Qu’est-ce que la traduction d’adresses réseau (NAT) ?
La traduction d’adresses réseau, ou NAT, est une technique de transfert qui réécrit une adresse IPv4 source ou destination lorsqu’un paquet traverse un routeur, un pare-feu ou un autre équipement intermédiaire. De nombreux dispositifs modifient aussi un port TCP ou UDP et recalculent les sommes de contrôle concernées. Une table de traduction associe ensuite le trafic de retour au bon flux interne.
Une « adresse IP NATée » n’est pas une catégorie particulière d’adresse. C’est l’adresse visible d’un côté de la traduction. Un poste peut utiliser 192.168.1.25 en interne tandis qu’un service Internet voit l’adresse publique de la passerelle.
Comment fonctionne le NAT ?
- Un équipement interne ouvre un flux. Par exemple,
192.168.1.25:51514contacte un service externe. - La passerelle choisit une traduction. Avec la traduction de ports, elle peut utiliser
203.0.113.10:62001et enregistrer adresses, ports, protocole et état. - Le service distant répond à l’adresse et au port publics traduits.
- La passerelle inverse la traduction si la réponse correspond à un état actif, puis transmet le paquet au poste interne.
Un trafic entrant non sollicité ne correspond généralement à aucun état. Publier un service demande donc une règle DNAT ou de redirection de port explicite, une route et une politique de pare-feu distincte. Une correspondance un-à-un n’autorise ni ne sécurise à elle seule l’accès entrant.
Types de NAT
| Fonction | Élément modifié | Usage courant | Limite importante |
|---|---|---|---|
| SNAT | Adresse source, parfois port source | Clients privés vers un autre réseau | Le retour doit correspondre à l’état ou à une règle |
| DNAT | Adresse destination, parfois port destination | Publication ou orientation d’un service | Route et autorisation du pare-feu restent nécessaires |
| NAT statique un-à-un | Une adresse interne fixe vers une adresse externe fixe | Correspondance bidirectionnelle stable | Consomme une adresse et ne crée pas une politique de sécurité |
| NAT dynamique | Adresse choisie temporairement dans un pool | Sessions sortantes avec plusieurs IPv4 publiques | Le pool peut être épuisé et la correspondance changer |
| NAPT ou PAT | Adresses et ports de transport | Nombreux équipements partageant une ou plusieurs IPv4 | Ports et capacité d’état sont finis |
Dans le langage courant, « NAT » désigne souvent la PAT ou surcharge NAT des box et petits réseaux. NAT44 traduit IPv4 vers IPv4. NAT64, utilisé par des clients IPv6 pour joindre IPv4, relève d’une autre architecture avec des dépendances DNS et applicatives.
Quel est l’objectif du NAT ?
- Économiser l’IPv4 publique : la NAPT permet à de nombreux terminaux privés de partager un pool public plus petit.
- Séparer les plans d’adressage : une organisation peut renuméroter ou fusionner des réseaux internes sans exposer chaque adresse, à condition de connaître les dépendances.
- Publier certains services : la DNAT peut associer un point d’entrée public stable à une destination interne dans une conception documentée.
- Traiter un chevauchement d’adresses : le NAT peut dépanner deux réseaux utilisant les mêmes plages, même si éviter ce chevauchement reste plus simple à exploiter.
Le NAT n’est ni du chiffrement, ni de l’authentification, ni un pare-feu. L’absence de correspondance entrante peut réduire l’accessibilité non sollicitée, mais le pare-feu est le contrôle qui autorise ou refuse le trafic. Correctifs, moindre privilège, identité, supervision et réponse aux incidents restent nécessaires.
Limites et risques opérationnels du NAT
- Accessibilité de bout en bout modifiée : services entrants, pair-à-pair, VoIP, jeux et certains VPN peuvent nécessiter des règles ou STUN/TURN.
- Adresses dans la charge utile : une passerelle applicative peut corriger certains protocoles, mais ajoute de l’état et ne couvre pas tout trafic chiffré ou propriétaire.
