JP2007251259A - Ｖｐｎ通信検出方法及び装置 - Google Patents

Abstract

【課題】内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができる検出方法及び装置を提供する。
【解決手段】外部ネットワーク側から入力した内部ネットワーク上のノード宛てのパケット、及び内部ネットワーク側から入力した外部ネットワーク上のノード宛てのパケットを中継する際に遅延時間を挿入して、テスト対象のノードに対し応答要求パケットを送信してから、その応答パケットを受信するまでに要した応答時間を計測する。この応答時間が上記遅延時間の長さに応じて変化する場合には、テスト対象のノードが内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定する。
【選択図】 図９

Description

本発明は、ＶＰＮ（Virtual Private Network)に関し、特に、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを検出する検出方法及び装置に関する。

遠隔地にある拠点ネットワーク間を接続する形態の一つとしてVirtual Private Network(VPN)とよばれる技術がある。

Layer 3 VPN（L3VPN）では、ＩＰパケットを実ネットワークのＩＰパケットに格納する「カプセル化」を行うことにより、実ネットワーク上に仮想的なネットワークを構築する技術であり、ＩＰ−ＶＰＮやインターネットＶＰＮなどと呼ばれることもある。しかし、ＩＰパケットをカプセル化して転送する形態のＶＰＮであるＬ３ＶＰＮは、ＩＰ以外のプロトコルを用いたパケットを扱うことができないうえ、ブロードキャストやマルチキャスト通信を扱う際に特別な配慮が必要になるという課題がある。

遠隔地にある拠点間を接続する形態の一つとしてLayer 2 Virtual Private Network(L2VPN)とよばれる技術がある。通常、遠隔地にある拠点同士は別のネットワークになるところを、上位レイヤでＬａｙｅｒ２フレーム（例えばイーサネット（登録商標）フレーム）をカプセル化して転送し、遠隔地にもＬａｙｅｒ２のフレームを転送することで結果的に一つの仮想的なＬａｙｅｒ２に見せるものである。この技術により、ポリシなどの統一が容易になり管理者の負担を減らすとともに、ユーザはどこでも同じネットワークに属することが可能になるというメリットがある。

企業や政府機関などにおいて、情報漏洩防止などの理由で、ＶＰＮ経由での外部からのアクセスを制限している場合がある。内部のネットワークに外部からＶＰＮ経由でアクセスしているホストを把握したり取り締まるために、ファイアウォールを通過するＶＰＮ通信を検出する装置がある（例えば、非特許文献１参照）。

これは、通過する通信のパケットパターンを監視し、既知のＶＰＮプロトコルを使った通信のパターンであれば、ＶＰＮのコネクションであると判断することを特徴とするファイアウォール装置である。
"One Point Wall"、[online］、ネットエージェント社、［平成１８年３月６日検索］、インターネット＜URL:http://www.onepointwall.jp/＞

外部から、ＶＰＮを利用して内部にアクセスしている場合、そのＶＰＮ通信は必ず外部と接続されたルータ等の中継装置を経由するので、ＶＰＮ通信が暗号化されていない既知のＶＰＮプロトコルであれば、通過するパケットを監視することで、それがＶＰＮ通信のパケットであるかどうかを判断することが可能である。

しかし、大半のＶＰＮ通信は暗号化を施すものが多いため、通過するパケットを監視するだけでは検出は難しい。

上記非特許文献１に記載されている、通信パケットパターンを監視することでＶＰＮ通信のパケットを検出するファイアウォール装置では、装置が既知のＶＰＮプロトコルを使用した通信はたとえ暗号化されていても、通信パケットパターンが既知のものと一致すれば、ＶＰＮ通信であると検知することができる。

しかし、ＶＰＮ通信のパケットパターンが、そのファイアウォール装置の既知のものでない限り検出は不可能である。このため、ファイアウォール装置で新たに開発されたＶＰＮプロトコルや、改造されたＶＰＮプロトコルなど、ファイアウォール装置が知らないＶＰＮ通信のパケットを検出することができないという問題点がある。

また、計算機の普及と、高速な常時接続ネットワークの整備により、一ユーザが気軽にＶＰＮを使うことができるようになってきた。しかし、その一方で、宅内に設置される機器には著作権保護を行うため宅内にある機器しか接続させたくないという要求がある。

ある通信相手（ノード）がＶＰＮ経由でアクセスしているかどうかを検出するために、DTCP(Digital Transmission Content Protection)/IP の標準化の中ではRTT(Round Trip Time)を用いる手法が提案されているが、この手法はだけでは対応できない。

また、非特許文献１に記載されている、ＶＰＮ通信のパケットを検出するファイアウォール装置は、通過する通信を監視することで、既知のＶＰＮプロトコルを使用したＶＰＮ通信のパケットを検出することは可能である。しかし、ＶＰＮ通信のパケットを検出できても、ＶＰＮ経由で接続しているノードを検出することはできない。

このように、従来は、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができないという問題点がった。

また、ＶＰＮプロトコルが既知のものであるか否かに関わらず、内部ネットワーク上のノードと外部ネットワーク上のノードとの間で送受信される通信パケットのうち、ＶＰＮ通信に用いられているパケットを容易に検出することができないという問題点があった。

そこで、本発明は、上記問題点に鑑み、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができる検出方法及び装置を提供することを目的とする。

また、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができ、しかも、内部ネットワーク上のノードと外部ネットワーク上のノードとの間で送受信される通信パケットのうち、ＶＰＮ通信に用いられているパケットを容易に検出することができる検出方法及び装置を提供することを目的とする。

（ａ）内部ネットワークと外部ネットワークとが接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するための前記内部ネットワークに接続されたＶＰＮ通信検出装置は、テスト対象のノードに対し応答要求パケットを送信する送信手段と、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうちの少なくとも一方を、異なる長さの複数の遅延時間のうちの指示された遅延時間だけ遅らせて、前記内部ネットワーク上のノード宛てのパケットの場合には前記内部ネットワーク側へ出力し、前記外部ネットワーク上のノード宛てのパケットの場合には前記外部ネットワーク側へ出力する遅延挿入手段と、前記応答要求パケットに対する前記テスト対象のノードからの応答パケットを受信する受信手段と、前記送信手段で前記応答要求パケットを送信してから前記受信手段で前記応答パケットを受信するまでに要した応答時間を計測する計測手段と、前記遅延挿入手段で挿入する各遅延時間と、当該遅延挿入手段で当該遅延時間の挿入を行っているときに計測された前記応答時間との相関を基に、前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであるか否かを判定する判定手段とを含む。

（ｂ）内部ネットワークと外部ネットワークとが接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するための前記内部ネットワークに接続されたＶＰＮ通信検出装置は、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットうちのいずれか一方あるいは両方を破棄するパケット破棄手段を用いてパケットを破棄するパケット破棄モードと、パケットの破棄を行わない通常モードとのうちのいずれか一方に切り替える切替手段と、テスト対象のノードに対し応答要求パケットを送信する送信手段と、前記切替手段で前記パケット破棄モードに切り替えて、前記送信手段で送信された前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第１の検出手段と、前記切替手段で前記通常モードに切り替えて、前記送信手段で送信された前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第２の検出手段と、前記第１及び第２の検出手段での検出結果を基に、前記テスト対象のノードが、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであるか否かを判定する判定手段と、を含む。

内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができる。

以下、本発明の実施形態について、図面を参照して説明する。

まず、ＶＰＮ通信の概略及びＶＰＮ通信を行っているノードの検出に関する従来技術の問題点を、図１乃至図５を参照して説明する。

（ＶＰＮ通信の概略）
図１に示すように、ノードＢとノードＣとの間でＶＰＮ（トンネル）通信を行っていて、ノードＣまたはノードＣが物理的に接続しているネットワークと内部ネットワークとの間で、ＶＰＮトンネルを経由してネットワークパケットが転送される。

図２では、ＶＰＮトンネルを経由したパケットの流れの例として、ノードＡとノードＣとの間で通信する際のパケットの流れを矢印で示している。ノードＡを含む内部ネットワークのノードから見ると、ノードＣや、ノードＣが接続しているネットワークは、ノードＢを経由してアクセスできるように見える（これを図１及び図２ではノードＣへの経路を仮想的なトンネルとして示している）。

但し、実際のＶＰＮ通信は、図３に示すように、ルータＲＡを経由して、外部ネットワークとの間で行われている。すなわち、ノードＡからノードＣ宛に送信されたパケットは、まずノードＢに到達する。ノードＢでは、受信したノードＣ宛パケットをＶＰＮパケットにカプセル化し、そのＶＰＮパケットを送信する。ＶＰＮパケットは、ルータＡを経由して外部ネットワークに送信され、ノードＣに到達する。ノードＣでは、受信したＶＰＮパケットからノードＡが送信したパケットを取り出すことで、ノードＡから送信されたパケットがノードＣに到達したことになる。

カプセル化を行うことで、ノードＣを図２のようにＶＰＮトンネルを経由して仮想的に接続させることができるのである。

（Ｌ３ＶＰＮで接続されたノードの検出）
ここでは例としてＬ３ＶＰＮで接続されたノードを検出する場合の問題点について説明する。仮想的にはトンネルを経由して外部にいるノードと内部ネットワークとの間の通信を行うが、実際にはカプセル化されたパケットがルータＲＡを経由して外部にいるノードとやりとりされる。

図４は、Ｌ３ＶＰＮを使用してノードＣが内部ネットワークにアクセスしている場合のネットワーク構成の例を示している。

内部ネットワークは「１０．０．０．０／２４」のアドレスブロックで運用されている。Ｌ３ＶＰＮで接続している場合、ノードＣは内部ネットワークとは違うアドレスブロックを割り当てる必要があるため、ノードＣのトンネル端点には例として「１０．０．１．０／２４」のアドレスブロックのＩＰアドレスが割り当てられている。

ノードＣが内部ネットワークのノード（例えばノードＡ）にアクセスする際は、仮想的には、パケットはノードＣからトンネルを経由して、ノードＢによって内部ネットワークに転送され、ノードＡに到達する。反対に、ノードＡからノードＣへのパケットは、ノードＢによってトンネルに転送され、トンネルを経由してノードＣに到達する。

多くのＬ３ＶＰＮは、イーサネット（登録商標）でＩＰアドレスからＭＡＣアドレスを調べるために使用するＡＲＰプロトコルパケットを転送しない。このため、たとえノードＣに内部ネットワークのＩＰアドレスブロックのＩＰアドレスを振っても、ＡＲＰ返答ができないため、内部ネットワークのノードにＭＡＣアドレスを知らせることができず、内部ネットワークのノードはノードＣにアクセスすることはできない。

このような構成では、ノードＣのＩＰアドレスが内部ネットワークのＩＰアドレスでないが、ＩＰアドレスの違いで内部ネットワークであると断定することはできない。内部ネットワークに、別のＩＰアドレスブロックで構成されているサブネットが運用されている場合が考えられるためである。

また、ノードＢにて代理（ＰＲＯＸＹ）ＡＲＰ機能が動作していれば、ノードＣに内部ネットワークと同じアドレスブロックのアドレスを割り当てて通信させることができる。

図５は、Ｌ３ＶＰＮを使用してノードＣが内部ネットワークに接続する例を示している。図５では、図４と異なり、ノードＣに内部ネットワークのアドレスブロックのアドレスが設定されている。

ノードＢの代理ＡＲＰ機能は、ノードＣのＩＰアドレスに対するＭＡＣアドレスを問い合わせるＡＲＰパケットをノードＢが受け取ると、ノードＣのＭＡＣアドレスはノードＢのＭＡＣアドレスであるという返答を送信する。

これにより、ノードＣへのパケットは全てノードＢへ送信されることになる。ノードＢがノードＣのＩＰアドレス宛のパケットを受け取ると、ノードＣに対してトンネルを経由してパケットを転送する。逆に、ノードＣからの内部ネットワーク宛のパケットは、トンネルを経由してノードＢに渡され、ノードＢが内部ネットワークに転送する。

Ｌ３ＶＰＮを使用していて、ＶＰＮトンネルの両端のＩＰアドレスが異なるサブネットアドレスを割り当てられている場合は、ＩＰアドレスの違いで同じサブネット内にいないとういことを知ることはできるが、内部ネットワーク内で別サブネットを運用されているだけで、外部からＶＰＮ接続しているわけではないという場合も考えられるため、ＩＰアドレスの違いだけで検出することはできない。

また、Ｌ３ＶＰＮを使用していて、ＶＰＮトンネルの両端のＩＰアドレスを同じサブネットアドレスに割り当てることもできる（この方式の詳細は後述する）。このような構成では、ＶＰＮ経由で接続しているノードのＩＰアドレスに対するＭＡＣアドレスと、内部ネットワークでＶＰＮを終端しているノードのＭＡＣアドレスが同一のものになるが、これを持ってトンネル経由で外部からアクセスしているとは断定できない。ノードＢに複数のＩＰアドレスが振られている場合や、ノードＣが内部にいて内部でトンネル経由の通信をしている可能性が残されてしまう。

なお、ここでは内部ネットワークがＩＰｖ４（Internet Protocol version 4）で構築されている例を示しているが、ＩＰｖ６（Internet Protocol version 6）など他のネットワークプロトコルで構築されている場合も、ＶＰＮ検出を行う際には同様の問題が生じる。

（Ｌ２ＶＰＮで接続されたノードの検出）
前記ネットワーク構成において、トンネル通信としてＬ２ＶＰＮを使用している場合の例を示す。

見かけ上Ｌ２ＶＰＮをしていることは他の端末からは意識されない。ユニキャストの通信だけでなく例えばブロードキャストフレームも、図２に示すように、Ｌ２トンネルを経由して他のネットワークまで運ばれる（Ｗｉｎｄｏｗｓ（登録商標）のブロードキャストによる名前解決、ＵＰｎＰ（登録商標）によるマルチキャストを使った機器発見手順など）。

しかし、図３に示すように、実際にはすべてのＬ２ＶＰＮでトンネルをしているパケットは上流ネットワークへの経路を持つルータを経由している。

Ｌ２ＶＰＮによって宅外からアクセスしている場合、イーサネット（登録商標）等のＬａｙｅｒ２フレームを転送することができ、ＶＰＮ経由であっても内部ネットワークにあたかも直接接続しているように見せることが可能である。このため、これまでの技術では、外部からＬ２ＶＰＮで接続されているかどうかを判別するための有効な手段はなかった。

（前提）
次に、以下の実施形態の説明で用いるネットワーク構成例について説明する。ここでは、以下の条件を満たすネットワークを前提としている。

・ＶＰＮ通信等の外部ネットワークとの通信は、必ず検出装置またはルータなどの中継装置を通過する。検出装置または中継装置を経由せずには、外部のネットワークに接続することができないとする。外部との経路が複数ある場合は、それぞれに検出装置または中継装置を配置し、それらを連携動作させる（検出装置および中継装置の詳細は後述する）。

・内部ネットワークとは、検出装置または中継装置の配下に接続されているネットワークで、内部ネットワークから外部のネットワークにアクセスする際には検出装置または中継装置を必ず通るように構成されているネットワークのことである。

・内部ネットワークにあるＶＰＮ終端しているノードは、内部ネットワークとＶＰＮトンネルとの間でパケットを転送する。ＶＰＮを終端しているノードが内部ネットワークとの間でパケットを転送しないように設定されている場合は、ここでは想定外である。

・テスト対象のノードは、検出装置からの応答要求に対して、検出装置に対して応答を返す。応答要求を行うための通信プロトコルの例としては、ＩＣＭＰｅｃｈｏ、ＡＲＰ、ＩＣＭＰｖ６ＮＤがある。

（第１の実施形態）
１．検出装置
図６は、本実施形態に係る検出装置１の構成例を示したものである。図６の検出装置１は、コネクション管理部１０１、判定部１０２、判定パケット送受信部１０３を含む。

