Redirection de ports et PAT

La forme la plus courante du NAT est le PAT (traduction d’adresse de port), également appelé surcharge de NAT. Il permet à des centaines d’appareils de partager une seule adresse IP publique en utilisant des numéros de port pour distinguer leurs conversations.

C’est exactement ce que fait votre routeur domestique : chaque appareil situé derrière lui accède à Internet par une seule adresse publique et se distingue uniquement par son port.

Chaque connexion TCP ou UDP possède un port source et un port destination. Le PAT attribue à chaque connexion interne un port source unique sur l’adresse publique, de sorte que chaque flux soit identifié de manière unique par la combinaison de l’IP publique et du port.

Lorsqu’une réponse arrive pour un port donné, le routeur consulte sa table pour déterminer à quel appareil et à quel port internes elle appartient, puis l’achemine correctement.

Le PAT tient à jour une table qui associe l’IP et le port de chaque appareil interne à une paire unique composée d’une IP et d’un port publics. Par exemple, deux PC qui utilisent tous deux le port 50000 en interne reçoivent des ports traduits différents à l’extérieur.

C’est cette association qui permet à une seule adresse publique de transporter des milliers de connexions simultanées sans les mélanger, puisque chaque flux possède son propre numéro de port externe unique.

Le PAT fonctionne très bien pour les connexions sortantes, lorsqu’un appareil interne commence la conversation. Mais qu’en est-il des connexions entrantes, lorsqu’une personne sur Internet veut joindre un serveur situé dans votre réseau ?

Le routeur ne possède aucune entrée de table pour une connexion entrante non sollicitée. Il ne sait donc pas à quel appareil interne l’envoyer et la supprime simplement. C’est là qu’intervient la redirection de port.

La redirection de port crée une règle manuelle : le trafic arrivant sur l’IP publique via un port précis est redirigé vers un appareil et un port internes choisis.

Par exemple, rediriger le port public 443 vers un serveur Web interne permet aux internautes d’accéder à ce serveur par votre unique adresse publique, même si le serveur possède une IP privée derrière le NAT.

La redirection de port sert à héberger des services derrière un NAT :

• Un serveur Web ou de jeu domestique accessible depuis Internet.
• L’accès à distance à un système de caméras de sécurité.
• Une application auto-hébergée accessible depuis l’extérieur.

Chaque règle associe un port externe à un appareil interne, créant une ouverture précise et contrôlée dans la limite du NAT.

Cette règle conceptuelle redirige du trafic Web externe vers un serveur interne. Remarquez comment le port public est associé à un appareil et à un port privés.

Pour un serveur qui doit être entièrement accessible, le NAT statique associe une IP publique à une IP privée, de manière permanente et univoque. Contrairement au PAT, le serveur interne utilise toujours la même adresse publique dédiée.

Cette solution convient aux serveurs qui nécessitent un accès entrant cohérent et prévisible sur de nombreux ports, lorsqu’une seule règle de redirection de port ne suffit pas.

Les règles de redirection ciblent généralement des ports connus associés à des services précis. La redirection du port 80 permet d’atteindre un serveur Web via HTTP, celle du port 443 via HTTPS et celle du port 25 un serveur de messagerie via SMTP.

Il est essentiel de savoir quel port correspond à quel service : un numéro de port incorrect envoie le trafic au mauvais endroit ou nulle part. Ne redirigez que les ports dont le service hébergé a réellement besoin.

Chaque règle de redirection de port perce un trou dans la limite de votre NAT et expose un appareil interne à Internet. Cet appareil devient directement attaquable : il doit donc être mis à jour, renforcé et, idéalement, protégé par un pare-feu.

N’ouvrez que les ports dont vous avez réellement besoin, limitez si possible les adresses sources et ne redirigez jamais de services sensibles comme RDP ou SSH vers Internet sans protection solide.

PAT permet à de nombreux appareils de partager une seule IP publique en attribuant à chaque flux un port unique, suivi dans une table de traduction, ce qui est idéal pour le trafic sortant. La redirection de port ajoute des règles manuelles afin que le trafic entrant atteigne un appareil interne choisi, tandis que le NAT statique réserve une IP publique à un serveur. Chaque ouverture constitue un risque de sécurité à gérer avec précaution.

Testez vos connaissances sur le PAT et la redirection.

PAT permet à de nombreux appareils de partager une seule IP publique grâce à des numéros de port uniques pour chaque flux, suivis dans une table de traduction, ce qui est idéal pour le trafic sortant. La redirection de port associe manuellement un port externe à un appareil interne pour permettre l’accès entrant, tandis que le NAT statique réserve une IP publique à un serveur. Chaque ouverture expose un appareil et doit être sécurisée.