CGNAT : Tout comprendre sur le NAT de niveau opérateur et ses impacts

CGNAT (Carrier Grade NAT) est une technologie utilisée par les fournisseurs d'accès à Internet pour permettre à plusieurs abonnés de partager une seule adresse IPv4 publique. Pour la navigation, le streaming vidéo et l'utilisation de la plupart des applications, l'utilisateur ne remarque généralement aucune différence. Les difficultés apparaissent lorsqu'il s'agit de recevoir des connexions entrantes depuis Internet : ouvrir un port, héberger un serveur domestique, se connecter directement à un NAS ou mettre en ligne un serveur de jeu.

Qu'est-ce que le CGNAT et pourquoi les fournisseurs l'utilisent-ils ?

CGNAT signifie Carrier Grade NAT (NAT de niveau opérateur). Son principe est similaire au NAT classique d'un routeur domestique, mais il s'applique à un grand nombre d'abonnés du fournisseur, pas seulement à quelques appareils d'un foyer.

Dans un réseau domestique classique, l'ordinateur, le smartphone, la télévision et la console de jeux utilisent des adresses IP locales (par exemple 192.168.1.x). Le routeur regroupe ce trafic et l'envoie sur Internet via une unique adresse IPv4 publique. Tous les appareils apparaissent comme un seul utilisateur du réseau extérieur.

Différences entre Carrier Grade NAT et NAT classique

Avec un NAT ordinaire, l'adresse IPv4 publique est directement assignée à la connexion de l'utilisateur. Le routeur reçoit cette adresse du fournisseur et gère lui-même le routage du trafic entrant et sortant.

Le CGNAT ajoute un niveau de traduction supplémentaire. Le routeur domestique reçoit une adresse interne du réseau opérateur et non pas une vraie adresse publique. L'infrastructure du fournisseur mutualise le trafic de dizaines, voire de centaines de clients, et le fait transiter par une seule adresse IPv4 publique partagée.

Cela crée un schéma à deux niveaux : d'abord le NAT du routeur, puis un second NAT chez l'opérateur. L'utilisateur contrôle le premier niveau mais n'a aucun accès au second.

Pour les connexions sortantes, le CGNAT est transparent. Lorsqu'un utilisateur ouvre un site ou une application, la connexion part du réseau domestique vers l'extérieur : l'infrastructure du fournisseur enregistre la demande et sait renvoyer la réponse au bon abonné.

Pour les connexions entrantes, c'est différent. Si quelqu'un essaie de se connecter à l'adresse IP du CGNAT depuis Internet, l'équipement de l'opérateur doit déterminer à quel abonné le trafic est destiné. L'utilisateur n'a aucun moyen de configurer cela du côté du fournisseur.

Pourquoi les FAI recourent-ils au CGNAT ?

La principale raison est la pénurie d'adresses IPv4. L'espace d'adressage IPv4 (32 bits) est limité à environ 4,3 milliards d'adresses uniques. Une partie de ces adresses est réservée, et la majorité sont déjà attribuées à des organisations et opérateurs. Or, le nombre d'appareils connectés ne cesse de croître, rendant complexe ou coûteux l'attribution d'une adresse IPv4 publique à chaque client.

CGNAT permet à de nombreux abonnés de partager une seule adresse publique. L'opérateur différencie les clients non seulement par leur IP mais aussi par les ports TCP et UDP, créant une entrée distincte pour chaque connexion active.

C'est donc un moyen pour économiser les adresses IPv4 et continuer à raccorder de nouveaux clients sans fournir à chacun une adresse dédiée. Pour la majorité des utilisateurs, cela n'altère pas leur expérience, sauf lorsqu'ils ont besoin de recevoir des connexions externes.

La solution pérenne serait IPv6, qui offre un espace d'adressage bien plus vaste. Mais comme IPv4 reste massivement utilisé, CGNAT reste incontournable dans l'infrastructure de nombreux opérateurs.

Comment fonctionne le CGNAT ?

Le chemin d'une connexion classique

Dans un réseau sans CGNAT, le schéma est simple :

• appareil → routeur domestique → Internet

L'appareil peut avoir l'adresse locale 192.168.1.10, le routeur utilise une IPv4 publique (ex : 203.0.113.25). Lorsqu'une page web est ouverte, le routeur remplace l'adresse locale par la sienne et mémorise à quel appareil transmettre la réponse.

