Qu'est-ce que le NAT ?

La traduction d'adresses réseau (NAT) est le processus consistant à réécrire les adresses IP dans les en-têtes des paquets lorsque le trafic transite par un périphérique, en faisant correspondre les adresses d'un espace d'adressage à un autre. Elle permet aux réseaux reposant sur des adresses IP privées et non enregistrées d'accéder à l'Internet public via un petit ensemble d'adresses publiques partagées.

Points clés à retenir

• La fonction NAT modifie les adresses IP source ou de destination lorsque les paquets transitent par un périphérique.
• Le NAT statique associe de manière permanente une adresse privée à une adresse publique.
• Le NAT dynamique et le NAPT partagent un pool d'adresses publiques entre plusieurs hôtes.
• La NAT permet de préserver les adresses IPv4 publiques, qui sont une ressource rare, et de masquer la topologie interne.
• Versa configure tous les modes NAT à l'aide des pools et des règles CGNAT sur VOS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · NAT et Versa · FAQ

Pourquoi le NAT est-il important ?

Le NAT a résolu le problème de l'épuisement des adresses IPv4 bien avant que le secteur n'ait achevé sa transition vers l'IPv6, et c'est en grande partie pour cette raison que cette transition n'est toujours pas terminée. Au lieu d'attribuer à chaque appareil une adresse IPv4 publique, une ressource limitée, une organisation attribue des adresses aux hôtes internes à partir de plages privées et n'effectue la traduction qu'à la périphérie du réseau, partageant ainsi une poignée d'adresses publiques entre l'ensemble d'un bureau ou d'une base d'abonnés.

Les avantages en matière de sécurité sont indissociables de ceux liés à l'adressage : l'adressage interne n'apparaît jamais sur l'Internet public ; ainsi, le NAT masque également la topologie d'un réseau aux observateurs extérieurs, agissant comme un filtre rudimentaire puisqu'une connexion entrante non sollicitée ne dispose d'aucun mappage existant pour s'y connecter. C'est pourquoi le NAT est aujourd'hui présent à presque toutes les périphéries de réseau, du routeur domestique au cœur de réseau d'un opérateur.

Qu'est-ce que le NAT ?

Un périphérique prenant en charge le NAT – routeur, pare-feu ou appareil SD-WAN – réécrit l’adresse IP source ou de destination, et souvent le port, dans l’en-tête d’un paquet lors de son passage, puis enregistre cette correspondance afin que le trafic de retour puisse retrouver son chemin. Le périphérique se réfère à des règles qui définissent le trafic à traduire ainsi qu’un pool d’adresses vers lesquelles effectuer la traduction.

Deux caractéristiques définissent la plupart des implémentations : quelle adresse est réécrite (source, destination ou les deux) et combien d’adresses privées partagent chaque adresse publique (mappage statique un-à-un ou partage dynamique « plusieurs-à-quelques-unes »). Lorsque de nombreuses adresses partagent un petit nombre d’adresses publiques, le périphérique réécrit également les ports source – traduction d’adresses réseau et de ports (NAPT) – afin de distinguer des milliers de sessions simultanées sur une même adresse. Des délais d’expiration libèrent les mappages dès qu’une session devient inactive.

Types de NAT

Quatre modes principaux couvrent la plupart des déploiements. Le NAT statique (de base) associe de manière permanente une adresse privée à une adresse publique ; il est utilisé lorsqu’un hôte, tel qu’un serveur, doit rester accessible à une adresse externe constante. Le NAT dynamique attribue une adresse publique à la demande à partir d’un pool, puis la libère à la fin de la session, tout en conservant une relation un-à-un à tout moment. Le NAPT, également appelé « traduction d’adresses de ports », partage une seule adresse publique entre plusieurs hôtes en réécrivant également les ports source ; c’est le mode utilisé pour la plupart des connexions à domicile et au bureau. Le NAT de destination (DNAT) réécrit la destination plutôt que la source ; il est couramment utilisé pour la redirection de ports : il permet d’exposer un serveur interne à une adresse et un port publics.

À plus grande échelle, le NAT de niveau opérateur (CGNAT) applique le NAPT à l'ensemble de la base d'abonnés à partir d'un pool partagé géré par le fournisseur – une technique suffisamment différente pour mériter sa propre entrée dans le glossaire.

NAT & Versa

Versa met en œuvre chacun des modes NAT ci-dessus sous la forme d’un service unique configurable. Sur les appareils VOS, les administrateurs configurent les pools et les règles CGNAT dans Director, en choisissant un mode NAT par règle – NAT-44 de base, DNAT-44, NAT-44 dynamique, NAPT-44 et variantes « twice-NAT » – que le déploiement concerne une seule succursale ou un déploiement à l’échelle d’un fournisseur. Le même moteur de règles gère le NPT-66 pour la traduction de préfixes IPv6 sans état, ainsi que le NAT64/DNS64 pour l’interopérabilité entre les clients exclusivement IPv6 et les serveurs exclusivement IPv4.

Dans Concerto, la fonctionnalité équivalente est constituée par les politiques CGNAT intégrées aux modèles principaux SD-WAN, qui ajoutent un mode de redirection de port simplifiant l’exposition d’un service interne sans avoir recours à une règle NAT de destination complète. Étant donné que le NAT réécrit les adresses, certains protocoles intègrent celles-ci dans leur charge utile (FTP, SIP, TFTP) : Versa associe donc les règles NAT aux politiques de passerelle de couche application afin que ces protocoles continuent de fonctionner sur un chemin traduit. VersaLe résumé des articles de recense les guides de configuration NAT et les commandes de vérification via l’interface CLI au fur et à mesure de leur publication.

Questions fréquentes

Quelle est la différence entre le NAT et le CGNAT ?

Le NAT est le mécanisme général de traduction d'adresses ; le CGNAT est une application du NAT à l'échelle des opérateurs, qui consiste à partager un pool d'adresses IP publiques entre des milliers d'abonnés à l'aide d'un NAPT à grande échelle. Le NAT classique dessert généralement une seule organisation derrière une seule passerelle ; le CGNAT, quant à lui, est géré par un fournisseur d'accès et partagé entre des abonnés sans lien entre eux.

Quelle est la différence entre le NAT source et le NAT destination ?

Le NAT source modifie l'adresse source d'un paquet, généralement pour le trafic sortant qui quitte un réseau privé à destination d'Internet. Le NAT destination modifie l'adresse de destination, généralement pour le trafic entrant qui atteint un serveur interne ; c'est le mécanisme qui sous-tend la redirection de port et l'exposition des services internes vers l'extérieur.

Pourquoi le NAT perturbe-t-il le fonctionnement de certains protocoles d'application ?

Les protocoles qui intègrent des adresses IP ou des ports dans leur charge utile – FTP, SIP, TFTP – ne fonctionnent pas avec un NAT simple, car le périphérique ne modifie que les en-têtes des paquets, et non le contenu de la charge utile. Les passerelles de couche application inspectent et modifient ces adresses intégrées, puis ouvrent dynamiquement les « pinholes » correspondants dans le pare-feu.

Le NAT assure-t-il à lui seul la sécurité ?

Le NAT offre une sécurité accessoire : une connexion entrante non sollicitée ne disposant d’aucun mappage de traduction existant à suivre est donc rejetée par défaut. Il ne remplace pas un pare-feu : l’inspection d’état, les règles d’accès et la prévention des menaces continuent d’assurer la mise en œuvre délibérée des mesures de sécurité.

Le NAT est-il encore nécessaire maintenant que l'IPv6 existe ?

Oui, dans un avenir proche. La plupart des réseaux fonctionnent en double pile ou restent exclusivement IPv4, et le NAT continue de relier les réseaux IPv4 privés à l'Internet public. Le NAT64 permet en outre aux clients exclusivement IPv6 d'accéder aux services restants exclusivement IPv4 pendant une transition qui devrait s'étaler sur plusieurs années.

En savoir plus sur le NAT

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au NAT, voici quelques liens qui pourraient vous intéresser.