Bagikan melalui

Menerapkan Model Keamanan Teredo

Model keamanan Teredo didasarkan pada teknologi Windows Filtering Platform (WFP) yang terpasang di Windows Vista. Akibatnya, disarankan agar firewall pihak ketiga menggunakan WFP untuk memberlakukan model keamanan Teredo.

Implementasi umum Model Keamanan Teredo memerlukan hal berikut:

  • Firewall host berkemampuan IPv6 harus didaftarkan dengan aplikasi Keamanan Windows pada komputer. Dengan tidak adanya firewall berbasis host, atau aplikasi Keamanan Windows itu sendiri, antarmuka Teredo tidak akan tersedia untuk digunakan. Ini adalah satu-satunya persyaratan untuk menerima lalu lintas yang diminta dari Internet melalui antarmuka Teredo.
  • Aplikasi apa pun yang menerima lalu lintas yang tidak diminta dari Internet melalui antarmuka Teredo harus mendaftar dengan firewall berkemampuan IPv6, seperti Windows Firewall, sebelum menerima lalu lintas yang tidak diminta.

Alamat Teredo akan menjadi tidak aktif jika lalu lintas belum dikirim atau diterima melalui antarmuka Teredo selama satu jam dan jika aplikasi yang memenuhi kriteria keamanan yang diperlukan untuk lalu lintas yang tidak diminta tidak berjalan atau tidak membuka soket mendengarkan.

Setelah reboot komputer, atau jika alamat Teredo kehilangan kualifikasinya, Windows Vista akan secara otomatis memenuhi syarat alamat dan membuatnya tersedia untuk digunakan segera setelah aplikasi mengikat soket berkemampuan IPv6. Penting untuk dicatat bahwa opsi "Edge Traversal" pada Windows Firewall yang diatur oleh aplikasi untuk memungkinkan lalu lintas yang tidak diinginkan melalui Teredo akan tetap aktif meskipun setelah komputer direstart.

Persyaratan Firewall untuk Teredo

Vendor firewall dapat dengan mudah menggabungkan dukungan Teredo dalam produk mereka dan melindungi pengguna mereka dengan menggunakan kemampuan Platform Pemfilteran Windows. Ini dapat dicapai dengan mendaftarkan firewall berkemampuan IPv6 dengan aplikasi Keamanan Windows, menambahkan aturan yang sesuai ke dalam sublayer WFP Teredo, dan menggunakan API bawaan di Windows untuk menghitung aplikasi yang mungkin mendengarkan lalu lintas yang tidak diminta melalui Teredo. Dalam situasi di mana aplikasi tidak perlu mendengarkan lalu lintas yang diminta melalui Teredo, firewall tidak memerlukan aturan tambahan yang ditambahkan ke WFP. Namun pendaftaran firewall berkemampuan IPv6 dengan aplikasi Keamanan Windows masih menjadi persyaratan untuk membuat alamat Teredo tersedia untuk digunakan.

Untuk mendukung skenario ini, firewall harus berkemampuan IPv6 dan terdaftar di aplikasi Keamanan Windows. Selain itu, firewall tidak boleh mengubah status berjalan atau memulai layanan aplikasi Keamanan Windows (wscsvc), karena Teredo bergantung pada informasi status yang disediakan melalui API WSC.

API yang digunakan untuk mendaftarkan firewall dengan aplikasi Keamanan Windows dapat diperoleh dengan menghubungi Microsoft di wscisv@microsoft.com. Perjanjian Non-Pengungkapan (NDA) diperlukan untuk pengungkapan API ini karena masalah keamanan.

Dokumentasi berikut merinci filter dan pengecualian yang digunakan untuk memastikan kompatibilitas optimal dengan Teredo:

Persyaratan Firewall untuk Teknologi Transisi IPv6 Lainnya

Untuk mendukung teknologi transisi IPv6 lainnya (seperti 6to4 dan ISATAP), produk firewall host harus mampu memproses lalu lintas IPv6. Protokol IP 41 menunjukkan kapan header IPv6 mengikuti header IPv4. Ketika firewall host menemukan protokol 41, firewall harus mengenali bahwa paket adalah paket yang dienkapsulasi IPv6 dan sebagai hasilnya harus memproses paket dengan tepat dan membuat keputusan terima/tolak berdasarkan aturan IPv6 dalam kebijakannya.

  • Last updated on