Pourquoi traduire des adresses ?
Les adresses IPv4 publiques sont rares, alors qu’une entreprise ou un foyer compte des dizaines d’équipements. Ces équipements reçoivent donc des adresses privées (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), réutilisables partout mais non routées sur Internet. Pour qu’ils puissent malgré tout dialoguer avec Internet, le routeur de sortie (box, pare-feu) remplace dans chaque paquet l’adresse privée par une adresse publique, et fait l’opération inverse sur les réponses : c’est la traduction d’adresses, ou NAT (Network Address Translation).
Pour savoir à quel poste rendre chaque réponse, le routeur tient une table de traduction.
NAT statique : une adresse pour une adresse
Chaque adresse interne est associée en permanence à sa propre adresse publique. La traduction fonctionne dans les deux sens : la machine interne peut sortir, et elle est joignable depuis Internet à son adresse publique.
| Adresse interne | Adresse publique associée |
|---|---|
| 10.0.0.10 | 203.0.113.10 |
| 10.0.0.11 | 203.0.113.11 |
Il faut autant d’adresses publiques que de machines concernées : on le réserve à quelques serveurs qui doivent être joignables, par exemple en DMZ.
NAT dynamique et PAT : une adresse pour tous
Le plus souvent, toutes les machines du réseau partagent une seule adresse publique. Pour distinguer leurs connexions, le routeur traduit aussi le port source : c’est le PAT (Port Address Translation), appelé aussi masquerading sous Linux ou NAT overload chez Cisco. C’est ce que fait la box d’un foyer.
| Adresse et port internes | Adresse et port après traduction | Protocole |
|---|---|---|
| 192.168.1.20 : 51000 | 203.0.113.80 : 40001 | TCP |
| 192.168.1.20 : 51001 | 203.0.113.80 : 40002 | TCP |
| 192.168.1.35 : 51000 | 203.0.113.80 : 40003 | TCP |
Quand une réponse revient vers 203.0.113.80 : 40003, la table indique au routeur qu’elle est destinée à 192.168.1.35 : 51000.
La redirection de port
Pour publier un service interne, on ajoute une règle permanente (DNAT) : tout ce qui arrive sur un port de l’adresse publique est envoyé vers une machine et un port internes.
| Arrive sur | Redirigé vers | Protocole |
|---|---|---|
| 203.0.113.80 : 443 | 192.168.1.50 : 443 | TCP |
| 203.0.113.80 : 8080 | 192.168.1.51 : 80 | TCP |
Seule l’adresse de destination est traduite : le serveur interne voit l’adresse publique du client comme adresse source.
Et en IPv6 ?
IPv6 dispose d’assez d’adresses pour que chaque équipement ait une adresse publique : le NAT n’y est pas nécessaire et l’IETF le déconseille. La protection repose alors entièrement sur le pare-feu, qui doit bloquer par défaut les connexions entrantes non sollicitées, comme le faisait implicitement le NAT.
© 2026 Bruno Jousseaume. Ce cours est publié sous licence CC BY-NC-SA 4.0 : vous pouvez le partager et l’adapter en citant l’auteur et un lien vers cette page, sans usage commercial, et en partageant vos adaptations sous la même licence.