コネクション管理部１０１は、ルータを通るコネクションの監視を行い、必要に応じてパケットを転送する際に挿入する遅延を制御し、パケットを転送するかどうかを制御する。コネクション監視とは、ルータを通るパケットの種別、すなわち、パケット属性情報を収集する機能である。例えば、Linux（登録商標）ではiptables およびtc(iproute2) とよばれるものがこれに相当する。この機能によって任意の遅延を挿入することや、任意のパケットを破棄することができる。

判定部１０２は、コネクション管理部１０１に対してパケットへの遅延挿入指示や破棄指示、及びこれらの解除を行う。また、判定パケット送受信部１０３に対しては、判定パケットの送信指示を行い、両者の結果からトンネルを経由しているパケットかどうかを判定する。

判定パケット送受信部１０３は、判定部１０２の要求に従い、判定用のパケットを内部ネットワーク内へ送信し、その応答を受信し、応答を内部ネットワークから受信するまでにかかる時間を測定する。

図７は、図６の検出装置１を内部ネットワークに配置した場合のネットワーク構成例を示したものである。ここでは、内部ネットワークは、例えば、「１３３．１９６．１６．０／２４」のＩＰｖ４サブネットであり、ノードＣに対応する通信装置は、Ｌ２ＶＰＮ経由で、内部ネットワークに接続している。このＬ２ＶＰＮは、データの配信にＴＣＰを使用している。

図７において、検出装置１は、ノードＣがＶＰＮ経由で接続されていることと、図３で示したような経路で転送されるＶＰＮ通信のパケットを検出する。

２．第１の検出方法：検出装置で配送遅延を挿入して検出を行う場合
この方法では、検出装置１が中継するパケット全てに遅延を挿入し、挿入した遅延とテスト対象のノードへ応答を要求するパケット（検出用パケット）を送信してから、その応答パケットが返ってくるまでに要する時間（応答時間）との相関をみることで、テスト対象のノードが外部ネットワーク上のノードであり、ＶＰＮトンネル経由で内部ネットワークと接続しているか否かを検出する。

検出装置１（の判定部１０２）には、予めテスト対象のノード（ここでは、ノードＣ）のＭＡＣアドレス、ＩＰアドレスが与えられる。

以下、図８に示すフローチャートと、図９に示すシーケンス図と、図１１及び図１２に示すネットワーク内のデータの流れを示す図を参照して、第１の検出方法について説明する。

なお、図８は、検出装置１の処理動作を説明するためのフローチャートであり、図９は、ネットワーク内のデータの流れを示すシーケンス図である。また、図１１及び図１２は、第１の実施形態に係るネットワーク内のデータの流れを説明するための図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合に、図１１は、検出用パケットがノードＣに到達するまでを示している。さらに、図１２は、ノードＣからの応答パケットが検出装置に到達するまでを示している。

まず、図８において、判定部１０２は、コネクション管理部１０１に対し、検出装置１を通過するパケットへの遅延時間α（αは可変の値）の挿入を指示する（ステップＳ１）。

コネクション管理部１０１は、遅延挿入を開始したことを判定部１０２へ通知する（ステップＳ２）。以後、コネクション管理部１０１は、判定部１０２から処理停止指示を受ける（ステップＳ２２）まで、ルータＲＡ側から検出装置１へ入力したパケット及び内部ネットワーク側から検出装置１へ入力したパケットのうちのいずれか一方あるいは両者を遅延時間αだけ遅らせて、ルータＲＡ側から検出装置１へ入力したパケットは内部ネットワーク側へ転送し、内部ネットワーク側から検出装置１へ入力したパケットはルータＲＡ側へ転送する。

判定部１０２は、判定パケット送受信部１０３に対し、テスト対象のノード（例えば、ここでは、ノードＣ）のＭＡＣアドレスやＩＰアドレス（例えば、ノードＣの内部ネットワークＩＰアドレス）とともに、当該テスト対象のノードへの検出用パケットの送信を指示する（ステップＳ３）。

判定パケット送受信部１０３は、この指示を受けて、テスト対象のノードに対して、検出用パケットを送信する（ステップＳ４）。検出用パケットには、要求に対して応答が帰ってくるもの（例えばＩＣＭＰｅｃｈｏ（ＩＣＭＰエコー要求）やＡＲＰ、ＩＣＭＰｖ６ＮＤ（Neighbor Discovery））を用いる。

図１３は、検出用パケット（フレーム）の一例を示したもので、ここでは、ＩＣＭＰエコー要求を含む検出用パケットを示している。

判定パケット送受信部１０３は、テスト対象のノードへの検出用パケットを送信してから、その応答パケットを受信するまでの要する時間、すなわち、応答時間を計測するための計測手段を備えている。判定パケット送受信部１０３は、この応答時間を計測するために、テスト対象のノードへの検出用パケットへ送信すると、当該検出用パケットの送信時刻を記憶する（ステップＳ５）。

図９のステップＳ６において、検出用パケットがノードＢで受信されると、ノードＢでは、検出用パケットをカプセル化し、図１４に示すような当該検出用パケットを含む暗号化されたＬ２ＶＰＮデータを含むＶＰＮパケット（要求ＶＰＮパケット）を生成する。この要求ＶＰＮパケットは、ノードＢからルータＲＡ宛てに送信される。

上記要求ＶＰＮパケットが検出装置１を通過する際、コネクション管理部１０１は、当該パケットを遅延時間αだけ遅らせて、ルータＲＡ側へ転送する（ステップＳ８）。

コネクション管理部１０１を通過した当該要求ＶＰＮパケットは、図９に示すように、ルータＲＡで受信される（ステップＳ１０）。

ルータＲＡは、受信した当該要求ＶＰＮパケットから、ＭＡＣヘッダ（図１４では宛先及び送信元ＭＡＣアドレスＤ２、Ｓ２）を取り除き、当該要求ＶＰＮパケットに含まれているＩＰパケットが外部ネットワークへ送信される（ステップＳ１１）。なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス「２０２．２４９．１０．１００」であり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介して（当該ＩＰパケットにＭＡＣヘッダが付加されるなどして）ノードＣに受信される。

ノードＣは、検出装置１の「ＩＦ１」宛てのＩＣＭＰエコー応答を含むＬ２ＶＰＮデータがカプセル化された、ルータＲＡ宛ての応答ＶＰＮパケットを送信する。ルータＲＢは、当該応答ＶＰＮパケットのＭＡＣヘッダを取り除き、当該応答ＶＰＮパケットに含まれているノードＢ宛ての（宛先ＩＰアドレスはノードＢのＩＰアドレス）ＩＰパケットを外部ネットワークへ送信する（ステップＳ１２）。

ノードＢ宛ての当該ＩＰパケットは、ルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付して、図１５に示すような応答ＶＰＮパケットを内部ネットワークへ送信する（ステップＳ１３）。そして、検出装置１に、図１５に示したような応答ＶＰＮパケットが送られる。

検出装置１のコネクション管理部１０１は、ルータＲＡから送信されてきたパケットに対し、遅延時間αだけ遅らせて内部ネットワーク側へ転送する（ステップＳ８´）。

なお、図９では、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとが、検出装置１を通過する場合には、ステップＳ８及びステップＳ８´において、遅延時間αの挿入を行っているが、いずれか一方のみに、遅延時間αを挿入するようにしてもよい。例えば、内部ネットワークから外部ネットワークへと向かうパケットに対しては、ステップＳ８において遅延時間αの挿入を行い、ルータＲＡから送信されてきたパケットに対しては、遅延時間αの挿入をおこなわず（ステップＳ８´をスキップして）、そのまま内部ネットワーク側へ転送するようにしてもよい。また、内部ネットワークから外部ネットワークへと向かうパケットに対しては、遅延時間αの挿入を行わず（ステップＳ８をスキップして）、そのまま外部ネットワークへ転送し、ルータＲＡから送信されてきたパケットに対しては、ステップＳ８´において遅延時間αの挿入を行い、内部ネットワークへ転送するようにしてもよい。

検出装置１を通過する、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとの両方に、遅延時間αの挿入を行う場合、挿入した遅延時間は全部で２αであり、いずれか一方のみに遅延時間αの挿入を行う場合、挿入した遅延時間は全部でαである。後述する判定処理では、前者の場合には、挿入した遅延時間２αと、計測された応答時間βとの間の相関を調べることになる。

ここでは、説明の簡単のために、検出装置１を通過する、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとのうちのいずれか一方のみに遅延時間αが挿入された場合（ステップＳ８及びステップＳ８´のいずれか一方において遅延時間αを挿入する場合）、すなわち、検出装置１により挿入された遅延時間が全部でαである場合を例にとり、以下説明を行う。

さて、図１５に示したＶＰＮパケットは、検出装置１を通過して、内部ネットワークへと転送され、ノードＢに受信される（ステップＳ１４）。

ノードＢは、受信した図１５に示したＶＰＮパケットに含まれるＬ２ＶＰＮデータから、宛先が検出装置１のＩＦ１のＭＡＣアドレスであり、送信元がノードＣのＭＡＣアドレスである、上記検出用パケットに対する応答パケット（図１６参照）を取り出し、この応答パケットを内部ネットワーク内へ送信する（ステップＳ１５）。

この応答パケットは、図８のステップＳ１６において、検出装置１のＩＦ１を介して判定パケット送受信部１０３で受信される。判定パケット送受信部１０３は、この応答パケットのＭＡＣヘッダ（図１６では、Ｄ３、Ｓ３）及びＩＰヘッダから、当該応答パケットが、テスト対象のノード（ここではノードＣ）からの応答パケットであるか否かを判定する。送信元が、ノードＣのＭＡＣアドレス、ノードＣの内部ネットワークＩＰアドレスである場合には、当該応答パケットは、テスト対象のノードＣからの応答パケットであると判定され、ステップＳ１７へ進む。

ステップＳ１７において、判定パケット送受信部１０３は、テスト対象のノードＣからの応答パケットの場合、当該応答パケットの受信時刻を記憶する。

次に、判定パケット送受信部１０３は、テスト対象のノードＣへ検出用パケットを送信した時刻（送信時刻）と、この検出用パケットに対する上記応答パケットを受信した時刻（受信時刻）との差、すなわち応答時間βを判定部１０２へ通知する（ステップＳ１８）。

判定部１０２は、判定パケット送受信部１０３から通知された応答時間βを、上記遅延時間αに対応付けて記憶する（ステップＳ１９）。

上記ステップＳ１〜ステップＳ１９までの処理を、予め指定された回数繰り返す（ステップＳ２０）。

上記ステップＳ１〜ステップＳ１９までの処理を、予め指定された回数繰り返した後、次に、ステップＳ２１ｂに進み、遅延時間αの値を変化させて、上記ステップＳ１〜ステップＳ１９までの処理を予め指定された回数繰り返す。値の異なる複数の（予め定められた数の）遅延時間αについて、その挿入を行い、βの値を測定する上記ステップＳ１〜ステップＳ１９までの処理を行った後（ステップＳ２１ａ）、判定部１０２は、ステップＳ２２へ進む。

ステップＳ２２において、判定部１０２は、コネクション管理部１０１に対し、検出装置１を通過するパケットへの遅延αの挿入の停止を指示するとともに、判定パケット送受信部１０３に対して、処理停止を指示する。

上記停止指示を受けて、コネクション管理部１０１は、図８に示した遅延挿入動作を停止する（ステップＳ２３）。

上記停止指示を受けて、判定パケット送受信部１０３は、図８に示した処理を停止する（ステップＳ２４）。

判定部１０１は、判定パケット送受信部１０３から通知された、複数の計測結果（遅延時間αと応答時間β）を基に、テスト対象のノードＣが、内部ネットワークとＶＰＮトンネル経由で接続されているか否かを判定する（ステップＳ２５）。

例えば、図１７に示すように、遅延時間αが「０．００」秒の場合に、指定回数計測されたβの平均値が「０．０１」秒であり、遅延時間αが「０．２０」秒の場合に、指定回数計測されたβの平均値が「０．２１」秒であり、遅延時間αが「０．２５」秒の場合に、指定回数計測されたβの平均値が「０．２６」秒であるとする。

この場合、遅延時間αが増加した分、βの値も増加し、βの値は、遅延時間αの変化に影響を受けているから、αとβとの相関が高いといえる。これは、検出装置１が検出用パケットを送信していからその応答パケットを受信するまでの応答時間βには、遅延時間αが挿入されていることを意味するから、この遅延時間αの挿入されたパケットは、内部ネットワークから外部ネットワークへ転送されたパケット、あるいは外部ネットワークから内部ネットワークへ転送されてきたパケットであり、テスト対象のノードＣは内部ネットワークとＶＰＮトンネル経由で接続されていることが検出される。

ちなみに、テスト対象のノードＣが、内部ネットワーク内に存在するのであれば、図１０に示すように、ステップＳ４で、判定パケット送受信部１０３が送信した検出用パケットは、そのまま、テスト対象のノードで受信され、その応答パケットが検出装置１のＩＦ１宛てに送信される。従って、この間に、遅延時間αが挿入されることはない。すなわち、検出用パケットは検出装置１及びルータＲＡを通過することはないから、検出装置１を通過するパケットに挿入する遅延時間αが変化しても、また、遅延時間を挿入しなくとも、検出用パケットを送信してから、テスト対象のノードからその応答パケットを受信するまでにかかる時間は変化することなく、ほぼ一定となる。あるいは、何らかの要因で一定とならず、逆相関を示す（たとえばα＝０のときβ＝０．１で、α＝０．２のときβ＝０．０１となる場合もある）。すなわち、ノードＣが内部ネットワーク内にあるのであれば、遅延時間αとβとの相関は低いといえる。

３．第２の検出方法：検出装置でパケットを破棄し検出を行う場合
この方法では、検出装置１が中継するパケット全てを破棄し、破棄した場合と破棄しない場合の、テスト対象のノードへの当該パケットの到達性を比較することで、テスト対象のノードが外部ネットワーク上のノードであり、ＶＰＮトンネル経由で内部ネットワークと接続しているか否かを検出する。

なお、ここでは、内部ネットワークから外部ネットワークへと向かうパケットと外部ネットワークから内部ネットワークへと向かうパケットとのうち、外部ネットワークから内部ネットワークへ向かうパケットがルータＲＡを介して検出装置１に入力したとき、検出装置１では、当該パケットを全て破棄する場合を例にとり説明する。

検出装置１（の判定部１０２）には、予めテスト対象のノード（ここでは、ノードＣ）のＭＡＣアドレス、ＩＰアドレスが与えられる。

以下、図１８を参照して、第２の検出方法について説明する。

まず、図１８において、判定部１０２は、コネクション管理部１０１に対し、検出装置１を通過するパケットの破棄の開始を指示する（ステップＳ１０１）。

コネクション管理部１０１は、外部ネットワーク側から入力した内部ネットワーク上のノード宛てのパケット、及び内部ネットワーク側から入力した外部ネットワーク上のノード宛てのパケットうちのいずれか一方あるいは両方を破棄するパケット破棄モードと、パケットの破棄を行わない通常モードとを有し、上記パケット破棄の開始指示を受けて、コネクション管理部１０１は、上記パケット破棄モードに切り替える。そして、パケットの破棄を開始したことを判定部１０２へ通知する（ステップＳ１０２）。以後、コネクション管理部１０１は、ステップＳ１１１で判定部１０２から処理停止の指示を受けるまで、ルータＲＡを通過するパケットの破棄を行う。

判定部１０２は、判定パケット送受信部１０３に対し、テスト対象のノード（例えば、ここでは、ノードＣ）のＭＡＣアドレスやＩＰアドレス（例えば、ノードＣの内部ネットワークＩＰアドレス）とともに、当該テスト対象のノードへの検出用パケットの送信を指示する（ステップＳ１０３）。

