Chapitre 4 — NAT et PAT
Contexte
Matière : _Reseaux · Type : fiche de révision · Source : support PDF « Chapitre 4 - NAT - IPv6 », partie 1 (pas de notes de séance) Suite : Chapitre 4 — IPv6 Réviser : Révisions — NAT et IPv6 · Quiz — NAT et IPv6 · Résumé rendu : Résumé chapitre 4 — NAT et IPv6
1. Pourquoi le NAT ?
Le problème de départ : la pénurie d’adresses IPv4 publiques (32 bits, environ 4,3 milliards d’adresses).
Adresses IPv4 privées (RFC 1918)
Plage Préfixe 10.0.0.0 – 10.255.255.255 10.0.0.0/8 172.16.0.0 – 172.31.255.255 172.16.0.0/12 192.168.0.0 – 192.168.255.255 192.168.0.0/16 Elles ne sont pas routées sur Internet et peuvent être réutilisées dans n’importe quel réseau local.
NAT ( Network Address Translation)
Le routeur de bordure remplace l’adresse privée d’un paquet par une adresse publique avant de l’envoyer sur Internet, et fait l’inverse au retour.
Ce que ça apporte :
- économiser les adresses publiques : plusieurs machines privées sortent avec une seule IP publique (dans l’exemple du cours, 4 équipements derrière 1 adresse) ;
- prolonger la durée de vie d’IPv4 ;
- un peu de confidentialité / sécurité : les adresses internes sont masquées vers l’extérieur.
La règle qui ne change pas
Sur Internet, on ne communique qu’avec des adresses publiques. Les adresses privées ne sortent jamais telles quelles.
2. Ce que le NAT modifie
Un paquet = en-tête couche 3 (IP) + en-tête couche 4 (TCP/UDP, ports) + données.
| Modifie | |
|---|---|
| NAT | l’adresse IP seulement (couche 3) |
| PAT | l’adresse IP et le port (couches 3 et 4) |
3. Terminologie (le piège classique)
On nomme une adresse selon à qui elle appartient (interne ou externe) et où on la voit (local = vue de l’intérieur, global = vue de l’extérieur).
| Terme | Ce que c’est | Exemple du cours |
|---|---|---|
| Adresse locale interne (inside local) | adresse privée de l’hôte interne, vue dans le LAN | 192.168.10.10 |
| Adresse globale interne (inside global) | adresse publique donnée à l’hôte interne après traduction, vue depuis Internet | 209.165.200.226 |
| Adresse locale externe (outside local) | adresse de l’hôte externe telle que la voit l’hôte interne | 209.165.201.1 |
| Adresse globale externe (outside global) | adresse publique réelle de l’hôte externe | 209.165.201.1 |
Moyen mnémotechnique
Interne / externe = à qui appartient la machine. Local / global = de quel côté du routeur on regarde. En pratique, pour un serveur web sur Internet, locale externe = globale externe.
Exemple de table NAT de R2 :
| Inside Global | Inside Local | Outside Local | Outside Global |
|---|---|---|---|
| 209.165.200.226 | 192.168.10.10 | 209.165.201.1 | 209.165.201.1 |
4. Les 4 types de traduction
| Type | Principe | Sens | Usage |
|---|---|---|---|
| NAT statique | 1 IP privée ↔ 1 IP publique fixe, définie par l’admin | bidirectionnel | rendre un serveur interne joignable |
| NAT dynamique | IP privée → IP prise dans un pool d’adresses publiques, choisie par le routeur | sortant, puis retour tant que la traduction existe | plusieurs hôtes, autant d’IP publiques que de connexions simultanées |
| PAT dynamique (NAT overload) | tout le monde derrière 1 seule IP publique, différencié par le port | sortant seulement | le cas de la box Internet |
| PAT statique | IP publique + port ↔ IP privée + port fixes | entrant sur les ports choisis | n’ouvrir que certains ports vers un serveur |
4.1 NAT statique
- Table fixe, par exemple 10.2.2.33 ↔ 73.8.2.33.
- Entrant (Internet → serveur) : le routeur traduit l’adresse destination (73.8.2.33 → 10.2.2.33).
