Teredo

aus Wikipedia, der freien Enzyklopädie

Der Titel dieses Artikels ist mehrdeutig. Eine Beschreibung des Schiffsbohrwurms findet sich unter Schiffsbohrwurm.

Das Teredoprotokoll definiert eine Methode für den Zugriff auf das IPv6-Netzwerk hinter einem NAT-Gerät. Es besteht darin, dass die IPv6-Pakete mit UDP über IPv4 gekapselt werden. Dies geschieht mit Hilfe sogenannter Teredoserver.

[Bearbeiten] Zweck

Die Knappheit an IPv4-Adressen hat dazu geführt, dass viele Firmen sowie Privatnutzer NAT nutzen, um nur eine öffentliche IP-Adresse für ihr Netzwerk zu benötigen. Das meistgenutzte Protokoll, um IPv6 über IPv4 zu tunneln (6to4), erfordert, dass der Client eine öffentliche IP-Adresse hat. Teredo macht es IPv4-Rechnern, die 6to4 nicht nutzen können, möglich, IPv6 über Tunnel zu nutzen.

[Bearbeiten] Gefahren

Durch die Tunnelung des IPv6 besteht die Gefahr, dass insbesondere die Sicherheitsfunktionalitäten NAT-basierter IPv4 Router vollständig ausgehebelt werden können. Bei den durch Teredo erzeugten IPv4 UDP-Paketen handelt es sich um Pakete, bei denen die in diesem Szenario vorhandenen Paketfilter wirkungslos bleiben. Eine Analyse (englisch) durch Symantec, die diesen Sachverhalt bestätigt, liegt inzwischen vor. Dem sicherheitsorientierten Administrator wird daher empfohlen, bis zur Verfügbarkeit entsprechender Firewalls den durch Teredo benutzten UDP-Port 3544^[1] komplett zu sperren.

[Bearbeiten] Spezifikation

Teredo ist in RFC 4380 spezifiziert. Es ist hauptsächlich die Arbeit von Christian Huitema, einem Mitarbeiter von Microsoft, der an IPv6 arbeitet.

[Bearbeiten] Implementierungen

Es gibt verschiedene Implementierungen von Teredo:

Teredoclient ist bei Microsoft Windows XP eingeschlossen (erschien zuerst im Advanced Networking Pack im Servicepack 1)
Microsoft bietet für Microsoft Windows Server 2003 einen Teredoserver und -relay im Betaprogramm
Miredo ist eine Implementierung für Linux und BSDs (unterliegt der GNU General Public License)
NICI-Teredo besteht aus einem Teredorelay für den Linuxkern und einem Server für das Nutzerland