(57)【要約】      （修正有）【課題】通信監視遮断装置、通信監視遮断装置におけるデータ遮断方法、データ遮断プログラム、及び経路探索システムを提供する。【解決手段】通信監視装置において、第１の通信装置から送信された第２の通信装置宛ての経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する応答パケット遮断部を備え、前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットである。【選択図】図４
2013207671.tif 000002
【特許請求の範囲】
【請求項１】
第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と前記第２との間の通信経路を探索する経路探索パケットを受信する通信監視装置において、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する応答パケット遮断部、
を備え、前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする通信監視装置。
【請求項２】
更に、前記第１又は第２の応答パケットを検出したとき当該第１又は第２の応答パケットの検出情報を生成し、前記検出情報を通信経路の探索を行う管理装置に送信する応答パケット検出記録部を備えることを特徴とする請求項１記載の通信監視装置。
【請求項３】
第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と第２の通信装置との間の通信経路を探索する経路探索パケットを受信する制御プロセッサを備える通信監視装置において実行される通信監視プログラムであって、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する処理
を前記制御プロセッサに実行させ、前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする通信監視プログラム。
【請求項４】
第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と第２の通信装置との間の通信経路を探索する経路探索パケットを受信する通信監視装置における通信監視方法であって、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断し、
前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする通信監視方法。
【請求項５】
第１及び第２の通信装置と、
第２の通信装置との間に接続されて、前記第１の通信装置と第２の通信装置との間の通信経路を探索する経路探索パケットを受信する通信監視装置とを備える経路探索システムにおいて、
前記通信監視装置は、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する応答パケット遮断部を備え、
前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする経路探索システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムに関する。
【背景技術】
【０００２】
従来から、複数のネットワークが相互に接続されることで、大規模なネットワークが構築され、このようなネットワークにおいて様々なデータ（例えば、パケット）が送受信されるようになってきている。
【０００３】
このようなネットワークにおいては、ネットワーク内における障害原因を早期に発見するために、データの通信経路を探索する技術が実施されている。
【０００４】
通信経路を探索する技術としては、例えば、トレースルート（ｔｒａｃｅｒｏｕｔｅ）を利用した経路探索技術がある。トレースルートは、例えば、Ｌ３（ネットワーク層）ネットワークの通信経路を探索するものであって、以下のように実施される。
【０００５】
すなわち、ある通信装置は、経路探索パケット（例えば、ＩＣＭＰ（Internet Control Message Protocol）パケット）を送信する。そして、ネットワーク内のＬ３スイッチ（又はルータ）は、ＩＣＭＰパケットを受信すると、自身のアドレス情報を、ＩＣＭＰパケットを送信した通信装置に通知する。通信装置は、受信したアドレス情報に基づいて、ＩＣＭＰパケットの通信経路を探索することができる。
【０００６】
このようなネットワーク内の経路を探索する技術としては、例えば、以下のような技術もある。すなわち、トレースルート実行装置は、ＩＣＭＰパケットを所定のＩＰアドレスに送信し、Ｌ２（データリンク層）ＳＷ間に設けられた各モニタリング装置はＩＣＭＰパケットを監視し、経路表示装置は各モニタリング装置から監視結果を読み出すことで、通信経路を探索するようにしたものがある。
【０００７】
また、エラー応答パケットの情報部に暗号文が含まれている場合、暗号化文の情報を削除したエラー応答パケットを転送することで、ゲートウェイ等で暗号化された暗号化文などを容易に入出することを防止するようにした暗号通信装置もある。
【０００８】
さらに、通信端末はＴＴＬ（Time To Live）を変化させたルータディスカバリ用パケットを特定のＩＰアドレスに向けて送信し、ＩＣＭＰ  ＴＩＭＥ  ＥＸＣＥＥＤ  ＭＥＳＳＡＧＥを受信することで宅内ネットワーク内のルータを検出する。そして、通信端末は検出したルータのアドレス空間に対して、アドレス範囲推定パケットを送信し、その応答によりルータのアドレス空間を推定することで、宅内ネットワークのアドレス区間の衝突を防止するようにした技術もある。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００８−１７２２９１号公報
【特許文献２】特開平１１−２２０４９５号公報
【特許文献３】特開２００６−２８７４７８号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、上述したトレースルート実行装置による技術では、例えば、経路表示装置が各モニタリング装置からＩＣＭＰパケットの検出の有無を読み出すことで経路探索を行うものであって、経路探索が不正に行われる場合の対策は何もとられていない。そのため、トレースルート実行装置による技術では、例えば、不正なアクセスによる経路探索を防止することができない。
【００１１】
このような不正なアクセスを防止するために、例えば、ファイアーウォールがネットワークに接続される場合もある。しかし、ファイアーウォールは、例えば、不正なアクセスを防止するため、ＩＣＭＰパケット自体を通過させないようにしている。そのため、ファイアーウォールがネットワークに接続されると、ネットワーク内において経路を探索することができない場合がある。
【００１２】
また、不正なアクセスを防止するために、例えば、侵入検知システム（ＩＤＳ（Intrusion Detection System））がネットワークに導入される場合もある。しかし、経路探索が行われる場合、一定以上のＩＣＭＰパケットが短時間でネットワークに送受信されるため、ＩＤＳは、このようなＩＣＭＰパケットをネットワークに対する不正アクセスと誤認識する場合もある。ＩＤＳは、このような場合、不正なアクセスが行われているのか経路探索が行われているのかを判別することができない。従って、ＩＤＳが導入されたネットワークにおいては経路探索が正確に行われない場合もある。
【００１３】
また、上述した暗号通信装置による技術では、例えば、エラー応答パケットの情報部に含まれる暗号化文を削除するものであって、経路探索が不正に行われる場合の対策は何もとられていない。そのため、上述した暗号通信装置による技術でも、例えば、不正なアクセスによる経路探索を防止することができない。さらに、上述した暗号化通信装置による技術では、例えば、ネットワークにおける経路探索を行うことについても対策がとられておらず、経路探索そのものを行うことができない。
【００１４】
さらに、上述した宅内ネットワークのアドレス区間の衝突を防止する技術においても、例えば、経路探索が不正に行われる場合の対策は何もとられていない。そのため、宅内ネットワークのアドレス区間の衝突を防止する技術においても、例えば、不正なアクセスによる経路探索を防止することができない。
