Teredo : Guide complet pour comprendre, configurer et dépanner le NAT traversal IPv6

25. juillet 2025 EquipeContenu

Dans l’univers des réseaux informatiques, Teredo occupe une place particulière. Il s’agit d’une technologie de transition qui permet à des ordinateurs situés derrière des routeurs ou des pare-feux sans route IPv6 direct d’accéder à des ressources IPv6 via l’Internet. Conçu pour faciliter la compatibilité et accélérer l’adoption de l’IPv6, Teredo agit comme un tunnel NAT-traversal. Cet article explore en profondeur le fonctionnement de Teredo, ses composants, ses cas d’usage, ses limites et les meilleures pratiques pour le configurer et le dépanner. Que vous soyez administrateur réseau, technicien support, étudiant en informatique ou simplement curieux, ce guide vous donnera une connaissance claire et pratique sur Teredo et sur les alternatives disponibles pour l’avenir de l’IPv6.

Qu’est-ce que Teredo et pourquoi il est apparu ?

Teredo est un mécanisme de transit IPv6 sur IPv4, conçu pour permettre aux hôtes qui ne disposent pas d’un accès direct à un réseau IPv6 de communiquer avec des ressources IPv6. Le terme Teredo combine deux idées : le tunneling et le NAT traversal. Le protocole exploite des tunnels UDP encapsulés dans des paquets IPv4, permettant ainsi de traverser des adresses NAT et des équipements qui ne prennent pas en charge IPv6 natif. Cette approche est utile lorsque des réseaux domestiques ou d’entreprise utilisent principalement IPv4 et des configurations NAT, mais qu’un client souhaite accéder à l’Internet IPv6 sans rééquipement massif.

Dans la pratique, Teredo agit comme une passerelle transitoire. Il peut être actif même si le réseau local ne possède pas de connectivité IPv6. Cependant, Teredo a ses limites et ne doit pas être perçu comme une solution pérenne pour l’ensemble des environnements. Pour le déploiement à grande échelle, les organisations privilégient des solutions natives ou plus robustes comme DS-Lite, 6rd ou une migration progressive vers IPv6 natif. Néanmoins, Teredo reste un outil utile pour des scénarios ponctuels, des tests rapides, ou des environnements où la migration IPv6 est encore en cours.

Comment fonctionne Teredo : les principes techniques essentiels

La compréhension du fonctionnement de Teredo passe par la connaissance de ses éléments constitutifs et de la manière dont il s’insère dans le paysage réseau. Teredo s’appuie sur une architecture composée de clients Teredo, de relais Teredo et de serveurs Teredo. Ces composants coopèrent pour établir et maintenir un tunnel IPv6 sur un réseau IPv4 existant.

Les composants clés

Client Teredo : c’est l’élément qui s’exécute sur l’hôte final (ordinateur, serveur ou appareil IoT) et qui encapsule les paquets IPv6 dans des paquets UDP sur IPv4. Le client gère la configuration des adresses Teredo et la sélection des serveurs relais.
Relais Teredo : poste ou service qui relaye les paquets entre le monde IPv6 et le monde IPv4. Le relais est crucial pour assurer la connectivité lorsque les routeurs locaux n’offrent pas de route IPv6 directe.
Serveurs Teredo : serveurs de configuration qui aident à attribuer une adresse Teredo et à fournir des informations de contrôle pour le tunnel. Ils jouent un rôle dans l’établissement initial et l’acheminement des paquets Teredo.

Le mécanisme d’encapsulation et la traversée NAT

Les paquets IPv6 sont encapsulés dans des paquets UDP, qui traversent ensuite le NAT et atteignent un relais Teredo ou un serveur Teredo accessible publiquement. Le NAT peut être de différents types (Full Cone, Restricted ou Port-Restricted). Teredo est capable de traverser des configurations NAT simples et plus restrictives, mais certaines configurations peuvent dégrader les performances ou bloquer totalement le trafic Teredo.

