Votre routeur et le NAT

Recherchez votre propre adresse IP publique, et chaque appareil de votre réseau domestique, téléphone, ordinateur portable, enceinte connectée, affichera le même numéro. Regardez ce que chaque appareil pense être sa propre adresse, et vous trouverez quelque chose de différent : une adresse privée comme 192.168.1.12, tirée des plages que la RFC 1918 réserve aux réseaux locaux, traitées dans la première leçon de ce cours. L’appareil qui fait le pont entre les deux est votre routeur, à l’aide d’une technique appelée traduction d’adresse réseau, ou NAT.

Ce que fait réellement le NAT

Le glossaire de MDN le définit simplement : le NAT « est une technique permettant à plusieurs ordinateurs de partager une adresse IP », en « attribuant des adresses uniques à chaque ordinateur du réseau local et en ajustant le trafic réseau pour envoyer les données au bon endroit ». Concrètement, quand votre ordinateur portable ouvre une connexion vers un site web, le routeur réécrit le paquet sortant afin qu’il semble provenir de la propre adresse publique du routeur, et conserve une table reliant cette connexion à l’adresse privée et au port de votre ordinateur portable. Quand la réponse arrive, le routeur la recherche dans cette table et la transmet au bon appareil.

C’est la raison d’être du NAT : les quelque 4,3 milliards d’adresses d’IPv4 n’allaient jamais suffire à fournir une adresse publique à chaque téléphone, ordinateur portable et objet connecté de chaque foyer, et les fournisseurs d’accès à Internet n’accordent généralement qu’une seule adresse publique par foyer. Le NAT permet à un foyer d’une douzaine d’appareils de partager cette adresse unique sans que chacun ait besoin de la sienne.

Ce que le NAT fait pour vous, accessoirement

Le NAT a été conçu pour résoudre une pénurie d’adresses, pas pour sécuriser votre réseau, mais il a un effet secondaire utile. Comme les appareils derrière lui n’ont que des adresses privées, un ordinateur sur l’Internet ouvert ne peut pas simplement ouvrir une nouvelle connexion non sollicitée vers votre ordinateur portable comme il le pourrait si celui-ci détenait directement une adresse publique : il n’existe aucune adresse publique à atteindre, et le routeur n’a aucune entrée correspondante dans sa table de traduction vers laquelle transmettre cette connexion. Le trafic que votre propre appareil a demandé est autorisé à revenir car le routeur se souvient de la requête ; le trafic que personne n’a demandé n’a généralement nulle part où aller.

Ce que le NAT ne fait pas

Ce filtrage accessoire n’est pas la même chose que la sécurité, et il vaut la peine d’être précis sur la différence :

• Le NAT ne fait rien pour les connexions que vos propres appareils ouvrent vers l’extérieur. Si une appli sur votre ordinateur portable se connecte à un serveur, le NAT laisse volontiers la réponse revenir ; il n’a aucun avis sur le fait que cette appli aurait dû ou non parler à ce serveur au départ.
• Le NAT n’inspecte ni ne chiffre le contenu. Tout ce qui est envoyé en clair reste aussi lisible pour les sites et réseaux intermédiaires qu’il le serait sans NAT.
• Le NAT ne remplace pas un pare-feu. De nombreux routeurs font tourner un pare-feu à état en parallèle du NAT, et c’est ce pare-feu, en suivant la négociation décrite dans la leçon précédente, qui fait le vrai travail de décider ce qu’il faut autoriser.
• Des appareils partageant une adresse publique peuvent quand même être distingués individuellement par d’autres moyens, comme les comptes, les cookies ou les identifiants d’appareil utilisés par les sites qu’ils visitent.

En bref : le NAT explique pourquoi tout votre foyer partage une seule adresse, et, comme effet secondaire, pourquoi des connexions entrantes aléatoires ne peuvent généralement pas atteindre un appareil précis de votre maison sans y être invitées. Il ne dit rien de ce que vos propres appareils choisissent d’envoyer vers l’extérieur, ni de quiconque se trouve en aval de vos propres connexions sortantes.