Qu’est-ce que le CGNAT (NAT de niveau opérateur) ? Pourquoi il perturbe l’hébergement, les jeux et les services entrants

Le CGNAT (Carrier-Grade NAT) est une technique qui permet à un fournisseur d’accès Internet de partager simultanément une seule adresse IPv4 publique entre de nombreux clients, au lieu d’attribuer à chacun sa propre adresse. Il ajoute une deuxième couche de traduction d’adresses réseau à l’intérieur du réseau du fournisseur, de sorte que des centaines ou des milliers d’abonnés se trouvent derrière une seule adresse publique visible depuis Internet. Pour la navigation web ordinaire, le streaming et l’utilisation d’applications, le CGNAT fonctionne généralement de manière invisible. Le problème apparaît dès qu’un service doit pouvoir vous joindre depuis l’extérieur : héberger un serveur, effectuer une redirection de port, faire fonctionner un serveur de jeu, accepter des connexions VoIP ou VPN, ou activer un accès à distance. Comme vous ne disposez plus de votre propre adresse publique — vous en partagez une avec d’autres utilisateurs — les connexions entrantes n’ont plus de destination clairement identifiable, et ces services cessent de fonctionner ou deviennent moins fiables. Le CGNAT n’est ni un bug ni une mauvaise configuration. Il s’agit d’une réponse volontaire à une réalité structurelle : le monde a manqué d’adresses IPv4, et les fournisseurs ont eu besoin d’un moyen de continuer à connecter de nouveaux clients alors qu’il n’y avait plus suffisamment d’adresses publiques disponibles pour chacun. Le CGNAT est donc l’un des signes les plus visibles au quotidien montrant que les adresses IPv4 publiques constituent une ressource limitée et disputée — et l’une des raisons les plus claires pour lesquelles les entreprises exploitant des services accessibles depuis l’extérieur ont besoin de leur propre espace d’adressage public dédié. Cet article explique ce qu’est le CGNAT, comment il fonctionne, précisément quels services il peut perturber, comment savoir si vous êtes derrière un CGNAT et quelles solutions s’offrent aux entreprises qui ne peuvent pas fonctionner durablement dans ce type d’environnement.

Qu'est-ce que CGNAT ?

Le CGNAT, également écrit CGN et parfois appelé Large-Scale NAT (LSN), est une traduction d’adresses réseau effectuée au niveau de l’opérateur, permettant à un FAI de placer de nombreux clients derrière une seule adresse IPv4 publique partagée. Il reprend le même principe de base que le NAT d’un routeur domestique — plusieurs appareils privés partageant une même adresse — mais l’applique une seconde fois, à l’échelle du fournisseur, pour de nombreux clients simultanément. En conséquence, un client derrière un CGNAT ne dispose pas d’une adresse publique unique. L’adresse que l’Internet extérieur associe à son trafic est partagée avec d’autres abonnés et elle est contrôlée par le FAI, et non par le client. Pour les activités initiées vers l’extérieur, cela fonctionne généralement sans problème. En revanche, pour tout ce qui dépend du fait d’être individuellement joignable depuis l’extérieur, cette adresse partagée et contrôlée par le fournisseur est à l’origine du problème. Il est utile de garder une distinction claire dès le départ, car elle explique pratiquement tout ce que le CGNAT peut perturber : les connexions sortantes que vous initiez fonctionnent normalement ; ce sont les connexions entrantes que d’autres essaient d’établir vers vous qui échouent. Fondamentalement, le CGNAT est favorable aux clients mais défavorable aux serveurs.

Comment fonctionne CGNAT ?

Le CGNAT fonctionne en ajoutant une deuxième couche de traduction entre le réseau du client et l’Internet public, de sorte que le trafic est traduit deux fois : une première fois par le routeur domestique, puis une seconde fois par l’équipement NAT de niveau opérateur du FAI. Dans une configuration traditionnelle, un routeur domestique effectue le NAT entre les adresses privées de vos appareils et l’unique adresse publique que votre FAI vous attribue. Vous disposez toujours d’une adresse publique, et les connexions entrantes peuvent être dirigées vers un appareil situé derrière votre routeur grâce à la redirection de ports — le mécanisme qui rend possible l’auto-hébergement et de nombreux autres services. Cette relation entre adressage privé et adressage public est expliquée dans notre guide sur IP publique vs IP privée. Le CGNAT ajoute une deuxième étape. Au lieu d’attribuer une adresse publique à votre routeur, le FAI lui attribue une adresse provenant d’une plage intermédiaire partagée, puis traduit le trafic de nombreux clients de ce type vers un pool plus restreint de véritables adresses publiques au niveau d’un équipement NAT de l’opérateur. Le chemin devient donc : adresse privée de votre appareil → adresse attribuée à votre routeur (non publique) → adresse publique partagée du FAI. Votre trafic atteint Internet en semblant provenir d’une adresse que vous partagez avec de nombreux autres utilisateurs et que vous ne contrôlez pas. La conséquence pour le trafic entrant constitue le problème central. Lorsqu’un système extérieur tente d’atteindre « votre » adresse publique, la connexion arrive sur l’équipement NAT de l’opérateur du FAI, partagé par de nombreux clients — lequel ne dispose d’aucun moyen de savoir que cette connexion vous était spécifiquement destinée, puisque vous n’avez pas initié au préalable une session sortante qui aurait créé une entrée de traduction. La connexion n’a donc pas de destination non ambiguë et elle est abandonnée. La redirection de ports, qui permettrait normalement de résoudre ce problème, n’est pas disponible pour vous, car vous ne contrôlez pas l’adresse publique partagée sur laquelle elle devrait être configurée.

Pourquoi les FAI utilisent-ils le CGNAT ?

Les FAI utilisent le CGNAT parce qu’il n’existe pas suffisamment d’adresses IPv4 pour attribuer une adresse unique à chaque client, et le CGNAT leur permet de continuer à ajouter de nouveaux abonnés sans devoir acquérir davantage d’adresses publiques. L’offre mondiale d’adresses IPv4 — environ 4,3 milliards, un nombre fixé par la conception 32 bits du protocole — est effectivement épuisée depuis plusieurs années au niveau des allocations libres. Comme nous l’expliquons dans notre guide sur l’épuisement des adresses IPv4, les registres régionaux qui attribuent les adresses ont presque entièrement épuisé leurs réserves disponibles, et de nouveaux espaces d’adressage sont désormais obtenus principalement par l’intermédiaire du marché des transferts plutôt que par de nouvelles allocations. Pour un FAI en pleine croissance — en particulier un opérateur mobile ou un fournisseur d’accès haut débit résidentiel ajoutant des millions d’abonnés à faible consommation — acheter ou louer suffisamment d’adresses publiques pour en attribuer une à chaque client est coûteux et, à grande échelle, tout simplement impossible. Le CGNAT leur permet d’étendre l’utilisation d’un pool limité d’adresses publiques à une base de clients beaucoup plus importante. Il est important de reconnaître que cette rareté n’est pas uniquement un accident technique — elle est également façonnée par les politiques de gouvernance. La manière dont les adresses IPv4 sont attribuées, enregistrées, transférées et gérées dépend des registres régionaux ainsi que du processus multipartite plus large qui contribue à façonner Internet, un domaine connu sous le nom de gouvernance de l’Internet. Les règles qui déterminent qui peut obtenir de l’espace d’adressage, et à quelles conditions, relèvent autant de décisions de gouvernance que de considérations d’ingénierie, et le CGNAT constitue l’une des conséquences les plus visibles de la manière dont ces décisions et la rareté sous-jacente se sont combinées au fil du temps. Pour approfondir la manière dont les politiques des registres et l’allocation des adresses s’intègrent dans le cadre plus large de la gouvernance, la ressource liée fournit une vue d’ensemble utile. Il faut toutefois présenter le CGNAT de manière équilibrée : il s’agit d’un outil raisonnable lorsqu’il est utilisé pour l’objectif auquel il est destiné. Pour la grande majorité des utilisateurs dont le trafic est principalement sortant — navigation web, streaming, applications sociales, utilisation mobile — partager une adresse publique constitue une manière logique d’économiser une ressource rare, et la plupart de ces utilisateurs ne remarquent jamais sa présence. Le problème est que « la plupart des utilisateurs, la plupart du temps » ne signifie pas « tous les utilisateurs, pour tous les usages », et les exceptions concernent précisément les services auxquels les entreprises accordent de l’importance. Les FAI utilisent le CGNAT parce qu’il n’existe pas suffisamment d’adresses IPv4 pour attribuer une adresse unique à chaque client, et le CGNAT leur permet de continuer à ajouter de nouveaux abonnés sans devoir acquérir davantage d’adresses publiques. L’offre mondiale d’adresses IPv4 — environ 4,3 milliards, un nombre fixé par la conception 32 bits du protocole — est effectivement épuisée depuis plusieurs années au niveau des allocations libres. Comme nous l’expliquons dans notre guide sur l’épuisement des adresses IPv4, les registres régionaux qui attribuent les adresses ont presque entièrement épuisé leurs réserves disponibles, et de nouveaux espaces d’adressage sont désormais obtenus principalement par l’intermédiaire du marché des transferts plutôt que par de nouvelles allocations. Pour un FAI en pleine croissance — en particulier un opérateur mobile ou un fournisseur d’accès haut débit résidentiel ajoutant des millions d’abonnés à faible consommation — acheter ou louer suffisamment d’adresses publiques pour en attribuer une à chaque client est coûteux et, à grande échelle, tout simplement impossible. Le CGNAT leur permet d’étendre l’utilisation d’un pool limité d’adresses publiques à une base de clients beaucoup plus importante. Il est important de reconnaître que cette rareté n’est pas uniquement un accident technique — elle est également façonnée par les politiques de gouvernance. La manière dont les adresses IPv4 sont attribuées, enregistrées, transférées et gérées dépend des registres régionaux ainsi que du processus multipartite plus large qui contribue à façonner Internet, un domaine connu sous le nom de gouvernance de l’Internet. Les règles qui déterminent qui peut obtenir de l’espace d’adressage, et à quelles conditions, relèvent autant de décisions de gouvernance que de considérations d’ingénierie, et le CGNAT constitue l’une des conséquences les plus visibles de la manière dont ces décisions et la rareté sous-jacente se sont combinées au fil du temps. Pour approfondir la manière dont les politiques des registres et l’allocation des adresses s’intègrent dans le cadre plus large de la gouvernance, la ressource liée fournit une vue d’ensemble utile. Il faut toutefois présenter le CGNAT de manière équilibrée : il s’agit d’un outil raisonnable lorsqu’il est utilisé pour l’objectif auquel il est destiné. Pour la grande majorité des utilisateurs dont le trafic est principalement sortant — navigation web, streaming, applications sociales, utilisation mobile — partager une adresse publique constitue une manière logique d’économiser une ressource rare, et la plupart de ces utilisateurs ne remarquent jamais sa présence. Le problème est que « la plupart des utilisateurs, la plupart du temps » ne signifie pas « tous les utilisateurs, pour tous les usages », et les exceptions concernent précisément les services auxquels les entreprises accordent de l’importance.

Ce que CGNAT casse

Le CGNAT perturbe tout ce qui dépend du fait d’être joignable depuis l’Internet extérieur, car il supprime votre capacité à accepter des connexions entrantes non sollicitées. Les principaux services concernés sont :

• • Redirection de ports. C’est le problème fondamental, car tout le reste en découle. Sans contrôle d’une adresse publique, vous ne pouvez pas rediriger un port vers un appareil de votre réseau — tout service qui dépend de la redirection de ports devient donc impossible.

• • Hébergement de serveurs. Les serveurs web, serveurs de messagerie, serveurs d’applications ou tout autre service destiné à accepter des connexions depuis l’extérieur ne peuvent pas être joints via une adresse publique stable. Pour une entreprise, cela suffit à exclure le CGNAT de tout scénario d’auto-hébergement ou de service hébergé sur site.