【００１５】
一方、トレースルートを利用した経路探索による技術は、例えば、ＴＴＬが順次「１」づつ加算された複数のＩＣＭＰパケットがネットワークにおいて送受信される。複数のＩＣＭＰパケットがネットワークにおいて送受信されるため、ネットワークにおいてデータなど送受信するための資源が、経路探索のために浪費される場合もある。
【００１６】
そこで、本発明の一目的は、不正なアクセスによる経路探索を防止することができる通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムを提供することにある。
【００１７】
また、本発明の一目的は、経路探索を行うことができる通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムを提供することにある。
【００１８】
さらに、本発明の一目的は、ネットワーク資源を有効活用できるようにした通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムを提供することにある。
【課題を解決するための手段】
【００１９】
一態様によれば、第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と前記第２との間の通信経路を探索する経路探索パケットを受信する通信監視装置において、前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する応答パケット遮断部、を備え、前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットである。
【発明の効果】
【００２０】
不正なアクセスによる経路探索を防止することができる通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムを提供することができる。また、経路探索を行うことができる通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムを提供することができる。ネットワーク資源を有効活用できるようにした通信監視装置、通信監視プログラム、通信監視装置における通信監視方法、及び経路探索システムを提供することができる。
【図面の簡単な説明】
【００２１】
【図１】図１は経路探索システムの構成例を表わす図である。
【図２】図２は通信ネットワークシステムの構成例を表わす図である。
【図３】図３は通信ネットワークシステムの構成例を表わす図である。
【図４】図４は経路探索システムと各装置の構成例を表わす図である。
【図５】図５はＩＰパケットデータの構成例を表わす図である。
【図６】図６は不正な経路探索装置が経路調査を行った場合の動作例を表わすシーケンス図である。
【図７】図７は経路の探索が行われる場合の動作例を表わすシーケンス図である。
【図８】図８は遮断後の動作を表わす表である。
【図９】図９は調査パケット送出装置の構成例を表わす図である。
【図１０】図１０は通信監視遮断装置の構成例を表わす図である。
【図１１】図１１は管理システム装置の構成例を表わす図である。
【発明を実施するための形態】
【００２２】
以下、本発明を実施するための形態について説明する。
【００２３】
［第１の実施の形態］
最初に第１の実施の形態について説明する。図１は第１の実施の形態における経路探索システム３０の構成例を表わす図である。経路探索システム３０は、第１の通信装置１００、通信監視装置３００、第３の通信装置４００、及び第２の通信装置７００を備える。
【００２４】
通信監視装置３００は、第１の通信装置１００と第２の通信装置７００との間に接続されて、第１の通信装置１００から送信された経路探索パケットを受信する。経路探索パケットは、例えば、第１の通信装置１００と第２の通信装置７００との間の通信経路を探索するためのパケットである。
【００２５】
通信監視装置３００は、応答パケット遮断部３４０を備える。応答パケット遮断部３４０は、第１の通信装置１００から送信され第２の通信装置７００宛ての経路探索パケットを通過させる。また、応答パケット遮断部３４０は、通信監視装置３００と第２の通信装置７００との間に設置された第３の通信装置４００から送信された第１の応答パケット、又は、経路探索パケットを受信した第２の通信装置７００から送信された第２の応答パケットを遮断する。
【００２６】
ここで、第１の応答パケットは、経路探索パケットが第２の通信装置７００に到達する前に経路探索パケットの有効期間が超過したときに第３の通信装置４００によって生成された応答パケットである。
【００２７】
また、第２の応答パケットは、経路探索パケットを受信した第２の通信装置７００によって経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットである。
【００２８】
このように経路探索システム３０では、通信監視装置３００によって、経路探索パケットに対する第１又は第２の応答パケットを遮断するようにしているため、不正なアクセスで経路探索を行う装置が接続されても、当該装置に第１又は第２の応答パケットは送信されない。
【００２９】
よって、本経路探索システム３０は、通信監視装置３００によって、経路情報を収集するために利用可能なパケットの廃棄通知と受信応答は不正なアクセスで経路探索を行う装置に送信されることはない。
【００３０】
従って、経路探索システム３０に不正なアクセスで経路探索を行う装置が接続されても、当該装置によって、第１の通信装置１００から第２の通信装置７００までの疎通経路を推定することができず、不正なアクセスによる経路探索を防止することができる。
【００３１】
また、通信監視装置３００は、例えば、第１又は第２の応答パケットを検出すると、第１又は第２の応答パケットから当該パケットの送信元のアドレス情報を抽出することができる。通信監視装置３００は、抽出したアドレス情報を、経路探索を行う管理システム装置などに送信することで、管理システム装置において経路探索を行うことができる。
【００３２】
従って、経路探索システム３０は、経路探索を行うことが可能となる。
【００３３】
さらに、経路探索システム３０は、通信監視装置３００により第１又は第２の応答パケットが遮断されるため、通信監視装置３００から第１の通信装置１００に第１又は第２の応答パケットは送信されない。
【００３４】
従って、通信監視装置３００と第１の通信装置１００との間の経路では、経路探索以外の用途に応じたパケットを送信させることができ、経路探索システム３０は、ネットワーク資源を有効活用することができる。
【００３５】
［第２の実施の形態］
＜全体構成例＞
次に第２の実施の形態について説明する。最初に、通信ネットワークシステム全体の構成例、次に、通信監視遮断装置（又は、通信監視装置、以下では「通信監視遮断装置」と称する）を含む経路探索システムの構成例、最後に、通信監視遮断装置を含む経路探索システムにおける動作例について説明する。
【００３６】
図２及び図３は、通信ネットワークシステム１０の構成例を表わす図である。図２に示す通信ネットワークシステム１０では、不正経路探索装置６００が通信ネットワークシステム１０に接続された場合の構成例を表わしている。
【００３７】
図２に示すように、通信ネットワークシステム１０は、ネットワークＡ（５０−１）、ネットワークＢ（５０−２）、ネットワークＣ（５０−３）、通信監視遮断装置３００−１〜３００−３を備える。
【００３８】
ネットワークＡ（５０−１）は、１又は複数の機器Ａ−１〜Ａ−７を含む。各機器Ａ−１〜Ａ−７は、例えば、Ｌ２プロトコル層（データリンク層）やＬ３プロトコル層（ネットワーク層）においてデータを処理することのできる機器である。各機器Ａ−１〜Ａ−７は、例えば、Ｌ２スイッチやＬ３スイッチ、又は単にルータと称される場合がある。各機器Ａ−１〜Ａ−７は、例えば、ルータとしての機能を含む装置であればサーバやゲートウェイなどであってもよい。各機器Ａ−１〜Ａ−７は、ネットワークＡ内において相互に接続される。
【００３９】
