用于分层全局负载平衡的系统和方法

专利名称：用于分层全局负载平衡的系统和方法
技术领域：
0001本发明主要涉及数据通信网络，更M地，本发明涉及提供用于分支机
构的全局和分层负载平衡的聚合器设备的系统和方法。
背景技术：
0002公司或者企业网络可以服务许多分支;W勾。每个分支才M勾可以具有其自 己的网络、服务器和资源。可以在分支才M勾布^i殳备，用来为位于分支机构的客户端 或者服务器^i4^供网关服务。在乂〉司范围网络中，可以在每个分支才M勾布署分支机 构设备。可以跨越这些分支才M勾布14者如服务器、应用、数据文件的许多资源。jtb^卜，
分支才;U勾可以具有未充分利用的资源和可用的计算时间。
0003在^-分支机构，可以存在能够由其它分支机构的用户或者计算装置访
问的可用的或者有用的资源。例如，第一分支才;U勾的客户端可以想要访问第二分支机 构的服务器上的诸如应用的资源。在一些实例中，第一分支机构的客户端不知道第二 分支4M勾的资源的存在或者可用性。在其它实例中，由于分支机构的资源对于跨^^> 司网络的用户不能容易地^^]，而被搁置不用。这将导致公司网络和布署的资源的低 效率的使用。为了有利于分支机构的客户端访问另一个分支机沟的资源，管理员需要
人工并且特定地配置网关或者分支才;^勾设备，以知道网络中其它设备。在资源遍布许 多分支才M勾布署的情况下，每个分支才/^勾设备需要:fe/v工配置，以知道其它分支4^勾
设备。这导致在配置和维持多个分支4/^勾设备或者网关中的大量的时间和成本。
0004因此，期望提供减少分支才M勾配置而跨越企业和分支才;a勾全局负载平衡 资源的系统和方法。

发明内容
0005本发明涉及聚合器设备，以分层的形式和减少分支才M勾设备配置的方式
別单个聚合器设备400。例如，第一分支冲X4勾设备可以被配置以识别和连接到第一聚 合器设备。第一分支iM勾设备可以不^S己置为具有^i可信息，并且因此可以不知ilf二聚合器设备或者连接到第二聚合器设备的^-分支才;^勾设备。以此方式，减少了分
支才M勾设备的配置。虽然配置一皮减少，但AI良务请求的分支才W勾设备可以访问聚合器 设备所知道的^""其它设备。由于聚合器设备共享分支^M勾设备的信息，第一聚合器
设备可以向第 一分支^4勾设备识别标识经任一聚合器设备连接的任一分支^U勾设备
的信息。以此方式，资源请求可以跨越所有的分支机构和分支才A^勾设备被全局负载平衡。
0006在一方面，本发明涉及一种用于提供设备的分层以更加有岁H似争越多个
分支才M勾访问资源的方法。该方法包^fe^下步骤由第一聚合器设备建立与第一 多个分支机构设备的连接，并且由第二聚合器设备建立与第二多个分支机构 设备的连接。第一多个分支机构设备可以不具有识别第二多个分支机构设备 的信息。第二多个分支机构设备也可以不具有识别第 一 多个分支机构设备的 信息。该方法包括由第一聚合器设备从第一多个分支机构的第一分支机构设 备接收来自客户端访问资源的请求。由第 一聚合器设备经由第二聚合器设备 从第二多个分支机构设备识别一个第二分支机构设备以服务该请求。第一聚
合器设备向第 一分支机构设备或者客户端的其中之一发送识别第二分支机构 设备的信息。该方法包括客户端建立与第二分支机构设备的连接。
0007在一个实施例中，该方法包括由第一分支才M勾设备发送识别第二分支机
构设备的信息给客户端。在另一个实施例中，该方法包括由客户端经由第一分支4W勾 设备通过第二分支才;i4勾设备与月l务器建立第二连接。在一些实施例中，该方法包括由 第一聚合器设备建立与第二聚合器设备的通信。在一个实施例中，第一聚合器设备将 关于第一多个分支才iU勾设备的信息通信给第二聚合器设备。在另一个实施例中，第二 聚合器设备将关于第二多个分支才M勾设备的信息通信给第一聚合器设备。
0008在另一个实施例中，该方法包括由第一聚合器设备确定关于第一多个分
支才/^勾设备的每一个的性能或者#^特征的信息。在一些实施例中，该方法包括由第
二聚合器设备确定第二多个分支^N勾设备的^"个的性能或者才斜乍特征。在一个实施
例中，该方法包括由第一或者第二聚合器设备基于性能或者才剩乍特征的其中之一来 选择第二分支械设备。
0009在又一个实施例中，该方法包括由第一分支4;i^勾设备或者第二分支才/U勾 设备加速客户端和服务器之间的通信。该方法可以包括使用以下一个或者多个技
行加速1)压缩，2 ) TCP连接池，3) TCP连接多路复用，4 ) TCP緩沖，和5 )高速 緩存。在一些实施例中，第一聚合器设备或者第二聚合器设备被布署在数据中心。在
6另一个实施例中，客户端布署在第一分支机构。
0010在另 一方面，本发明涉賴于提^i殳备的分层以更加有^^夸越多个分 支才M勾访问资源的系统。该系统包括第一聚合器设备和第二聚合器设备。第一聚合 器设备建立与第一多个分支机构设备的连接。第二聚合器设备建立与第二多 个分支机构设备的连接。第 一 多个分支机构设备可以不具有识别第二多个分 支机构设备的信息。第二多个分支机构设备也可以不具有识别第 一 多个分支 机构设备的信息。该系统还包括发送来自客户端访问资源的请求给第 一聚合 器设备的第 一多个分支机构的第 一分支机构设备。第 一聚合器设备经由第二 聚合器设备从第二多个分支机构设备识别一个第二分支机构设备以服务该请 求，并且向该第一分支机构设备发送识别第二分支机构设备的信息。该系统 还包括建立与第二分支机构设备的连接的客户端。
ooii在一个实施例中，第一分支才W勾设备发送识别第二分支才;a勾设备的信息 给客户端。在另一个实施例中，客户端经由第一分支才;U勾设备通过第二分支才;^勾设备 与服务器建立第二连接。在一些实施例中，第一聚合器设备建立与第二聚合器设备的 通信。在一个实施例中，第一聚合器设桐夺关于第一多个分支才;i^勾设备的信息通信给 第二聚合器设备。在又一个实施例中，第二聚合器设备将关于第二多个分支才M勾设备 的信息通信给第一聚合器设备。在一些实施例中，第一或者第二聚合器设备确定关于
第 一多个分支才W勾设备的每一个的性能或者:^乍特征的信息。在系统的另 一个实施例
中，第一聚合器设备基于性能或者才剁乍特征的其中之一^i^择第二分支才;a勾设备。o o 12在一些实施例中，第 一分支才;a勾设备或者第二分支才W勾设备加速客户端
和服务器之间的通信。该加速技术可以包括以下技术中的一个或者多个l)压缩，2) TCP连接池，3)TCP连接多路复用，4)TCP緩冲，和5)高速緩存。在其它实施例中， 第一聚合器设备或者第二聚合器设备被布署在数据中心。在一个实施例中，客户端布 署在第一分支城。
0013在以下附图和描述中提出本发明的不同实施例的细节。


0014该发明的前述和其它目的、方面、特征和优点，通过参见下述结 合附图的细节描述将会更加明显并更好理解，其中
图1A是对于客户端通过设备访问服务器的网络环境的实施例的框图； 图IB是用于通过设备从服务器传送计算环境到客户端的环境的实施例的框图1C和1D是计算装置的实施例的框图2A是用于处理客户端和服务器之间的通信的设备的实施例的框图； 图2B是用于优化、加速、负载平衡和路由客户端和服务器之间的通信的 设备的另 一个实施例的框图3是用于通过设备与服务器通信的客户端的实施例的框图4B为负载平衡多个分支机构的聚合器设备的布署的另一个实施例的框 图；和
图5是描述使用聚合器设备实现分层负载平衡以跨越分支机构访问资源的 方法实施例的步骤的流程图。
0015从下面结合附图所提出的详细描述，本发明的特征和优点将更 明显，其中，相同的参考标记在全文中表示相应的元件。附图中，相同的 附图标记通常表示相同的、功能类似、和/或结构类似的元件。
具体实施例方式
A、网络和计算环境
0016在讨论设备和/或客户端的系统和方法的实施例的细节之前，讨 论这些实施例所布署的网络和计算环境是有帮助的。现在参见图1A，描述了 网络环境的实施例。积无括来讲，网络环境包括通过一个或多个网络104、 104， (总的称为网络104)与一个或多个服务器106a-106n (同样总的称为服务 器106，或远程机器106)通信的一个或多个客户端102a- 102n (同样总的称 为本地机器102，或客户端102)。在一些实施例中，客户端102通过设备200 与服务器106通信。
0017虽然图1A示出了在客户端102和服务器106间的网络104和网 络104',客户端102和服务器106可以位于同一个网络104上。网络104和 104，可以是相同类型的网络或不同类型的网络。网络104和/或网络104，可为 诸如企业内部网的局域网(LAN),城域网(MAN)、或者例如因特网或万维 网的广域网(WAN)。在一个实施例中，网络104，可为专用网络并且网络104 可为公用网络。在一些实施例中，网络104可为专用网络并且网络104"可为 公用网络。在另一个实施例中，网络104和104，可都为专用网络。在一些实施例中，客户端102可位于公司企业的分支机构中，通过网络104上的WAN 连接与位于公司数据中心的服务器106通信。
0018网络104和/或104，是任何类型和/或形式的网络，并且可包括任 一下述网络点对点网络，广播网络，广域网，局域网，电信网络，数据通 信网络，计算机网络，ATM(异步传输模式)网络，SONET (同步光纤网络) 网络，SDH(同步凄史字体系)网络，无线网络和有线网络。在一些实施例中， 网络104可以包括无线链路，诸如红外信道或者卫星频带。网络104和/或104， 的拓朴可为总线型、星型或环型网络拓朴。网络104和/或104，以及网络拓朴 可以是对于本领域普通技术人员所熟知的、可以支持此处描述的操作的任何 这样的网络或网络拓朴。
0019如图1A所示，设备200被示在网络104和104，之间，设备200 也可被称为接口单元200或者网关200。在一些实施例中，设备200可位于网 络104上。例如，公司的分支机构可在该分支机构中布署设备200。在其它实 施例中，设备200可位于网络104，上。例如，设备200可位于公司的数据中 心。在又另一个实施例中，多个设备200可布署在网络104上。在一些实施 例中，多个设备200可布署在网络104，上。在一个实施例中，第一设备200 与第二设备200'通信。在其它实施例中，设备200作为客户端102可以是位 于同一或不同的网络104、 104，上的任一客户端102或服务器106的一部分。 一个或多个设备200可位于客户端102和服务器106之间的网络或网络通信 ^4圣中的任一点。
0020在一个实施例中，系统可包括多个逻辑分组的服务器106。在这 些实施例中，服务器的逻辑分组可以被称为服务器群组38。在其中一些实施 例中，服务器106可为地理上分散的。在一些情况中，群组38可以作为单个 实体被管理。在其它实施例中，服务器群组38包括多个服务器群组38。在一 个实施例中，服务器群组执行代表一个或者多个客户端102的一个或者多个 应用。
0021在每个群组38中的服务器106可为不同种类。 一个或多个服务 器106可根据一种类型的操作系统平台(例如，由Washington, Redmond的 Microsoft公司制造的WINDOWS NT)操作，而一个或多个其它服务器106 可根据另一类型的操作系统平台(例如，Unix或Linux)操作。每个群组38 的服务器106不需要与同一群组38内的另一个服务器106物理上接近。因此，
9逻辑分组作为群组38的服务器106的组可使用广域网(WAN)连接或中等区 域网(MAN)连接来互联。例如，群组38可包括物理上位于不同大陆或大 陆、国家、州、城市、校园或房间的不同区域的服务器106。如果服务器106 使用局域网(LAN)连接或一些直接连接的形式进行连接，则在群组38中的 服务器106间的数据发送速度将增加。
0022服务器106可指文件服务器、应用服务器、web服务器、代理 服务器或者网关服务器。在一些实施例中，服务器106可以有作为应用服务 器或者作为主应用服务器工作的能力。在一个实施例中，服务器106可包括 活动目录。客户端102也可称为客户端节点或端点。在一些实施例中，客户 端102有能力作为在服务器上搜索对应用的访问的客户端节点工作，也有能 力作为提供对用于其它客户端102a-102n所寄载的应用的访问的应用服务 器工作。
0023在一些实施例中，客户端102与服务器106通信。在一个实施 例中，客户端102可与群组38中的服务器106之一直接通信。在另一个实施 例中，客户端102执行程序邻近应用以与群组38内的服务器106通信。在又 另一个实施例中，服务器106提供主节点的功能。在一些实施例中，客户端 102通过网络104与群组38中的服务器106通信。通过网络104,客户端102 例如可以请求执行在群组38中的服务器106a-106n寄载的各种应用，并接收 应用执行结果的输出用于显示。在一些实施例中，只有主节点提供要求识别 和提供地址信息的功能，其中的地址信息与寄载所请求的应用的服务器106， 相关。
0024在一个实施例中，服务器106提供网络(Web)服务器的功能。在 另一个实施例中，服务器106a接收来自客户端102的请求，将该请求转发到 第二服务器106b并以来自服务器106b对该请求的响应通过客户端102来响 应该请求。在又另一个实施例中，服务器106获得客户端102可用的应用的 列举以及地址信息，该地址信息与服务器106相关，该服务器106寄载由该 应用的列举所识别的应用。在又一个实施例中，服务器106使用网络接口呈 现对客户端102的请求的响应。在一个实施例中，客户端102直接与服务器 106通信以访问所识別的应用。在另一个实施例中，客户端102接收应用输出 数据，诸如显示数据，该应用输出数据通过对在服务器106上所识别的应用 的执行而产生。,示出了在客户端102上用于传送和/或操作计算环 境的网络环境。在一些实施例中，服务器106包括用于向一个或多个客户端 102传送计算环境或应用和/或数据文件的应用传送系统190。总的来说，客户 端10通过网络104、 104，和设备200与服务器106通信。例如，客户端102 可驻留在公司的远程力">室里，例如分支机构，并iU艮务器106可驻留在公司数据中 心。客户端102包括客户端代理120以及计算沐竟15。计算沐竟15可^W亍或操怍用 于访问、处理或^J )数据文件的应用。计算环境15、应用和/或数据文件可通过设备 200和/或月良务器106被传送。