Adresse Teredo et attribution

Une adresse Teredo est une adresse IPv6 spéciale qui commence par 2001::/32, suivie d’éléments générés dynamiquement par le client et le serveur. Cette adresse se compose de segments représentant le type de NAT, l’adresse IPv4 publique et des informations liées au port, permettant d’acheminer le trafic IPv6 à travers l’infrastructure IPv4 existante.

Teredo vs d’autres méthodes de NAT traversal et de transition IPv6

Plusieurs mécanismes existent pour permettre l’accès IPv6 en présence de NAT et sans IPv6 natif. Voici les principales alternatives et comment Teredo se situe par rapport à elles.

6to4 et ISATAP

Ces solutions ont été des solutions historiques pour faciliter la transition IPv6. 6to4 encapsule IPv6 dans IPv4 sans configuration lourde, mais elle dépend d’un chemin de routage IPv4 public et a perdu en popularité avec le déploiement de NAT et la complexité des scénarios. ISATAP propose une passerelle IPv6 sur IPv4 pour des hôtes autonomes. Dans l’ensemble, ces technologies ont été supplantées par des solutions plus robustes et par l’adoption native d’IPv6, mais elles restent parfois utiles dans des environnements spécifiques.

DS-Lite et 6rd

DS-Lite (Dual-Stack Lite) et 6rd (IPv6 Rapid Deployment) offrent des solutions plus adaptées lorsque les opérateurs réseau souhaitent fournir de l’IPv6 via l’infrastructure IPv4 existante. DS-Lite exige un équilibreur et des mécanismes de tunnel, tandis que 6rd adapte les adresses IPv6 en fonction du préfixe IPv4. Ces approches sont généralement plus stables et évolutives que Teredo, en particulier pour les clients finaux et les services qui exigent une connectivité IPv6 plus fiable et plus rapide.

IPv6 natif et tunnels IPv6 dédiés

L’approche la plus performante reste l’activation d’IPv6 natif sur le réseau. Lorsque l’accès IPv6 est disponible directement, les tunnels Teredo ne sont plus nécessaires. Les tunnels IPv6 dédiés, les VPN IPv6 et les mécanismes de tunneling interne peuvent aussi être plus adaptés dans des environnements d’entreprise ou de data center. Teredo demeure utile lorsque l’IPv6 natif n’est pas encore déployé et que la compatibilité est primordiale.

Cas d’usage et scénarios pratiques

Teredo est particulièrement utile dans certaines situations où l’IPv6 n’est pas encore présent ou pleinement déployé. Voici quelques scénarios courants où Teredo peut s’avérer pratique.

Scénarios domestiques et petites entreprises

Accès rapide à des ressources IPv6 pour des tests et des applications domestiques sans modification majeure du réseau
Découverte et évaluation des services IPv6 avant une migration complète
Interconnexion de dispositifs IoT ou applications nécessitant un chemin IPv6 sans infrastructure IPv6 locale

Scénarios d’évaluation et de dépannage

Test rapide de compatibilité IPv6 sur un poste isolé sans configuration réseau avancée
Vérification du comportement des clients dans des environnements avec NAT strict
Démonstration pédagogique du transit IPv6 sur une infrastructure IPv4

Cas dans les réseaux d’entreprises en transition

Dans des organisations en transition, Teredo peut servir de solution intermédiaire pour permettre à des postes hérités d’accéder à des ressources IPv6 pendant que le réseau migre vers une architecture native. Toutefois, pour la production, les équipes réseau planifient souvent une migration vers IPv6 native ou DS-Lite afin d’assurer stabilité et sécurité à long terme.

Comment vérifier si Teredo est actif sur votre système

La procédure varie selon le système d’exploitation. Voici les méthodes les plus courantes pour vérifier l’état de Teredo et comprendre comment le trafic IPv6 est acheminé sur votre poste.

Sur Windows

Ouvrez une invite de commandes en mode administrateur
Exécutez la commande suivante: netsh interface teredo show state
Vous verrez l’état, le type de Teredo, l’adresse Teredo attribuée et les éventuels messages d’erreur. Si Teredo est désactivé, vous pouvez l’activer avec netsh interface teredo set state enterpriseclient (ou d’autres états selon le contexte).

