通过网络节点处的隧道组传输信息包的方法和系统与流程

本发明总体上涉及计算机网络的领域。更具体地，本发明涉及一种由第一节点和第二节点执行的同时通过多个隧道组传输和接收数据的方法。

背景技术：

当第一网络节点具有连接到多个通信链路的多个广域网(wan)网络接口时，第一网络节点能够与第二网络节点形成多个隧道以进行数据通信。由于并非所有信息包都要求相同的网络性能和/或网络可靠性以从第一网络节点发送到第二网络节点，因此第一网络节点不加区别地发送信息包可能不是优选的。

美国专利9,019,827公开了通过响应于一个或多个隧道的带宽能力的变化在数据传送会话期间调整隧道带宽加权模式来优化多个可变带宽隧道上的聚合隧道的吞吐量的实施例。当存在多个聚合隧道时，专利9,019,827没有公开如何根据隧道上的信息包的要求来分发信息包。

图1示出了用于在具有两个远程ip地址的网关处建立隧道的现有技术的两个配置文件。本领域技术人员将了解使用两个配置文件的不同技术。具体地，能够利用三个广域网(wan)网络接口使用第一配置文件中的信息来建立聚合隧道，如美国专利9,019,927中描述的聚合隧道。

技术实现要素：

本发明公开用于从第一网络节点向第二网络节点发送信息包的方法和系统。在第一网络节点与第二网络节点之间建立聚合隧道。聚合隧道由至少两个隧道组成，并且第一网络节点和第二网络节点中的至少一个网络节点具有两个网络接口。为了发送信息包，首先根据聚合隧道的配置文件条件确定是否发送信息包。当满足所有配置文件条件时，确定是否满足至少一个策略的所有条件。当满足至少一个策略的所有条件时，选择所选策略并根据所选策略通过隧道发送信息包。当并非满足策略的所有条件时，通过第一组隧道中的一个隧道发送信息包。当并非满足所有配置文件条件时，通过第一网络节点的网络接口发送信息包。

根据一个实施例，所选策略在所满足的至少一个策略之中具有最高优先级。

根据一个实施例，从对应于所选策略的多个隧道中选择隧道。

根据一个实施例，由用户输入策略。在另一实施例中，从远程服务器获取策略。

根据一个实施例，当满足策略的所有条件时，满足所述策略。在另一实施例中，条件选自由以下组成的群组：信息包的源地址、信息包的目的地址，以及信息包的有效载荷。

根据一个实施例，第一网络节点包括多个网络端口，并且使用连接到网络端口的通信链路建立隧道。在另一实施例中，第一网络节点包括多个蜂窝通信模块，并且使用由所述多个蜂窝通信模块提供的网络接口建立隧道。

根据一个实施例，本发明进一步公开选择所选聚合隧道中的隧道用于发送信息包中的每个信息包。在满足所有配置文件条件时执行选择所选聚合隧道中的隧道用于发送信息包中的每个信息包。

在附图和下面的描述中阐述了本发明的一个或多个实施例的详情。本发明的其它特征、目标和优势将在描述和附图以及权利要求书中显而易见。

附图说明

图1示出了用于在具有两个远程ip地址的网关处建立隧道的现有技术的两个配置文件。

图2示出了可以将多个网络网关连接在一起的网络图。

图3示出了根据本发明的一个实施例的序列图。

图4示出了根据本发明的一个实施例的序列图。

图5a示出了根据本发明的一个实施例如何定义不同的配置文件和策略的表。

图5b示出了根据本发明的一个实施例如何定义不同的配置文件和策略的表。

图5c示出了根据本发明的一个实施例如何定义不同的配置文件和策略的表。

图5d示出了根据本发明的一个实施例如何定义不同的配置文件和策略的表。

图6示出了根据本发明的一个实施例的网关的框图。

图7a示出了用于使用单个隧道配置文件在网关之间发送和接收信息包的方法。

图7b示出了用于使用多个隧道配置文件在网关之间发送和接收信息包的方法。

图8示出了说明根据本发明的一个实施例在节点处执行的步骤的流程图。

图9示出了说明根据本发明的一个实施例在节点处执行的步骤的流程图。

图10a示出了根据本发明的一个实施例封装在网关处接收的信息包的框图。

图10b示出了根据本发明的一个实施例封装在网关处接收的信息包的框图。

具体实施方式

以下说明仅提供优选的示例性实施例，并且不旨在限制本发明的范围、适用性或配置。实际上，优选的示例性实施例的以下说明将为本领域技术人员提供实施本发明的优选示例性实施例的有利描述。应理解，在不脱离如在所附权利要求书中阐述的本发明的精神和范围的情况下可以对元件的功能以及布置进行各种改变。

在以下描述中给出特定细节以提供对实施例的透彻理解。然而，本领域技术人员应理解，可以在没有这些具体细节的情况下实践所述实施例。例如，可以用框图示出电路以免以不必要的细节混淆实施例。在其它情况下，可以在没有不必要的细节的情况下示出熟知的电路、过程、算法、结构以及技术以便避免混淆实施例。

还应注意，实施例可以描述为过程，过程描绘为流程图、作业图、数据流图、结构图或框图。尽管流程图可以将操作描述为顺序过程，但是许多操作可以并行或同时执行。另外，操作的顺序可重新安排。过程在其操作完成时终止，但是可以具有不包含在图中的另外步骤。过程可对应于方法、功能、程序、子例程、子程序等。当过程对应于功能时，过程的终止对应于功能返回到调用功能或主功能。

实施例或其各部分可以程序指令来实施，所述程序指令可在处理单元上操作以用于执行如本文中所描述的功能和操作。构成各种实施例的程序指令可以存储于非暂时性存储介质中。此外，如本文中所公开，术语“非暂时性存储介质”可以表示用于存储数据的一个或多个装置，包含只读存储器(rom)、可编程只读存储器(prom)、可擦除可编程只读存储器(eprom)、随机存取存储器(ram)、磁ram、磁芯存储器、软盘、软磁盘、硬盘、磁带、cd-rom、快闪存储器装置、存储卡和/或用于存储信息的其它机器可读介质。术语“机器可读介质”包含但不限于便携式或固定存储装置、光学存储介质、磁介质、存储器芯片或盒式磁盘、无线信道，以及能够存储、包含或携载指令和/或数据的各种其它介质。机器可读介质可以通过虚拟化来实现，且可以是虚拟机器可读介质，包含在基于云的实例中的虚拟机器可读介质。

