JP4829982B2 - ピアツーピア通信の検出及び制御 - Google Patents

Description

本発明は、データ通信ネットワーク上のピアツーピア（peer-to-peer）通信を検出することに係り、さらに詳細に説明すれば、イントラネット／インターネット境界にまたがってピアツーピア通信を検出することに係る。

インターネットは、複数の相互接続データ・ネットワークから形成された広域データ通信ネットワークである。動作中、インターネットは、遠隔に位置する種々のデータ処理システム間のデータ通信を促進する。一般に、インターネットに接続されたエンド・ユーザのデータ処理システムは、クライアント・データ処理システム又はクライアントと呼ばれる。同様に、インターネットを介したエンド・ユーザによるアクセス用のウェブ・サイト及びサービスをホストするデータ処理システムは、サーバ・データ処理システム又はサーバと呼ばれる。エンド・ユーザのデータ処理システムとホスティング・データ処理システムの間には、インターネットを介して完成されるクライアント−サーバ関係が存在する。

インターネットは、消費者、小売り業者及びサービス・プロバイダ相互間の電子商取引を促進するための重要な通信ネットワークになった。一般に、インターネットへのアクセスは、インターネット・サービス・プロバイダ（ＩＳＰ）のようなエンティティを介して提供される。一般に、各ＩＳＰは、クライアントが加入するオープン・ネットワークを稼働させる。各クライアントは、ネットワーク上で一意的なインターネット・プロトコル（ＩＰ）アドレスを有する。同様に、ネットワーク上の各サーバは、一意的なＩＰアドレスを有する。ＩＳＰによって稼働されるネットワークは、一般にルータと呼ばれる専用のデータ処理システムを介して、インターネットに接続される。動作中、ルータは、インターネットからの着信通信トラヒックを、ネットワーク上の指定されたＩＰアドレスに転送する。同様に、ルータは、ネットワークからの発信通信トラヒックを、インターネット上の指定されたＩＰアドレスの方向に転送する。

「ピアツーピア」という用語は ネットワーク内のクライアント（ピア）が互いに直接的に通信セッションを確立することを可能にする、広汎なカテゴリのアプリケーション及びプロトコルを意味する。対照的に、クライアント−サーバ・アプリケーションは、クライアントが既知のサーバとだけ通信することを想定する。従って、ピアツーピア・アプリケーションの特徴は、役割の対称性である。クライアント−サーバ・アーキテクチャでは、サーバへの通信を開始することができるのはクライアントだけである。これに対し、ピアツーピア・アーキテクチャでは、任意のピアが通信を開始することができる。

ピアツーピア・アプリケーションの例は、「KaZaA」及び「BitTorrent」のようなファイル共有アプリケーションである。これらのアプリケーションは、資源を見つけるための機構及びピア・アドレス解決のための機構を含み、当該機構は、実際のファイル転送が行われる前に使用される。これらのアプリケーションは、特定の機能（例えば、初期化）についてはサーバに依存するが、最終的にはピアツーピア通信を使用して資源の発見及びデータ転送の両方を行う。他のタイプのピアツーピア・アプリケーションは、例えば、ＲＴＰ（リアル・タイム・トランスポート・プロトコル）を使用する、対話型ゲーム又はテレビ会議を含む。

クライアント−サーバ・アプリケーションにおける役割の非対称性は、インターネット・アプリケーションの大多数に該当し、ネットワークが設計される方法に多くの意味を有していた。例えば、イントラネットを安全にするために使用されるファイアウォールは、通信が内部的に（すなわち、イントラネット内で）開始される場合は、外部サーバに接続を試みているのがクライアントであると仮定して、比較的寛容であるのが普通である。同様に、イントラネットを安全にするために使用されるファイアウォールは、例外が存在するサーバに向けられるものを除き、外部的に開始された全てのトラフィックを阻止するのが普通である。ネットワーク・アドレス変換機構（ＮＡＴ）は、一のイントラネット内の複数のクライアント間で一の外部ＩＰアドレスを共有するために使用される。ＮＡＴは、ファイアウォールと同様の原理に従うことができる。すなわち、内部アドレスを有する一の内部クライアントと外部アドレスを有する一の外部クライアントの間のマッピングを確立するためには、イントラネット内で通信が開始されねばならないということである。かかるアーキテクチャの結果として、イントラネット／インターネット境界にまたがってピアツーピア通信を検出することは、簡単ではない。外部クライアントによって開始されるピアツーピア通信を許可するように特定の規則及びポート・マッピングを構成することは可能であるが、かかるピアツーピア通信は、ファイアウォール及びＮＡＴによって阻止されることがあるからである。

最近になってホーム・ユーザ用のブロードバンド・インターネット接続が普及した結果、ミドルボックスが住宅等で使用されることが多くなってきた。ミドルボックスとは、通常、ファイアウォール及びＮＡＴの機能を組み合わせたものである。ピアがミドルボックスの背後に存在する場合、そのプライベート・アドレスは、パブリック・アドレスにマップされる。ピアツーピア・ソフトウェアの開発者は、ユーザによるミドルボックスの手動構成を必要とすることなく、ミドルボックスを超えてデータ通信チャネルを確立するための技術を考案した。一般に、かかるデータ通信チャネルを確立するための第１のステップは、ピアツーピア通信のために使用すべきトランスポート・アドレスを決定することであり、第２のステップは、ミドルボックスを超えることである。

当分野では、周知のサーバへの初期接続に依存することにより、前記第１のステップを実行することが公知である。ピアは、例えば、インスタント・メッセージ用サーバ内のエイリアス（別名）のような識別子を使用することにより、互いに他のピアを見つけることができる。その後、ピアツーピア通信を確立することを望んでいる２つのピアは、周知のサーバに接続し、それらの現在のトランスポート・アドレスを送信する。サーバの応答は、他のピアのアドレス情報を保持する。一般に、この交換におけるアドレス情報は、プライベート及びパブリック・アドレスの両方を含む。プライベート・アドレスが含まれているのは、幾つかのＮＡＴが「ループバック変換」を提供しないので、両方のピアが同じアドレス空間に存在している場合に、ピアツーピア通信を確立することができるようにするためである。

一般に、前記第２のステップは、B. Ford, P. Srisuresh and D. Kegel, "Peer-to-Peer communication across Network Address Translators," USENIX Annual TechnicalConference, April 10-15, 2005 に記載の 「UDP hole punching」技術等を使用して実行される。「UDP hole punching」技術は、次のように実施される。すなわち、第１のピア及び第２のピアが、一のセッション開始ＵＤＰパケットを互いに他のピアに「同時に」送信する場合、これらのピアは、一の応答パケットを受信するまで、セッション開始ＵＤＰパケットの送信を継続する。この送信は、プライベート及びパブリック・アドレスの両方を使用して行われる。もし、これらの２つのピアが同じアドレス空間内に位置すれば、前記プライベート・アドレスに送信された前記セッション開始ＵＤＰパケットが直ちに受理され、一の応答パケットが送信されるので、これらのピアは、当該アプリケーションに特有のプロトコルに従って通信を開始することができる。もし、第１のピアがミドルボックスの背後に位置すれば、第２のピアにより第１のピアのプライベート・アドレスに送信されたセッション開始ＵＤＰパケットは、無意味である（恐らく経路指定すらされない）。しかし、第１のピアが送信したセッション開始ＵＤＰパケットの宛先アドレスは、第２のピアのパブリック・アドレスに設定されているので、ミドルボックスは、第２のピアからの着信パケットが、内部的に開始されたピアツーピア通信の一部であると仮定する。従って、第２のピアにより第１のピアのパブリック・アドレスに送信されたセッション開始ＵＤＰパケットが受理される。留意すべきは、最初のセッション開始ＵＤＰパケットが到着するときに、当該エンドポイントがまだオープンされていない状況に対処するために、セッション開始ＵＤＰパケットが再送される、ということである。同じプロセスが第２のピアについても生じる。

前述の「UDP hole punching」技術は、異なる呼び出しのためにポート・バインディングを再使用するＮＡＴと、外部ピアにパケットを送信するために使用された一のＵＤＰエンドポイントを当該外部ピアのパケットを受信するようにオープンするＮＡＴ／ファイアウォールとについてのみ機能する。

留意すべきは、「UDP hole punching」技術は、ミドルボックスの種々の振る舞いに起因して、必ずしも成功するとは限らない、ということである。但し、多くの状況において、「UDP hole punching」技術は、第１のピア及び第２のピアがミドルボックスの背後に存在する場合であっても、ピアツーピア・セッションを確立することを可能にする。

企業ネットワークにおけるピアツーピア・アプリケーションの不適切な使用は、幾つかの否定的な結果に帰着するという点で問題である。第１に、これらのアプリケーションが導入する新しいトラフィック・パターンは、企業ネットワークの資源の性能及び可用性に影響を及ぼすことがある。特に、これらは、法的リスク及び潜在的な機密漏れを表す。前者は、ファイル共有に関連する可能な著作権侵害の請求に起因し、後者は、誤って構成されるか又は悪意のあるピアツーピア・ソフトウェアにより機密情報が不注意で開示されるという危険に加えて、共有ファイルに含まれていたウィルスの可能な導入に起因する。

この問題に取り組むための公知のアプローチは、ネットワーク境界においてトラフィック統計を分析することに基づいており、一般に、周知のピアツーピアＵＤＰ及びＴＣＰ（トランスポート層プロトコル）ポートを使用することに依存する。しかし、ピアツーピア・ネットワークの動的な性質や、ファイアウォールのような制御機構を超えるためのますます高度化した技術に起因して、これらのアプローチは、ピアツーピア・ソフトウェアを正確に検出及び制御することができない。
B. Ford, P. Srisuresh and D. Kegel, "Peer-to-Peer communication across Network Address Translators," USENIX Annual TechnicalConference, April 10-15, 2005

本発明の目的は、イントラネット／インターネット境界にまたがってピアツーピア通信を検出し且つこれを制御するためのシステムを提供することにある。本発明の他の目的は、ローカル問題のローカル報告を提供することにある。さらに、前記検出は、内部ピア及び外部ピアに対して透明な態様で実現することができる。

本発明の第１の側面に従って、データ通信ネットワーク上のピアツーピア通信を、内部アドレス空間内の内部クライアント・マシンと外部クライアント・マシンの間で検出するための方法が提供される。この方法は、外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、分析装置に経路指定するステップと、指定された性質のメッセージを識別するステップと、前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシンを識別するステップを含む。「指定された性質」という用語は、当該メッセージが、特定のプロパティを有すること又は予定のタイプであることを意味する。「内部」という用語は、イントラネット内のエンティティを意味し、「外部」という用語は、イントラネットの外部にあるエンティティを意味する。

前記指定された性質のメッセージは、前記内部クライアント・マシンと前記外部クライアント・マシンの間のピアツーピア通信の確立に関係する。

前記指定された性質のメッセージを識別するステップ及び前記内部クライアント・マシンを識別するステップは、前記内部アドレス空間の外部に位置する前記分析装置によって実行される。さらに、前記内部クライアント・マシンの前記アドレス空間が前記分析装置に経路指定され、そして前記分析装置により、前記外部クライアント・マシンとの交換がスプーフされる。

さらに、本発明の前記第１の側面は、前記ピアツーピア通信の確立が予定の内部ネットワーク規則に違反する場合は、前記外部クライアント・マシンとの接続を終了することを要する。

本発明の第２の側面に従って、データ通信ネットワーク上のピアツーピア通信を、内部アドレス空間内の内部クライアント・マシンと外部クライアント・マシンの間で検出するための装置が提供される。この装置は、外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、分析装置に経路指定するためのルータを備える。前記分析装置は、指定された性質のメッセージを識別するためのプロトコル・ハンドラと、前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシンを識別するための分析コンポーネントを含む。

前記分析装置は、前記ピアツーピア通信が前記識別された内部クライアント・マシンのために許容されるか否かを決定し且つ前記ピアツーピア通信が予定の内部ネットワーク規則に違反する場合は前記外部クライアント・マシンとの接続を終了するためのポリシ・データベースをさらに含む。

本発明の第３の側面に従って、コンピュータ・プログラム・コード手段を含むコンピュータ・プログラム要素が提供される。前記コンピュータ・プログラム要素は、データ処理システム内のプロセッサにロードされるとき、外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、分析装置に経路指定するステップと、指定された性質のメッセージを識別するステップと、前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシンを識別するステップとを含む方法を実行するように前記プロセッサを構成する。

本発明の第４の側面に従って、内部アドレス空間を有するクライアント・システムを、前記内部アドレス空間内の内部クライアント・マシンと外部クライアント・マシンの間のピアツーピア通信に対して準備する方法が提供される。この方法は、分析装置をルータに接続するステップと、外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、前記分析装置に経路指定するステップと、指定された性質のメッセージを識別するステップと、前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシンを識別するステップとを含む。

図１を参照して説明する。図示のデータ処理システムは、中央処理装置（ＣＰＵ）１０と、入出力（Ｉ／Ｏ）サブシステム２０と、メモリ・サブシステム４０を含み、これらの全てはバス・サブシステム３０によって相互接続される。メモリ・サブシステム４０は、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）及びハードディスクドライブ、光ディスク・ドライブ等の１つ以上のデータ・ストレージ装置を含むことができる。入出力サブシステム２０は、ディスプレイ、プリンタ、キーボード、マウスやトラックボール等のポインティング装置、データ通信ネットワークを介して当該データ処理システムと１つ以上の同様のシステム又は周辺装置の間の通信を可能にする１つ以上のネットワーク接続を含むことができる。かかるネットワークによって相互接続されたかかるシステム及び装置の組み合わせは、それ自体で分散データ処理システムを形成することができる。かかる分散データ処理システムは、追加のデータ通信ネットワークによって相互接続することができる。

メモリ・サブシステム４０内には、記憶データ６０と、ＣＰＵ １０によって実行可能なコンピュータ・プログラム・コード５０が存在する。プログラム・コード５０は、オペレーティング・システム９０及びアプリケーション８０を含む。オペレーティング・システム９０は、ＣＰＵ １０によって実行されるとき、アプリケーション８０をその上で実行可能なプラットフォームを提供する。

図２に示す本発明の好ましい実施形態では、ＩＰアドレス１２０が割り当てられるクライアント・データ処理システム１１０（以下「内部ピア」又は「内部クライアント・マシン」と称する）を有する第１のデータ通信ネットワーク１００と、複数のデータ処理システム１５０（以下「外部ピア」又は「外部クライアント・マシン」と称する）に対して割り当てるための複数のＩＰアドレス１４０を有する第２のデータ通信ネットワーク１３０が設けられる。第１のデータ通信ネットワーク１００は、内部アドレス空間１０５を有する企業内のイントラネットとすることができる。第２のデータ通信ネットワーク１３０は、インターネット・サービス装置を有する外部ネットワークの形態を取ることができる。内部クライアント・マシン１１０及び外部クライアント・マシン１５０の各々は、図１を参照して説明したデータ処理システムとすることができる。イントラネット１００及び外部ネットワーク１３０の各々は、少なくとも１つのルータ１７０及び１８０を介して、インターネット１６０にそれぞれ接続される。

ルータ１７０及び１８０は、図１を参照して説明したデータ処理システムの形態で実装することができ、適切なプログラミングにより、インターネット１６０と当該ルータ１７０及び１８０が接続されたイントラネット１００、外部ネットワーク１３０の間でデータ・パケットの形式を有する通信トラヒックを、当該データ・パケット内で指定されたＩＰアドレス・データに基づき、経路指定するタスクに専用化されるようになっている。

第１のファイアウォール１９０は、イントラネット１００と第１のルータ１７０の間に位置する。ピアツーピア通信分析装置（以下「分析装置」と称する）２００は、第１のルータ１７０に接続される。第２のファイアウォール２１０は、外部ネットワーク１３０と第２のルータ１８０の間に位置する。

