🔄 NAT – Translation d'Adresse (PAT, DNAT & iptables)

Pour que le NAT fonctionne, l'IETF a réservé (dans le RFC 1918) des plages d'adresses spécifiques pour un usage privé (LAN). Ces adresses sont non-routables sur l'Internet public.

Adresse Spéciale (Loopback & APIPA)

• Loopback (127.0.0.1) : "localhost". Fait référence à votre propre machine.
• APIPA (169.254.0.0/16) : Adresse d'auto-assignation si un appareil ne parvient pas à contacter un serveur DHCP.

Une Adresse IP Publique est une adresse qui n'est pas dans les plages RFC 1918. Elle est :

• Unique au monde (à un instant T).
• Routable sur l'Internet global.
• Assignée par votre FAI (ISP), qui la loue lui-même à un RIR (ex: RIPE en Europe).

Statique vs. Dynamique

• Dynamique : (Particuliers) Le FAI vous assigne une IP (souvent via DHCP) qui peut changer (ex: à chaque redémarrage de la box).
• Statique (Fixe) : (Entreprises) Le FAI vous garantit une IP qui ne change jamais. C'est obligatoire pour héberger un serveur (Web, Email, VPN) car les enregistrements DNS doivent pointer vers une adresse stable.

Le NAT Statique crée un mappage permanent (1-to-1) entre une adresse IP publique et une adresse IP privée.

Usage : Hébergement de Serveurs

Utilisé lorsque vous possédez un "bloc" d'IP publiques de votre FAI et que vous souhaitez dédier une IP publique à un serveur interne (ex: serveur de messagerie).

Table de NAT Statique (Exemple)

Le firewall translate automatiquement tout le trafic (tous les ports) à destination de 80.1.2.100 vers 172.16.1.10.

C'est différent du Port Forwarding (DNAT), qui mappe des *ports* spécifiques d'une seule IP publique.

(Historique / Moins courant) Le NAT Dynamique mappe un pool d'IP privées à un pool (plus petit) d'IP publiques.

Fonctionnement (Premier arrivé, premier servi)

• Pool Privé : 192.168.1.0/24 (254 utilisateurs)
• Pool Public : 80.1.2.100 à 80.1.2.150 (51 IP)

1. User 1 (192.168.1.10) se connecte. Le routeur lui assigne 80.1.2.100.
2. User 2 (192.168.1.11) se connecte. Le routeur lui assigne 80.1.2.101.
3. ...
4. User 52 (192.168.1.61) se connecte. Le routeur n'a plus d'IP publique disponible.
5. User 52 est bloqué (ne peut pas accéder à Internet).

Ce type de NAT n'est plus utilisé car il est inefficace. Il a été remplacé par le PAT (NAT Overload).

PAT (Port Address Translation) ou NAPT (Network Address Port Translation), aussi appelé NAT Overload ou Masquerading, est le type de NAT utilisé par 99% des réseaux (y compris votre Box Internet).

Il permet à plusieurs (Many) IP privées (ex: 65 000) de partager une seule (One) IP publique.

Le Secret : Les Ports (Couche 4)

Le routeur ne se contente pas de translater l'IP (L3), il translate aussi le Port Source (L4) pour suivre les connexions (sessions).

Exemple de Flux

IP Publique du Routeur : 80.1.2.3

--- 1. Requête de PC A ---
De: 192.168.1.50:12345 (Port Source aléatoire)
Vers: Google (8.8.8.8):443

--- 2. Requête de PC B ---
De: 192.168.1.60:54321
Vers: Netflix (52.1.2.3):443

--- 3. Le Routeur (NAT) réécrit et envoie ---
Paquet A:
  De: 80.1.2.3:60001 (Nouveau Port Source)
  Vers: 8.8.8.8:443
Paquet B:
  De: 80.1.2.3:60002 (Nouveau Port Source)
  Vers: 52.1.2.3:443

--- 4. Quand Google répond à 80.1.2.3:60001 ---
Le routeur consulte sa table (voir 3.1) et sait
qu'il doit renvoyer le paquet à 192.168.1.50:12345.

Le PAT (NAT Overload) (voir 2.3) fonctionne car le routeur est Stateful : il mémorise chaque session sortante dans une Table d'état NAT (ou "State Table").

Exemple de Table d'État (Simplifiée)

Flux (Entrant)

1. Un paquet arrive sur le routeur (WAN).
2. Source : 8.8.8.8:443, Destination : 80.1.2.3:60001
3. Le routeur consulte sa table d'état.
4. Match ! Il sait que 80.1.2.3:60001 correspond à 192.168.1.50:12345.
5. Il réécrit l'IP/Port de destination et envoie le paquet sur le LAN.

Si un paquet arrive sur le port 80.1.2.3:55555 (non sollicité), la table n'a pas d'entrée, le paquet est bloqué (Implicit Deny). C'est pour cela que le NAT agit comme un firewall basique.