0026在一些实施例中，设备200加速计算环境15或者其任一部分到 客户端102的传送。在一个实施例中，设备200通过应用传送系统190加速 计算环境15的传送。例如，可使用此处描述的实施例彭口速从中央公司数据中心 到远程用户位置(例如公司的分支才W勾)的应用可处理的流应用和数据文件的传送。 在另一个实施例中，设备200力口速客户端102和服务器106之间的传输层通信量。设 备200可以提供加速技术用于加速A^良务器106到客户端102的^-H专输层有效载 荷，诸如l)传输层连接池，2)传输层连接多路复用，3)传输控制协议緩沖，4) 压缩，以及5)高速緩存。在一些实施例中，设备200响应来自客户端102的请求提 供服务器106的负载平衡。在其它实施例中，设备200充当^J里或者访问服务器来提 供对一个或者多个服务器106的访问。在另一个实施例中，设备200提供A^1户端 102的第一网络104到服务器106的第二网络104，的^^虚拟专用网络连接，诸如 SSLVPN连接。在又一些实施例中，设备200提供客户端102和服务器106之间的连 接和通信的应用防火墙#、控制和管理。
0027在一些实施例中，基于多个执行方法并且基于通过策略引擎195 所应用的任一验证和授权策略，应用传送管理系统190提供应用传送技术来 传送计算环境到用户的桌面(远程的或者其它的)。使用这些技术，远程用户 可以从任一网络连接装置100获取计算环境并且访问服务器所存储的应用和 数据文件。在一个实施例中，应用传送系统190可驻留在服务器106上或在其上执 行。在另一个实施例中，应用传送系统l卯可驻留在多个服务器106a-106n上或在其 上4Mt。在一些实施例中，应用传送系统1卯可在服务器群组38内^/f亍。在一个实 施例中，！^亍应用传送系统190的服务器106也可^f诸或提供应用和数据文件。在另 一个实施例中， 一个或多个服务器106的第一组可才;W亍应用传送系统190,并且不同 的服务器106n可^(诸或提供应用和数据文件。在一些实施例中，应用传送系统190、应用和数据文件中的每个可驻留或位于不同的服务器上。在又一个实施例中，应用传 送系统190的^^可部分可驻留、执行、或被务賭于或分发到设备200或多个设备。
0028客户端102可以包^i十算环嫂15，用于^^亍佳月或者处理数据文件的 应用。客户端102通过网络104、 104， ^i殳备200可以请求来自服务器106的应用 和数据文件。在一个实施例中，设备200可以转发来自客户端102的请^J'j服务器 106。例如，客户端102可以不具有^i4i^f诸或者本地可访问的应用和数据文件。响 应请求，应用传送系统190和/或月良务器106可以传送应用和数据文件到客户端102。 例如，在一个实施例中，服务器106可以按照应用^^发送应用以^J1户端102上的 计算环嫂15中才^f乍。
0029在一些实施例中，应用传送系统190包括Citrix Systems, Inc.的Citrix Access Suite 的4^f可部分，i^》口 MetaFrame或者Citrix Presentation Server 和 /或Microsoft公司制造的i"i-~的Microsoft Windows Terminal Services。在一 个实施例中，应用传送系统190可以通过远程显示协议或者通过基于远禾lil者基于服 务器计算的其它方式来传送一个或者多个应用到客户端102或者用户。在另一个实 施例中，应用传送系统190可以通过应用流来传送一个或者多个应用到客户端或者用 户。
0030在一个实施例中，应用传送系统190包括策略引擎195，用于控制和管 理对应用^^亍方法和应用的传送的访问、选择。在一些实施例中，策略引擎195确定 用户或者客户端102可以访问的一个或者多个应用。在另一个实施例中，策略引擎 195确定应用应该如何一皮传送到用户或者客户端102,例如^Vf亍方法。在一些实施例 中，应用传送系统l卯提供多个传送技术，从中^it"^应用^^亍的方法，诸如基于服 务器的计算、流式传输或者本地传送应用到客户端12 0用于本i似丸行。
0031在一个实施例中，客户端102请求应用程序的执行并且包括服务器 106的应用传送系统190选择执行应用程序的方法。在一些实施例中，服务器 106从客户端102接收证书。在另一个实施例中，服务器106从客户端102接 收对于可用应用的列举的请求。在一个实施例中，响应该请求或者证书的接 收，应用传送系统190列举对于客户端102可用的多个应用程序。应用传送 系统190接收请求来执行所列举的应用。应用传送系统190例如响应策略引 擎的策略，选择预定数量的方法之一来执行所列举的应用。应用传送系统190 可以选择执行应用的方法，使得客户端102接收通过执行服务器106上的应 用程序所产生的应用输出数据。应用传送系统190可以选择执行应用的方法，使得本地机器IO在检索包括应用的多个应用文件之后本地执行应用程序。在 又一个实施例中，应用传送系统190可以选择执行应用的方法，以通过网络
104流式传输应用到客户端102。
0032客户端102可以执行、操作或者以其它方式提供应用，应用可为 ^j可类型和/或形式的软件、程序或者可#^于指令，例如^壬何类型和/或形式的web
浏览器、基于web的客户端、客户端-服务器应用、瘦客户端计算客户端、ActiveX 控件、或者Java程序、或者可以a户端102上执行的任一其它类型和/或形式的可 ^f亍指令。在一些实施例中，应用可以是^4^户端102在服务器106上冲W亍的基于 月良务器或者基于远程的应用。在一个实施例中，服务器106可以^^HP瘦客户端或 者远程显示协"i棘显示输出到客户端102，诸如由Florida, Ft. Lauderdale的Citrix Systemslnc.制造的独立计算架构(ICA )协议，或者由Washington, Redmond的 Microsoft公司制造的远程桌面协议(RDP)。应用可^^]任何类型的协议，并且它可 为，例如，HTTP客户端、FTP客户端、Oscar客户端或Telnet客户端。在其它实施 例中，应用包括涉;O'j VoIP通信的^f可类型的软件，例如软IP电话。在进一步的实 施例中，应用包括涉Wj实时数据通信的^^可应用，例如用于流式传IIN见频和/或音 频的应用。
0033在一些实施例中，服务器106或服务器群组38可运行一个或多 个应用，例如提供痩客户端计算或远程显示表示应用的应用。在一个实施 例中，服务器106或服务器群组38作为一个应用来执行Citrix Systems Inc. 的 Citrix Access Sui te 的4壬 一 告卩分(例J;口 MetaFrame或Citrix Presentation Server ), 和/或Microsoft公司制造的Microsoft Windows Terminal Services中的任意一个。在一个实施例中，该应用是位于 Florida, Fort Lauderdale的Citrix Systems Inc.开发的ICA客户端。在 其它实施例中，该应用包括由位于Washington, Redmond的Microsoft公 司开发的远程桌面(RDP)客户端。另外，服务器106可以运行一个应用， 它例如可以是提供电子邮件服务的应用服务器，例如由位于Washington, Redmond的Microsoft公司制造的Microsoft Exchange, web或Internet 服务器，或者桌面共享服务器，或者协作服务器。在一些实施例中，任一 应用可以包括任一类型的所寄载的服务或产品，例如位于California, Santa Barbara的Citrix Online Division才是供的GoToMeeting ，位于 California, Santa Clara的WebEx Inc j是供的WebEx ,或者位于Washington,
13Redmond的Microsoft公司提供的Microsoft Office Live Meeting。
0034客户端102、月良务器106禾S殳备200可以布署为和/或寸A^亍在^—类型
和形式的计算装置上,诸如能够在<—类型和形式的网络上通信并^^亍》狄描述的操
作的计算4几、网络装置或者设备。图1C和1D描述用于实现客户端102、服务器106
或者设备200的实施例的计算装置100的框图。如图1C和1D所示，每个计算装
置100包括中央处理单元101，以及主存储单元122。如图1C所示，计算装
置100可以包括虚拟显示装置124、键盘126和/或诸如鼠标的定点设备127。
每个计算装置IOO也可包括其它可选择的部件，例如一个或多个输入/输出装
置130a - 130b (总的使用标号130表示)，以及与中央处理单元101通信的高
速緩存存储器140。
0035中央处理单元101是响应并处理从主存储单元122取得的指令
的任何逻辑电路。在许多实施例中，中央处理单元由微处理器单元提供，例
^口 由 California , Mountain View 的 Intel 公司制造的； 由
Illinois, Schaumburg的Motorola公司制造的；由Califirnia, Santa Clara
的Transmeta ^司制造的；由New York, White Plains 的 International
Business Machines公司制造的、RS/6000处理器；或者由California,
Sunnyvale的Advanced Micro Devices公司制造的。计算装置100可以基于 任一这些处理器或者能够进行如此处描述操作的任一其它处理器。
0036主存储单元122可以是一个或多个存储芯片，这些存储芯片可 以存储数据并允许微处理器101直接访问任何存储位置，例如静态随机存取 存储器(SRAM )、突发(Burst) SRAM或同步突发(SynchBurst) SRAM ( BSRAM), 动态随机存取存储器(DRAM )、快页模式(Fast Page Mode ) DRAM ( FPM DRAM )、 增强型DRAM ( EDRAM )、扩展数据输出(Extended Data Output) MM ( EDO RAM )、 扩展凄t据输出(Extended Data Output) DRAM (EDO DRAM)、突发扩展凄t据输 出DRAM ( BEDO DRAM )、增强型DRAM ( EDRAM )、同步DRAM ( SD腿)、JEDEC SRAM、 PC100 SDRAM、双数据率SDRAM (DDR SDRAM)、增强型SDRAM (ESDRAM)、同步 链接DRAM ( SLDRAM )、直接Rambus DRAM ( DRDRAM)或者铁电RAM ( FRAM )。 主存储器122可以基于任一上述的存储器芯片或者能够进行如此处描述的操 作的任一其它可用的存储器芯片。在图1C所示的实施例中，处理器101通过 系统总线150 (下面将更详细的介绍)与主存储器122通信。图IC描述计算 装置100的实施例，其中处理器通过存储器端口 103直接与主存储器122通信。例如，在图ID中，主存储器122可为DRDRAM。
0037图1D描述的实施例中，主处理器101通过次级总线，有时称为 "背端"总线，直接与高速緩存存储器140通信。在其它实施例中，主处理 器101使用系统总线150与高速緩存存储器140通信。高速緩存存储器140 通常具有比主存储器122更快的响应时间，并通常通过SRAM、 BSRAM、或EDRAM 来提供。在图1C所示的实施例中，处理器101通过本地系统总线150与各种 1/0装置130通信。各种总线可以被用于连接中央处理单元101到任一 I/O装 置130，包括VESAVL总线、ISA总线、EISA总线、微通道结构(MCA)总线、 PCI总线、PCI-X总线、PCI-Express总线、或者NuBus。对于这样的实施 例，其中1/0装置是视频显示器124,处理器101可使用高级图形端口 (AGP) 与显示器124通信。图1D描述了计算机100的实施例，其中主处理器101通 过HyperTransport， Rapid I/O或者InfiniBand与I/O装置130直接通信。 图1D也描述了一个实施例，其中本地总线和直接通信是混合的处理器101 使用本地互联总线与1/0装置130通信，而与工/0设备130直接通信。
0038计算装置IOO可以支持任何适合的安装装置116，例如用于接 收诸如3, 5英寸、5. 25英寸软盘或ZIP盘的软盘驱动器、CD-ROM驱动器、 CD-R/RW驱动器、DVD-ROM驱动器、各种格式的磁带驱动器、USB装置、硬 盘驱动器、或者适用于安装软件、程序(例如任一客户端代理120或其中 一部分)的任一其它装置。计算装置IOO还可以包括存储装置128,诸如一 个或者多个硬盘驱动器或者独立磁盘的随机阵列，用于存储操作系统和其 它相关软件，以及用于存储诸如涉及客户端代理12Q的任一程序的应用软 件程序。可选地，任一安装装置116也可以被用作存储装置128。此外，操 作系统和软件可从可引导介质运行，诸如KNOPPIX , —种用于GNU/Linux的 可引导CD,该可引导CD可自kn叩pix.net作为GNU/Linux分发获得。
0039此外，计算装置100可以包括通过多个连接来对接到局域网 (LAN)、广域网(WAN)或者因特网的网络接口 118,该多个连接包括但不 限于标准电话线、LAN或WAN链路(如802. 11 、 Tl、 T3、 56kb、 X. 25 )、宽 带连接(例如，ISDN、帧中继、ATM)、无线连接或它们的任一或者全部的 一些组合。网络接口 118可以包含内置网络适配器、网络接口卡、PCMCIA 网卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器 或适合将计算装置100对接到能够通信并执行此处所描述的操作的任一类型网络的任一其它装置。在计算装置100中可提供多个种类的工/0装置
