Niveau 🟡 intermédiaire
Durée estimée : 20 min · Prérequis : DNS
Le NAT, c'est le standard téléphonique d'une entreprise. De l'extérieur, un seul numéro est
visible et joignable. En interne, le standard redirige chaque appel vers le bon poste — mais
sans qu'on lui demande explicitement de faire suivre un appel vers un poste donnĂ©, personne Ă
l'extérieur ne peut joindre directement ce poste : le standard bloque par défaut tout ce qu'il
ne sait pas oĂą envoyer.
Le NAT (Network Address Translation) est le mécanisme qui permet à plusieurs machines
d'un réseau privé (vu en Privé vs public) de partager une seule adresse IP
publique pour accéder à Internet. La box internet réécrit, à la volée, l'adresse source des
paquets sortants (l'IP privée de la machine devient l'IP publique de la box) et fait l'inverse
pour les réponses qui reviennent, en se souvenant de quelle machine interne a initié chaque
Ă©change.
Conséquence directe : le NAT, par sa nature même, bloque par défaut toute connexion
initiée depuis Internet vers une machine du réseau local — la box ne sait pas, sans indication,
vers quelle machine interne rediriger une connexion entrante qu'aucune machine locale n'a
demandée. C'est une protection de fait, pas un pare-feu à proprement parler, mais qui en joue
largement le rôle pour un réseau domestique.
La redirection de port (port forwarding) est la configuration, sur la box, qui indique
explicitement : « toute connexion entrante sur le port X doit être redirigée vers la machine Y,
sur son port Z ». C'est l'action nécessaire, et seulement elle, pour rendre un service du réseau
local joignable depuis Internet. Sans redirection de port explicite, aucun service local n'est
accessible de l'extérieur, quelle que soit sa configuration interne.
Le CGNAT (Carrier-Grade NAT) est une couche de NAT supplémentaire, appliquée cette fois
par le fournisseur d'accès plutôt que par la box : plusieurs foyers partagent alors une même
adresse IP publique, une couche au-dessus du NAT domestique habituel. Conséquence pratique : la
redirection de port sur sa propre box ne suffit plus, puisque l'adresse publique vue par la box
n'est déjà plus vraiment « la sienne ». Un abonnement concerné par le CGNAT ne peut généralement
pas exposer de service par simple redirection de port — un signe qui doit alerter est une
adresse IP publique dans la plage 100.64.0.0/10 (RFC 6598, réservée précisément à cet usage),
visible en comparant l'adresse annoncée par la box à celle vue depuis l'extérieur.
🧪 Concrètement, sur notre exemple : aucune redirection de port n'est configurée sur la
box vers le serveur de ce wiki — c'est un choix délibéré (voir M7, Sécurité), pas une
contrainte technique. Tous les services restent accessibles uniquement depuis le réseau local,
par les noms.internalvus en page précédente. Rien de tout ce module réseau ne dépend donc
d'une exposition publique.
Le trafic initié depuis le réseau local passe normalement par le NAT. Une connexion entrante non
sollicitée depuis Internet, elle, est bloquée par défaut — sauf redirection de port configurée
explicitement pour ce cas précis.
Pas de commande unique ici : la configuration du NAT et des redirections de port se fait dans
l'interface d'administration web de la box (l'accès et le nom exact varient selon le
fournisseur). Deux vérifications en ligne de commande restent utiles :
curl ifconfig.me
# Affiche l'adresse IP publique telle que vue depuis Internet
curl ifconfig.me
# (depuis une autre machine du même réseau) -- si le résultat est
# identique, les deux machines partagent bien la mĂŞme IP publique via NAT
Pour détecter un éventuel CGNAT, comparer l'adresse IP publique annoncée dans l'interface
d'administration de la box à celle renvoyée par curl ifconfig.me — si elles diffèrent, ou si
celle de la box est dans 100.64.0.0/10, un CGNAT est probablement en jeu.
Sur deux machines différentes connectées au même réseau local, exécute curl ifconfig.me. Les
deux doivent renvoyer la même adresse IP publique — la preuve concrète que le NAT de la box
mutualise bien une seule adresse pour tout le réseau.
| SymptĂ´me | Cause probable | Solution |
|---|---|---|
| « Mon service tourne mais personne ne peut le joindre depuis l'extérieur » | Aucune redirection de port configurée sur la box | Normal par défaut : une redirection de port explicite est nécessaire pour toute exposition publique |
| Redirection de port configurée mais toujours injoignable de l'extérieur | Abonnement concerné par le CGNAT | Vérifier l'adresse IP publique de la box (interface d'administration) contre celle vue depuis l'extérieur — un écart signale un CGNAT |
| Croire que le NAT est un pare-feu à part entière | Confusion entre effet de bord et protection intentionnelle | Le NAT bloque les connexions non sollicitées par construction, mais n'est pas conçu comme un outil de sécurité — voir Pare-feu pour un vrai contrôle explicite |
Parce que le NAT de la box bloque par défaut toute connexion entrante que personne en interne
n'a sollicitĂ©e — c'est un effet de sa mĂ©canique de traduction d'adresses, pas une option Ă
activer.
Une redirection de port explicite sur la box, qui indique vers quelle machine et quel port
interne rediriger les connexions entrantes sur un port donné.
Parce qu'il ajoute une couche de NAT côté fournisseur d'accès : l'adresse publique vue par la
box est alors partagée avec d'autres foyers, rendant une redirection de port configurée
uniquement sur sa propre box insuffisante.
Sur deux appareils connectés à ton réseau actuel (ou en imaginant le scénario), exécute
curl ifconfig.me sur chacun et compare les résultats. Explique, en une phrase, pourquoi ils
sont identiques.
NAT ·
redirection de port ·
CGNAT
Cette formation est proposée par Deladev, studio web de Loïc D. — création de sites et d'applications, accompagnement et formation sur mesure.
Les projets réalisés · Prestations et tarifs · Le blog tech · Me contacter
Écrite par Loïc D. avec l'assistance de Claude (Anthropic) — un travail à deux.
© 2026 Deladev — publiée sous licence CC BY-NC-ND 4.0. Vous pouvez la lire, y renvoyer par un lien, la partager et la citer en créditant la source. La revendre, l'utiliser dans une prestation ou une formation payante, la republier même partiellement ailleurs, en diffuser une version modifiée ou l'exploiter pour entraîner un modèle d'IA nécessitent une autorisation écrite — pour un usage interne en entreprise, c'est souvent oui, il suffit de demander.