018507639.tif 000011
【０４１８】
この表は、地域ルーティングに使用されるグラニュラリティに応じて、国ブロック又は地域ブロックについてのIPアドレスの範囲を定義する。地理的宛先にルーティングされるアドレスは、地域的IPアドレステーブルより前に順番にルーティングされるので、最初にルーティングされる。
【０４１９】
CIPB_IDフィールドは、国IPアドレスブロックIDを保持する。CIDR4の列は、IPv4アドレスの範囲のCIDRを示す。CIDR（Classless Inter Domain Routing）は、クラスレスドメイン間ルーティングを示し、IPアドレスの範囲を記述する。例えばスラッシュ８（「/8」）との表記は、1678万個のIPアドレスのブロックを示す。スラッシュ２０（「/20」）との表記は、4096個のIPアドレスを示す。Total_IP4の列は、CIDR4定義範囲に含まれるIPv4アドレスの合計数を示す。
【０４２０】
図５３は、開始装置から終了装置へのトラフィックルーティングの選択を管理するアルゴリズムのフローチャートを示す図である。
【０４２１】
GVNにおいて、GVN装置間のインターネットの基礎レベルにおけるパスについてのルーティングテーブルが存在する。GVN装置は例えばEPD及びSRV_APであり、これらにわたってトンネルを構築可能である。ルーティングテーブルはレベル１（インターネットレベル）のトラフィックと、レベル３のGVNを通るルートとを管理する。時として、トンネルは存在しなくてよい。存在する場合、トンネルは最適でなくてよい。GVNルーティングは、トポロジカルなデータベースに基づいて、既存の且つ可能なGVNルートへマッピング可能である。基礎ネットワークセグメントについての完全な情報及び装置間リンクは、GVNデータベース内に格納される。
【０４２２】
アルゴリズムは、特定のGVNトラフィックについて、ターゲット地域を識別することで開始する。次いで、GVNを通るパスが存在するか否かを確認するチェックがなされる（5306）。もしそれが存在しなければ、新たなトンネルが構築される（5310）。次のステップは、トンネルの健全性をチェックすることである（5312）。もしOKでなければ、新たな代替トンネルが構築される（5310）。健全なトンネルが利用可能と成ると、ルーティング健全性がチェックされる（5320）。
【０４２３】
もしターゲット地域におけるEIPへのパスが存在すると、それが、トラフィックタイプに関し最善なルートか否かが確認される（5322）。もしそれが最善であれば、そのルートが使用される（5360）。
【０４２４】
もしそのデータタイプに関しルートが理想的でなければ、代替ルートが存在するか否かが確認される（5350）。もしそれが存在すれば、トラフィックタイプに関し最善なルートが用いられ（5352）、最善のルートが使用される（5360）。ルートが使用されると、プロセスはルート性能を評価する（5365）。アルゴリズムが完了する前に、他のプロセスは、P5328を介して性能データをログに保存する。ログは、サーバ可用性と、EIP5322のリストと、5302によって使用されるターゲット地域へのマッピングパスとへ関連付けられる。
【０４２５】
もし5350でのテストが、データタイプに関しルートが理想的でなく、代替物が存在しないと判定すると、パスP5314を介して新たなトンネルが構築される（5310）。
【０４２６】
［制御］
図５４は、GVNにおける自動装置協働と情報交換とに必要とされるモジュールを示す図である。
【０４２７】
EPD100はエンドポイント装置である。SRV_AP300はアクセスポイントサーバであり、ターゲット宛先地域に位置する。SRV_CNTRL200は、EPD及びSRV_APの両方によってアクセス可能な中央サーバである。SRV_CNTRL200は、グラフィック宛先メカニズムを支援可能な他の装置によってもアクセス可能である。
【０４２８】
各装置EPD100、SRV_AP200及びSRV_CNTRL300は、自身についての情報をローカル情報リポジトリに格納する。格納の際の形式は、リスト、ファイル、データベーステーブル、レコード及び他の手法である。このリポジトリはまた、ピア装置関係についての情報を含み、ログや他の関連動作情報を格納する。SRV_CNTRL200はまた、追加の格納機能を有する。その役割は、他の関連装置へ又は接続先のピア装置へ情報を提供することや、現在の状況を評価し、中央制御のような案内機能（例えばサーバ可用性リストの発行や他の機能）を提供する。ニュートラルなAPIメカニズム（NAPIM）は、装置とその接続先のピアとの間で情報を送信する。当該メカニズムはまた、API自体を更新するために用いることができる。
【０４２９】