如本文中所使用的术语“非暂时性计算机可读介质”、“主存储器”或“辅助存储装置”是指参与向处理单元提供指令以供执行的任何介质。计算机可读介质仅是机器可读介质的一个实例，所述机器可读介质可以携载指令以用于实施本文中所描述的方法和/或技术中的任一个。此类介质可以呈许多形式，包含但不限于非易失性介质、易失性介质和传输介质。非易失性介质包含例如光盘或磁盘。易失性介质包含动态存储器。传输介质包含同轴电缆、铜线和光纤。传输介质还可以采用声波或光波的形式，例如在无线电波和红外线数据通信期间产生的声波或光波。

易失性存储装置可以用于在通过处理器/处理单元执行指令期间存储临时变量或其它中间信息。非易失性存储装置或静态存储装置可以用于存储用于处理器的静态信息和指令，以及各种系统配置参数。

存储介质可以包含多个软件模块，所述软件模块可以实施为通过处理单元使用任何合适的计算机指令类型来执行的软件代码。软件代码可以作为一系列指令或命令、或作为程序存储在存储介质中。

各种形式的计算机可读介质可以涉及将一个或多个指令的一个或多个序列载送到处理器以便执行。例如，指令最初可以携载在远程计算机的磁盘上。替代地，远程计算机可以将指令加载到其动态存储器中，且向运行一个或多个指令的一个或多个序列的系统发送指令。

处理单元可以是微处理器、微控制器、数字信号处理器(dsp)、那些装置的任何组合，或被配置成处理信息的任何其它电路。

处理单元执行程序指令或代码段以用于实施本发明的实施例。此外，实施例可以由硬件、软件、固件、中间件、微码、硬件描述语言或其任何组合来实施。当用软件、固件、中间件或微码实施时，用于执行必要任务的程序指令可以存储在计算机可读存储介质中。处理单元可以通过虚拟化来实现，且可以是虚拟处理单元，包含在基于云的实例中的虚拟处理单元。

本发明的实施例涉及使用计算机系统来实施本文中所描述的技术。在实施例中，本发明的处理单元可以驻存在计算机平台等机器上。根据本发明的一个实施例，本文中所描述的技术通过计算机系统响应于处理单元执行易失性存储器中所含有的一个或多个指令的一个或多个序列来执行。此类指令可以从另一计算机可读介质读取到易失性存储器中。对易失性存储器中所包含的指令的序列的执行使得处理单元执行本文中所描述的过程步骤。在替代实施例中，可以使用硬连线电路代替软件指令或与软件指令组合以实施本发明。因此，本发明的实施例不限于硬件电路以及软件的任何具体组合。

例如程序指令等代码段可以表示过程、功能、子程序、程序、例程、子例程、模块、软件包、类别，或指令、数据结构或程序语句的任何组合。一个代码段可通过传递及/或接收信息、数据、自变量、参数或存储器内容耦合到另一代码段或硬件电路。信息、自变量、参数、数据等可以经由包含存储器共享、消息传递、令牌传递、网络传输等任何合适的方式传递、转发或传输。

替代地，硬接线电路可以用于取代或结合软件指令来实施符合本发明的原理的过程。因此，符合本发明的原理的实施方案不限于硬件电路和软件的任何特定组合。

网络接口可以通过独立的电子组件实施或者可以与其它电子组件集成。根据配置，网络接口可以不具有网络连接或具有至少一个网络连接。网络接口可以是以太网接口、无线通信接口、帧中继接口、光纤接口、电缆接口、数字订户线(dsl)接口、令牌环接口、串行总线接口、通用串行总线(usb)接口、火线接口、外围组件互连(pci)接口等。

网络接口可以连接到有线或无线接入网络。接入网络可以携载一个或多个网络协议数据。有线接入网络可以使用以太网、光纤、电缆、dsl、帧中继、令牌环、串行总线、usb、火线、pci或可以传递信息的任何材料来实施。无线接入网络可以使用红外线、高速分组接入(hspa)、hspa+、长期演进(lte)、wimax、gprs、edge、gsm、cdma、wifi、cdma2000、wcdma、td-scdma、蓝牙、wibro、演进数据优化(ev-do)；数字增强型无绳通信(dect)；数字amps(is-136/tdma)；集成数字增强型(iden)或任何其它无线技术来实施。

实施例或其部分可以实施于计算机数据信号中，计算机数据信号可以是用于通过传输介质进行通信的任何合适的形式，使得其可读取以由功能装置(例如，处理单元)执行来实施本文中所描述的操作。计算机数据信号可以包含能够经由传输介质传播的任何二进制数字电子信号，所述传输介质例如电子网络信道、光纤、空气、电磁介质、射频(rf)链路等，且因此数据信号可以采用电信号、光信号、射频或其它无线通信信号等形式。在某些实施例中，可以经由计算机网络下载代码段，计算机网络例如是互联网、企业内部网、lan、man、wan、pstn、卫星通信系统、电缆传输系统等。

根据本发明的一个实施例，图2示出了其中多个网络网关可以经由通信链路组连接在一起的网络拓扑结构。对于可以连接在一起的网关或网络装置的数量没有限制。可以用于本发明的层2网络协议包含以太网、令牌环、帧中继、ppp、x.25和atm。可以用于本发明的层3网络协议包含互联网协议(ip)第4版(ipv4)、ipv6、移动ipv4和移动ipv6。

台式机212和网络装置213处于相同局域网(lan)211中。网络装置213是具有网络能力的电子装置，包含web服务器、数据库服务器或网络附加存储(nas)装置。lan211和膝上型计算机214连接到网关201。网关201具有多个网络端口。一个网络端口能够连接到一个通信链路。对于网络端口的形状因数存在许多选择，包含rj45端口或usb端口。通信链路221、222、223和224连接到网关201的wan网络接口。一个或多个通信链路221、222、223和224可以由网关201使用以连接到互连网络299，例如互联网。

在另一实例中，网关201是无线通信装置并且包括多个无线通信模块。无线通信模块允许网关201通过由一个或多个无线服务提供商或蜂窝服务提供商提供的无线通信服务连接到互联网。出于说明的目的，使用lte技术通过两个蜂窝通信模块建立通信链路221和222，并且使用3g技术通过另外的两个蜂窝通信模块建立通信链路223和224。蜂窝通信模块放置在网关201内部或在外部耦合到网关201。并不限制无线通信模块必须是使用3g或lte技术的蜂窝通信模块。例如，可以使用卫星调制解调器和wimax调制解调器。网关201还能够将wi-fi用作其通信链路中的一个或多个。