130a-130n的多个种类。输入装置包括键盘、鼠标、轨迹板、轨迹球、麦克风、 以及绘画板。输出装置包括视频显示器、扬声器、喷墨打印机、激光打印机、 及染料升华(dye-sublimation )打印机。如图1C所示，I/O装置130可以 由1/0控制器123控制。I/0控制器可以控制诸如键盘126和定点设备127(例 如鼠标或者光学笔)的一个或者多个I/0装置。此外，1/0装置也可为计算装 置IOO提供存储器128和/或安装介质116。在另其它实施例中，计算装置100 可以提供USB连接用来接收手持USB存储装置，例如由California, Los Alamitos的Twintech Industry Inc.制造的USB闪烁驱动器系列装置。
0040在一些实施例中，计算装置100可以包括多个显示装置 124a-124n或与其相连，这些显示装置可以是相同或不同的类型和/或形式。 同样的，1/0装置130a-130n中的任意一个和/或1/0控制器123可以包括 任一类型和/或形式的适当硬件、软件或软硬件组合以支持、启用或提供计 算装置IOO对多个显示装置124a-124n的连接和使用。例如，计算装置100 可以包括任一类型和/或形式的视频适配器、视频卡、驱动器和/或库，以与 显示装置124a-124n对接、通信、连接或使用显示装置。在一个实施例中， 视频适配器可以包括多个连接器以与多个显示装置124a-124n对接。在其 它实施例中，计算装置100可以包括多个视频适配器，每个视频适配器与 显示装置124a-124n中的一个或多个连接。在一些实施例中，计算装置100 的操作系统的任一部分都可以被配置用于使用多个显示器124a-124n。在其 它实施例中，显示装置124a-124n中的一个或多个可以由一个或多个其它 计算装置提供，诸如(例如通过网络)与计算装置IOO连接的计算装置100a 和100b。这些实施例可以包括被设计和构造的任一类型的软件，以使用另 一个计算机的显示装置作为计算装置100的第二显示装置124a。本领域的 普通技术人员会认识和意识到可以将计算装置100配置成拥有多个显示装 置124a-124n的各种方式和实施例。
0041在进一步的实施例中，1/0装置130可为在系统总线150和外部 通信总线间的桥170，外部通信总线例如USB总线、A卯le Desktop总线、RS-232 串行连接、SCSI总线、FireWire总线、FireWire800总线、Ethernet总线、 AppleTalk总线、Gigabit Ethernet总线、异步传输模式总线、HIPPI总线、 Super HIPPI总线、SerialPlus总线、SCI/LAMP总线、FibreChannel总线、
16或者串行连接(Serial Attached)小型计算机系统接口总线。
0042图IC和图ID中描述的种类的计算装置IOO通常在操作系统的 控制下操作，该操作系统控制任务的调度和对系统资源的访问。计算装置100 可运行^f封可才斜乍系统，例如任何版本的Microsoft Windows才斜乍系统，不同版本 的Unix和Linux操作系统，用于Macintosh计算才几的4壬4可片反本的Mac OS ,任何 ^/v式^^乍系统，^f可实时才剁卡系统，^f可开放源才剁乍系统，^f可专有才剁乍系统，用 于移动计算装置的任何^乘怍系统，或者可以在计算装置上运行并^^亍此处所述操作的
^i可其它才斜乍系统。典型的操作系统包括由Washington, Redmond的Microsoft 公司制造的WINDOWS 3. x、 WINDOWS 95、 WINDOWS 98、 WINDOWS 2000、 WINDOWS NT 3.51、 WINDOWS NT 4.0、 WINDOWS CE和WINDOWS XP;由California, Cupertino的Apple计算机公司制造的MacOS;由New York, Armonk的 International Business Machines制造的OS/2;以及由Utah, Salt Lake City 的Caldera公司发布的可自由获得的操作系统Linux,以及除此之外的任一类 型和/或形式的Unix操作系统。
0043在其它实施例中，计算装置100可以具有与该装置相容的不同 的处理器、操作系统和输入装置。例如，在一个实施例中，计算机100是 palm Inc.制造的Treol80、 270、 1060、 600或者650的智能电话。在此实施 例中，Treo智能电话在PalmOS操作系统的控制下运行并且包括触针输入装置 以及五向导向装置。此外，计算装置100可以是任一工作站、桌面计算机、 膝上型或笔记本计算机、服务器、手持计算机、移动电话、任一其它计算 机、或能够通信并有足够的处理器能力和存储容量以执行此处所述的操作的 其它形式的计算或者电信装置。
B、设备架构
0044图2A示出设备200的一个示例实施例。图2A中的设备200的架构只是 通过示意的方iU是供，并不意于要限制本发明。如图2所示的，设备200包括硬件层 206和分为用户空间202和内核空间204的软件层。
0045硬件层206提供硬件元件，在内核空间204和用户空间202内的程序和 服务在该硬件元件上被#^亍。硬件层206 ^i是供结构和元件，使得内核空间204和用 户空间202内的禾1^和服务对于设备200伊4内又向外进行数据通信。如图2所示， 硬件层206包括用于^Vf亍软件程序和服务的处理单元262、用于^f诸软件和数据的存储器264、用于在网络嫂送和接收数据的网络端口 266以朋于^Vf亍涉絲网络 上被发送和接收的数据的加密套4转+办议层处理的功能的加密处理器260。在一些 实施例中，中央处理单元262可在单一的处理器中扭軒加密处理器260的功能。另外， 硬件层206可包括用于每个处理单元262和加密处理器260的多个处理器。处理器 262可以包括以上结合图1C和1D所述的^"^处理器101。在一些实施例中，中M 理单元262可在单一的处理器中#^亍加密处理器260的功能。另夕卜，硬件层206可包 括用于每个处理单元262和加密处理器260的多个处理器。例如，在一个实施例中， 设备200包括第一处理器262和第二处理器262，。在其它实施例中，处理器262或 者262，包括多核处理器。
0046虽然设备200的硬件层206通常被示出带有加密处理器260,但是处理 器260可为扭軒涉及^f可加密协议的功能的处理器，例如加密套接字协i^ (SSL) 或者传输层安全(TLS)协议。在一些实施例中，处理器260可为通用处理器(GPP), 并且在进一步的实施例中，可为具有用于扭軒<封可安全相关协议的处理的可#1#指 令。
0047虽然在图2中设备200的硬件层206被示出具有一些元件，但是设 备200的硬^f^分或部件可包^i十算装置的任何类型和形式的元件、硬件或软件，例 如此处结合图1C和1D示出和讨论的计算装置100。在一些实施例中，设备200可包 括服务器、网关、路由器、交换机、桥接器或其它类型的计算或网络装置，并且具有 与it"目关的^f可硬件和/或软件元件。
0048设备200的操怍系统分配、管理或另外分离可用的系统##器到内核空 间204和用户空间204。在示例的软件架构200中，才喿作系统可为^f^可类型和/或形 式的Unix揭作系统，虽然本发明并未如此P艮制。同样的，设备200可运^刊^可才剁乍 系统，例如4壬<可版本的Microsoft Windows才^f乍系统，不同片反本的Unix和Linux 4剩乍系统，用于Macintosh计算机的任何版本的Mac OS , ^^可^v式才剁乍系统， ^f可网《斜剁乍系统，^^可实时才射乍系统，4封可开源#^乍系统，^f可专有才斜乍系统，用 于移动计算装置或网络装置的^^可操怍系统，或者可以在设备200上运行并#^亍此处
所述#^乍的^^可其它才*^乍系统。
0049内核空间204被保留用于运行内核230，包括任-^i更备驱动器、内核扩 展或其它内核相关软件。就^^领域技权员所知的，内核230是#|乍系统的核心， 并提供对设备104的资源和硬件相关元件的访问、控制和管理。根才射殳备200的实施 例，内核空间204也包括与高速緩存管理器232协同工作的多个网络服务或进程，有时^M尔为集成的高速緩存，其益处此处将进一步详细描述。另夕卜，内核230的实施例
#^1负于通过设备2 0 0安装、配置或其它使用的操作系统的实施例。
0050在一个实施例中，设备200包括一个网络i斜戋267，例如基于TCP/IP 的堆找，用于与客户端102和/或服务器106通信。在一个实施例中，使用网络iM 267与诸如网络108的第一网络以^f二网络110通信。在一些实施例中，设备200 终止第一传输层连接，例如客户端102的TCP连接，并建立到J良务器106的第二传输 层连接，用于由客户端102 ^j ]，例如，在设备200和服务器106处终止第二传输层 连接。可通过单一的网络i械267建立第一和第二传输层连接。在其它实施例中，设 备200可包括多个网络i斜戋，例如267或267'，并且可在一个网络i斜戋267建立或 终止第一传输层连接，在第二网络堆栈267'可建立或者终止第二传输层连接。例如， 一个网络i斜戋可用于在第一网络上接收和发送网络包，并且另 一个网络i斜戋用于在第 二网络上接收和发送网络包。在一个实施例中，网络^4戋267包括用于排队一个或多 个网络包的缓冲器243，其中网络包由设备200发送。
0051如图2所示，内核空间204包括高速緩存管理器232、高絲2 - 7集 成包引擎240、加密引擎234、策略引擎236以及多协^JE缩逻辑238。在内核空间 204或内核冲莫式而不^]户空间202中运行这些组件或进程232、 240、 234、 236和 238提高这些组件中的每个的单独的和结合的性能。内核4剁乍意味着这些组件或进程 232、 240、 234、 236和238在设备200的操怍系统的核地址空间中运行。例如，在 内核模式中运行加密引擎234通过移动加密和解密才刻乍到内核来提高加密性能，从而 减少在内核模式中的^(诸空间或内核线程与在用户模式中的存储空间或线程之间 的转换的数量。例如，在内核模式中获得的数据可以不需姚输或拷贝到运行在用 户模式的进禾lil线程，例如从内核级数据结构到用户级数据结构。在另一个方面，也 可减少内核模式和用户模式之间的上下文切换的数量。另夕卜，^^可组件或进程232、 240、 234、 236和238的同步和^~^间的通信在内核空间204中可^^有效地才W亍。0052在一些实施例中，组件232、 240、 234、 236和238的4a可部分可在内 核空间204中运行或^喿怍，而这些组件232、 240、 234、 236和238的其它部分可在 用户空间202中运行或才斜乍。在一个实施例中，设备20(H錢内核级数据结构来提供 对一个或多个网络包的^f可部分的访问，例如，包括来自客户端102的请,M者来自 服务器106的响应的网络包。在一些实施例中，可以由包引擎240通逃)j网绍J斜戋 267的传输层驱动^l妾口或过滤器获得内核级数据结构。内核级数据结构可包4诚过 与网络i斜戋267相关的内核空间204可访问的4封可接口和/或数据、由网络i斜戋267
19接4线发送的网络业务或包。在其它实施例中，^f可组件或进程232、 240、 234、 236 和238可^^内核级数据结构来^^^且件或进程的期望的#^乍。在一个实施例中，当 ^^]内核级数据结构时，组件232、 240、 234、 236和238在内核模式204中运行， 而在另一个实施例中，当^^内核级数据结构时，组件232、 240、 23《236和238 在用户模式中运行。在一些实施例中，内核级数据结构可被拷贝或传输给第二内核级 数据结构，或^f封可期望的用户级数据结构。
0053高速緩存管理器232可包括软件、硬件或软件和硬件的任一组合，以提 供对任何类型和形式的内容的高速緩存访问、控制和管理，例如对象或由源服务器 106服务的动态产生的对象。由高速缓存管理器232处理和^j诸的数据、对象或内容 可包括^i可格式的数据，例如标记语言，或通过^f封可协i^t信。在一些实施例中，高 速緩存管理器232复制^j诸在其它地方的原始数据或先前被计算、产生或发送的数 据，其中相对于读高速缓存^j诸元件，原始数据可能需要更长的访问时间以便取得、 计算或获得。一^l史据4皮^^诸在高速緩存^f诸元件中，将来的使用可通过访问高速缓 存的副本而非再取回或再计算原始数据而实现，因而减少了访问时间。在一些实施例 中，高速緩存^H诸元件nat包^i殳备200的务賭器264中的数据对象。在其它实施例 中，高速緩存^f诸元件可包括具有t傳储器264更决的存取时间的存储器。在另一个
硬盘的部分。在一些实施例中，处理单元262可提供被高速緩存管理器232使用的高 速緩存^i诸器。在又一个实施例中，高速緩存管理器232可^^]^^诸器、^^i殳备或 处理单元的^[可部#组合来高速緩存数据、对絲其它内容。
0054另外，高速缓存管理器232包括用于才Mf此处描述的设备200的技术的 任一实施例的^f可逻辑、功能、规则或才剩乍。例如，高速緩存管理器232包括基于无 效时间周期的终止，或者乂A^户端102或服务器106接"化效命令，无^^"象的逻辑 或功能。在一些实施例中，高速緩存管理器232可作为在内核空间204中才W亍的程序、 月良务、进禾lil任务来才斜乍，并#其它实施例中在用户空间202中才;W亍。在一个实施 例中，高速緩存管理器232的第"p分在用户空间202内衫W亍，而第二部分在内核空 间204内#1^亍。在一些实施例中，高速緩存管理器232可包括任何类型的通用处理器 (GPP),或者^f可其它类型的M电路，例如现场可编程门阵列(FPGA)、可编禾liE 辑器件(PLD)或者专用集成电路(ASIC)。
0055策略引擎236可包括，例如，智能统计引擎或其它可编程应用。在一个 实施例中，策略引擎236提供配置机制以允许用户识别、指定、定义或配置高速緩存策略。在一些实施例中，策略引擎236也访问^#器以支持数据结构，例如查^J^1