Le NAT/PAT (Source NAT) gère le trafic sortant (LAN -> WAN). Mais comment un utilisateur Internet (WAN) peut-il initier une connexion vers un serveur (LAN) ?

Réponse : Port Forwarding (Redirection de Port), aussi appelé DNAT (Destination NAT).

L'Ouverture de Port

C'est une règle statique configurée sur le routeur qui dit : "Tout trafic arrivant sur mon IP publique, sur un port spécifique, doit être réécrit et redirigé vers une IP privée spécifique."

Exemple de Règles (Box Internet)

Dans le dernier exemple (translation de port), l'admin se connecte à 80.1.2.3:2222, et le routeur le redirige vers 192.168.1.50:22.

Ces trois technologies masquent l'IP, mais sont fondamentalement différentes.

Le NAT est un "hack" qui casse le principe "end-to-end" d'Internet (l'idée que chaque appareil peut initier une connexion vers un autre).

Un serveur sur Internet ne peut pas initier une connexion vers un PC (192.168.1.50) caché derrière un NAT.

Protocoles "Cassés" par le NAT

Le NAT pose problème aux protocoles qui (1) ne sont pas TCP/UDP, ou (2) qui intègrent des informations IP/Port dans leur charge utile (Payload L7).

• IPsec (AH) : (Voir 3.2 du guide VPN) Le mode AH signe l'en-tête IP. Le NAT modifie l'en-tête IP. La signature devient invalide et le paquet est rejeté.
• FTP (Mode Actif) : Le client (derrière NAT) dit au serveur : "Connecte-toi à moi sur 192.168.1.50, port 5000". Le serveur FTP (sur Internet) ne peut pas router vers cette IP privée.
• VoIP (SIP) : Le protocole SIP (initiation d'appel) envoie la "prochaine" adresse de connexion (ex: 192.168.1.50:9000) dans le payload L7. L'autre partie ne peut pas joindre cette IP.

Un ALG est une fonction "intelligente" d'un firewall/routeur qui effectue une Inspection Profonde (DPI) pour "réparer" les protocoles cassés par le NAT.

Exemple (ALG pour FTP)

1. Le firewall (avec ALG) inspecte le trafic FTP (Port 21).
2. Il détecte la commande "Active Mode" du client : PORT 192.168.1.50:5000.
3. L'ALG réécrit le paquet à la volée : PORT 80.1.2.3:60003 (son IP publique).
4. Il crée une règle NAT/ACL temporaire (DNAT) pour autoriser le serveur FTP à se connecter à 80.1.2.3:60003.

Problème : Les ALGs sont complexes et causent souvent plus de problèmes qu'ils n'en résolvent (surtout avec SIP), et sont inutiles si le trafic est chiffré (le firewall ne peut pas lire le payload).

Ce sont des techniques (côté client/serveur) pour "traverser" le NAT sans avoir besoin d'un ALG.

Sur Linux, le NAT est géré par Netfilter (le framework firewall du noyau). On le configure avec l'outil iptables et sa table spécifique : -t nat.

La Table nat

Cette table contient des "chaînes" (chains) qui s'appliquent à différents moments du traitement d'un paquet.

C'est la règle pour transformer un PC Linux en "Routeur Internet" (PAT / NAT Overload).

Cible : MASQUERADE

Utilise la chaîne POSTROUTING (car on modifie la source *après* avoir décidé d'où le paquet sort).

# Activer le routage (IP Forwarding)
sysctl -w net.ipv4.ip_forward=1

# Configurer la règle de NAT (PAT)
# -t nat : Utilise la table NAT
# -A POSTROUTING : Ajoute à la chaîne POSTROUTING
# -o eth0 : S'applique au trafic sortant sur l'interface WAN (eth0)
# -j MASQUERADE : Cible = "Masque" le trafic avec l'IP de eth0
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

MASQUERADE est idéal pour les IP publiques dynamiques (FAI).

Cible : SNAT

Si vous avez une IP publique statique (ex: 80.1.2.3), utilisez SNAT (plus efficace) :

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 80.1.2.3

C'est la règle de DNAT (Destination NAT). Elle utilise la chaîne PREROUTING (car on modifie la destination *avant* que le routeur ne décide où l'envoyer).

Cible : DNAT

# Activer le routage
sysctl -w net.ipv4.ip_forward=1

# 1. Règle DNAT (Rediriger le port 80 vers un serveur web interne)
# -i eth0 : Trafic entrant sur l'interface WAN
# -p tcp --dport 80 : Port 80
# -j DNAT --to-destination 192.168.1.100:80
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 \
         -j DNAT --to-destination 192.168.1.100:80

# 2. Règle Firewall (OBLIGATOIRE)
# (Autoriser ce trafic (maintenant destiné à 192.168.1.100)
#  à être "forwardé" (routé) vers le LAN)
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 \
         -d 192.168.1.100 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT