求教内网非法外联检测技术的原理是什么？

内网机器在接通互联网的情况下又有数据包过内网网关则被检测到。感觉这技术很牛逼。谁知道什么原理？
补充图：

引用：JackJiang 发表于 2019-06-22 10:52
用过wireshark吗，没用过的话，去研究一下它：《网络通讯数据抓包和分析工具 Wireshark 使用教程(中文)》。 ...

结构类似这种的。按说在10.0.0.1抓包应该抓不到外网的吧？