哈希(hash)表，以启用用户选择的高速緩存策略决定。在其它实施例中，策略引 擎236可包括4封可逻辑、^LI!寸、功能或才剁乍以决定和提供除了对妙、网络业务、网 络访问、压缩或其它任何由设备200执行的功能或操怍的访问、控制和管理O卜的对 设备200所高速緩存的对象、数据、或内容的访问、控制和管理。特定高速緩存策略 的其它实施例在此处进一步进行了描述。
0056加密引擎234包括用于控制任何^4，相关协i^t理，例如SSL或TLS， 或其相关的^f可功能的1^f可逻辑、商业规则、功能或4剁乍。例如，加密引擎234加密 并解密通过设备200通信的网络包，或其^f可部分。加密引擎234也可^4^户端 102a-102n、服务器106a-106n或设备200来安M建立SSL或TLS连接。同才羊的， 加密引擎234提供SSL处理的卸载和加速。在一个实施例中，加密引擎234 ^JU卩tii 协i^^提供^l户端102a-102n和服务器106a-106n间的虚拟专用网络。在一些实施 例中，加密引擎234与加密处理器260通信。在其它实施例中，加密引擎234包4終 行在加密处理器260上的可#^于指令。
0057多协i级缩引擎238包括用于压缩一个或多个网络包协议(例:H皮设备 200的网络堆栈267使用的<封可协议)的^^可逻辑、商业规则、功能或才乘怍。在一个 实施例中，多协^Ji缩引擎238双向压缩^:户端102a-102n和服务器106a-106n 间^^f可基于TCP/IP的协议，包括消息应用编程接口 (MAPI)(电子邮件email )、文 件传l針办议(FTP)、超文本传!lrf办议(HTTP)、通用Internet文件系统(CIFS)协议 (文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP )、无线应用协议(WAP )、 移动IP协议以及IP语音(VoIP)协议。在其它实施例中，多协议压缩引擎238提供 基于超文^M示记语言(HTML)的协议的压缩，并财一些实施例中，提^HS可标记语 言的压缩，例如可扩展标记语言(風)。在一个实施例中，多协议压缩引擎238提供 任何高性能协议的压缩，例如为设备200设计的用于设备200通信的^f可协议。在另 一个实施例中，多协i^缩引擎238 ^Jf]修改的传输控制协议(例如事务TCP( T/TCP )、 带有选择确认的TCP (TCP-SACK)、带有大窗口的TCP (TCP-LW)、例如TCP-Vegas协 议的拥塞预报协议以及TCP电子欺骗协议)来压缩^j可通信或其^^可有效载荷。
0058同样的，多协i猛缩引擎238通过桌面客户端，例如Micosoft Outlook 和非web瘦客户端，诸如由通用企业应用像Oracle、 SAP和Siebel启动的4ii可客户 端，甚至移动客户端，例如便携式个人计算机，^i。速用户访问应用的执行。在一些 实施例中，多妨4^Si宿引擎238通雄内核模式204内部才Af亍并与访问网络i斜戋267的包处理引擎240集成，可以压缩TCP/IP协i力K载的^f可协议，例Vf勤可应用层协 议。
0059^A高il^2-7的包引擎240，通常^!l^尔为包处理引擎，或包引擎，通 过网络端口 266负责设备200接收和发送的包的内核M理的管理。^高ii^2-7 的包引擎240可包括在处理期间用于排队一个或多个网络包的緩冲器，例如用于网络 包的接4线者网络包的发送。另夕卜，絲高it^2-7的包引擎240通过网络端口 266 与一个或多个网络i斜戋267通信以发出禾^妾收网络包。城高i4J:2-7的包引擎240 与加密引擎234、高速緩存管理器232、策略引擎236和多协议压缩逻辑238协同工 作。更M地，配B口密引擎234以执行包的SSL处理，配置策略引擎236以执行涉 及业务管理的功能，例:^貪求级内容切换以及请求级高速緩存重定向，并配置多协议 压缩逻辑238以#1^于涉及数据压缩和解压缩的功能。
0060集成高速层2-7的包引擎240包括包处理定时器242。在一个实施例中， 包处理定时器242提#-个或多个时间间隔以触发输入的(即接收的，或者输出的(即 发送的))网络包的处理。在一些实施例中，集成高i4^2-7的包引擎240响应于定 时器242处理网络包。包处理定时器242向包引擎240 ^是^f壬一类型和形式的4言号以 通知、触发或传送时间相关的事件、间隔或发生。在许多实施例中，包处理定时器 242以毫秒Mi^行，例如100ms、 50ms、或25ms。例如，在一些实施例中，包处理定 时器242提供时间间隔或者使由M高iiy昏2-7的包引擎240以10ms时间间隔处理 网络包，而在其它实施例中，以5ms时间间隔，并iL^又进一步的实施例中，短到3、 2或lms时间间隔。M高ii^2-7的包引擎240在操怍期间可与加密引擎234、高 速緩存管理器232、策略引擎236以及多协i滅缩引擎238对接、M或通信。同样 的，响应于包处理定时器242和/或包引擎240,可才W亍加密引擎234、高速緩存管理 器232、策略引擎236以及多协^JE缩逻辑238的^^可逻辑、功能或才剁乍。因此，可 在由包处理定时器242拔_供的时间间隔粒度(例如小于或等于10ms的时间间隔) 4似亍加密引擎234、高速緩存管理器232、策略引擎236以及多协议压缩逻辑238的 ^f可逻辑、功能或才刻乍。例如，在一个实施例中，响应于^高it^ 2-7的包引擎 240和/或包处理定时器242，高速緩存管理器232可^fr^可高速緩存对象的无效。 在另一个实施例中，高速緩存对象的终止或无效时间被设定为与包处理定时器242 的时间间隔相同的粒度级，例如每1 Oms。
0061与内核空间204形威7十比,用户空间202是操怍系统的务賭区域或部分, 被用户模式应用或在用户模式中以其它方i^il行的程序所使用。用户才莫式应用不能直
22接访问内核空间204并且为了访问内核服务而^^)服务调用。如图2所示，设备200 的用户空间202包括图形用户界面(GUI )210、命令行接口 (CLI )212、壳服务(shell service) 214、 i^t^监控寿辨216以及守护(daemon)服务218。 GUI 210和CLI 212 提^"-种方法,通过该方法系统管理员或其它用户可与设备200的4剁乍相互作用并控 制该设备200的操作，例如通过设备200的^喿怍系统，并M者是用户空间202或者 内核空间204。 GUI 210可为4i^可类型和形式的图形用户界面，并且可通iti:本、图 形或其它^"一类型的程序或应用来呈现，例如浏览器。CLI 212可为4封可类型和形式 的命令行或基于文本的接口 ，例如通过才刺乍系纟W是供的命令行。例如，CLI212可包 括壳(shell),该壳是使得用户能够与操作系统交互的工具。在一些实施例中，可 通过bash、 csh、 tcsh或者ksh类型的壳提供CLI 212。壳服务214包才封踏、服务、 任务、进禾lil可^^亍指令以支持由用户通过GUI 210和/或CLI 212的与设备200或 者操作系统的交互作用。
0062^^H4t监控程序216来监控、检查、报告并确保网络系乡組常i4^行 以A^]户通过网^4妄j^斤请求的内容Jjit监控禾聘216包括一个或多个程序、服务、 任务、进禾試可^f亍指令，为监i空i殳备200的^^pf亍为而^是^^tl專、规则、功能或才喿 作。在一些实施例中，健康监控程序216拦截并检查通过设备200传递的任何网络业 务。在其它实施例中，健康监控程序216通过^f可合适的方法和/或机制与一个或多 个下述设备对接加密引擎234、高速缓存管理器232、策略引擎236、多协议压缩 逻辑238、包引擎240、守护服务218以及壳服务214。同样的，1t^监控程序216 可调用<右可应用编程接口 (API)以确定设备200的^l可部分的状态、情况或他泉。 例如，健康监控程序216可基于周斯性地查验或发送状态查询以检查程序、进程、服 务或任务是否被敫活并当前iMfe行。在另一个示例中，#^监控禾1^ 216可岸全查 由^^可程序、进程、月良务或任务提供的^f可状态、4封吴或历史日志以确定设备200 4^f可部分的4封可^^牛、情^Li^fi吴。
0063守护服务218是连续地或在后台中运行的程序，并且处理由设备200 接收的周斯性服务请求。在一些实施例中，守护服务向其它程序或进程转发请求，例 如向合适的另一个守护服务218。如本领域技术人员所//^口，守护服务218可天^A监 护的运行，以^^亍连续的或周期性的系统范围功能，例如网络控制，或者^^刊封可期 望的任务。在一些实施例中， 一个或多个守护服务218运行在用户空间202中，而在 其它实施例中， 一个或多个守护服务218运行在内核空间。
0064现在参见图2B，描述了设备200的另一个实施例。总的来说，设备200提供以下服务、功能fiil者才辦的一个或者多个用于一个或者多个客户端102和一 个或者多个服务器106之间的通信的SSLVPN连接f生280、转换/负载平衡284、 ii^ 服务解析286、力口速288和应用防火墙290。在一个实施例中，设备200包括由Florida, Ft. Lauderdale的Citrix Systems Inc.制造的任一网络装置，称为Citrix NetScaler 装置。服务器106的^-"个可以提^"个或者多个网络相关服务270a-270n (称为服 务270 )。例如，服务器106可以提供http服务270。设备200包括一个或者多个虚 拟服务器或者虚拟互联网协议服务器，称为vServer、 VIP服务器或者仅是VIP 275a-275n (此处^M尔为vServer 275 )。 vServer275根才射殳备200的配置和才斜卡来接 收、冲誠或者以其它方式处J,户端102和服务器106之间的通信。
0065vServer 275可以包括软件、硬件或者软件和硬件的<—组合。vServer 275可包括在设备200中的用户模式202、内核模式204或者其任一组合中运行的任 一类型和形式的禾聘、服务、任务、进矛誠者可才Af亍指令。vServer 275包括^fP逻 辑、功能、规则或者才剁乍，以冲Aff此处所述技术的任一实施例，诸如SSL VPN 280、 转换/负载平衡284、 ii^月良务解析286、加速288和应用防火墙290。在一些实施例 中，vServer 275建立到月良务器106的服务270的连接。服务275可以包括能够连接 到设备200、客户端102或者vServer 275并与之通信的任-^呈序、应用、进程、任 务或者可#^亍指令集。例如，服务275可以包括web服务器、http服务器、ftp、电 子邮件或者数据库服务器。在一些实施例中，月l务270是守护进禾lisl者网络驱动器， 用于监听、接收和/或发送用于应用的通信，诸如电子邮件、数据库或者企业应用。 在一些实施例中，服务270可以在特定的IP地址、或者IP i^ii和端口上通信。
0066在一些实施例中，vServer 275应用策略引擎236的一个或者多个策略 到客户端102和服务器106之间的网络通信。在一个实施例中，该策略与vServer 275相关。在另一个实施例中，该策略基于用户或者用户组。在又一个实施例中，策 略为通用的并且应用到一个或者多个vServer 275a-275n和通过设备100通信的任一 用户或者用户组。在一些实施例中，策略引擎的策^有基于通信的怪一内容应用该 策略的^^牛，通信的内容诸如互联网协i^也址、端口、协议类型、包中的首部或者域、 或者通信的上下文，诸如用户、用户组、vServer 275、传输层连接、和/或^^户端102 或者"良务器106的标识或者属性。
0067在其它实施例中，设备200和策略引擎236通信或者对接，以确定远程 用户或者远禾1^户端102访问计算环嫂15、应用、和/或来自服务器106的数据文件 的验ji^口/或授权。在另一个实施例中，设备200和策略引擎236通信或者对接，以
24确定远程用户或者远禾1^户端102的马b咏/或授^^使得应用传送系统190传送一 个或者多个计算环嫂15、应用、和/或数据文件。在又一个实施例中，设备200基于 对远程用户或者远禾錄户端103的策略？ 1擎236的聪^￡和/或授#棘建立VPN或者SSL VPN连接。在一个实施例中，设备102基于策略引擎236的策略来控制网络业务和通 信^S舌的流。例如，设备200可以基于策略引擎236来控制对计算环嫂15、应用或 者数据文件的访问。
0068在一些实施例中，vServer 275与客户端102经客户端代理120建立传 输层连接，诸如TCP或者UDP连接。在一个实施例中，vServer 275监听和接收来自 客户端102的通信。在其它实施例中，vServer 275与客户端服务器106建立传输层 连接，诸如TCP或者UDP连接。在一个实施例中，vServer 275建立到运行在服务器 106上的服务器270的互联网协i^也址和端口的传输层连接。在另一个实施例中， vServer 275将到客户端102的第一传输层连接与到服务器106的第二传输层连接相 关联。在一些实施例中，vServer 275建立到服务器106的传输层连接池并JU至由池 化的传输层连接多路^客户端请求。
0069沾一些实施例中，设备200提供客户端102和服务器106之间的SSL VPN 连接280。例如，第一网络102上的客户端102请求建立到第二网络104，上的月良务器 106的连接。在一些实施例中，第二网络104，是不能从第一网络104路由的。在其它 实施例中，客户端102位于公用网络104上，并iU良务器106位于专用网络104，上， 例如企业网。在一个实施例中，客户端代理120拦截第一网络104上的客户端102 的通信，加密该通信，并且经第一传输层连接发送该通信到设备200。设备200将第 一网络104上的第一传输层连接与到第二网络104上的服务器106的第二传输层连接 相关联。设备200接收来自客户端代理102的所拦截的通信，加密该通信，并且经第 二传输层连接发送该通信到第二网络104上的月良务器106。第二传输层连接可以是池 化的传输层连接。同样的，设备200提供用于两个网络104、 104，之间的客户端102 的端到端^^输层连接。
