Vous avez configuré une redirection de port sur votre box, la règle semble correcte, et pourtant votre NAS reste injoignable depuis l’extérieur. Pire : l’adresse IP publique que vous voyez sur Internet ne correspond pas à celle affichée dans l’interface de votre routeur. Dans la grande majorité des cas, l’explication tient en cinq lettres : CGNAT.
Le Carrier-Grade NAT est devenu la norme chez la quasi-totalité des fournisseurs d’accès français. Depuis début 2025, Orange, qui était le dernier opérateur historique à attribuer une IPv4 à chaque abonné sur le fixe, l’active par défaut sur ses Livebox. Cette fiche explique ce qu’est le CGNAT, comment vérifier en trois minutes si vous êtes concerné, ce qu’il empêche réellement de faire, et quelles procédures existent pour en sortir chez chaque opérateur.
Le CGNAT, c’est quoi ?
Le CGNAT (Carrier-Grade NAT), également appelé CGN, NAT de niveau opérateur ou Large Scale NAT (LSN), est une technique qui permet à un fournisseur d’accès de faire partager une même adresse IP publique entre plusieurs dizaines, voire plusieurs centaines d’abonnés simultanément.
Le principe reprend celui du NAT que votre box applique déjà chez vous, mais il le déplace d’un cran plus haut, à l’intérieur du réseau de l’opérateur. Concrètement, votre box ne reçoit plus une adresse publique : elle reçoit une adresse issue d’une plage privée réservée aux opérateurs. C’est ensuite un équipement du FAI, situé en amont, qui traduit ce trafic vers un pool restreint d’adresses publiques réellement routables.
Le résultat pour vous : votre connexion sort sur Internet sous une adresse IP que vous ne contrôlez pas, que vous ne possédez pas seul, et sur laquelle vous ne disposez que d’une partie des ports.
CGNAT ou NAT : quelle différence ?
Le NAT classique fait correspondre les adresses privées de votre réseau domestique (vos 192.168.x.x) à l’unique adresse publique de votre box. Une seule traduction, sous votre contrôle, dans l’interface de votre routeur.
Le CGNAT ajoute une seconde couche de traduction chez l’opérateur. Vos paquets sont donc traduits deux fois : une première fois par votre box, une seconde fois par l’infrastructure du FAI. On parle de double NAT, et c’est précisément cette seconde couche qui vous échappe. Quand cette architecture empile deux traductions IPv4 successives, les opérateurs la désignent sous le nom de NAT444.
La plage 100.64.0.0/10, signature du CGNAT
Pour éviter tout conflit avec les plages privées classiques, l’IETF a réservé un espace d’adressage spécifique au CGNAT : 100.64.0.0/10, soit toutes les adresses comprises entre 100.64.0.0 et 100.127.255.255. Si l’interface WAN de votre box affiche une adresse dans cette plage, le diagnostic ne fait aucun doute.
Ce n’est pas une convention officieuse : Starlink, par exemple, documente explicitement l’usage de ce préfixe pour ses clients en configuration IPv4 par défaut.
Pourquoi votre FAI utilise le CGNAT
La raison est arithmétique. L’adressage IPv4 offre environ 4,3 milliards d’adresses. Les registres régionaux ont épuisé leurs réserves libres, et une IPv4 s’achète aujourd’hui plusieurs dizaines d’euros sur le marché secondaire. Un opérateur qui gagne un million d’abonnés devrait donc débourser des dizaines de millions d’euros uniquement en adresses.
Le CGNAT est la réponse économique à cette pénurie. Il permet de servir dix, cinquante ou cent clients avec une seule adresse achetée. La vraie solution reste l’IPv6, dont l’espace d’adressage est pratiquement inépuisable, mais tant qu’une partie du web et des services ne sera pas joignable en IPv6, les FAI devront maintenir une connectivité IPv4 pour tous. Le CGNAT est donc une béquille de transition, pas un choix d’architecture. Pour comprendre l’ampleur de l’écart entre les deux protocoles, notre comparatif IPv4 contre IPv6 détaille les chiffres.
Ce que le CGNAT casse concrètement
Pour un usage strictement passif du web, le CGNAT est transparent. Naviguer, streamer, envoyer des mails : rien ne change. Le problème apparaît dès que vous voulez recevoir une connexion entrante, c’est-à-dire dès que quelque chose chez vous doit être joignable depuis l’extérieur.
- La redirection de port ne fonctionne plus. Vous pouvez créer la règle dans votre box, elle sera ignorée : l’équipement du FAI en amont ne sait pas vers quel abonné router le port demandé. Notre page sur le port forwarding détaille le mécanisme.
