Qu'est-ce que le CGNAT ?

Le NAT de niveau opérateur (CGNAT) est une technique de traduction d'adresses réseau à grande échelle qui associe un grand nombre d'adresses IPv4 privées à un petit ensemble d'adresses IPv4 publiques, en utilisant la traduction d'adresses réseau et de ports (NAPT) afin de préserver l'espace d'adressage. Les FAI et les entreprises le déploient pour répartir les allocations limitées d'adresses IPv4 publiques entre un grand nombre d'abonnés.

Points clés à retenir

• CGNAT partage un pool d'adresses IP publiques entre de nombreux abonnés via la technologie NAPT.
• Seuls l'adresse source et le port sont traduits pour le trafic sortant.
• Versa CGNAT prend également en charge les protocoles NAT64 et DNS64, ainsi que l'obfuscation réseau.
• Les pools d'adresses et les règles définies sur les appareils VOS déterminent la manière dont la traduction s'applique.
• Les modes « Twice-NAT » effectuent la traduction des adresses source et destination en un seul passage.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · CGNAT & Versa · FAQ

Pourquoi le CGNAT est-il important ?

L'épuisement des adresses IPv4 a rendu le CGNAT inévitable. L'espace d'adressage IPv4 public est à court de nouvelles allocations depuis des années, mais Internet ne cesse de croître : il y a davantage d'abonnés, davantage d'appareils par abonné et davantage de terminaux IoT. Les opérateurs ne peuvent pas acheter suffisamment d'adresses publiques pour attribuer une adresse unique à chaque appareil ; le CGNAT permet donc de partager un petit pool d'adresses publiques, prolongeant ainsi la durée de vie utile de l'IPv4 sans passer immédiatement à l'IPv6.

Les avantages vont au-delà de la préservation des ressources. Le CGNAT masque également la topologie interne : un périphérique externe ne voit que l’adresse publique partagée, et non l’adressage privé qui se cache derrière, ce qui réduit la surface d’attaque. Sur les périphériques VOS d’ Versa , le CGNAT gère la sortie vers Internet pour le trafic des succursales, prend en charge le « twice-NAT » pour la traduction combinée de la source et de la destination, et permet l’obfuscation du réseau, en masquant l’adresse IP réelle d’un serveur derrière une adresse attribuée dynamiquement.

Qu'est-ce que le CGNAT ?

Le CGNAT fonctionne comme un NAT classique, mais à une échelle bien plus grande. Un équipement réseau – un routeur périphérique d’opérateur ou, dans le cadre de déploiements « Versa », un dispositif VOS – gère un pool d’adresses IP publiques ainsi que des règles définissant quel trafic privé doit être traduit et selon quelles modalités. Lorsqu’un hôte privé envoie du trafic vers l’extérieur, l’équipement remplace l’adresse IP source, et généralement le port source, par une adresse issue du pool public, puis assure le suivi de cette correspondance (le «binding») afin que le trafic de retour puisse retrouver son chemin.

Étant donné que des milliers d’adresses privées se partagent un pool public relativement restreint, c’est l’attribution des ports – et non celle des adresses – qui devient la ressource à gérer : chaque adresse publique prend en charge de nombreuses sessions simultanées sur différents ports. Des délais d’expiration configurables pour les mappages ICMP, TCP et UDP permettent de récupérer les liaisons inutilisées, tandis que des mécanismes tels que le « round robin » répartissent la charge sur l’ensemble du pool. Le mappage et le filtrage indépendants des terminaux permettent de contrôler si une liaison est réutilisée entre différentes destinations distantes, ce qui est important pour le trafic VoIP et le trafic lié aux jeux vidéo.

Types de CGNAT

Trois grandes approches répondent à différents besoins de traduction. Le NAT44, également appelé NAT à grande échelle, constitue la fonction principale du CGNAT : de nombreuses adresses IPv4 privées partagent un pool d’adresses IPv4 publiques via le NAPT, avec des variantes de base, dynamiques, de destination et « deux fois NAT » couvrant tout, des mappages statiques un-à-un à la traduction entièrement dynamique de la source et de la destination en un seul passage. Le NAT64/DNS64 résout un problème différent : il permet aux clients exclusivement IPv6 d’accéder à des serveurs exclusivement IPv4 en synthétisant une adresse IPv6 pour la destination et en traduisant le trafic résultant en IPv4 au niveau de la passerelle. Le NPTv6 (Network Prefix Translation) est une alternative IPv6-vers-IPv6 sans état : il échange les préfixes d’adresses internes contre des préfixes externes à l’aide d’un algorithme neutre vis-à-vis de la somme de contrôle, privilégiant la simplicité et l’accessibilité de bout en bout au détriment de la flexibilité du NAT.

CGNAT & Versa

Versa implémente le CGNAT de manière native sur les appareils VOS sous la forme d'un service constitué de plages d'adresses et de règles. Dans Director, les administrateurs configurent les pools et les règles CGNAT par modèle de périphérique (plages d’adresses, schémas d’attribution de ports, délais d’expiration de mappage), puis appliquent des modes NAT allant du NAT-44 et NAPT-44 de base aux variantes à double NAT, en passant par le NPT-66 pour la traduction de préfixes IPv6 et le NAT64/DNS64 pour l’interopérabilité IPv4-IPv6. Dans Concerto, cette même fonctionnalité est proposée sous forme de politiques CGNAT intégrées aux modèles principaux SD-WAN, avec l’ajout d’un mode de redirection de port qui simplifie l’exposition d’un service interne via une seule règle.

Versa Le CGNAT prend également en charge l'obfuscation réseau – qui consiste à attribuer une adresse de destination dynamique afin qu'une requête DNS renvoie une fausse adresse à la place de l'adresse réelle du serveur – ainsi qu'un mappage indépendant des terminaux pour les applications sensibles au NAT. Les opérateurs effectuent le dépannage du CGNAT depuis l'interface en ligne de commande (CLI), en vérifiant les statistiques du pool, l'état des règles par locataire et les compteurs de sessions actives via le démon vsmd.

Questions fréquentes

Quelle est la différence entre le CGNAT et le NAT classique ?

Le NAT classique associe une adresse privée à une adresse publique pour un foyer ou un bureau. Le CGNAT partage un petit pool d’adresses publiques entre des milliers d’abonnés, en utilisant la traduction au niveau des ports pour multiplier la capacité ; c’est ce pool partagé, géré par l’opérateur, qui lui confère son caractère « de niveau opérateur ».

Le CGNAT perturbe-t-il le fonctionnement des applications qui dépendent des connexions entrantes ?

C'est possible. Étant donné que les abonnés partagent une même adresse publique, un hôte externe ne peut pas atteindre de manière fiable un abonné spécifique sans qu'un trafic sortant préalable n'ait établi une liaison ; cela complique l'hébergement ainsi que certains types de trafic VoIP ou de jeux en ligne, à moins que la redirection de ports ne soit configurée.

Pourquoi les fournisseurs d'accès à Internet utilisent-ils le CGNAT ?

L'épuisement de l'espace IPv4 a privé les FAI d'un nombre suffisant d'adresses publiques pour en attribuer une à chaque abonné. La technologie CGNAT permet à un fournisseur d'accès de desservir une large base d'abonnés à partir d'un pool d'adresses IPv4 publiques bien plus restreint, ce qui retarde la migration complète vers IPv6 tout en permettant aux abonnés de rester connectés à l'Internet IPv4.

Qu'est-ce que le « twice-NAT » dans le cadre du CGNAT ?

La traduction « Twice-NAT » convertit à la fois l'adresse source et l'adresse de destination d'un paquet au sein d'une même règle – par exemple, en traduisant dynamiquement l'adresse source tout en réécrivant statiquement l'adresse de destination. Versa CGNAT prend en charge les modes « Twice Basic », « Twice Dynamic » et « Twice NAPT-44 » pour ces scénarios.

Quel est le lien entre le NAT64 et le CGNAT ?

NAT64 est un mode CGNAT qui permet aux clients exclusivement IPv6 d'accéder à des serveurs exclusivement IPv4 : DNS64 génère une adresse IPv6 pour la destination, puis la passerelle convertit le trafic ainsi généré en IPv4 – c'est le mécanisme qui permet l'accès exclusivement IPv6 à un Internet IPv4 traditionnel.

En savoir plus sur le CGNAT

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur le CGNAT, voici quelques liens qui pourraient vous intéresser.