SRV_CNTRL200上のデータベースは、自身についての情報のリポジトリとして動作し、他の装置のための中央リポジトリとしても動作する。多くの異なるSRV_CNTRL200サーバが、多くの場所でマルチマスターとして動作可能である。各データベースは、トンネル情報、ピア情報、トラフィック情報、キャッシュ情報及び他の情報を含む特定の情報を格納可能である。セキュリティ及び他の側面（ハートビート機能、トリガされるスクリプト及び他のメカニズムを含む）は、各装置によって独立して管理される。
【０４３０】
［図５５］
図５５は、EPD100、SRV_CNTRL200及びSRV_AP300の間における、GVNのニュートラルなＡＰＩメカニズム（NAPIM）を介する通信を示す。当該通信は、パスAPI-55A1-55A2、API-55A3-55A2及びAPI-55A1-55A3を介する。
【０４３１】
トンネルTUN55-1、TUN55-2及びTUN55-3がEPD100とSRV_AP300との間で構築されるようにするために、ピアペアにおける各装置はトンネル毎に特定の情報を要求する。EPD100から他のSRV_APサーバへのトンネル（例えばTUN55-4）や、他のEPDからSRV_AP300へTUN55-5を介する場合も同様である。
【０４３２】
NAPIMメカニズムは、トンネルマネージャ55110及び55310を介して新たなトンネルを構築するときに、ピアペアの両側につき関連資格情報、同等物及び他の情報を格納して使用する。SRV_AP300上のサーバ可用性メカニズム55222は、トンネルテスタ55112を介して、EPD側でテストされる様々なトンネルの性能を評価し、SRV_AP側ではトンネルテスタ55312によって評価する。そのテストからの情報は、SRV_CNTRL200上の接続性分析55288に中継される。テスト結果は、割り当てられたIPアドレス及びポートの組合せ、使用されるポート、過去に使用された組合せからの結果、ポートスペクトルテストからの結果、及び他の関連情報を含む。
【０４３３】
サーバ可用性リストは、EPD100へ、IPアドレス及びポートのリストを提示する。このリストは、トンネルマネージャが新たなトンネルを構築するために使用され得る。リストに列挙されたSRV_AP300及び他のSRV_APサーバは、EPD100によってなされる接続試行を予期し（55320）リスニングする旨を通知される。
【０４３４】
サーバ可用性は、構築されるトンネルに対し予期される最善の性能に基づいて、SRV_APのIPアドレス及びポートの組合せのリストを優先する。このときサーバ可用性は、利用可能なSRV_APサーバの現在の負荷を見て、他のEPDへ与えられる割り当てリストや他の利用可能な情報を分散する。
【０４３５】
図５６は、GVN装置間でNAPIMを介して利用可能な、様々なタイプの通信を示す図である。
【０４３６】
クローズドループは、既知のピアペア間のNAPIM REQ/RESP通信として利用可能である。このとき、２つのメインタイプがある。すなわち、装置からリポジトリ56-P2Cと、装置から装置56-P2Pである。
【０４３７】
RESTfulURLポスティングは、（その特定のアクションが許可されれば）、未知のピアに対するオープンアクセスである（例えば共有可能な、一般的又は全般的な非機密情報）。
【０４３８】
各定義されたAPIアクションはフラグを有し、潜在値を有するパスタイプを介してアクセスを管理する。当該APIアクションはまた、認証が要求されるか否かに関する別のフラグと、他の制御事項を有する。例えばEPD100は、利用可能なサーバのリスト、対応IPアドレス及びポートを、56REQ100200を介して要求可能であり、そのリストを、レスポンスパス56RESP100200を介してSRV_CNTRL200から受信可能である。同時に、SRV_AP300は、56REQ100300を介してEPD100によって通知を受けてよい。あるいはSRV_AP300は、NAPIMを介し、データベース複製によって、バックチャンネル又は他のメッセージを介して、SRV_CNTRL200から情報を受信してよい。
【０４３９】
図５７は、グローバル仮想ネットワーク（GVN）内の異なるタイプの装置間でのAPIコールグループ57202、57206及び57208を示す図である。各APIコールは本質的に循環するものである。ここでは、クライアントからサーバへリクエストが送信され、レスポンスが返信される。ほとんどの場合、クライアントはピアペアの一端又は他端である。このことは、他のピアがリスニングを行ってサーバとして動作することが可能である限り妥当する。
【０４４０】
