Guides · Bases du réseau

Qu'est-ce que le CGNAT, et pourquoi ma redirection de ports ne marche pas ?

Écrit par Aldo · threat hunter en blue team
Dernière mise à jour le 9 novembre 2026 · 5 min de lecture

Vous avez configuré une redirection de ports pour un serveur de jeu, une caméra ou un serveur maison, exactement comme l'indiquait le tutoriel. De l'extérieur, rien ne se connecte. La box n'est pas en panne. Votre connexion n'a peut-être tout simplement pas d'adresse publique à elle.

Ce qu'est le CGNAT

Il n'y a pas assez d'adresses IPv4 pour chaque foyer et chaque téléphone. Votre box règle déjà ce problème chez vous : tous vos appareils partagent une adresse publique, et la box (grâce au NAT, la traduction d'adresses réseau) garde trace de l'appareil auquel appartient chaque échange.

Le CGNAT fait la même chose un niveau plus haut. Les équipements de votre fournisseur partagent une adresse publique entre de nombreux clients, et votre box reçoit à la place une adresse privée du fournisseur. Les connexions sortantes fonctionnent normalement : navigation, streaming et appels vont bien. Ce sont les connexions entrantes qui posent problème. Quand quelqu'un de l'extérieur se connecte à l'adresse publique partagée, le NAT du fournisseur ne sait pas lequel de ses clients est visé, et il abandonne la connexion. La redirection de ports sur votre box n'y peut rien, car la connexion n'atteint jamais votre box.

Les réseaux mobiles utilisent le CGNAT presque partout. Beaucoup de fournisseurs fibre et câble aussi, en particulier les plus récents et ceux qui offrent l'IPv6 natif avec l'IPv4 encapsulé via une passerelle partagée (une configuration appelée DS-Lite).

Un exemple concret : la plage d'adresses qui le trahit

Les fournisseurs numérotent généralement le côté client du CGNAT dans un bloc réservé exactement à cet usage, 100.64.0.0/10. Nous l'avons mis dans le calculateur de sous-réseau d'iplover :

D'où la règle pratique : si l'adresse internet de votre box commence par 100. et que le deuxième nombre est compris entre 64 et 127, vous êtes presque certainement derrière un CGNAT. Les adresses de 100.0 à 100.63 et à partir de 100.128 sont des adresses publiques ordinaires ; seul ce bloc du milieu est un espace partagé.

Vérifier votre connexion en deux minutes

1. Trouvez l'adresse internet de votre box. Ouvrez son interface d'administration (souvent 192.168.1.1 sur une Livebox, 192.168.1.254 sur une Freebox, ou 192.168.0.1 ; notre guide sur l'adresse du routeur explique comment la trouver) et cherchez « WAN », « Internet » ou « État de la connexion ».
2. Trouvez votre adresse publique. Ouvrez la page d'accueil d'iplover ; la grande adresse en haut est celle que voit internet.
3. Comparez-les.

Un deuxième indice est la route de sortie. Sous Windows, lancez tracert -d 8.8.8.8 ; sous macOS ou Linux, traceroute -n 8.8.8.8. Si le saut juste après votre box a une adresse entre 100.64 et 100.127, c'est en général le NAT du fournisseur. (Certains fournisseurs utilisent cette plage dans leur réseau pour d'autres raisons : prenez-le comme un indice, pas comme une preuve.)

Les moyens de le contourner

UPnP et les fonctions similaires d'ouverture automatique des ports ne parlent qu'à votre propre box : elles ne peuvent donc pas non plus traverser le NAT de votre fournisseur.

Ce que le CGNAT signifie pour votre adresse

Derrière un CGNAT, l'adresse publique que voient les sites est partagée au même moment avec d'autres clients. Cela a des effets secondaires : le mauvais comportement d'un client peut faire bloquer ou signaler l'adresse partagée, les sites peuvent vous montrer plus de captchas, et l'adresse affichée sur la page d'accueil d'iplover n'est « la vôtre » dans aucun sens durable. Cela signifie aussi qu'une adresse dans le log de quelqu'un ne peut pas être rattachée à un seul foyer sans les registres du fournisseur indiquant quel client a utilisé quel port à quelle seconde.