JP4484190B2 - ルーター探索システム、ルーター探索方法、及びルーター探索プログラム - Google Patents
ルーター探索システム、ルーター探索方法、及びルーター探索プログラム Download PDFInfo
- Publication number
- JP4484190B2 JP4484190B2 JP2001121695A JP2001121695A JP4484190B2 JP 4484190 B2 JP4484190 B2 JP 4484190B2 JP 2001121695 A JP2001121695 A JP 2001121695A JP 2001121695 A JP2001121695 A JP 2001121695A JP 4484190 B2 JP4484190 B2 JP 4484190B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- router
- search
- inspection
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/12—Discovery or management of network topologies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
- H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/02—Standardisation; Integration
- H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/22—Parsing or analysis of headers
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ルーターとして作動しているネットワーク接続機器を探索するルーター探索システム及びルーター探索方法に関し、例えばイントラネット内で無認可で存在するルーターを探索するルーター探索システム、ルーター探索方法、及び関連プログラムに関するものである。
【０００２】
【従来の技術】
大規模なイントラネットでは、ユーザが、ノート型パソコンを含む自分の端末を、イントラネットへ接続したまま、自分の携帯電話機用モデムやＩＳＤＮルーター等を介して外部のＩＳＰ（インターネット・サービス・プロバイダ）へ接続して、メールを読んだりすることがある。イントラネットの正式のルーターは十分ファイアウォールを装備しているいるのに、これら一時的なルーターは、ファイアウォールが弱く、外部の不正アクセス者の攻撃の的になり易い。なお、例えば、Ｗｉｎｄｏｗｓ ＮＴやＷｉｎｄｏｗｓ ２０００（いずれもマイクロソフト社の登録商標）のようなＯＳは、ルーター機能を装備し、ルーター機能の自動作動が有効に設定されている場合、ユーザが、特にルーター機能を作動させる意思が無くても、自分のモデム等を介して外部のＩＳＰへ接続すると、自動的にルーター機能が作動する。
【０００３】
従来のルーター検出手法として、次の三つの手法が知られている。
（ａ）バナー検出法（ｂａｎｎｅｒ ｇｒａｂｂｉｎｇ）
ｔｅｌｎｅｔやｆｔｐなどの接続時のメッセージを見ることで、機器の製造元やＯＳなどを特定できる場合がある。専用のネットワーク機器を使用してルーターを構築している場合には、この手法でルーターを検出する場合がある。
（ｂ）ＯＳ検出法（ＯＳ ｄｅｔｅｃｔｉｏｎ）
通常出現しないようなパケットに対するレスポンスは機器ごとのネットワーク実装に依存する。それ故、そのレスポンスからＯＳを特定することが可能である。この手法でも専用ルーターを検出できる。
（ｃ）ルーティングプロトコル法（ｒｏｕｔｉｎｇ ｐｒｏｔｏｃｏｌ）
ルーターは近傍のルーターとルーティング情報を交換するために、幾つかのプロトコル（ＲＩＰ，ＯＳＰＦなど）が実装されている。それらのプロトコルに対してレスポンスを返すということはルーター機能が動作していることを意味する。
（ｄ）ＳＮＭＰ法（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）
ネットワーク機器のリモート管理用のプロトコルＳＮＭＰを実装したルーターは多い。ＳＮＭＰはアクセスコントロールされているが、正当なアクセスではルーターの機能やルーターのインターフェース情報などを取得可能である。ＳＮＭＰを使用すれば必要十分な情報を得ることができる。
【０００４】
【発明が解決しようとする課題】
従来の検出法では、ルータは特定可能であるが、ルータの先にインター
ネットが接続されているかどうか特定できない。また、ＬｉｎｕｘやＷｉｎｄｏｗｓなどのＯＳを利用してルーターとしている場合には、ＯＳを特定できてもその運用方法を特定することはできない。ＯＳ検出法では、ルーターの先の情報やコンピュータのルーターとしての機能を特定することはできない。ルーティングプロトコル法では、低価格のネットワーク機器やＯＳを利用したルーターではルーティングプロトコルが実装されていないことが多く、それらのルーターについては、ルーターとして検出困難である。ＳＮＭＰ法は、アクセスコントロールによって情報を取得できなかったり、ＳＮＭＰを実装していないルーターなども普及しているため、不十分である。
【０００５】
本発明の目的は、複数個のネットワークを接続するルーターとして現在、作動しているネットワーク接続機器を的確に探索することのできるルーター探索システム、ルーター探索方法、及びルーター探索システムプログラムを提供することである。
【０００６】
【課題を解決するための手段】
第１の発明のルーター探索システムによれば、第１のネットワークへ接続されているネットワーク接続機器の中に、第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索する。ルーター探索システムはそれぞれ第１のネットワーク及び第２のネットワークへ接続されている送信側ルーター探索装置及び受信側ルーター探索装置を有している。送信側ルーター探索装置は、送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び受信側ルーター探索装置のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成手段、及び該検査用ＩＰパケットを送信する検査用ＩＰパケット送信手段を有している。受信側ルーター探索装置は、自己宛てのＩＰパケットを受信する受信手段、及び受信手段の受信したＩＰパケットが検査用ＩＰパケットに対する検査対象ネットワーク接続機器の返答のＩＰパケット（以下、「返答用ＩＰパケット」と言う。）であるか否かを判定しその判定結果に基づいて検査対象ネットワーク接続機器が作動中ルーターであるか否かを判断する判断する判断手段を有している。
【０００７】
第１のネットワークに接続されているネットワーク機器の中で、今回の検査対象ネットワーク接続機器をどれにするかとして、例えば今回の検査対象ネットワーク接続機器を、前回の検査から漏れているものとしたり、ＩＰアドレス付与から時間のあまり経過していないものとしたりする場合もあるが、第１のネットワークがイントラネットの場合には、該イントラネットのアドレススペースに登録されている全部のネットワーク機器、すなわち該イントラネットへ現在、接続中の全部のネットワーク機器を検査対象ネットワーク接続機器としてもよく、それにより、検査時間が特に長くなり過ぎということはない。
【０００８】
ネットワーク接続機器は、自己宛てで受信したＩＰパケット（以下、該ＩＰパケットを適宜「検査用ＩＰパケット」と言う。）に対し、所定の返答をＩＰパケット（以下、該ＩＰパケットを適宜「返答用ＩＰパケット」と言う。）で行う。返答用ＩＰパケットの送信先ＩＰアドレス及び送信元ＩＰアドレスは検査用ＩＰパケットの送信元ＩＰアドレス及び送信先ＩＰアドレスとなっている。検査対象ネットワーク接続機器が作動中ルーターであれば、返答用ＩＰパケットは、該作動中ルーターから第２のネットワークへ送出され、受信側ルーター探索装置に到達する。受信側ルーター探索装置の判断手段は、受信手段の受信したＩＰパケットに探索用パケット情報が含まれているか否かを判断し、含まれていれば、検査対象ネットワーク接続機器は作動中ルーターと判断できる。なお、検査対象ネットワーク接続機器が作動中ルーターでなければ、返答用ＩＰパケットは、第２のネットワーク側へ送出されることなく、一般には、第１のネットワーク内で消滅する。
【０００９】
第２の発明のルーター探索システムによれば、第１の発明のルーター探索システムにおいて、探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれている。
【００１０】
ＯＳＩ参照基準パケットには、例えばＴＣＰパケットやＵＤＰパケットが含まれる。ルーターの生成する返答用ＩＰパケットのトランスポート層のヘッダの所定部位のデータは、検査用ＩＰパケットのトランスポート層のヘッダの所定部位のデータがそのまま保存されているか、その関連値（例：ＴＣＰパケットのシーケンス番号の場合では、返答のＴＣＰパケットのシーケンス番号は検査のＴＣＰパケットのシーケンス番号に１だけ加算される。）で保存されている。したがって、送信側ルーター探索装置からの探索用パケット情報は作動中ルーターを介して受信側ルーター探索装置へ到達し、受信側ルーター探索装置は、ＩＰパケットの探索用パケット情報からそれが検査用ＩＰパケットに由来するものであるか否かを検出することができる。
【００１１】
第３の発明のルーター探索システムによれば、第１又は第２の発明のルーター探索システムにおいて、送信側ルーター探索装置は、検査用ＩＰパケット送信手段から検査用ＩＰパケットの送信する前に、受信側ルーター探索装置に今回の探索用パケット情報を知得させ又は知得可能にする知得手段を有している。
【００１２】
知得手段には、例えば、今回の探索用パケット情報をＨＴＴＰやＦＴＰ等により受信側ルーター探索装置へ通知する通知手段の他に、例えば今回の探索用パケット情報を所定のウェブページに提示する情報提示手段が含まれる。知得手段が情報提示手段である場合には、受信側ルーター探索装置はプッシュ型で探索用パケット情報を入手する。
【００１３】
第４の発明のルーター探索システムによれば、第１〜第３のいずれかの発明のルーター探索システムにおいて、第１のネットワーク及び第２のネットワークはそれぞれイントラネット及びインターネットである。
【００１４】
検査対象ネットワーク接続機器が作動中ルーターであるか否かを検査する場合、検査対象ネットワーク接続機器のＩＰアドレスの入手が必要になる。また、典型的には、ネットワークに接続されているネットワーク接続機器の全部を検査対象ネットワーク接続機器として検査を実行するのではなく、作動中ルーターでありそうなネットワーク接続機器を適当に絞って、それ又はそれらのネットワーク接続機器について検査が実行される。送信側ルーター探索装置及び検査対象ネットワーク接続機器がイントラネットに接続されている場合、作動中ルーターとして作動していそうな検査対象ネットワーク接続機器を円滑に絞ることができ、また、該検査対象ネットワーク接続機器のＩＰアドレスを比較的円滑に検出することができるので、ルーター検出を効率的に行うことができる。