Le chemin avec CGNAT

• appareil → routeur domestique → réseau du FAI → CGNAT → Internet

Le routeur fait d'abord une première traduction d'adresse, puis le paquet entre dans le réseau de l'opérateur, qui effectue une seconde traduction : l'adresse interne de l'abonné est remplacée par l'adresse IPv4 publique partagée utilisée par plusieurs clients.

Par exemple, le routeur reçoit l'adresse 100.70.15.24 de la part du fournisseur, mais les sites sur Internet voient une toute autre IPv4, celle attribuée par le CGNAT de l'opérateur.

L'équipement du fournisseur tient à jour une table des connexions actives, associant chaque IP interne et port à une adresse et un port externes. Grâce à cela, la réponse du site rejoint bien l'abonné à l'origine de la requête.

Tant que la connexion est initiée depuis le réseau domestique, ce mécanisme est invisible. Mais dès qu'une connexion est tentée depuis l'extérieur, si aucune entrée n'existe dans la table du CGNAT, le routeur de l'opérateur ne sait pas à quel client transmettre le paquet entrant.

IP " grise " et " blanche " avec CGNAT

Une adresse IP publique (" blanche ") est accessible depuis l'Internet mondial et identifie sans ambiguïté la connexion. Si le routeur domestique dispose d'une telle adresse, l'utilisateur peut gérer lui-même les règles de connexion entrante.

Une adresse " grise " désigne une adresse réservée à l'usage interne du réseau local ou de l'infrastructure du FAI, non routable sur Internet.

Le CGNAT utilise une plage dédiée : 100.64.0.0 - 100.127.255.255 (soit 100.64.0.0/10), réservée au partage d'adresses entre opérateurs.

Si l'interface WAN du routeur reçoit une adresse du type 100.72.18.5, elle n'est pas utilisable pour une connexion directe depuis Internet. L'utilisateur sera vu sous une autre IPv4 publique, celle du CGNAT de l'opérateur.

Certains FAI utilisent aussi des plages privées classiques : 10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16. La présence d'une adresse interne sur l'interface WAN indique en général un NAT supplémentaire au-dessus du routeur, sans que ce soit nécessairement un Carrier Grade NAT.

Un signe révélateur est la différence entre l'adresse WAN affichée dans le routeur et l'adresse IP visible sur les sites de détection IP. Dans ce cas, l'adresse publique se trouve en amont sur le réseau du fournisseur.

Le CGNAT repose sur les mêmes principes de traduction d'adresse qu'un NAT domestique, mais à l'échelle de l'opérateur et pour de nombreux clients. Pour en savoir plus sur cette technologie, consultez NAT : comprendre ses impacts sur les jeux, le P2P et le chat vocal.

Pourquoi le CGNAT bloque le port forwarding, les jeux et les serveurs maison ?

La principale limite du CGNAT concerne les connexions entrantes. Tant que l'utilisateur initie la connexion vers un site ou un service, le CGNAT peut renvoyer la réponse. Mais si une connexion est tentée depuis Internet vers l'utilisateur, le CGNAT ne sait pas où transmettre le trafic.

Ce problème survient notamment pour :

• le port forwarding,
• le fonctionnement du P2P,
• l'hébergement de serveurs domestiques,
• certains jeux multijoueurs.

Pourquoi le port forwarding sur le routeur ne suffit-il pas ?

Avec une IPv4 publique, l'utilisateur peut ouvrir un port sur son routeur et définir vers quel appareil interne rediriger le trafic entrant. Par exemple, ouvrir le port 25565 pour un serveur Minecraft ou 443 pour un service web personnel. Si l'IP publique est directement attribuée au routeur, la requête Internet l'atteint et la règle de port forwarding fonctionne.

Avec le CGNAT, la redirection ne fonctionne que dans le réseau de l'utilisateur. Le paquet entrant n'atteint même pas le routeur domestique : il s'arrête à l'IPv4 publique partagée du fournisseur. L'utilisateur ne peut configurer aucune règle sur le CGNAT de l'opérateur.

Résultat : même un port forwarding parfaitement configuré sur le routeur reste inefficace. L'utilisateur ne contrôle que le premier NAT, le second étant géré par le fournisseur. Les tests de ports ouverts indiquent souvent que le port est fermé, même si le pare-feu local est bien configuré et le service lancé.