服务器262和膝上型计算机263处于相同lan261中。lan261连接到网关251。通信链路231和232由网关251同时用于连接到互连网络299。例如，使用以太网链路建立通信链路231和232。服务器265连接到网关252。网关252使用通信链路234和235连接到互连网络299。出于说明的目的，通信链路234和235均为光纤链路。

远程服务器111是连接到互连网络299的存储装置。本领域技术人员将了解，可以使用例如tcp的面向端到端连接的协议来建立例如网关201的源节点与例如网关251或网关252的目的地节点之间的连接。在本发明中，包含vpn在内的隧道是通过包封携载信息包的连接。在优选实施例中，在例如201和251的网关之间建立隧道，且不在例如台式机212和服务器262的端点装置之间建立隧道。

图6是根据本发明的一个实施例的例如网关201的网关的示意性框图。网关201包括处理单元600、主存储器601、系统总线602、辅助存储装置603，以及网络接口604、605、606和607。处理单元600和主存储器601彼此直接连接。处理单元600通过系统总线602连接到辅助存储装置603以及网络接口604、605、606和607。使用系统总线602的优势之一是允许管理服务器111的模块化增大。系统总线602可以是包含存储器总线、外围总线以及使用各种总线架构中的任一个的本地总线的若干类型总线结构中的任一个。辅助存储装置603存储用于由处理单元600执行的程序指令。本发明的范围不限于网关201具有四个网络接口，因此允许网关201具有高于或低于此数量的网络接口。

通信链路将网关或网络装置的网络接口连接到互连网络，例如互联网。网络接口可以是以太网接口、3g网络接口、4g网络接口、wimax网络接口，或网络装置的任何其它网络接口。网络接口还可以是虚拟机(vm)的虚拟网络接口。通信链路呈光纤、以太网、atm、帧中继、t1/e1、ipv4、ipv6、无线技术、wi-fi、wimax、高速分组接入技术、3gpp长期演进(lte)等的形式。

网关是在不同类型的网络或应用程序之间执行协议转换的装置或网络上的节点。网关还执行网络地址和端口地址转译并且能够允许建立端到端连接。术语网关不意味着限于单个类型的装置，因为出于此应用的目的充当用户与网络之间的网桥的任何装置、硬件或软件都视为网关。网关与多个网络耦合。出于本发明的目的，路由器、交换器、网桥、无线存取点、计算装置中的虚拟机或接入点都可以被视为网关。根据本发明，网关包括至少两个网络接口。

端到端连接是源节点与目的地节点之间的连接。端到端连接可以包含一个或多个通信链路和一个或多个中间节点。在本发明的一个实施例中，源节点与目的地节点之间的端到端连接是虚拟专用网络(vpn)隧道。

隧道是在两个网关之间使用其相应的隧道接口和一个或多个通信链路建立的端到端连接。使用将一种类型的协议数据单元(pdu)封装成另一类型的协议数据单元的隧穿协议建立隧道。隧穿协议的实例包含但不限于通用路由封装协议(gre)和层2隧穿协议(l2tp)。隧道在两个网络节点之间创建虚拟点对点连接。隧道可以或可以不对例如ip包的封装协议数据单元进行加密。使用网关的相同网络接口可以建立超过一个隧道接口。隧道的每一端上的两个网关可以直接连接或可以通过一个或多个互连网络连接。

信息包是包含例如地址信息的控制信息以及用户数据的协议数据单元(pdu)。信息包可以是例如互联网协议(ipv4或ipv6)的网络层pdu、例如传输控制协议(tcp)或用户数据报协议(udp)的传送层pdu，或能够通过通信链路携载信息的任何其它协议的pdu。

在本发明的一个实施例中，当使用隧道发送封装信息包时，通过一个隧道发送一个封装信息包。如果无法通过选用于此传输的隧道发送封装信息包，则由于最大传输单元(mtu)的限制，封装信息包丢失。在另一实施例中，如果无法通过所选隧道发送封装信息包，则处理单元600将封装信息包分段。然后通过所选隧道属于的聚合隧道中的一个或多个隧道发送封装信息包的分段。

配置文件存储与两个装置(例如网关201和网关251)之间的一个或多个隧道相关的连接信息。可以通过网关的处理单元至少部分地根据信息包的源地址、目的地址和加密标准确定信息包所属于的配置文件。配置文件还可以包括验证信息、数字凭证的详细内容，或建立两个部位之间的隧道时使用的任何其它信息。配置文件可以由用户或网关201或网关251的管理员定义。网关201和251均可以具有含相同信息的配置文件以便建立一个或多个隧道。还使用配置文件创建聚合隧道。

聚合隧道包括对应于相同配置文件的一组隧道。使用单独的隧道配置文件建立每个聚合隧道。在本发明的一个实施例中，在两个网络节点之间建立的聚合隧道的数量限于一个。在本发明的另一实施例中，在两个网络节点之间建立的聚合隧道的数量可以是两个或更多个。在两个网络节点之间使用多个聚合隧道的优点是能够添加或删除聚合隧道而不中断通过其它聚合隧道进行中的通信。在两个网关之间具有多个聚合隧道的另一益处是能够根据信息包的服务质量(qos)要求或根据网关的配置通过不同聚合隧道灵活分发信息包。这种分开可以增加网络安全性和精细的qos配置。另一方面，由于需要计算资源来管理聚合隧道，因此使用更多聚合隧道将提高网络节点的计算资源的要求。因此，在两个网关之间仅使用一个聚合隧道会降低计算资源要求。

根据本发明的各种实施例，一个或多个出站流量策略可以由用户或网关201或网关251的管理员定义。出站流量策略的条件可以基于但不限于信息包的协议、当信息包是tcp或udp段时信息包的源端口号和/或目标端口号、当信息包是ip包时信息包的源地址和/或目的地址、应用层数据的类型或内容、或一天中的时间。处理单元600可以确定信息包是否满足出站流量策略的条件，且接着根据策略处理信息包。如果信息包满足多个出站流量策略的条件，则基于但不限于轮选或随机选择从多个出站流量策略选择策略。如果选择方法是网络性能，则出站流量策略的优先级可以基于但不限于对应于出站流量策略的通信链路的qos参数，例如吞吐率、等待时间或跳数。另一选择方法是选择具有最高优先级的策略，并且优先级由用户、管理员设定或从远程服务器获取。这些选择机制可以由网络装置的制造商、管理员或用户配置。