判定パケット送受信部１０３は、この指示を受けて、テスト対象のノードに対して、検出用パケットを送信する（ステップＳ１０４）。検出用パケットには、前述の第１の検出方法と同様、要求に対して応答が帰ってくるもの（例えばＩＣＭＰｅｃｈｏ（ＩＣＭＰエコー要求）やＡＲＰ、ＩＣＭＰｖ６ＮＤなど）を用いる。例えば、図１３に示したような検出用パケットを送信する。

テスト対象のノードがＶＰＮトンネルの先にある場合には、検出用パケットは、前述の第１の検出方法で説明したように、まず、ノードＢで受信される。ノードＢでは、検出用パケットをカプセル化し、図１４に示したような、当該検出用パケットを含む暗号化されたＬ２ＶＰＮデータを含むＶＰＮパケット（要求ＶＰＮパケット）を生成する。この要求ＶＰＮパケットは、ノードＢからルータＲＡ宛てに送信される。

ここでは、この要求ＶＰＮパケットは、検出装置１を通過して、そのままルータＲＡへ入力する。

ルータＲＡは、図１４に示した要求ＶＰＮパケットから、ＭＡＣヘッダ（図１４では、Ｄ２，Ｓ２）を取り除き、当該要求ＶＰＮパケットに含まれているＩＰパケットが外部ネットワークへ送信される。なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス（２０２．２４９．１０．１００）であり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介して（当該ＩＰパケットにＭＡＣヘッダが付加されるなどして）ノードＣに受信される。

ノードＣは、受信したパケットに含まれるＩＣＭＰエコー要求に対するＩＣＭＰエコー応答を含む検出装置２の「ＩＦ１」宛ての図１６に示すような応答パケットを含むＬ２ＶＰＮデータがカプセル化された応答ＶＰＮパケットを送信する。ルータＲＢは、当該応答ＶＰＮパケットのＭＡＣヘッダを取り除き、当該応答ＶＰＮパケットに含まれているノードＢ宛ての（宛先ＩＰアドレスはノードＢのＩＰアドレス）ＩＰパケットを外部ネットワークへ送信する。

ノードＢ宛ての当該ＩＰパケットは、ルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付した、図１５に示すような応答ＶＰＮパケットを検出装置１へ送信する。

検出装置１のコネクション管理部１０１では、ルータＲＡ側から入力された上記応答ＶＰＮパケットを破棄する（ステップＳ１０５）。従って、当該応答ＶＰＮパケットは、ノードＢには届かないから、判定パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような応答パケットを受信することはない（ステップＳ１０７）。

なお、判定パケット送受信部１０３は、応答パケットを送信してから上記一定時間の計測をするための計測手段を備えている。

一方、ノードＣが、内部ネットワーク上のノードである場合には、たとえ検出装置１のコネクション管理部１０１においてパケットの破棄を行ったとしても、判定パケット送受信部１０３から送信された検出用パケットは、検出装置１を通過することがないから、ノードＣへ届く。そして、当該検出用パケットを受信したノードＣは、図１６に示したような応答パケットを送信する。その結果、判定パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような上記応答パケットを受信する（ステップＳ１０７）。

判定パケット送受信部１０３は、上記一定時間経過後、あるいは上記一定時間の間にノードＣからの上記応答パケットを受信したとき、ステップＳ１０８へ進む。

ステップＳ１０８では、ノードＣからの応答パケットを受信したか否かを判定部１０２へ通知する。

この通知を受けて、判定部１０２は、通知された応答パケットの受信の有無を記憶する（ステップＳ１０９）。

上記ステップＳ１０１〜ステップＳ１０９までの処理により、コネクション管理部１０１でパケットの破棄を行う場合に、検出用パケットを送信してから一定時間内にノードＣからの応答パケットを受信するか否かを調べた後、次に、ステップＳ１１０からステップＳ１１１へ進み、コネクション管理部１０１でパケットの破棄を行わない場合に、ノードＣから応答パケットを受信するか否かを調べる。そのために、まず、ステップＳ１１１では、コネクション管理部１０１へパケット破棄の停止を指示する。この指示を受けて、コネクション管理部１０１がパケットの破棄を停止し、通常モードに切り替える。その後、判定部１０１は、ステップＳ１０３へ戻り、再び判定パケット送受信部１０３に対し、テスト対象のノードＣ宛ての検出用パケットの送信を指示する。

判定パケット送受信部１０３は、この指示を受けて、テスト対象のノードに対して、検出用パケットを送信する（ステップＳ１０４）。この場合、ノードＢからルータＲＡ宛てに送信される要求ＶＰＮパケットは、ルータＲＡを通過し、さらにルータＲＢを介してノードＣへ届く。ノードＣからの図１６に示す応答パケットを含む図１５に示すような応答ＶＰＮパケット、すなわち、宛先ＩＰアドレスがノードＢのＩＰアドレスであり、送信元ＩＰアドレスがノードＣのＩＰアドレス（２０２．２４９．１０．１００）のＩＰアドレスであるパケットは、ルータＲＡを通過して検出装置１に入力されても、コネクション管理部１０１により破棄されることなく、内部ネットワークへ転送される。

従って、図１６に示したような上記応答パケットが、ノードＢを介して、検出装置２へ送信される。その結果、応答パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような上記応答パケットを受信する（ステップＳ１０７）。

判定パケット送受信部１０３は、上記一定時間経過後、あるいは上記一定時間の間にノードＣからの上記応答パケットを受信したとき、ステップＳ１０８へ進む。

ステップＳ１０８では、ノードＣからの応答パケットを受信したか否かを判定部１０２へ通知する。

この通知を受けて、判定部１０２は、通知された応答パケットの受信の有無を記憶し（ステップＳ１０９）、今度は、ステップＳ１１３へ進み、判定パケット送受信部１０３に対して、処理停止を指示する。

上記停止指示を受けて、判定パケット送受信部１０３は、図１８に示した処理を停止する（ステップＳ１１４）。

判定部１０１は、判定パケット送受信部１０３から通知された、パケット破棄を行っている場合と、行っていない場合とにおける応答パケットの受信の有無を基に、テスト対象のノードＣが、内部ネットワークとＶＰＮトンネル経由で接続されているか否かを判定する（ステップＳ１１５）。

ステップＳ１１５では、コネクション管理部１０１でパケットの破棄を行っていない場合に、ノードＣからの応答パケットを受信するが、パケットの破棄を行っている場合に、ノードＣからの応答パケットを受信しないとき、テスト対象のノードＣは内部ネットワークとＶＰＮトンネル経由で接続されていることが検出される。また、コネクション管理部１０１でパケットの破棄を行っていない場合、及びパケットの破棄を行っている場合にも、ノードＣからの応答パケットを受信するとき、テスト対象のノードＣは内部ネットワーク内に存在し、ＶＰＮトンネル経由で接続されているノードではないことが検出される。

なお、上記説明では、内部ネットワークから外部ネットワークへと向かうパケットと外部ネットワークから内部ネットワークへと向かうパケットとのうち、外部ネットワークから内部ネットワークへ向かうパケットがルータＲＡを介して検出装置１に入力したとき、検出装置１では、当該パケットを全て破棄する場合を例にとり説明したが、この場合に限るものではない。例えば、内部ネットワークから外部ネットワークへと向かうパケットと外部ネットワークから内部ネットワークへと向かうパケットとのうち、内部ネットワークから外部ネットワークへ向かうパケットが検出装置１を通過するとき、検出装置１では、当該パケットを破棄するようにしてもよいし、内部ネットワークから外部ネットワークへと向かうパケットと外部ネットワークから内部ネットワークへと向かうパケットが検出装置１へ通過する場合には、それら全てを破棄するようにしてもよい。いずれの場合において、図１８に示した手順に従って、上記同様の効果が得られる。

４．第３の検出方法：検出装置でコネクション毎に配送遅延を挿入して検出する場合
この方法では、検出装置１が中継するパケットのうち、パケットの種類毎に（例えば、テスト対象のパケットとして選択されたパケットに）遅延を挿入し、挿入した遅延とテスト対象のノードへ応答を要求するパケット（検出用パケット）を送信してから、その応答パケットが反ってくるまでに要する時間（応答時間）との相関をみることで、テスト対象のノードが外部ネットワーク上のノードであり、ＶＰＮトンネル経由で内部ネットワークと接続しているか否かを検出する。そして、これが検出できた場合、その際に遅延を挿入したパケットがテスト対象のノードとの間のＶＰＮパケットであると判定できる。

ここで、ＭＡＣアドレスやＩＰアドレス、ＩＰｖ４、ＩＰｖ６、ＴＣＰ、ＵＤＰ等の通信プロトコル、ＴＣＰやＵＤＰのポート番号などの属性情報から識別されるパケットを「コネクション」と呼んでいる。たとえば、送信元ＩＰアドレス「Ａ」、宛先ＩＰアドレス「Ｂ」、送信元ＴＣＰポート番号「Ｃ」、宛先ＴＣＰポート番号「Ｄ」という属性情報を持つパケットを１つのコネクションと呼ぶことにする。

まず、検出装置１が、ＶＰＮ経由で接続されているノードと、ＶＰＮ通信のパケットとを検出するための検出処理の前処理として行う、ルータＲＡを通過する各パケットを識別するための属性情報を得るためのコネクション監視処理動作について説明する。

（１）コネクション監視処理
以下、図１９に示すシーケンス図を参照して、コネクション監視動作について説明する。ここでは、検出装置１には、予めテスト対象のノード（ここでは、ノードＣ）のＭＡＣアドレス、ＩＰアドレスが与えられる。

まず、判定部１０２は、コネクション管理部１０１に対し、コネクション監視開始を指示する（ステップＳ２０１）。

コネクション管理部１０１は、コネクション監視開始の指示を受けて、コネクション監視を開始し、その旨を判定部１０２へ通知する（ステップＳ２０２）。

判定部１０２は、判定パケット送受信部１０３に対し、テスト対象のノード宛ての検出用パケットの送信を指示する（ステップＳ２０３）。

判定パケット送受信部１０３は、テスト対象のノードに対して、検出用パケットを送信する（ステップＳ２０４）。検出用パケットには、前述同様、要求に対して応答が帰ってくるもの（例えばＩＣＭＰｅｃｈｏやＡＲＰ、ＩＣＭＰｖ６ＮＤ）を用いる。例えば、図１３に示したような検出用パケットを送信する。

テスト対象のノードがＶＰＮトンネルの先にある場合には、検出用パケットは、ノードＢで受信される。ノードＢでは、検出用パケットをカプセル化し、図１４に示すような当該検出用パケットを含む暗号化されたＬ２ＶＰＮデータを含むＶＰＮパケット（要求ＶＰＮパケット）を生成する。この要求ＶＰＮパケットは、ノードＢからルータＲＡ宛てに送信される（ステップＳ２０５）。

上記要求ＶＰＮパケットは、まず、検出装置１に届く。検出装置１に届いた、上記要求ＶＰＮパケットは、コネクション管理部１０１を通過する。このとき、コネクション管理部１０１は、当該要求ＶＰＮパケットから、当該パケットに関する情報（パケット属性情報）を取り出し、これに、当該ＶＰＮパケット及びそのパケット属性情報を識別するためのパケット識別情報を付与して、予め備えているテーブル（コネクション管理テーブル）に記憶する（ステップＳ２０６）。

パケット属性情報は、当該ＶＰＮパケットの宛先ＭＡＣアドレス（図１４ではＤ２）、送信元ＭＡＣアドレス（図１４ではＳ２）、ＩＰヘッダに含まれる宛先ＩＰアドレス（図１４ではノードＣのＩＰアドレス「２０２．２４９．１０．１００」（ＤＩＰ２）、送信元ＩＰアドレス（図１４ではノードＢのＩＰアドレスＳＩＰ２）、当該ＶＰＮパケットのリンク層ヘッダあるいはＩＰヘッダに含まれプロトコル番号、当該ＶＰＮパケットのＴＣＰヘッダあるいはＵＤＰヘッダに含まれる宛先ポート番号（図１４ではＤＰｏｒｔ２）、送信元ポート番号（図１４ではＳＰｏｒｔ２）などを含む。

例えば、図１４に示したＶＰＮパケットに対し、パケット識別情報として「ＩＤ３」が付与され、当該ＶＰＮパケットから得たパケット属性情報と、パケット識別情報「ＩＤ３」とを対応付けて、図２０に示すように、コネクション管理テーブルに記憶される。

コネクション管理部１０１を通過した当該要求ＶＰＮパケットは、ルータＲＡで受信される。ここで、ＭＡＣヘッダ（図１４では宛先及び送信元ＭＡＣアドレスＤ２、Ｓ２）を取り除き、当該ＶＰＮパケットに含まれているＩＰパケットが外部ネットワークへ送信される（ステップＳ２０７）。なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス「２０２．２４９．１０．１００」のＩＰアドレスであり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介してノードＣに受信される。

ノードＣは、検出装置１宛てのＩＣＭＰエコー応答を含むＬ２ＶＰＮデータがカプセル化された、ルータＲＡ宛てのＶＰＮパケットを送信する。ルータＲＢは、当該ＶＰＮパケットのＭＡＣヘッダを取り除き、当該ＶＰＮパケットに含まれているノードＢ宛てのＩＰパケットを外部ネットワークへ送信する（ステップＳ２０８）。

当該ＩＰパケットは、ルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付して、図１５に示すようなＶＰＮパケットを内部ネットワークへ送信する（ステップＳ２０９）。そして、検出装置１に、図１５に示したようなＶＰＮパケットが送られる。

検出装置１に届いた、図１５に示したようなＶＰＮパケットは、コネクション管理部１０１を通過する。このとき、コネクション管理部１０１は、前述のステップＳ２０６と同様、当該ＶＰＮパケットから、当該パケットに関する情報（パケット属性情報）を取り出し、これを、当該ＶＰＮパケット及び当該パケット属性情報を識別するためのパケット識別情報を付与して、予め備えているテーブル（コネクション管理テーブル）に記憶する（ステップＳ２１０）。

例えば、図１５に示したＶＰＮパケットに対し、パケット識別情報として「ＩＤ４」が付与され、当該ＶＰＮパケットから得たパケット属性情報と、パケット識別情報「ＩＤ４」とを対応付けて、図２０に示すように、コネクション管理テーブルに記憶される。

図１５に示したＶＰＮパケットは、コネクション管理部１０１を通過して、ノードＢで受信される（ステップＳ２１１）。

ノードＢは、受信した図１５に示したＶＰＮパケットに含まれるＬ２ＶＰＮデータから、宛先が検出装置１のＩＦ１のＭＡＣアドレスであり、送信元がノードＣのＭＡＣアドレスである、上記検出用パケットに対する応答パケット（図１６参照）を取り出し、この応答パケットを内部ネットワーク内へ送信する（ステップＳ２１２）。この応答パケットは、検出装置１のＩＦ１を介して判定パケット送受信部１０３で受信される。

以上のようにして、検出装置１は、ルータＲＡを通過する各パケットの属性情報を収集することができる。

上記動作は、あるノード宛ての１つの検出用パケットについての動作の流れを示したが、判定パケット送受信部１０３は、一定時間内に、複数のノード宛ての複数の検出用パケットを送信し、上記同様の動作を行う。

コネクション管理部１０１は、この一定時間内にルータＲＡを通過したパケットにつて、その属性情報及び識別情報をコネクション管理テーブルに記憶する。

判定部１０２は、上記一定時間を計測し、この一定時間が経過すると、判定用パケット送受信部１０３へ、検出用パケット送信の停止要求を出す（ステップＳ２１３）。さらに、コネクション管理部１０１へ、コネクション監視停止指示を出す（ステップＳ２１４）。