- Épuisement des ports ou de l’état : fort taux de connexions, délais longs ou petit pool peuvent saturer la traduction avant le lien.
- Attribution dépendante des journaux : conserver, selon la politique, heure synchronisée, fuseau, protocole, tuple interne, tuple traduit, destination et cycle de vie.
- Haute disponibilité avec état : sans synchronisation, un basculement peut interrompre les sessions existantes.
- Double NAT : deux traducteurs compliquent redirections, VPN, jeux, diagnostic et responsabilité de la correspondance publique.
Le NAT n’est pas intrinsèquement lent. Mesurez débit de paquets, créations de sessions, taille de table, ports, journalisation, pertes, processeur et accélération matérielle avant de conclure que la traduction est le goulot.
NAT, pare-feu, proxy, VPN et CGNAT
| Fonction | Rôle principal | Chiffrement ? |
|---|---|---|
| NAT | Réécrire adresses ou ports et maintenir des correspondances | Non |
| Pare-feu | Autoriser, refuser ou inspecter selon une politique | Non, sauf fonction supplémentaire |
| Proxy | Terminer puis ouvrir une connexion pour un client ou service | Seulement si le protocole le prévoit |
| VPN | Encapsuler entre extrémités authentifiées, souvent avec chiffrement | Généralement |
| CGNAT | Partager adresses et ports publics entre abonnés d’un opérateur | Non |
Le CGNAT peut ajouter une traduction en amont de la box. Il limite parfois l’hébergement entrant et fait apparaître une IPv4 publique partagée. Consultez le guide CGNAT pour le détecter et comparer les solutions.
Liste de contrôle de conception et de dépannage
- Définir l’objectif : partage sortant, publication, chevauchement, migration ou conservation chez un opérateur.
- Dessiner chaque saut et noter les tuples source et destination avant et après traduction, dans les deux sens.
- Vérifier routes et règles de pare-feu séparément de la règle NAT.
- Dimensionner adresses publiques, ports, états, délais, journaux et basculement.
- Conserver des journaux horodatés reliant flux interne et flux public sans dépasser la politique de données.
- Tester sortie, retour, entrée non sollicitée, redirection, hairpin, trafic sensible à la MTU, basculement et retour arrière.
- Rechercher un NAT amont avant de modifier la passerelle locale.
Quand une IPv4 publique dédiée peut aider
Une IPv4 ou un bloc dédié peut simplifier services entrants stables, listes d’autorisation, responsabilité du routage, attribution des abus et capacité. Cela ne remplace pas le pare-feu. Comparez préfixe, modèle de routage, RPKI, LOA, réputation datée, contacts abus, prix, durée, renouvellement et sortie. Consultez la location IPv4 gérée ou la marketplace IPv4 publique sans présumer disponibilité, prix ou adéquation.
FAQ sur le NAT
Le NAT est-il identique à un pare-feu ?
Non. Le NAT réécrit adresses ou ports, tandis que le pare-feu applique une politique de trafic. Ils peuvent partager le même équipement mais doivent être conçus séparément.
Qu’est-ce qu’une adresse IP NATée ?
C’est l’adresse observée après traduction. L’équipement interne utilise une adresse, alors que l’autre réseau voit l’adresse traduite et, avec la PAT, un autre port.
Quelle différence entre NAT et PAT ?
NAT désigne la famille de traductions. PAT, NAPT ou surcharge traduit aussi les ports afin que de nombreux flux partagent une IPv4 publique.
Le NAT ralentit-il Internet ?
Il consomme des ressources, mais une passerelle bien dimensionnée peut ajouter un délai négligeable. Examiner état, ports, journalisation, processeur, pertes et fonctions actives.
Pourquoi le double NAT pose-t-il problème ?
Chaque équipement possède ses correspondances et délais. Redirection de port, VPN, pair-à-pair, jeux, journaux et diagnostic peuvent demander des règles coordonnées sur les deux.