外部クライアント・マシン１５０及び内部クライアント・マシン１１０がピアツーピア通信を確立することを意図する場合、これらのマシンは、最初に境界外の機構、例えばサーバを介して、互いに他のマシンに接続する。この最初の接続中、外部クライアント・マシン１５０及び内部クライアント・マシン１１０は、セッション開始ピアツーピア・プロトコルにおいてアドレスを交換する。通常、外部クライアント・マシン１５０は、第１のファイアウォール１９０に起因して、内部クライアント・マシン１１０のＩＰアドレスを知ることができない。

内部ピア１１０のＩＰアドレス１２０は、分析装置２００に対し外部的に経路指定される。このイベントのトリガは、外部ネットワーク１３０から（第１のファイアウォール１９０の現状態によって許容されない）内部クライアント・マシン１１０への接続の試みである。この経路指定が第１のファイアウォール１９０を介して生じる場合、第１のファイアウォール１９０は、ルータとして機能するものと見なすことができる。もっとも、この経路指定は、第１のルータ１７０を介して生じることもできる。代替的に、第１のルータ１７０は、第１のファイアウォール１９０と内部ピア１１０の間に位置することができる。

次に、外部ピア１５０は、インターネット１６０を介して、内部ピア１１０との直接的な接続を確立するように試みる。外部ピア１５０から内部ピア１１０への全てのメッセージは、分析装置２００に経路指定されるので、この接続の試みは、第１のルータ１７０において分析装置２００に再経路指定される。

分析装置２００は、外部ピア１５０から受信される、「指定された性質のメッセージ」と呼ばれる通信の性質を確立するために、１つ以上の照会を提示することにより、インターネット１６０を介して、外部１５０ピアに応答する。外部ピア１５０は、これらの照会が、分析装置２００ではなく、内部ピア１１０によって送信されたものと推定する。好ましくは、その通信は、種々のピアツーピア・プロトコルを実装して行うことができる。一旦これらのプロトコルが実装されると、これらのプロトコルは、当該ピアツーピア通信に関する意味論的階層（semantic layer）情報を提供する。

また、分析装置２００は、イントラネット１００内で通信することにより、当該ピアツーピア通信に参加することを意図していた内部ピア１１０を識別する。この識別プロセスにおいて、分析装置２００は、セッション開始ピアツーピア・プロトコルから内部アドレス１２０を抽出し、これをアドレスの企業データベース又は分析装置２００内に保持された動的アドレスと突き合わせる。また、企業データベースは、「予定の内部ネットワーク規則」とも呼ばれる企業ポリシを指示する。この企業ポリシは、特定の内部ピア１１０をカバーし、従って内部アドレス１２０を有する内部クライアント・マシン１１０がどのタイプの通信を実行する権利を有しているか、すなわち内部クライアント・マシン１１０がピアツーピア通信を実行することができるかを記述する。また、意味論的階層情報は、アドレス１２０がどのタイプの通信を実行する権利を有しているかという決定を行う際に利用することができる。

図２には、２つのデータ通信ネットワーク１００及び１３０と、分析装置２００を有するインターネット・アーキテクチャの要部が例示されている。これは例示的なアーキテクチャであり、これとは別の種々の形式のデータ通信ネットワークを提供できることは明らかであろう。

図３は、分析装置２００の一層詳細な内部アーキテクチャを例示する。分析装置２００は、本来であれば到達不能な１つ以上のＩＰアドレス１２０においてマシン及びサービスの存在をスプーフすることにより動作する。それらのＩＰアドレス１２０は接続すべきものではないので、これらのアドレスを宛先とするトラフィックは先験的に疑わしい。分析装置２００は、試みられた接続を単に記録するのではなく、ピアツーピア通信をスプーフすることにより、当該トラフィックの背後にある意図を決定する。ピアツーピア通信のスプーフイングは、検出すべきピアツーピア通信アプリケーションごとに１つずつ設けられた、構成可能なプロトコル・ハンドラ３００〜３２０によって行われる。