コネクション管理部１０１は、このコネクション監視停止指示を受けて、それまでにコネクション管理テーブルに記憶された情報を判定部１０２へ通知する（ステップＳ２１５）。

判定部１０２は、この通知を受けて、図２０に示したようなコネクション管理テーブルを記憶する。

なお、この段階では、検出装置１は、ルータＲＡを通過する各パケットの属性情報を認識したのみで、例えば、パケット識別情報「ＩＤ３」のパケットが、ＶＰＮ通信のパケットであることも、ノードＣがＶＰＮ経由で接続されていることも検出されてはいない。

なお、図１９では、テスト対象のノード（ここでは、ノードＣ）に対し、検出用パケットを送信するようになっているが、必ずしも、検出用パケットを送信する必要はない。すなわち、コネクション管理部１０１は、判定部１０２からコネクション監視開始指示を受けて、上記一定時間内に検出装置１を通過する各パケット（外部ネットワークから内部ネットワークへ向かうパケット、内部ネットワークから外部ネットワークへ向かうパケット）の上記パケット属性情報を取得するようにしてもよい。

（２）検出処理
次に、検出装置１において、図２０に示したコネクション管理テーブルを用いて、ＶＰＮ経由で接続されているノードと、ＶＰＮ通信のパケットとを検出するための検出方法について説明する。

以下、図２１に示すフローチャートと、図２２に示すシーケンス図と、図１１及び図１２に示すネットワーク内のデータの流れを示す図を参照して検出方法について説明する。

なお、図２１において、図８と同様のステップには同一符号を付し、図２２において、図９と同様のステップには同一符号を付している。

まず、検出装置１には、予めテスト対象のノード（ここでは、ノードＣ）のＭＡＣアドレス、ＩＰアドレスが与えられる。また、図２０に示したコネクション管理テーブルに記憶されているパケット識別情報のうち、テスト対象とすべきパケットのパケット識別情報あるいはパケット属性情報が、ユーザにより指定される。例えば、ここでは、図２０に示したコネクション管理テーブル上のパケット識別情報のうち、パケット属性情報に含まれるプロトコル番号が「６」であるもの、すなわち、パケット識別情報「ＩＤ１」〜「ＩＤ４」が指定されたとする。

次に、図２１において、判定部１０２は、指定されたパケット識別情報「ＩＤ１」〜「ＩＤ４」のうちの１つのパケット識別情報を選択して、この選択されたパケット識別情報のパケットをテスト対象のパケットとする。そして、判定部１０２は、このテスト対象のパケットのパケット識別情報（あるいは、当該パケット識別情報と、当該パケット識別情報に対応付けられているパケット属性情報）と、当該テスト対象のパケットが検出装置１を通過するときに挿入する遅延時間α（αは可変の値）とを、コネクション管理部１０１に対し通知し、遅延挿入の開始を指示する（ステップＳ１）。

ここでは、例えば、パケット識別情報「ＩＤ４」のパケットが選択され、このパケット識別情報「ＩＤ４」のパケットをテスト対象のパケットとする場合を例にとり説明する。

なお、パケット識別情報「ＩＤ４」のパケットは、宛先ＩＰアドレスが検出装置１のＩＦ１のＩＰアドレスであり、送信元ＩＰアドレスはノードＣの内部ネットワークＩＰアドレスである。

また、検出装置１には、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとが通過するが、ここでは、内部ネットワークから外部ネットワークへと向かうパケットに対しては、遅延時間αの挿入を行わず、そのまま外部ネットワークへ転送し、ルータＲＡから送信されてきたパケットに対しては、遅延時間αの挿入を行い、内部ネットワークへ転送する場合を例にとり説明する。この場合、要求パケットを送信してからその応答パケットを受信するまでの応答時間に（検出装置１で）挿入される遅延時間は全部でαであり、このαとβとの間の相関を調べることとなる。

しかし、この場合に限るものではなく、前述の第１の検出方法と同様、内部ネットワークから外部ネットワークへと向かうパケットに対しては、遅延時間αの挿入を行い、ルータＲＡから送信されてきたパケットに対しては、遅延時間αの挿入をおこなわず、そのまま内部ネットワーク側へ転送するようにしてもよい。この場合も、要求パケットを送信してからその応答パケットを受信するまでの応答時間に（検出装置１で）挿入される遅延時間は全部でαであり、このαとβとの間の相関を調べることとなる。さらに、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとが、検出装置１を通過する場合には、その両者に対し、遅延時間αの挿入を行ってもよい。この場合には、要求パケットを送信してからその応答パケットを受信するまでの応答時間に（検出装置１で）挿入される遅延時間は全部で２αであり、この２αとβとの間の相関を調べることとなる。

コネクション管理部１０１は、遅延挿入を開始したことを判定部１０２へ通知する（ステップＳ２）。

判定部１０２は、判定パケット送受信部１０３に対し、テスト対象のノード（ここでは、ノードＣ）のＭＡＣアドレスやＩＰアドレス（例えば、ノードＣの内部ネットワークＩＰアドレス）とともに、当該テスト対象のノードへの検出用パケットの送信を指示する（ステップＳ３）。

判定パケット送受信部１０３は、この指示を受けて、テスト対象のノードに対して、検出用パケットを送信する（ステップＳ４）。検出用パケットには、要求に対して応答が帰ってくるもの（例えばＩＣＭＰｅｃｈｏ（ＩＣＭＰエコー要求）やＡＲＰ、ＩＣＭＰｖ６ＮＤ）を用いる。

図２３は、検出用パケット（フレーム）の一例を示したもので、ここでは、ノードＣの内部ネットワークＩＰアドレスに対するＭＡＣアドレスを問い合わせるためのＡＲＰ要求を含む検出用パケットを示している。この検出用パケットの宛先アドレスＤ１は、内部ネットワーク内におけるブロードキャストＭＡＣアドレスであり、送信元アドレスＳ１は、検出装置１のＩＦ１のＭＡＣアドレスである。

判定パケット送受信部１０３は、テスト対象のノードへの検出用パケットへ送信すると、当該検出用パケットの送信時刻を記憶する（ステップＳ５）。

テスト対象のノードがＶＰＮトンネルの先にある場合には、検出用パケットは、図２２に示すように、まず、ノードＢで受信される。

図２２のステップＳ６において、ノードＢでは、検出用パケットをカプセル化し、図２４に示すような当該検出用パケットを含む暗号化されたＬ２ＶＰＮデータを含むＶＰＮパケット（要求ＶＰＮパケット）を生成する。この要求ＶＰＮパケットは、ノードＢからルータＲＡ宛てに送信される。

この要求ＶＰＮパケットは、まず、検出装置１を通過するが、この要求ＶＰＮパケットは内部ネットワークから入力したものであるから、遅延時間αを挿入することなく、図２２に示すように、そのままルータＲＡ側へ転送する（ステップＳ１０）。

ルータＲＡは、受信した当該要求ＶＰＮパケットから、ＭＡＣヘッダ（図２４では宛先及び送信元ＭＡＣアドレスＤ２、Ｓ２）を取り除き、当該要求ＶＰＮパケットに含まれているＩＰパケットが外部ネットワークへ送信される（ステップＳ１１）。なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス「２０２．２４９．１０．１００」のＩＰアドレスであり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介して（当該ＩＰパケットにＭＡＣヘッダが付加されるなどして）ノードＣに受信される。

ノードＣは、受信したパケットに含まれるＡＲＰ要求に対し、当該ノードＣのＭＡＣアドレスを返すための検出装置１の「ＩＦ１」宛ての図２５に示すような応答パケットを含むＬ２ＶＰＮデータがカプセル化された、ルータＲＡ宛ての応答ＶＰＮパケットを送信する。ルータＲＢは、当該応答ＶＰＮパケットのＭＡＣヘッダを取り除き、当該応答ＶＰＮパケットに含まれているノードＢ宛ての（宛先ＩＰアドレスはノードＢのＩＰアドレス）ＩＰパケットを外部ネットワークへ送信する（ステップＳ１２）。

ノードＢ宛ての当該ＩＰパケットは、ルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付して、図２６に示すような応答ＶＰＮパケットを内部ネットワークへ送信する（ステップＳ１３）。そして、検出装置１に、図２６に示したような応答ＶＰＮパケットが送られる。

検出装置１のコネクション管理部１０１は、ルータＲＡから送信されてきたパケットのプロトコル番号、ＩＰヘッダ内の宛先ＩＰアドレス（図２６の場合、ＤＩＰ３）及び送信元ＩＰアドレス（図２６の場合、ＳＩＰ３）などのパケット属性情報を調べ、これらが、ステップＳ１で判定部１０１から通知されたテスト対象のパケット属性情報と一致する場合には、当該パケットはテスト対象のパケットであると判定し（ステップＳ７）、当該パケットに対し、遅延時間αだけ遅らせて内部ネットワーク側へ転送する（ステップＳ８）。

コネクション管理部１０１は、ルータＲＡから送信されてきたパケットのプロトコル番号、あるいは、当該パケットのパケット属性情報が、ステップＳ１で判定部１０１から通知されたテスト対象のプロトコル番号やパケット属性情報とは異なる場合には、当該パケットはテスト対象のパケットではないと判定し（ステップＳ７）、ステップＳ９ヘ進み、当該パケットに、遅延時間αを挿入することなく、そのまま内部ネットワーク側へ転送する。

さて、図２６に示したＶＰＮパケットは、検出装置１を通過して、内部ネットワークへと転送され、ノードＢに受信される（ステップＳ１４）。

ノードＢは、受信した図２６に示したＶＰＮパケットに含まれるＬ２ＶＰＮデータから、宛先が検出装置１のＩＦ１のＭＡＣアドレスであり、送信元がノードＣのＭＡＣアドレスである、上記検出用パケットに対する応答パケット（図２５参照）を取り出し、この応答パケットを内部ネットワーク内へ送信する（ステップＳ１５）。

この応答パケットは、図２１のステップＳ１６において、検出装置１のＩＦ１を介して判定パケット送受信部１０３で受信される。判定パケット送受信部１０３は、この応答パケットのＭＡＣヘッダ（図２５では、Ｄ３、Ｓ３）及びＩＰヘッダから、当該応答パケットが、テスト対象のノード（ここではノードＣ）からの応答パケットであるか否かを判定する。送信元がノードＣのＭＡＣアドレス、ノードＣの内部ネットワークＩＰアドレスである場合には、当該応答パケットは、テスト対象のノードＣからの応答パケットであると判定され、ステップＳ１７へ進む。

ステップＳ１７において、判定パケット送受信部１０３は、テスト対象のノードＣからの応答パケットの場合、当該応答パケットの受信時刻を記憶する。

次に、判定パケット送受信部１０３は、テスト対象のノードＣへ検出用パケットを送信した時刻（送信時刻）と、この検出用パケットに対する上記応答パケットを受信した時刻（受信時刻）との差βを判定部１０２へ通知する（ステップＳ１８）。

判定部１０２は、判定パケット送受信部１０３から通知された時間βを、上記遅延時間αに対応付けて記憶する（ステップＳ１９）。

１つのテスト対象のパケット「ＩＤ４」に対し遅延時間α（これを１番目の遅延時間という意味でα_１と表す）を挿入した場合の上記ステップＳ１〜ステップＳ１９までの処理を、予め指定された回数繰り返す（ステップＳ２０）。

上記ステップＳ１〜ステップＳ１９までの処理を、予め指定された回数繰り返した後、次に、ステップＳ２１ｂに進み、同じテスト対象のパケット「ＩＤ４」に対し、今度は遅延時間αの値を変更して（これを２番目の遅延時間という意味でα_２と表す）、上記ステップＳ１〜ステップＳ１９までの処理を予め指定された回数繰り返す。同じテスト対象のパケット「ＩＤ４」に対し、長さの異なる複数の（予め定められた数の）遅延時間α（α１、α２、…）の挿入を行い、応答時間βの値を測定する上記ステップＳ１〜ステップＳ１９までの処理を行う。その後、判定部１０２は、ステップＳ２１ｂにおいて、テスト対象のパケットを変えて、（例えば、指定されたプロトコル番号「６」のパケット識別情報のうち、未選択のパケット識別情報を選択して）、当該選択されたパケット識別情報のパケットを新たなテスト対象とし、複数の遅延時間α（α１、α２、…）のそれぞれについて、βの値を測定する上記ステップＳ１〜ステップＳ１９までの処理を、予め指定された回数繰り返す。

指定された全てのパケット識別情報のパケットについて、上記処理を終了したら（ステップＳ２１ａ）、今度は、ステップＳ２２へ進む。

ステップＳ２２において、判定部１０２は、コネクション管理部１０１に対し、検出装置１を通過するパケットへの遅延αの挿入の停止を指示するとともに、判定パケット送受信部１０３に対して、処理停止を指示する。

上記停止指示を受けて、コネクション管理部１０１は、図２１に示した遅延挿入動作を停止する（ステップＳ２３）。

上記停止指示を受けて、判定パケット送受信部１０３は、図２１に示した処理を停止する（ステップＳ２４）。

判定部１０１は、判定パケット送受信部１０３から通知された、複数の計測結果（遅延時間αと、計測された応答時間β）を基に、テスト対象のノードＣが、内部ネットワークとＶＰＮトンネル経由で接続されているか否かを判定する（ステップＳ２５）。

テスト対象のノードがノードＣであり、パケット識別情報「ＩＤ１」〜「ＩＤ４」がテスト対象のパケットであるとき、判定部１０２は、図２７に示すように、各テスト対象のパケットに対し挿入する遅延時間αを「０」と「０．２０」とし、そのそれぞれの場合について、検出用パケットを１０回ずつ送信して、遅延時間αと、検出用パケットを送信してからその応答パケットを受信するまでに要する時間βとの間の相関を調べたとする。

その結果、図２８に示すような結果が得られたとする。図２８に示すように、判定部１０２では、テスト対象の各パケットについて、遅延時間αが「０」秒の場合と「０．２０」秒の場合に、検出用パケットを１０回ずつ送信したときに得られた応答時間βの値の平均値を計算する。

図２８に示したように、パケット識別情報が「ＩＤ１」「ＩＤ２」の場合、検出装置１を通過した際に当該パケットに挿入する遅延時間αが変化しても、検出用パケットを送信してから、その応答パケットを受信するまでにかかる時間（応答時間）β（βの平均値）は変化することなく、ほぼ一定となる。すなわち、遅延時間αとβとの相関は低い。

これに対し、パケット識別情報が「ＩＤ３」「ＩＤ４」の場合、検出装置１を通過した際に当該パケットに挿入する遅延時間αが変化すると、その変化に応じてβの平均値も変化し、βの値は、遅延時間αの変化に影響を受けているから、αとβとの相関が高いといえる。

αとβの相関が高いということは、検出装置１が検出用パケットを送信してからその応答パケットを受信するまでに要する時間（応答時間）には、検出装置１を通過するときに挿入される遅延時間αが含まれていることであり、パケット識別情報が「ＩＤ３」「ＩＤ４」であるパケットは、検出装置１及びルータＲＡをして介して、内部ネットワークと外部ネットワークとの間で送受信されているパケット、すなわち、ＶＰＮ通信のパケットである、ということである。そして、上記パケット識別情報が「ＩＤ３」「ＩＤ４」であるパケットへ挿入した遅延時間αと、テスト対象のノードＣに対し検出用パケットを送信した場合に、その応答パケットを受信するまでに要する時間βとの相関が高いので、テスト対象のノードＣは、内部ネットワークとＶＰＮトンネル経由で接続されていると判定される。

すなわち、この場合、ノードＣは内部ネットワークとＶＰＮトンネル経由で接続されているノードであること、パケット識別情報が「ＩＤ３」「ＩＤ４」であるパケットはＶＰＮ通信のパケットであることが検出される。