ネットワークＢ（５０−２），Ｃ（５０−３）についても、１又は複数の機器Ｂ−１〜Ｂ−８，Ｃ−１〜Ｃ−７をそれぞれ含む。各機器Ｂ−１〜Ｂ−８，Ｃ−１〜Ｃ−７は、例えば、各機器Ａ−１〜Ａ−７と同様に、Ｌ２スイッチやＬ２スイッチ、或いはルータと称される場合がある。
【００４０】
図２に示すように、各通信監視遮断装置３００−１〜３００−３は、例えば、各ネットワークＡ（５０−１）〜Ｃ（５０−３）間に配置される。図２の例では、通信監視遮断装置３００−１は、ネットワークＡ（５０−１）とネットワークＣ（５０−３）との間に接続され、通信監視遮断装置３００−２は、ネットワークＡ（５０−１）とネットワークＢ（５０−２）との間に接続される。また、通信監視遮断装置３００−３は、ネットワークＢ（５０−２）とネットワークＣ（５０−３）との間に接続される。
【００４１】
図２の例では、以上のように接続されるが、通知監視遮断装置３００−１〜３００−３は、例えば、監視対象ネットワークのリンク上（Ｌ２スイッチ間、Ｌ３スイッチ間、又はＬ２スイッチとＬ３スイッチの間）に接続される。
【００４２】
図２に示す通信ネットワークシステム１０においては、不正経路探索装置６００がネットワークＣ（５０−３）に接続されている。図２の例では、不正経路探索装置６００は、ネットワークＡ（５０−１）〜Ｃ（５０−３）に対して、調査パケット（又は経路探索パケット、以下では調査パケットと称する）を送信する。本実施の形態においては、調査パケットは、例えば、ＩＣＭＰプロトコルのタイプ８のＩＣＭＰパケットである。
【００４３】
通信監視遮断装置３００−１〜３００−３は、調査パケットを通過させるものの、調査パケットに対する応答パケット（例えば、ＩＣＭＰパケットのタイプ０の応答パケット（以下、ＩＣＭＰタイプ０パケット）とＩＣＭＰパケットのタイプ１１の応答パケット（以下、ＩＣＭＰタイプ１１パケット））を検知すると、当該応答パケットをそれぞれ遮断する。通信監視遮断装置３００−１〜３００−３が応答パケットをそれぞれ遮断することで、不正経路探索装置６００にＩＣＭＰタイプ０パケットやＩＣＭＰタイプ１１パケットが送信されず、経路が不正に探索されることを防止することができる。
【００４４】
ここで、ＩＣＭＰタイプ１１パケットとは、例えば、調査パケットが当該調査パケットの宛先である受信元の機器に到達する前に有効期間が超過したときに生成される応答パケットである。
【００４５】
例えば、調査パケットにはＴＴＬの値が含まれて、調査パケットを受信したＬ３スイッチは、ＴＴＬの値を「１」減算して、調査パケットを通過させる。この場合において、Ｌ３スイッチは、受信した調査パケットのＴＴＬを「１」減算したとき、調査パケットの宛先（受信元）に届く前に、ＴＴＬの値が「０」になると、ＩＣＭＰタイプ１１パケットを生成する。Ｌ３スイッチは、生成したＩＣＭＰタイプ１１パケットを、調査パケットの送信元（図２の例では不正経路探索装置６００）に送信する。言い換えると、ＩＣＭＰタイプ１１パケットとは、例えば、調査パケットのＴＴＬが調査パケットの受信元に届くホップ数より短い場合に、Ｌ３スイッチにより送信されるパケットでもある。
【００４６】
一方、ＩＣＭＰタイプ０パケットとは、例えば、エコー応答などとも称され、調査パケットが宛先である機器に到達したとき、当該機器において調査パケットの送信元と送信先（宛先）とが入れ替えられたパケットである。あるいは、ＩＣＭＰタイプ０パケットとは、例えば、調査パケットのＴＴＬが十分大きく、調査パケットの受信元に届いた場合、受信元の機器（例えばＬ３スイッチ）が、調査パケットの送信元（図２の例では不正経路探索装置６００）に送信するパケットである。
【００４７】
例えば、調査パケットのＴＴＬの値が減算されても「０」にならず、調査パケットが受信元の機器に届いた場合、当該機器は調査パケットの送信元と送信先を入れ替えたＩＣＭＰタイプ０パケットを生成して送信することができる。
【００４８】
なお、図２において、通信監視遮断装置３００−１〜３００−３は、例えば、経路探索システムに含まれる装置でもある。通信監視遮断装置３００−１〜３００−３からすると、通信ネットワークシステム１０は監視対象のネットワークでもあるため、経路探索システムと通信ネットワークシステム１０は別々のシステムと考えることもできる。しかし、本第２の実施の形態を含む以下の実施の形態においては、例えば、説明の容易のため、通信ネットワークシステム１０内に経路探索システムが含まれるものとして説明することにする。
【００４９】
図３は、そのような経路探索システム３０を含む通信ネットワークシステム１０の構成例を表わす図である。
【００５０】
経路探索システム３０は、調査パケット送出装置１００、通信監視遮断装置３００−１〜３００−３、及び管理システム装置５００を備える。図３におけるネットワークＡ（５０−１）〜Ｃ（５０−３）は、例えば、経路探索システム３０にとって管理対象ネットワークでもある。
【００５１】
なお、第１の実施の形態における第１の通信装置１００は、例えば、調査パケット送出装置１０に対応する。また、第１の実施の形態における通信監視装置３００は、例えば、通信監視遮断装置３００−１〜３００−３に対応する。さらに、第１の実施の形態における第２の通信装置７００は、例えば、受信元の機器７００に対応し、第１の実施の形態における第３の通信装置４００はネットワークＢ（５０−２）、又はネットワークＣ（５０−３）内のルータに対応する。
【００５２】
経路探索システム３０内の各装置１００等の詳細は後述する。ここでは、図３の通信ネットワークシステム１０において、どのように経路探索が行われるかについて説明する。
【００５３】
図３において、ネットワークＡ（５０−１）内の調査パケット送出装置１００は、パケット受信元の機器（以下、受信元と称する場合がある）７００に調査パケットを送出する。この場合、調査パケット送出装置１００は、ＴＴＬの値を「１」より順番に増やした複数の調査パケットを送出する。
【００５４】
ＴＴＬが「１」から「３」の調査パケットは、ネットワークＡ（５０−１）内において有効期間が超過し（ＴＴＬが「０」となり）、例えば、ルータＡ−２〜Ａ−４で破棄される。  
【００５５】
このとき、各ルータＡ−２〜Ａ−４は、ＩＣＭＰタイプ１１パケットを調査パケット送出装置１００に送信する。調査パケット送出装置１００は、このＩＣＭＰタイプ１１パケットを受信し、ＩＣＭＰタイプ１１パケットの受信元の情報（ルータＡ−２〜Ａ−４のＩＰアドレスなど）を取得する。
【００５６】
一方、ＴＴＬが「４」から「７」の調査パケットは、通信監視遮断装置３００−１を通過し、ネットワークＢ（５０−２）内において有効期間が超過し、例えば、ルータＢ−２〜Ｂ−４で破棄される。各ルータＢ−２〜Ｂ−４は、ＩＣＭＰタイプ１１パケットを調査パケット送出装置１００に送信する。
【００５７】
この場合において、通信監視遮断装置３００−１は、ＩＣＭＰタイプ１１パケットを検出すると、検出したＩＣＭＰタイプ１１パケットを遮断する。通信監視遮断装置３００−１は、一連の処理の最後に管理装置５００から読出要求を受けたとき、検出したＩＣＭＰタイプ１１パケットの送信元の情報（ルータＢ−２〜Ｂ−４のＩＰアドレスなど）を管理装置５００に送信する。管理装置５００は、ＩＣＭＰタイプ１１パケットの送信元の情報に基づいて、疎通経路の判定を行うことができる。
【００５８】
同様に、ＴＴＬが「８」から「１０」の調査パケットは、通信監視遮断装置３００−１，３００−２を通過し、ネットワークＣ（５０−３）内において有効期間が超過し、例えば、ルータＣ−２〜Ｃ−４で破棄される。各ルータＣ−２〜Ｃ−４は、ＩＣＭＰタイプ１１パケットを調査パケット送出装置１００に送信する。
【００５９】
この場合において、通信監視遮断装置３００−２は、ＩＣＭＰタイプ１１パケットを検出するとこれを遮断する。また、通信監視遮断装置３００−２も、一連の処理の最後に管理装置５００から読出要求を受けると、検出したＩＣＭＰタイプ１１パケットの送信元の情報（ルータＣ−２〜Ｃ−４のＩＰアドレスなど）を管理装置５００に送信する。管理装置５００は、これらの送信元の情報に基づいて疎通経路を推定する。
【００６０】
なお、調査パケットが受信元７００に到達すると、受信元７００はＩＣＭＰタイプ０パケットを調査パケット送出装置１００に送信する。通信監視遮断装置３００−２は、このＩＣＭＰタイプ０パケットを検出するとこれを遮断し、さらに、ＩＣＭＰタイプ０パケットの検出通知を管理装置５００に送信する。管理装置５００はこの検出通知を受けて、調査パケットの送信を停止させるよう調査パケット送出装置１００に指示し、調査パケットの送信が停止する。そして、管理装置５００は、送信停止を指示した後、全ての通信監視遮断装置３００−１〜３００−３に対して読出要求を送信する。