【００１５】
第５の発明のルーター探索システムによれば、第４の発明のルーター探索システムにおいて、送信側ルーター探索装置は複数個のイントラネットにそれぞれ配備され、受信側ルーター探索装置は、複数個の送信側ルーター探索装置に対して共通に配備され、各イントラネットの送信側ルーター探索装置の生成手段の生成する検査用ＩＰパケットにおける探索用パケット情報は、各イントラネットごとに相互に識別自在なものとされている。
【００１６】
検査対象ネットワーク接続機器の含まれる複数個のイントラネットに対して受信側ルーター探索装置が共通化され、ルーター探索システム全体の構成が簡単化する。
【００１７】
第６の発明のルーター探索システムによれば、第２の発明のルーター探索システムにおいて、トランスポート層パケットとはＴＣＰパケットであり、探索用パケット情報は、ＴＣＰパケットの送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に書き込まれる。
【００１８】
第７の発明のルーター探索システムによれば、第２の発明のルーター探索システムにおいて、トランスポート層パケットとはＵＤＰパケットであり、探索用パケット情報は、ＵＤＰパケットの送信元ポート番号、及び／又は送信先ポート番号に書き込まれる。
【００１９】
本発明のルーター探索方法によれば、第１のネットワークへ接続されているネットワーク接続機器の中に、第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索する。ルーター探索方法は、第１のネットワーク及び第２のネットワークにおいて実行される送信側ルーター探索方法及び受信側ルーター探索方法を有している。送信側ルーター探索方法は、送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び受信側ルーター探索方法のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成ステップ、及び該検査用ＩＰパケットを送信する検査用ＩＰパケット送信ステップを有している。受信側ルーター探索方法は、自己宛てのＩＰパケットを受信する受信ステップ、及び受信ステップにおいて受信したＩＰパケットが検査用ＩＰパケットに対する検査対象ネットワーク接続機器の返答のＩＰパケット（以下、「返答用ＩＰパケット」と言う。）であるか否かを判定しその判定結果に基づいて検査対象ネットワーク接続機器が作動中ルーターであるか否かを判断する判断する判断ステップを有している、
【００２０】
例えば、探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれている。好ましくは、送信側ルーター探索方法は、検査用ＩＰパケット送信ステップから検査用ＩＰパケットの送信する前に、受信側ルーター探索方法に今回の探索用パケット情報を知得させ又は知得可能にする知得ステップを有している。例えば、第１のネットワーク及び第２のネットワークはそれぞれイントラネット及びインターネットである。例えば、送信側ルーター探索方法は複数個のイントラネットにそれぞれ実行され、受信側ルーター探索方法は、複数個の送信側ルーター探索方法に対して共通に実行され、各イントラネットの送信側ルーター探索方法の生成ステップにおいて生成する検査用ＩＰパケットにおける探索用パケット情報は、各イントラネットごとに相互に識別自在なものとされている。
【００２１】
本発明のルーター探索方法の一形態では、トランスポート層パケットとはＴＣＰパケットであり、探索用パケット情報は、ＴＣＰパケットの送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に書き込まれる。別の形態では、トランスポート層パケットとはＵＤＰパケットであり、探索用パケット情報は、ＵＤＰパケットの送信元ポート番号、及び／又は送信先ポート番号に書き込まれる。
【００２２】
本発明の送信側ルーター探索プログラムによれば、本発明のルーター探索方法における送信側ルーター探索方法の各々に係るステップをコンピュータに実行させる。
【００２３】
本発明の受信側ルーター探索プログラムによれば、本発明のルーター探索方法における受信側ルーター探索方法の各々に係るステップをコンピュータに実行させる。
【００２４】
【発明の実施の形態】
以下、発明の実施の形態について図面を参照して説明する。
図１はイントラネット１０及びインターネット１９におけるルーター探索システムの各機器の配備場所を示している。イントラネット１０は、会社全体、支社、及び地域事業所等を単位に構築され、所定数のサーバ１１、及び多数のクライアント１２が共通のイントラネット１０に接続されている。認可済みルーター１３は、イントラネット１０をインターネット１９へ接続するルーターとして認可されたものであり、専用回線１５及びＩＳＰ１４を介してインターネット１９へ接続されているか、又はそれら専用回線１５及びＩＳＰ１４を介さずに直接、インターネット１９へ接続されている。無認可ルーター２２は、イントラネット１０において認可されていないルーターであり、クライアント１２の中には、そのユーザには悪意がないにもかかわらず、無認可ルーター２２となることがある。例えば、イントラネット１０に係る会社の社員が、ノート型パソコンをクライアント１２へ接続しつつ、私事についてのメールを、個人的に契約したプロバイダへモデム内蔵携帯電話を介して接続して、送受信することがある。このような場合、該端末は、無認可ルーター２２となって、ＩＳＰ２３を介してインターネット１９への接続状態になっている。特に、パソコンのＯＳがルーター機能を装備している場合には、パソコンが無認可ルーター２２となることがあり得る。そのような無認可ルーター２２は、認可済みルーター１３に比してファイアウォールが著しく低く、イントラネット１０への侵入を図ろうとするハッカーの攻撃対象になり易い。したがって、このようなイントラネット１０のアドミニストレータ又は運用管理受託業者は、無認可ルーター２２を速やかに検出し、ルーター機能を直ちに停止する通知を無認可ルーター２２のユーザへ出す等の対処が必要になる。
【００２５】
図２はＩＰパケットの概略構造図である。ＩＰパケットの構造は周知であり、ＯＳＩ参照基準のネットワーク層のパケットとしてのＩＰパケットはヘッダとそれに続くデータ部とを備え、ヘッダには、それぞれ３２ビットの送信元ＩＰアドレス及び送信先ＩＰアドレスの記述部が含まれている。
【００２６】
図３はＴＣＰパケットの概略構造図である。ＯＳＩ参照基準のトランスポート層パケットとしてのＴＣＰパケットの構造は周知であり、ＴＣＰパケットはヘッダとそれに続くデータ部とを備え、ヘッダには、先頭から順番に送信元ポート番号（１６ビット）、送信先ポート番号（１６ビット）、シーケンス番号（３２ビット）、・・・の記述部が含まれている。
【００２７】
図４はＵＤＰパケットの概略構造図である。ＯＳＩ参照基準のトランスポート層パケットとしてのＵＤＰパケットの構造は周知であり、ＵＤＰパケットはヘッダとそれに続くデータ部とを備え、ヘッダには、先頭から順番に送信元ポート番号（１６ビット）、送信先ポート番号（１６ビット）、・・・の記述部が含まれている。
【００２８】
本技術思想の一例では、無登録でルーターとして作動していると思われるネットワーク接続機器（以下、適宜「検査対象ネットワーク接続機器」と言う。）へ送信側ルーター探索器２６から、検査対象ネットワーク接続機器及び受信側ルーター探索器２８をそれぞれＩＰアドレスの送信先及び送信元とするＩＰパケット（以下、適宜、「検査用ＩＰパケット」と言う。）を送信し、次に、その返答のＩＰパケット（以下、適宜、「返答用ＩＰパケット」と言う。）を受信側ルーター探索器２８が受信するか否かにより、該ネットワーク接続機器が作動中ルーターであるか否かを判断する。このような技術思想が現実に成り立つかを実験した結果を説明する。
【００２９】
実験では、検査対象ネットワーク接続機器は、ルーター及びＬｉｎｕｘに実装したＩＰマスカレードルーターとした。どちらのルーターでも同様の結果が得られた。実験はｅｔｈ０（ｅｔｈはイーサーネット の略として使用している。）に９．１１６．*．*（セキュリティからアドレスを隠した。）のインターフェースとｅｔｈ１に１９２．１６８．３．１のインターフェースを持つルーターで行った。すなわちｅｔｈ０，ｅｔｈ１はルーターのそれぞれイントラネット側及びインターネット側のインターフェースである。次のパケットログＡ，Ｂは、９．１１６．*．*を送信先ＩＰアドレスにして、送信元ＩＰアドレスは１９２．１６８．３．１１と偽造したＴＣＰのＳＹＮパケットに対する２個の返答を示している。これらパケットログは、実験したルーターにおいてｅｔｈ０からｅｔｈ１へ実際に出力されたものである。偽造したパケットはｅｔｈ０で受信されたためｅｔｈ１用のパケットログには出力されない。注目する点は次の（ａ）〜（ｄ）のとおりである。
（ａ）返答のパケットの送信元ＩＰアドレスは検査対象ネットワーク接続機器のイントラネット側のアドレスである（ｅｔｈ０であり、インターネット側のアドレスｅｔｈ１ではない）こと。
（ｂ）ルーターは閉じているポート（ｔｅｌｎｅｔ）への送信パケットに対してもリセット用のパケットを返答として送信していること。つまり探索のために開いているポートを推測する必要はないことを意味する。
（ｃ）送信パケットからシーケンス番号（１２３４５）を設定して送ると、返答のパケットに（１２３４５＋１）の値が帰っている。つまり探索用の情報を受信装置へと送るためにＴＣＰのシーケンス番号が利用可能である。
（ｄ）ポート番号（送信元及び送信先のポート番号）を受信側ルーター探索器２８へと送るための領域として利用可能であること。
【００３０】
［パケットログＡ］
ｔｃｐｄｕｍｐ: ｌｉｓｔｅｎｉｎｇ ｏｎ ｅｔｈ１
１１:３７:１６．４９６３９９ ＞ ａｒｐ ｗｈｏ-ｈａｓ １９２．１６８．３．１１ ｔｅｌｌ ｓｘ．ｔｒｌ．ｉｂｍ．ｃｏｍ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３７:１６．４９６７７４ ＜ ａｒｐ ｒｅｐｌｙ １９２．１６８．３．１１ ｉｓ-ａｔ ０:４:ａｃ:２５:８３:９ｂ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３７:５６．７８９００２ ＞ ９．１１６．*．*．ｔｅｌｎｅｔ ＞ １９２．１６８．３．１１．０: Ｒ ０:０(０） ａｃｋ １２３４６ １ ｗｉｎ ０
【００３１】
［パケットログＢ］
１１:３８:０１．７８４１２９ ＞ ａｒｐ ｗｈｏ-ｈａｓ １９２．１６８．３．１１ ｔｅｌｌ １９２．１６８．３．１ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３８:０１．７８４４７３ ＜ ａｒｐ ｒｅｐｌｙ １９２．１６８．３．１１ ｉｓ-ａｔ ０:４:ａｃ:２５:８３:９ｂ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３９:４４．９９１９４３ ＞ ９．１１６．*．*．ｓｓｈ ＞ １９２．１６８．３．１１．０: Ｓ ３１７１６４６１４５:３１７１６４６１４５(０） ａｃｋ １２３４６ ｗｉｎ
３２６９６ ＜ｍｓｓ ５３６＞ (ＣＦ）
【００３２】
パケットログＡについて解説すると、”ｔｃｐｄｕｍｐ”はグローバルなツール名である。”１９２．１６８．３．１１．０: Ｒ ０:０(０）”は該ｔｅｌｎｅｔがリセット（＝拒絶）されたことを意味する。”１９２．１６８．３．１１．０: Ｒ ０:０(０）”は該ｔｅｌｎｅｔがリセット（＝拒絶）されたことを意味する。”ａｃｋ １２３４６”は、該ＴＣＰパケットがａｃｋ（返答）であり、シーケンス番号が１２３４６であることを意味する。
【００３３】
パケットログＢについて解説すると、”９．１１６．*．*．ｔｅｌｎｅｔ”とは、実験対象ルーターにｔｅｌｎｅｔが受信したことを意味する。”９．１１６．*．*．ｓｓｈ”とは、実験対象ルーターにｓｓｈ（暗号化されたｔｅｌｎｅｔ）が受信したことを意味する。”１９２．１６８．３．１１．０: Ｓ ３１７１６４６１４５:３１７１６４６１４５(０）”は該ｓｓｈがセット（＝受容）されたことを意味する。”ａｃｋ １２３４６”は、該ＴＣＰパケットがａｃｋ（返答）であり、シーケンス番号が１２３４６であることを意味する。
【００３４】
ＴＣＰパケットのかわりにＵＣＰパケットを送信した場合を示す。次のパケットログＣに示すように、閉じられたポート（ｓｓｈ）の返答としてＩＣＭＰパケットが送出される。これはエラーを示すものだが、この場合でも送信パケットの送信先ポート番号の値は通信用として利用可能であることが分かった。また、ＴＣＰの実験と同様にルーターのイントラネット側のアドレスを知ることができる。
【００３５】
［パケットログＣ］
１１:５５:３９．５３５８９６ ＞ ９．１１６．*．* ＞ １９２．１６８．３．１１: ｉｃｍｐ: ９．１１６．*．* ｕｄｐ ｐｏｒｔ ｓｓｈ ｕｎｒｅａｃｈａｂｌｅ [ｔｏｓ ０ｘｃ０]
【００３６】
ＩＣＭＰはＴＣＰやＵＤＰと同じくトランスポート層のプロトコルであり、ＵＤＰパケットでルーターにサービスを要求したときに、ルーターに該サービスが無いと、ＩＣＭＰパケットで返答がなされる。”ｓｓｈ ｕｎｒｅａｃｈａｂｌｅ”は、ｓｓｈが無いことを意味している。
【００３７】
ここで、ＳＩＤは、送信側ルーター探索器２６(図１）が今回の検査のために使用するＩＰパケットを他のＩＰパケットと識別するためのＩＤ（識別子）と定義する。受信側ルーター探索器２８（図１）は、自己宛てに受信したＩＰパケットがＳＩＤを含むか否かにより、受信ＩＰパケットが検査用ＩＰパケットかそうでないかを区別することができる。また、図１では、イントラネット１０が１個しか図示されていないが、インターネット１９には多数のイントラネット１０が接続されており、共通のイントラネット運用管理業者が、自分の請け負っている複数個のイントラネット１０について共通の受信側ルーター探索器２８により各イントラネット１０の無認可ルーター２２の検出を行おうとすることがある。そのような場合のＳＩＤは、検査用ＩＰパケットが、検査用ＩＰパケットではないＩＰパケットと識別できるものに設定されているとともに、各イントラネット１０ごとにＳＩＤを相互に識別できるように設定される。このようなＳＩＤは、例えば、各イントラネット１０に対応してイントラネット運用管理業者の決めた顧客番号ｎ１と、送信側ルーター探索器２６からの検査用ＩＰパケットの送信日又は送信日時に対応する数値ｎ２とを前後に文字連結した数値ｎｔ（例：ｎ１，ｎ２がそれぞれ２進表示で０１０１，１０００であるならば、ｎｔ＝０１０１１０００である。）とする。
【００３８】
図５は送信側ルーター探索器２６の装備する機能についてのブロック図である。ＳＩＤ設定手段３６は、今回の検査のために受信側ルーター探索器２８が送信する検査用ＩＰパケットに含ませる探索用パケット情報としてのＳＩＤを設定する。ＳＩＤ通知手段３７は、ＳＩＤ設定手段３６の設定したＳＩＤを受信側ルーター探索器２８へＨＴＰＰやＦＴＰ等で通知する。この通知は認可済みルーター１３を介してイントラネット１０からインターネット１９へ送られる。リスト作成手段４１はイントラネット１０においてイントラネット１０における今回の全部の検査対象ネットワーク接続機器のＩＰアドレスのリストを作成する。ＴＣＰパケット生成手段４２は、ＳＩＤ設定手段３６の設定したＳＩＤに基づくヘッダを備えるＴＣＰパケットを生成する。具体的には、ＳＩＤは、図３における送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に記入される。したがって、最大６４ビットのＳＩＤをＴＣＰパケットのヘッダに記入することができる。ＩＰパケット生成手段４３は所定のＩＰパケットを生成する。ＩＰパケット生成手段４３の生成するＩＰパケットでは、ＴＣＰパケット生成手段４２の生成したＴＣＰパケットがデータ部に積載され、さらに、その送信元ＩＰアドレスは受信側ルーター探索器２８のＩＰアドレスとされ、送信先ＩＰアドレスはリスト作成手段４１の作成したリストから所定の順番で選択した１個の検査対象ネットワーク接続機器のＩＰアドレスとされる。ＩＰパケット生成手段４３は、リスト作成手段４１の作成したリストに掲載されている全部の検査対象ネットワーク接続機器について、各検査対象ネットワーク接続機器のＩＰアドレスを送信先ＩＰアドレスとするＩＰパケットを生成する。注意すべきは、ＩＰパケット生成手段４３の生成するＩＰパケットの送信元ＩＰアドレスは、実際の送信側ルーター探索器２６のＩＰアドレスではなく、受信側ルーター探索器２８のＩＰアドレスとされていることである。ＩＰパケット送信手段４４は、ＩＰパケット生成手段４３の生成したＩＰパケットを次々にイントラネット１０へ出力する。
【００３９】
送信側ルーター探索器２６がＩＰパケット送信手段４４よりイントラネット１０へ送り出したＩＰパケット（検査用ＩＰパケット）は、それらの送信先ＩＰアドレスと一致するイントラネット１０内の検査対象ネットワーク接続機器へ送られる。検査対象ネットワーク接続機器は、受信した検査用ＩＰパケットに対する返答のＩＰパケット(返答用ＩＰパケット）を生成する。該返答用ＩＰパケットでは、その送信元ＩＰアドレス及び送信先ＩＰアドレスがそれぞれ検査用ＩＰパケットの送信先ＩＰアドレス及び送信元ＩＰアドレス、すなわち検査対象ネットワーク接続機器のＩＰアドレス及び受信側ルーター探索器２８のＩＰアドレスとなっている。検査対象ネットワーク接続機器がルーターである場合には、返答用ＩＰパケットは、該ルーターよりインターネット１９へ送信され、受信側ルーター探索器２８に到達する。検査対象ネットワーク接続機器がルーターでなかったときは、返答用ＩＰパケットはイントラネット１０へ送信され、認可済みルーター１３はイントラネット１０からインターネット１９への返答用ＩＰパケットの通過を禁止し、返答用ＩＰパケットはイントラネット１０において消滅する。したがって、受信側ルーター探索器２８が返答用ＩＰパケットを受信したときは、該検査対象ネットワーク接続機器は作動中ルーターであると判断できる。
【００４０】
図６は受信側ルーター探索器２８の装備する機能についてのブロック図である。ＳＩＤ受信手段４９は、イントラネット１０への送信側ルーター探索器２６のＩＰパケット送信手段４４からの検査用ＩＰパケットの送出に先立って、送信側ルーター探索器２６のＳＩＤ通知手段３７から伝送されて来るＳＩＤ情報を受信する。ＳＩＤ登録手段５０は、ＳＩＤ受信手段４９の受信したＳＩＤ情報を所定のメモリに登録する。イントラネット１０内に無認可ルーター２２が存在するか否かの検査は、複数のイントラネット１０において時間重複して行うことがあり、通常、受信側ルーター探索器２８は、検査を行おうとしている複数のイントラネット１０に対して共通に１個だけ用意される。したがって、各イントラネット１０に対して共通にインターネット１９に配備される受信側ルーター探索器２８の受信する返答用ＩＰパケットに含まれるＳＩＤは、イントラネット１０ごとに識別できるように、各送信側ルーター探索器２６のＳＩＤ設定手段３６において設定されている。ＩＰパケット受信手段５３は、自己宛てのＩＰパケットをインターネット１９より受信する。ＳＩＤ抽出手段５４は、ＩＰパケット受信手段５３が受信したＩＰパケットから、そのデータ部に積載されているＴＣＰパケットを抜き出し、さらに、抜き出したＴＣＰパケットのヘッダからＳＩＤを抽出する。ＳＩＤ照合手段５５は、ＳＩＤ抽出手段５４の抽出したＳＩＤについて、ＳＩＤ登録手段５０において登録されている照合用のＳＩＤと対比する。ルーター判別手段５６は、ＳＩＤ照合手段５５における照合の結果、抽出ＳＩＤが照合用ＳＩＤのいずれかと一致していれば、該照合用ＳＩＤに対応のイントラネット１０の無認可ルーター２２からの返答用ＩＰパケットを受信側ルーター探索器２８が受信したものとし、該検査用ＩＰパケットの送信元ＩＰアドレスに係るネットワーク接続機器は作動中ルーターと判断する。
【００４１】
図７はルーター検査のために送信側ルーター探索器２６において実行されるプログラムのフローチャートである。Ｓ６１では、送信側ルーター探索器２６がネットワーク接続機器として接続されているイントラネット１０についての今回の探索用のＳＩＤを設定する。Ｓ６２では、Ｓ６１で設定したＳＩＤを受信側ルーター探索器２８へＨＴＴＰやＦＴＰ等で通知する。Ｓ６３では、ルーターであるか否かを今回検査しようとする、イントラネット１０内の全部の検査対象ネットワーク接続機器についてのＩＰアドレスのリストを作成する。Ｓ６４では、Ｓ６３で作成したリストに載っている各検査対象ネットワーク接続機器について、所定のＩＰアドレスを生成し、イントラネット１０を介して送信する。Ｓ６４におけるＩＰパケットの具体的な生成の仕方は図５のＩＰパケット生成手段４３に関連して前述したのと同一である。
【００４２】
図８はルーター検査のために受信側ルーター探索器２８において実行されるプログラムのフローチャートである。該プログラムは、複数個のイントラネット１０における無認可ルーター２２の探索に適用されるとともに、各イントラネット１０における複数個の無認可ルーター２２の探索に適用される。Ｓ６９では、前述のＳ６２において送信側ルーター探索器２６から送信されたＳＩＤをＨＴＴＰやＦＴＰ等によりインターネット１９から受信する。Ｓ７０では、Ｓ６９で受信したＳＩＤを今回の探索用のＳＩＤとして登録する。受信側ルーター探索器２８が、複数個のイントラネット１０からＳＩＤを受信することになっている場合は、各イントラネット１０のＳＩＤは相互に識別自在になっているとともに、各イントラネット１０に対応付けて各ＳＩＤが登録される。Ｓ７１では、受信側ルーター探索器２８宛てのＩＰパケットを受信したか否かを判定し、該判定がＹＥＳであれば、Ｓ７２へ進み、ＮＯであれば、Ｓ７５へ進む。受信側ルーター探索器２８宛てのＩＰパケットを受信したときは、Ｓ７２において、該ＩＰパケットからＳＩＤを抽出する。抽出するＳＩＤは、該ＩＰパケットのデータ部に書き込まれているＴＣＰパケットのヘッダ部の送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号の部位に書き込まれている。Ｓ７３では、Ｓ７０で登録したＳＩＤの中に、Ｓ７２で抽出したＳＩＤと同一のものが存在するか否かを判定し、該判定がＹＥＳであれば、Ｓ７４へ進み、ＮＯであれば、Ｓ７５へ進む。Ｓ７４では、Ｓ７１において、今回受信したＩＰパケットは返答用ＩＰパケットと判断し、該返答用ＩＰパケットの送信元ＩＰアドレスをもつ検査対象ネットワーク接続機器はルーターとなっていると判断する。Ｓ７５では、検査開始から所定時間が経過したか否かを判定し、該判定がＹＥＳであれば、該プログラムを終了し、ＮＯであれば、Ｓ７１へ戻る。