- Sortant (serveur → Internet) : il traduit l’adresse source (10.2.2.33 → 73.8.2.33).
- La connexion peut être ouverte des deux côtés : traduction bidirectionnelle.
- Il faut une IP publique par serveur (3 serveurs = 3 adresses : 73.8.2.33, .34, .35).
Tous les ports sont exposés
En NAT statique, tous les ports de l’IP publique mènent au serveur interne (HTTP, HTTPS, FTP, Telnet…), même ceux qu’on ne voulait pas ouvrir.
4.2 NAT dynamique
- L’admin définit un pool d’IP publiques (ex. 72.94.1.1 à 72.94.1.3 pour le réseau 10.66.6.0/24).
- Le routeur attribue automatiquement une adresse libre à chaque hôte qui sort ; on ne sait pas à l’avance laquelle.
- Tant que la traduction est active, la communication est bidirectionnelle (Internet peut répondre à 72.94.1.1 → 10.66.6.1).
- Quand un hôte termine, l’association est supprimée et l’adresse revient dans le pool pour un autre hôte.
Limite
Le pool est fini : avec 3 adresses, le 4e hôte attend qu’une adresse se libère.
4.3 PAT dynamique (NAT overload)
Toutes les machines sortent avec la même IP publique ; le routeur les distingue par le port source.
Exemple du cours, IP publique 32.8.2.66 :
| Hôte | IP:port source (privé) | IP:port après PAT | Destination |
|---|---|---|---|
| A | 10.6.6.61:2222 | 32.8.2.66:7777 | 28.2.4.6:80 |
| B | 10.6.6.62:3333 | 32.8.2.66:8888 | 28.2.4.6:80 |
| C | 10.6.6.63:3333 | 32.8.2.66:9999 | 28.2.4.7:80 |
Au retour, le routeur lit le port destination de la réponse dans sa table de traduction : 32.8.2.66:8888 → hôte B (10.6.6.62:3333).
Pourquoi réattribuer le port ?
B et C ont choisi le même port source (3333). Sans changement, les deux réponses arriveraient sur 32.8.2.66:3333 et le routeur ne saurait pas à qui les rendre (paquets rejetés, connexion perdue). Le routeur garde le port d’origine s’il est libre, sinon il prend le port suivant disponible. Environ 60 000 ports utilisables par adresse.
Un seul sens
Comme plusieurs hôtes partagent l’IP, une connexion ne peut pas être initiée depuis Internet : sans entrée dans la table, le routeur ne sait pas vers qui envoyer.
4.4 PAT statique (redirection de ports)
- Entrées fixes IP publique:port → IP privée:port :
- 73.8.2.44:80 → 10.4.4.41:8080 (serveur web HTTP)
- 73.8.2.44:443 → 10.4.4.42:443 (serveur HTTPS)
- Une seule IP publique peut servir plusieurs serveurs, chacun sur son port.
- Seuls les ports listés sont ouverts ; le reste (FTP 21, Telnet 23…) est bloqué → plus sécurisé que le NAT statique.
5. NAT vs PAT
| NAT | PAT | |
|---|---|---|
| Correspondance | un-à-un : 1 locale interne ↔ 1 globale interne | une globale pour plusieurs locales internes |
| Champs traduits | adresse IPv4 seulement | adresse IPv4 + port TCP/UDP source |
| Adresses publiques | une par hôte qui accède à l’extérieur | une seule partagée par tous |
| Exemple | 209.165.200.226 ↔ 192.168.10.10 | 209.165.200.226:2031 ↔ 192.168.10.10:2031 |
✅ À savoir faire pour l’examen
- Citer les 3 plages privées RFC 1918 avec leur préfixe.
- Donner les 2 objectifs du NAT (économiser l’IPv4, masquer l’interne).
- Placer correctement locale/globale × interne/externe sur un schéma.
- Distinguer les 4 types et dire lequel choisir pour un cas donné.
- Remplir une table PAT et expliquer la réattribution de port.
- Expliquer pourquoi le PAT dynamique ne marche que dans un sens.
🔗 Voir aussi
- Chapitre 4 — IPv6 : la vraie solution à la pénurie, avec la NAT comme rustine en attendant
- VLSM — Découpage en sous-réseaux