Guide pratique
CGNAT : pourquoi ouvrir un port sur votre box peut ne pas suffire
Un partage d’IPv4 chez l’opérateur peut bloquer une connexion entrante. Voici les indices à relever avant de modifier votre réseau.
Publié le
Vous avez créé une règle de redirection sur la box, mais votre serveur reste inaccessible depuis l’extérieur. Le problème peut se situer en amont : l’opérateur peut partager une même IPv4 publique entre plusieurs abonnés.
Deux niveaux de traduction
Le NAT de la box traduit les connexions du réseau local. Avec le CGNAT, un équipement de l’opérateur effectue une traduction supplémentaire. Une règle ajoutée sur votre box ne configure pas automatiquement cet équipement.
L’espace 100.64.0.0 à 100.127.255.255 est réservé à l’adressage partagé, notamment entre l’opérateur et ses clients. Ce n’est pas l’une des plages privées définies par la RFC 1918. Sa présence sur l’interface WAN peut être un indice utile, sans être le seul élément du diagnostic.
Comparer les bonnes adresses
Relevez l’IPv4 WAN indiquée dans l’interface de la box et comparez-la à l’IPv4 publique observée depuis Internet. Faites cette comparaison sans VPN et avec la même famille d’adresses. Comparer une IPv6 à une IPv4 n’apporte rien.
Une différence peut indiquer une traduction en amont, mais aussi un montage avec plusieurs routeurs. Documentez la disposition des équipements avant de conclure. Un modem opérateur suivi de votre propre routeur peut produire un double NAT local.
Les pistes à discuter avec l’opérateur
Demandez si votre offre permet une IPv4 publique dédiée, si cette option est payante et si des ports sont filtrés. Une connexion IPv6 peut être une autre solution lorsque le service et les clients la prennent en charge ; le pare-feu doit alors être configuré avec soin.
Pour un usage personnel, un accès distant sortant ou un tunnel authentifié peut éviter une exposition directe. Ce choix a cependant ses propres contraintes de confiance et de maintenance. N’ouvrez pas l’interface d’administration d’un appareil simplement pour vérifier si une règle fonctionne.
Éviter les tests trompeurs
Effectuez le test depuis un autre réseau, par exemple le réseau mobile, plutôt que de supposer que la box accepte le retour vers sa propre adresse publique. Vérifiez aussi que le service écoute réellement et que le pare-feu de la machine autorise la connexion attendue. Le CGNAT n’explique pas toutes les pannes de port ouvert.