【図面の簡単な説明】
【図１】イントラネット及びインターネットにおけるルーター探索システムの各機器の配備場所を示す図である。
【図２】ＩＰパケットの概略構造図である。
【図３】ＴＣＰパケットの概略構造図である。
【図４】ＵＤＰパケットの概略構造図である。
【図５】送信側ルーター探索器の装備する機能についてのブロック図である。
【図６】受信側ルーター探索器の装備する機能についてのブロック図である。
【図７】ルーター検査のために送信側ルーター探索器において実行されるプログラムのフローチャートである。
【図８】ルーター検査のために受信側ルーター探索器において実行されるプログラムのフローチャートである。
【符号の説明】
１０ イントラネット
１９ インターネット
２２ 無認可ルーター
２６ 送信側ルーター探索器
２８ 受信側ルーター探索器
３６ ＳＩＤ設定手段
３７ ＳＩＤ通知手段
４１ リスト作成手段
４２ ＴＣＰパケット生成手段
４３ ＩＰパケット生成手段
４４ ＩＰパケット送信手段
４９ ＳＩＤ受信手段
５０ ＳＩＤ登録手段
５３ ＩＰパケット受信手段
５４ ＳＩＤ抽出手段
５５ ＳＩＤ照合手段
５６ ルーター判別手段
【発明の属する技術分野】
本発明は、ルーターとして作動しているネットワーク接続機器を探索するルーター探索システム及びルーター探索方法に関し、例えばイントラネット内で無認可で存在するルーターを探索するルーター探索システム、ルーター探索方法、及び関連プログラムに関するものである。
【０００２】
【従来の技術】
大規模なイントラネットでは、ユーザが、ノート型パソコンを含む自分の端末を、イントラネットへ接続したまま、自分の携帯電話機用モデムやＩＳＤＮルーター等を介して外部のＩＳＰ（インターネット・サービス・プロバイダ）へ接続して、メールを読んだりすることがある。イントラネットの正式のルーターは十分ファイアウォールを装備しているいるのに、これら一時的なルーターは、ファイアウォールが弱く、外部の不正アクセス者の攻撃の的になり易い。なお、例えば、Ｗｉｎｄｏｗｓ ＮＴやＷｉｎｄｏｗｓ ２０００（いずれもマイクロソフト社の登録商標）のようなＯＳは、ルーター機能を装備し、ルーター機能の自動作動が有効に設定されている場合、ユーザが、特にルーター機能を作動させる意思が無くても、自分のモデム等を介して外部のＩＳＰへ接続すると、自動的にルーター機能が作動する。
【０００３】
従来のルーター検出手法として、次の三つの手法が知られている。
（ａ）バナー検出法（ｂａｎｎｅｒ ｇｒａｂｂｉｎｇ）
ｔｅｌｎｅｔやｆｔｐなどの接続時のメッセージを見ることで、機器の製造元やＯＳなどを特定できる場合がある。専用のネットワーク機器を使用してルーターを構築している場合には、この手法でルーターを検出する場合がある。
（ｂ）ＯＳ検出法（ＯＳ ｄｅｔｅｃｔｉｏｎ）
通常出現しないようなパケットに対するレスポンスは機器ごとのネットワーク実装に依存する。それ故、そのレスポンスからＯＳを特定することが可能である。この手法でも専用ルーターを検出できる。
（ｃ）ルーティングプロトコル法（ｒｏｕｔｉｎｇ ｐｒｏｔｏｃｏｌ）
ルーターは近傍のルーターとルーティング情報を交換するために、幾つかのプロトコル（ＲＩＰ，ＯＳＰＦなど）が実装されている。それらのプロトコルに対してレスポンスを返すということはルーター機能が動作していることを意味する。
（ｄ）ＳＮＭＰ法（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）
ネットワーク機器のリモート管理用のプロトコルＳＮＭＰを実装したルーターは多い。ＳＮＭＰはアクセスコントロールされているが、正当なアクセスではルーターの機能やルーターのインターフェース情報などを取得可能である。ＳＮＭＰを使用すれば必要十分な情報を得ることができる。
【０００４】
【発明が解決しようとする課題】
従来の検出法では、ルータは特定可能であるが、ルータの先にインター
ネットが接続されているかどうか特定できない。また、ＬｉｎｕｘやＷｉｎｄｏｗｓなどのＯＳを利用してルーターとしている場合には、ＯＳを特定できてもその運用方法を特定することはできない。ＯＳ検出法では、ルーターの先の情報やコンピュータのルーターとしての機能を特定することはできない。ルーティングプロトコル法では、低価格のネットワーク機器やＯＳを利用したルーターではルーティングプロトコルが実装されていないことが多く、それらのルーターについては、ルーターとして検出困難である。ＳＮＭＰ法は、アクセスコントロールによって情報を取得できなかったり、ＳＮＭＰを実装していないルーターなども普及しているため、不十分である。
【０００５】
本発明の目的は、複数個のネットワークを接続するルーターとして現在、作動しているネットワーク接続機器を的確に探索することのできるルーター探索システム、ルーター探索方法、及びルーター探索システムプログラムを提供することである。
【０００６】
【課題を解決するための手段】
第１の発明のルーター探索システムによれば、第１のネットワークへ接続されているネットワーク接続機器の中に、第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索する。ルーター探索システムはそれぞれ第１のネットワーク及び第２のネットワークへ接続されている送信側ルーター探索装置及び受信側ルーター探索装置を有している。送信側ルーター探索装置は、送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び受信側ルーター探索装置のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成手段、及び該検査用ＩＰパケットを送信する検査用ＩＰパケット送信手段を有している。受信側ルーター探索装置は、自己宛てのＩＰパケットを受信する受信手段、及び受信手段の受信したＩＰパケットが検査用ＩＰパケットに対する検査対象ネットワーク接続機器の返答のＩＰパケット（以下、「返答用ＩＰパケット」と言う。）であるか否かを判定しその判定結果に基づいて検査対象ネットワーク接続機器が作動中ルーターであるか否かを判断する判断する判断手段を有している。
【０００７】
第１のネットワークに接続されているネットワーク機器の中で、今回の検査対象ネットワーク接続機器をどれにするかとして、例えば今回の検査対象ネットワーク接続機器を、前回の検査から漏れているものとしたり、ＩＰアドレス付与から時間のあまり経過していないものとしたりする場合もあるが、第１のネットワークがイントラネットの場合には、該イントラネットのアドレススペースに登録されている全部のネットワーク機器、すなわち該イントラネットへ現在、接続中の全部のネットワーク機器を検査対象ネットワーク接続機器としてもよく、それにより、検査時間が特に長くなり過ぎということはない。
【０００８】
ネットワーク接続機器は、自己宛てで受信したＩＰパケット（以下、該ＩＰパケットを適宜「検査用ＩＰパケット」と言う。）に対し、所定の返答をＩＰパケット（以下、該ＩＰパケットを適宜「返答用ＩＰパケット」と言う。）で行う。返答用ＩＰパケットの送信先ＩＰアドレス及び送信元ＩＰアドレスは検査用ＩＰパケットの送信元ＩＰアドレス及び送信先ＩＰアドレスとなっている。検査対象ネットワーク接続機器が作動中ルーターであれば、返答用ＩＰパケットは、該作動中ルーターから第２のネットワークへ送出され、受信側ルーター探索装置に到達する。受信側ルーター探索装置の判断手段は、受信手段の受信したＩＰパケットに探索用パケット情報が含まれているか否かを判断し、含まれていれば、検査対象ネットワーク接続機器は作動中ルーターと判断できる。なお、検査対象ネットワーク接続機器が作動中ルーターでなければ、返答用ＩＰパケットは、第２のネットワーク側へ送出されることなく、一般には、第１のネットワーク内で消滅する。
【０００９】
第２の発明のルーター探索システムによれば、第１の発明のルーター探索システムにおいて、探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれている。
【００１０】
ＯＳＩ参照基準パケットには、例えばＴＣＰパケットやＵＤＰパケットが含まれる。ルーターの生成する返答用ＩＰパケットのトランスポート層のヘッダの所定部位のデータは、検査用ＩＰパケットのトランスポート層のヘッダの所定部位のデータがそのまま保存されているか、その関連値（例：ＴＣＰパケットのシーケンス番号の場合では、返答のＴＣＰパケットのシーケンス番号は検査のＴＣＰパケットのシーケンス番号に１だけ加算される。）で保存されている。したがって、送信側ルーター探索装置からの探索用パケット情報は作動中ルーターを介して受信側ルーター探索装置へ到達し、受信側ルーター探索装置は、ＩＰパケットの探索用パケット情報からそれが検査用ＩＰパケットに由来するものであるか否かを検出することができる。
【００１１】
第３の発明のルーター探索システムによれば、第１又は第２の発明のルーター探索システムにおいて、送信側ルーター探索装置は、検査用ＩＰパケット送信手段から検査用ＩＰパケットの送信する前に、受信側ルーター探索装置に今回の探索用パケット情報を知得させ又は知得可能にする知得手段を有している。
【００１２】
知得手段には、例えば、今回の探索用パケット情報をＨＴＴＰやＦＴＰ等により受信側ルーター探索装置へ通知する通知手段の他に、例えば今回の探索用パケット情報を所定のウェブページに提示する情報提示手段が含まれる。知得手段が情報提示手段である場合には、受信側ルーター探索装置はプッシュ型で探索用パケット情報を入手する。
【００１３】
第４の発明のルーター探索システムによれば、第１〜第３のいずれかの発明のルーター探索システムにおいて、第１のネットワーク及び第２のネットワークはそれぞれイントラネット及びインターネットである。
【００１４】
検査対象ネットワーク接続機器が作動中ルーターであるか否かを検査する場合、検査対象ネットワーク接続機器のＩＰアドレスの入手が必要になる。また、典型的には、ネットワークに接続されているネットワーク接続機器の全部を検査対象ネットワーク接続機器として検査を実行するのではなく、作動中ルーターでありそうなネットワーク接続機器を適当に絞って、それ又はそれらのネットワーク接続機器について検査が実行される。送信側ルーター探索装置及び検査対象ネットワーク接続機器がイントラネットに接続されている場合、作動中ルーターとして作動していそうな検査対象ネットワーク接続機器を円滑に絞ることができ、また、該検査対象ネットワーク接続機器のＩＰアドレスを比較的円滑に検出することができるので、ルーター検出を効率的に行うことができる。