CGNAT : conséquences sur les jeux en ligne et le P2P

De nombreux jeux modernes reposent sur des serveurs centraux : dans ce cas, CGNAT ne gêne pas la connexion aux matchs, le téléchargement des mises à jour ou le jeu sur les serveurs officiels.

Les soucis apparaissent principalement dans les jeux ou applications nécessitant une connexion directe entre appareils : P2P, anciens jeux multijoueurs, chats vocaux, ou lorsqu'un joueur héberge la partie. On peut alors rencontrer des messages comme Strict NAT, NAT Type 3 ou Closed NAT, selon la plateforme ou le jeu : l'appareil est difficilement accessible pour les connexions entrantes directes.

Ce n'est pas forcément bloquant : de nombreux services utilisent le NAT traversal, des serveurs relais ou une infrastructure dédiée pour établir la connexion malgré le NAT. Mais si les deux joueurs sont derrière un CGNAT strict, la connexion P2P directe devient impossible, le trafic passant alors par un serveur relais, ce qui peut augmenter la latence ou limiter certaines fonctionnalités.

CGNAT et hébergement de serveurs à la maison

Les restrictions les plus visibles concernent l'hébergement de services à domicile : serveur Minecraft, site web, NAS, vidéosurveillance, FTP, bureau à distance, etc. Même si l'on configure la redirection de port vers l'adresse locale (par exemple 192.168.1.20 pour un NAS), tout fonctionne en réseau interne, mais la connexion échoue depuis l'extérieur via l'IP publique du fournisseur.

La raison : la requête est bloquée avant d'atteindre le routeur, stoppée au niveau du CGNAT. Ce blocage se remarque notamment lors de l'hébergement d'un NAS à la maison. Pour découvrir le fonctionnement et l'intérêt du NAS, consultez NAS domestique : l'alternative idéale à Google Drive et au cloud.

Le CGNAT ne rend pas impossible l'usage d'un serveur maison mais bloque l'accès classique via IPv4 publique et port forwarding. Pour accéder depuis l'extérieur, il faut recourir à d'autres solutions : demander une IP publique à son FAI, utiliser IPv6 ou mettre en place un tunnel via un serveur externe.

Comment savoir si vous êtes derrière un CGNAT ?

Comparer l'IP WAN du routeur et l'adresse IP publique

Le moyen le plus simple est de comparer l'adresse WAN obtenue par le routeur auprès du fournisseur, avec celle détectée par un service en ligne d'affichage d'IP publique.

Si les deux adresses coïncident, il n'y a probablement pas de NAT supplémentaire chez le fournisseur, et vous disposez d'une IPv4 publique.

Si elles diffèrent, le trafic passe par un niveau de traduction supplémentaire, signe probable d'un CGNAT.

Exemple :

• IP WAN du routeur : 100.72.18.5
• IP publique sur Internet : 198.51.100.42

Ce décalage indique que le routeur ne possède pas l'adresse publique en direct : le matériel opérateur assure la traduction avant la sortie sur Internet.

Ce constat n'est pas une preuve absolue de CGNAT, car le fournisseur peut utiliser d'autres schémas NAT. Il faut également regarder la plage d'adresse du WAN :

• 100.64.0.0/10 (100.64.0.0 à 100.127.255.255) : plage réservée au CGNAT ;
• 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 : plages privées classiques.

Si l'adresse WAN appartient à l'une de ces plages et diffère de l'IP publique, que le port forwarding ne fonctionne pas, vous êtes probablement derrière un CGNAT.

Autre option : contacter le support client de votre FAI pour savoir si une IPv4 publique est fournie ou si votre connexion passe par un Carrier Grade NAT, surtout en cas de configuration réseau atypique.

Vérifier la présence du CGNAT est pertinent si le port forwarding ne fonctionne pas, si la connexion à un serveur maison échoue ou si un jeu indique un NAT strict. Si l'IPv4 publique est du côté du fournisseur, changer la configuration du routeur ne résoudra rien : la limitation est en amont.

Comment contourner le CGNAT et accéder à son réseau domestique ?

Le CGNAT ne peut pas être désactivé depuis le routeur domestique, car la traduction se fait sur le matériel du FAI. Si un accès direct est nécessaire, il faut agir côté fournisseur ou utiliser une autre méthode de connexion.

