CGNAT : Carrier-Grade NAT
Réseau
CGNAT : Carrier-Grade NAT. « Traduction d'adresses de classe opérateur », par analogie avec un immeuble entier qui partage une seule boîte aux lettres, le gardien triant ensuite le courrier par numéro d'appartement.
Principe : L'opérateur place un NAT dans son propre réseau et fait partager une même adresse IPv4 publique à de nombreux abonnés, chacun sur une plage de ports. Double traduction fréquente : celle de la box, puis celle de l'opérateur.
Espace partagé : Entre la box et l'équipement de l'opérateur circulent des adresses d'une plage réservée à cet usage, 100.64.0.0/10, distincte des plages privées habituelles.
Conséquences : Impossible de publier un service entrant ou d'ouvrir un port sans l'aide de l'opérateur ; les protocoles pair à pair doivent recourir à STUN, TURN ou ICE. L'adresse IPv4, ressource épuisée, est ainsi devenue une colocation, avec les joies ordinaires de la colocation.
Traçabilité : Une adresse publique ne désigne plus un abonné : identifier l'auteur d'une connexion exige l'adresse, le port source et l'horodatage précis, recoupés avec les journaux de l'opérateur.
Ce qui arrive si on s'en passe
Derrière un NAT d'opérateur, une adresse IPv4 publique ne désigne plus un abonné mais une colocation entière. Un journal de serveur qui ne conserve que l'adresse source, sans le port source ni un horodatage précis, devient inexploitable après un incident : impossible de distinguer l'auteur d'une connexion de ses nombreux voisins de palier, et l'opérateur n'a rien à recouper. Un blocage par adresse décidé contre un seul abonné indélicat frappe au passage tous ceux qui partagent la même boîte aux lettres. Ignorer le mécanisme, c'est aussi s'étonner qu'aucun service ne soit joignable de l'extérieur et accuser la box, qui pour une fois n'y est pour rien.
Explication de la marmotte
Chaque appareil connecté à Internet a besoin d'une adresse, comme une maison a besoin d'une adresse postale. Mais les adresses de l'ancien système sont presque toutes distribuées. Alors les fournisseurs d'accès font partager une même adresse à beaucoup de clients à la fois, comme un grand immeuble avec une seule adresse sur la rue. Un gardien note qui a envoyé quoi pour rendre les réponses au bon appartement. Pour naviguer, cela fonctionne très bien. En revanche, quelqu'un de l'extérieur ne peut pas venir frapper directement chez un client précis.
Où ce terme est utilisé
- NAT, translations et publication de services (6 occurrences)
- IPv4, CIDR et plans d’adressage (3 occurrences)
- L'adressage IP en une page (2 occurrences)