【００１５】
第５の発明のルーター探索システムによれば、第４の発明のルーター探索システムにおいて、送信側ルーター探索装置は複数個のイントラネットにそれぞれ配備され、受信側ルーター探索装置は、複数個の送信側ルーター探索装置に対して共通に配備され、各イントラネットの送信側ルーター探索装置の生成手段の生成する検査用ＩＰパケットにおける探索用パケット情報は、各イントラネットごとに相互に識別自在なものとされている。
【００１６】
検査対象ネットワーク接続機器の含まれる複数個のイントラネットに対して受信側ルーター探索装置が共通化され、ルーター探索システム全体の構成が簡単化する。
【００１７】
第６の発明のルーター探索システムによれば、第２の発明のルーター探索システムにおいて、トランスポート層パケットとはＴＣＰパケットであり、探索用パケット情報は、ＴＣＰパケットの送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に書き込まれる。
【００１８】
第７の発明のルーター探索システムによれば、第２の発明のルーター探索システムにおいて、トランスポート層パケットとはＵＤＰパケットであり、探索用パケット情報は、ＵＤＰパケットの送信元ポート番号、及び／又は送信先ポート番号に書き込まれる。
【００１９】
本発明のルーター探索方法によれば、第１のネットワークへ接続されているネットワーク接続機器の中に、第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索する。ルーター探索方法は、第１のネットワーク及び第２のネットワークにおいて実行される送信側ルーター探索方法及び受信側ルーター探索方法を有している。送信側ルーター探索方法は、送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び受信側ルーター探索方法のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成ステップ、及び該検査用ＩＰパケットを送信する検査用ＩＰパケット送信ステップを有している。受信側ルーター探索方法は、自己宛てのＩＰパケットを受信する受信ステップ、及び受信ステップにおいて受信したＩＰパケットが検査用ＩＰパケットに対する検査対象ネットワーク接続機器の返答のＩＰパケット（以下、「返答用ＩＰパケット」と言う。）であるか否かを判定しその判定結果に基づいて検査対象ネットワーク接続機器が作動中ルーターであるか否かを判断する判断する判断ステップを有している、
【００２０】
例えば、探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれている。好ましくは、送信側ルーター探索方法は、検査用ＩＰパケット送信ステップから検査用ＩＰパケットの送信する前に、受信側ルーター探索方法に今回の探索用パケット情報を知得させ又は知得可能にする知得ステップを有している。例えば、第１のネットワーク及び第２のネットワークはそれぞれイントラネット及びインターネットである。例えば、送信側ルーター探索方法は複数個のイントラネットにそれぞれ実行され、受信側ルーター探索方法は、複数個の送信側ルーター探索方法に対して共通に実行され、各イントラネットの送信側ルーター探索方法の生成ステップにおいて生成する検査用ＩＰパケットにおける探索用パケット情報は、各イントラネットごとに相互に識別自在なものとされている。
【００２１】
本発明のルーター探索方法の一形態では、トランスポート層パケットとはＴＣＰパケットであり、探索用パケット情報は、ＴＣＰパケットの送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に書き込まれる。別の形態では、トランスポート層パケットとはＵＤＰパケットであり、探索用パケット情報は、ＵＤＰパケットの送信元ポート番号、及び／又は送信先ポート番号に書き込まれる。
【００２２】
本発明の送信側ルーター探索プログラムによれば、本発明のルーター探索方法における送信側ルーター探索方法の各々に係るステップをコンピュータに実行させる。
【００２３】
本発明の受信側ルーター探索プログラムによれば、本発明のルーター探索方法における受信側ルーター探索方法の各々に係るステップをコンピュータに実行させる。
【００２４】
【発明の実施の形態】
以下、発明の実施の形態について図面を参照して説明する。
図１はイントラネット１０及びインターネット１９におけるルーター探索システムの各機器の配備場所を示している。イントラネット１０は、会社全体、支社、及び地域事業所等を単位に構築され、所定数のサーバ１１、及び多数のクライアント１２が共通のイントラネット１０に接続されている。認可済みルーター１３は、イントラネット１０をインターネット１９へ接続するルーターとして認可されたものであり、専用回線１５及びＩＳＰ１４を介してインターネット１９へ接続されているか、又はそれら専用回線１５及びＩＳＰ１４を介さずに直接、インターネット１９へ接続されている。無認可ルーター２２は、イントラネット１０において認可されていないルーターであり、クライアント１２の中には、そのユーザには悪意がないにもかかわらず、無認可ルーター２２となることがある。例えば、イントラネット１０に係る会社の社員が、ノート型パソコンをクライアント１２へ接続しつつ、私事についてのメールを、個人的に契約したプロバイダへモデム内蔵携帯電話を介して接続して、送受信することがある。このような場合、該端末は、無認可ルーター２２となって、ＩＳＰ２３を介してインターネット１９への接続状態になっている。特に、パソコンのＯＳがルーター機能を装備している場合には、パソコンが無認可ルーター２２となることがあり得る。そのような無認可ルーター２２は、認可済みルーター１３に比してファイアウォールが著しく低く、イントラネット１０への侵入を図ろうとするハッカーの攻撃対象になり易い。したがって、このようなイントラネット１０のアドミニストレータ又は運用管理受託業者は、無認可ルーター２２を速やかに検出し、ルーター機能を直ちに停止する通知を無認可ルーター２２のユーザへ出す等の対処が必要になる。
【００２５】
図２はＩＰパケットの概略構造図である。ＩＰパケットの構造は周知であり、ＯＳＩ参照基準のネットワーク層のパケットとしてのＩＰパケットはヘッダとそれに続くデータ部とを備え、ヘッダには、それぞれ３２ビットの送信元ＩＰアドレス及び送信先ＩＰアドレスの記述部が含まれている。
【００２６】
図３はＴＣＰパケットの概略構造図である。ＯＳＩ参照基準のトランスポート層パケットとしてのＴＣＰパケットの構造は周知であり、ＴＣＰパケットはヘッダとそれに続くデータ部とを備え、ヘッダには、先頭から順番に送信元ポート番号（１６ビット）、送信先ポート番号（１６ビット）、シーケンス番号（３２ビット）、・・・の記述部が含まれている。
【００２７】
図４はＵＤＰパケットの概略構造図である。ＯＳＩ参照基準のトランスポート層パケットとしてのＵＤＰパケットの構造は周知であり、ＵＤＰパケットはヘッダとそれに続くデータ部とを備え、ヘッダには、先頭から順番に送信元ポート番号（１６ビット）、送信先ポート番号（１６ビット）、・・・の記述部が含まれている。
【００２８】
本技術思想の一例では、無登録でルーターとして作動していると思われるネットワーク接続機器（以下、適宜「検査対象ネットワーク接続機器」と言う。）へ送信側ルーター探索器２６から、検査対象ネットワーク接続機器及び受信側ルーター探索器２８をそれぞれＩＰアドレスの送信先及び送信元とするＩＰパケット（以下、適宜、「検査用ＩＰパケット」と言う。）を送信し、次に、その返答のＩＰパケット（以下、適宜、「返答用ＩＰパケット」と言う。）を受信側ルーター探索器２８が受信するか否かにより、該ネットワーク接続機器が作動中ルーターであるか否かを判断する。このような技術思想が現実に成り立つかを実験した結果を説明する。
【００２９】
実験では、検査対象ネットワーク接続機器は、ルーター及びＬｉｎｕｘに実装したＩＰマスカレードルーターとした。どちらのルーターでも同様の結果が得られた。実験はｅｔｈ０（ｅｔｈはイーサーネット の略として使用している。）に９．１１６．*．*（セキュリティからアドレスを隠した。）のインターフェースとｅｔｈ１に１９２．１６８．３．１のインターフェースを持つルーターで行った。すなわちｅｔｈ０，ｅｔｈ１はルーターのそれぞれイントラネット側及びインターネット側のインターフェースである。次のパケットログＡ，Ｂは、９．１１６．*．*を送信先ＩＰアドレスにして、送信元ＩＰアドレスは１９２．１６８．３．１１と偽造したＴＣＰのＳＹＮパケットに対する２個の返答を示している。これらパケットログは、実験したルーターにおいてｅｔｈ０からｅｔｈ１へ実際に出力されたものである。偽造したパケットはｅｔｈ０で受信されたためｅｔｈ１用のパケットログには出力されない。注目する点は次の（ａ）〜（ｄ）のとおりである。
（ａ）返答のパケットの送信元ＩＰアドレスは検査対象ネットワーク接続機器のイントラネット側のアドレスである（ｅｔｈ０であり、インターネット側のアドレスｅｔｈ１ではない）こと。
（ｂ）ルーターは閉じているポート（ｔｅｌｎｅｔ）への送信パケットに対してもリセット用のパケットを返答として送信していること。つまり探索のために開いているポートを推測する必要はないことを意味する。
（ｃ）送信パケットからシーケンス番号（１２３４５）を設定して送ると、返答のパケットに（１２３４５＋１）の値が帰っている。つまり探索用の情報を受信装置へと送るためにＴＣＰのシーケンス番号が利用可能である。
（ｄ）ポート番号（送信元及び送信先のポート番号）を受信側ルーター探索器２８へと送るための領域として利用可能であること。
【００３０】
［パケットログＡ］
ｔｃｐｄｕｍｐ: ｌｉｓｔｅｎｉｎｇ ｏｎ ｅｔｈ１
１１:３７:１６．４９６３９９ ＞ ａｒｐ ｗｈｏ-ｈａｓ １９２．１６８．３．１１ ｔｅｌｌ ｓｘ．ｔｒｌ．ｉｂｍ．ｃｏｍ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３７:１６．４９６７７４ ＜ ａｒｐ ｒｅｐｌｙ １９２．１６８．３．１１ ｉｓ-ａｔ ０:４:ａｃ:２５:８３:９ｂ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３７:５６．７８９００２ ＞ ９．１１６．*．*．ｔｅｌｎｅｔ ＞ １９２．１６８．３．１１．０: Ｒ ０:０(０） ａｃｋ １２３４６ １ ｗｉｎ ０
【００３１】
［パケットログＢ］
１１:３８:０１．７８４１２９ ＞ ａｒｐ ｗｈｏ-ｈａｓ １９２．１６８．３．１１ ｔｅｌｌ １９２．１６８．３．１ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３８:０１．７８４４７３ ＜ ａｒｐ ｒｅｐｌｙ １９２．１６８．３．１１ ｉｓ-ａｔ ０:４:ａｃ:２５:８３:９ｂ (０:１０:５ａ:５ｅ:ｆ４:７ｂ）