なお、上記第３の検出方法では、コネクション監視処理を行った後に、予め絞り込んだパケット（例えば、ここでは、プロトコル番号「６」のパケット）をテスト対象とする検出処理を行ったが、上記コネクション監視処理を行わず、検出処理にて、コネクション管理部１０１を通過する全てのパケットあるいは一部のパケット（例えば、ＴＣＰのパケット、ＵＤＰのパケット、エントロピーの高いパケットなど）に遅延を挿入する検出処理を行ってもよい。この場合、ＶＰＮ通信のパケットそのものを検出することは困難であるが、テスト対象のノードがＶＰＮ経由で接続されているか否かは、上記同様に検出可能である。

５．第４の検出方法：検出装置で、コネクション毎にパケットを破棄して検出する場合
この方法では、検出装置１が中継するパケットのうち、予め指定及び選択された種類のパケットを破棄した場合と破棄しなかった場合とで、テスト対象のノードへの当該パケットの到達性を比較することで、テスト対象のノードが外部ネットワーク上のノードであり、ＶＰＮトンネル経由で内部ネットワークと接続しているか否かを検出する。そして、これが検出できた場合、その際に破棄したパケットのなかにテスト対象との間のＶＰＮパケットが含まれていると判定できる。

ここで、ＭＡＣアドレスやＩＰアドレス、ＩＰｖ４、ＩＰｖ６、ＴＣＰ、ＵＤＰ等の通信プロトコル、ＴＣＰやＵＤＰのポート番号などの属性情報から識別されるパケットを「コネクション」と呼んでいる。たとえば、送信元ＩＰアドレス「Ａ」、宛先ＩＰアドレス「Ｂ」、送信元ＴＣＰポート番号「Ｃ」、宛先ＴＣＰポート番号「Ｄ」という属性情報を持つパケットを１つのコネクションと呼ぶことにする。

まず、検出装置１が、ＶＰＮ経由で接続されているノードと、ＶＰＮ通信のパケットとを検出するための検出処理の前処理として行う、ルータＲＡを通過する各パケットを識別するための属性情報を得るためのコネクション監視処理動作を、前述の第３の検出方法の場合と同様にして行う。

次に、コネクション監視処理で得られた、図２０に示すようなコネクション管理テーブルを用いて、ＶＰＮ経由で接続されているノードと、ＶＰＮ通信のパケットとを検出するための検出方法について、図２９に示すフローチャートを参照して説明する。

なお、図２９において、図１８と同様のステップには同一符号を付している。

まず、検出装置１には、予めテスト対象のノード（ここでは、ノードＣ）のＭＡＣアドレス、ＩＰアドレスが与えられる。また、図２０に示したコネクション管理テーブルに記憶されているパケットのうち、テスト対象とすべきパケットのパケット識別情報あるいはパケット属性情報が、ユーザにより指定される。例えば、ここでは、図２０に示したコネクション管理テーブル上のパケット識別情報のうち、パケット属性情報に含まれるプロトコル番号が「６」であるもの、すなわち、パケット識別情報「ＩＤ１」〜「ＩＤ４」が指定されたとする。

次に、図２９において、判定部１０２は、指定されたパケット識別情報「ＩＤ１」〜「ＩＤ４」のうちの１つのパケット識別情報を選択して、この選択されたパケット識別情報のパケットをテスト対象のパケットとする。そして、判定部１０２は、コネクション管理部１０１に対し、このテスト対象のパケットのパケット識別情報（あるいは、当該パケット識別情報と、当該パケット識別情報に対応付けられているパケット属性情報）と、当該テスト対象のパケットが検出装置１を通過するときに当該テスト対象のパケットの破棄を指示する（ステップＳ１０１）。

ここでは、例えば、パケット識別情報「ＩＤ４」のパケットが選択され、このパケット識別情報「ＩＤ４」のパケットをテスト対象のパケットとする場合を例にとり説明する。

なお、パケット識別情報「ＩＤ４」のパケットは、宛先ＩＰアドレスがノードＢのＩＦ１のＩＰアドレスであり、送信元ＩＰアドレスはノードＣのＩＰアドレス「２０２．２４９．１０．１００」である。従って、このテスト対象のパケットは、外部ネットワークからルータＲＡを介して検出装置１を通過する。

コネクション管理部１０１は、判定部１０２から、パケット識別情報「ＩＤ４」のパケットの破棄の指示を受け、当該パケットが通過したら、これを破棄する準備ができたこと、すなわち、パケット破棄を開始したことを判定部１０２へ通知する（ステップＳ１０２）。

判定部１０２は、判定パケット送受信部１０３に対し、テスト対象のノード（例えば、ここでは、ノードＣ）のＭＡＣアドレスやＩＰアドレス（例えば、ノードＣの内部ネットワークＩＰアドレス）とともに、当該テスト対象のノードへの検出用パケットの送信を指示する（ステップＳ１０３）。

判定パケット送受信部１０３は、この指示を受けて、テスト対象のノードに対して、検出用パケットを送信する（ステップＳ１０４）。検出用パケットには、前述の第１の検出方法と同様、要求に対して応答が帰ってくるもの（例えばＩＣＭＰｅｃｈｏ（ＩＣＭＰエコー要求）やＡＲＰ、ＩＣＭＰｖ６ＮＤ）を用いる。例えば、図１３に示したような検出用パケットを送信する。

テスト対象のノードがＶＰＮトンネルの先にある場合には、検出用パケットは、前述の第１の検出方法で説明したように、まず、ノードＢで受信される。ノードＢでは、検出用パケットをカプセル化し、図１４に示したような、当該検出用パケットを含む暗号化されたＬ２ＶＰＮデータを含むＶＰＮパケット（要求ＶＰＮパケット）を生成する。この要求ＶＰＮパケットは、ノードＢからルータＲＡ宛てに送信される。上記要求ＶＰＮパケットが検出装置１を通過する。

コネクション管理部１０１は、内部ネットワーク側から入力したパケット及びルータＲＡ側から入力したパケットのプロトコル番号、ＩＰヘッダ内の宛先ＩＰアドレス（図１４の場合ＤＩＰ２、図１５の場合ＤＩＰ３）及び送信元ＩＰアドレス（図１４の場合ＳＩＰ２、図１５の場合ＳＩＰ３）などのパケット属性情報を調べ、当該属性情報が、ステップＳ１０１で判定部１０１から通知されたテスト対象のパケットの属性情報と一致する場合には、当該パケットをテスト対象のパケットであると判定し、当該パケットを破棄する（ステップＳ１０５）。テスト対象のパケット以外のパケットは、そのまま通過させる。

なお、ノードＢから送信された図１４に示した要求ＶＰＮパケットは、今回テスト対象のパケットの属性情報とは異なるため、当該要求ＶＰＮパケットは、ルータＲＡにおいて、ＭＡＣヘッダ（図１４では、Ｄ２，Ｓ２）が取り除かれ、当該要求ＶＰＮパケットに含まれているＩＰパケットが外部ネットワークへ送信される。なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス「２０２．２４９．１０．１００」であり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介して（当該ＩＰパケットにＭＡＣヘッダが付加されるなどして）ノードＣに受信される。

ノードＣは、受信したパケットに含まれるＩＣＭＰエコー要求に対するＩＣＭＰエコー応答を含む検出装置２の「ＩＦ１」宛ての図１６に示すような応答パケットを含むＬ２ＶＰＮデータがカプセル化された応答ＶＰＮパケットを送信する。ルータＲＢは、当該応答ＶＰＮパケットのＭＡＣヘッダを取り除き、当該応答ＶＰＮパケットに含まれているノードＢ宛ての（宛先ＩＰアドレスはノードＢのＩＰアドレス）ＩＰパケットを外部ネットワークへ送信する。

ノードＢ宛ての当該ＩＰパケットは、ルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付した、図１５に示すような応答ＶＰＮパケットをコネクション管理部１０１へ出力する。

図１５に示した応答ＶＰＮパケットは、今回テスト対象のパケット識別情報「ＩＤ４」のパケットである。

従って、図１５に示した（パケット識別情報「ＩＤ４」の）パケットがルータＲＡを介して、検出装置１へ入力した場合には、当該パケットのもつ上記属性情報は、今回テスト対象のパケットの属性情報と一致するため、コネクション管理部１０１は、当該テスト対象のパケットを破棄する（ステップＳ１０５）。そのため、テスト対象のノードＣからノードＢへの図１５に示すような応答ＶＰＮパケットは、ノードＢには届かない。その結果、判定パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような上記応答パケットを受信することはない（ステップＳ１０７）。

一方、上記テスト対象のパケット以外のパケットは、破棄されずに検出装置１を通過する。従って、テスト対象のパケットが、テスト対象のノードＣが受信すべき検出用パケットを含む要求ＶＰＮパケットあるいは、ノードＣから上記応答パケットを含む応答ＶＰＮパケットでない場合には、コネクション管理部１０１において破棄されることはないので、判定パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような上記応答パケットを受信する（ステップＳ１０７）。

さらに、テスト対象のノードＣが内部ネットワーク上のノードである場合には、たとえ検出装置１のコネクション管理部１０１において、検出装置１を通過するパケットを破棄したとしても、判定パケット送受信部１０３から送信された検出用パケットは、検出装置１を通過することはないので、ノードＣへ届く。そして、当該検出用パケットを受信したノードＣは、図１６に示したような応答パケットを送信する。その結果、判定パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような上記応答パケットを受信する（ステップＳ１０７）。

判定パケット送受信部１０３は、上記一定時間経過後、あるいは上記一定時間の間にノードＣからの上記応答パケットを受信したとき、ステップＳ１０８へ進む。

ステップＳ１０８では、ノードＣからの応答パケットを受信したか否かを判定部１０２へ通知する。

この通知を受けて、判定部１０２は、通知された応答パケットの受信の有無を記憶する（ステップＳ１０９）。

上記ステップＳ１０１〜ステップＳ１０９までの処理により、コネクション管理部１０１で、パケット識別情報「ＩＤ４」に対応付けられている属性情報をもつテスト対象のパケットの破棄を行う場合に、検出用パケットを送信してから一定時間内にノードＣからの応答パケットを受信するか否かを調べた後、次に、ステップＳ１１０からステップＳ１１１へ進み、コネクション管理部１０１で、当該テスト対象のパケットの破棄を行わない場合に、ノードＣから応答パケットを受信するか否かを調べる。そのために、まず、ステップＳ１１１では、コネクション管理部１０１へパケット破棄の停止を指示する。この指示を受けて、コネクション管理部１０１がパケットの破棄を停止する。その後、判定部１０１は、ステップＳ１０３へ戻り、再び判定パケット送受信部１０３に対し、テスト対象のノードＣ宛ての検出用パケットの送信を指示する。

判定パケット送受信部１０３は、この指示を受けて、テスト対象のノードＣに対して、検出用パケットを送信する（ステップＳ１０４）。この場合、ノードＢからルータＲＡ宛てに送信される要求ＶＰＮパケットは、検出装置１を通過し、ルータＲＢを介してノードＣへ届く、ノードＣからの図１６に示す応答パケットを含む図１５に示すような応答ＶＰＮパケット、すなわち、宛先ＩＰアドレスがノードＢのＩＰアドレスであり、送信元ＩＰアドレスがノードＣのＩＰアドレス「２０２．２４９．１０．１００」である、テスト対象の「ＩＤ４」のＶＰＮパケットは、コネクション管理部１０１により破棄されることなく、検出装置１を通過する。従って、図１６に示したような上記応答パケットが、ノードＢを介して送信される。その結果、応答パケット送受信部１０３は、ノードＣ宛ての検出用パケットを送信した後、予め定められた一定時間の間に（ステップＳ１０６）、当該ノードＣからの図１６に示したような上記応答パケットを受信する（ステップＳ１０７）。

判定パケット送受信部１０３は、上記一定時間経過後、あるいは上記一定時間の間にノードＣからの上記応答パケットを受信したとき、ステップＳ１０８へ進む。

ステップＳ１０８では、ノードＣからの応答パケットを受信したか否かを判定部１０２へ通知する。

この通知を受けて、判定部１０２は、通知された応答パケットの受信の有無を記憶し（ステップＳ１０９）、今度は、ステップＳ１１６ａを介してステップＳ１１６ｂへ進み、テスト対象のパケットを、指定されたパケット群のうち未選択のパケットに変更し、ステップＳ１０１へ進み、当該新たなテスト対象のパケットの破棄開始をコネクション管理部１０１へ指示する。以降のステップＳ１０２〜ステップＳ１１０では、テスト対象のノードＣに対し検出用パケットを送信し、この新たなテスト対象のパケットを破棄した場合と破棄しない場合とで応答パケットの受信の有無を調べることとなる。

以上の処理を、指定された全てのパケット識別情報のパケットについて、上記処理を終了したら（ステップＳ１１６ａ）、今度は、ステップＳ１１３へ進み、判定パケット送受信部１０３に対して、処理停止を指示する。

上記停止指示を受けて、判定パケット送受信部１０３は、図２９に示した処理を停止する（ステップＳ１１４）。

判定部１０１は、判定パケット送受信部１０３から通知された、各テスト対象のパケットについて、パケット破棄を行っている場合と、行っていない場合とにおける応答パケットの受信の有無を基に、テスト対象のノードＣが、内部ネットワークとＶＰＮトンネル経由で接続されているか否かを判定する（ステップＳ１１５）。

ステップＳ１１５では、コネクション管理部１０１で、あるテスト対象のパケットの破棄を行っていない場合に、ノードＣからの応答パケットを受信するが、当該テスト対象のパケットの破棄を行っている場合に、ノードＣからの応答パケットを受信しないとき、当該テスト対象のノードＣは内部ネットワークとＶＰＮトンネル経由で接続されていることが検出される。また、当該テスト対象のパケットは、ノードＣとの間のＶＰＮ通信のパケットであることが検出される。

また、コネクション管理部１０１で、指定されたパケット群のうちのどのテスト対象のパケットを破棄しても、ノードＣからの応答パケットを受信するとき、今回指定されたパケット群、すなわち、ここではプロトコル番号が「６」のパケット群には、ノードＣとの間のＶＰＮ通信のパケットが含まれていないか、あるいはテスト対象のノードＣは、外部ネットワークからＶＰＮ通信により内部ネットワークに接続するノードではない可能性がある。そこで、別のパケット群について（例えば、プロトコル番号が「１７」のパケット群など）、図２９に示したような、テスト対象のノードＣに検出用パケットを送信したときの、その応答パケットの受信の有無を調べる。

このような処理の繰り返しにより、テスト対象のノードＣが、内部ネットワークとＶＰＮトンネル経由で接続されている場合には、いずれかのパケット群のなかから、ノードＣとの間のＶＰＮ通信のパケットが検出される。

なお、図２９において、テスト対象のパケットを破棄する場合と破棄した場合のそれぞれについて、検出用パケットを所定回数ずつ送信して、そのそれぞれについて応答パケットの受信の有無を調べる方が望ましい。

例えば、テスト対象のノードがノードＣであり、パケット識別情報「ＩＤ１」〜「ＩＤ４」がテスト対象のパケットであるとき、判定部１０２は、図３０に示すように、各テスト対象のパケットに対し、全てパケットの破棄を行わない場合と、当該テスト対象のパケットの破棄を行う場合とのそれぞれについて、検出用パケットを１０回ずつ送信して、テスト対象のパケットを破棄しない場合と破棄した場合とでの応答パケットの受信の有無を調べたとする。

その結果、図３１に示すような結果が得られたとする。図３１に示すように、判定部１０２では、テスト対象の各パケットについて、パケットを破棄しない場合と破棄した場合に、検出用パケットを１０回ずつ送信したとき、そのうち、何回応答パケットを受信したかを示す応答パケット受信率を計算する。