- Vos services auto-hébergés deviennent inaccessibles. NAS Synology, serveur Plex, Home Assistant, serveur de jeu : tout ce qui expose un port depuis chez vous tombe.
- Les caméras de surveillance perdent l’accès distant direct. Elles basculent alors sur le cloud du fabricant, avec la dépendance que cela implique. Voir notre fiche sur les caméras IP.
- Le jeu en ligne passe en NAT strict (type 3). Les parties en peer-to-peer deviennent difficiles à établir, le matchmaking se dégrade et l’hébergement de partie devient impossible.
- Certains flux IPTV et boîtiers TV tiers supportent mal la double traduction, notamment sur les protocoles multicast et les connexions à état long.
- Les captchas se multiplient et des blocages arbitraires apparaissent. Vous partagez votre adresse avec des inconnus : si l’un d’eux est signalé pour spam ou abus, l’ensemble des abonnés derrière cette IP en subit les conséquences.
- La géolocalisation devient approximative. L’adresse publique correspond au point de sortie de l’opérateur, pas à votre domicile. C’est un effet secondaire plutôt bienvenu pour la vie privée, mais gênant pour les services qui s’appuient dessus. Notre page sur la géolocalisation par adresse IP explique pourquoi.
Comment savoir si vous êtes derrière un CGNAT
Le test tient en trois étapes et demande moins de trois minutes. Le principe : comparer l’adresse que le monde extérieur voit et celle que votre box croit avoir. Si elles diffèrent, il y a une traduction supplémentaire entre les deux.
Étape 1 : relevez votre adresse IP publique réelle
C’est l’adresse sous laquelle Internet vous voit. Ouvrez notre outil Mon adresse IP depuis un appareil connecté à votre box, et notez l’IPv4 affichée. Ne testez pas depuis un mobile en 4G ou 5G : les réseaux mobiles utilisent eux aussi du CGNAT, le résultat serait faussé.
Étape 2 : relevez l’adresse IP WAN de votre box
Connectez-vous à l’interface d’administration de votre box, généralement à l’adresse 192.168.1.1. Cherchez la section « État de la connexion », « Informations réseau » ou « WAN », et relevez l’adresse IPv4 attribuée à l’interface WAN.
Étape 3 : comparez les deux adresses
Trois cas se présentent :
- Les deux adresses sont identiques. Vous disposez d’une IPv4 publique dédiée, vous n’êtes pas derrière un CGNAT.
- L’adresse WAN commence par 100.64 à 100.127. Vous êtes derrière un CGNAT, sans ambiguïté possible.
- Les deux adresses diffèrent sans que la WAN soit dans cette plage. Vous êtes très probablement derrière un CGNAT, l’opérateur utilisant un autre espace d’adressage privé. Un traceroute vers une destination publique confirmera le diagnostic : la présence de plusieurs sauts en adressage privé avant la première adresse publique trahit la traduction opérateur.
Un cas particulier existe chez Free, où l’adresse WAN est bien publique mais où seule une fraction des ports vous est attribuée. Nous y revenons ci-dessous.
Le CGNAT chez les FAI français
Chaque opérateur applique le partage d’IPv4 à sa manière, et surtout le désigne sous un nom commercial différent. C’est ce vocabulaire qu’il faut employer face au service client, sous peine de ne pas être compris.
| Opérateur | Partage d’IPv4 | Nom de la procédure de sortie | Où la demander |
|---|---|---|---|
| Orange / Sosh | Oui, par défaut depuis début 2025 | IP full stack, désactivation CGN | Interface Livebox, ou service client |
| SFR / Red | Oui | Rollback IPv4 full stack | Service client, technicien niveau 2 |
| Free | Oui, via 4rd (partage de ports) | Adresse IP V4 fixe full-stack | Espace Abonné, rubrique Ma Freebox |
| Bouygues Telecom | Oui, dual-stack CGNAT 444 | Adresse IP Dédiée | Espace client, onglet Pratique |
| Starlink | Oui, par défaut | Option d’adresse IPv4 publique (forfaits Prioritaire uniquement) | Tableau de bord du compte |
Orange et Sosh
Orange a longtemps fait figure d’exception : c’était le dernier des quatre FAI historiques à attribuer une IPv4 non partagée à chacun de ses abonnés fixes. Une mise à jour logicielle des Livebox déployée début 2025 a changé la donne, en rendant le CGNAT actif par défaut.
Un moyen de refus existe dans l’interface de la Livebox, à l’adresse 192.168.1.1, rubrique Réseau, onglet CGN. Attention toutefois : la présence de cet onglet est inégale selon les modèles. Il est documenté sur Livebox 5, mais de nombreux abonnés signalent son absence sur Livebox 6, 7 et S. Côté Sosh, des conseillers indiquent qu’aucune désactivation ni IP full stack n’est proposée aux offres grand public, l’IPv4 fixe restant réservée aux abonnements professionnels.
La situation évolue vite et les réponses varient d’un conseiller à l’autre. Vérifiez d’abord la présence de l’onglet CGN sur votre propre box avant d’engager une démarche.
SFR et Red by SFR
SFR bascule ses abonnés en CGNAT sans préavis, et aucune option n’est exposée dans l’interface de la box. La seule voie consiste à demander explicitement au service client un « rollback IPv4 full stack ». Cette opération requiert un technicien de niveau 2 ou un conseiller expert, et les témoignages font état de refus répétés avant d’obtenir gain de cause.
Une précaution s’impose : certaines bascules mal exécutées laissent l’abonné en IPv6 seul, sans connectivité IPv4 du tout, ce qui rend une partie du web inaccessible. Vérifiez votre connectivité immédiatement après l’opération.
Free
Le cas de Free est souvent mal décrit. Techniquement, Free ne pratique pas un CGNAT à état classique mais le 4rd (IPv4 Residual Deployment). Quatre abonnés partagent une même IPv4 publique fixe, et chacun se voit attribuer un quart des 65 536 ports disponibles. Vous conservez donc une adresse publique visible, mais vous ne disposez que d’une plage de ports restreinte : un seul des quatre abonnés peut utiliser les ports bas, dont le 80 et le 443.
C’est aussi la sortie la plus simple du marché. Depuis votre Espace Abonné, rubrique Ma Freebox, cliquez sur « Demander une adresse IP V4 fixe full-stack ». L’option est gratuite et active en une trentaine de minutes après redémarrage. Deux réserves : l’opération est présentée comme irréversible, et elle entraîne l’attribution d’une nouvelle adresse IP.
Bouygues Telecom
Bouygues Telecom décrit lui-même son architecture, dans un document présenté à l’ARCEP, comme un dual-stack CGNAT 444, avec l’adresse partagée communiquée à la box et un rollback possible.
La sortie se fait en autonomie, sans appeler personne : espace client, sélection de la ligne Bbox, Ajouter une option, onglet Pratique, puis Adresse IP Dédiée. Comptez une quinzaine de minutes, la box redémarre seule.
Starlink
Starlink applique le CGNAT par défaut sur le préfixe 100.64.0.0/10, et cette politique bloque l’intégralité des ports entrants. Une IPv6 publique en /56 est en revanche systématiquement fournie, sur tous les forfaits et tous les kits.
L’option d’adresse IPv4 publique existe, activable depuis le tableau de bord du compte, mais elle reste réservée aux forfaits Prioritaire local et Prioritaire mondial : les forfaits Résidentiel et Itinérance n’y ont pas droit. Aucune IP réellement statique n’est proposée, quel que soit le forfait, et l’adresse peut changer lors d’un déplacement du kit. À noter également : les ports sortants TCP/25 (SMTP) et TCP/445 (SMB) sont bloqués pour tous les clients.
Dernier piège, spécifique à Starlink : les routeurs Wi-Fi fournis ne gèrent ni la redirection de port ni les règles de pare-feu, en IPv4 comme en IPv6. Même avec l’option d’IPv4 publique activée, il faut basculer le routeur Starlink en mode bypass et passer par un routeur tiers pour ouvrir le moindre port.
Les réseaux mobiles et box 4G/5G
Sur les forfaits mobiles et les box 4G ou 5G, le CGNAT est la règle chez tous les opérateurs, sans exception ni option de sortie grand public. C’est la raison pour laquelle un test d’adresse IP effectué en partage de connexion mobile ne dira jamais rien de fiable sur votre ligne fixe.
Comment sortir du CGNAT
Quatre approches existent, de la plus propre à la plus contournante.
1. Demander une IPv4 dédiée à votre opérateur. C’est la solution la plus simple quand elle est disponible : chez Bouygues et Free, l’opération se fait seul et gratuitement, en quelques clics. Chez SFR il faut négocier, chez Orange cela dépend de votre modèle de box. Si vous avez besoin d’une adresse qui ne change jamais, notre fiche sur l’IP fixe à domicile précise ce que les FAI proposent réellement.