１１:３９:４４．９９１９４３ ＞ ９．１１６．*．*．ｓｓｈ ＞ １９２．１６８．３．１１．０: Ｓ ３１７１６４６１４５:３１７１６４６１４５(０） ａｃｋ １２３４６ ｗｉｎ
３２６９６ ＜ｍｓｓ ５３６＞ (ＣＦ）
【００３２】
パケットログＡについて解説すると、”ｔｃｐｄｕｍｐ”はグローバルなツール名である。”１９２．１６８．３．１１．０: Ｒ ０:０(０）”は該ｔｅｌｎｅｔがリセット（＝拒絶）されたことを意味する。”１９２．１６８．３．１１．０: Ｒ ０:０(０）”は該ｔｅｌｎｅｔがリセット（＝拒絶）されたことを意味する。”ａｃｋ １２３４６”は、該ＴＣＰパケットがａｃｋ（返答）であり、シーケンス番号が１２３４６であることを意味する。
【００３３】
パケットログＢについて解説すると、”９．１１６．*．*．ｔｅｌｎｅｔ”とは、実験対象ルーターにｔｅｌｎｅｔが受信したことを意味する。”９．１１６．*．*．ｓｓｈ”とは、実験対象ルーターにｓｓｈ（暗号化されたｔｅｌｎｅｔ）が受信したことを意味する。”１９２．１６８．３．１１．０: Ｓ ３１７１６４６１４５:３１７１６４６１４５(０）”は該ｓｓｈがセット（＝受容）されたことを意味する。”ａｃｋ １２３４６”は、該ＴＣＰパケットがａｃｋ（返答）であり、シーケンス番号が１２３４６であることを意味する。
【００３４】
ＴＣＰパケットのかわりにＵＣＰパケットを送信した場合を示す。次のパケットログＣに示すように、閉じられたポート（ｓｓｈ）の返答としてＩＣＭＰパケットが送出される。これはエラーを示すものだが、この場合でも送信パケットの送信先ポート番号の値は通信用として利用可能であることが分かった。また、ＴＣＰの実験と同様にルーターのイントラネット側のアドレスを知ることができる。
【００３５】
［パケットログＣ］
１１:５５:３９．５３５８９６ ＞ ９．１１６．*．* ＞ １９２．１６８．３．１１: ｉｃｍｐ: ９．１１６．*．* ｕｄｐ ｐｏｒｔ ｓｓｈ ｕｎｒｅａｃｈａｂｌｅ [ｔｏｓ ０ｘｃ０]
【００３６】
ＩＣＭＰはＴＣＰやＵＤＰと同じくトランスポート層のプロトコルであり、ＵＤＰパケットでルーターにサービスを要求したときに、ルーターに該サービスが無いと、ＩＣＭＰパケットで返答がなされる。”ｓｓｈ ｕｎｒｅａｃｈａｂｌｅ”は、ｓｓｈが無いことを意味している。
【００３７】
ここで、ＳＩＤは、送信側ルーター探索器２６(図１）が今回の検査のために使用するＩＰパケットを他のＩＰパケットと識別するためのＩＤ（識別子）と定義する。受信側ルーター探索器２８（図１）は、自己宛てに受信したＩＰパケットがＳＩＤを含むか否かにより、受信ＩＰパケットが検査用ＩＰパケットかそうでないかを区別することができる。また、図１では、イントラネット１０が１個しか図示されていないが、インターネット１９には多数のイントラネット１０が接続されており、共通のイントラネット運用管理業者が、自分の請け負っている複数個のイントラネット１０について共通の受信側ルーター探索器２８により各イントラネット１０の無認可ルーター２２の検出を行おうとすることがある。そのような場合のＳＩＤは、検査用ＩＰパケットが、検査用ＩＰパケットではないＩＰパケットと識別できるものに設定されているとともに、各イントラネット１０ごとにＳＩＤを相互に識別できるように設定される。このようなＳＩＤは、例えば、各イントラネット１０に対応してイントラネット運用管理業者の決めた顧客番号ｎ１と、送信側ルーター探索器２６からの検査用ＩＰパケットの送信日又は送信日時に対応する数値ｎ２とを前後に文字連結した数値ｎｔ（例：ｎ１，ｎ２がそれぞれ２進表示で０１０１，１０００であるならば、ｎｔ＝０１０１１０００である。）とする。
【００３８】
図５は送信側ルーター探索器２６の装備する機能についてのブロック図である。ＳＩＤ設定手段３６は、今回の検査のために受信側ルーター探索器２８が送信する検査用ＩＰパケットに含ませる探索用パケット情報としてのＳＩＤを設定する。ＳＩＤ通知手段３７は、ＳＩＤ設定手段３６の設定したＳＩＤを受信側ルーター探索器２８へＨＴＰＰやＦＴＰ等で通知する。この通知は認可済みルーター１３を介してイントラネット１０からインターネット１９へ送られる。リスト作成手段４１はイントラネット１０においてイントラネット１０における今回の全部の検査対象ネットワーク接続機器のＩＰアドレスのリストを作成する。ＴＣＰパケット生成手段４２は、ＳＩＤ設定手段３６の設定したＳＩＤに基づくヘッダを備えるＴＣＰパケットを生成する。具体的には、ＳＩＤは、図３における送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に記入される。したがって、最大６４ビットのＳＩＤをＴＣＰパケットのヘッダに記入することができる。ＩＰパケット生成手段４３は所定のＩＰパケットを生成する。ＩＰパケット生成手段４３の生成するＩＰパケットでは、ＴＣＰパケット生成手段４２の生成したＴＣＰパケットがデータ部に積載され、さらに、その送信元ＩＰアドレスは受信側ルーター探索器２８のＩＰアドレスとされ、送信先ＩＰアドレスはリスト作成手段４１の作成したリストから所定の順番で選択した１個の検査対象ネットワーク接続機器のＩＰアドレスとされる。ＩＰパケット生成手段４３は、リスト作成手段４１の作成したリストに掲載されている全部の検査対象ネットワーク接続機器について、各検査対象ネットワーク接続機器のＩＰアドレスを送信先ＩＰアドレスとするＩＰパケットを生成する。注意すべきは、ＩＰパケット生成手段４３の生成するＩＰパケットの送信元ＩＰアドレスは、実際の送信側ルーター探索器２６のＩＰアドレスではなく、受信側ルーター探索器２８のＩＰアドレスとされていることである。ＩＰパケット送信手段４４は、ＩＰパケット生成手段４３の生成したＩＰパケットを次々にイントラネット１０へ出力する。
【００３９】
送信側ルーター探索器２６がＩＰパケット送信手段４４よりイントラネット１０へ送り出したＩＰパケット（検査用ＩＰパケット）は、それらの送信先ＩＰアドレスと一致するイントラネット１０内の検査対象ネットワーク接続機器へ送られる。検査対象ネットワーク接続機器は、受信した検査用ＩＰパケットに対する返答のＩＰパケット(返答用ＩＰパケット）を生成する。該返答用ＩＰパケットでは、その送信元ＩＰアドレス及び送信先ＩＰアドレスがそれぞれ検査用ＩＰパケットの送信先ＩＰアドレス及び送信元ＩＰアドレス、すなわち検査対象ネットワーク接続機器のＩＰアドレス及び受信側ルーター探索器２８のＩＰアドレスとなっている。検査対象ネットワーク接続機器がルーターである場合には、返答用ＩＰパケットは、該ルーターよりインターネット１９へ送信され、受信側ルーター探索器２８に到達する。検査対象ネットワーク接続機器がルーターでなかったときは、返答用ＩＰパケットはイントラネット１０へ送信され、認可済みルーター１３はイントラネット１０からインターネット１９への返答用ＩＰパケットの通過を禁止し、返答用ＩＰパケットはイントラネット１０において消滅する。したがって、受信側ルーター探索器２８が返答用ＩＰパケットを受信したときは、該検査対象ネットワーク接続機器は作動中ルーターであると判断できる。
【００４０】
図６は受信側ルーター探索器２８の装備する機能についてのブロック図である。ＳＩＤ受信手段４９は、イントラネット１０への送信側ルーター探索器２６のＩＰパケット送信手段４４からの検査用ＩＰパケットの送出に先立って、送信側ルーター探索器２６のＳＩＤ通知手段３７から伝送されて来るＳＩＤ情報を受信する。ＳＩＤ登録手段５０は、ＳＩＤ受信手段４９の受信したＳＩＤ情報を所定のメモリに登録する。イントラネット１０内に無認可ルーター２２が存在するか否かの検査は、複数のイントラネット１０において時間重複して行うことがあり、通常、受信側ルーター探索器２８は、検査を行おうとしている複数のイントラネット１０に対して共通に１個だけ用意される。したがって、各イントラネット１０に対して共通にインターネット１９に配備される受信側ルーター探索器２８の受信する返答用ＩＰパケットに含まれるＳＩＤは、イントラネット１０ごとに識別できるように、各送信側ルーター探索器２６のＳＩＤ設定手段３６において設定されている。ＩＰパケット受信手段５３は、自己宛てのＩＰパケットをインターネット１９より受信する。ＳＩＤ抽出手段５４は、ＩＰパケット受信手段５３が受信したＩＰパケットから、そのデータ部に積載されているＴＣＰパケットを抜き出し、さらに、抜き出したＴＣＰパケットのヘッダからＳＩＤを抽出する。ＳＩＤ照合手段５５は、ＳＩＤ抽出手段５４の抽出したＳＩＤについて、ＳＩＤ登録手段５０において登録されている照合用のＳＩＤと対比する。ルーター判別手段５６は、ＳＩＤ照合手段５５における照合の結果、抽出ＳＩＤが照合用ＳＩＤのいずれかと一致していれば、該照合用ＳＩＤに対応のイントラネット１０の無認可ルーター２２からの返答用ＩＰパケットを受信側ルーター探索器２８が受信したものとし、該検査用ＩＰパケットの送信元ＩＰアドレスに係るネットワーク接続機器は作動中ルーターと判断する。
【００４１】
図７はルーター検査のために送信側ルーター探索器２６において実行されるプログラムのフローチャートである。Ｓ６１では、送信側ルーター探索器２６がネットワーク接続機器として接続されているイントラネット１０についての今回の探索用のＳＩＤを設定する。Ｓ６２では、Ｓ６１で設定したＳＩＤを受信側ルーター探索器２８へＨＴＴＰやＦＴＰ等で通知する。Ｓ６３では、ルーターであるか否かを今回検査しようとする、イントラネット１０内の全部の検査対象ネットワーク接続機器についてのＩＰアドレスのリストを作成する。Ｓ６４では、Ｓ６３で作成したリストに載っている各検査対象ネットワーク接続機器について、所定のＩＰアドレスを生成し、イントラネット１０を介して送信する。Ｓ６４におけるＩＰパケットの具体的な生成の仕方は図５のＩＰパケット生成手段４３に関連して前述したのと同一である。
【００４２】
図８はルーター検査のために受信側ルーター探索器２８において実行されるプログラムのフローチャートである。該プログラムは、複数個のイントラネット１０における無認可ルーター２２の探索に適用されるとともに、各イントラネット１０における複数個の無認可ルーター２２の探索に適用される。Ｓ６９では、前述のＳ６２において送信側ルーター探索器２６から送信されたＳＩＤをＨＴＴＰやＦＴＰ等によりインターネット１９から受信する。Ｓ７０では、Ｓ６９で受信したＳＩＤを今回の探索用のＳＩＤとして登録する。受信側ルーター探索器２８が、複数個のイントラネット１０からＳＩＤを受信することになっている場合は、各イントラネット１０のＳＩＤは相互に識別自在になっているとともに、各イントラネット１０に対応付けて各ＳＩＤが登録される。Ｓ７１では、受信側ルーター探索器２８宛てのＩＰパケットを受信したか否かを判定し、該判定がＹＥＳであれば、Ｓ７２へ進み、ＮＯであれば、Ｓ７５へ進む。受信側ルーター探索器２８宛てのＩＰパケットを受信したときは、Ｓ７２において、該ＩＰパケットからＳＩＤを抽出する。抽出するＳＩＤは、該ＩＰパケットのデータ部に書き込まれているＴＣＰパケットのヘッダ部の送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号の部位に書き込まれている。Ｓ７３では、Ｓ７０で登録したＳＩＤの中に、Ｓ７２で抽出したＳＩＤと同一のものが存在するか否かを判定し、該判定がＹＥＳであれば、Ｓ７４へ進み、ＮＯであれば、Ｓ７５へ進む。Ｓ７４では、Ｓ７１において、今回受信したＩＰパケットは返答用ＩＰパケットと判断し、該返答用ＩＰパケットの送信元ＩＰアドレスをもつ検査対象ネットワーク接続機器はルーターとなっていると判断する。Ｓ７５では、検査開始から所定時間が経過したか否かを判定し、該判定がＹＥＳであれば、該プログラムを終了し、ＮＯであれば、Ｓ７１へ戻る。