図３１に示したように、パケット識別情報が「ＩＤ１」「ＩＤ２」の場合、検出装置１を通過した際に、当該パケットを破棄しても、応答パケット受信率は、破棄しない場合と同じ１００％、すなわち、破棄しても、検出用パケットに対する応答パケットは必ず受信することができ、パケットの破棄と応答パケット受信率との相関が低い。

これに対し、パケット識別情報が「ＩＤ３」「ＩＤ４」の場合、検出装置１を通過した際に当該パケットを破棄せずに通過させた場合には、必ず応答パケットを受信できていたが（応答パケット受信率は１００％）、当該パケットを破棄した場合には、応答パケット受信率は「０」であった。すなわち、パケットの破棄と応答パケットの受信率との相関が高いことから、パケット識別情報が「ＩＤ３」「ＩＤ４」であるパケットは、検出装置１及びルータＲＡをして介して、内部ネットワークと外部ネットワークとの間で送受信されているパケット、すなわち、ＶＰＮ通信のパケットである、ということが検出され、テスト対象のノードＣは、内部ネットワークとＶＰＮトンネル経由で接続されていると判定される。

なお、上記第４の検出方法では、コネクション監視処理を行った後に、予め絞り込んだパケット（例えば、ここでは、プロトコル番号「６」のパケット）をテスト対象とする検出処理を行ったが、上記コネクション監視処理を行わず、検出処理にて、コネクション管理部１０１を通過する全てのパケットあるいは一部のパケット（例えば、ＴＣＰのパケット、ＵＤＰのパケット、エントロピーの高いパケットなど）を破棄する検出処理を行ってもよい。この場合、ＶＰＮ通信のパケットそのものを検出することは困難であるが、テスト対象のノードがＶＰＮ経由で接続されているか否かは、上記同様に検出可能である。

さらに、上記第３及び第４の検出方法では、Ｌ２ＶＰＮのＶＰＮパケットを検出する場合を例にとり説明を行ったが、この場合に限らず、上記同様にして、すなわち、挿入する遅延時間αと、計測された応答時間βとの相関を調べることで、Ｌ３ＶＰＮ（ＩＰｓｅｃなど）、ＩＰＩＰトンネル（Ｍｏｂｉｌｅ ＩＰ／ＩＰＶ６、６ｔｏ４トンネルなど）のＶＰＮ通信のパケットを検出する場合にも適用可能である。

また、上記第３及び第４の検出方法では、各パケットを識別するための属性情報として、ＩＰヘッダ中の宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号などを用いたが、この場合に限らず、例えば、ＩＰプロトコルがＩＰｖ６の場合には、ＩＰヘッダ中のフローＩＤやトラフィッククラスなどを用いてもよい。

さらに、ＴＣＰヘッダ中の送信元ポート番号や宛先ポート番号、ＵＤＰヘッダ中の送信元ポート番号や宛先ポート番号、ＩＰプロトコルがＩＰｓｅｃの場合ＡＨ（Authentication Header）中のＳＰＩ（Security Parameter Index）、ＥＳＰ(Encapsulated Security Payload)ヘッダ中のＳＰＩ（Security Parameter Index）、その他、パケットペイロードの乱雑さ（エントロピー値）なども、各パケットを識別するための属性情報として用いることができる。

なお、パケットペイロードの乱雑さ（エントロピー値）は、この値が高いほどデータの乱雑性が高いことを意味し、暗号化されている可能性が高いことを示すものである。

また、上記第３及び第４の検出方法のコネクション監視処理では、ＩＣＭＰエコー要求を検出用パケットに用いていたが、この場合に限らない。例えば、ＶＰＮ経由であるか否かのテスト対象のノード（例えばここではノードＣなど）へ届くパケット（フレーム）であれば、応答が返ってくることのないパケット（フレーム）であってもよい。

また、上記第３の検出方法の検出処理では、ＡＲＰ要求を検出用パケットに用い、上記第４の検出方法の検出処理では、ＩＣＭＰエコー要求を検出用パケットに用いていたが、この場合に限らない。例えば、ＶＰＮ経由であるか否かのテスト対象のノード（例えばここではノードＣなど）へ届くパケット（フレーム）であり、しかも、応答が返ってくることが期待できるパケット（フレーム）であってもよい。例えば、ＩＰｖ４の場合にはＡＲＰ要求フレーム、ＲＡＲＰ要求フレーム、ＩＣＭＰ／ＩＣＭＰＶ６エコー要求、ＩＣＭＰｖ６ＮＤなどを、検出用パケットして用いてもよい。

また、コネクション管理部１０１でのコネクション監視は、監視開始指示を待たず常に行っていてもよい。これは、テスト対象とするパケットの種類を選択するために行っているが、全てのパケットの種類を検査対象とする場合は、コネクション監視を行わずに実施可能である。

また、検出用パケットを送信せずに、コネクション監視処理を行ってもよいが、この場合、コネクション監視を行っている間にＶＰＮ通信が発生しない可能性もあるので、図１９に示したように、検出用パケットを送信した状態でコネクション監視することで、ＶＰＮ通信の検出精度が向上する。

６．第３及び第４の検出方法の適用例
次に、以上説明した第３及び第４の検出方法の適用例について説明する。

図７において、ノードＡは、動画配信サーバであるとする。ノードＡは、動画の著作権保護のために内部ネットワークのＶＰＮ経由で接続しているノードからの接続を拒否したいが、当該ノードがＶＰＮ経由で接続しているか否かを容易に知ることはできない。そこで、例えば、ノードＣがノードＡに接続しようとしている場合に、ノードＣが外部ネットワークからＶＰＮ経由で接続しているかどうかを検出装置１に調べてもらうことで、（例えば、ノードＡが検出装置１に対し、テスト対象のノードＣのＭＡＣアドレスやＩＰアドレスを含む検出処理要求を送信し、この検出処理要求を受けて、検出装置１が、上述のようなコネクション監視処理、検出処理を行うことにより、ノードＣがＶＰＮ経由で接続していること、また、このＶＰＮ通信のパケット（の属性情報）が検出される。

検出装置１から、このような検出結果の通知を受けて、ノードＤは、ＶＰＮ経由のノードＣからアクセスを拒否するなどの制御が行える。

個人情報や防衛関連情報等の機密情報の漏洩防止のため、内部ネットワークに無断で、外部ネットワーク上のノードがＶＰＮ通信を行っている場合には、そのようなＶＰＮ通信を遮断したい。しかし、どのパケットがＶＰＮ通信であるのかがわからないとき、検出装置１が、上述のようなコネクション監視処理、検出処理を行うことにより、ノードＣがＶＰＮ経由で接続していること、また、このＶＰＮ通信のパケット（の属性情報）が検出される。

その後、検出装置１は、内部ネットワークから入力してきたパケットの上記属性情報を調べ、当該属性情報が、検出されたＶＰＮ通信のパケットのものである場合には、当該パケットが内部ネットワークから出ないように破棄する。また、検出装置１は、ルータＲＡ側から入力してきたパケットの上記属性情報を調べ、当該属性情報が、検出されたＶＰＮ通信のパケットのものである場合には、当該パケットが内部ネットワークに入らないように破棄する。

以上説明したように、上記第１の実施形態の第１〜第４の検出方法によれば、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができる。

また、上記第１の実施形態の第３及び第４の検出方法によれば、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができ、しかも、内部ネットワーク上のノードと外部ネットワーク上のノードとの間で送受信される通信パケットのうち、当該ＶＰＮ通信に用いられているパケットを容易に検出できる。

（第２の実施形態）
上記第１の実施形態では、検出装置１が、コネクション管理部１０１と、判定部１０２と、判定パケット送受信部１０３を備えている場合を示した。

第２の実施形態では、上記検出装置１の機能を２分し、検出装置（ここでは、検出装置２）は判定部１０２と判定パケット送受信部１０３を含み、コネクション管理部１０１は、内部ネットワークと外部ネットワークとの間に接続されたルータＲＡなどの中継装置が備えている場合について説明する。

１．検出装置と中継装置の構成
図３２は、第２の実施形態に係る検出装置２と中継装置ＲＡの構成例を示したものである。なお、図３２において、図６と同一部分には同一符号を付している。

検出装置２は、第１の実施形態と同様に、判定部１０２と判定パケット送受信部１０３を含み、さらに、ルータＲＡと前述のコネクション監視処理や検出処理のための通信を行うための通信部１０４を含む。ルータＲＡは、コネクション管理部１０１を含み、さらに、検出装置２と前述のコネクション監視処理や検出処理のための通信を行うための通信部１０５を含む。

図３３は、図３２の検出装置２を内部ネットワークに配置した場合のネットワーク構成例を示したものである。

内部ネットワークから外部ネットワークへ向かうパケット、外部ネットワークから内部ネットワーク向かうパケットは、必ずルータＲＡを通過する。従って、第２の実施形態では、ルータＲＡが、前述の第１の実施形態で説明したような遅延時間（α）の挿入やパケットの破棄を行うコネクション管理部１０１を備えているので、検出装置２は、内部ネットワークから外部ネットワークへ向かうパケット、外部ネットワークから内部ネットワーク向かうパケットが必ず通過するような位置に配置される必要はなく、図３２に示すように、内部ネットワーク内の任意の位置に配置される。

なお、ここでは中継装置としてルータＲＡが、コネクション管理部１０１を備えている場合を示したが、この場合に限らない。コネクション管理部１０１を備える中継装置は、内部ネットワークと外部ネットワークとの間でパケットを中継し、しかも、遅延の挿入やパケットの破棄を行うことができる通信装置であれば何でもよい。例えば、そのような機能を持ったルータやファイアウォール、ハブのような通信装置でもよい。

図３３では、内部ネットワークは、例えば、「１３３．１９６．１６．０／２４」のＩＰｖ４サブネットであり、ノードＣに対応する通信装置は、Ｌ２ＶＰＮ経由で、内部ネットワークに接続している。このＬ２ＶＰＮは、データの配信にＴＣＰを使用している。

以下、第１の実施形態と異なる点について説明する。

第２の実施形態において、第１の実施形態と異なる点は、第２の実施形態では、判定部１０２とコネクション管理部１０１との間のやりとり（例えば、図８や図２１においてステップＳ１及びステップＳ２２指示やステップＳ２の通知、図１８や図２９においてステップＳ１０１及びステップＳ１１１の指示、図１９においてステップＳ２０１及びステップＳ２１４の指示や、ステップＳ２０２及びステップＳ２１５の通知など）が、検出装置２の通信部１０４と、ルータＲＡの通信部１０５の間の通信を介して行われている。

また、内部ネットワーク内に存在するノードと、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードとの間でやりとりされるパケットが、内部ネットワークから外部ネットワークへと転送されるときと、外部ネットワークから内部ネットワークへ転送されるときとに、第１の実施形態では検出装置１及びルータＲＡの両方を通過するが、第２の実施形態では、ルータＲＡのみを通過する点が異なる。

図３２に示した検出装置２及びルータＲＡで、前述の第１の実施形態で説明した第１乃至第４の検出方法を適用した場合、第２の実施形態では、判定部１０２とコネクション管理部１０１との間のやりとりが、検出装置２の通信部１０４と、ルータＲＡの通信部１０５の間の通信を介して行われる点と、内部ネットワーク内と外部ネットワークとの間で送受信されるパケットは、検出装置２を通過することなく直接ルータＲＡを通過する点が異なる以外は、第１の実施形態と同様である。

２．第１の検出方法
まず、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣであるとき、外部ネットワークから内部ネットワークへ向かうパケットがコネクション管理部１０１を通過する際に、コネクション管理部１０１が当該パケットに遅延時間αを挿入する場合を例にとり、第２の実施形態における第１の検出方法について、図８、図３４〜図３６を参照して説明する。なお、図３４〜図３６のそれぞれにおいて、図１１、図１２、図９と同一部分には同一符号を付している。また、図３４及び図３５は、第２の実施形態に係るネットワーク内のデータの流れを説明するための図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合に、図３４は、検出用パケットがノードＣに到達するまでを示している。さらに、図３５は、ノードＣからの応答パケットが検出装置に到達するまでを示している。

この第１の検出方法では、第１の実施形態と同様、ルータＲＡが中継する、外部ネットワークから内部ネットワークへ向かうパケット全てに遅延を挿入し、挿入した遅延時間の長さと、テスト対象のノードへ応答を要求するパケット（検出用パケット）を送信してから、その応答パケットが反ってくるまでに要する時間（応答時間）との相関をみることで、テスト対象のノードが外部ネットワーク上のノードであり、ＶＰＮトンネル経由で内部ネットワークと接続しているか否かを検出する。

判定部１０２は、ルータＲＡのコネクション管理部１０１に対し、通信部１０４，１０５を介して、ルータＲＡ（のコネクション管理部１０１）を通過するパケットへの遅延時間α（αは可変の値）の挿入を指示する（ステップＳ１）。

コネクション管理部１０１は、遅延挿入を開始したことを、通信部１０４、１０５を介して、判定部１０２へ通知する（ステップＳ２）。以後、コネクション管理部１０１は、判定部１０２から処理停止指示を受ける（ステップＳ２２）まで、外部ネットワーク側から入力したパケットを受信した場合には、当該パケットを遅延時間αだけ遅らせて内部ネットワーク側へ転送する。

判定部１０２は、判定パケット送受信部１０３に対し、テスト対象のノード（例えば、ここでは、ノードＣ）のＭＡＣアドレスやＩＰアドレス（例えば、ノードＣの内部ネットワークＩＰアドレス）とともに、当該テスト対象のノードへの検出用パケットの送信を指示する（ステップＳ３）。

図９と同様に、図３４及び図３６のステップＳ４において、判定パケット送受信部１０３は、テスト対象のノードＣ宛ての図１３に示したような検出用パケットを送信し、図３６のステップＳ５において、当該検出用パケットの送信時刻を記憶する。

図３４及び図３６のステップＳ６において、検出用パケットがノードＢで受信されると、ノードＢでは、検出用パケットをカプセル化し、図１４に示すような当該検出用パケットを含む暗号化されたＬ２ＶＰＮデータを含むＶＰＮパケット（要求ＶＰＮパケット）を生成する。この要求ＶＰＮパケットは、ノードＢからノードＣ（ＩＰアドレス「２０２．２４９．１０．１００」）宛てに送信される。

ルータＲＡで、上記要求ＶＰＮパケットを受信すると、ルータＲＡは、受信した当該要求ＶＰＮパケットから、ＭＡＣヘッダ（図１４では宛先及び送信元ＭＡＣアドレスＤ２、Ｓ２）を取り除き、当該要求ＶＰＮパケットに含まれているＩＰパケットを、外部ネットワークへ出力する（図３４及び図３６のステップＳ１１）。なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス「２０２．２４９．１０．１００」であり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介して（当該ＩＰパケットにＭＡＣヘッダが付加されるなどして）ノードＣに受信される。

ノードＣは、検出装置１の「ＩＦ１」宛てのＩＣＭＰエコー応答を含むＬ２ＶＰＮデータがカプセル化された、ノードＢ宛て（宛先ＩＰアドレス：ノードＢ、宛先ＭＡＣアドレス：ルータＲＡ）の応答ＶＰＮパケットを送信する。ルータＲＢは、当該応答ＶＰＮパケットのＭＡＣヘッダを取り除き、当該応答ＶＰＮパケットに含まれているノードＢ宛ての（宛先ＩＰアドレスはノードＢのＩＰアドレス）ＩＰパケットを外部ネットワークへ送信する（図３５及び図３６のステップＳ１２）。

ノードＢ宛ての当該ＩＰパケットは、ルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付して、図１５に示すような応答ＶＰＮパケットを、コネクション管理部１０１へ出力する。コネクション管理部１０１は、図１５に示したようなパケットに対し、遅延時間αだけ遅らせて内部ネットワーク側へ転送する（ステップＳ８´）。