0070在一个实施例中，设备200寄载虚拟专用网络104上的客户端102的内 部网内部网协议或者intranetlP 282 ;&止。客户端102具有本地网络识别符，诸如互 联网协议(IP)地il:^/或第一网络104上的主才;U称。当经设备200连接到第二网 络104'，对于第二网络104，上的客户端102,设备200建立、分配或者以其它方式提 供IntranetIP,其是网络识别符，诸如IP地址和/或主机名称。设备200在第二或者 专用网络104，上监听和接收^^j客户端建立的IntranetIP 282的指向客户端102的任一通信。在一个实施例中，设备200用作或者^4^二专用网络104上的客户端102。 例如，在另一个实施例中，vServer 275监听和响应到客户端102的IntranetIP 282 的通信。在一些实施例中，如杲第二网络104，上的计算装置100发送请求，设备200 如同客户端102 —才羊来处理该i青求。例如，设备200可以响应对客户端IntranetIP 282 的查验。在另一个实施例中，设备可以与请求和客户端IntranetIP 282连接的第二网 络104上的计算装置100建立连接，诸如TCP或者UDP连接。
0071在一些实施例中，设备200提#—个或者多个以下力口速技术288以# 户端102和服务器106之间通信l)压缩；2 )解压缩；3)传输控制协议池；4)传 输控制协议多路复用；5)传输控制协议緩沖；和6)高速緩存。在一个实施例中， 设备200通过开启与^-"服务器106的一个或者多个传输层连接并且维持这些连接以 允许由客户端经因特网的重复数据访问，来为服务器106緩解由重复开启和关闭到客 户端102的传输层连接所带来的许多处理负载。该技4^此处被称为"连接池"。
0072在一些实施例中，为了无缝拼4^/^户端102经^4匕的传输层连接到服 务器106的通信,设备200通it^传输层协议级修改序列号和确认号来翻译或多路复 用通信。这被称为"连接多路复用"。在一些实施例中，不需要应用层协议交互作用。 例如，在W占包(即，乂A^户端102接收的包)的例子中，包的源网络地址被改变到 设备200的输出端口的地址，并且目的网络地址被改变到指定的服务器的地址。在出 站包(即，乂A^务器106接收的包)的例子中，源网络;h]iiib^良务器106的地址被改 变为设备200的输出端口的地址，并且目的地iiU人设备200的;W止被改变到请z^j:户 端102的地址。包的序列号和确认号^^皮翁^奪为到客户端102的i殳备200的传输层连 接上的客户端102所^f寺的序列号和确认。在一些实施例中，传输层协议的包校—3封口 被重新计算以计及这些翻译。
0073在另一个实施例中，设备200提供转换或者负载平衡功能性284用于客 户端102和服务器106之间的通信。在一些实施例中，基于层4或者应用层请求数据， 设备200分发业M且将客户端请求指向服务器106。在一个实施例中，尽管网络层 或者网络包的层2识别目的服务器106，但设备200确幻l务器106利用传输层包 的有效载荷所承载的应用信息和数据来分发网络包。在一个实施例中，设备200的 At监控程序216监4刽良务器的健^^确定分发客户端请求用于哪个服务器106。在 一些实施例中，如果设备200探测到服务器106不可用或者具有超过预定阈值的负载， 设备200可以将客户端请求指向或者分发到另一个服务器106。
0074在一些实施例中，设备200用作域名服务(DNS)解析器或者以其它方式提供来自客户端102的DNS请求的解析。在一些实施例中，设备拦截由客户端102 发送的DNS请求。在一个实施例中，设备200以设备200所寄载的或其IP地址来响 应客户端的DNS请求。在此实施例中，客户端102发送用于域名的网络通信到设备 200。在另一个实施例中，设备200以第二设备200，所寄载的或其IP地址来响应客 户端的DNS请求。在一些实施例中，设备200使用由设备200确定的服务器106的 IP地址来响应客户端的DNS请求。
0076在又一个实施例中，设备200提供用于客户端102和服务器106之间通 信的应用防火墙功能f生290。在一个实施例中，策略引擎236提供用于探测和阻断非 法请求的规则。在一些实施例中，应用防火墙290防御拒《^良务(DoS)攻击。在其 它实施例中，设备检查所拦截的请求的内容，以识别和阻断基于应用的攻击。在一些 实施例中，规则/策略引擎236包括一个或者多个应用防火墙或者安全控制策略，用 于提^f呆护各种类别和类型的基于web或者因特网的漏洞，诸如以下一个或者多个 l)緩冲溢出，2 ) CGI-BIN #|史才彰从，3)表格/隐藏域才彰从，4)强i^j刘览，5) cookie 或者会话中毒，6)中断的访问控制列表(ACL)或者弱的口令，7)跨站脚;^J支击(XSS), 8)命令注入，9)SQL注入，10)賴4，发敏感信息漏，11)密码学的不^f吏用， 12)服务器误配置，13)后门牙"周;縫项，14)web站点毁损，15)平台或者才斜乍系 统漏洞，和16)零天攻击。在实施例中，应用防火墙290为以下一个或者多个以枱r 查或者分析网络通信的形式来提供HTML格式域保护l)返回所需要的域，2)不允 "i午增加的i或，3 )只读和隐藏ii^y亍，4 )下拉列表和单选4射处戈一致，5 )表域最大 长度施行。在一些实施例中，应用防火墙2卯确保没有修改cookie。在其它实施例 中，应用防火墙290通过执行合法的URL来防御强迫浏览。
0076在又另一些实施例中，应用防火墙290保护包括在网络通信中的任一机 密信息。应用防火墙290可以根据引擎236的规则或者策略^^查或者分析任一网络 通信，以识别网络包的任一域中的^—机密信息。在一些实施例中，应用防火墙290 识别网络通信中的信用卡号、口令、社会^号码、名称、患者号码、接触信息和年 龄的一个或者多个的出现。网络通信的编石解p分可以包4鍵些出J贼者机密信息。基 于这些出现，在一个实施例中，应用防火墙290可以采取作用于网络通信上的策略， 诸如阻止网络通信的发送。在另一个实施例中，应用防火墙290可以重写、移动或者 以其它方式掩蔽该所识别的出现或者机密信息。
C、客户端化里
20077现在看图3,描錄户端代理120的实施例。客户端102包括客户端代 理120,用于经网络104与设备200和/iU艮务器106来建立和交换通信。总的来^兌， 客户端102在计算装置100上操作,该计算装置100拥有带有内核模式302以及用户 模式303的才^f乍系统，以及带有一个或多个层310a-310b的网络i斜戋310。客户端102 可以已经安^/或扭軒一个或多个应用。在一些实施例中， 一个或多个应用可通过 网络i斜戋310与网络104通信。诸如web浏览器的应用之一也可包括第""~#踏322。 例如，可在一些实施例中使用第一程序322来安装和/或|^亍客户端代理120，或其 中^"^p分。客户端代理120包括^^i几制或者一誠器350,用于4誠经由网络i1^戈 310来自 一个或者多个应用的网络通信。
0078^1户端102的网络堆栈310可包括任何类型和形式的软件、或硬件或其 组合，用于提供与网络的连接和通信。在一个实施例中，网络i械310包括用于网络 协i5(i且的软件实现。网络i械310可包括一个或多个网络层，例如为本领域技术人员 所公认和了解的开放式系统互联(OSI)通信模型的伶河网络层。同样的，网绍3斜戋 310可包括^—类型和形式的协议，这些协议用于OSI模型的任何以下层l)物理 彬各层，2 )数谢鈔各层，3 )网络层，4 )传输层，5 )絲层，6 )表示层，以及7 ) 应用层。在一个实施例中，网络i斜戋310可包括在互联网协议(IP)的网络层协i3Lh 的传输控制协议(TCP),通常称为TCP/IP。在一些实施例中，可在Ethernet协"iJLh 承载TCP/IP协议，Ethernet协议可包括IEEE广域网(WAN)或局域网(LAN)协议 的任何族，例3—皮IEEE 802. 3覆盖的那些协议。在一些实施例中，网络i斜戈310包 括任何类型和形式的无线协议，例如IEEE 802.11和/或移动互联网协议。
0079考虑基于TCP/IP的网络，可^J H^f可基于TCP/IP的协议，包括消息应 用编程接口 (MAPI)(电子邮件)、文件传l針办议(FTP)、超文本传!射办议(HTTP)、 通用因特网文件系统(CIFS)协议(文件传输)、独立计對匡架(ICA)协议、远程桌 面协议(RDP)、无线应用协议(WAP)、移动IP协议，以及IP语音(VoIP)协议。在 另一个实施例中，网络i斜戋310包括^f可类型和形式的传输控制协议，诸如修改的传 输控制协议，例如事务TCP (T/TCP),带有选择确认的TCP (TCP-SACK),带有大窗口 的TCP (TCP-LW)，拥塞预测协议，例如TCP-Vegas协议，以及TCP电子,大骗十办i义。 在其它实施例中，份阿类型和形式的用户数据报协议(UDP),例如IP上UDP，可被 网络^N戋31(Ht^,诸如用于i^"通信或实时数据通信。
0080另外，网络i斜戋310可包括支持一个或多个层的一个或多个网络驱动器， 例如TCP驱动器或网《各层驱动器。网络驱动器可被包括作为计算装置100的才喿作系统
28的4分或者作为计算装置100的任何网络接口卡或其它网络访问组件的一部分。在 一些实施例中，网络:l斜楚310的^f可网络驱动器可,议制、修改或调整以提供网络堆 栈310的定制或修改部分，用来支持此处描述的^^可技术。在其它实施例中，设计并
构建加速程序120以与网络堆栈310协同操怍或工作，上述网络i斜戋310由客户端 102的冲喿作系统安^^以其它方式^是供。
0081网络堆栈310包括^f可类型和形式的接口，用于冲姿收、获得、提供或以 其它方式访问涉M户端102的网络通信的^f可信息和数据。在一个实施例中，网络 堆栈310的接口包括应用编程接口 (API )。接口也可包括任何函数调用、钩子或过滤 机制、事件或回调机制、或^f可类型的接口技术。网络:t斜戋310通过接口可接4线提 供与网络;t斜戈310的功能或才剁乍相关的^f可类型和形式的数据结构，例如对象。例如， 数据结构可包括涉;sjij网络包的信息和数据,或一个或多个网络包。在一些实施例中， 数据结构包括在网络i斜戋310的协i^处理的网络包的一卩分，例如传输层的网络 包。在一些实施例中，数据结构325包括内核级数据结构，而在其它实施例中，数据 结构325包括用户模式数据结构。内核级数据结构可包括在内核模式302中才剁乍的网 络i斜戋310的部分获得的或涉及的数據结构，或者运行在内核模式302中的网络驱动 器或其它软件，或者通it^^乍系统的内核模式中运行或"^乍的服务、进程、任务、 线程或其它可^^于指令获得或接收的^f可数据结构。
0082itb^卜，网络i斜戋310的一些部分可在内核模式302中l^f亍或4刺乍，例如， 数氺射耖各或网络层，而其它部分在用户模式303中扭行或操怍，例如网络舉线310 的应用层。例如，网络i斜戋的第-"^分310a可为应用提供对网络:t斜戋310的用户模 式的访问，而网络堆栈310的第二部分310a提供对网络的访问。在一些实施例中， 网络i斜戋的第"卩分310a可包括网络i斜戋310的一个或多个^Ji层，例如层5-7的 任一层。在其它实施例中，网绍#4戋310的第二部分310b包括一个或多个较低的层， 例如层1-4的任一层。网络堆栈310的每个第一部分310a和第二部分310b可包括 网络i斜戋310的4封可部分,在任意一个或多个网络层,在用户模式203、内核模式202， 或其组合，或在网络层的^^可部分或者指向网络层的接口点，或用户模式303和内核 模式302的4封可部分或指向用户模式303和内核模式302的接口点。
0083拦截器350可以包括软件、硬件、或者软件和硬件的任一组合。在一个 实施例中，#誠器350在网绍3斜戋310的^—点拦截网络通信，并且重定向或者发送 网络通信到由拦截器350或者客户端代理120所期望的、管理的或者控制的目的地。 例如j誠器350可以^^第一网络的网络i斜戋310的网络通信并JL^送该网络通信到设备200，用于在第二网络104嫂送。在一些实施例中，^^器350包括含有诸 ^t—皮构建^i殳计来与网络:t斜戋310对接^f""同工作的网络驱动器的驱动器的4—类 型的拦截器350。在一些实施例中，客户端代理120和/或拦截器350操怍在网络堆 栈310的一个或者多个层，诸如在传输层。在一个实施例中，拦截器350包^it滤器 驱动器、钩子机制、或者对接到网络i械的传输层的^""形式和类型的合适网络驱动 #4妄口，诸如通过传输驱动H4妻口 (TDI)。在一些实施例中，4誠器350对接到诸 如传输层的第一协议层和诸如传输协议层之上的任一层的另 一个协议层，例 如，应用协议层。在一个实施例中，拦截器350可以包括遵守网络驱动器接口规范 (NDIS)的驱动器，或者NDIS驱动器。在另一个实施例中，拦截器350可以包括微 型过滤器或者迷你端口驱动器。在一个实施例中，拦截器350或其部分在内核模式 202中操作。在另一个实施例中，拦截器350或其部分在用户模式203中操作。在一 些实施例中，IM器350的"p分在内核模式202中操怍，而4g器350的另一卩分 在用户模式203中操作。在其它实施例中，客户端代理120在用户模式203中操作， ^it过才誠器350对接到内核模式驱动器、进程、服务、任务或者才射乍系统的部分， 诸如以获取内核级数据结构225。在其它实施例中，拦截器350为用户模式应用或者 禾踏，诸如应用。
0084在一个实施例中，拄截器350 ^^任一传输层连接请求。在这些实施例 中，拦截器350 l^亍传输层应用编程接口 (API)调用以设置目的信息，诸如到期望 位置的目的IP地址和/或端口用于定位。在此方式中，拦截器350 ^^并且重定向传
