Szépen nem biztos, hogy tudok fogalmazni (szerénység rulez), de:
Minden TCP/IP csomagnak van egy ún. TTL-je (Time To Live), ami azt határozza meg, hogy hány db. köztes eszközön (a továbbiakban: router, ennek az a feladata, hogy az általa felügyelt interface-k között továbbítsa a csomagokat, annak alapján, hogy mi a csomag célja), mehet keresztül. Minden router csökkenti egyel a csomagban található TTL értéket. Maga a korlát azért van, mert ha hibásan állítanak be egy (vagy több) routert, akkor korlát nélkül előfordulhat, hogy létrejön olyan csomag, ami vég nélkül fog keringeni a hálózaton. Amelyik routernél ''lejár'' ez az érték, az küld a forrásnak egy bizonyos csomagot, hogy ''nem tudott célba érni a küldeményed, mert elfogyott a TTL''. Nos, tehát a traceroute parancs úgy működik, hogy olyan csomagokat küld ki, amelynek ezt a TTL értékét úgy változtatja, hogy adott csomagonként folyamatosan növeli az értékét, addig, amíg el nem éri azt az értéket, ahol már a csomagban megadott célgép küldi vissza ezt az üzenetet, az az nem ezt, mert akkor már megérkezett a célhoz. Az IP címeket így tudja kibányászni, mert a hibajelző csomagoknak, amelyeket küld az adott router, van egy feladója ugye. Ezt a feladót (az adott router) írja ki neked a traceroute.
Ahol csillagot látsz, ott vagy nem küld (le van tiltva) az adott router választ, vagy a windows-féle traceroute parancs által küldözgetett csomag (ICMP) van letiltva. Lehet ugyanis többféle, csökkentett TTL-es csomagot küldeni, lehet pl. ICMP-t, vagy lehet UDP-t is. Ez a két változat szokott előfordulni. A második kicsit intelligensebb megoldás, mert a hardware-s routerek általában az UDP-t hardware-ből továbbítják, az ICMP-t pedig software-ből (mert ez igazából csak diagnosztikai feladatokat lát el, így kevés helyen szoktát implementálni a hardware-be). Így kevésbé növeli (félrebeszéltem) ez a módszer a routerek terhelését az UDP-s traceroute. Persze ez egy gépről indítva elenyésző hatású, de amolyan profibb megoldás. 
[Szerkesztve]
One trend a day keeps the doctor away