なお、図３６では、外部ネットワークから内部ネットワークへ向かうパケットが、ルータＲＡを通過する場合には、ステップＳ８´で、遅延時間αの挿入を行っているが、この場合に限らず、ステップＳ８´で遅延時間αを挿入するとともに、あるいは、ステップＳ８´で遅延時間αを挿入する代わりに、図９に示すように、内部ネットワークから外部ネットワークへ向かうパケットが、ルータＲＡを通過する場合にも、当該パケットを外部ネットワークへ転送するときに、遅延時間αの挿入を行ってもよい。

ルータＲＡを通過する、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとの両方に、遅延時間αの挿入を行う場合、検出用パケットを送信してから応答パケットを受信するまでの応答時間に挿入される遅延時間は全部で２αであり、いずれか一方のみに遅延時間αの挿入を行う場合、応答時間に挿入される遅延時間はαである。判定処理では、前述の第１の実施形態と同様に、前者の場合には、厳密には、挿入した遅延時間２αと、実際に計測された応答時間βとの間の相関を調べ、後者の場合には、挿入した遅延時間αと、実際に計測された応答時間βとの間の相関を調べることになる。

ルータＲＡから内部ネットワークへ、遅延時間αだけ遅らせて出力された、図１５に示したＶＰＮパケットは、ノードＢに受信される（図３５及び図３６のステップＳ１４）。

ノードＢは、受信した図１５に示したＶＰＮパケットに含まれるＬ２ＶＰＮデータから、宛先が検出装置２のＩＦ１のＭＡＣアドレスであり、送信元がノードＣのＭＡＣアドレスである、上記検出用パケットに対する応答パケット（図１６参照）を取り出し、この応答パケットを内部ネットワーク内へ送信する（図３５及び図３６のステップＳ１５）。

この応答パケットは、検出装置２のＩＦ１を介して判定パケット送受信部１０３で受信される。

図８のステップＳ１６以降の処理は、第１の実施形態と同様である。

３．第２の検出方法
次に、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣであるとき、ルータＲＡを通過するパケットをコネクション管理部１０１が破棄する場合を例にとり、第２の実施形態における第２の検出方法について説明する。

なお、この場合の検出装置２及びルータＲＡのコネクション管理部１０１の動作は、判定部１０２とコネクション管理部１０１との間のやりとり（例えば、図１８のステップＳ１０１及びステップＳ１１１の指示）が、検出装置２の通信部１０４と、ルータＲＡの通信部１０５の間の通信を介して行われている点、内部ネットワーク内と外部ネットワークとの間で送受信されるパケットは、検出装置２を通過することなく直接ルータＲＡを通過する点が異なる以外は、第１の実施形態の第２の検出方法の説明（図１８）とほぼ同様であり、その効果も前述の第１の実施形態と同様である。

また、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣであるとき、検出用パケットとその応答パケットの配信経路は、図３４及び図３５と同様である。

４．第３の検出方法
次に、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣである場合を例にとり、第１の実施形態で説明した第３の検出方法を第２の実施形態に適用する場合について説明する。

まず、コネクション監視処理について、図３７に示すシーケンス図を参照して説明する。なお、図３７において、図１９と同一部分には同一符号を付し、異なる部分についてのみ説明する。

すなわち、図３７では、内部ネットワーク内と外部ネットワークとの間で送受信されるパケットは、直接ルータＲＡを通過するため、ノードＢから送信される、図１４に示す要求ＶＰＮパケットは、まず、ルータＲＡで受信される（ステップＳ２０５）。

ルータＲＡは、上記要求ＶＰＮパケットを受信すると、まず、コネクション管理部１０１において、当該要求ＶＰＮパケットから、前述のパケット属性情報が取り出され、これが、パケット識別情報とともに、コネクション管理テーブルに記憶される（ステップＳ２０６）。

ルータＲＡは、パケット属性情報が記憶された当該要求ＶＰＮパケットのＭＡＣヘッダ（図１４では宛先及び送信元ＭＡＣアドレスＤ２、Ｓ２）を取り除き、当該ＶＰＮパケットに含まれているＩＰパケットを外部ネットワークへ送信する（ステップＳ２０７）。

また、ノードＣからルータＲＢを介して送信される、検出装置１宛てのＩＣＭＰエコー応答を含むＬ２ＶＰＮデータがカプセル化された、ノードＢ宛てのＩＰパケットは、まずルータＲＡで受信される（ステップＳ２０８）。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付して、図１５に示すようなＶＰＮパケットをコネクション管理部１０１へ出力する。そして、コネクション管理部１０１は、前述のステップＳ２０６と同様、図１５に示したようなＶＰＮパケットから、パケット属性情報を取り出し、これを、当該ＶＰＮパケット及び当該パケット属性情報を識別するためのパケット識別情報を付与して、コネクション管理テーブルに記憶する（ステップＳ２１０）。

以上の処理、及び、判定部１０２とコネクション管理部１０１との間のやりとりが、検出装置２の通信部１０４と、ルータＲＡの通信部１０５の間の通信を介して行われている点以外は、図１９と同様であり、その効果も前述の第１の実施形態と同様である。

次に、検出装置２において、図２０に示したコネクション管理テーブルを用いて、ＶＰＮ経由で接続されているノードと、ＶＰＮ通信のパケットとを検出するための検出方法について説明する。

以下、図２１に示すフローチャートと、図３８に示すシーケンス図を示す図を参照して検出方法について説明する。

なお、ルータＲＡには、内部ネットワークから外部ネットワークへと向かうパケットと、外部ネットワークから内部ネットワークへ向かうパケットとが通過するが、図３８では、内部ネットワークから外部ネットワークへと向かうパケットに対しては、遅延時間αの挿入を行わず、そのまま外部ネットワークへ転送し、外部ネットワークから内部ネットワークへ向かうパケットに対しては、遅延時間αの挿入を行う場合を例にとり説明する。従って、ルータＲＡで挿入される遅延時間は全部でαであり、このαとβとの間の相関を調べることとなる。

また、図３８において、図２２と同一部分には同一符号を付し、第１の実施形態と異なる部分について説明する。

すなわち、図３８では、内部ネットワークと外部ネットワークとの間で送受信されるパケットは、直接ルータＲＡを通過するため、ノードＢから送信される、図２４に示す要求ＶＰＮパケットは、まず、ルータＲＡで受信される（ステップＳ６）。

この要求ＶＰＮパケットは、ルータＲＡで受信されると、ルータＲＡは、当該要求ＶＰＮパケットから、ＭＡＣヘッダ（図２４では宛先及び送信元ＭＡＣアドレスＤ２、Ｓ２）を取り除き、当該要求ＶＰＮパケットに含まれているＩＰパケットが、（遅延時間αが挿入されることなく）そのまま外部ネットワークへ送信される（ステップＳ１１）。

なお、この場合、当該ＩＰパケットの宛先ＩＰアドレスは、ノードＣのＩＰアドレス「２０２．２４９．１０．１００」であり、送信元ＩＰアドレスはノードＢのＩＰアドレスである。当該ＩＰパケットは、ルータＲＢを介して（当該ＩＰパケットにＭＡＣヘッダが付加されるなどして）ノードＣに受信される。

ノードＣは、受信したパケットに含まれるＡＲＰ要求に対し、当該ノードＣのＭＡＣアドレスを返すための検出装置１の「ＩＦ１」宛ての図２５に示すような応答パケットを含むＬ２ＶＰＮデータがカプセル化された、ルータＲＡ宛ての応答ＶＰＮパケットを送信する。ルータＲＢは、当該応答ＶＰＮパケットのＭＡＣヘッダを取り除き、当該応答ＶＰＮパケットに含まれているノードＢ宛ての（宛先ＩＰアドレスはノードＢのＩＰアドレス）ＩＰパケットを外部ネットワークへ送信する（ステップＳ１２）。

ノードＢ宛ての当該ＩＰパケットは、まずルータＲＡで受信される。ルータＲＡは、当該ＩＰパケットにノードＢのＭＡＣアドレスを宛先、ルータＲＡのＭＡＣアドレスを送信元とするＭＡＣヘッダを付して、図２６に示すような応答ＶＰＮパケットを、コネクション管理部１０１へ出力する。

コネクション管理部１０１は、当該応答ＶＰＮパケットのプロトコル番号、ＩＰヘッダ内の宛先ＩＰアドレス（図２６の場合、ＤＩＰ３）及び送信元ＩＰアドレス（図２６の場合、ＳＩＰ３）などのパケット属性情報を調べ、これらが、ステップＳ１で判定部１０１から通知されたテスト対象のパケット属性情報と一致する場合には、当該パケットはテスト対象のパケットであると判定し（ステップＳ７）、当該パケットに対し、遅延時間αだけ遅らせて内部ネットワーク側へ転送する（ステップＳ８）。

以上の処理、及び、判定部１０２とコネクション管理部１０１との間のやりとりが、検出装置２の通信部１０４と、ルータＲＡの通信部１０５の間の通信を介して行われている点以外は、図２２と同様であり、その効果も前述の第１の実施形態と同様である。

また、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣであるとき、検出用パケットとその応答パケットの配信経路は、図３４及び図３５と同様である。

５．第４の検出方法
次に、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣである場合を例にとり、第１の実施形態で説明した第４の検出方法を第２の実施形態に適用する場合について説明する。

コネクション管理処理は、図３７と同様であり、このコネクション監視処理で得られた、図２０に示すようなコネクション管理テーブルを用いて、ＶＰＮ経由で接続されているノードと、ＶＰＮ通信のパケットとを検出するための検出方法について、図２９に示すフローチャートを参照して説明する。

なお、この場合の検出装置２及びルータＲＡのコネクション管理部１０１の動作は、判定部１０２とコネクション管理部１０１との間のやりとり（例えば、図２９のステップＳ１０１及びステップＳ１１１の指示）が、検出装置２の通信部１０４と、ルータＲＡの通信部１０５の間の通信を介して行われている点、内部ネットワークと外部ネットワークとの間で送受信されるパケットは、検出装置２を通過することなく直接ルータＲＡを通過する点が異なる以外は、第１の実施形態の第４の検出方法の説明（図２９）とほぼ同様であり、その効果も前述の第１の実施形態と同様である。

また、テスト対象のノードが、ＶＰＮトンネル経由で内部ネットワークと接続する外部ネットワーク上のノードＣであるとき、検出用パケットとその応答パケットの配信経路は、図３４及び図３５と同様である。

以上説明したように、上記第２の実施形態の第１〜第４の検出方法によれば、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができる。

また、上記第２の実施形態の第３及び第４の検出方法によれば、内部ネットワーク上のノードとＶＰＮ通信を行っている外部ネットワーク上のノードを容易に検出することができ、しかも、内部ネットワーク上のノードと外部ネットワーク上のノードとの間で送受信される通信パケットのうち、当該ＶＰＮ通信に用いられているパケットを容易に検出できる。

さらに、前述の第１の実施形態で説明した第１乃至第４の検出方法の適用例も、上記第２の実施形態にもそのまま適用可能である。

（外部ネットワークとの経路が複数ある場合の検出方法）
上記第１及び第２の実施形態において、内部ネットワークから外部ネットワークへの経路が複数ある場合は、以下のような方法で検出を行うことができる。

１．検出装置１を用いる場合
外部ネットワークへの全ての経路上に検出装置を設置することで検出が可能になる。そうしないと、ＶＰＮ通信が検出装置１を設置していない経路で外部と接続する場合に検知できなくなってしまうため、全ての経路上に設置する必要がある。
さらに、それぞれの検出装置１が連携して動作する必要がある。例えば、第１の実施形態における第１の検出方法では、内部ネットワークに設置された全ての検出装置１が同時に遅延を挿入する必要がある。

また、第１の実施形態における第３の検出方法では、複数の検出装置１は、それぞれにおけるコネクション監視で得られた結果を、当該複数の検出装置１のうちの予め定められた少なくとも１つの検出装置１（以下、これをマスター検出装置と呼ぶ）に通知し、このマスター検出装置が他の検出装置に対し、遅延時間や、遅延を挿入するパケットなどを指示して遅延を挿入させることで、前述の検出装置１台の場合と同様に検出が可能になる。

２．検出装置２を用いる場合
外部ネットワークへの全ての経路上にある全ての中継装置が、コネクション管理部１０１を備え、内部ネットワーク上の検出装置２からの指示を受けて、前述の動作を行う必要がある。

例えば、中継装置を通過するパケット全てに遅延時間を挿入する第１の検出方法では、検出装置２から全ての中継装置に、（遅延時間の指示を含む）遅延挿入開始指示を行い、各中継装置が、前述の遅延時間の挿入動作を行うことで検出が可能になる。

また、中継装置を通過するパケットのうち、テスト対象のパケットに対して遅延時間を挿入する第３の検出方法では、検出装置２から全ての中継装置に対してコネクション監視開始を指示する。各中継装置は、コネクション管理結果、すなわち、図２０に示すようなコネクション管理テーブル上の情報を検出装置２へ通知する。そして、検出装置２が、各中継装置に対して遅延挿入開始の指示を行うことで、中継装置が１台の場合と同様の検出が可能となる。

なお、検出装置２が複数台ある場合は、検出装置１の場合と同様に、各中継装置は、コネクション監視によって得た結果を、複数の検出装置２のうち予め定められた少なくとも１つの検出装置２（マスター検出装置）に通知し、当該通知を受けたマスター検出装置が、各中継装置から通知されたコネクション監視結果を基に、各中継装置に対し、遅延挿入開始の指示などを行う。

（テスト対象のパケットを選択する方法）
第１及び第２の実施形態における、第３及び第４の検出方法において、検出装置１あるいは中継装置内のコネクション管理部１０１を通過する全ての種類のパケットをテスト対象としても、ＶＰＮ通信の検出（パケット及びノードの検出）は可能であるが、パケットの種類が多い(コネクション数が多い)と検出処理の処理量が多く、実施が難しい場合が考えられる。

これを解決するため、テスト対象のパケットを、以下のような条件で選択する方法が考えられる。

・既知のＶＰＮプロトコル（例えばＰＰＴＰ、Ｌ２ＴＰ、ＩＰｓｅｃ）であることが明確なパケット
・暗号化されていると思われるパケット
・未知のプロトコル（プロトコル番号が未知のもの、ヘッダが未知なもの）
暗号化されているかどうかは、パケット中のデータのエントロピーを調べることで、暗号化された通信かどうかを推定することができる。

どのような種類のパケットをテスト対象とするかは、検出装置の処理能力や、検出装置が設置されるネットワーク環境、検出装置に求められる検知精度など、検出装置が実施される環境によって適切に選択されれば、検出装置の負荷軽減につながると考えられる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