【００６１】
また、図３において、通信監視遮断装置３００−３がＩＣＭＰタイプ１１パケットやＩＣＭＰタイプ０パケットを検出することもあり、そのような場合であっても、通信監視遮断装置３００−３がこれらのパケットを遮断する。
【００６２】
＜経路探索システム３０と各装置１００等の構成例＞
次に、経路探索システム３０に含まれる各装置１００等の構成例について説明する。図４は、経路探索システム３０と経路探索システム３０に含まれる各装置１００等の構成例を表わす図である。
【００６３】
図４の例において、管理対象ネットワーク５０があるが、例えば、図２及び図３に示すネットワークＡ（５０−１）〜Ｃ（５０−３）に対応する。経路探索システム３０にとって、例えば、ネットワークＡ（５０−１）〜Ｃ（５０−３）が管理対象ネットワークとなる。
【００６４】
また、図４の例では、３台の調査パケット送出装置１００−１〜１００−３が示されているが、調査パケット送出装置１００−１〜１００−３は、例えば、１台や２台でもよいし、４台以上あってもよい。通信監視遮断装置３００−１〜３００−３についても、３台設置される例が示されているが、１台や２台、或いは４台以上でもよい。
【００６５】
なお、調査パケット送出装置１００−１〜１００−３はいずれも同一構成のため、とくに断らない限り、調査パケット送出装置１００として説明する。また、通信監視遮断装置３００−１〜３００−３についても、とくに断らない限り、通信監視遮断装置３００として説明する。
【００６６】
調査パケット送出装置１００は、管理対象ＮＷ用ＩＦ（ネットワーク用インターフェース）１１０、管理システム装置用ＩＦ１２０、調査パケット送出部１３０、応答パケット検出記録部１４０を備える。調査パケット送出装置１００は、例えば、監視対象ネットワーク５０の末端サブネットに配置される。
【００６７】
管理対象ＮＷ用ＩＦ１１０は、管理対象ネットワーク５０と接続され、例えば、管理対象ネットワーク５０から送信されたパケットなどを調査パケット送出装置１００内で処理できる形式などに変換し、応答パケット検出記録部１４０に出力する。また、管理対象ＮＷ用ＩＦ１１０は、例えば、調査パケット送出部１３０や応答パケット検出記録部１４０から出力されるパケットなどに対して、管理対象ネットワーク５０へ送信できる形式に変換し、変換後のパケットなどを管理対象ネットワーク５０に送信する。
【００６８】
管理システム装置用ＩＦ１２０は、管理システム装置５００と接続され、例えば、管理システム装置５００から送信された指示や通知などを調査パケット送出装置１００内で処理可能な形式に変換し、調査パケット送出部１３０や応答パケット検出記録部１４０に出力する。また、管理システム装置ＩＦ１２０は、例えば、調査パケット送出部１３０や応答パケット検出記録部１４０から出力された応答や検出情報などに対して、管理システム装置５００に送信できる形式に変換し、管理システム装置５００に送信する。
【００６９】
調査パケット送出部１３０は、例えば、管理システム装置５００から送信要求に従って、送信要求において指定された宛先に調査パケットを送出する。この場合、調査パケット送出部１３０は、例えば、ＴＴＬの値を「１」から順に増加した１又は複数の調査パケットを生成し、順次、管理対象ネットワーク５０に送信する。
【００７０】
応答パケット検出記録部１４０は、例えば、管理システム装置５００からの検出要求に基づいて、管理対象ネットワーク５０から受信したパケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットか否かを検出する。応答パケット検出記録部１４０は、受信したパケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットであることを検出したとき、これらのパケットの検出情報を記録する。また、応答パケット検出記録部１４０は、受信したパケットがＩＣＭＰタイプ０パケットであることを検出したとき、ＩＣＭＰタイプ０パケットの受信通知を管理システム装置５００に通知する。
【００７１】
なお、検出情報の記録は、例えば、応答パケット検出記録部１４０又は調査パケット送出装置１００内のメモリ（図示せず）にて行われる。
【００７２】
ここで、応答パケット検出記録部１４０は、どのようにしてＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットを検出するかについて説明する。
【００７３】
図５はＩＣＭＰパケット（又は調査パケット）を含むＩＰパケットの構成例を表わす図である。応答パケット検出記録部１４０は、例えば、受信パケットのＩＰヘッダにおける「バージョン」と「サービスタイプ」、及び「プロトコル」の領域を検出し、その領域に含まれる値がそれぞれ「４」、「０」、「１」のとき、受信したＩＰパケットはＩＣＭＰパケットであると判別する。
【００７４】
そして、応答パケット検出記録部１４０は、ＩＣＭＰパケットと判別したとき、ＩＣＭＰヘッダの「タイプ」領域を検出し、その領域に含まれる値が「０」または「１１」であるときに、受信パケットをＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットであるとそれぞれ判別することができる。
【００７５】
なお、調査パケット送出部１３０は、例えば、ＩＣＭＰパケットにおいて、「タイプ」を「８」（エコー要求）にしたＩＰパケットを生成することで、調査パケットを生成することができる。
【００７６】
また、後述する通信監視遮断装置３００の応答パケット検出記録部３３０や応答パケット遮断部３４０においても、応答パケット検出記録部１４０と同様にＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットを検出することができる。
【００７７】
図４に戻り、通信監視遮断装置３００は、管理対象ＮＷ用ＩＦ３１０、管理システム装置用ＩＦ３２０、応答パケット検出記録部３３０、及び応答パケット遮断部３４０を備える。
【００７８】
なお、第１の実施の形態における応答パケット遮断部３４０は、例えば、図４に示す応答パケット遮断部３４０に対応する。
【００７９】
管理対象ＮＷ用ＩＦ３１０は、例えば、管理対象ネットワーク５０と接続され、管理対象ネットワーク５０から受信したパケットなどを通信監視遮断装置３００内で処理可能な形式に変換し、応用パケット検出記録部３３０と応答パケット遮断部３４０に出力する。また、管理対象ＮＷ用ＩＦ３１０は、例えば、応答パケット遮断部３４０から出力されたパケットを管理対象ネットワーク５０に送信できる形式に変換し、変換後のパケットを管理対象ネットワーク５０に送信する。
【００８０】
管理システム装置用ＩＦ３２０は、管理システム装置５００と接続され、例えば、管理システム装置５００から送信された通知などを通信監視遮断装置３００内で処理できる形式に変換し、応答パケット遮断部３４０や応答パケット検出記録部３３０に出力する。また、管理システム装置用ＩＦ３２０は、応答パケット検出記録部３３０や応答パケット遮断部３４０から出力される検出情報などを管理システム装置５００に送信できる形式に変換し、管理システム装置５００に送信する。
【００８１】
応答パケット検出記録部３３０は、例えば、管理装置５００からの検出要求に基づいて、管理対象ネットワーク５０から受信したパケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットか否かを検出する。そして、応答パケット検出記録部３３０は、受信パケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットであることを検出したとき、通過情報をメモリ（図示せず）に記録することもできる。応答パケット検出記録部３３０は、記録した通過情報を、管理システム装置５００からの読み出し要求に応じて、管理システム装置５００に送信する。
【００８２】
応答パケット遮断部３４０は、例えば、管理装置５００からの検出要求に基づいて、管理対象ネットワーク５０から受信した受信パケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットであるか否かを検知する。そして、応答パケット遮断部３４０は、受信パケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットであることを検知したとき、これらのパケットを遮断する。応答パケット遮断部３４０は、例えば、受信パケットがＩＣＭＰタイプ０パケット及びＩＣＭＰタイプ１１パケットではないとき、受信パケットを通過させる。
【００８３】
なお、受信パケットがＩＣＭＰタイプ０パケット及びＩＣＭＰタイプ１１パケットか否かの検出は、例えば、応答パケット検出記録部３３０で行われるようにしてもよい。この場合、応答パケット検出記録部３３０は、その検出結果を応答パケット遮断部３４０に通知し、応答パケット遮断部３４０はその検出結果に基づいて遮断したり通過させたりすることもできる。応答パケット遮断部３４０は、受信パケットがＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットか否かの検出を行わないため、その分、処理を速くすることができる。
【００８４】
管理システム装置５００は、調査パケット送出装置制御ＩＦ５１０、通信監視遮断装置制御ＩＦ５２０、装置制御部５２５、経路推定部５６０、及び経路表示部５７０を備える。また、装置制御部５２５は、調査パケット送信指示部５３０、ＩＣＭＰタイプ０検出通知受信部５４０、ＩＣＭＰパケット検出記録結果読出部５５０、及びＩＣＭＰ検出指示部５５５を備える。
【００８５】
調査パケット送出装置制御ＩＦ５１０は、調査パケット送出装置１００と接続され、例えば、調査パケット送出装置１００から送信された検出情報などを管理システム装置５００内で処理可能な形式に変換する。そして、調査パケット送出装置制御ＩＦ５１０は、例えば、変換後の検出情報などを、ＩＣＭＰタイプ０検出通知受信部５４０やＩＣＭＰパケット検出記録結果読出部５５０などに出力する。また、調査パケット送出装置制御ＩＦ５１０は、例えば、調査パケット送信指示部５３０なＩＣＭＰパケット検出記録結果読出部５５０から出力された指示などを調査パケット送出装置１００に送信できる形式に変換して、調査パケット送出装置１００に送信する。
【００８６】
通信監視遮断装置制御ＩＦ５２０は、通信監視遮断装置３００と接続され、例えば、通信監視遮断装置３００から送信された検出情報などを管理システム装置５００内で処理可能な形式に変換する。そして、通信監視遮断装置制御ＩＦ５２０は、例えば、変換後の検出情報などをＩＣＭＰタイプ０検出通知受信部５４０やＩＣＭＰパケット検出記録結果読出部５５０に出力する。また、通信監視遮断装置制御ＩＦ５２０は、例えば、ＩＣＭＰパケット検出記録結果読出部５５０から出力された検出情報の読出要求などを通信監視遮断装置３００に送信可能な形式に変換し、通信監視遮断装置３００に送信する。
【００８７】
調査パケット送信指示部５３０は、例えば、指定されたセグメントにある調査パケット送出装置１００に対して、調査パケットの送信を指示する送出要求を送信したり、調査パケットの送信の停止を指示する送出停止要求を送信する。また、調査パケット送信指示部５３０は、例えば、通信監視遮断装置３００や調査パケット送出装置１００に対して、検出要求を送信する。調査パケット送出装置１００は、検出要求に基づいて、ＩＣＭＰタイプ０パケットやＩＣＭＰタイプ１１パケットを検出できる。また、通信監視遮断装置３００は、検出要求に基づいて、調査パケット、ＩＣＭＰタイプ０パケット、及びＩＣＭＰタイプ１１パケットの検出を行うことができる。検出要求の詳細は後述する。
【００８８】
ＩＣＭＰタイプ０検出通知受信部５４０は、例えば、調査パケット送出装置１００や通信監視遮断装置３００から送信されたＩＣＭＰタイプ０パケットの検出通知を受信する。ＩＣＭＰタイプ０検出通知受信部５４０は、検出通知を受信すると、調査パケット送信指示部５３０に通知し、調査パケット送信指示部５３０において調査パケットの送信の停止が指示される。
【００８９】
ＩＣＭＰパケット検出記録結果読出部５５０は、例えば、調査パケット送出装置１００や通信監視遮断装置３００が検出したＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットの検出情報を、調査パケット送出装置１００や通信監視遮断装置３００から読み出す。例えば、ＩＣＭＰパケット検出記録結果読出部５５０は、調査パケット送出装置１００や通信監視遮断装置３００に読出要求を送信することで、調査パケット送出装置１００や通信監視遮断装置３００に蓄積された検出情報（又は通過情報）を読み出すことができる。
【００９０】
ＩＣＭＰ検出指示部５５５は、例えば、調査パケットの通過やＩＣＭＰタイプ０又はタイプ１１のパケットの検出を指示する検出要求を生成し、通信監視遮断装置制御ＩＦ５２０を介して、全ての通信監視遮断装置３００に送信する。検出要求の詳細は後述する。
【００９１】
経路推定部５６０は、例えば、ＩＣＭＰパケット検出記録結果読出部５５０からの検出情報に基づいて、通信ネットワークシステム１０における疎通経路を推定する。検出情報には、例えば、ＩＣＭＰタイプ１１パケットの送信元の情報が含まれる。経路推定部５６０は、例えば、この送信元の情報をメモリ（図示せず）内において順次並べるなどの処理を行うことで、管理対象ネットワーク５０の疎通経路を推定することができる。経路推定は、例えば、特開２００８−１７２２９１号公報に記載された経路推定を行うようにしてもよい。
【００９２】
経路表示部５７０は、例えば、モニタなどであって、経路推定部５６０により推定された経路を表示する。
【００９３】
＜動作例＞
次に、経路探索システム３０又は通信ネットワークシステム１０における動作例について説明する。動作例については、不正な経路探索装置により経路調査が行われる場合の動作例と、経路探索システム３０により経路調査が行われる場合の動作例の２つの動作例について説明する。
【００９４】
＜不正な経路探索装置により経路調査が行われる場合の動作例＞
図６は不正経路探索装置６００により経路調査が行われる場合の動作例を表わすシーケンス図である。例えば、図２に示すように、不正経路探索装置６００が通信ネットワークシステム１０に接続されて、経路調査が行われる場合の動作例でもある。
【００９５】
図６において、通信監視遮断装置３００−１，３００−２とＬ３ＳＷ（Ｌ３スイッチ）４００、及び受信元７００が示されているが、例えば、２つの通信監視遮断装置３００−１，３００−２は図２に示す２つの通信監視遮断装置３００−１，３００−２にそれぞれ対応する。また、図６のＬ３ＳＷ４００は、例えば、図２のネットワークＡ（５０−１）内のＬ３スイッチに対応する。さらに、図６の受信元７００は、例えば、図２のネットワークＢ（５０−２）内の機器に対応する。このような通信ネットワークシステム１０の構成は一例であって、ネットワークＡ（５０−１）〜Ｃ（５０−３）の配置の仕方や数、各ネットワークＡ（５０−１）〜Ｃ（５０−３）のルータの設置の仕方や数などに関し、図２はその一例を示しているに過ぎない。
【００９６】
図６において、不正経路探索装置６００は、調査パケットを受信元７００に送出する（Ｓ１０）。
【００９７】
Ｌ３ＳＷ４００は、調査パケットのＴＴＬが調査パケットの受信元７００に届くホップ数より短い場合、調査パケットを破棄し、ＩＣＭＰタイプ１１パケットを送信する（Ｓ１１）。Ｌ３ＳＷ４００は、ＩＣＭＰタイプ１１パケットを、調査パケットの送信元である不正経路探索装置６００に送信する。
【００９８】
不正経路探索装置６００とＬ３ＳＷ４００との間に設置された通信監視遮断装置３００−１は、ＩＣＭＰタイプ１１パケットを検出すると、検出したＩＣＭＰタイプ１１パケットを遮断する（Ｓ１２）。例えば、通信監視遮断装置３００の応答パケット検出記録部３３０と応答パケット遮断部３４０がＩＣＭＰタイプ１１パケットを検出し、応答パケット遮断部３４０が検出したＩＣＭＰタイプ１１パケットを遮断する。この場合、応答パケット遮断部３４０は、検出したＩＣＭＰタイプ１１パケットを破棄することで、ＩＣＭＰタイプ１１パケットを遮断する。
【００９９】