个实施例中，拦截器350设置用于到客户端102的本地IP地址和端口的连接的 目的信息，其中客户端^理120正在监听该客户端102的本地IP地址和端口 。例如， 客户端代理12 0可以包4舌为重定向的传输层通信监听本地IP地址和端口的代}别良务。 在一些实施例中，客户端代理120随后将重定向的传输层通信传i^Jij设备200。
0085在一些实施例中，才誠器350 4誠i4^服务(DNS)请求。在一个实施 例中，客户端代理120和/或拦截器350解析DNS请求。在另一个实施例中，拉截器 发i^斤拦截的DNS请求到设备200用于DNS解析。在一个实施例中，设备200解析 DNS请求并且将DNS响应通信到客户端代理120。在一些实施例中，设备200经另一 ^S殳备2OO，或者DNS服务器106来解析DNS请求。
0086在又一个实施例中，客户端代理120可以包括两个代理120和120，。 在一个实施例中，第一代理120可以包括在网络堆栈310的网络层操怍的拦截器350。在一些实施例中，第一代理120拦截诸如因特网控制消息协议(ICMP)请求(例如，
查马^NP宗路由)的网络层请求。在其它实施例中，第二代理120，可以在传输层操 作并Ji誠传输层通信。在一些实施例中，第一^J里120在网络i斜戋210的一层4誠 通信并且与第二代理120，对接或者将所4^Jl的通信传i^ij第二代理120，。
0087客户端代理120和/或拦截器350可以以对网络堆栈310的任一其它协 i^透明的方i^协i^^操作或与之对接。例如，在一个实施例中，拦截器350可以 以对诸如网络层的传输层之下的^-协iU^i者如4S舌、表示或应用层协议的传输层 之上的^f—协i^透明的方^i网络:t械310的传输层才射乍或与力t接。这允许网络 i斜戋310的其它协iX^如所期望的进行才斜乍并无需修改以^^]4誠器350。同样的， 客户端代理120和/或拦截器350可以与传输层对接以安全、优化、加速、路由或者 负载平衡通过由传输层7lc载的^H"办i^斤提供的^-通信，诸如TCP/IP上的任一应 用层协议。
0088jtb^卜，客户端^J里120和/或拦截器可以以对任一应用、客户端102的 用户和与^l户端102通信的诸如服务器的怪一其它计算装置透明的方#网络纟斜戋 310上，^^乍或与力t接。客户端代理120和/或4兰截器350可以以无需》务改应用的方 式被安装和/或^^亍^l户端102上。在一些实施例中，客户端102的用户或者与客 户端102通信的计算装置未意识到客户端代理120和/或拦截器350的存在、扭軒或 者才剁,。同样的，在一些实施例中，客户端代理120和/或^^器350以对应用、客 户端102的用户、诸如服务器的另一个计算装置、或者由拦截器350对接到的协m 之上和/或之下的^H"办议层透明的方式被安装、执行、和/或操作。
0089客户端代理120包括加速程序302、流客户端306和/或收集4、理304。 在一个实施例中，客户端代理120包括由Florida, Fort Lauderdale的Citrix Systems Inc.开发的独立计算架构(ICA)客户端或其任一部分，并且也指ICA客户端。 在一些实施例中，客户端120包括应用流客户端306，用于从服务器106流式 传输应用到客户端102。在一些实施例中，客户端代理120包括加速程序302, 用于加速客户端102和服务器106之间的通信。在另一个实施例中，客户端 代理120包括收集代理304，用于执行端点检测/扫描并且收集用于设备200 和/或服务器106的端点信息。
0090在一些实施例中，力口速斗辨302包括客户端侧加速禾辨，用于^Lft一 个或多个加速技术以加速、增强或以其它方法改ii^户端与服务器106的通信和/或 对服务器106的访问，例^i方问由服务器106才是供的应用。力口速程序302的可才W亍指令的逻辑、功能和/或^喿作可以扭/f亍一个或多个以下的加速技术1)多协iU^缩，2) 传输控制协议池，3)传输控制协议多路X^， 4)传输控制协议緩沖，以及5)通过 高速緩存管理器的高速緩沖。另夕卜，加速禾踏302可4似亍由客户端102接收和/或发 送的frf可通信的加密和/或解密。在一些实施例中，力口速程序302以集成的方式或者 格式^W亍一个或者多个加速技术。另夕卜，力口速禾踏302可以在作为传输层协议的网络 包的有效载荷所承载的任一协议或者多协iiCU似亍压缩。
0091流客户端306包括用于接收和执行从服务器106所流式传输的 应用的应用、程序、进程、服务、任务或者可执行指令。服务器106可以流 式传输一个或者多个应用数据文件到流客户端306，用于播放、执行或者以其 它方式引起客户端102上的应用被执行。在一些实施例中，服务器106发送 一组压缩或者打包的应用数据文件到流客户端306。在一些实施例中，多个应 用文件被压缩并存储在文件服务器上档案文件中，例如CAB、 ZIP、 SIT、 TAR、 JAR或其它档案文件。在一个实施例中，服务器106解压缩、解包或者解档应 用文件并且将该文件发送到客户端102。在另一个实施例中，客户端102解压 缩、解包或者解档应用文件。流客户端306动态安装应用或其部分，并且执 行该应用。在一个实施例中，流客户端306可以为可执行程序。在一些实施 例中，流客户端306可以能够启动另一个可执行程序。
0092收集代理304包括应用、程序、进程、服务、任务或者可执行 指令，用于识别、获取和/或收集关于客户端102的信息。在一些实施例中， 设备200发送收集代理304到客户端102或者客户端代理120。收集代理304 可以根据设备的策略引擎236的一个或者多个策略被配置。在其它实施例中， 收集代理304发送在客户端102上所收集的信息到设备200。在一个实施例中， 设备200的策略引擎236使用所收集的信息来确定和提供客户端到网络104 的连接的访问、验证和授权控制。
0093在一个实施例中，收集代理304包括端点检测和扫描机制，其 识别并且确定客户端的一个或者多个属性或者特征。例如，收集代理304可 以识别和确定以下任意一个或者多个客户端侧属性1)操作系统和/或操作 系统的版本，2)操作系统的服务包，3)运行的服务，4)运行的进程，和5) 文件。收集代理304也可以识别和确定客户端上以下任意一个或者多个的存 在或者版本1)防病毒软件，2)个人防火墙软件，3)防蠕虫软件，和4) 互联网安全软件。策略引擎236可以具有基于客户端或者客户端侧属性的任
32意一个或者多个属性或者特征的一个或者多个策略。0094在一些实施例中，仍旧参见图3，第一程序322可以被用于自动 地、静默地、透明地或者以其它方式安装和/或执行客户端代理120或其部分， 诸如拦截器350。在一个实施例中，第一程序322包括4封牛组件，例如ActiveX控 件或Java控件或脚本，其加载到应用并由应用"l^亍。例如，第-^呈序包4斜皮web浏 览器应用^Uv^:行的ActiveX控件，例如在^j诸器空间或应用的上下文中。在另一 个实施例中，第-^辨322包括可树亍指令组，该可4;M亍指4^且被例如浏览器的应用 仏并^Vf亍。在一个实施例中，第"-^踏322包4封皮设计和构造的禾踏以安絲户端 ^J里120。在一些实施例中，第一禾辨322通过网络从另一个计算装置获得、下载、 或接4t^户端^J里120。在另一个实施例中，第-^1^ 322 ^]于^4:户端102的操 作系统上安装例如网络驱动器的程序的安装程序或即插即用管理器。D、分层全局负载平衡0095现在参见图4A,描述了跨越分支机构对资源进行负载平衡的聚合第一聚合器设备400A被连接到^供服务给分支机构405A'-:5N的第一组分支 机构设备200A-200N (也称为分支机构设备200 )。第二聚合器设备400B被连 接到提供服务给分支机构405A，-405N，的第二组分支机构设备200A，-200N，。第 一聚合器设备405A和第二聚合器设备400B互相建立连接以通信关于各自分 支机构设备的性能和操作特征的信息410A、 410A，和410B、 410B，。使用该信 息410、 420,聚合器设备400A-400N中的任一个能够执行负载平衡/转换284， 以从第一组分支机构设备200A-200N或者第二组分支机构设备200A'-200N,中 选择分支机构设备200,来服务来自客户端102的访问资源的请求。0096任一分支才几构设备200A-200N或者200A'-200N，可以被配置为知 道或者识别单个聚合器设备400。例如，第一分支机构设备200A可以被配置 以识别和连接到第一聚合器设备400A。第一分支机构设备200A可以不一皮配置 为具有任何信息，并且因此可以不知道第二聚合器设备400B或者连接到第二 聚合器设备400B的任一分支机构设备200A，-200N，。以此方式，减少了分支 机构设备200的配置。虽然该配置被减少，但是服务请求的分支机构设备可 以访问聚合器设备400所知道的任一其它设备200A-200N，。由于聚合器设备 400A-400B共享关于分支机构设备200A-200N，的信息，第一聚合器设备200能够向第一分支机构设备200识别通过任一聚合器设备400A-400B连接的任 一分支机构设备200A-200N，的信息。0097在一些实施例中，分支机构设备200提供结合图2A和2B所述 的设备200的任何功能、操作和服务。分支机构设备200A，-200N'为其各自分 支机构405A，-405N，的任一计算装置和用户提供加速288、负载平衡/转换284、 SSL VPN 280和/或应用防火墙服务290。分支机构设备200A-200N为其各自 分支机构405A-405N的任一计算装置和用户提供加速288、负载平衡284、转 换、SSL VPN 280和/或应用防火墙服务290。在一个实施例中，分支^/L构设 备200A，-200N，的每一个提供同样的功能、操作和服务。在其它实施例中，分 支机构设备200的每一个可以提供与另一个分支机构设备不同的功能、操作 或者服务。例如，第一分支机构设备200A可以提供SSL VPN 280和加速288， 而第二分支机构设备200A，可以向负载平衡/转换284提供SSL VPN 280。第三 分支机构设备200N可以仅提供SSL VPN 280，而第四分支机构设备200N提供 加速288。进一步的例子中，第五分支机构设备200B可以提供加速288，而 第六分支机构设备200C提供应用防火墙290功能。0098虽然分支机构设备200总的被描述为分支机构405中的设备200， 但是分支机构设备200可以为被布署在网络104、 105，中的任一位置的设备 200。例如，分支机构设备200可以被布署在数据中心。在另一个例子中，分 支机构设备200可以被布署在公司LAN 104的子网或者网络段上。在另一个 实施例中，分支机构设备200A可以被布署在第一公司LAN上，而第二分支机 构设备200B，布署在第二公司LAN上。在一些例子中，分支机构设备200可以 被布署在同一网络104、 l(M，上，作为聚合器设备400。所以，尽管设备200 在图4A中被描述为分支机构设备200,但是其不限于仅在分支机构405的操 作。0099聚合器设备400包括软件、硬件或者软件和硬件的^-组合。在一个实 施例中，聚合器设备400包^i^辑、功能或者才剁卡(诸如通过聚合器450 )来确定、 收集和聚合关于一个或者多个分支才;U勾设备200的信息410。例如，信息410可以包 括关于分支才M勾设备200的状态、负载或者性能的信息。在一个实施例中，聚合器 450包括应用、进程、月良务、任务或可#^亍指令集。聚合器450包括用于接收和^f诸 关于#-"分支才/^勾设备200的信息410的任一类型、形式和组合的数悟结构、对象、 文件和/或数据库。在一些实施例中，聚合器450以被组织或者被整理的方式;^H诸34与分支才;^勾设备200的名称或者识别符相关的或者由其识别的信息410。例如，可以 通过设备200的识别符来索引信息410。在一些实施例中，聚合器450存储时间数据 或者将其与信息410关联，诸^i己录的时间或者涉及事件的时间。0100在一个实施例中，聚合器设备400和/或聚合器450从分支机构 设备经由连接来接收信息410。在一些实施例中，聚合器设备400和分支机构 设备2QG建立传输层连接或者通过传输层连接通信，诸如TCP或者UDP连接。 在其它实施例中，聚合器设备400和分支机构设备200保持连接。在其它实 施例中，聚合器设备400和分支机构设备200基于需要建立连接，例如当其 需要通信时连接和重连。0101在一些实施例中，聚合器设备400与预定数量的分支才/U勾设备200建立 连接或者通信。在其它实施例中，聚合器设备400收集和聚合关于预定数量分支才;i4勾 设备200的信息。在一个实施例中，分支机构的预定数量为31。在另一个实施例中， 分支才M勾的预定数量为32。在又一个实施例中，分支才/U勾的预定数量为16、 48、 60、 96、 128或者256。在进一步的实施例中，分支^i勾的预定数量为10、 20、 30、 40、 50、 60、 70、 80、 90、 100、 150、 200或者250。聚合器设备400可以连接的或者从 其收集信息的分支机构的数量可以依赖于网络104、 104，、设备200、分支才几构405、 分支才A4勾网络104的才剁乍或者性能特征以及跨越分支5W勾的应用、数据和用户的资源使用。在一些实施例中，分支才;a勾设备200的预定数量可以不设置或者配置，或者以 其它方式仅由聚合器设备400的务賭器、^J:和性能限制。0102在另一个实施例中，聚合器设备400从其所连接的每一个分支 机构设备200请求信息410。在一些实施例中，聚合器设备400依据到分支机 构设备200的连接的建立来请求信息。在其它实施例中，聚合器设备400从 分支机构设备200以预定的频率请求信息410，诸如每隔1秒或者1毫秒。例 如，聚合器设备400可以每隔1秒为了信息410而轮询其每个分支机构设备 200A-200N。在一些实施例中，聚合器设备400在预定的时间周期上从分支机 构设备200请求信息410，诸如l个小时每隔l秒。