【図面の簡単な説明】
【図１】イントラネット及びインターネットにおけるルーター探索システムの各機器の配備場所を示す図である。
【図２】ＩＰパケットの概略構造図である。
【図３】ＴＣＰパケットの概略構造図である。
【図４】ＵＤＰパケットの概略構造図である。
【図５】送信側ルーター探索器の装備する機能についてのブロック図である。
【図６】受信側ルーター探索器の装備する機能についてのブロック図である。
【図７】ルーター検査のために送信側ルーター探索器において実行されるプログラムのフローチャートである。
【図８】ルーター検査のために受信側ルーター探索器において実行されるプログラムのフローチャートである。
【符号の説明】
１０ イントラネット
１９ インターネット
２２ 無認可ルーター
２６ 送信側ルーター探索器
２８ 受信側ルーター探索器
３６ ＳＩＤ設定手段
３７ ＳＩＤ通知手段
４１ リスト作成手段
４２ ＴＣＰパケット生成手段
４３ ＩＰパケット生成手段
４４ ＩＰパケット送信手段
４９ ＳＩＤ受信手段
５０ ＳＩＤ登録手段
５３ ＩＰパケット受信手段
５４ ＳＩＤ抽出手段
５５ ＳＩＤ照合手段
５６ ルーター判別手段
Claims (15)
- 第１のネットワークへ接続されているネットワーク接続機器の中に、前記第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索するルーター探索システムにおいて、
それぞれ第１のネットワーク及び第２のネットワークへ接続されている送信側ルーター探索装置及び受信側ルーター探索装置を有し、
前記送信側ルーター探索装置は、
送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び前記受信側ルーター探索装置のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成手段、及び
該検査用ＩＰパケットを送信する検査用ＩＰパケット送信手段、
を有し、
前記受信側ルーター探索装置は、
自己宛てのＩＰパケットを受信する受信手段、及び
前記受信手段の受信したＩＰパケットが検査用ＩＰパケットに対する前記検査対象ネットワーク接続機器の返答のＩＰパケット（以下、「返答用ＩＰパケット」と言う。）であるか否かを判定しその判定結果に基づいて前記検査対象ネットワーク接続機器が作動中ルーターであるか否かを判断する判断する判断手段、
を有している、
ことを特徴とするルーター探索システム。 - 探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれていることを特徴とする請求項１記載のルーター探索システム。
- 前記送信側ルーター探索装置は、前記検査用ＩＰパケット送信手段から検査用ＩＰパケットの送信する前に、前記受信側ルーター探索装置に今回の探索用パケット情報を知得させ又は知得可能にする知得手段、
を有していることを特徴とする請求項１又は２記載のルーター探索システム。 - 前記第１のネットワーク及び前記第２のネットワークはそれぞれイントラネット及びインターネットであることを特徴とする請求項１〜３のいずれかに記載のルーター探索システム。
- 前記送信側ルーター探索装置は複数個のイントラネットにそれぞれ配備され、
前記受信側ルーター探索装置は、複数個の送信側ルーター探索装置に対して共通に配備され、
各イントラネットの送信側ルーター探索装置の生成手段の生成する検査用ＩＰパケットにおける探索用パケット情報は、各イントラネットごとに相互に識別自在なものとされていることを特徴とする請求項４記載のルーター探索システム。 - 前記トランスポート層パケットとはＴＣＰパケットであり、
前記探索用パケット情報は、ＴＣＰパケットの送信元ポート番号、送信先ポート番号、及び／又はシーケンス番号に書き込まれることを特徴とする請求項２又は３記載のルーター探索システム。 - 前記トランスポート層パケットとはＵＤＰパケットであり、
前記探索用パケット情報は、ＵＤＰパケットの送信元ポート番号、及び／又は送信先ポート番号に書き込まれることを特徴とする請求項２又は３記載のルーター探索システム。 - 第１のネットワークへ接続されているネットワーク接続機器の中に、前記第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索するルーター探索システムに装備され、前記第１のネットワークへ接続されている送信側ルーター探索装置において、
送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び前記受信側ルーター探索装置のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成手段、及び
該検査用ＩＰパケットを送信する検査用ＩＰパケット送信手段、
を有していることを特徴とする送信側ルーター探索装置。 - 探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれていることを特徴とする請求項８記載の送信側ルーター探索装置。
- 前記検査用ＩＰパケット送信手段から検査用ＩＰパケットの送信する前に、前記受信側ルーター探索装置に今回の探索用パケット情報を知得させ又は知得可能にする知得手段、
を有していることを特徴とする請求項８又は９記載の送信側ルーター探索装置。 - 第１のネットワークへ接続されているネットワーク接続機器の中に、前記第１のネットワークの外部の第２のネットワークへ接続しているものがないかを探索するルーター探索方法において、
第１のネットワーク及び第２のネットワークにおいて実行される送信側ルーター探索方法及び受信側ルーター探索方法を有し、
前記送信側ルーター探索方法は、
送信先ＩＰアドレス及び送信元ＩＰアドレスをそれぞれ検査対象ネットワーク接続機器及び前記受信側ルーター探索方法のＩＰアドレスとされてかつルーター探索のためのパケットであることを示す情報（以下、「探索用パケット情報」と言う。）を含むＩＰパケット（以下、「検査用ＩＰパケット」と言う。）を生成する生成ステップ、及び
該検査用ＩＰパケットを送信する検査用ＩＰパケット送信ステップ、
を有し、
前記受信側ルーター探索方法は、
自己宛てのＩＰパケットを受信する受信ステップ、及び
前記受信ステップにおいて受信したＩＰパケットが検査用ＩＰパケットに対する前記検査対象ネットワーク接続機器の返答のＩＰパケット（以下、「返答用ＩＰパケット」と言う。）であるか否かを判定しその判定結果に基づいて前記検査対象ネットワーク接続機器が作動中ルーターであるか否かを判断する判断する判断ステップ、
を有している、
ことを特徴とするルーター探索方法。 - 探索用パケット情報は、ＩＰパケットの積載するＯＳＩ参照基準のトランスポート層のパケットのヘッダに書き込まれていることを特徴とする請求項１１記載のルーター探索方法。
- 前記送信側ルーター探索方法は、前記検査用ＩＰパケット送信ステップから検査用ＩＰパケットの送信する前に、前記受信側ルーター探索方法に今回の探索用パケット情報を知得させ又は知得可能にする知得ステップ、
を有していることを特徴とする請求項１１又は１２記載のルーター探索方法。 - 前記第１のネットワーク及び前記第２のネットワークはそれぞれイントラネット及びインターネットであることを特徴とする請求項１１〜１３のいずれかに記載のルーター探索方法。
- 前記送信側ルーター探索方法は複数個のイントラネットにそれぞれ実行され、
前記受信側ルーター探索方法は、複数個の送信側ルーター探索方法に対して共通に実行され、
各イントラネットの送信側ルーター探索方法の生成ステップにおいて生成する検査用ＩＰパケットにおける探索用パケット情報は、各イントラネットごとに相互に識別自在なものとされていることを特徴とする請求項１４記載のルーター探索方法。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001121695A JP4484190B2 (ja) | 2001-04-19 | 2001-04-19 | ルーター探索システム、ルーター探索方法、及びルーター探索プログラム |
| US10/127,135 US7159033B2 (en) | 2001-04-19 | 2002-04-12 | Router search system, router search method and router search program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001121695A JP4484190B2 (ja) | 2001-04-19 | 2001-04-19 | ルーター探索システム、ルーター探索方法、及びルーター探索プログラム |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2002344481A JP2002344481A (ja) | 2002-11-29 |
| JP2002344481A5 JP2002344481A5 (ja) | 2008-05-08 |
| JP4484190B2 true JP4484190B2 (ja) | 2010-06-16 |
Family
ID=18971513
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001121695A Expired - Fee Related JP4484190B2 (ja) | 2001-04-19 | 2001-04-19 | ルーター探索システム、ルーター探索方法、及びルーター探索プログラム |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7159033B2 (ja) |
| JP (1) | JP4484190B2 (ja) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7965842B2 (en) * | 2002-06-28 | 2011-06-21 | Wavelink Corporation | System and method for detecting unauthorized wireless access points |