次いで、不正経路探索装置６００はＴＴＬが十分大きい調査パケットを送出し、当該調査パケットが受信元７００に届くと（Ｓ１３）、受信元７００はＩＣＭＰタイプ０パケットを送出する（Ｓ１４）。受信元７００は、ＩＣＭＰタイプ０パケットを、調査パケットの送信元である不正経路探索装置６００に対して送信する。
【０１００】
受信元７００と不正経路探索装置６００との間に設置された通信監視遮断装置３００−２は、受信元７００から送信されたＩＣＭＰタイプ０パケットを検出すると、検出したＩＣＭＰタイプ０パケットを遮断する（Ｓ１５）。例えば、応答パケット検出記録部３３０と応答パケット遮断部３４０がＩＣＭＰタイプ０パケットを検出し、応答パケット遮断部３４０が検出したＩＣＭＰタイプ０パケットを遮断する。この場合、応答パケット遮断部３４０は、検出したＩＣＭＰタイプ０パケット破棄することで、ＩＣＭＰタイプ０パケットを遮断する。
【０１０１】
このように、通信監視遮断装置３００−１は、ＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットを遮断するため、不正経路探索装置６００が経路情報を収集するために利用可能なパケットの廃棄通知と受信応答をそれぞれブロックすることができる。従って、不正経路探索装置６００は通信ネットワークシステム１０における経路を推定することができず、通信監視遮断装置３００−１は不正なアクセスによる経路探索を防止することができる。
【０１０２】
＜経路探索システム３０により経路調査が行われる場合の動作例＞
次に経路探索システム３０によって経路調査が行われる場合の動作例について説明する。図７は本動作例のシーケンス図を表わしている。
【０１０３】
理解を容易にするため、例えば、図７の動作例は図３に示す通信ネットワークシステム１０においても実施できる。この場合において、図７の通信監視遮断装置３００−１は、例えば、図３のネットワークＡ（５０−１）とネットワークＢ（５０−２）との間に接続された通信監視遮断装置３００−１に対応する。また、図７の通信監視遮断装置３００−２は、例えば、図３のネットワークＢ（５０−２）とネットワークＣ（５０−３）との間に接続された通信監視遮断装置３００−２に対応する。さらに、図７のＬ３ＳＷ４００は、例えば、ネットワークＢ（５０−２）内のＬ３スイッチに対応する。
【０１０４】
なお、本動作例において、調査パケット送出装置１００のＩＰアドレスを「アドレスＡ」、Ｌ３ＳＷ４００のＩＰアドレスを「アドレスＣ」、受信元７００のＩＰアドレスを「アドレスＢ」として説明する。
【０１０５】
管理システム装置５００は、すべての通信監視遮断装置３００（図２の例では通信監視遮断装置３００−１〜３００−３）に対して、検出要求を送信する（Ｓ２０，Ｓ２１）。検出要求には、例えば、調査パケットの通過を検出するための第１の検出要求と、ＩＣＭＰタイプ１１パケットを検出するための第２の検出要求、及びＩＣＭＰタイプ０パケットを検出するための第３の検出要求が含まれる。
【０１０６】
第１の検出要求は、送信元が調査パケット送出装置１００（例えば「アドレスＡ」）、送信先が受信元７００（例えば「アドレスＢ」）である調査パケット（例えばＩＣＭＰタイプ８パケット）の検出を要求するものである。
【０１０７】
また、第２の検出要求は、送信元は任意、送信先が調査パケット送出装置１００（例えば「アドレスＡ」）であるＩＣＭＰタイプ１１パケットの検出を要求するものである。
【０１０８】
さらに、第３の検出要求は、送信元は調査パケットの送信先（受信元７００（例えば「アドレスＢ」））、送信先は調査パケット送出装置１００（例えば「アドレスＡ」）であるＩＣＭＰタイプ０パケットの検出を要求するものである。
【０１０９】
例えば、管理システム装置５００のＩＣＭＰ検出指示部５５５が第１から第３の検出要求を含む検出要求を生成し、通信監視遮断装置制御ＩＦ５２０を介してすべての通信監視遮断装置３００に送信する。
【０１１０】
なお、管理システム装置５００は、調査パケット送出装置１００に対して、ＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットの検出を要求するため、第２の検出要求を第３の検出要求とを含む検出要求を送信してもよい。
【０１１１】
検出要求を受けた通信監視遮断装置３００−１，３００−２は、検出要求を受信できたことを通知するため、検出要求に対する応答を管理システム装置５００に送信する（Ｓ２２，Ｓ２３）。例えば、応答パケット検出記録部３３０が検出要求を受信すると、検出要求に対する応答を、管理システム装置用ＩＦ３２０を介して管理システム装置５００に送信する。
【０１１２】
管理システム装置５００は、すべての通信監視遮断装置３００から応答を受信すると、調査パケット送出装置１００に対して、調査パケットの送出要求を送信する（Ｓ２４）。例えば、調査パケット送信指示部５３０は、全通信監視遮断装置３００から応答があることを検出すると、調査パケットの送出要求（又は送出指示）を調査パケット送出装置１００に対して送信する。調査パケット送信指示部５３０は、例えば、調査パケットの送信先を受信元７００のＩＰアドレス（例えば「アドレスＢ」）とする送出要求を送信することができる。
【０１１３】
調査パケットの送出要求を受信した調査パケット送出装置１００は、例えば、送出要求を受信したことを示す応答を管理システム装置５００に送信する（Ｓ２５）。例えば、調査パケット送出部１３０は管理システム装置５００から調査パケットの送出要求を受信すると、送出要求に対する応答を管理システム装置５００に送信する。
【０１１４】
次いで、調査パケット送出装置１００は、受信元７００に調査パケットを送出する（Ｓ２６）。調査パケット送出装置１００は、ＴＴＬの値を「１」から順に増やした調査パケットを順次送信する。
【０１１５】
次いで、通信監視遮断装置３００−１は、検出要求に基づいて、調査パケットの通過有無を検出する（Ｓ２７）。通信監視遮断装置３００−１は、例えば、受信パケットが第１の検出要求と一致しているか否かを検出することで通過有無を検出する。  
【０１１６】
すなわち、通信監視遮断装置３００−１は、例えば、受信パケットのＩＰヘッダに含まれる送信元が調査パケット送出装置１００であり、送信先が受信元７００、さらに受信パケットがＩＣＭＰタイプ８のパケットであることを検出すると、調査パケットの通過を検出する。このような検出は、例えば、応答パケット検出記録部３３０又は応答パケット遮断部３４０で行うことができる。なお、応答パケット検出記録部３３０は、検出要求と一致する調査パケットの通過を検出すると通過情報をメモリ（図示せず）に記憶することができる。通過情報としては、例えば、通過した旨を表わす情報や検出した調査パケットのアドレス情報とすることができる。
【０１１７】
調査パケットのＴＴＬが調査パケットの受信元７００に届くまでのホップ数より短い場合、経路途中のＬ３ＳＷ４００で破棄される。Ｌ３ＳＷ４００は、ＴＴＬの値を「１」減算し、受信元７００に送信するよりも前にＴＴＬが「０」になると（又は有効期間が超過すると）、受信した調査パケットを破棄する。そして、Ｌ３ＳＷ４００は、調査パケットの送信元（「アドレスＡ」）に対してＩＣＭＰタイプ１１パケットを送出する（Ｓ２８）。  
【０１１８】
通信監視遮断装置３００−１は、検出要求に基づいて、受信したパケットがＩＣＭＰタイプ１１パケットであることを検出すると、受信したＩＣＭＰタイプ１１パケットを遮断する（Ｓ２９）。この場合、通信監視遮断装置３００−１は、例えば、受信パケットが第２の検出要求と一致しているか否かを検出することができる。
【０１１９】
すなわち、通信監視遮断装置３００−１は、受信パケットがＩＣＭＰタイプ１１パケットであって、その送信先が調査パケット送出装置１００であるかを検出し、そのようなパケットを検出すると、通過情報をメモリ（図示せず）に保持し、検出したＩＣＭＰタイプ１１パケットを破棄する。検出したＩＣＭＰタイプ１１パケットが破棄されることで、例えば、遮断が行われる。通過情報としては、例えば、ＩＣＭＰタイプ１１パケットが通過した旨を表わす情報や、検出したＩＣＭＰタイプ１１パケットのアドレス情報（例えば送信元のＬ３ＳＷ４００のアドレス）とすることができる。
【０１２０】