根据本发明的一个实施例，通过例如网关201、网关251或网关252的网络节点从远程服务器111获取配置文件和策略。远程服务器111能够将配置文件和策略存储在存储介质中。例如网关201、网关251或网关252的网络节点当由系统管理员、用户通过软件脚本发起时可以连接到远程服务器111以获取配置文件和策略。配置文件或策略的获取还可以在网络环境中发生一些改变时动态地触发。远程服务器111还能够从网络节点获取配置文件和/或策略。在本发明的一个变形例中，远程管理服务器111直接连接到网络节点的网络接口。

根据另一实施例，远程服务器111也是管理服务器，其由系统管理员或用户使用以配置例如网关201、网关251或网关252的网络节点的各种系统。远程服务器111包括终端，用户或管理员可以通过所述终端添加、删除或修改网络节点的配置文件和/或策略。终端可以包括显示器，例如阴极射线管(crt)、等离子显示器或液晶显示器(lcd)，用于向管理员或终端用户显示信息。终端还可以包括输入装置以允许管理员或终端用户向处理单元传达信息和命令。远程服务器111的管理员或用户可以使用例如远程登录或ssh的终端模拟程序或通过使用http或https的web网页远程地配置网络节点的系统。对于远程服务器111使用任何可用程序或软件来配置节点不存在限制。在一个变形例中，远程服务器111可以是任何计算装置，例如台式计算机、膝上型计算机、移动电话、智能手机、个人数字助理、或能够连接到网络接口的任何其它电子装置。

图7a是根据本发明的一个实施例的网络配置的框图。在此实施例中，由网关201用来与网关251通信的隧道配置文件的数量是一个。因此，这两个网关之间使用的聚合隧道的数量也是一个。出于说明的目的，网关201经由多个隧道791a、791b和791c以及连接792连接到网关251。聚合隧道791包括隧道791a、791b和791c。聚合隧道791是两个节点之间的唯一聚合隧道。

当信息包从网关201发送到网关251时，网关201首先确定是否应使用聚合隧道791发送信息包。当网关201从台式计算机212接收到目的地为膝上型计算机263的信息包时，网关201首先检查信息包是否满足隧道配置文件的条件。例如，隧道配置文件的条件是目的地址。因此，信息包满足隧道配置文件的条件，并且聚合隧道791用于发送信息包。然后，网关201根据所确定的出站流量策略使用隧道791a-c中的一个将信息包发送到网关251。

在一个变形例中，当不能使用聚合隧道791时，可以使用连接792来发送和接收信息包。在这个变形例中，连接792可以是隧道或无连接wan链路。

在另一变形例中，网关201不包含用于建立用于网关201与网关252之间的通信的聚合隧道的配置文件。因此，当网关201从膝上型计算机214接收到目的地为服务器265的信息包时，由于服务器265连接到网关252，因此网关201不能使用任何聚合隧道发送此信息包。因此，网关201使用一个或多个连接793或794将此信息包发送到网关252。

图7b是根据本发明的另一实施例的网络配置的框图。在此实施例中，所使用的隧道配置文件的数量可以超过一个。因此，在两个网关之间用于发送和接收信息包的聚合隧道的数量也可以超过一个。

出于说明的目的，网关201通过第一组连接792和795以及多个隧道790a、790b、791a、791b、791c连接到网关251。第一聚合隧道790包括第一组隧道790a和790b。第二聚合隧道791包括第二组隧道791a、791b和791c。并不限制仅可以存在两个聚合隧道。在两个网关之间具有多个聚合隧道的优势之一是可以灵活地发送最适合一个特定聚合隧道的信息包。使用图2中的图示作为示例，通信链路221和222比通信链路223和224更快并且具有更低的等待时间。网关201的管理员可能更喜欢使用通过通信链路221和222建立的聚合隧道中的隧道用于关键信息包，例如用于增强现实或视频会议的信息包，而使用较慢的通信链路223和224用于非关键信息包，例如娱乐新闻网站的web浏览。

另一个好处是能够在不中断其它聚合隧道的情况下添加和删除一个聚合隧道。例如，当需要进行视频会议时，可以建立包括连接792和795的第三聚合隧道。然后，可以将用于视频会议的信息包与通过第一和第二聚合隧道携载的信息包分开。这种分开可以提高网络安全性并提供精细的qos配置。

聚合隧道根据其对应的配置文件建立。例如，使用第一隧道配置文件建立第一聚合隧道，而使用第二隧道配置文件建立第二聚合隧道。分别使用wan网络接口703a与753a和wan网络接口703b与753b来建立隧道790a和790b。分别使用wan网络接口703a与753a、703b与753a以及703b与753b建立隧道791a、791b和791c。分别使用wan网络接口703a与753a、703b与743a、703c与743b以及703b与753c建立连接792、793、794和795。与第一和第二聚合隧道中使用的隧道相比，并不限制连接792必须是隧道。连接792可以使用例如tcp的面向连接的协议或例如udp的无连接协议来将信息包发送到网关251。

在一个变形例中，第一组通信链路是当不允许或不能使用其它组隧道时使用的默认组通信链路。因此，当不使用第一和第二聚合隧道时，将通过包括连接792和795的第一组通信链路发送指定给网关251的信息包。

根据本发明的一个实施例，第一节点通过其lan接口之一从主机接收第一信息包。然后，第一节点将第一信息包封装成第一封装信息包。然后，第一节点通过第一聚合隧道将第一封装信息包发送到第二节点。在此特定实施例中，第一聚合隧道是两个节点之间的唯一聚合隧道。第二节点通过第一聚合隧道从第一节点接收第一封装信息包。然后，第二节点将第一封装信息包解封装为第一信息包，然后通过目的地主机的相应lan接口将第一信息包发送到目的地主机。第二节点从其lan接口之一接收第二信息包，然后将第二信息包封装成第二封装信息包。然后，第二节点通过第一聚合隧道将第二封装信息包发送到第一节点。在通过第一聚合隧道从第二节点接收到第二封装信息包之后，第一节点将第二封装信息包解封装为第二信息包，然后通过从其接收到第一信息包的相应lan接口将第二信息包发送到第一信息包的发起主机。

在本发明的一个实施例中，第一组通信链路是存在于两个节点之间的多个通信链路的子集。当聚合隧道不能用于将信息包发送到第二节点时，使用此第一组通信链路。第二组通信链路是存在于两个节点之间的多个通信链路的另一个子集。使用此第二组通信链路来建立第一组隧道。在网关或网络节点的wan网络接口到另一网关或网络节点的另一wan网络接口之间建立此第一组隧道中的每个隧道。第一聚合隧道包括第一组隧道。根据第一隧道配置文件确定第一聚合隧道。