分析装置２００は、制限付きログインを超えて実際のサービスを提供しない、セキュリティ強化されたマシン上に構築される。分析装置２００は、複数の個別的なプロトコル・ハンドラ３００〜３２０があたかも単一のホスト上で走っているかのように動作することを可能にする、ネットワーク仮想化インフラストラクチャ３３０を含む。個別的なプロトコル・ハンドラ３００〜３２０の各々は、単一の分析コンポーネント３４０に接続され、当該分析コンポーネント３４０は、企業ポリシ・データベース３５０に接続される。企業ポリシ・データベース３５０は、着信するピアツーピア通信が特定のアドレスについて許容されるか否かを、分析コンポーネント３４０が企業ポリシに従って決定することを可能にする。それが許容されない場合、分析装置２００は、当該接続を終了させる。

分析装置２００は、１つ以上の予定のピアツーピア通信アプリケーションを検出するように構成することができる。かかるアプリケーションの例は、「BitTorrent」、「KaZaA」及び「eDonkey」を含む。予定のピアツーピア通信アプリケーションのプロトコルは、個別的なプロトコル・ハンドラ３００〜３２０によって実装されるであろう。

図４は、分析装置２００のプロセス４００を示すフロー図である。プロセス４００は、外部クライアント・マシン１５０から内部クライアント・マシン１１０にアドレスされる全てのメッセージを、分析装置２００に経路指定するステップ４１０と、指定された性質のメッセージを識別するステップ４２０と、指定された性質のメッセージがアドレスされた内部クライアント・マシン１１０を識別するステップ４３０とを含む。

従って、本発明のシステム及び方法は、イントラネット／インターネット境界にまたがってピアツーピア通信を検出し且つこれを制御するという問題に直接的に取り組む。企業のイントラネットのすぐ近くのルータの箇所に分析装置２００を配置すると、ローカルのピアツーピア通信の試みをローカルに報告することが可能となる。このシステムの他の利点は、無許可のピアツーピア通信を検出することが、内部ピア及び外部ピアに対して一層透明な態様で実現できるということにある。

一般に、本発明の方法は、コンピュータ又はこれと同様の装置を制御するための１セットのプログラム命令を含む、コンピュータ・プログラム製品として実装される。これらの命令は、システムにプリロードして、又はＣＤ-ＲＯＭのような記憶媒体に記録して提供することができ、或いはインターネット又は携帯電話ネットワークのようなネットワークを介してダウンロードすることができる。

また、本発明のシステム及び方法は、サービスを受けるエンティティ（クライアント・システムとも称する）に対しサービスを提供する、サービス・エンティティによって実装することができる。このサービスは、本発明に従った装置又はシステムをサービスを受けるエンティティの環境内に又はその環境のためにインストールすること、及びコンピュータ可読コードをコンピューティング・システム内へ統合することにより、当該コンピュータ可読コード及びコンピューティング・システムの組み合わせが本発明に従った方法を実行することができるように、使用可能なコンピューティング・インフラストラクチャを配備又は統合することの一方又は両方とすることができる。本発明の文脈では、サービス・エンティティは、イントラネット／インターネット境界にまたがった無許可のピアツーピア通信に対してクライアント・システムを準備することができる。これにより、サービス・エンティティは、無許可のピアツーピア通信を行うことを試みる内部ピアをより効率的に検出し、さらに内部ピア及び外部ピアの接続を終了させることができる。

この側面に係る本発明の方法は、分析装置２００をルータに接続するステップと、外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、分析装置２００に経路指定するステップ４１０と、指定された性質のメッセージを識別するステップ４２０と、前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシンを識別するステップ４３０とを含むことができる。

分析装置２００は、サービス・エンティティによって所有又はリースされる装置とすることができる。サービス・エンティティは、この分析装置２００をサービスを受ける複数のエンティティについて同時に使用することができ、従ってこの資源を共有することができる。このことは、ピアツーピア通信の検出性能に関して分析装置２００上で実行される更新が、分析装置２００に接続されたサービスを受ける全てのエンティティにその影響を及ぼすという利点を有する。