調査パケットのＴＴＬが十分大きく、調査パケットの受信元７００に届いた場合（Ｓ３０）、受信元７００は、ＩＣＭＰタイプ０パケットを送出する（Ｓ３２）。ＩＣＭＰタイプ０パケットの送信先は、調査パケットの送信元である「アドレスＡ」である。
【０１２１】
なお、受信元７００と調査パケット送出装置１００との間に設置された通信監視遮断装置３００−２は、調査パケットの通過を検出する（Ｓ３１）。通信監視遮断装置３００−２は、上述した通信監視遮断装置３００−１と同様に、第１の検出要求と一致する受信パケットを検出すると、通過情報を保持する。
【０１２２】
一方、通信監視遮断装置３００−２は、検出要求に基づいて、ＩＣＭＰタイプ０パケットを検出し、検出したＩＣＭＰタイプ０パケットを遮断する（Ｓ３２）。この場合、通信監視遮断装置３００−２は、例えば、受信パケットが第３の検出要求と一致しているか否かを検出することができる。
【０１２３】
すなわち、通信監視遮断装置３００−２は、受信パケットがＩＣＭＰタイプ０パケットであって、その送信元は調査パケットの送信先（受信元７００（例えば「アドレスＢ」））、送信先は調査パケット送出装置１００（例えば「アドレスＡ」）であるか否かを検出する。通信監視遮断装置３００−２は、受信パケットが第３の検出要求と一致していることを検出すると、通過情報を保持し、検出したＩＣＭＰタイプ０パケットを破棄し、更に、管理システム装置５００に対してＩＣＭＰタイプ０パケットの検出通知を行う（Ｓ３４）。
【０１２４】
通過情報としては、例えば、ＩＣＭＰタイプ０パケットが通過した旨を表わす情報や、検出したＩＣＭＰタイプ０パケットのアドレス情報（例えば、送信元である受信元７００のアドレス）とすることができる。
【０１２５】
例えば、このような検出は、応答パケット検出記録部３３０又は応答パケット遮断部３４０で行われ、応答パケット遮断部３４０によりＩＣＭＰタイプ０パケットの破棄が行われ、応答パケット検出記録部３３０によりＩＣＭＰタイプ０パケットの検出通知が行われる。なお、この破棄により、ＩＣＭＰタイプ０パケットの遮断が行われる。
【０１２６】
管理システム装置５００は、ＩＣＭＰタイプ０検出通知を受けると、調査パケット送出装置１００に対して、調査パケットの送信停止要求を送信する（Ｓ３５）。調査パケットが受信元７００まで到達したことで経路の推定が可能となり、調査パケットの送信が必要なくなるからである。例えば、調査パケット送信指示部５３０は、ＩＣＭＰタイプ０検出通知受信部５４０からＩＣＭＰタイプ０パケットの検出通知を受け取ったときに、調査パケットの送信停止要求を調査パケット送出装置１００に送信する。
【０１２７】
次いで、管理システム装置５００は、調査パケット送出装置１００と通信監視遮断装置３００−１，３００−２に対して、調査パケットの検出停止及び検出情報の読出要求を送信する（Ｓ３６，Ｓ３７）。例えば、ＩＣＭＰパケット検出記録結果読出部５５０が検出停止要求と読出要求とを生成し、調査パケット送出装置１００と全通信監視遮断装置３００に送信する。この場合、ＩＣＭＰパケット検出記録結果読出部５５０は、検出停止要求と読出要求とを１つの要求にまとめて送信することもできる。
【０１２８】
検出停止要求及び検出情報の読出要求を受信した調査パケット送出装置１００と通信監視遮断装置３００は、調査パケットの検出を停止し、応答パケット検出記録部１４０，３３０で記録した通過情報を検出情報として管理システム装置５００に送信する（Ｓ３８〜Ｓ４０）。
【０１２９】
そして、管理システム装置５００は検出情報を受信し、検出情報に基づいて通信ネットワークシステム１０の経路を推定する。
【０１３０】
このように、本動作例においても、通信監視遮断装置３００−１，３００−２は、ＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットを検出すると、検出したＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットを遮断する。従って、ＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットは、通信ネットワークシステム１０に送信されなくなる。
【０１３１】
よって、本経路探索システム３０では、通信監視遮断装置３００から調査パケット送出装置１００にＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットとが送信されないため、この間のネットワーク資源を他のパケットの送受信などに利用させることが可能となる。従って、本経路探索システム３０は、ネットワーク資源の有効活用を図ることができる。
【０１３２】
また、経路探索システム３０では、管理システム装置５００がＩＣＭＰタイプ０パケットやＩＣＭＰタイプ１１パケットの検出情報を受信することができる。従って、管理システム装置５００では、この検出情報に基づいて、管理対象ネットワーク５０の疎通経路を推定することができる。
【０１３３】
＜遮断動作のまとめ＞
上述した２つの動作例において、いずれも通信監視遮断装置３００は、ＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットを検出すると、これを破棄して遮断している。すなわち、不正経路探索装置６００が接続された場合（例えば図６）、通信監視遮断装置３００は、検出したＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットと破棄する例について説明した。また、経路探索が行われる場合（例えば図７）、通信監視遮断装置３００は、ＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットについては、通過情報を記憶し、そして破棄する例について説明した。
【０１３４】
図８は、ＩＣＭＰタイプ０パケットとＩＣＭＰタイプ１１パケットによりどのような動作が行われるかについてまとめたものである。
【０１３５】
図８において、「検出対象」とあるのは、例えば、検出要求（とくに第２の検出要求と第３の検出要求）により検出対象となるＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットのことである。
【０１３６】
一方、「検出対象外」とは、例えば、管理システム装置５００からの検出要求を受けていないＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットのことである。
【０１３７】
図８から理解されるように、通信監視遮断装置３００は、検出要求の受信後から検出停止前までにおいて、検出要求対象となるＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットを受信したとき、これらのパケットの通過情報を記憶（又は蓄積）し、破棄する。通信監視遮断装置３００は、それ以外の場合においては、検出したＩＣＭＰタイプ０パケット又はＩＣＭＰタイプ１１パケットの通過情報を記憶することなく、破棄することができる。
【０１３８】
［その他の実施の形態］
次にその他の実施の形態について説明する。図９から図１１は、調査パケット送出装置１００、通信監視遮断装置３００、及び管理システム装置５００の他の構成例をそれぞれ表わす図である。
【０１３９】
調査パケット送出装置１００は、更に、ＣＰＵ（Central Processing Unit）１５０、ＲＯＭ（Read Only Memory）１５１、ＲＡＭ（Random Access Memory）１５２を備える。ＣＰＵ１５０とＲＯＭ１５１、及びＲＡＭ１５２は互いにバス１５５に接続され、管理対象ＮＷ用ＩＦ１１０と管理システム装置用ＩＦ１２０もバス１５５に接続される。
【０１４０】
例えば、ＣＰＵ１５０はＲＯＭ１５１に記憶されたプログラムを読み出してＲＡＭ１５２にロードし、ロードしたプログラムを実行することで、調査パケット送出部１３０と応答パケット検出記録部１４０の機能を実現することができる。従って、ＣＰＵ１５０は、例えば、第２の実施の形態における調査パケット送出部１３０と応答パケット検出記録部１４０に対応する。例えば、ＣＰＵ１５０は、検出情報などをＲＡＭ１５２に記録することができる。
【０１４１】