APIコールグループ57202は、中央サーバ（SRV_CNTRL）200からパスP57202-Cを経由しエンドポイント装置（EPD）100へP57202-Bを経由するコールと、アクセスポイントサーバ（SRV_AP）300へP57202-Aを経由するコールとを示す。このタイプの通信は、リポジトリデータベースと、SRV_CNTRL200、EPD100、及びSRV_AP300上のファイルストアとの間で、トンネル情報、ロギング情報、料金情報、装置ピアのペアデータ及び他の形式の関連情報を交換する。
【０４４１】
EPD100とSRV_AP300との間には２つのタイプの通信パスがある。直接トンネルは、第３層のトラフィック、情報及びバイナリファイルがパスP57206-Cを介してデータパケットとしてプッシュされ得る場所である。EPD100とSRV_AP300との間には、P57206-Bから57206を介してP57206-Aに至るAPIコールフレームワークが存在する。
【０４４２】
API57206を経由するEPD100とSRV_AP300との間の直接接続は、情報共有、協働作用、検証及び他の情報のためのものである。例えばトンネルを再開する試みは、通常、一方の側で開始される。他方の側は自動的にそれに応答して再度トンネルを構築する。しかし、トンネルがスタックし再構築不可能なとき、APIを用いてコマンドを送信し、両端でトンネルを再開させるよう試みることができる。もし依然として失敗すれば、装置間で情報を共有することができる。この情報は、新たなトンネル情報を使用して２つの装置間で異なるトンネルを構築する必要性をトリガし、又は、両方の装置にSRV_CNTRL200へ問合せさせて新たなトンネル構築情報を取得する必要性をトリガする。したがって、API57206を介してそれらの間で通信パスを有することは非常に有用である。
【０４４３】
APIコールグループ57208は、SRV_CNTRL200、内部バックエンドインフラストラクチャ装置及びGVNの他のインフラストラクチャ支援装置から、パスP57208-Cを経由するコールを表す。この例示的な実施形態において、図示の簡便化の目的でいくつかのゲートウェイ装置が図示される。GVNにおいて、このパスを介してSRV_CNTRLへ接続可能な他のタイプのインフラストラクチャ装置（図示せず）が存在する。
【０４４４】
SRV_GW_Email57310はＥメールサーバを表し、P57208-B1、57208及びP57208-Cを介してSRV_CNTRL200へリンクされる。Ｅメールは、Ｅメールネットワークアクセスポイント（NAP）57401を介して送受信される。専用Ｅメールサーバは、他の装置がそれら自身の機能に集中することを可能にし、より簡素化された管理体制を提供する。その理由は、Ｅメールサーバ管理に関して維持される必要があるのは、その装置タイプだけだからである。
【０４４５】
SRV_GW_FIN57318は、金融ゲートウェイサーバを表す。これを通して、外部API57501NAPを介し、第三者に対してクレジットカード取引及び他の金融関連取引が実行される。SRV_GW_Emailの例のように、装置タイプの役割が単一であることにより、他の装置がそのコアとなる機能に集中することが可能であり、簡素化された管理体制が提供される。SRV_GW_FINだけが、第三者との金融取引を保護するための追加の管理を要求する。
【０４４６】
SRV_GW_Other57315は、GVNとインターネット上の他のサービスとの間の他のタイプのゲートウェイを表す。これらのタイプのゲートウェイサーバとSRV_CNTRL200との間の通信は、P57208-B3、57208及びP57208-Cを介する。
【０４４７】
SRV_AP300とSRV_CNTRL200との間のセカンダリAPIパスは、P57208-A、57208及びP57208-Cを介する。これは冗長性の理由と、このピアペア間でのインフラストラクチャ関連通信の理由とから存在する。
【０４４８】
SRV_APサーバからの他のコールグループは、SRV_AP300からパスP57208-A、57208及びP57208-B1を介してSRV_GW_Email57310に至るパスと、P57208-A、57208及びP57208-B2を介してSRV_GW_FIN57218に至るパスと、P57208-A、57208及びP57208-B3を介してRV_GW_Other57315に至るパスとを可能にする。これらはAPIコールにより、SRV_AP300からそれらの装置への直接のデータ交換を実行するためのものである。
【０４４９】
P57208-Aを通過するAPIコールはまた、SRV_AP300を介した他の装置からの中継APIコール（例えばEPD100からパスP57206-B、57206、P57206-A、300、P57208-A、57208及びP57208-B2を介してSRV_GW_FIN57318へのコール）を表す。このとき、SRV_AP300を介したAPIコールの流れはチェーン内の他のホップだけである。クライアントは一端のEPD100であり、サーバは他端のSRV_GW_FIN57318である。
