Comprendre le NAT : traduction d’adresses et de ports dans les réseaux IPv4

NAT traduit les adresses à la frontière d’un réseau ; PAT traduit aussi les ports pour permettre à plusieurs clients de partager des adresses IPv4 publiques. La traduction exige toujours un routage correct et une politique de pare-feu explicite.

Pourquoi utiliser la traduction d’adresses

IPv4 compte environ 4,3 milliards d’adresses, moins que le nombre d’appareils connectés. L’adressage privé au sein du réseau et public à sa périphérie permet à de nombreux appareils de partager la connectivité. Par exemple, les clients internes 192.168.1.10, 192.168.1.20 et 192.168.1.30 apparaissent derrière l’adresse publique 203.0.113.5. Les adresses privées RFC 1918 ne sont pas routées globalement.

NAT statique est une association permanente un à un, par exemple pour un serveur. NAT dynamique choisit dans un ensemble d’adresses publiques. PAT, souvent appelé NAT overload, distingue de nombreuses connexions internes à l’aide d’une ou de quelques adresses publiques et de ports traduits.

Lire une traduction PAT

Inside local désigne généralement l’adresse d’un hôte vue depuis son réseau ; inside global, son adresse visible à l’extérieur. NAT modifie les adresses et, avec PAT, les ports source, tout en conservant l’état dans une table. Il ne décide pas seul du routage : des interfaces, des routes et des listes d’accès correctes restent indispensables.

Dans cet exemple simplifié, 192.168.1.10:5001 devient 203.0.113.5:10001, tandis que 192.168.1.20:5001 devient 203.0.113.5:10002. Les deux connexions illustratives ont pour destination 8.8.8.8:80. L’état de traduction associe chaque connexion de retour à son client interne ; des ports source internes identiques ne doivent pas nécessairement devenir des ports externes identiques.

NAT n’est pas un pare-feu

Avec PAT, une connexion entrante arbitraire non sollicitée n’est pas automatiquement associée à un hôte interne sans état correspondant. Cela ne remplace pas une politique de sécurité définie. Les redirections de ports, les associations statiques et les assistants de protocole peuvent exposer des services. Un pare-feu évalue le trafic selon des règles, des zones, des identités ou des applications.

La modification des en-têtes complique certains protocoles, le dépannage et la connectivité de bout en bout. IPv6 offre un espace d’adresses bien plus vaste ; la sécurité y repose sur le filtrage et la segmentation, plutôt que sur le maintien volontaire de la rareté des adresses.

Le dépannage commence avant la traduction

Vérifiez d’abord que l’hôte interne peut joindre sa passerelle et qu’une route vers la destination existe. Examinez ensuite la classification NAT, l’ACL, la table de traduction et le chemin de retour. L’absence d’entrée suggère que le trafic n’atteint pas l’appareil ou ne correspond pas à la règle. Une entrée sans réponse peut indiquer un problème de routage amont, de filtrage ou de service destinataire.

Capturez le trafic des deux côtés pour confirmer les changements d’adresse et de port attendus. Dimensionnez la journalisation selon le volume PAT réel, surtout si les connexions doivent ensuite être attribuées aux clients internes, et surveillez la capacité de ports disponible.

Liste de contrôle pratique

01
Vérifiez les interfaces inside/outside et le routage.
02
Comparez le réseau source, la destination et l’ACL NAT avec le trafic de test.
03
Observez les entrées de traduction et les compteurs pendant un test ciblé.
04
Vérifiez les deux sens pour détecter un routage asymétrique ou un filtrage.
05
Surveillez les journaux NAT et la capacité des ports.

Questions fréquentes

Pourquoi un service fonctionne-t-il en interne, mais pas via son adresse publique ?

Les causes possibles comprennent une redirection de port absente, des règles de pare-feu, une mauvaise route de retour ou l’absence de NAT en boucle pour l’accès interne à l’adresse publique.

NAT rend-il un réseau sûr ?

Pas à lui seul. La sécurité dépend d’un filtrage explicite, de la segmentation, de services sécurisés, de l’identité et de la surveillance. NAT traduit principalement les adresses et les ports.

Comprendre le NAT : traduction d’adresses et de ports dans les réseaux IPv4

Des connaissances à mettre en pratique.