在又一个实施例中，聚合 器设备400依据事件从分支机构设备200请求信息410，诸如接收来自客户端 102的请求，或者接收DNS请求。0103信息410可以包括涉及或者相关分支机构设备200、分支机构设 备200的网络104、和/或诸如通过客户端102、服务器106或者聚合器设备 400的到分支机构设备200的任一连接的操作和/或性能特征的任一类型和形式的数据、统计、状态或者信息。在一些实施例中，信息410包括关于连接到分支机构设备200的任一客户端102和/或服务器106的操作和/或性能的 数据。在一个实施例中，分支机构设备200确定关于其连接到的或者服务的 任一客户端102和/或服务器106的操作和/或性能信息，并且在这些客户端 102和/或服务器106上建立信息410。在此实施例中，分支机构设备200可 以提供该信息410到聚合器设备400。0104在一些实施例中，4喿作和/或性能特征信息410包括关于任一以 下对于分支机构设备200、客户端102或者服务器的信息1)负载；2 )连接 的数量和类型；3)资源使用；4)资源可用性；5)未完成请求的数量；6) 所发送的请求的数量；7)服务的客户端的数量；8)响应时间信息，包括平 均和历史响应时间；9)连接的错误、状态、性能或者带宽；和10)会话的数 量、和其状况或状态。在另一个实施例中，信息410包括与设备200的任一 IP或者网络层信息、或者设备200的或者设备200服务的客户端和/或服务器 的连接有关的信息。例如，信息410可以包括设备200的路由表，用于执行 网络地址翻译，诸如用于SSL VPN连接。0105聚合器设备400A-400B的每一个可以共享或者以其它方式与其它 聚合器设备对所聚合的信息410进行通信。第一聚合器设备400A与第二聚合 器设备400B建立诸如TCP或者UDP传输层连接的连接。在一个实施例中，第 二聚合器设备400B使用此连接。在另一个实施例中，第二聚合器设备400B 与第一聚合器设备400A建立诸如TCP或者UDP传输层连接的连接。在一个实 施例中，聚合器设备400A-400B可以依据引导或者启动来建立互相之间的连 接或者通信信道。在其它实施例中，聚合器设备400A-400B可以依据配置改 变或者事件来建立连接。在另一个实施例中，聚合器设备400A-400B可以在 网络104上发布广播以确定另一个聚合器设备400的存在或者可用性。0106在一个实施例中，第一聚合器设备400A发送其信息410A到第二聚合器 设备400B。第二聚合器设备400B ^^诸所接收的信息410A为信息410A，，如图4A所 示。在一些实施例中，信息410A，与信息410A被聚合或者组合。在其它实施例中， 信息410A，与信息410A关联。在另一个实施例中，第二聚合器设备400B发送其信息 410B到第一聚合器设备400A。第一聚合器设备400A存储所接收的信息410B作为信 息410B',如图4A所示。在一些实施例中，信息410B，与信息410B被聚合或者组合。 在其它实施例中，信息410B，与信息410B相关联。第一和第二聚合器设备400A-400B可以交换或者提供信息410A和410B —次,或者以诸如每隔1毫秒或者1秒的预^^1 率。在一些实施例中，第一和第二聚合器设备400A-400B^^]请求/回复消息机制或 者协议来互相发送信息410A-410B。在其它实施例中，第一和第二聚合器设备 400A-400B具有定制或者专用交换协议，用于交换关于分支才/l4勾设备200A-200N，的信 息410A-健。0107M过交换信息410A-410B，第一聚合器设备400A和第二聚合器设备400B 的f个具有第一组一个或者多个分支才;U勾设备200A-200N和第二组一个或者多个 分支设备200A，-200N，上的信息410A和410B。虽然第一聚合器设备400A正收集、聚 合和监控关于分支一;i^勾i殳备200A-200N的^f言息410A， ^旦是第一聚合器i殳备400A得到 关于分支才M勾设备200A，-200N，的、由第二聚合器设备400B收集、聚^^口监控的信息 410B。同样，虽然第二聚合器设备400B正收集、聚合和监控关于分支机构设备 ^0A，-200N，的信息410B，但是第二聚合器设备400B得到关于分支机构设备 200A-200N的、由第一聚合器设备400A收集、聚合和监控的信息410A。0108^^]聚合器设备400A-400B，在一个实施例中，第一分支才;i4勾设备200A 仅需衫口道第一聚合器设备400A的标识或者互联网协议信息，但通过聚合器设备 400A获取其它分支才;^勾设备200A，-200N，的标识。例如，依据/A^l户端接收对资源的 请求，第一分支4M勾设备200A可以转发请求到聚合器设备400a。相应地，聚合器设 备400A可以发送聚合器设备400B所监控的分支才il^设备200A，-200N，的标识以服务 该请求。在一些实施例中，这简化了每个或者任一分支4;i4勾设备200的配置，而同时 允^f壬一分支才/L^勾设备200A-200N以通过另一个分支才/(4勾设备200A，-200N，访问资源 月良务或者连接到资源。以此方式，客户端可以经由任一分支才;U勾设备200A-200N，使 用通过聚合器设备400A-400B收集的信息410A-410B来跨越^"-分支机构405A-405N 访问资源。在其它实施例中，客户端102能够直接连接到^-"聚合器400A-400N,并 且得到对任一分支冲;i^勾设备200的负载平衡。0109聚合器设备400A-400B包括负载平衡/转换284功能性、操作和 /或逻辑，用于确定和提供对于任一分支机构设备200、分支机构405的客户 端102、或者经由分支机构405或者分支机构设备200访问的服务器106的负 载平衡服务。在一个实施例中，使用信息410A和410B',第一聚合器设备400A 能够确定来自任一分支机构设备200A-200N，的分支机构设备200，以服务来自 客户端102的请求。在另一个实施例中，使用信息410A，和410B,第二聚合器 设备400B能够确定来自任一分支机构设备200A-200N，的分支机构设备200,37以服务来自客户端102的请求。此外，聚合器设备400A-400N能够使用信息 410A、 410N来确定经由分支机构设备200访问的资源，诸如服务器106,以 服务请求。以此方式并且在一些实施例中，对于跨越所有分支4几构405A-405N， 的分支机构设备200A-200N和所有资源的聚合，聚合器设备400A-440N提供 负载平衡和转换信息。
0110在一些实施例中，聚合器设备400包括分支机构设备200的任 一功能性、操作或者服务。例如，除了此处所述的聚合器设备400的负载平 衡284和聚合操作，聚合器设备可以执行加速、SSLVPN或者应用防火墙功能 性。第一聚合器设备400A和第二聚合器设备400B可以被布署在同一网络104 和/或不同网络104、 104，上。在一些实施例中，可以布署附加的聚合器设备 400以按比例扩大来服务多个分支机构405和分支机构设备200。
0111现在参见图4B，描述布署多个聚合器设备的另一个实施例。总的来H 布署多个聚合器设备400A、 400B和400N以提供对以下多个分支机构的聚合和/或负 载平4軒月良务分支才M勾1-31 405A-405N、分支才M勾32-63 405A，-405N，、和分支才M勾 64-N 405A"-405N"。第一聚合器设备400A连接到第一组一个或者多个分支才/^勾设备 405A-405N并JL^取该第一组一个或者多个分支才/U勾设备405A-405N上的信息410。 第二聚合器设备400B连接到第二组一个或者多个分支才;U勾设备405A，-405N，并JL^取 该第二组一个或者多个分支才/li勾设备405A，-405N，上的信息410。第三聚合器设备400N 连接到第三组一个或者多个分支才;i4勾设备405A"-405N"并iL^:取该第三组一个或者 多个分支才iU勾设备405A"-405N，，上的信息410。
0112每个聚合器设备400A-400N可以互相交换信息410,以识别、了解和获 取其它分支才W勾设备200A-200N、 200A'-200N，、 200A，，-200N，，上的信息410。在一个 实施例中，第一聚合器设备400A与第二聚合器设备400B以及第三聚合器设备400N 建立连接。在另一个实施例中，第二聚合器设备400B与第一聚合器设备400A以及第 三聚合器设备400N建立连接。在又一个实施例中，第三聚合器设备"ON与第二聚合 器设备400B以麟一聚合器i殳备400A建立连接。通过任一这些连接，聚合器设备 400可以询问、接收、发送或者以其它方式得到其当前可以不连接的一组一个或者多 个分支4/i4勾i殳备200上的信息410。
0113在一些实施例中，每个聚合器设备400可以连接到不同于另 一个聚合器 设备4 0 0的多个分支才;^勾设备2 0 0并且获i^监控该多个分支才/L^勾设备2 0 0上的信息 410。例如，第一聚合器设备400A可以监控和获取2、 3、 4、 5或者10个设备200上的信息410，而第二聚合器设备200监控和获取20、 30或者31个设备200上的信 息"0。在进一步的例子中，第三聚合器设备400C可以监控和获取单个分支才/(4勾设 备200或者^-"数量分支4W勾设备200上的信息410。虽然图4B中所示的布署描述 服务三组多个分支^f勾的三个聚合器设备400A-400N,但是可以布署任意个聚合器设 备400来服^f壬意个分支才/U勾405。
0114在一个实施例中，在图4B中以虚线连接描述的诸如聚合器设备400N， 的聚合器设备可以被用作主聚合器节点或者设备400。例如，在一些实施例中，主聚 合器设备400N，可以不直接收集来自分支才/^勾设备200的信息410，而聚^^来自收集 这些信息的其它聚合器设备400A-400N的信息410。在一些实施例中，主聚合器设备 400N对于<—其它聚合器设备400用作备份服务。例如，在一个例子中，如果聚合 器设备400A曾被关才/L^者被重启，启动聚合器设备400A可以获取来自主聚合器设备 400N，的最近^f诸的信息410。在其它实施例中，聚合器设备400A-400N的[个建 立与主聚合器设备400N，的连接，以提供或者更新主聚合器设备400N，上的信息410 和/或也从其它设备400获耳又其还不具有的信息410。
0115使用图4B中所示的布署架构，在一些实施例中，可以布署任意 数量的聚合器设备400以对任意数量的分支机构405进行规模负载平衡和聚 合服务。当分支机构405和/或分支机构设备200的数量增加时，由于仅需要 被配置以知道存在的聚合器设备400A或者新布署的聚合器设备400N，所以分 支机构设备200的配置保持相对简单。通过在聚合设备200之间的信息410 的聚合和交换，任一客户端或者分支机构设备200可以跨越任一分支机构405 访问资源。
0116参见图5,描述用于通过聚合设备400实现聚合和负载平衡的方 法500的实施例的步骤。总的来说，在步骤505，第一聚合器设备405A建立 与第一多个分支机构设备20OA-20ON的连接并且获取该第一多个分支机构设 备200A-200N上的信息410A。在步骤510,第二聚合器设备410A建立与第二 多个分支机构设备200A，-200N，的连接并获取该第二多个分支机构设备 200A，-200N，上的信息410B。 一个或者多个第一组分支机构设备200A-200N可 以不具有任何信息或者被配置以识别任一第二组分支机构设备200A，-200N，。 在步骤515,第一和第二聚合器设备400A-400B互相之间建立连接或者通信。 在步骤520,第一和第二聚合器设备400A-400N交换关于第一和第二组分支机 构设备200的标识、操作和性能信息410。在步骤525,第一聚合器设备400A接收来自客户端102访问资源的请求。例如，第一分支机构设备200A可以发送该请求到第一聚合器设备400A，诸如为图4A中描述的客户端102A。在另一个例子中，客户端102可以发送该请求到的聚合器设备400A,诸如图4A中所示的客户端102b和102n。在步骤530，第一聚合器设备通过从第二聚合器设备400B接收的信息410，从第二组分支机构设备200A'-200N，选择第二分支机构设备200A，以服务该请求。在步骤540，第一聚合器设备200直接地或经由服务于客户端102的第一分支机构设备200A为客户端102发送所选择的第二分支机构设备200A，上的信息。在步骤545,客户端102直接地或者经由第一分支机构设备200A建立与第二分支机构设备200A，的连接。
0117在进一步的细节中，在步骤505,第一聚合器设备200A建立与一个或者多个分支机构设备200A-200N的任一类型和形式的连接。在一个实施例中，第一聚合器设备200A建立诸如TCP或者UDP的传输层连接到分支机构设备200A-200N。在一个实施例中，任一分支机构设备200A-200N请求与聚合器设备400A的连接。在另一个实施例中，聚合器设备400A请求与任一分支机构设备200A-2OON的连接。在一些实施例中，任一分支机构设备200A-20ON可以具有传输层连接到诸如客户端代理120的一个或者多个客户端102。在另一个实施例中，任一分支机构设备200A-200N可以具有传输层连接到诸如服务270的一个或者多个服务器106。
0118第 一聚合器设备40OA可以通过任一的其到任一的第 一组分支机构设备200A-200N的连接来获取关于这些设备的信息410。在一个实施例中，第一聚合器设备400A依据连接的建立来获取来自分支机构设备200的信息410。在另一个实施例中，第一聚合器设备400A依据预定的频率从分支机构设备200获取信息410，诸如每隔1毫秒或者1秒的轮询。在一些实施例中，第一聚合器设备400A通过请求/回复机制从分支机构设备200获取信息410。在又一个实施例中，分支机构设备200在启动时或者以预定频率发送信息410到聚合器设备400A,诸如将信息每隔1毫秒或者1秒推进到聚合器400中。