【０４５０】
APIコール及び他のタイプの情報交換は、GVN内の装置の動作にとって本質的である。多くのタイプの自動インフラストラクチャ動作が存在する。自動インフラストラクチャ動作は次のものを含む。すなわち、装置オペレーティングシステム構成を最新の状態に維持すること、Ｏ／Ｓ及びモジュールのソフトウェアパッケージを信頼できるソースからリポジトリへ更新することであって、当該リポジトリはパッチング、更新及び新たなインストールの簡便性及び予測性のために最新のソフトウェアを格納可能であること、新たなグローバル仮想ネットワークソフトウェアモジュールを展開し、インストールされたモジュールを最新の状態に維持すること、GVNデータベースの複製を制御すること、APIアクションライブラリを最新の状態に維持すること等である。
【０４５１】
各装置上ではデーモン及びハートビート機能が存在する。ここでは、自動且つ装置間のインタラクションが要求される。これは、デーモンの実行を維持すること、サービスを維持すること、キューを維持し障害から解放すること、ハートビート機能やロギング機能を維持することを含む。
【０４５２】
GVNにおける接続及び構築構造は、仮想インタフェース（VIF）、トンネル、複数トンネル、ルート、サーバ可用性、地理的宛先、DNS、キャッシュ及びチェーンキャッシュを含む。
【０４５３】
最新の情報がトンネル構築のために要求される。この情報はクライアントとサーバとの間で共有される必要がある。さもなければ、トンネルは構築不可能である。したがって、結果データについてのテスト、診断及び報告を中心的に分析し、GVNの全体的な動作の可視性を得る必要がある。テスト及び診断情報は、第１層の状態、トンネルの接続性、インターネット上の最善のポイントツーポイントルート、GVNを介した最善ルートについてのアドバンストスマートルーティング（ASR）、及び装置動作状態を含む。
【０４５４】
APはまた、それ自身についての情報（例えばピアペア情報、キュー情報、トランザクションログ、セキュリティ／会計及び他のログ、APIアクション、パターン、データ構造、及びクライアント又はサーバ上のアクションを処理する関連スクリプト）を伝送するのに用いられる。
【０４５５】
ホスティングサービスの状態及び構成に関する情報はまた、装置からAPIコールを介して、SRV_CNTRL又は他の装置へと伝送可能である。この情報は、サービスのアップ／ダウン状態、APIモジュールのアップ／ダウン状態を含むことができる。もし応答可能であれば、この情報は、サイトのホスティング状態、データベース状態、セキュアソケットレイヤ（SSL）証明書の状態、GVNコンポーネントの状態（例えば地理的宛先等のコンポーネントが実行しているか否か）を含むことができる。
【０４５６】
セキュリティ／FW／監視／協働作用／情報交換に関する、APIを介した情報交換や、他のミッションに不可欠な態様につき他の使用方法が存在してよい。APIは情報交換のための強力な媒体である。したがってこれは、全体的な自己回復能力を装置間で展開可能である。
【０４５７】
図５８は、クライアント装置ピア（ソース）006上で開始されてから、サーバ装置007007Bへの送信を介して、クライアント006006Bへの返信までのAPIコールで採用されるステップを示す図である。
【０４５８】
APIトランザクションは、API開始にてトリガされる（001）。データは共通クラス又は他のタイプのハンドラに渡され、内部ペイロードを作成する（002）。それはメモリ内のキューに追加され（003）、データベース、フラットファイル又は他の情報に保存される。キューステップはバイパスされてよい。このときAPIコールは即座に送信されるか、又は、特定の時間に送信するよう設定される。クライアント装置006のハートビート機能の一部として、キュー内のＡＰＩコールの優先フラグに依存して、ペイロードは、負荷、キュー（003）の長さ、ネットワーク状況又は他の要因等に基づいて、即座に処理され、特定の時間に処理され、又は延期されてよい。アイテムがキューから処理されると、外部ペイロードが準備される。特定の１回きりのAPIコールのために関連トランザクションデータが生成される（004）。外部APIリクエストペイロードの送信準備ができると、それはニュートラルなAPIメカニズム005を介して送信され、ピアペアターゲット007のホスト（サーバ）APIへと、インターネットQ01を通って、パスCPOl、Q01及びCP03を介して送信される。又はそれは、セキュアトンネルWANQ02を通って、パスCP02、Q02及びCP04を介して送信される。
【０４５９】