他の利点は、このサービスが、サービスを受けるエンティティに対して一層透明な態様で実現できるということである。

本発明の範囲から逸脱することなく、前述の本発明の実施形態について多くの改良及び修正を施すことができる。

データ処理システムのブロック図である。 本発明に従ったデータ処理ネットワークのブロック図である。 本発明に従った分析装置のブロック図である。 本発明に従った検出方法のフロー図である。

符号の説明

１０・・・ＣＰＵ
５０・・・コンピュータ・プログラム・コード
８０・・・アプリケーション
１００・・・第１のデータ通信ネットワーク（イントラネット）
１０５・・・内部アドレス空間
１１０・・・内部クライアント・マシン（内部ピア）
１２０・・・ＩＰアドレス
１３０・・・第２のデータ通信ネットワーク（外部ネットワーク）
１４０・・・ＩＰアドレス
１５０・・・外部クライアント・マシン（外部ピア）
１６０・・・インターネット
１７０・・・第１のルータ
１８０・・・第２のルータ
１９０・・・第１のファイアウォール
２００・・・ピアツーピア通信分析装置（分析装置）
２１０・・・第２のファイアウォール
３００〜３２０・・・プロトコル・ハンドラ
３３０・・・ネットワーク仮想化インフラストラクチャ
３４０・・・分析コンポーネント
３５０・・・企業ポリシ・データベース

Claims (2)

1. データ通信ネットワーク上のピアツーピア通信を、内部アドレス空間（１０５）内の内部クライアント・マシン（１１０）と外部クライアント・マシン（１５０）の間で検出するための方法にして、
   外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、分析装置（２００）に経路指定するステップ（４１０）と、
   指定された性質のメッセージを識別するステップ（４２０）と、
   前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシンを識別するステップ（４３０）とを含み、
   前記指定された性質のメッセージが、前記内部クライアント・マシン（１１０）と前記外部クライアント・マシン（１５０）の間のピアツーピア通信の確立に関係し、
   前記指定された性質のメッセージを識別するステップ（４２０）及び前記内部クライアント・マシンを識別するステップ（４３０）が、前記内部アドレス空間の外部に位置する前記分析装置（２００）によって実行され、
   前記内部クライアント・マシンの前記アドレス空間（１２０）を前記分析装置（２００）に経路指定するステップと、
   前記分析装置（２００）により、前記外部クライアント・マシン（１５０）との交換をスプーフするステップと、
   前記ピアツーピア通信の確立が予定の内部ネットワーク規則に違反する場合は、前記外部クライアント・マシン（１５０）との接続を終了するステップをさらに含む、
   方法。
2. データ通信ネットワーク上のピアツーピア通信を、内部アドレス空間（１０５）内の内部クライアント・マシン（１１０）と外部クライアント・マシン（１５０）の間で検出するための装置にして、
   外部クライアント・マシンから内部クライアント・マシンにアドレスされる全てのメッセージを、分析装置（２００）に経路指定するためのルータ（１７０）を備え、
   前記分析装置（２００）が、
   指定された性質のメッセージを識別するためのプロトコル・ハンドラ （３００〜３２０）と、
   前記指定された性質のメッセージがアドレスされた前記内部クライアント・マシン（１１０）を識別するための分析コンポーネント（３４０）を含み、
   前記指定された性質のメッセージが、前記内部クライアント・マシン（１１０）と前記外部クライアント・マシン（１５０）の間のピアツーピア通信の確立に関係し、
   前記分析装置（２００）が、前記内部アドレス空間（１０５）の外部に位置し、
   ルータ（１７０、１９０）が、前記識別された内部クライアント・マシン（１１０）の前記アドレス空間（１２０）を前記分析装置（２００）に経路指定し、
   前記分析装置（２００）が、前記外部クライアント・マシン（１５０）との交換をスプーフし、
   前記分析装置（２００）が、前記ピアツーピア通信が前記識別された内部クライアント・マシン（１１０）のために許容されるか否かを決定し且つ前記ピアツーピア通信が予定の内部ネットワーク規則に違反する場合は前記外部クライアント・マシン（１５０）との接続を終了するためのポリシ・データベース（３５０）をさらに含む、
   装置。

Images