Qu'est-ce que le DNAT ?

Le NAT de destination (DNAT) réécrit l'adresse IP de destination – et, éventuellement, le port de destination – des paquets entrants, puis inverse cette traduction lors des réponses. C'est le mécanisme qui permet à un serveur situé sur un réseau privé, tel qu'un serveur web dans une zone démilitarisée (DMZ), d'être accessible via une adresse IP publique sans exposer sa véritable adresse interne.

Points clés à retenir

• DNAT modifie l'adresse IP et le port de destination des paquets entrants.
• Cela expose un serveur dont l'adresse est privée à l'Internet public.
• La redirection de ports est une forme simplifiée de DNAT, limitée à un seul service.
• Le « Twice NAT » combine le DNAT et le NAT source au sein d'une seule règle de traduction.
• Versa VOS configure le DNAT à l'aide de pools CGNAT et de règles de traduction.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DNAT et Versa · FAQ

Pourquoi le DNAT est-il important ?

De nombreuses organisations exploitent des serveurs internes – interfaces Web, relais de messagerie, serveurs d’applications – sur des adresses privées non routables, mais ont néanmoins besoin que certains services spécifiques soient accessibles depuis Internet ou les réseaux de partenaires. Acheminer une adresse publique directement vers un hôte interne exposerait l’adressage réel du réseau. Le DNAT résout ce problème : une passerelle publie une adresse IP publique, réécrit la destination des connexions correspondantes vers l’adresse privée du serveur réel, puis inverse cette réécriture à la sortie, de sorte que l’adresse de l’hôte interne ne soit jamais visible de l’extérieur.

Comme seuls les champs de destination changent, aucun élément en amont du dispositif NAT n'a besoin de connaître la topologie interne. C'est le principe qui sous-tend aussi bien la « redirection de ports » des routeurs domestiques que les architectures DMZ d'entreprise, et ce modèle s'étend aux déploiements NAT de niveau opérateur qui permettent à de nombreux services d'être accessibles publiquement à partir d'un pool d'adresses limité.

Qu'est-ce que le DNAT ?

Un dispositif DNAT intercepte les paquets entrants adressés à une adresse IP publique et à un port, puis remplace les champs de destination par l'adresse IP privée et le port du serveur réel avant de transférer le paquet. L'état est conservé par flux ; ainsi, les paquets de réponse – dont l'adresse source est l'adresse privée – subissent la traduction inverse avant d'atteindre le client. Du point de vue du client, la connexion semble aboutir à l'adresse publique ; le serveur ne voit quant à lui que les en-têtes traduits.

Le port publié et le port sur lequel le serveur écoute ne doivent pas nécessairement correspondre : le DNAT permet de mapper un port externe non standard à un port interne standard, ce qui est utile pour gagner en flexibilité et en discrétion. Le DNAT est l'inverse du NAT source (SNAT), qui réécrit l'adresse source des paquets sortants afin que de nombreux hôtes puissent partager un pool plus restreint d'adresses publiques ; ces deux techniques sont souvent combinées dans une seule règle (« double NAT ») lorsque les deux sens nécessitent une traduction.

Types de DNAT

Le DNAT statique mappe une adresse IP publique, et éventuellement une plage de ports, à une adresse IP privée selon un rapport fixe de un à un – ce qui constitue le modèle standard pour la publication d’un serveur unique. La redirection de port est un cas simplifié de ce même mécanisme, limité à une seule connexion WAN, une seule adresse et une seule plage de ports, permettant d’exposer un service unique sans avoir recours à un ensemble complet de règles. Le DNAT dynamique attribue l’adresse de destination à partir d’un pool plutôt que par un mappage fixe ; VOS utilise cette technique pour l’obfuscation réseau, où l’adresse qu’un client DNS est invité à utiliser est liée dynamiquement à l’adresse réelle du serveur, tout en étant différente de celle-ci. Le « Twice NAT » effectue à la fois un DNAT et un NAT source au sein d’une même règle, en traduisant simultanément les deux adresses d’un flux – ce qui s’avère utile lorsque les espaces d’adressage internes et externes risqueraient autrement de se chevaucher.

DNAT & Versa

VOS configure le NAT de destination dans le cadre du CGNAT, via « Configuration > Services > CGNAT » dans Director ou « Configure > Secure SD-WAN > Network Services > CGNAT Policies » dans Concerto – voir « Configurer le CGNAT » et « Configurer les politiques CGNAT ». Un pool CGNAT contient les adresses privées réelles des hôtes situés derrière la DMZ ; une règle identifie le trafic entrant et applique le NAT de destination 44 ou la redirection de port (un raccourci simplifié), tandis que VOS gère automatiquement la traduction inverse.

La section « Configuration et vérification du NAT de destination » présente un exemple : un utilisateur accède à l’adresse IP publique d’un serveur Web sur le port 8080, et le CPE VOS traduit la session vers l’adresse réelle du serveur sur le port 80, visible dans le tableau des sessions NAT de l’interface CLI et dans l’onglet « Director Monitor ». Les versions ultérieures intègrent le DNAT dynamique pour le masquage du réseau, associé à un proxy DNS qui répond aux requêtes des clients à partir du pool dynamique.

Questions fréquentes

Quelle est la différence entre le DNAT et le SNAT ?

Le DNAT modifie l'adresse de destination des paquets entrants, généralement pour rendre accessible au public un serveur interne. Le SNAT modifie l'adresse source des paquets sortants, ce qui permet à plusieurs hôtes de partager un pool plus restreint d'adresses publiques. Les deux techniques inversent la traduction sur le trafic de retour.

Quelle est la différence entre le DNAT et la redirection de ports ?

La redirection de ports est une configuration simplifiée du DNAT, limitée à une seule connexion WAN, une seule adresse et une seule plage de ports, destinée à rendre un service accessible rapidement. Les règles complètes de NAT-44 de destination prennent en charge des critères de correspondance plus larges, des pools de destinations traduites et la réutilisation pour plusieurs services.

Le protocole DNAT traduit-il aussi bien le port que l'adresse IP ?

Oui, si vous le souhaitez. Le DNAT peut réécrire uniquement l'adresse IP de destination, ou à la fois l'adresse IP et le port, ce qui permet de rediriger un service publié sur un port externe vers un autre port sur lequel le serveur interne est à l'écoute – VOS gère automatiquement cette redirection.

Comment le service VOS d'Versa vérifie-t-il une traduction DNAT ?

VOS affiche les sessions NAT actives depuis l'interface de ligne de commande (CLI), en indiquant l'adresse IP externe et le port auxquels un client est connecté, ainsi que l'adresse IP interne et le port vers lesquels il a été traduit. Ces mêmes sessions sont visibles dans l'onglet « Monitor » d'Versa Director, ce qui permet de vérifier qu'une règle fonctionne comme prévu.

À quoi sert le DNAT dynamique dans le CGNAT d'Versa ?

Le DNAT dynamique attribue l'adresse de destination à partir d'un pool plutôt que selon un mappage fixe. Le protocole « Versa » l'utilise à des fins de dissimulation du réseau : l'adresse obtenue par un client DNS diffère de l'adresse réelle du serveur pour cette session et y est liée de manière dynamique.

En savoir plus sur DNAT

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au DNAT, voici quelques liens qui pourraient vous intéresser.