Demander une IPv4 publique à votre fournisseur

La solution la plus directe consiste à demander à votre FAI l'attribution d'une adresse IPv4 publique. Selon les opérateurs, ce service peut s'appeler " IP blanche ", " IP externe ", " IPv4 publique " ou " IP statique ".

Quand une IP publique est attribuée, le CGNAT n'est plus utilisé pour la connexion, et l'IP WAN du routeur devient accessible. Le port forwarding redevient alors efficace.

Une adresse statique est préférable si le serveur doit rester disponible sous la même IP. Une IPv4 dynamique fonctionne aussi mais peut changer : dans ce cas, on utilise souvent le DDNS pour associer un nom de domaine à l'adresse actuelle du routeur.

Avant de souscrire, vérifiez bien que l'IP attribuée est réellement publique. La mention " adresse statique " ne garantit pas toujours une vraie adresse publique accessible depuis Internet.

Utiliser IPv6

Autre alternative : l'IPv6. Ce protocole offre un espace d'adressage si vaste que le CGNAT devient inutile. Si votre FAI propose de l'IPv6 natif, votre appareil peut recevoir une adresse globale et accepter des connexions entrantes sans passer par le port forwarding IPv4 classique.

Attention toutefois, ouvrir un accès global n'est pas sans risque : le routeur dispose généralement d'un pare-feu qui bloque par défaut les connexions entrantes. Il faudra créer une règle spécifique pour autoriser l'accès au serveur.

À noter également : le client qui se connecte doit aussi pouvoir utiliser IPv6, ce qui n'est pas toujours le cas. L'IPv6 ne remplace donc pas toujours totalement l'IPv4 publique.

Pour explorer les différences entre IPv4 et IPv6, consultez IPv4 vs IPv6 : comprendre les différences et l'évolution de l'Internet.

Tunnels et serveurs intermédiaires

Si obtenir une IP publique est impossible, vous pouvez établir une connexion sortante depuis votre réseau domestique vers un serveur disposant d'une IP externe. Comme le CGNAT ne bloque pas les connexions initiées de l'intérieur, ce canal reste ouvert et permet l'accès inverse.

Un exemple : un VPS avec une IP publique. Le serveur domestique établit un tunnel permanent vers ce VPS : les connexions entrantes arrivent d'abord sur le serveur externe puis sont redirigées via le tunnel vers le réseau domestique.

Des solutions similaires existent avec le reverse tunnel et des services d'accès distant spécialisés. Le principe reste le même : la connexion est créée de l'intérieur, évitant ainsi d'ouvrir un port sur le CGNAT opérateur.

Ce procédé est adapté pour les NAS, serveurs de jeu, interfaces d'administration, domotique ou contrôle à distance. Le CGNAT ne disparaît pas, mais le trafic passe par une solution de contournement via un relais accessible.

En résumé : si votre FAI propose une IPv4 publique à faible coût, c'est la solution la plus simple. Si IPv6 natif est disponible, il peut souvent suffire pour les usages modernes. Sinon, le tunnel via un serveur externe reste une alternative efficace.

Conclusion

CGNAT permet aux fournisseurs d'accès d'économiser les adresses IPv4 en les mutualisant entre plusieurs abonnés. Pour la navigation, le streaming ou la majorité des applications, cette solution est transparente, car la connexion part du réseau domestique et le fournisseur renvoie la réponse au bon destinataire.

Les limitations se font sentir dès que des connexions entrantes sont nécessaires. Le NAT supplémentaire côté opérateur bloque le port forwarding classique et empêche certains services P2P, jeux ou serveurs maison d'être accessibles directement depuis Internet.

Pour héberger un NAS, un serveur de jeu ou tout autre service à domicile, commencez par vérifier l'adresse WAN de votre routeur et comparez-la à votre IP publique. Si le CGNAT est confirmé, la solution la plus directe consiste à demander une IPv4 publique à votre FAI. L'alternative peut être l'IPv6, ou, à défaut, le passage par un tunnel via un serveur externe.

Le CGNAT n'est pas un dysfonctionnement de l'Internet, mais un compromis pour gérer la pénurie d'IPv4. Il limite toutefois les possibilités des utilisateurs ayant besoin d'un accès entrant complet à leur réseau domestique.