NAT

Le NAT (Network Address Translation, traduction d’adresses réseau) est la technologie qui permet à des dizaines d’appareils dans votre maison de partager une seule adresse IP publique. Sans NAT, internet aurait épuisé ses 4,3 milliards d’IPv4 il y a 15 ans déjà. Ce guide explique comment fonctionne le NAT, les différents types existants, ses limites et son rôle dans le réseau de tous les jours.

NAT : définition simple

Le NAT est un mécanisme qui traduit les adresses IP entre deux réseaux. Typiquement, entre le réseau privé de votre maison (où chaque appareil a une IP locale type 192.168.1.x) et internet (où votre connexion entière n’a qu’une seule IP publique attribuée par votre FAI).

Concrètement, quand votre ordinateur veut visiter un site web :

1. Il envoie la requête depuis son IP locale (par exemple 192.168.1.42).
2. Le routeur (box internet) traduit cette IP source en l’IP publique de la connexion (par exemple 86.192.45.198).
3. Le site web répond à cette IP publique.
4. Le routeur retraduit la réponse vers l’IP locale 192.168.1.42 de votre ordinateur.

Tout cela se passe en quelques millisecondes et de manière totalement transparente pour vous.

Pourquoi le NAT a été inventé

Au début des années 1990, les concepteurs d’internet ont réalisé qu’IPv4 (4,3 milliards d’adresses possibles) serait épuisé bien avant le déploiement massif. Le NAT a été proposé en 1994 (RFC 1631) comme solution temporaire. 30 ans plus tard, il reste massivement utilisé.

Bénéfices concrets :

• Économie d’IPv4 : une seule IP publique sert des centaines d’appareils.
• Sécurité passive : les appareils derrière un NAT ne sont pas joignables directement depuis internet (port forwarding nécessaire pour exposer un service).
• Flexibilité : changer d’IP publique (changement de box, déménagement) n’oblige pas à reconfigurer tous les appareils internes.

Les 3 types principaux de NAT

SNAT — Source NAT (NAT statique 1:1)

Une IP privée est mappée vers une IP publique de manière 1 pour 1. Réservé aux entreprises qui exposent des serveurs avec IP fixe. Peu utilisé en réseau domestique.

DNAT — Destination NAT

Le sens inverse : les requêtes externes vers une IP publique sont redirigées vers une IP interne précise. C’est exactement le port forwarding : exposer un serveur web/jeu/NAS local sur internet.

PAT — Port Address Translation (NAT overload)

Le NAT le plus utilisé dans les maisons. Une seule IP publique partagée par plusieurs appareils en utilisant des ports différents pour distinguer les connexions. C’est ce que fait votre Freebox, Livebox, Bbox ou SFR Box. On parle aussi de « NAT/PAT » ou simplement « NAT overload ».

NAT et table de translation

Le routeur tient en mémoire une table de translation qui mémorise les correspondances entre :

• L’IP interne et le port utilisé par l’appareil local
• L’IP publique et le port choisi par le routeur pour cette connexion
• L’IP et le port du serveur distant

Quand la réponse arrive depuis le serveur distant, le routeur consulte cette table pour savoir vers quel appareil interne renvoyer le paquet. Si l’entrée a expiré (TTL), la connexion est perdue : c’est pourquoi un téléchargement très lent peut « tomber » tout seul si plus rien ne circule pendant plusieurs minutes.

Limites du NAT

• Pas de connexion entrante directe : un serveur (web, jeu, FTP) hébergé chez soi nécessite du port forwarding côté box.
• Protocoles non compatibles : certains anciens protocoles (FTP actif, SIP en VoIP) doivent être manipulés par un « ALG » (Application Layer Gateway) pour fonctionner.
• P2P complexe : deux appareils derrière des NAT différents ne peuvent pas dialoguer directement sans STUN/TURN (NAT traversal).
• Logs et conformité : avec le CGNAT (NAT du FAI partagé entre abonnés), identifier un utilisateur précis demande de croiser l’IP publique + le port source + l’horodatage.

NAT versus CGNAT (Carrier-Grade NAT)

Le CGNAT est un NAT supplémentaire au niveau du fournisseur d’accès. Au lieu de donner une IP publique unique par abonné, le FAI met plusieurs abonnés derrière une même IP publique. Très utilisé en 4G/5G et chez les FAI qui manquent d’IPv4.

Conséquences pour l’utilisateur final :

• Impossibilité d’héberger un service à la maison (port forwarding inopérant côté FAI).
• Géolocalisation IP imprécise (l’IP publique pointe vers le datacenter du FAI).
• Risque de blocage collectif si un autre abonné partage la même IP et fait du spam.

La solution : demander une IP fixe dédiée à son FAI (souvent en option payante), ou passer en IPv6 qui rend le NAT inutile.

NAT et IPv6 : la fin annoncée

IPv6 propose 340 sextillions d’adresses possibles : assez pour que chaque appareil sur Terre ait sa propre IP publique. Dans un monde 100 % IPv6, le NAT ne servirait à rien.

En attendant ce monde, les box internet françaises font tourner dual-stack : NAT IPv4 + IPv6 natif. Quand un site supporte IPv6, votre appareil l’atteint sans NAT. Sinon, NAT IPv4 classique.

Pour mieux comprendre les différences entre les deux protocoles, voir notre dossier IPv4 vs IPv6.

Configurer le NAT sur sa box

Le NAT est activé par défaut sur toutes les box internet grand public. Les seules manipulations nécessaires concernent :

• Port forwarding : exposer un service interne (serveur web, console gaming, NAS) sur internet. Accessible dans l’interface de la box à l’adresse 192.168.1.1 (ou similaire selon le fabricant).
• UPnP : permet aux applications (jeux, BitTorrent) de configurer automatiquement les redirections. À utiliser avec prudence pour des raisons de sécurité.
• DMZ : exposer entièrement un appareil sur internet (sans NAT). Très risqué côté sécurité, à réserver à des cas précis.

Pour les détails pas-à-pas, voir notre guide port forwarding.

FAQ : NAT et traduction d’adresses

Le NAT ralentit-il la connexion ?

Négligeable sur du matériel récent. Le NAT ajoute quelques microsecondes par paquet, imperceptible. Les anciennes box (avant 2015) pouvaient saturer le CPU sur du gros trafic, mais c’est résolu sur les box modernes.

Le NAT remplace-t-il un pare-feu ?

Partiellement. Le NAT empêche les connexions entrantes non sollicitées (effet pare-feu passif), mais ne filtre pas les connexions sortantes. Pour une vraie sécurité, ajouter un pare-feu logiciel sur chaque appareil ou un pare-feu réseau dédié.

Comment savoir si je suis derrière un CGNAT ?

Vérifiez votre adresse IP publique sur Trouver IP, puis regardez l’IP attribuée à votre interface de routeur. Si elles diffèrent et que votre IP routeur est dans la plage 100.64.0.0/10 (RFC 6598), vous êtes en CGNAT. Sinon, NAT classique.

Le NAT pose-t-il problème en VoIP et visioconférence ?

Historiquement oui, surtout pour SIP. Les solutions modernes (WebRTC dans Zoom, Teams, Meet) utilisent des serveurs STUN/TURN qui aident à traverser les NAT de manière transparente. Sur 95 % des configurations, ça marche sans rien faire.

Quelle différence entre NAT et proxy ?

Le NAT opère au niveau réseau (couche 3-4 OSI) sans connaître le contenu des paquets. Le proxy opère au niveau applicatif (couche 7) et peut lire/modifier le contenu. Un proxy nécessite que le client soit configuré pour l’utiliser, le NAT est transparent.