IP publique, IP privée et NAT

Cette fiche fait suite à adresse IP, masque, passerelle.

1. Adresses privées et adresses publiques

Les trois plages privées sont définies par la RFC 1918 (voir les classes d'adresses IP). Les routeurs d'internet refusent de les transporter : un paquet adressé à 192.168.1.42 ne peut pas traverser internet, puisque des millions de machines portent cette adresse.

2. Pourquoi ce système existe

Il n'existe qu'environ 4,3 milliards d'adresses IPv4 (2³²), bien moins que le nombre d'appareils connectés. Donner une adresse publique à chaque téléphone, ordinateur et objet connecté est impossible. La solution : une adresse publique par foyer ou par entreprise, et des adresses privées derrière.

3. Voir ses deux adresses

L'adresse privée de votre machine s'affiche avec ipconfig (Windows), ip -4 addr (Linux) ou networksetup -getinfo Wi-Fi (macOS) : voir adresse IP, masque, passerelle.

L'adresse publique, celle qu'internet voit, ne peut pas se lire sur la machine : il faut demander à un serveur extérieur quelle adresse il reçoit.

Linux et macOS :

curl -4 ifconfig.me

Windows (PowerShell ou invite de commandes, curl.exe est fourni avec Windows 10 et 11) :

curl.exe -4 ifconfig.me

On peut aussi la lire dans l'interface de la box, à la rubrique de la connexion internet (souvent appelée « WAN »).

4. Comment fonctionne le NAT

Prenons un ordinateur en 192.168.1.42 qui ouvre une page web. La box a l'adresse publique 203.0.113.10.

À l'aller, la box remplace l'adresse et le port source du paquet, et note la correspondance dans une table de traduction :

Au retour, le serveur répond à 203.0.113.10 port 62001. La box consulte sa table, retrouve la ligne correspondante et renvoie la réponse à 192.168.1.42 port 51000.

Comme le montre la seconde ligne, deux machines peuvent utiliser le même port source : c'est le port choisi par la box côté internet qui les distingue. Cette variante du NAT, qui joue sur les ports, s'appelle PAT ou NAPT ; c'est celle de toutes les box. Sous Linux, on parle de masquerade.

5. La conséquence : on ne peut pas entrer sans y être invité

La table de traduction ne contient que des connexions ouvertes depuis l'intérieur. Quand une connexion arrive d'internet sans correspondance dans la table, la box ne sait pas à quelle machine la transmettre : elle l'abandonne.

C'est pour cela qu'un serveur installé chez vous (un NAS, un serveur de jeu, Home Assistant) n'est pas joignable depuis l'extérieur par défaut. Trois solutions existent :

6. Le CGNAT : quand l'opérateur fait aussi du NAT

Faute d'adresses IPv4, certains opérateurs ne donnent plus d'adresse publique à chaque box, notamment sur les réseaux mobiles (4G, 5G) et sur certaines offres fixes. Ils ajoutent leur propre NAT : plusieurs clients partagent la même adresse publique. C'est le CGNAT (Carrier-Grade NAT).

Comment le reconnaître : comparez l'adresse WAN affichée dans la box avec l'adresse publique donnée par curl -4 ifconfig.me.

Conséquence du CGNAT : la redirection de port est impossible, puisque la connexion entrante est arrêtée chez l'opérateur, avant votre box. Les solutions : demander à l'opérateur une IPv4 publique dédiée (certains la proposent, parfois en option), passer par IPv6, ou utiliser un service de tunnel qui établit une connexion sortante vers l'extérieur.

7. Le double NAT

Quand un routeur personnel (un routeur Wi-Fi, un pare-feu OPNsense) est branché derrière la box sans précaution, chaque paquet est traduit deux fois. Internet fonctionne, mais les redirections de port, certains jeux en ligne et la téléphonie peuvent poser problème.

Les solutions, par ordre de préférence :

1. Passer la box en mode bridge (ou « mode modem ») si l'opérateur le permet : votre routeur reçoit alors directement l'adresse publique.
2. Sinon, placer le routeur dans la DMZ de la box : tout ce qui arrive est transmis au routeur, qui reste maître du filtrage.
3. Sinon, faire les redirections de port sur les deux équipements.

8. Et IPv6 ?

IPv6 offre 2¹²⁸ adresses : chaque appareil peut avoir une adresse publique, et le NAT devient inutile. Le revers : sans NAT, rien ne bloque plus les connexions entrantes par effet de bord. Le pare-feu de la box et des machines devient indispensable. Les box le configurent en général pour refuser les connexions entrantes par défaut.

9. Pour aller plus loin : le NAT sous Linux

Un serveur Linux qui sert de routeur à un réseau privé (un lab, des machines virtuelles) fait du NAT avec nftables. Exemple : les machines du réseau interne sortent par l'interface eth0.

sudo sysctl -w net.ipv4.ip_forward=1
sudo nft add table ip nat
sudo nft add chain ip nat postrouting '{ type nat hook postrouting priority srcnat ; }'
sudo nft add rule ip nat postrouting oifname "eth0" masquerade

La première ligne autorise la machine à faire passer des paquets d'une interface à l'autre. Ces réglages sont perdus au redémarrage : pour les garder, on les inscrit dans /etc/sysctl.d/ et /etc/nftables.conf.

À retenir

• Adresse privée : valable dans la maison, jamais joignable depuis internet. Adresse publique : unique, attribuée par l'opérateur.
• Le NAT de la box remplace l'adresse privée par l'adresse publique, et garde une table pour renvoyer les réponses.
• Une connexion entrante a besoin d'une redirection de port ou, mieux, d'un VPN.
• Adresse WAN de la box en 100.64 à 100.127 : vous êtes en CGNAT, la redirection de port est impossible.
• Le NAT n'est pas un pare-feu : désactivez l'UPnP si vous n'en avez pas besoin.