Sur Linux

Les environnements Linux n’utilisent pas nécessairement Teredo par défaut, mais certains paquets et modules peuvent le supporter. Pour vérifier l’état, vous pouvez:

Lister les tunnels IPv6 existants: ip -6 tunnel ou ip -6 route
Rechercher des interfaces Teredo ou des tunnels Teredo: grep -r \"teredo\" /proc/net ou vérifier les modules du noyau pertinents si votre distribution les propose.
Si Teredo est activé, vous verrez généralement une interface de tunnel associée à un nom spécifique et des routes IPv6 associées.

Sur macOS

macOS gère IPv6 et NAT traversal directement à travers la pile réseau du système. Pour diagnostiquer, vous pouvez:

Ouvrir le Terminal et vérifier les routes IPv6: netstat -rn6 ou route -6 -n get default
Utiliser des outils tels que ping6, traceroute -6 pour tester la connectivité IPv6 et vérifier s’un chemin Teredo est impliqué selon les résultats et la configuration système

Configuration et dépannage de Teredo : étapes pratiques

La configuration de Teredo dépend fortement du système d’exploitation et du contexte réseau. Voici des lignes directrices pour activer ou dépanner Teredo lorsque cela est nécessaire, tout en restant conscient des implications en matière de sécurité et de performance.

Activation et désactivation contrôlée

Sur Windows, activez Teredo en fonction de votre politique réseau. Si vous devez désactiver Teredo temporairement pour des raisons de sécurité ou de test, vous pouvez utiliser les commandes de gestion du service Netsh et réactiver ensuite le tunnel si besoin.
Sur Linux et macOS, l’activation peut dépendre de la présence d’un paquet ou d’un module de traduction NAT. Vérifiez les paramètres du noyau et les services réseau qui pourraient influencer le transit IPv6.

Dépannage pas à pas

Vérifiez l’état général des interfaces et des routes IPv6. Assurez-vous qu’aucune règle de pare-feu locale ne bloque le trafic UDP sur le port 3544 ou les ports associé au tunnel.
Examinez les journaux système et réseau pour repérer les messages d’erreur liés au tunnel Teredo, à la négociation ou à l’échange de paquets avec le relais.
Testez la connectivité IPv6 avec des outils de diagnostic et des services qui supportent IPv6, puis comparez les résultats avec et sans Teredo activé pour évaluer l’impact.

Sécurité et risques liés à Teredo

La sécurité est un élément clé lorsqu’on active Teredo sur des postes client ou des postes serveur. Le NAT traversal introduit certains risques et nécessite une gestion adaptée.

Risques potentiels

Exposition accrue: Teredo peut créer des canaux qui contournent les contrôles de sécurité NAT, augmentant potentiellement la surface d’attaque.
Contrôles et politiques: les entreprises doivent S’assurer que les politiques de sécurité autorisent ou restreignent Teredo selon le niveau de sécurité souhaité.
Fiabilité et latence: les tunnels Teredo dépendent d’infrastructures externes et de relais, ce qui peut introduire une latence supplémentaire et influencer la stabilité du service IPv6.

Bonnes pratiques de sécurité

Activez Teredo uniquement lorsque nécessaire et dans des environnements.NET ou des postes isolés pendant une période donnée.
Utilisez des listes de contrôle d’accès et des pare-feux capables de filtrer le trafic Teredo, en particulier les paquets UDP sur les ports 3544 et les ports NAT spécifiques.
Surveillez régulièrement l’état du tunnel et les statistiques de trafic IPv6 pour détecter des anomalies et prévenir les exfiltrations potentielles.

Impact sur les performances et limites de Teredo

Teredo offre une solution pragmatique pour traverser NAT et accéder à IPv6, mais elle n’est pas sans compromis. Comprendre ses limites permet de mieux planifier son utilisation et d’éviter des surprises en production.

Latence et overhead

Le processus d’encapsulation et de décapsulation, en plus du routage via des relais et serveurs Teredo, introduit une overhead qui peut augmenter légèrement la latence et consommer davantage de ressources réseau. Dans des environnements sensibles au temps de réponse, cette surcharge peut être perceptible.