当第一节点从lan主机接收信息包时，其首先检查信息包是否满足第一配置文件的条件。在此实施例中，第一配置文件是由第一节点使用的唯一配置文件。因此，在两个节点之间仅建立一个聚合隧道。此外，在此实施例中，超过一个出站流量策略可以对应于第一配置文件，并且在出站流量策略条件之前检查配置文件条件。如果信息包满足配置文件的条件，则第一节点检查信息包是否满足与第一配置文件相对应的至少一个出站流量策略的条件。出站流量策略可能有超过一个条件。如果满足其所有条件，则满足出站流量策略。如果没有满足出站流量策略，则第一节点从配置文件中指定的第一组隧道中选择隧道以将包发送到第二节点。在一个变形例中，当没有使用出站流量策略时，使用特定隧道来发送信息包。此特定隧道优选地是比其它隧道更慢的隧道，并且不被其它聚合隧道使用。此特定隧道是用于发送非关键信息包的最后选择。

如果满足至少一个出站流量策略的条件，则第一节点确定信息包的适用出站流量策略。如果存在超过一个满足条件的出站流量策略，则第一节点在信息包的所有适用出站流量策略中选择一个出站流量策略。从所有适用出站流量策略中选择一个出站流量策略的方法是基于优先级。在确定适用于信息包的出站流量策略之后，第一节点然后使用在第一配置文件中指定的对应于所选出站流量策略的第二隧道来发送信息包。第二隧道可以与第一隧道相同或不同。在此实施例的一个变形例中，如果不满足配置文件的条件，则第一节点然后使用未在第一配置文件中指定的一个或多个通信链路来发送信息包。在本实施例的另一变形例中，当不满足配置文件的条件时用于发送信息包的通信链路可以与用于建立第一或第二组隧道的通信链路相同。

在本发明的另一实施例中，可以使用超过一个聚合隧道进行两个节点之间的通信。可以建立并同时运行两个节点之间的多个聚合隧道以发送和接收信息包。根据不同配置文件建立每个聚合隧道，并且每个配置文件可以具有与之对应的仅一个出站流量策略。当第一节点从lan主机接收信息包时，其首先检查信息包是否满足至少一个出站流量策略的条件。如果信息包满足至少一个出站流量策略的条件，则第一节点确定信息包的适用出站流量策略。如果存在超过一个满足条件的出站流量策略，则第一节点在所有适用出站流量策略中选择一个出站流量策略。从所有适用出站流量策略中选择一个出站流量策略的方法是基于优先级。

例如，第一节点的处理单元确定使用第一出站流量策略，第一节点使用第一聚合隧道将信息包发送到第二节点。在与所确定的第一出站流量策略对应的第一配置文件中指定第一聚合隧道。在此实施例的一个变形例中，如果第一信息包不满足出站流量策略，则第一节点使用未在任何配置文件中指定的一个或多个通信链路来发送信息包。在本实施例的另一变形例中，当不满足至少一个出站流量策略的条件时，用于发送信息包的通信链路可以与用于建立第一或第二组隧道的通信链路相同。

聚合隧道可以包括构成另一聚合隧道的隧道中的一个、超过一个、没有或全部。因此，用于发送一个信息包的聚合隧道可以与用于发送另一个信息包的聚合隧道相同或不同。

图3、图6、图7和图8一起示出根据本发明的一个实施例。图8是示出在例如网关201的网络节点处执行以处理信息包的步骤的流程图。图3是示出不同主机和节点(例如网关201和网关251)与连接到其lan接口的主机之间的通信序列的序列图。在此实施例中，为在两个网络节点之间传输和接收信息包而建立的聚合隧道的数量是一个。此单个聚合隧道根据单个隧道配置文件形成，所述单个隧道配置文件是第一隧道配置文件。此单个隧道配置文件可以包括超过一个出站流量策略。每个出站流量策略对应于不同组隧道，其中一组中隧道的最少数量为一个。

当网关从其lan主机之一接收信息包时，其确定信息包是否满足配置文件的条件。如果满足配置文件条件，则网关根据所满足的配置文件选择第一组隧道。然后，网关201确定信息包是否满足至少一个出站流量策略的条件。出于说明的目的，在步骤315b和315e中使用相同的聚合隧道用于在网关201与网关251之间传输包。当来自lan211的例如台式计算机212的主机与来自lan261的服务器262通信时，首先在步骤315a处台式计算机212将第一信息包发送到网关201。在步骤801处网关201从台式计算机212接收第一信息包之后，在步骤802处网关201的处理单元600确定信息包是否满足第一配置文件的所有配置文件条件。在此实施例中，配置文件条件是作为ip包的信息包的目的地址。当选择第一配置文件时使用第一组隧道791a、791b和791c。如果满足第一配置文件的条件，则在步骤804处，处理单元600进一步检查第一信息包是否满足与第一配置文件对应的至少一个出站流量策略的条件。如果信息包不满足任何出站流量策略，则在步骤805处，处理单元600选择在第一配置文件中指定的第一组隧道来将信息包发送到网关251。

如果信息包满足至少一个出站流量策略的条件，则在步骤807处，处理单元600确定要应用于信息包的适用出站流量策略。如果满足超过一个策略，则第一节点在信息包的所有适用出站流量策略中选择一个策略。从超过一个适用出站流量策略中选择一个策略是基于优先级。然后，第一节点使用对应于所确定的一个出站流量策略的第二组隧道791a、791b和791c将信息包发送到网关251。并不限制特定一组隧道必须包括与另一组隧道相同或不同的隧道。如果信息包不满足第一配置文件的条件，则第一节点201的处理单元600选择一组通信链路，所述一组通信链路包含不用于建立在第一配置文件中指定的隧道的通信链路。也并不限制此组通信链路要包含用于建立在第一配置文件中指定的隧道的一个或多个通信链路。

与结合图3、图6、图7和图8的先前实施例相比，图2、图3、图6和图9一起示出了本发明的另一实施例，其中使用单个聚合隧道在两个节点之间发送和接收信息包。在此特定实施例中，从两个节点之间建立的多个聚合隧道中选择聚合隧道。每个聚合隧道和其中包括的通信链路组在不同隧道配置文件中指定。每个聚合隧道还具有与之对应的单个出站流量策略。当针对信息包选择了对应于聚合隧道的出站流量策略时，使用所述聚合隧道发送所述信息包。图9示出了在例如网关201的节点处执行以处理信息包的步骤。图3是示出不同主机和节点(例如网关201和网关251)与连接到其lan接口的主机之间的通信序列的序列图。