リクエストペイロードRP01を受信すると（008）、次いでサーバ007は、当該ペイロードのパース及び解釈を開始する。リクエストペイロードRP01の処理において、セキュリティ及びデータ完全性のチェックがなされる。外部ペイロードは復号化され、内部ペイロード009のコンテンツを検出する。内部及び外部ペイロードを比較して、更なるセキュリティ及びデータ完全性のチェックが実行されてよい。検証後、ペイロードは対応するスクリプトに渡され、所定のアクションを実行する（010）。リクエストされたアクションを完了すると、レスポンスのための内部ペイロードが作成される（011）。外部ペイロード作成012及びトランザクション準備013は、同一のプロセスをたどり、外部APIレスポンスペイロードPR02を作成する。これは、APIリクエスト外部ペイロードRP01が作成されたときと同様である。次いでレスポンスはニュートラルAPI014を介して返信される。
【０４６０】
API RESP（レスポンス）RP02は、同一のパス（APIサーバ007からAPIクライアント006へ）をたどる。
【０４６１】
APIレスポンスRP02は、ピアソースAPIクライアント装置006によって受信される（015）。ペイロードはパースされ（016）、処理される（017）。APIアクションタイプに基づいて、返信されたデータは006上のAPIハンドラスクリプトへ渡される。トランザクションは全てログを取られる（018）。
【０４６２】
もしコールバック（019）が特定されると（020）、新たなコールがパスP019を介して開始される。それと並行して、パスP020を介して、元のAPIコールはAPI完了（022）で終了する。
【０４６３】
もしAPIレスポンスRP02においてコールバックが特定されなければ（021）、元のコールはP021を介して終了点022へ進み、トランザクションを完了する。
【０４６４】
図５９は、地理的宛先機能を達成するための、EPDとSRV_APとの間のインタラクションを概略的に示す図である。具体的には、この図は、地理的宛先メカニズムの処理フローを示す。このフローは、クライアント000で開始し、CP0からステップ１２のエンドポイント装置（EPD100）へ、シーケンシャルな、且つ、時として並行な通信パスを通る。このときEPD100はアクセスポイントサーバ（SRV_AP300）と相互に連絡する。
【０４６５】
このプロセスフローは、リモート地域内でSRV_AP300へコンテンツがプルされ、次いで、地理的宛先メカニズム内の転送及びキャッシングによりEPD100へ送信されるときに、終了する。これは、ステップ番号15にて、CP203を介してクライアント000へ提供される。
【０４６６】
ステップ番号8でのコンテンツプルは、並行して、コンテンツサーバSRV803、804及び802からCP13、CP14及びCP12を介して行われる。その結果は、リスニングとその後のデータプル処理とのためにCP10を介して返信される。
【０４６７】
ステップ1、12、13及び15は、クライアント000及びEPD100に関し、発信元地域で生じる。
【０４６８】
ステップ2、10、11及び14は、EPD100とSRV_AP300との間の、片方向又は両方向の通過の際に生じるステップである。
【０４６９】
ステップ5、6及び9はSRV_AP300上で生じる。
【０４７０】
ステップ3、4、7及び8は、SRV_AP300が配置されるリモート地域のインターネット上で、SRV_AP300からのEIP（出口／入口ポイント）を介して生じる。
【０４７１】
ステップ3は、クライアント000によって要求されるコンテンツの最初のURL、URI及びURNについてのDNSルックアップを行うものである。ステップ７はDNSルックアップのためのものである。これは、ネストコンテンツが、最初にプルされたコンテンツの成分としてプルされるためのものである。
【０４７２】
図６０は、地理的宛先内での装置協働を概略図として示す。ここでは、コンポーネント部分がモジュールとして示され、それらの成分が様々な装置上に示される。当該装置は、メモリ又はデータベース内に格納された情報を含む。図６０はまた、APIトランザクションとデータ転送との両方のための通信パスを介して通信される情報交換（例えば装置間のファイル転送）を示す。GVNは、自動化された複雑な構造を制御することを可能にする。この構造は、複数の装置にわたって広がり、共に動作して、共有された目的を達成する。
【０４７３】
この図は、EPD100のコンポーネントを示し、エンドポイント装置（EPD）上の地理的宛先メカニズムを示す。この図はまた、SRV_AP300のコンポーネントを示し、EPDからリモート地域にあるアクセスポイントサーバ（SRV_AP300）上の地理的宛先メカニズムを示す。
【０４７４】