Disponibilité et stabilité

La disponibilité des relais et des serveurs Teredo peut varier en fonction de l’infrastructure publique et des politiques des opérateurs. En cas de défaillance des relais ou de réseau IPv4 sous-jacent congestionné, la performance de Teredo peut se dégrader.

Compatibilité des applications

Bien que la plupart des applications modernes supportent IPv6, certaines solutions héritées ou nécessitant des configurations réseau spécifiques peuvent rencontrer des difficultés lorsque Teredo est actif. Il peut être nécessaire de tester les flux applicatifs et de privilégier IPv6 natif lorsque cela est possible.

Utilisation concrète et meilleures pratiques pour les administrateurs

Pour les professionnels, adopter Teredo de manière judicieuse nécessite une approche structurée et réfléchie, surtout dans des environnements d’entreprise ou de service public.

Bonnes pratiques de déploiement

Évaluez le besoin réel de Teredo dans votre réseau. Si l’IPv6 natif est disponible, privilégiez une migration directe plutôt que des tunnels Teredo.
Si Teredo est utilisé, documentez clairement les scénarios d’usage et définissez des règles de pare-feu et des contrôles d’accès pour limiter le trafic non nécessaire.
Configurez des alertes et des journaux d’audit dédiés au trafic Teredo pour une surveillance proactive et une traçabilité en cas d’incident.

Planification de la migration vers IPv6 native

La meilleure approche reste une transition progressive vers l’IPv6 native. Cela implique la mise à niveau des équipements, l’ajustement des politiques réseau et l’éducation des équipes sur les nouvelles pratiques de routage IPv6. Teredo peut jouer le rôle d’un outil de secours temporaire pendant les phases de migration, mais il ne doit pas devenir une solution permanente si l’objectif est d’obtenir une infrastructure IPv6 complète et sûre.

Récapitulatif et conseils finaux

Teredo est une solution de transition utile pour des cas spécifiques où IPv6 natif est absent ou difficile à déployer rapidement. Il offre une facilité d’accès et une flexibilité nécessaire pour tester et déployer rapidement des services IPv6 dans des environnements largement IPv4. Toutefois, pour des environnements de production critiques et pour des organisations qui recherchent des performances stables et une sécurité renforcée, il convient d’étudier des alternatives plus robustes et adaptées à l’échelle, comme DS-Lite, 6rd ou une migration vers IPv6 native.

FAQ Teredo : questions fréquentes sur Teredo et le NAT traversal

Voici quelques réponses rapides aux questions les plus fréquemment posées autour de Teredo et du NAT traversal IPv6.

1. Teredo est-il nécessaire si j’ai déjà IPv6 natif ?

Non. Si votre réseau dispose d’IPv6 natif, Teredo peut être désactivé pour éviter toute interférence et overhead. Teredo est principalement utile lorsque l’accès IPv6 direct n’est pas disponible.

2. Quels ports et protocoles Teredo utilisent-ils ?

Le trafic Teredo utilise des paquets UDP et, historiquement, le port 3544 est fréquemment impliqué. Cependant, la configuration exacte peut varier selon les implémentations et les relais.

3. Puis-je désactiver Teredo sur mes postes clients ?

Oui, la désactivation est possible via des outils d’administration système et des politiques de sécurité. Cette action peut améliorer la sécurité dans certaines organisations et simplifier la gestion du réseau IPv6.

4. Teredo peut-il compromettre la sécurité réseau ?

Comme tout mécanisme de NAT traversal, Teredo peut introduire des vecteurs d’attaque s’il est mal configuré ou abandonné sans surveillance. Il est recommandé de surveiller et de restreindre le trafic Teredo selon les besoins, et d’utiliser des contrôles robustes pour prévenir les risques.

5. Quelles sont les alternatives les plus courantes à Teredo ?

Parmi les alternatives les plus utilisées, on retrouve DS-Lite, 6rd et IPv6 natif. Le choix dépend du contexte réseau, de l’infrastructure et des objectifs de migration IPv6.