NAT : comment fonctionne la traduction d'adresses et pourquoi les connexions entrantes échouent

Ce que c'est

La RFC 3022 décrit le NAT traditionnel : un routeur disposant d'une ou de quelques adresses publiques réécrit l'adresse source (basic NAT) ou l'adresse source et le port (NAPT) des paquets quittant un réseau privé, et enregistre la correspondance dans une table de session ; les réponses correspondant à la table sont réécrites en sens inverse et transmises vers l'intérieur. L'entrée de table est créée par le premier paquet sortant. Un paquet entrant sans entrée correspondante n'a pas de destination privée vers laquelle aller et est abandonné. La RFC 4787 classe le comportement des NAT selon deux axes : le comportement de correspondance (le même port interne obtient-il le même port externe pour chaque destination, « Endpoint-Independent Mapping ») et le comportement de filtrage (quels émetteurs externes peuvent utiliser une correspondance existante). Elle exige aussi que les correspondances UDP survivent au moins deux minutes d'inactivité ; la RFC 5382 exige au moins 2 heures 4 minutes pour les connexions TCP établies. La RFC 6598 réserve 100.64.0.0/10 au NAT à grande échelle, une seconde traduction à l'intérieur du réseau du fournisseur.

Pourquoi c'est important

Toute question du type « le serveur n'arrive pas à joindre ma machine » relève de ce mécanisme. Les webhooks, les appels pair-à-pair, l'assistance à distance et l'hébergement d'un service à domicile ont tous besoin d'une voie entrante que le NAT ne crée pas de lui-même. L'expiration des correspondances inactives explique des connexions de longue durée qui meurent pendant la nuit, et le filtrage dépendant de l'adresse explique pourquoi une technique qui fonctionne derrière un routeur échoue derrière un autre.

Comment l'appliquer

• Pour un service qui doit être joignable, créer une correspondance statique (redirection de port) sur le NAT, ou utiliser IPv6, qui ne nécessite aucune traduction, sous réserve du pare-feu.
• Derrière un NAT non configurable (grande échelle, entreprise, mobile), utiliser une connexion sortante vers un relais : un tunnel inversé (ssh -R), un serveur TURN (RFC 8656) ou un intermédiaire que le service interroge.
• Pour le trafic pair-à-pair, utiliser le hole punching (la RFC 5128 passe la technique en revue) avec un relais de repli, car son fonctionnement dépend du comportement de correspondance et de filtrage des deux NAT.
• Envoyer du trafic de maintien de connexion plus fréquemment que le délai d'inactivité le plus court du chemin ; des équipements qui expirent les correspondances UDP plus tôt que le minimum de la RFC sont couramment signalés, il convient donc de mesurer plutôt que de supposer.

Pièges

Un NAT qui ne prend pas en charge le hairpinning (RFC 4787) empêche deux hôtes du même réseau privé de se joindre l'un l'autre par l'adresse publique. Les protocoles qui transportent des adresses dans leur charge utile (SIP, FTP) nécessitent des passerelles applicatives ou une négociation de type ICE. Un double NAT casse la redirection de port sur le routeur interne, car le routeur externe n'a aucune correspondance.