コンテンツプルエージェントD302は、SRV_AP300上にある。CPAD302は、EPD上に位置するCDAD102から、ターゲットURL／URIを受信する。このターゲットアドレスは、クライアントが望む到達先であり、クライアントとは別の地域に位置する。クライアントはこのアドレスから、コンテンツをプルすることを望む。CPAD302は、リクエストアドレスをリモートフェッチャーボット（R.F.BOT301）へ渡す。
【０４７５】
R.F.BOTD301のジョブは、DNSルックアップD304を実行することであり、次いで、その情報を用いてデータブル301を介してコンテンツをプルする。R.F.BOTD301は、CPAD302と共に動作し、CP01を介してフェッチされた結果をパースし、予備コンテンツに関し任意の他のアドレスを検索する。その予備コンテンツは、コンテンツの一部としてプル可能であり、且つプルされる必要がある。リクエストは、CPAD302及びR.F.BOTD301によるアクセスと将来の参照とのために、データベースD302に格納される。コンテンツファイルリストL301は、R.F.BOTD301からCPAD302へ渡される。データファイルコンテンツは、データプル301からR.F.BOTD301を介してキャッシュマネージャD303へ渡される。プルされたファイルは、ファイル群として又は別ファイルとしての転送のため、キャッシュマネージャD303へ送信される。
【０４７６】
発信元から地理的宛先地域への距離に応じて、ファイルタイプ及びQoS、並びにキャッシュ内にプルされたファイルは、チェーンキャッシュを介した単一の転送のために単一のファイルへと集合されてよいし、又は、並行した同時ストリームで送信される個別ファイルとして集合されてもよい。
【０４７７】
リモート地域へのパス選択肢は複数ある。データはAPIとTP01との間のパスを介してTP02へ転送可能である。そのデータは、TP01とTP03との間のパスや、TP02とTP03との間のパスを介して転送されてよい。データファイルはまた、GVNを通して、パスCP38、CP39又はP06からCPBB等を介して転送可能である。CP38は、SRV_AP300からGVND888を介したSRV_APD555へのトンネルを介するパスである。CPBBは、SRV_APD555とSRV_AP300との間の、リレーSRV_APD505とパスP06とを介したバックボーンパスである。CP39は、キャッシュ701からSRV_APD555を介したEPD100への、GVN上のファイル転送パスである。CP02は、SRV_AP300とEPD100との間の直接接続パスである。
【０４７８】
リモート地域への選択パスは、トラフィックが最善のルートを介して流れるという選択肢を可能にする。このことは、現在の状況、ネットワークセグメント属性、及び、これらがどのように最善の転送、データタイプ及び他の要因に影響するか、に基づく。
【０４７９】
図６１は、グローバルに分散された並行ファイルシステム（PFS）がGVN内でどのように動作するかを示す図である。具体的にはこの図は、グローバルに分散された並行ファイルシステム（PFS）が、61308、61318又は61328で示される３つのPFSストレージノードのうち１つへのアクセスをどのように可能にするかを示す。そのシステムは、様々な非ネイティブなネットワーク構造のオーバーザトップ（OTT）のGVNタペストリを介してネイティブRDMAアクセスをシームレスに使用して、要求されるサービス品質（QoS）を実現し、この機能に要求される高性能コンピューティング（FIPC）プリンシパルを実現する。
【０４８０】
PFS61308は、EPDの背後にあるクライアントのLAN内のPFSインスタンスの一例である。EPDは、３つのPFSストレージノード全ての間のIB上にネイティブRDMAを有する「クラウド内で」２つの他のPFSインスタンスにリンクされる。これらのノードは、ベースセグメントでのネットワークタイプにかかわらず、真の並行アクセスを可能にする。リンク61CP06は、EPD100とSRV_AP300との間のベースインターネット接続である。TUN1は61CP06のOTTで稼働する。61CP10は、IDC内又はOTTインターネット内にある。PFS61308は、パス61CP08->8CP02->8CP06又はTUN1->8CP10->8CP12->8CP18を介してPFS61318へ接続する。このパスは、地域内における短距離である。これらの装置は共に、同一の高性能ゾーン内に位置する。
【０４８１】
SRV_AP300は、61CP10を介してSRV_BBX61310へ接続する。これらは共に、同一のグローバルノード内に位置する。
【０４８２】
PFS61318はSRV_BBX61310を介してPFS61328へ接続する。SRV_BBX61310はSRV_BBX61320へ接続する。これは、GVNを介するグローバルノード間の長距離通信を示す。