• • Jeux en ligne et hébergement de serveurs de jeu. Héberger un serveur de jeu pour d’autres utilisateurs nécessite une accessibilité entrante. Même en tant que joueur, le CGNAT peut provoquer des problèmes de NAT strict, des échecs de matchmaking et des difficultés de connexion en groupe dans les jeux qui reposent sur une connectivité directe entre pairs.

• • VoIP et appels vidéo. Les protocoles de voix et de vidéo doivent souvent pouvoir accepter des flux multimédias entrants. La traduction partagée du CGNAT peut provoquer des échecs d’établissement d’appel, de l’audio à sens unique et des connexions interrompues, en particulier pour les systèmes téléphoniques d’entreprise.

• • Serveurs VPN et accès à distance. Exploiter un point de terminaison VPN, ou utiliser des outils d’accès à distance tels que RDP ou SSH pour joindre une machine située derrière un CGNAT, échoue généralement parce que la connexion entrante ne peut pas trouver sa destination. C’est une surprise fréquente pour les petites entreprises qui tentent de mettre en place le travail à distance.

• • Connexions peer-to-peer et directes. Les applications qui établissent des connexions directes entre utilisateurs — notamment certains outils de transfert de fichiers, de collaboration et d’IoT — fonctionnent moins bien ou échouent lorsque les deux extrémités ne peuvent pas accepter de sessions entrantes.

• Géolocalisation et réputation propres. Comme vous partagez l’adresse publique avec d’autres utilisateurs, vous héritez également de leur comportement. La réputation IP de l’adresse reflète l’ensemble des utilisateurs qui se trouvent derrière elle, tandis que sa géolocalisation correspond à l’emplacement du NAT de l’opérateur plutôt qu’au vôtre — ce qui peut entraîner des CAPTCHA inattendus, des blocages ou des résultats de localisation incorrects, et devenir particulièrement problématique pour toute activité professionnelle qui dépend d’une adresse digne de confiance.

Comment savoir si vous êtes en retard sur CGNAT

Le test le plus rapide consiste à comparer l’adresse IP publique affichée par votre routeur sur son interface WAN avec l’adresse publique qu’Internet voit réellement pour votre connexion — si elles sont différentes, vous êtes presque certainement derrière un CGNAT. Deux vérifications pratiques :

1. 1. Comparez les deux adresses. Recherchez l’adresse WAN ou Internet sur la page d’état de votre routeur, puis vérifiez l’adresse publique visible depuis l’extérieur en recherchant « what is my IP » depuis un appareil connecté à ce réseau. Si l’adresse WAN de votre routeur est différente de l’adresse publique affichée en ligne, votre trafic subit une nouvelle traduction en amont — c’est un signe caractéristique du CGNAT. (Lorsque vous disposez d’une adresse publique normale, les deux adresses correspondent.)

1. 1. Recherchez la plage d’adresses partagées. Les déploiements CGNAT attribuent couramment aux clients des adresses provenant de la plage réservée spécifiquement à cet usage : 100.64.0.0/10 (adresses allant de 100.64.0.0 à 100.127.255.255). Si l’adresse WAN de votre routeur se situe dans cette plage, il s’agit d’une adresse NAT partagée de niveau opérateur, et non d’une adresse publique. Voir une plage de type privé (par exemple 10.x) du côté WAN peut également indiquer une traduction effectuée par l’opérateur.

Si l’une de ces vérifications indique la présence d’un CGNAT et que vous avez besoin d’une connectivité entrante, la situation ne se résoudra pas d’elle-même — le CGNAT fait partie de la manière dont votre connexion réseau est conçue, et en sortir nécessite une modification volontaire, expliquée ci-dessous.=

CGNAT contre une adresse IP publique dédiée

CGNAT contre une adresse IP publique dédiée

Fonctionnalité	Derrière un CGNAT (adresse partagée)	IP publique dédiée
Navigation sortante, streaming, applications	Fonctionne	Fonctionne
Redirection de ports	Non disponible	Disponible
Hébergement de serveurs (web, messagerie, application)	Impossible	Possible
Hébergement de serveurs de jeu / éviter un NAT strict	Échoue ou fonctionne de manière dégradée	Fonctionne
Points de terminaison VoIP / VPN / accès à distance	Peu fiable ou échoue	Fonctionne
Contrôle de la réputation de l’adresse	Partagée avec d’autres utilisateurs	Vous appartient exclusivement
Géolocalisation prévisible	Emplacement du NAT de l’opérateur	Liée à votre allocation
Identité stable et directement adressable	Non	Oui

Le constat est cohérent : le CGNAT convient pour consommer des services Internet, mais il est inadapté pour en fournir. La ligne de séparation est simple : est-ce que quelque chose doit pouvoir vous joindre depuis l’extérieur ?

CGNAT pour les entreprises : Quand est-ce un élément décisif ?

Pour toute entreprise dont les activités dépendent de l’accessibilité entrante, le CGNAT n’est pas un simple inconvénient — c’est un véritable obstacle. Si votre entreprise héberge des services, accepte des connexions ou dépend d’une identité publique propre et contrôlable, une adresse partagée au niveau de l’opérateur ne peut pas répondre à ce besoin. C’est pourquoi la discussion autour du CGNAT se transforme si souvent en discussion sur l’obtention d’un véritable espace d’adressage public. Au niveau des FAI et des opérateurs, un modèle hybride est courant : les opérateurs maintiennent la majorité des abonnés grand public à faible utilisation derrière un CGNAT afin d’économiser les adresses, tout en fournissant des adresses publiques dédiées — souvent issues de blocs IPv4 loués — aux clients professionnels et aux services qui ont réellement besoin d’une accessibilité entrante. Cela permet à l’opérateur de préserver les adresses rares lorsque le partage ne pose aucun problème et de déployer un véritable espace public précisément là où le CGNAT empêcherait le service de fonctionner. La ressource rare est ainsi utilisée là où elle apporte une réelle valeur opérationnelle. Pour l’entreprise qui se trouve de l’autre côté, le besoin est plus simple à formuler : les services qui doivent être accessibles depuis l’extérieur ont besoin d’adresses publiques que vous pouvez contrôler vous-même — pour la redirection de ports, pour un hébergement stable et pour disposer d’une réputation qui vous appartient plutôt que d’en hériter. Que ces adresses proviennent de votre fournisseur, d’un modèle BYOIP ou d’une location, le besoin fondamental reste le même : une adresse qui n’est pas partagée avec des inconnus et qui n’est pas contrôlée par une partie dont la priorité est de l’économiser plutôt que de répondre à vos besoins.

Échapper au CGNAT : les options

Pour sortir du CGNAT, il faut obtenir une adresse IP publique que vous contrôlez, principalement par l’une de ces trois méthodes.

1. 1. Demander une IP publique à votre FAI. C’est la première étape la plus simple. Certains fournisseurs peuvent retirer un client du CGNAT et lui attribuer une adresse publique dédiée sur demande, parfois moyennant des frais, parfois uniquement avec une offre professionnelle. Lorsque cette option est disponible, elle résout le problème pour un site unique avec un minimum d’effort. Les limites : tous les fournisseurs ne proposent pas cette possibilité, l’adresse reste attribuée par le fournisseur — elle ne vous suit donc pas si vous changez de FAI — et, à grande échelle, cela dépend entièrement de la disponibilité des adresses du fournisseur lui-même.

1. 1. Apporter ou obtenir votre propre espace d’adressage. Les entreprises ayant des besoins durables sur plusieurs services ou sites obtiennent de plus en plus leur propre espace IPv4 public plutôt que de dépendre de la volonté d’un fournisseur de leur attribuer une adresse. Un espace d’adressage que vous contrôlez peut être annoncé via votre propre routage ou celui de votre fournisseur, vous suivre lorsque vous changez de fournisseur ou de site, et conserver une réputation que vous gérez vous-même plutôt que d’en hériter — des avantages de portabilité et de contrôle particulièrement importants lorsque les services entrants deviennent une composante du fonctionnement de l’entreprise.

1. 1. Louer des IPv4 publiques dédiées. Pour la plupart des entreprises, la location constitue le moyen le plus rapide d’obtenir un espace d’adressage public contrôlable sans devoir effectuer un achat initial important. Un bloc loué vous fournit des adresses dédiées et routables — non partagées avec d’autres utilisateurs et disponibles pour les services entrants que le CGNAT bloque — avec le contrôle du routage, du DNS inversé et de la réputation dont les services de production ont besoin. C’est pourquoi les limitations du CGNAT figurent parmi les raisons pratiques les plus courantes qui poussent les entreprises vers la location d’IPv4 : elle transforme « nous ne pouvons pas héberger ce service parce que notre FAI nous a placés derrière un CGNAT » en « nous disposons de notre propre espace public sur lequel déployer nos services ». Les entreprises ayant des besoins stables à long terme peuvent plutôt comparer l’économie d’un achat permanent et choisir d’acheter des adresses IPv4 directement ; le bon choix dépend de l’échelle, de l’horizon temporel et du niveau de contrôle que l’entreprise souhaite exercer sur cet espace.

Il convient également de noter qu’une solution ne permet pas de sortir de manière fiable du CGNAT : un VPN grand public. Faire passer votre trafic sortant par un VPN modifie l’adresse que l’extérieur voit pour vos sessions sortantes, mais cela ne vous donne pas de connectivité entrante à votre propre emplacement — vous ne pouvez toujours pas héberger un serveur ni rediriger un port vers votre réseau situé derrière le CGNAT. Résoudre le problème de la connectivité entrante nécessite une adresse que vous contrôlez à votre point de terminaison, et non simplement un autre chemin pour le trafic sortant.

Liste de contrôle pratique

1. 1. Confirmez si vous êtes derrière un CGNAT : comparez l’adresse WAN de votre routeur à votre adresse publique et vérifiez si elle appartient à la plage 100.64.0.0/10.
   2. Identifiez lesquels de vos besoins nécessitent une connectivité entrante : hébergement, redirection de ports, VoIP, points de terminaison VPN, accès à distance, serveurs de jeu.
   3. Si vos besoins concernent uniquement le trafic sortant, le CGNAT peut convenir — aucune action n’est nécessaire.
   4. Si vous avez besoin d’une accessibilité entrante, demandez à votre FAI si une adresse IP publique dédiée est disponible et à quelles conditions.
   5. Pour des besoins impliquant plusieurs services, plusieurs sites ou une forte sensibilité à la réputation, envisagez d’obtenir ou de louer votre propre espace IPv4 public plutôt que de dépendre d’une adresse attribuée par votre fournisseur.
   6. Ne supposez pas qu’un VPN grand public résout le problème — il modifie l’apparence de votre trafic sortant, mais pas votre accessibilité entrante.
   7. Prenez également en compte la réputation et la géolocalisation : une adresse dédiée que vous contrôlez évite les problèmes liés aux adresses partagées créés par le CGNAT.

Note pratique de i.lease

CGNAT est le moment où la rareté des adresses IPv4 cesse d’être un sujet abstrait de l’industrie pour devenir un obstacle concret auquel une entreprise se heurte. Le symptôme suit presque toujours le même scénario : une entreprise essaie de faire quelque chose de tout à fait normal — mettre en place un serveur, activer un accès à distance, héberger un service, faire fonctionner un système téléphonique — et découvre que cela ne fonctionne tout simplement pas, parce que son fournisseur l’a discrètement placée derrière une adresse partagée afin d’économiser une ressource devenue rare depuis des années. Le problème n’a jamais été sa configuration. Il venait du fait qu’elle ne disposait tout simplement pas de sa propre adresse publique dès le départ. C’est la raison fondamentale pour laquelle les adresses IPv4 publiques conservent une véritable valeur opérationnelle au lieu d’être un problème déjà résolu. Une adresse que vous contrôlez permet aux services entrants de fonctionner, porte une réputation que vous gérez plutôt que d’en hériter, et peut rester avec vous à mesure que votre infrastructure évolue. Le CGNAT économise les adresses en retirant ce contrôle ; le récupérer — au moyen d’une attribution par votre fournisseur, de votre propre espace d’adressage ou d’une location — est ce qui transforme un réseau capable uniquement de consommer des services en un réseau capable également d’en fournir. Pour les entreprises dont les projets dépendent du fait d’être accessibles depuis l’extérieur, cette distinction est essentielle, et il vaut mieux la résoudre volontairement plutôt que de la découvrir au moment où un déploiement échoue.

Réflexions finales

Le CGNAT est la solution pragmatique d’Internet face à l’épuisement des adresses IPv4 : en partageant une seule adresse publique entre de nombreux clients, les fournisseurs peuvent continuer à connecter de nouveaux utilisateurs malgré une réserve d’adresses fixe et épuisée. Pour les usages grand public principalement orientés vers le trafic sortant, il fonctionne suffisamment bien pour passer inaperçu. En revanche, pour tout service qui doit être accessible depuis l’extérieur — hébergement, redirection de ports, serveurs de jeu, VoIP, points de terminaison VPN, accès à distance — il constitue une véritable barrière, car une adresse partagée que vous ne contrôlez pas ne peut pas accepter les connexions entrantes dont ces services dépendent. Le point plus profond est ce que le CGNAT révèle sur les adresses IPv4 publiques elles-mêmes. Leur rareté est bien réelle, façonnée à la fois par les limites du protocole et par les décisions de gouvernance qui encadrent leur allocation, et cette rareté entraîne des conséquences opérationnelles directes — le CGNAT en étant l’une des manifestations les plus concrètes. Une entreprise qui doit fournir des services, et non simplement en consommer, a besoin de sa propre adresse : pour accepter le trafic entrant, contrôler sa réputation et sa géolocalisation, et conserver une identité stable à mesure que son infrastructure évolue. Que cette adresse soit attribuée par un fournisseur, apportée sous forme d’espace propre ou louée, le besoin découle toujours de la même distinction présentée au début de cet article — le trafic sortant fonctionne lorsque vous partagez une adresse, mais dès que vous devez être joignable depuis l’extérieur, vous avez besoin d’une adresse publique.

À lire également

• • Épuisement des adresses IPv4 : ce que cela signifie et pourquoi c’est important

• • Réputation des adresses IP : qu’est-ce que c’est et pourquoi est-ce important ?

• • BYOIP : apportez votre propre adresse IP — explication

Foire aux questions

Comment savoir si je suis derrière un CGNAT ?

Comparez l’adresse WAN/Internet affichée sur la page d’état de votre routeur avec l’adresse publique qu’Internet voit pour votre connexion (recherchez « what is my IP »). Si elles sont différentes, vous êtes probablement derrière un CGNAT. Une adresse WAN située dans la plage 100.64.0.0/10 constitue également un indicateur fort, car cette plage est réservée au NAT de niveau opérateur.

Est-ce que CGNAT bloque la redirection de ports ?

Oui. La redirection de ports nécessite le contrôle d’une adresse IP publique, et derrière un CGNAT, vous partagez une adresse gérée par votre fournisseur d’accès au lieu d’en posséder une vous-même. Sans ce contrôle, vous ne pouvez pas rediriger les ports vers les périphériques de votre réseau, ce qui explique pourquoi l’auto-hébergement et de nombreux services entrants échouent sous CGNAT.

Pourquoi les FAI utilisent-ils le CGNAT ?

Parce que les adresses IPv4 sont épuisées et qu’il n’y en a pas suffisamment pour attribuer une adresse unique à chaque client. Le CGNAT permet aux fournisseurs de continuer à ajouter des abonnés — en particulier un grand nombre d’utilisateurs mobiles et résidentiels à faible consommation — sans devoir acquérir davantage d’adresses publiques, en partageant chaque adresse publique entre plusieurs clients.

Le CGNAT est-il mauvais?

Pas intrinsèquement. Pour les usages principalement orientés vers le trafic sortant, comme la navigation web, le streaming et les applications, le CGNAT fonctionne correctement et la plupart des utilisateurs ne remarquent même pas sa présence. Il devient problématique surtout pour les usages nécessitant des connexions entrantes — hébergement, redirection de ports, serveurs de jeu, VoIP, VPN ou accès à distance — car le partage d’une adresse contrôlée par le fournisseur empêche ces connexions d’atteindre directement leur destination.