示例性地，在步骤315b和315e中使用相同的聚合隧道用于在网关201与网关251之间传输包。当来自lan211的例如台式计算机212的主机需要向lan261的服务器262发送信息包时，其首先在步骤315a处将信息包发送到网关201。在步骤901处网关201从台式计算机212接收信息包之后，在步骤904处网关201的处理单元600确定信息包是否满足至少一个出站流量策略。如果信息包满足至少一个出站流量策略，则在步骤907处，处理单元600确定要应用于信息包的出站流量策略。如果满足超过一个出站流量策略，则网关201在信息包的所有适用出站流量策略中选择一个出站流量策略。选择一个出站流量策略是基于优先级。在步骤912处，处理单元600确定所选出站流量策略所对应的聚合隧道。在步骤913处，处理单元600使用在所选出站流量策略中指定的聚合隧道将信息包发送到网关251。由于根据其对应的配置文件创建聚合隧道，因此替代地，当处理单元600使用在所选出站流量策略中指定的其对应配置文件时在步骤912中选择聚合隧道。如果信息包不满足任何出站流量策略，则在步骤910处，处理单元600使用一组通信链路，所述一组通信链路包含未在第一配置文件中指定的通信链路。也并不限制此组通信链路要使用在第一配置文件中指定的一个或多个通信链路。

图2、图4、图6和图9一起示出了本发明的另一实施例，其中信息包通过多个聚合隧道从第一网络节点发送到第二网络节点，其中所述多个聚合隧道建立在第一网络节点与第二网络节点之间。图4是示出不同主机和节点(例如网关201和网关251)与连接到其lan接口的主机之间的通信序列的序列图。图9示出了在例如网关201的节点处执行以处理从其lan主机之一接收的信息包的步骤。在此实施例中，在两个节点之间建立的用于传输和接收信息包的聚合隧道的数量可以超过一个。因此，网关可以使用超过一个聚合隧道来同时发送和接收信息包。每个聚合隧道和每个聚合隧道中包括的隧道在不同隧道配置文件中指定。每个聚合隧道还具有与之对应的单个出站流量策略。当针对信息包选择了对应于聚合隧道的出站流量策略时，使用所述聚合隧道发送所述信息包。

示例性地，在步骤415b和416b中使用两个不同的聚合隧道用于在网关201与网关251之间传输包。当连接到网关201的lan接口的例如膝上型计算机214的主机与lan261的膝上型计算机263通信时，在步骤415a处膝上型计算机214将第一信息包发送到网关201。在步骤901处网关201从膝上型计算机214接收第一信息包。在步骤904处，处理单元600确定第一信息包是否满足至少一个出站流量策略的条件。如果满足至少一个出站流量策略，则在步骤907处，处理单元600确定要应用于信息包的出站流量策略。如果满足超过一个策略，则第一节点在信息包的所有适用出站流量策略中选择一个策略。从超过一个适用出站流量策略中选择一个出站流量策略是基于优先级。然后在步骤912处，处理单元600确定所选出站策略所对应的第一配置文件。然后在步骤415b和步骤913处，处理单元600使用在所确定的配置文件中指定的第一组隧道中的隧道将第一封装信息包发送到网关251。此第一组隧道按照第一配置文件形成第一聚合隧道。如果信息包不满足任何出站流量策略，则在步骤910处，处理单元600从一组通信链路中选择通信链路(所述通信链路可以包括未在第一配置文件中指定的通信链路)以将第一封装信息包发送到网关251。

在此实施例的另一变形例中，对于当信息包不满足任何配置文件时使用的一组通信链路也不存在限制，以使用在第一配置文件中指定的由网关201使用的一个或多个通信链路来建立第一聚合隧道。当膝上型计算机263需要与膝上型计算机214通信时，在步骤416a处，膝上型计算机263将第二信息包发送到网关251。当在步骤901处网关251接收到第二信息包时，网关251的处理单元600然后执行与网关201的处理单元600针对第一信息包执行的步骤类似的步骤。如果出站流量策略可以应用于第二信息包，则在步骤416b中，处理单元600根据出站流量策略使用第二聚合隧道将加密的第二信息包发送到网关201。此第二聚合隧道在对应于所应用的策略的配置文件中指定。并不限制一个节点要使用在两个节点之间建立的相同聚合隧道将所有信息包发送到另一节点。因此，在步骤416b中使用的第二聚合隧道可以与在步骤415b中使用的第一聚合隧道相同或不同。也不限制一个聚合隧道中包括的一组通信链路要包含另一聚合隧道中包括的一个或多个通信链路。

并不限制两个网关之间交换的信息包必须源自lan主机，其还可以源自网关。例如，携载在两个或更多个网关之间交换的链路控制或路由更新信息的包也将经历用于通信链路组的相同选择机制。

在本发明的一个实施例中，在配置文件中指定第一组端到端连接或隧道。这里，隧道是源节点与目的地节点之间的虚拟点对点连接，其可以包含一个或多个通信链路和一个或多个中间节点。在本发明的一个实施例中，源节点与目的地节点之间的隧道是虚拟专用网络(vpn)隧道。参考图2，网关201使用四个通信链路连接到互连网络299，并且网关251使用两个通信链路连接到互连网络299。因此，当要从lan211中的主机向lan261中的主机发送信息包时，存在可以通过其建立隧道的八种可能组合。在这八种组合中，例如，六个用于建立隧道，即隧道a、隧道b、隧道c、隧道d、隧道e和隧道f。这些隧道分别使用通信链路221和231、通信链路221和232、通信链路222和231、通信链路222和232、通信链路223和231以及通信链路223和232建立。隧道a-f能够被聚合以形成第一聚合隧道。在此实例中不使用通信链路224建立隧道。

在本发明的另一实施例中，网关可以包含超过一个配置文件。在此实施例中，例如，网关201使用第二配置文件连接到网关252。网关201使用四个通信链路连接到互连网络299，并且网关252使用两个通信链路连接到互连网络299。因此，当要从lan211中的主机向lan261中的主机发送信息包时，存在可以通过其建立隧道的八种可能组合。在这八种组合中，四个用于建立隧道，即隧道g、隧道h、隧道i和隧道j。这些隧道分别使用通信链路221和234、通信链路221和235、通信链路222和234以及通信链路222和235建立。隧道g-j能够被聚合以形成第二聚合隧道。在此实施例中，不使用通信链路223和通信链路224与网关252建立隧道。在此实施例中，网关201使用包括隧道a-f的第一聚合隧道和包括隧道g-j的第二聚合隧道来与不同网关通信。