【０４８３】
本開示は、本書に記載される特定の実施形態の範囲に限定されない。実際、前述の記載及び添付図面によって、本開示の実施形態に加えて他の様々な実施形態及び変形例が当業者にとって自明である。したがって、そのような他の実施形態及び変形例は本開示の範囲内である。更に本開示は、少なくとも１つの特定の目的で、少なくとも１つの特定の環境における少なくとも１つの特定の実施形態の文脈で記載される。しかし、当業者であれば、その利便性は限定されないこと、及び、本開示は任意の数の目的のために任意の数の環境で有利に実装されてよいことを認識可能である。したがって、特許請求の範囲は、記載された本開示の最大限の範囲及び最大限の要旨に照らして解釈される。
【図１】
2018507639.tif 000012
【図２】
2018507639.tif 000013
【図３】
2018507639.tif 000014
【図４】
2018507639.tif 000015
【図５】
2018507639.tif 000016
【図６】
2018507639.tif 000017
【図７】
2018507639.tif 000018
【図８】
2018507639.tif 000019
【図９】
2018507639.tif 000020
【図１０】
2018507639.tif 000021
【図１１】
2018507639.tif 000022
【図１２】
2018507639.tif 000023
【図１３】
2018507639.tif 000024
【図１４】
2018507639.tif 000025
【図１５】
2018507639.tif 000026
【図１６】
2018507639.tif 000027
【図１７】
2018507639.tif 000028
【図１８】
2018507639.tif 000029
【図１９】
2018507639.tif 000030
【図２０】
2018507639.tif 000031
【図２１】
2018507639.tif 000032
【図２２】
2018507639.tif 000033
【図２３】
2018507639.tif 000034
【図２４】
2018507639.tif 000035
【図２５】
2018507639.tif 000036
【図２６】
2018507639.tif 000037
【図２７】
2018507639.tif 000038
【図２８】
2018507639.tif 000039
【図２９】
2018507639.tif 000040
【図３０】
2018507639.tif 000041
【図３１】
2018507639.tif 000042
【図３２】
2018507639.tif 000043
【図３３】
2018507639.tif 000044
【図３４】
2018507639.tif 000045
【図３５】
2018507639.tif 000046
【図３６】
2018507639.tif 000047
【図３７】
2018507639.tif 000048
【図３８】
2018507639.tif 000049
【図３９】
2018507639.tif 000050
【図４０】
2018507639.tif 000051
【図４１】
2018507639.tif 000052
【図４２】
2018507639.tif 000053
【図４３】
2018507639.tif 000054
【図４４】
2018507639.tif 000055
【図４５】
2018507639.tif 000056
【図４６】
2018507639.tif 000057
【図４７】
2018507639.tif 000058
【図４８】
2018507639.tif 000059
【図４９】
2018507639.tif 000060
【図５０】
2018507639.tif 000061
【図５１】
2018507639.tif 000062
【図５２】
2018507639.tif 000063
【図５３】
2018507639.tif 000064
【図５４】
2018507639.tif 000065
【図５５】
2018507639.tif 000066
【図５６】
2018507639.tif 000067
【図５７】
2018507639.tif 000068
【図５８】
2018507639.tif 000069
【図５９】
2018507639.tif 000070
【図６０】
2018507639.tif 000071
【図６１】
2018507639.tif 000072
【国際調査報告】
2018507639.tif 000073