2. Basculer vos services sur IPv6. L’IPv6 ne connaît pas de NAT : chaque appareil dispose d’une adresse publiquement routable. C’est la solution structurelle. Deux limites : votre correspondant doit lui aussi être joignable en IPv6, et l’exposition directe de vos appareils déplace toute la responsabilité sur le pare-feu de votre routeur. Une règle trop permissive expose votre NAS au monde entier.
3. Passer par un réseau overlay ou un tunnel. C’est aujourd’hui la réponse la plus pragmatique. Des outils comme Tailscale ou WireGuard établissent un tunnel chiffré entre vos appareils et traversent le CGNAT par une technique de hole punching, sans aucune configuration de routeur. Pour exposer un service au public plutôt qu’à vos seuls appareils, un tunnel applicatif (type Cloudflare Tunnel) ou un reverse tunnel vers un VPS disposant d’une IPv4 publique remplit le même office.
4. Souscrire un VPN avec adresse IP dédiée. Un VPN classique ne résout rien : il masque votre adresse sans vous en donner une joignable. Seules les offres à IP dédiée avec redirection de port permettent de recevoir du trafic entrant. C’est une solution payante et récurrente, à réserver aux cas où les précédentes échouent. Si votre objectif est la confidentialité plutôt que l’accès distant, voyez plutôt comment masquer son adresse IP.
Questions fréquentes
Que signifie l’acronyme CGNAT ?
CGNAT signifie Carrier-Grade Network Address Translation, soit traduction d’adresses réseau de niveau opérateur. On rencontre aussi les abréviations CGN et LSN (Large Scale NAT), qui désignent la même chose.
Comment contourner le CGNAT ?
Quatre voies : demander une IPv4 dédiée à votre FAI, basculer vos services sur IPv6, utiliser un réseau overlay comme Tailscale ou WireGuard qui traverse le CGNAT par hole punching, ou louer un VPN à IP dédiée avec redirection de port. La première est la plus propre, la troisième la plus rapide à mettre en œuvre.
Comment désactiver le CGNAT chez Orange ?
Connectez-vous à l’interface de votre Livebox sur 192.168.1.1, rubrique Réseau, puis cherchez l’onglet CGN et décochez le partage. Cet onglet est présent sur Livebox 5 mais son absence est largement rapportée sur les Livebox 6, 7 et S. En son absence, seul le service client peut trancher, et les offres Sosh ainsi que les forfaits grand public se voient souvent opposer un refus.
Qu’est-ce que le NAT444 ?
Le NAT444 désigne l’empilement de deux traductions IPv4 successives : celle de votre box, puis celle de l’opérateur. Le nom vient des trois domaines d’adressage IPv4 traversés, du réseau privé du client au réseau public en passant par le réseau privé de l’opérateur. C’est la forme la plus courante de CGNAT.
Qu’est-ce que le NAT64 ?
Le NAT64 traduit du trafic IPv6 vers de l’IPv4. Il permet à un client disposant uniquement d’IPv6 de continuer à joindre les services encore accessibles en IPv4 seul. Ce n’est pas du CGNAT à proprement parler, mais les deux techniques répondent au même problème de transition.
Un VPN permet-il de sortir du CGNAT ?
Pas un VPN grand public classique : il change l’adresse sous laquelle vous sortez, sans rendre vos appareils joignables depuis l’extérieur. Seule une offre VPN à adresse IP dédiée, proposant explicitement la redirection de port, restaure la connectivité entrante.
Peut-on faire du port forwarding derrière un CGNAT ?
Non, pas au sens habituel. La règle créée dans votre box reste sans effet, car l’équipement du FAI en amont ne dispose d’aucune instruction pour vous transmettre le port concerné. Chez Free, la situation est particulière : vous conservez une adresse publique mais seulement un quart des ports, et vous pouvez rediriger ceux qui vous sont attribués.
Le CGNAT ralentit-il la connexion ?
Pas de façon perceptible sur le débit. La traduction supplémentaire ajoute une latence marginale, généralement inférieure à la milliseconde. En revanche, un équipement CGNAT sous-dimensionné peut saturer sa table de sessions aux heures de pointe, ce qui se traduit par des connexions qui échouent plutôt que par un débit réduit.
Vous voulez savoir si vous êtes concerné ? Commencez par relever votre adresse IP publique, puis comparez-la à celle de votre box. Pour aller plus loin sur les notions abordées ici, consultez notre encyclopédie de l’adresse IP, la définition de l’adresse IP ou la fiche sur le masque de sous-réseau.
Fiche rédigée par l’équipe Trouver IP. Dernière mise à jour : 10 juillet 2026. Les procédures opérateurs évoluent régulièrement, vérifiez auprès de votre FAI avant toute démarche.