0119与步骤505类似地，在步骤510，第二聚合器设备400B建立诸如传输层连接的连接到第二组一个或者多个分支机构设备200A，-200N，。第二组分支机构设备200A，-200N，可以具有传输层连接到一个或者多个客户端102和/或服务器106。第二聚合器设备400B可以通过任一的其到任一的第二组分支机构设备200A'-200N，的连接来获取关于这些设备的信息410。第二聚合器
40设备400B可以在任一时间或者以任一频率来接收、请求或者获取信息410。
0120虽然第一聚合器设备400A具有第一组分支机构设备200A-200N 上的信息410A并且第二聚合器设备400B具有第二组分支机构设备 200A，-200N，上的信息410B,但是第一聚合器设备400A可以不知道任一第二 组分支机构设备200A，-200N，的标识或者不具有该任一第二组分支机构设备 200A，-200N，上的信息。类似地，第二聚合器设备400B可以不知道任一第一组 分支机构设备200A-200N的标识或者不具有该任一第一组分支机构设备 200A-200N上的信息。在一些实施例中，第一组分支机构设备200A-200N的第 一分支机构设备200A不知道任一第二组分支机构设备200A'-200N，的标识或 者不具有该任一第二组分支机构设备200A，-200N，上的信息。在其它实施例中， 第二组分支机构设备200A'-200N，的第二分支机构设备200A，不知道任一第二 组分支机构设备200A-200N的标识或者不具有该任一第二组分支机构设备 200A-200N上的信息。
0121在步骤515，第一聚合器设备400A和第二聚合器设备400B通过 诸如传输层连接建立通信，例如TCP或者UDP。在一些实施例中，第一聚合器 设备400A和第二聚合器设备400B在互相之间建立一个用于通信的连接。在 其它实施例中，第一聚合器设备400A建立与第二聚合器设备400B的连接， 而第二聚合器设备400B建立与第一聚合器设备400A的连接。
0122在步骤520，聚合器设备400A和400B可以以周期为基础交换信 息410,诸如每隔1秒或者1毫秒的频率。在一些实施例中，聚合器设备400A 依据来自分支机构设备200的信息410的接收来发送该信息410到另一个聚 合器设备400B。在一个实施例中，聚合器设备400A和400B交换或者接收来自主聚 合器设备400N，的信息410。通过信息410的交换或者接收,每个聚合器i殳备400A-400B 具有每组分支才;^勾设备上的信息410A、 410B。虽然第一聚合器设备400A连接到第一 组分支才i^勾设备200A-200N,但B—聚合器设备400A ^取了第二组分支才/^勾设 备200A，-200N，上的信息410B，。类似地，虽然第二聚合器设备400B连接到第二组分 支才M勾设备200A，-200N，，但是第二聚合器设备400B ^^取了第一组分支才M勾设备 200，-200N上的信息410A，。 ^^1两组信息410A、 410B,聚合器设备400能句鈔支出转 换和负载平衡的决定，以跨越所有的分支才;ii勾设备200和分支才;i4勾405访问资源。
0123在步骤525,聚合器设备400的其中之一接收来自客户端的访问 资源的请求。在一个实施例中，客户端102发送该请求到聚合器设备400。在另一个例子中，分支机构设备200代表该客户端102发送请求到聚合器设备400。在又一个实施例中，另一个聚合器设备400B可以发送该请求到聚合器设备400A。在一些实施例中，请求包括连接请求，诸如TCP或者UDP连接请求，或者VPN请求。在其它实施例中，请求包括会话请求，诸如SSL或者TLS会话，或者诸如到所寄载的服务的应用会话。在另一个实施例中，请求包括域名服务(DNS)请求，诸如解析域名。在一个实施例中，请求包括执行应用的请求，诸如经由应用传送系统500。在其它实施例中，请求包括验证或者授权请求。在又一个实施例中，请求包括接收计算环境15的一部分的请求，诸如应用或者其中一部分，或者^:据文件。
0124在步骤535,响应于请求的接收，聚合器设备400确定、识别和选择分支机构设备200，以服务该请求。聚合器设备400使用任一的信息410A、410B来确定适合于服务请求的分支机构设备200。在一个实施例中，聚合器设备400使用信息410来确定、识别和选择由分支机构设备200访问或者服务的服务器106。在一些实施例中，聚合器设备400分析或者处理信息410的任一的操作和/或性能特征来确定适合用于请求的设备200。在其它实施例中，聚合器设备400可以保持客户端102和分支机构设备200之间的持续性。例如，聚合器设备400可以为当前服务客户端102、最近服务过该客户端102或者之前已经服务过该客户端102的分支机构设备200指定客户端102。
0125在一些实施例中，第一聚合器设备400A从第二组分支机构设备200A'-200N，中识别和选择第二分支机构设备200A，。在一个实施例中，第一聚合器设备400A从第一组分支机构设备200A-200N中识别和选择第一分支机构设备200A。在其它实施例中，第二聚合器设备400B从第一组分支机构设备200A-200N中识别和选择第一分支机构设备200A。在又一个实施例中，第二聚合器设备400B从第二组分支机构设备200A，-200N，中识别和选择第二分支机构设备200A，。
0126在步骤540,响应于客户端请求，聚合器设备400为客户端102或者服务该客户端102的设备200发送关于所选择的分支机构设备200的信息。在一个实施例中，聚合器设备400直接发送设备200的标识或者选择到客户端102，诸如到客户端代理120。在另一个实施例中，聚合器设备400发送设备200的标识或者选择到分支机构设备200。在一些实施例中，聚合器设备400识别所选择的分支机构设备200的IP地址或者域名或者其它IP层信息到客户端102或者分支机构设备。在其它实施例中，聚合器设备400识别 连接到所选择分支机构设备200的信息到客户端102或者分支机构设备200。
0127在步骤545，客户端102建立与聚合器设备400所选择或者识别 的分支机构设备200的连接。在一些实施例中，客户端102诸如经由客户端 代理120建立与所选择分支机构设备200的传输层连接，例如TCP或者UDP。 在其它实施例中，连接到客户端102的分支机构设备200例如代表客户端102 建立传输层连接到所选择分支机构设备。在一些实施例中，客户端102与所 选择的分支机构设备200建立SSL VPN连接。在一些实施例中，所选择的分 支机构设备200提供或者建立到一个或者多个服务器106的连接。例如，分 支机构设备200可以具有到服务器106上的客户端请求被多路复用的池化的 传输层连接。在又一些实施例中，所选择的分支机构设备200可以为客户端 102提供附加的负载平衡/转换功能性284。在另一个实施例中，所选择的分 支机构设备200提供加速或者应用防火墙服务到客户端102。
0128虽然方法500的实施例以上通常结合访问来自分支机构405和/ 或分支机构设备200的资源的客户端102被描述，但是方法500可以通过访 问来自任一位置的聚合器设备400的任一客户端102来实现。例如，如图4A 所示，客户端102b和102n可以访问聚合器设备400,而无需首先访问分支机 构设备200。在一个实施例中，客户端102b或者102n可以位于因特网上并且 连接到聚合器设备200。在其它实施例中，客户端102a或者102n可以位于同 一网络104上，诸如LAN,作为聚合器设备400A-400N。聚合器设备40Q能够 负载平衡客户端请求，并且将客户端102b-102n指向所选择的分支机构设备 200。
0129考虑到此处所描述的聚合器设备的结构、功能和操作，聚合器设 备提供筒化了的分支机构设备的配置，同时提供分支机构设备的可扩展的、 分层的布署。通过在以分层方式布署的聚合器设备中交换分支机构设^f言息， 任一的聚合器设备能够做出负载平衡和转换决定来访问任一分支机构设备、 或者通过分支机构设备提供的任一 资源。虽然分支机构设备可以被配置为与 聚合器设备通信或者被聚合器设备可知，但是分支机构设备通过此处讨论的 聚合和负载平衡技术可以获悉或者获取其它分支机构资源的信息。该聚合器 设备全局负载平衡来自跨越所有分支机构和分支机构设备的任一位置的任一 客户端的资源请求。
权利要求
1、一种提供设备的分层以更加有效地跨越多个分支机构访问资源的方法，该方法包括如下步骤(a)由第一聚合器设备建立与第一多个分支机构设备的连接；(b)由第二聚合器设备建立与第二多个分支机构设备的连接，所述第一多个分支机构设备不具有识别所述第二多个分支机构设备的信息；(c)由所述第一聚合器设备从所述第一多个分支机构的第一分支机构设备接收来自客户端访问资源的请求；(d)由所述第一聚合器设备经由所述第二聚合器设备从所述第二多个分支机构设备识别一个第二分支机构设备以服务所述请求；(e)由所述第一聚合器设备向所述第一分支机构设备发送识别所述第二分支机构设备的信息；和(f)由所述客户端建立与所述第二分支机构设备的连接。
2、 权利要求l的方法，其中，步骤(e)还包括由所述第一分支才M勾设备发 送识别所述第二分支才JL4勾设备的信息给所^:户端。
3、 权利要求1的方法，包括由所^户端经由所述第一分支才W勾设备与服务器 通顺述第二分支城设备建立第二连接。
4、 权利要求1的方法，包4舌由所述第 的通信。
5、 权利要求3的方法，包4舌由所述第 构设备的信息通信给所述第二聚合器设备。
6、 权利要求3的方法，包括由所述第 构设备的信息通信给所述第 一聚合器设备。
7、 权利要求l的方法，由所述第一聚合器设^^确定关于所述第一多个分支才iU勾 设备的^"-个的性能或者才剁乍特征的其中之一的信息。
8、 权利要求l的方法，由所述第二聚合器设备确定所述第二多个分支才W勾设备 的l个的性能或者才剩乍特征的其中之一。
9、 权利要求7的方法，其中，步骤(d)包括由所述第一聚合器设备基于所述性能或者才剁乍特征的其中之一^i^择所述第二分支才;a勾设备。一聚合器设备建立与所述第二聚合器设备 一聚合器设4^将关于所述第一多个分支机 二聚合器设备将关于所述第二多个分支机
10、 权利要求8的方法，包括由所述第一分支才;U勾设备或者所述第二分支才/U勾设备的其中之一力口i^斤i^Jl户端和所靡良务器之间的通信。
11、 权矛溪求10的方法，其中，加速包括以下一个或者多个技术的使用 压缩；TCP连接池； TCP连接多路线 TCP緩冲；和 高速緩存。
12、 权利要求l的方法，其中，所述第一聚合器设备或者所述第二聚合器设备的 其中之一被布署在数据中心。
13、 权利要求l的方法，其中，所i^户端布署在所述第一分支才;U勾。
14 、 一种用于提供设备的分层以更加有岁&^夸越多个分支机构访问资源的系统， 该系统包4舌第一聚合器设备，用于建立与第一多个分支机构设备的连接； 第二聚合器设备，用于建立与第二多个分支机构设备的连接，所述第一多个分支机构设备不具有识别所述第二多个分支机构设备的信息；所述第一多个分支机构的第一分支机构设备发送来自客户端的访问资源的请求给所述第一聚合器设备；其中，所述第一聚合器设备经由所述第二聚合器设备从所述第二多个分支机构设备识别一个第二分支机构设备以服务所述请求，并且向所述第一分支机构设备发送识别所述第二分支机构设备的信息；并且 所述客户端建立与所述第二分支机构设备的连接。
15、 权利要求14的系统，其中，所述第一分支才M勾设备发送识别所述第二分支 才/i4勾设备的信息给所i^户端
16、 权利要求14的系统，其中，所ii^户端经由所述第一分支才M勾设备与月良务器通it^斤述第二分支才;i4勾设备建立第二连接。
17、 权利要求14的系统，其中，所述第一聚合器设备建立与所述第二聚合器设 备的通信。
18、 权利要求17的系统，其中，所述第一聚合器设备将关于所述第一多个分支 城设备的信息通信给所述第二聚合器设备。
19、 权利要求14的系统，其中，所述第二聚合器设备将关于所述第二多个分支純设备的信息通信给所述第一聚合器设备。
20、 权利要求14的系统，其中，所述第一聚合器设备确定关于所述第一多个分 支才/U勾设备的[个的性能或者才斜乍特征的其中之一的信息。
21、 权利要求14的系统，其中，所述第二聚合器设备确定关于所述第二多个分支才M勾设备的每一个的性能或者才剁乍特征的其中之一。
22、 权利要求21的系统，其中，所述第一聚合器设备基于所逸法能或者4剁乍特 征的其中之一来选择所述第二分支才M勾设备。
23、 权利要求14的系统，其中，所述第一分支才/li勾设^^或者所述第二分支才/^勾 设备的其中之一加it/斤ii^户端和月l务器之间的通信。
24、 权利要求23的系统，其中，力口速包括以下一个或者多个技术的4M: 压缩；TCP连接池； TCP连接多路复用； TCP緩沖；和 高速緩存。
25、 权利要求14的系统，其中，所述第一聚合器设备或者所述第二聚合器设备 的其中之一被布署在数据中心。
26、 权利要求14的系统，其中，所ii^户端布署在所述第一分支机构。
全文摘要
本发明所公开的系统和方法用于提供设备的分层以更加有效地跨越多个分支机构访问资源。方法包括如下步骤由第一聚合器设备(400A)建立与第一多个分支机构设备(200A，…，200N)的连接；由第二聚合器设备(400B)建立与第二多个分支机构设备(200A’，…，200N’)的连接；第一多个分支机构设备不具有识别第二多个分支机构设备的信息；由第一聚合器设备(400A)从第一分支机构设备(200A)接收来自客户端访问资源的请求；由第一聚合器设备(400A)经由第二聚合器设备(400B)从第二多个分支机构设备(200A’，…，200N’)识别一个第二分支机构设备(200A’)以服务该请求；由第一聚合器设备(400A)向第一分支机构设备(200A)发送识别第二分支机构设备(200A’)的信息；并且由第一分支机构设备(200A)建立与第二分支机构设备(200A’)的连接。本发明也描述了对应的系统。
文档编号H04L29/08GK101523866SQ200780037294
公开日2009年9月2日 申请日期2007年8月2日 优先权日2006年8月3日
发明者A·谢蒂, J·苏甘蒂, S·卡马斯 申请人:思杰系统有限公司