また、通信監視遮断装置３００は、更に、ＣＰＵ３５０、ＲＯＭ３５１、ＲＡＭ３５２を備える。ＣＰＵ２５０とＲＯＭ３５２、及びＲＡＭ３５２は互いにバス３５５に接続され、管理対象ＮＷ用ＩＦ３１０と管理システム装置用ＩＦ３２０もバス３５５に接続される。
【０１４２】
例えば、ＣＰＵ３５０も、ＲＯＭＯ３５１に記憶されたプログラムを読み出してＲＡＭ３５２にロードし、ロードしたプログラムを実行することで、応答パケット検出記録部３３０と応答パケット遮断部３４０の機能を実現することができる。従って、ＣＰＵ３５０は、例えば、第２の実施の形態における応答パケット検出記録部３３０と応答パケット遮断部３４０に対応する。なお、ＣＰＵ３５０は、例えば、通信監視遮断装置３００において制御プロセッサであってもよい。
【０１４３】
さらに、管理システム装置５００は、更に、ＣＰＵ５８０、ＲＯＭ５８１、ＲＡＭ５８２、及びモニタ５８３を備える。ＣＰＵ５８０、ＲＯＭ５８１、及びＲＡＭ５８２は互いにバス５８５に接続され、調査パケット送出装置制御ＩＦ５１０と通信監視遮断装置制御ＩＦ５２０、及びモニタ５８３もバス５８５に接続される。
【０１４４】
例えば、ＣＰＵ５８０は、ＲＯＭ５８１に記憶されたプログラムを読み出してＲＡＭ５８２にロードし、ロードしたプログラムを読み出して実行する。これにより、ＣＰＵ５８０は、例えば、調査パケット送信指示部５３０、ＩＣＭＰタイプ０検出通知受信部５４０、ＩＣＭＰパケット検出記録結果読出部５５０、ＩＣＭＰ検出指示部５５５、及び経路推定部５６０の機能を実現することができる。従って、ＣＰＵ５８０は、例えば、第２の実施の形態における調査パケット送信指示部５３０、ＩＣＭＰタイプ０検出通知受信部５４０、ＩＣＭＰパケット検出記録結果読出部５５０、ＩＣＭＰ検出指示部５５５、及び経路推定部５６０に対応する。また、モニタ５８３は、例えば、第２の実施の形態における経路表示部５７０に対応する。
【０１４５】
以上まとめると付記のようになる。
【０１４６】
（付記１）
第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と前記第２との間の通信経路を探索する経路探索パケットを受信する通信監視装置において、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する応答パケット遮断部、
を備え、前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする通信監視装置。
【０１４７】
（付記２）
更に、前記第１又は第２の応答パケットを検出したとき当該第１又は第２の応答パケットの検出情報を、通信経路の探索を行う管理装置に送信する応答パケット検出記録部を備えることを特徴とする付記１記載の通信監視装置。
【０１４８】
（付記３）
前記検出情報には、前記第１の応答パケットを送信した前記第３の通信装置のアドレス情報が含まれることを特徴とする付記２記載の通信監視装置。
【０１４９】
（付記４）
前記応答パケット検出記録部は、前記管理装置から検出要求を受けて、検出要求に含まれる検出対象の前記第１の応答パケット又は第２の応答パケットであることを検出したときに、前記検出情報を前記管理装置に送信することを特徴とする付記２記載の通信管理装置。
【０１５０】
（付記５）
前記応答パケット検出記録部は、送信元が前記第１の通信装置、送信先が前記第２の通信装置である前記経路探索パケットの検出を要求する第１の検出要求、送信先が前記第１の通信装置である前記第１の応答パケットの検出を要求する第２の検出要求、及び、送信元が前記第２の通信装置、送信先が前記第１の通信装置である第２の応答パケットの検出を要求する第３の検出要求を前記管理装置から受信し、前記１乃至第３の検出要求に含まれる検出対象の前記経路探索パケット、前記第１の応答パケット、又は前記第２の応答パケットをそれぞれ検出したとき、当該経路探索パケット、前記第１の応答パケット、又は第２の応答パケットの検出情報を、通信経路の探索を行う管理装置に送信することを特徴とする付記１記載の通信監視装置。
【０１５１】
（付記６）
前記応答パケット検出記録部は、前記検出情報をメモリに記憶し、前記管理装置から読出要求を受信したときに前記メモリに記憶した前記検出情報を読み出して前記管理装置に送信することを特徴とする付記２記載の通信監視装置。
【０１５２】
（付記７）
前記第１の応答パケットはＩＣＭＰプロコトルのタイプ１１のＩＣＭＰパケットであり、前記第２の応答パケットはＩＣＭＰプロトコルのタイプ０のＩＣＭＰパケットであることを特徴とする付記１記載の通信監視装置。
【０１５３】
（付記８）
第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と第２の通信装置との間の通信経路を探索する経路探索パケットを受信する制御プロセッサを備える通信監視装置において実行される通信監視プログラムであって、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する処理
を前記制御プロセッサに実行させ、前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする通信監視プログラム。
【０１５４】
（付記９）
第１の通信装置と第２の通信装置との間に接続されて、前記第１の通信装置と第２の通信装置との間の通信経路を探索する経路探索パケットを受信する通信監視装置における通信監視方法であって、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断し、
前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする通信監視方法。
【０１５５】
（付記１０）
第１及び第２の通信装置と、
第２の通信装置との間に接続されて、前記第１の通信装置と第２の通信装置との間の通信経路を探索する経路探索パケットを受信する通信監視装置とを備える経路探索システムにおいて、
前記通信監視装置は、
前記第１の通信装置から送信された前記第２の通信装置宛ての前記経路探索パケットを通過させ、前記通信監視装置と前記第２の通信装置との間に設置された第３の通信装置から送信された第１の応答パケット、又は、前記経路探索パケットを受信した前記第２の通信装置から送信された第２の応答パケットを遮断する応答パケット遮断部を備え、
前記第１の応答パケットは前記経路探索パケットが前記第２の通信装置に到達する前に前記経路探索パケットの有効期間が超過したときに前記第３の通信装置によって生成された応答パケットであり、前記第２の応答パケットは前記第２の通信装置によって前記経路探索パケットの送信元と送信先の各アドレスが入れ替えられた応答パケットであることを特徴とする経路探索システム。
【符号の説明】
【０１５６】
１０：通信ネットワークシステム        ３０：経路探索システム
５０：管理対象ネットワーク            ５０−１〜５０−３：ネットワークＡ〜Ｃ
１００：調査パケット送出装置          １３０：調査パケット送出部
１４０：応答パケット検出記録部        ３００：通信監視遮断装置（通信監視装置）
３３０：応答パケット検出記録部        ３４０：応答パケット遮断部
４００：Ｌ３ＳＷ（Ｌ３スイッチ）      ５００：管理システム装置
５２５：装置制御部                    ５３０：調査パケット送信指示部
５４０：ＩＣＭＰタイプ０検出通知受信部
５５０：ＩＣＭＰパケット検出記録結果読出部
５５５：ＩＣＭＰ検出指示部            ５６０：経路推定部
５７０：経路表示部                    ６００：不正経路探索装置
７００：受信元
【図１】
2013207671.tif 000003
【図４】
2013207671.tif 000004
【図５】
2013207671.tif 000005
【図６】
2013207671.tif 000006
【図７】
2013207671.tif 000007
【図８】
2013207671.tif 000008
【図９】
2013207671.tif 000009
【図１０】
2013207671.tif 000010
【図１１】
2013207671.tif 000011
【図２】
2013207671.tif 000012
【図３】
2013207671.tif 000013