| US7155407B2 (en) * | 2002-11-14 | 2006-12-26 | Rolloversystems, Inc. | Account management systems and methods |
| US7840698B2 (en) * | 2003-09-12 | 2010-11-23 | Avaya Inc. | Detection of hidden wireless routers |
| JP3821813B2 (ja) * | 2003-12-17 | 2006-09-13 | Ｎｅｃインフロンティア株式会社 | 通信転送装置及び通信転送方法 |
| US7991877B2 (en) * | 2007-10-05 | 2011-08-02 | International Business Machines Corporation | Rogue router hunter |
| KR101610715B1 (ko) * | 2014-06-11 | 2016-04-08 | 한국전자통신연구원 | 단방향 데이터 송수신 시스템 및 방법 |
Family Cites Families (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5668800A (en) * | 1994-05-02 | 1997-09-16 | International Business Machines Corporation | Path testing in communications networks |
| US5835720A (en) * | 1996-05-17 | 1998-11-10 | Sun Microsystems, Inc. | IP discovery apparatus and method |
| US5798706A (en) * | 1996-06-18 | 1998-08-25 | Raptor Systems, Inc. | Detecting unauthorized network communication |
| US5968126A (en) * | 1997-04-02 | 1999-10-19 | Switchsoft Systems, Inc. | User-based binding of network stations to broadcast domains |
| US6047330A (en) * | 1998-01-20 | 2000-04-04 | Netscape Communications Corporation | Virtual router discovery system |
| US6515967B1 (en) * | 1998-06-30 | 2003-02-04 | Cisco Technology, Inc. | Method and apparatus for detecting a fault in a multicast routing infrastructure |
| US6192051B1 (en) * | 1999-02-26 | 2001-02-20 | Redstone Communications, Inc. | Network router search engine using compressed tree forwarding table |
| US6680942B2 (en) * | 1999-07-02 | 2004-01-20 | Cisco Technology, Inc. | Directory services caching for network peer to peer service locator |
| US6560644B1 (en) * | 1999-09-15 | 2003-05-06 | Cisco Technology, Inc. | Directory services network management locator |
| US6779035B1 (en) * | 2000-03-06 | 2004-08-17 | Microsoft Corporation | Application programming interface and generalized network address translator for translation of transport-layer sessions |
| JP4099930B2 (ja) * | 2000-06-02 | 2008-06-11 | 株式会社日立製作所 | ルータ装置及びｖｐｎ識別情報の設定方法 |
| JP2002152317A (ja) * | 2000-11-10 | 2002-05-24 | Fujitsu Ltd | 試験装置 |
| US7263552B2 (en) * | 2001-03-30 | 2007-08-28 | Intel Corporation | Method and apparatus for discovering network topology |
-
2001
- 2001-04-19 JP JP2001121695A patent/JP4484190B2/ja not_active Expired - Fee Related
-
2002
- 2002-04-12 US US10/127,135 patent/US7159033B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2002344481A (ja) | 2002-11-29 |
| US20020161920A1 (en) | 2002-10-31 |
| US7159033B2 (en) | 2007-01-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Deri et al. | Effective traffic measurement using ntop | |
| US8972571B2 (en) | System and method for correlating network identities and addresses | |
| Jin et al. | Hop-count filtering: an effective defense against spoofed DDoS traffic | |
| US7124173B2 (en) | Method and apparatus for intercepting performance metric packets for improved security and intrusion detection | |
| CN112398782A (zh) | 网络资产的识别方法、装置、介质及设备 | |
| JP2010541441A (ja) | 分散ネットワーク内の無許可ルータを検出するためのコンピュータによって実行される方法、データ処理システム、およびコンピュータ・プログラム（ルータ検出） | |
| US7912048B2 (en) | Apparatus and method for detecting network address translation device | |
| CN110557358A (zh) | 蜜罐服务器通信方法、SSLStrip中间人攻击感知方法及相关装置 | |
| JP4484190B2 (ja) | ルーター探索システム、ルーター探索方法、及びルーター探索プログラム | |
| De Montigny-Leboeuf et al. | Passive network discovery for real time situation awareness | |
| Syed et al. | Analysis of Dynamic Host Control Protocol Implementation to Assess DoS Attacks | |
| US10015179B2 (en) | Interrogating malware | |
| CN110995738B (zh) | 暴力破解行为识别方法、装置、电子设备及可读存储介质 | |
| JP2005210451A (ja) | 不正アクセス防止装置及びプログラム | |
| Arkin | A remote active OS fingerprinting tool using ICMP | |
| KR102387010B1 (ko) | 감시 장치 및 감시 방법 | |
| Trabelsi et al. | Detection of sniffers in an Ethernet network | |
| Do Hoang et al. | Empirical Study on Reconnaissance Attacks in SDN-aware Network for Evaluating Cyber Deception | |
| Deri et al. | Improving Network Security Using Ntop | |
| JP2004289260A (ja) | 動的アドレス付与サーバを利用したクライアントの安全性検診システム | |
| CN111669376B (zh) | 一种内网安全风险识别的方法和装置 | |
| Melcher et al. | Tunneling through DNS over TLS providers | |
| Nerakis | IPv6 host fingerprint | |
| Phase | Scanning and Enumeration Phase | |
| Feng et al. | An Internet-wide Penetration Study on NAT Boxes via TCP/IP Side Channel |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080326 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20080326 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20100317 |
|
| RD14 | Notification of resignation of power of sub attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7434 Effective date: 20100317 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20100319 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130402 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |