Qu'est-ce que la redirection de ports ?

La redirection de port (également appelée « mappage de port ») est une technique de traduction d'adresses réseau (NAT) qui redirige les paquets entrants adressés à une adresse IP externe et à un port spécifiques vers une adresse et un port internes, permettant ainsi aux appareils situés à l'extérieur du réseau d'accéder à un service hébergé sur un hôte spécifique au sein du réseau local (LAN).

Points clés à retenir

• La redirection de port permet d'associer une paire adresse-port externe à une paire interne.
• Il s'agit d'une forme de NAT mise en œuvre au niveau de la périphérie WAN du routeur ou de la passerelle.
• Les règles ne sont pas activées par défaut ; chacune doit être créée explicitement.
• Types de règles courants : NAT de destination, NAT de source, NAT statique, pas de NAT.
• Expose un serveur interne, une caméra ou un appareil à l'Internet public.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Redirection de ports et Versa · FAQ

Pourquoi la redirection de ports est-elle importante ?

L'adressage LAN privé et le NAT masquent par défaut les hôtes internes vis-à-vis d'Internet – ce qui est bénéfique pour la sécurité, mais bloque également certaines utilisations légitimes. Une application web auto-hébergée, un serveur de jeux, l’application de visualisation à distance d’une caméra de sécurité ou une session de bureau à distance ont besoin qu’un élément extérieur au réseau ouvre une connexion vers l’intérieur, et le NAT sortant classique ne prévoit aucune règle pour ce paquet. La redirection de port comble cette lacune sans renoncer à la protection offerte par le NAT : elle ouvre une seule combinaison adresse-port à travers la frontière vers un hôte, tandis que tous les autres ports restent inaccessibles.

C'est justement cette précision qui fait toute la différence : au lieu d'attribuer une adresse IP publique à chaque appareil ou de mettre en place un VPN complet pour un seul service, l'opérateur ne redirige que le protocole et le port nécessaires. Chaque port redirigé devient également un point d'entrée depuis Internet ; ainsi, une règle trop large élargit le champ d'action d'un attaquant.

Qu'est-ce que la redirection de ports ?

Un routeur ou une passerelle se trouve à la frontière entre un réseau local (LAN) privé et une adresse WAN publique. La redirection de ports configure ce périphérique pour qu’il réécrive la destination des paquets entrants : lorsqu’un paquet arrive sur l’adresse WAN à un port donné, son adresse et son port de destination sont remplacés par l’adresse IP privée et le port d’un hôte interne, et le périphérique suit le flux afin que le trafic de retour soit correctement réacheminé. Cette réécriture des paquets entrants est appelée NAT de destination – c’est cette direction qui donne son nom à la redirection de ports, à distinguer du NAT de source sortant, qui permet aux hôtes internes d’accéder à Internet.

Une règle spécifie généralement l'interface externe et le port, l'adresse interne et le port, ainsi qu'un protocole, avec une valeur de priorité permettant de résoudre les conflits entre règles.

Types de redirection de ports

La redirection de port statique (manuelle) est une règle permanente qu’un administrateur configure explicitement, en associant un port externe fixe à un hôte et un port internes fixes jusqu’à ce qu’elle soit supprimée – c’est le cas classique pour un serveur ou une caméra qui doit toujours être accessible. La redirection de port dynamique est ouverte automatiquement et temporairement par une application, généralement via UPnP ou NAT-PMP/PCP ; pratique, mais elle prive l’administrateur de la visibilité sur les ports ouverts. Le « port triggering » est encore plus restreint : la passerelle surveille un port déclencheur et, uniquement dans ce cas, ouvre un port entrant correspondant jusqu’à la fin de la session. Les taxonomies distinguent également la redirection de ports – NAT de destination avec traduction de ports – du NAT statique, qui mappe une adresse entière sans traduire les ports.

Redirection de ports et Versa

VersaLe portail «Titan » – la console cloud pour les appliances CSG de succursale gérées par Titan – permet de configurer la redirection de ports depuis l’écran Réseau > LAN > Redirection de ports. Les interfaces WAN doivent d’abord être configurées, car seules celles qui sont configurées apparaissent dans la liste des choix, et la redirection de ports n’est pas activée par défaut : chaque règle doit être ajoutée explicitement.

Une règle de « Titan » comporte un nom, un type de traduction d’adresse (NAT de destination, NAT de source, NAT statique ou pas de NAT), une interface WAN, une valeur de priorité et, selon le type, des adresses internes et externes, des ports et un protocole. La création de la règle insère également une entrée correspondante dans la liste des règles du pare-feu, nommée avec un _frd suffixe ; cette entrée ne peut être ni modifiée ni supprimée, mais uniquement désactivée ou réorganisée. Ce même écran permet également de réserver l'adresse IP d'un appareil, en verrouillant une adresse DHCP afin que la cible interne d'une règle ne change pas.

Questions fréquentes

Quelle est la différence entre la redirection de ports et le NAT ?

La redirection de port est un cas particulier du NAT. Le NAT classique assure la traduction des adresses pour le trafic traversant une frontière, généralement le trafic sortant qui quitte un réseau privé. La redirection de port concerne le trafic entrant : elle consiste à associer une paire adresse externe-port à un hôte interne afin que le trafic non sollicité puisse l'atteindre.

La redirection de ports représente-t-elle un risque pour la sécurité ?

C'est possible. Chaque port redirigé constitue un point d'entrée défini et accessible depuis Internet ; ainsi, une règle plus large que nécessaire, ou ciblant un service non mis à jour, élargit la surface d'attaque. Limiter les règles à des ports, protocoles et adresses sources spécifiques permet de réduire cette exposition.

Quelle est la différence entre la redirection de port statique et la redirection de port dynamique ?

La redirection de port statique est une règle configurée manuellement par un administrateur, qui reste active jusqu'à ce qu'elle soit supprimée. La redirection de port dynamique est ouverte automatiquement par une application, généralement via UPnP ou NAT-PMP, pour la durée d'une session, puis se ferme une fois la session terminée ou le délai d'expiration écoulé.

La redirection de ports est-elle toujours d'actualité avec l'IPv6 ?

Moins souvent. L'IPv6 attribue généralement à chaque appareil une adresse routable à l'échelle mondiale, ce qui élimine le problème lié aux adresses privées que la redirection de ports permettait de résoudre sous IPv4. Certains déploiements appliquent encore des règles de type NAT à l'IPv6 à des fins de segmentation par pare-feu, mais la redirection de ports classique est avant tout un concept issu de l'ère IPv4.

Une règle de redirection de ports peut-elle couvrir une plage de ports ?

Oui. La plupart des implémentations, y compris le portail Titan d’ Versa, acceptent une plage de ports correspondante à la fois du côté externe et du côté interne d’une règle – par exemple, de 200 à 300 –, ce qui permet de mapper un bloc contigu de ports plutôt que de configurer les ports un par un.

En savoir plus sur la redirection de ports

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la redirection de ports, voici quelques liens qui pourraient vous intéresser.