Le port forwarding (ouverture de ports, NAT inversé, redirection de ports) permet de rendre un service hébergé sur votre réseau local accessible depuis internet. C’est l’opération qui transforme votre maison en mini hébergeur web, serveur de jeux, NAS accessible à distance ou caméra IP visible depuis l’extérieur. Ce guide explique son fonctionnement, les cas d’usage, la configuration par box et les bonnes pratiques sécurité.
Pourquoi le port forwarding existe
Derrière votre box internet, vous êtes en NAT : votre PC en 192.168.1.42 n’est pas directement joignable depuis internet. Quand un visiteur tape votre IP publique, sa requête arrive sur la box, qui ne sait pas vers quel appareil interne la rediriger.
Le port forwarding configure la box pour dire : « Quand une requête arrive sur le port X, redirige-la vers tel appareil interne sur tel port ». Le service hébergé devient ainsi accessible publiquement.
Cas d’usage typiques
- Serveur de jeux : Minecraft (port 25565), CS:GO, ARK, Terraria. Tes amis peuvent rejoindre depuis n’importe où.
- Serveur web local : tester un site WordPress, exposer un projet de dev à un client.
- NAS / serveur de fichiers : accéder à ses fichiers Synology, QNAP, TrueNAS depuis l’extérieur.
- Caméra IP / vidéosurveillance : voir le flux vidéo depuis son smartphone hors du domicile.
- VPN serveur maison : faire tourner WireGuard ou OpenVPN sur son routeur ou son NAS pour accéder à son réseau privé depuis l’extérieur.
- SSH / accès admin : se connecter en SSH à un Raspberry Pi ou un serveur Linux à la maison.
- Domotique : Home Assistant, Jeedom accessibles depuis l’app mobile à distance.
Comment configurer le port forwarding
Étapes générales :
- Identifier l’IP locale de l’appareil cible (par exemple 192.168.1.42 pour votre Raspberry Pi).
- Lui attribuer une IP fixe ou une réservation DHCP pour qu’elle ne change pas (voir DHCP).
- Accéder à l’interface de votre box : 192.168.1.1 ou variante.
- Trouver la section Port Forwarding (parfois NAT, parfois Redirections de ports).
- Ajouter une règle : port externe (depuis internet) + port interne (sur l’appareil cible) + protocole TCP/UDP/TCP+UDP.
- Sauvegarder et tester depuis l’extérieur (utiliser canyouseeme.org pour tester un port).
Configuration par box
Freebox
Accès via mafreebox.freebox.fr ou 192.168.1.254. Paramètres > Mode avancé > Gestion des ports. Configurer un « Port forwarding » depuis l’extérieur vers un appareil interne. Free permet aussi des plages de ports et des règles UPnP.
Livebox Orange
Accès via 192.168.1.1, login admin. Configuration avancée > Sécurité > Redirection de ports. Définir : port externe, IP interne, port interne, protocole.
Bbox Bouygues
192.168.1.254. Services de la Bbox > NAT/PAT > Redirection de ports. Mêmes paramètres standards.
SFR Box
192.168.0.1 ou 192.168.1.1. Réseau > NAT > Translation de ports.
Ports célèbres à connaître
- 80 : HTTP (web non chiffré).
- 443 : HTTPS (web chiffré).
- 22 : SSH.
- 25, 587 : SMTP (email).
- 53 : DNS.
- 3389 : RDP (bureau à distance Windows).
- 5900 : VNC.
- 21 : FTP.
- 25565 : Minecraft.
- 27015 : Steam / Source games.
- 51820 : WireGuard (par défaut).
- 1194 : OpenVPN (par défaut).
Pour des services personnels, mieux vaut utiliser des ports non standards côté externe (port externe 49152 par exemple), pour éviter les scans automatisés sur les ports populaires.
Sécurité du port forwarding
Ouvrir un port = exposer un service à internet. Précautions obligatoires :
- Service à jour : Minecraft, SSH, WordPress… toutes les failles de sécurité sont exploitées rapidement par les scanners automatiques. Patchs systématiques.
- Mots de passe forts : SSH avec mot de passe simple = compromission en quelques heures. Préférer SSH par clés.
- Fail2Ban : bloquer les IP qui répètent les tentatives de connexion échouées. Voir notre futur guide Fail2Ban.
- Ports non standards : déporter SSH sur le port 49222 par exemple, plutôt que 22. Ne suffit pas mais réduit le bruit.
- Restriction IP source : si possible, autoriser uniquement votre IP fixe (ou plage VPN) à se connecter.
- VPN plutôt que port forwarding : pour SSH/NAS, préférer un VPN maison qui expose un seul port (WireGuard 51820) et donne accès à tout, sécurisé.
UPnP : port forwarding automatique
UPnP (Universal Plug and Play) permet aux applications de configurer automatiquement le port forwarding sans intervention humaine. Activé par défaut sur la plupart des box.
Avantages : pas de config manuelle, fonctionne tout seul pour les jeux et applications compatibles. Inconvénients : sécurité plus floue (un malware sur un appareil peut s’auto-ouvrir des ports). À désactiver côté box si la sécurité prime.
Port forwarding et CGNAT : limite
Si vous êtes en CGNAT (Carrier-Grade NAT, fréquent en 4G/5G et chez certains FAI saturés en IPv4), le port forwarding ne fonctionne pas : votre box est elle-même derrière un NAT du FAI. Demandez à votre FAI une IP publique fixe (souvent option payante) ou passez en IPv6 qui n’a pas ce problème.
FAQ : port forwarding
Comment vérifier qu’un port est ouvert ?
Outils web : canyouseeme.org, yougetsignal.com. Ou CLI : nmap -p PORT mon-ip.com. Tester depuis l’extérieur (pas depuis votre LAN).
Pourquoi mon port n’est pas joignable ?
Causes courantes : pare-feu de l’OS de l’appareil interne bloque, service pas en écoute sur l’IP cible, CGNAT côté FAI, règle box mal configurée. Tester avec un service simple (HTTP sur 80) pour isoler.
Faut-il une IP fixe pour le port forwarding ?
Pas obligatoire mais conseillé. Sans IP fixe, votre IP publique peut changer et il faudra reconfigurer les DNS dynamiques (DDNS) côté serveur cible.
Alternative au port forwarding ?
Tunneling outbound : Cloudflare Tunnel, ngrok, Tailscale. Ces services exposent un service local via une URL publique sans ouvrir de port côté box. Plus sécurisé et fonctionne même en CGNAT.