SNAT : Source NAT
Réseau
SNAT : Source NAT. « Traduction d'adresse source », par analogie avec le standard d'une entreprise qui fait sortir tous les appels sous le même numéro, quel que soit le poste qui compose.
Principe : Le routeur ou le pare-feu réécrit l'adresse IP source des paquets sortants, souvent avec le port (on parle alors de PAT), et garde la correspondance dans sa table de connexions pour traduire les réponses en sens inverse.
Variantes : Sous Linux, netfilter applique le SNAT après le routage ; la variante masquerade prend automatiquement l'adresse de l'interface de sortie, pratique quand elle change. À l'échelle d'un opérateur, le CGNAT fait la même chose pour des milliers d'abonnés.
Pas un pare-feu : Le SNAT masque la topologie interne mais ne filtre rien en soi ; le blocage des connexions entrantes vient du suivi d'état qui l'accompagne. Confondre traduction d'adresse et sécurité est une tradition du métier, pieusement transmise de génération en génération.
Journalisation : Derrière une adresse partagée, retrouver l'auteur d'une connexion exige d'avoir journalisé les traductions avec l'horodatage et les ports.
Ce qui arrive si on s'en passe
Sans journalisation des traductions, horodatage et ports compris, une adresse partagée par tout un réseau ne désigne plus personne : lors d'un incident ou d'une réquisition, il devient impossible de dire quel poste interne a ouvert telle connexion. Confondre SNAT et pare-feu a un coût plus direct : la traduction masque la topologie mais ne filtre rien, c'est le suivi d'état qui bloque les connexions entrantes. Retirer ce dernier en croyant garder la protection, c'est découvrir que l'anonymat n'a jamais fait office de serrure. Tout le monde sort sous le même numéro, ce qui est très commode jusqu'au jour où il faut savoir qui a appelé.
Explication de la marmotte
À la maison, tous les appareils partagent une seule adresse visible sur Internet : celle de la box. Quand un téléphone envoie une demande à un site, la box remplace l'adresse du téléphone par la sienne avant de l'expédier, et note qui a demandé quoi. Quand la réponse revient, elle consulte sa note et la redonne au bon appareil. C'est comme un immeuble où tout le courrier sort avec l'adresse de la loge du gardien, qui redistribue ensuite les réponses dans les bonnes boîtes aux lettres.
Où ce terme est utilisé
- NAT, translations et publication de services (3 occurrences)