图5a、图5b、图5c和图5d示出了根据本发明的各种实施例如何定义不同的隧道配置文件和出站流量策略的实例。

图5a中示出第一配置文件510。本领域技术人员将知道，可以通过指定本地id511、远程id512、加密标准514和共享密钥515来定义配置文件，如图1所示。当通过网关201从lan主机接收信息包时，处理单元600根据信息包的目的地址确定信息包是否属于第一配置文件510。例如，如果目的地是可通过网关251访问的装置，则信息包属于第一配置文件510。如果信息包属于第一配置文件510，则使用网关201的wan接口1、2和3根据行513与网关251建立隧道。例如，使用由分别连接到wan接口1、2和3的通信链路221、222和223组成的第一组通信链路来创建隧道。

为了更好地理解实施例，结合图8查看图5a。当在步骤801中接收到信息包时，在步骤802处检查信息包以确定其是否属于第一配置文件510。如果其属于第一配置文件510，则在步骤804中，然后进一步检查信息包以确定信息包是否满足第一配置文件510的至少一个出站流量策略。在步骤807中，如果信息包是文件传送协议(ftp)包，则信息包满足第一出站流量策略518，因为如条件行516中所示第一策略518的条件是ftp。因此，在步骤807中确定的出站流量策略是第一出站流量策略518。在步骤808中，然后选择第二组隧道，所述第二组隧道使用连接到如第一出站流量策略518的本地wan选择行513中所示的wan接口2的通信链路222建立。由于只有一个信息包，因此只选择第二组隧道中的一个隧道来发送信息包。在多个信息包属于同一ftp会话的情况下，并不限制必须对所有多个信息包使用一个特定隧道。允许第二组隧道的不同隧道用于多个信息包。用于信息包的加密标准是aes256，如第一出站流量策略518的加密标准行514中所示，并且用于加密的共享密钥是“unhappy”，如第一出站流量策略518的共享密钥行515中所示。

或者，如果信息包是voip包，则信息包满足第二出站流量策略519，因为如条件行516所示第二出站流量策略519的条件是voip。因此，步骤807中所确定的出站流量策略是第二出站流量策略519。如第二出站流量策略519的本地wan选择行513中所示，然后在步骤808中将使用第二组隧道来传输信息包，所述第二组隧道使用分别连接到wan接口2和wan接口3的通信链路222和223建立。在一个变形例中，除了第二隧道组之外，出站流量策略还指定在第一或第二隧道组中没有隧道能够发送信息包也不优选发送信息包的情况下(例如分别在网络故障和网络拥塞的情况下)使用第三组通信链路来发送信息包。对于第一组通信链路可以是或可以不是隧道没有限制。出于说明目的，第三组通信链路由通信链路221和223组成。并不限制在出站流量策略中仅可以指定一个或两个隧道组。

有可能并非行514-516中的所有策略信息都存在。将其对应的配置文件的默认策略信息应用于信息包。例如，由于在第二出站流量策略519中未指定加密标准和共享密钥，因此将分别如默认517的加密标准行514和共享密钥行515所示的默认加密标准aes128和默认共享密钥“happy”应用于信息包。

或者，如果信息包既不是ftp包也不是互联网语音传输协议(voip)包，则它不属于任何出站流量策略，并且将默认517中所示的默认出站流量策略信息应用于信息包。出于说明的目的，在步骤805中选择由通信链路221、222和223构成的第一组通信链路。然后使用第一组通信链路的一个通信链路发送信息包。用于信息包的加密标准是aes128，如默认517的加密标准行514中所示，并且用于加密的共享密钥是“happy”，如默认517的共享密钥行515中所示。根据本发明的一个实施例，当配置文件包括超过一个出站流量策略时，为超过一个出站流量策略分配优先级。

信息包可能满足超过一个出站流量策略的条件。为了确定应该将哪个出站流量策略应用于信息包，确定出站流量策略的优先级。将具有最高优先级的出站流量策略应用于信息包。出于说明的目的，优先级行530示出第二出站流量策略519具有最高优先级并且第一出站流量策略518具有最低优先级。如果信息包满足第一出站流量策略518和第二出站流量策略519两者的条件，则在步骤807中，选择第二出站流量策略519，因为第二出站流量策略519具有比第一出站流量策略518更高的优先级。

根据一个实施例，如图5b所示，在配置文件中指定隧道。第一配置文件510包括隧道选择行533而不是图5a的本地wan选择行513。在默认537中为第一配置文件510指定的默认隧道是隧道a、隧道b、隧道c、隧道d、隧道e和隧道f。如果信息包满足第一策略538的条件，则在步骤808中使用隧道c。如果信息包满足第二策略539的条件，则在步骤808中选择隧道c、隧道d、隧道e和隧道f，其中一个隧道用于发送一个信息包。当信息包是ftp包时满足第一策略538的第一条件，并且如果信息包的源处于lan211中则满足第一策略538的第二条件。在一个变形例中，如果信息包满足任何对应于策略的条件，则所述策略可以应用于信息包。在另一变形例中，在策略可以应用于信息包之前，需要满足策略的所有相应条件。在满足第一策略538和第二策略539两者的条件的情况下，选择隧道c、隧道d、隧道e和隧道f，因为第二策略539具有更高的优先级。

根据一个实施例，如图5c所示，在配置文件中指定网关201和网关251两者的通信链路。网关251的wan接口5和wan接口6用于根据远程wan选择行544与网关201建立隧道。例如，使用由分别连接到wan接口5和6的通信链路231和232组成的一组通信链路来创建隧道。属于第一配置文件510但不满足第一出站流量策略548或第二出站流量策略549的条件的信息包可以通过连接到wan接口1、wan接口2或wan接口3的隧道的任何组合来传输，并且通过wan接口5和wan接口6的任何组合接收。当信息包是ftp包时，其满足第一出站流量策略548的条件，如分别在本地wan选择行513和远程wan选择行544所示，选择wan接口5和wan接口6。当信息包是voip包和/或目的地为膝上型计算机263时，voip包满足第二出站流量策略549的条件，并且选择使用通信链路222和223与通信链路231和232的任何组合建立的隧道，其中一个隧道用于传输信息包，分别如本地wan选择行513和远程wan选择行544所示。当要传输属于第一配置文件510的若干信息包时，可以通过使用负载平衡技术通过在默认547中指定的或在相应的出站流量策略中指定的一个或多个通信链路传输信息包。