ＶＰＮ通信を説明するための図。 ＶＰＮ通信を説明するための図であり、内部ネットワークからみたパケットの流れを示した図。 ＶＰＮ通信を説明するための図であり、実際のパケットの流れを示した図。 Ｌ３ＶＰＮを使用してノードＣが内部ネットワークにアクセスしている様子を模式的に示した図で、ノードＣは内部ネットワークとは違うアドレスブロックのアドレスが割り当てられている場合を示している。 Ｌ３ＶＰＮを使用してノードＣが内部ネットワークにアクセスしている様子を模式的に示した図で、ノードＣに内部ネットワークのアドレスブロックのアドレスが割り当てられている場合を示している。 第１の実施形態に係る検出装置の構成例を示した図。 第１の実施形態に係るネットワーク構成例を示した図。 中継装置を通過するパケットに遅延を挿入することでＶＰＮ通信を検出する第１の検出方法を適用した検出装置の処理動作を説明するためのフローチャート。 第１の検出方法に係るネットワーク内のデータの流れを説明するためのシーケンス図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合を示している。 第１の検出方法に係るネットワーク内のデータの流れを説明するためのシーケンス図で、テスト対象のノードが内部ネットワークのノードであるである場合を示している。 第１の実施形態に係るネットワーク内のデータの流れを説明するための図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合に、検出用パケットがノードＣに到達するまでを示している。 第１の実施形態に係るネットワーク内のデータの流れを説明するための図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合に、ノードＣからの応答パケットが検出装置に到達するまでを示している。 検出用パケットの一例を示した図。 ノードＢから送信される検出用パケットを含む要求ＶＰＮパケットの一例を示した図。 応答パケットを含む、ノードＢ宛ての応答ＶＰＮパケットの一例を示した図。 応答パケットの一例を示した図。 判定部の判定処理を説明するための図で、中継装置を通過するパケットに挿入する遅延時間の長さを変えて計測された応答時間βの集計結果の一例を示す図。 中継装置を通過するパケットを破棄することでＶＰＮ通信を検出する第２の検出方法を適用した検出装置の処理動作を説明するためのフローチャート。 中継装置を通過するパケットのパケット属性情報を収集するためのコネクション監視処理を説明するためのシーケンス図。 コネクション監視処理の結果得られるパケット属性情報を記憶するコネクション管理テーブルの一例を示した図。 中継装置を通過するパケットのうち予め選択されたテスト対象のパケットに遅延を挿入することでＶＰＮ通信を検出する第３の検出方法を適用した中継装置の処理動作を説明するためのフローチャート。 第３の検出方法に係るネットワーク内のデータの流れを説明するためのシーケンス図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合を示している。 検出用パケットの他の例を示した図。 ノードＢから送信される検出用パケットを含む要求ＶＰＮパケットの他の例を示した図。 応答パケットの他の例を示した図。 応答パケットを含む、ノードＢ宛ての応答ＶＰＮパケットの他の例を示した図。 第３の検出方法を用いてＶＰＮ通信を検出するために、各テスト対象のパケットに対して実行される処理の内容を示したもので、各テスト対象のパケットが通過する際に挿入する遅延時間と、当該遅延時間を挿入する場合の検出用パケットの送信回数を示している。 検出装置が、図２７に示した処理を行うことにより得られたＶＰＮ通信の検出結果を示した図。 中継装置を通過するパケットのうち予め選択されたテスト対象のパケットを破棄することでＶＰＮ通信を検出する第４の検出方法を適用した中継装置の処理動作を説明するためのフローチャート。 第４の検出方法を用いてＶＰＮ通信を検出するために、各テスト対象のパケットに対して実行される処理の内容を示したもので、破棄すべきテスト対象のパケットと、当該テスト対象のパケットを破棄する場合の検出用パケットの送信回数を示している。 検出装置が、図３０に示した処理を行うことにより得られたＶＰＮ通信の検出結果を示した図。 第２の実施形態に係る検出装置の構成例を示した図。 第２の実施形態に係るネットワーク構成例を示した図。 第２の実施形態に係るネットワーク内のデータの流れを説明するための図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合に、検出用パケットがノードＣに到達するまでを示している。 第２の実施形態に係るネットワーク内のデータの流れを説明するための図で、テスト対象のノードが内部ネットワークのノードとＶＰＮ通信を行っているノードである場合に、ノードＣからの応答パケットが検出装置に到達するまでを示している。 第２の実施形態に係る検出装置及び中継装置に第１の検出方法を適用した場合のネットワーク内のデータの流れを説明するためのシーケンス図で、テスト対象のノードが内部ネットワークのノードであるである場合を示している。 第２の実施形態に係る検出装置及び中継装置のコネクション監視処理を説明するためのシーケンス図。 第２の実施形態に係る検出装置及び中継装置に第３の検出方法を適用した場合のネットワーク内のデータの流れを説明するためのシーケンス図で、テスト対象のノードが内部ネットワークのノードであるである場合を示している。

符号の説明

１、２…検出装置、１０１…コネクション管理部、１０２…判定部、１０３…判定パケット送受信部

Claims (22)

1. 内部ネットワークと外部ネットワークとが中継装置で接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するためのＶＰＮ通信検出方法であって、
   前記内部ネットワークに接続された検出装置が、テスト対象のノードに対し第１の応答要求パケットを送信する第１の送信ステップと、
   前記中継装置あるいは前記検出装置が、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうちの少なくとも一方を、第１の遅延時間だけ遅らせて、前記内部ネットワーク上のノード宛てのパケットの場合には前記内部ネットワーク側へ出力し、前記外部ネットワーク上のノード宛てのパケットの場合には前記外部ネットワーク側へ出力する第１の遅延挿入ステップと、
   前記検出装置が、前記第１の応答要求パケットに対する前記テスト対象のノードからの第１の応答パケットを受信する第１の受信ステップと、
   前記検出装置が、前記第１の送信ステップで前記第１の応答要求パケットを送信してから前記第１の受信ステップで前記第１の応答パケットを受信するまでに要した第１の応答時間を計測する第１の計測ステップと、
   前記内部ネットワークに接続された検出装置が、前記テスト対象のノードに対し第２の応答要求パケットを送信する第２の送信ステップと、
   前記中継装置あるいは前記検出装置が、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうちの少なくとも一方を、前記第１の遅延時間とは異なる長さの第２の遅延時間だけ遅らせて、前記内部ネットワーク上のノード宛てのパケットの場合には前記内部ネットワーク側へ出力し、前記外部ネットワーク上のノード宛てのパケットの場合には前記外部ネットワーク側へ出力する第２の遅延挿入ステップと、
   前記検出装置が、前記第２の応答要求パケットに対する前記テスト対象のノードからの第２の応答パケットを受信する第２の受信ステップと、
   前記検出装置が、前記第２の送信ステップで前記第２の応答要求パケットを送信してから前記第２の受信ステップで前記第２の応答パケットを受信するまでに要した第２の応答時間を計測する第２の計測ステップと、
   前記検出装置が、前記第１及び第２の応答時間が、前記第１及び第２の遅延時間の長さの違いに応じて変化しているとき、前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定する判定ステップと、
   を含むＶＰＮ通信検出方法。
2. 前記判定ステップは、前記第１及び第２の応答時間が、前記第１及び第２の遅延時間の長さの違いに関わらずほぼ一定であるとき、前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードではないと判定することを特徴とする請求項１記載のＶＰＮ通信方法。
3. 前記第１及び第２の遅延時間のうちのいずれか一方は、「０」秒であることを特徴とする請求項１記載のＶＰＮ通信方法。
4. 前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定された場合、前記第１の応答時間は、前記第１の応答要求パケットが送信されてから、当該第１の応答要求パケットが前記内部ネットワーク上のノード及び前記中継装置を介して前記テスト対象のノードに到達し、さらに当該テスト対象のノードから送信された前記第１の応答パケットが前記中継装置及び前記内部ネットワーク上のノードを介して前記検出装置へ到達するまでに要する時間であり、当該第１の応答時間には前記第１の遅延時間が含まれていることを特徴とする請求項１記載のＶＰＮ通信検出方法。
5. 内部ネットワークと外部ネットワークとが中継装置で接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するためのＶＰＮ通信検出方法であって、
   前記中継装置あるいは前記内部ネットワークに接続された検出装置は、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットうちのいずれか一方あるいは両方を破棄するパケット破棄手段を用いてパケットを破棄するパケット破棄モードと、パケットの破棄を行わない通常モードとを有し、
   前記中継装置あるいは前記内部ネットワークに接続された検出装置が、前記パケット破棄モードと前記通常モードのうち、前記パケット破棄モードに切り替えるステップと、
   前記検出装置が、テスト対象のノードに対し応答要求パケットを送信する送信ステップと、
   前記中継装置あるいは前記検出装置が前記パケット破棄モードのときに、前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第１の検出ステップと、
   前記中継装置あるいは前記検出装置が、前記パケット破棄モードと前記通常モードのうち、前記通常モードに切り替えるステップと、
   前記中継装置あるいは前記検出装置が前記通常モードのときに、前記応答パケットの受信の有無を検出する第２の検出ステップと、
   （ａ）前記第１の検出ステップで前記応答パケットの受信は検出されず、前記第２の検出ステップで前記応答パケットの受信が検出されたとき、前記テスト対象のノードは、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定し、（ｂ）前記第１及び第２の検出ステップで前記応答パケットの受信が検出されたとき、前記テスト対象のノードは、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードではないと判定する判定ステップと、
   を含むＶＰＮ通信検出方法。
6. 前記第１及び第２の遅延挿入ステップは、
   前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうち、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号及び送信元ポート番号のうちの少なくとも１つを含む属性情報により特定されるテスト対象のパケットを、前記遅延時間だけ遅らせて前記内部ネットワーク側あるいは前記外部ネットワーク側へ出力することを特徴とする請求項１記載のＶＰＮ通信検出方法。
7. 前記パケット破棄手段は、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうち、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号及び送信元ポート番号のうちの少なくとも１つを含む属性情報により特定されるテスト対象のパケットを破棄することを特徴とする請求項５記載のＶＰＮ通信検出方法。
8. 前記判定ステップは、前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定した場合、当該テスト対象のパケットを前記テスト対象のノードとの間のＶＰＮ通信のパケットであると判定することを特徴とする請求項６または７記載のＶＰＮ通信検出方法。
9. 前記中継装置あるいは前記検出装置は、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットの前記属性情報を収集する収集ステップと、
   収集された各パケットの属性情報を記憶手段に記憶するステップと、
   をさらに含み、
   前記記憶手段で記憶された各パケットの属性情報に基づき前記テスト対象のパケットが選択されることを特徴とする請求項６または７記載のＶＰＮ通信検出方法。
10. 内部ネットワークと外部ネットワークとが接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するための前記内部ネットワークに接続されたＶＰＮ通信検出装置において、
    テスト対象のノードに対し応答要求パケットを送信する送信手段と、
    前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうちの少なくとも一方を、異なる長さの複数の遅延時間のうちの指示された遅延時間だけ遅らせて、前記内部ネットワーク上のノード宛てのパケットの場合には前記内部ネットワーク側へ出力し、前記外部ネットワーク上のノード宛てのパケットの場合には前記外部ネットワーク側へ出力する遅延挿入手段と、
    前記応答要求パケットに対する前記テスト対象のノードからの応答パケットを受信する受信手段と、
    前記送信手段で前記応答要求パケットを送信してから前記受信手段で前記応答パケットを受信するまでに要した応答時間を計測する計測手段と、
    前記遅延挿入手段で挿入する各遅延時間と、当該遅延挿入手段で当該遅延時間の挿入を行っているときに計測された前記応答時間との相関を基に、前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであるか否かを判定する判定手段と、
    を具備したことを特徴としたＶＰＮ通信検出装置。
11. 前記判定手段は、前記応答時間が、挿入された前記遅延時間の長さの違いに応じて変化しているとき、前記テスト対象のノードは、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定することを特徴とする請求項１０記載のＶＰＮ通信検出装置。
12. 前記複数の遅延時間のうちの１つは、「０」秒であることを特徴とする請求項１０記載のＶＰＮ通信検出方法。
13. 前記判定手段は、前記応答時間が、挿入された前記遅延時間の長さにかかわらずほぼ一定であるとき、前記テスト対象のノードは、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードではないと判定することを特徴とする請求項１０記載のＶＰＮ通信検出装置。
14. 内部ネットワークと外部ネットワークとが接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するための前記内部ネットワークに接続されたＶＰＮ通信検出装置であって、
    前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットうちのいずれか一方あるいは両方を破棄するパケット破棄手段を用いてパケットを破棄するパケット破棄モードと、パケットの破棄を行わない通常モードとのうちのいずれか一方に切り替える切替手段と、
    テスト対象のノードに対し応答要求パケットを送信する送信手段と、
    前記切替手段で前記パケット破棄モードに切り替えて、前記送信手段で送信された前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第１の検出手段と、
    前記切替手段で前記通常モードに切り替えて、前記送信手段で送信された前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第２の検出手段と、
    前記第１及び第２の検出手段での検出結果を基に、前記テスト対象のノードが、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであるか否かを判定する判定手段と、
    を具備したことを特徴としたＶＰＮ通信検出装置。
15. 前記判定手段は、
    前記第１の検出手段で前記応答パケットの受信は検出されず、前記第２の検出手段で前記応答パケットの受信が検出されたとき、前記テスト対象のノードは、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定することを特徴とする請求項１４記載のＶＰＮ通信検出装置。
16. 前記判定手段は、
    前記第１及び第２の検出手段で前記応答パケットの受信が検出されたとき、前記テスト対象のノードは、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードではないと判定することを特徴とする請求項１４記載のＶＰＮ通信検出装置。
17. 前記遅延挿入手段は、
    前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうち、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号及び送信元ポート番号のうちの少なくとも１つを含む属性情報により特定されるテスト対象のパケットを、前記遅延時間だけ遅らせて前記内部ネットワーク側あるいは前記外部ネットワーク側へ出力することを特徴とする請求項１０記載のＶＰＮ通信検出装置。
18. 前記パケット破棄手段は、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットのうち、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号及び送信元ポート番号のうちの少なくとも１つを含む属性情報により特定されるテスト対象のパケットを破棄することを特徴とする請求項１４記載のＶＰＮ通信検出方法。
19. 前記判定手段は、前記テスト対象のノードが、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであると判定した場合には、前記テスト対象のパケットを前記テスト対象のノードとの間のＶＰＮ通信のパケットであると判定することを特徴とする請求項１７または１８記載のＶＰＮ通信検出装置。
20. 前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットの前記属性情報を収集する収集手段と、
    収集された各パケットの属性情報を記憶する記憶手段と、
    をさらに具備し、
    前記記憶手段で記憶された各パケットの属性情報に基づき前記テスト対象のパケットが選択されることを特徴とする請求項１７または１８記載のＶＰＮ通信検出装置。
21. 内部ネットワークと外部ネットワークとが中継装置を介して接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するための前記内部ネットワークに接続されたＶＰＮ通信検出装置において、
    テスト対象のノードに対し応答要求パケットを送信する送信手段と、
    前記応答要求パケットに対する前記テスト対象のノードからの応答パケットを受信する受信手段と、
    前記送信手段で前記応答要求パケットを送信してから前記受信手段で前記応答パケットを受信するまでに要した応答時間を計測する計測手段と、
    前記中継装置が、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットを中継する際に挿入する遅延時間と前記応答時間との相関を基に、前記テスト対象のノードが前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであるか否かを判定する判定手段と、
    を具備したことを特徴としたＶＰＮ検出装置。
22. 内部ネットワークと外部ネットワークとが中継装置を介して接続されたネットワークにおいて、前記内部ネットワーク上のノードと前記外部ネットワーク上のノードとの間のＶＰＮ（Virtual Private Network）通信を検出するための前記内部ネットワークに接続されたＶＰＮ検出装置であって、
    前記中継装置を、前記外部ネットワーク側から入力した前記内部ネットワーク上のノード宛てのパケット、及び前記内部ネットワーク側から入力した前記外部ネットワーク上のノード宛てのパケットうちのいずれか一方あるいは両方を破棄するパケット破棄モードと、パケットの破棄を行わない通常モードとのうちのいずれか一方に切り替える切替手段と、
    テスト対象のノードに対し応答要求パケットを送信する送信手段と、
    前記切替手段で前記中継装置を前記パケット破棄モードに切り替えて、前記送信手段で送信された前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第１の検出手段と、
    前記切替手段で前記中継装置を前記通常モードに切り替えて、前記送信手段で送信された前記応答要求パケットに対する前記テスト対象のノードからの応答パケットの受信の有無を検出する第２の検出手段と、
    前記第１及び第２の検出手段での検出結果を基に、前記テスト対象のノードが、前記内部ネットワーク上のノードとＶＰＮ通信を行っているノードであるか否かを判定する判定手段と、
    を具備したことを特徴としたＶＰＮ検出装置。

Images