Qu’est-ce que le CGNAT ? IP partagée et ports

Le CGNAT, ou NAT à l’échelle de l’opérateur, traduit les adresses IPv4 dans le réseau du fournisseur d’accès. Plusieurs abonnés peuvent ainsi partager une adresse IPv4 publique. Les connexions sortantes fonctionnent souvent normalement, mais l’accès entrant à un serveur domestique peut être impossible sans disposition prévue par l’opérateur.

CGNAT et NAT du routeur domestique

Le routeur de votre logement peut déjà traduire les adresses des appareils, comme 192.168.1.20, vers son adresse externe. Avec CGNAT, l’opérateur traduit encore cette adresse vers une IPv4 publique partagée. Deux tables de traduction séparent donc le serveur distant de votre appareil. Vous ne contrôlez que la table domestique : une règle de redirection sur votre routeur ne crée aucune règle dans le réseau de l’opérateur. Cette couche supplémentaire reste souvent invisible pendant la navigation, mais devient essentielle lorsqu’un tiers tente de joindre votre domicile.

Comment repérer le CGNAT

Relevez l’adresse IPv4 de l’interface externe du routeur dans sa page d’état. Comparez-la à celle donnée par l’outil IP de 2ip. Si elles diffèrent et qu’un VPN ou un second routeur domestique ne l’explique pas, une traduction par le fournisseur est possible. Les opérateurs emploient souvent 100.64.0.0/10, une plage partagée allant de 100.64.0.0 à 100.127.255.255. La RFC 6598 la définit ; elle diffère des plages privées RFC 1918. Ne pas voir cette plage n’exclut pas le CGNAT, car un opérateur peut utiliser un autre plan.

Pourquoi le contrôle de port échoue

Un contrôle local peut confirmer qu’une application écoute, alors qu’un test depuis l’extérieur ne peut pas la joindre. Avec CGNAT, le paquet entrant arrive d’abord à l’adresse partagée de l’opérateur ; une correspondance lui est nécessaire pour choisir l’abonné destinataire. Avant de conclure, vérifiez le service, son port TCP ou UDP, le pare-feu du domicile et la règle du routeur. Les VPN, relais cloud et routeurs supplémentaires peuvent produire des symptômes similaires. Un contrôle de port est un indice, pas un bilan complet de l’application.

Quelles options demander au fournisseur

Demandez si une adresse IPv4 publique et des connexions entrantes sont proposées, et si l’adresse est fixe ou dynamique. Si les deux extrémités prennent en charge IPv6, vous pouvez publier le service sur IPv6 avec des règles de pare-feu soigneusement limitées. Certaines applications créent plutôt une connexion sortante protégée vers un relais, ce qui ajoute des questions de confiance et de sécurité. N’exposez pas tout un appareil simplement pour réussir un test de port. Le CGNAT ne signifie pas en soi que l’accès ordinaire à Internet est en panne, et ne cache pas l’abonné à son fournisseur.