根据一个实施例，第一配置文件510可以包括远程wan选择行544，并且可以不包括本地wan选择行513。然后可以根据网关201处的通信链路的性能、根据其可用性来选择所述通信链路，或者可以使用负载平衡技术通过所有三个通信链路传输包。根据本发明的一个实施例，处理单元600评估每个隧道的性能。可以通过经由通信链路或隧道发送评估包来评估性能。例如，评估网关201与网关251之间的每个隧道的等待时间。可以定义出站流量策略，使得如果信息包是voip包则满足条件，并且为信息包选择具有低于500毫秒的等待时间的隧道。在没有具有低于500毫秒的等待时间的通信链路或隧道的情况下，可以选择具有最低等待时间的通信链路或隧道。因此，可以不在出站流量策略中预定义通信链路或隧道，并且可以根据隧道的性能动态地添加或删除通信链路或隧道。本领域技术人员将知道，为了实现voip会话的适当质量，连接的等待时间优选地低于约500毫秒。还可以根据隧道的性能在出站流量策略中周期性地选择隧道。因此，可以由处理单元600基于隧道的性能动态地或周期性地选择出站流量策略中指定的隧道。出站流量策略的条件可以基于信息包的等待时间要求。

如图5d所示，可以在网关201处定义超过一个配置文件。在网关201处定义的第一配置文件553用于网关201与网关251之间的通信。此外，还在网关201处定义用于网关201与网关252之间的通信的第二配置文件554。为了更好地理解此实施例，结合图9来看图5d。当在步骤901中接收到信息包时，在步骤904中检查信息包以确定其是否满足至少一个出站流量策略的条件。

在一个变形例中，信息包需要满足行516中指定的所有条件，以满足其对应的出站流量策略。

在一个变形例中，制造商、管理员或用户可以自由地定义是否需要满足对应于出站流量策略的至少一个或所有预定义条件以满足所述出站流量策略。在此变形例中，制造商、管理员或用户也可以自由选择条件。出于说明的目的，在行516中已经定义了四个条件。在此特定变形例中，需要满足第一、第三和第四条件以满足第一出站流量策略，而需要满足第一、第二、第三和第四条件以满足第二策略。如果满足第一出站流量策略的条件但不满足第二出站流量策略的条件，则在步骤907中，处理单元600确定要应用于信息包的第一出站流量策略。在此实施例中，每个出站流量策略对应于单个配置文件。因此，当选择第一出站流量策略时，在步骤912中使用第一配置文件510。根据第一配置文件，使用本地id网关201、远程id网关251、加密标准aes256和共享密钥“happy”，如分别在行511、512、514和515中所示。另外，如第一配置文件中所指定的，使用隧道i和隧道j发送信息包。替代地，如果满足第一和第二出站流量策略两者的条件，则处理单元600选择具有更高优先级的出站流量策略。如行530所示，第二出站流量策略是具有比第一出站流量策略更高优先级的出站流量策略。因此，在这种情况下，选择第二出站流量策略。当选择第二出站流量策略时，使用第二配置文件来发送信息包，因为第二配置文件对应于第二出站流量策略。根据第二配置文件，使用本地id网关201、远程id网关252、加密标准aes128和共享密钥“unhappy”，分别如行511、512、514和515所示。另外，如第二配置文件中所指定的，使用隧道i和隧道j发送信息包。

出站流量策略的条件不限于图5a、图5b、图5c和图5d中所示的条件。图5a、图5b、图5c和图5d并不意味着限制本发明的范围，而仅是示例性实施例的说明。

并不限制要使用一个出站流量策略的相同加密标准和/或共享密钥作为另一出站流量策略的加密标准和/或共享密钥。

本实施例的范围不限于仅根据目的地址确定配置文件。每个配置文件中包括的信息不限于本地wan选择、加密标准和共享密钥。对于本领域技术人员显而易见的是，可以在配置文件中指定用于建立聚合隧道的附加信息。

图10a和图10b示出了封装在网关201处接收的信息包。根据现有技术，如图10a所示，将接收的信息包1001封装在第一封装包1002中。在本发明的一个实施例中，如图10b所示，根据第二加密标准，将接收的信息包封装在第二封装包1003中。然后，根据第一加密标准将第二封装包1003封装在第一封装包1002中。第一加密标准可以与第二加密标准相同或不同。

在一个变形例中，根据接收的信息包所属的配置文件中指定的加密标准来确定第一加密标准。根据接收的信息包满足的所确定出站流量策略中指定的加密标准确定第二加密标准。

将信息包封装在第二封装包1003中的目的是在信息包通过隧道时提供更高的安全性。在一个变形例中，不是封装在第二封装包1003中，而是用共享密钥对接收的信息包1001进行加密，然后将其封装在具有不同共享密钥的第一封装包中。

根据本发明的一个实施例，网关201向网关251发送关于与配置文件相对应的一个或多个出站流量策略的信息。然后，网关251存储对应于该配置文件的出站流量策略，并将出站流量策略应用于满足出站流量策略条件的信息包。例如，当根据第一配置文件510与网关251建立隧道a、隧道b、隧道c、隧道d、隧道e和隧道f时，还将对应于第一配置文件510的出站流量策略应用于由网关251传输到网关201的包。当目的地为可通过网关201访问的装置的信息包到达网关251时，网关251的处理单元600确定信息包是否满足对应于第一配置文件510的至少一个出站流量策略的条件。如果确定信息包的协议为ftp，则满足第一出站流量策略518的条件。由于在第一出站流量策略518中指定了通信链路222，因此网关251使用隧道c和/或隧道d来传输信息包。替代地，可以在第一出站流量策略518中指定一个或多个隧道，使得网关251和网关201使用一个或多个隧道来在彼此之间交换ftp包。

在一个变形例中，出站流量策略的条件是基于一天中的时间。出于说明的目的，在图5d的行516中，第四出站流量策略条件是在允许发送信息包的特定小时范围内的一天中的时间。对于要满足的第一出站流量策略，一天中的时间需要在上午8点到晚上8点之间。对于要满足的第二出站流量策略，一天中的时间可以是任何时间。此条件很有用，因为根据一天中的时间，不同的数据类型可以具有不同的优先级。