Derrière un CGNAT : comment obtenir une IP publique sur votre propre routeur

Pourquoi la redirection de ports cesse de fonctionner sur une adresse IPv4 partagée, comment savoir si votre connexion en a une, et les quatre façons de contourner le problème, avec leurs limites.

6 min de lecture · Mis à jour le 19.10.2026

Vous configurez une redirection de port sur le routeur, vous ouvrez le port dans le pare-feu, et rien n’arrive jamais de l’extérieur. Sur beaucoup de connexions résidentielles et mobiles au Luxembourg et en Belgique, ce n’est pas une erreur de configuration. L’adresse que votre routeur reçoit du fournisseur d’accès n’est pas une adresse publique.

Ce qu’est le CGNAT

IPv4 est à court d’adresses depuis des années. Pour continuer à raccorder de nouveaux clients, les fournisseurs en placent beaucoup derrière une seule adresse publique partagée et traduisent au milieu : c’est le carrier-grade NAT, ou CGNAT. Votre routeur fait toujours son propre NAT pour votre réseau domestique, il y a donc deux couches de traduction entre vos appareils et Internet. Les connexions sortantes fonctionnent très bien. Les connexions entrantes n’ont nulle part où aller : un paquet qui arrive sur l’adresse partagée pourrait appartenir à n’importe lequel des centaines de clients derrière elle, et le traducteur du fournisseur ne sait pas que c’est le vôtre qui l’attend.

Redirection de ports, DNS dynamique, serveur VPN à la maison, serveur de jeu ou multimédia auquel des amis se connectent, accès à distance à une caméra ou un NAS : tout cela nécessite une connexion entrante et tout cela échoue derrière un CGNAT.

Comment savoir si vous êtes derrière

1. Comparez les adresses.Connectez-vous au routeur et notez l’adresse WAN ou Internet qu’il indique. Ouvrez ensuite n’importe quel site « quelle est mon IP » depuis un appareil du réseau. Si les deux diffèrent, il y a une autre couche de NAT entre vous et Internet.
2. Regardez l’adresse WAN du routeur.Une adresse qui commence par 100.64 à 100.127 vient de la plage réservée au carrier-grade NAT (RFC 6598). 10.x, 172.16 à 172.31 et 192.168.x côté WAN indiquent la même chose.
3. Testez depuis l’extérieur.Redirigez un port, puis essayez de l’atteindre depuis un téléphone en données mobiles, pas depuis votre propre Wi-Fi. Si le routeur indique que la redirection est active mais que rien n’arrive, le chemin entrant est bloqué avant votre routeur.

Une adresse publique dynamique est un autre problème. Elle est publique et joignable ; elle change, c’est tout. Le DNS dynamique résout celui-là. Il ne résout pas le CGNAT, parce qu’il n’y a aucune adresse à vous vers laquelle pointer le nom.

Les quatre façons de contourner

1. Demander une adresse publique au fournisseur. Certains fournisseurs sortent un client du CGNAT sur demande, parfois contre un supplément mensuel, parfois seulement sur un abonnement professionnel. C’est la solution la plus propre quand elle existe : rien ne change dans votre installation. Demandez avant toute autre chose.

2. Utiliser IPv6. La plupart des fournisseurs qui utilisent le CGNAT pour IPv4 attribuent aussi un préfixe IPv6 public, et IPv6 n’a aucun NAT. Si tous ceux qui doivent vous joindre ont IPv6 (la plupart des réseaux mobiles l’ont), vous pouvez exposer vos services uniquement en IPv6. La limite est de l’autre côté : un visiteur sur un réseau IPv4 seulement ne peut pas atteindre un service IPv6 seulement.

3. Héberger le service ailleurs. Si le service n’a pas besoin de tourner à la maison, faites-le tourner sur un serveur avec une adresse publique et gardez le réseau domestique privé. Un petit VPS vient avec une adresse IPv4 et IPv6 publique et c’est la bonne réponse pour un site web, un serveur de mail ou un point d’accès VPN.

4. Un tunnel depuis un fournisseur qui a des adresses publiques. Votre routeur ouvre une connexion VPN sortante vers un serveur qui, lui, dispose d’espace public, et le fournisseur route une adresse publique à travers cette connexion jusqu’à vous. Les connexions sortantes fonctionnent derrière un CGNAT, donc le tunnel monte ; une fois monté, le trafic destiné à l’adresse publique le descend jusqu’à votre routeur, qui redirige les ports comme d’habitude. Le matériel reste à la maison et reçoit une vraie adresse.

Ce qu’un tunnel fait et ne fait pas

L’IP Tunnel de NovaNode est l’option 4 : un tunnel WireGuard depuis notre réseau au Luxembourg qui route une adresse IPv4 fixe et un préfixe IPv6 vers votre routeur ou serveur. À savoir avant de choisir cette voie, chez nous ou ailleurs :

• C’est votre côté qui initie.Seul de l’UDP sortant vers le point d’accès est nécessaire, c’est pourquoi cela fonctionne derrière un CGNAT. Si votre fournisseur bloque ou bride l’UDP, le tunnel ne montera pas ou sera lent ; cette partie se règle entre vous et votre fournisseur.
• Tout le trafic de l’adresse publique passe par le tunnel, dans les deux sens. Votre débit montant à la maison devient le débit descendant de ceux qui se connectent chez vous.
• L’adresse appartient au fournisseur.La géolocalisation indique le Luxembourg, le contact abuse est celui du fournisseur, et l’adresse revient au fournisseur à la résiliation. Le DNS inverse se configure sur demande.
• C’est un chemin unique.Notre tunnel fonctionne sur un seul point d’accès, en best effort, sans SLA ; une configuration redondante avec un second point d’accès est une option sur demande. Si le tunnel est hors service, l’adresse publique l’est aussi.
• Le mail est restreint.Le port 25 sortant est fermé par défaut et ouvert après examen. La plupart des autres ports sont transmis tels quels.
• L’usage raisonnable s’applique.La capacité est partagée ; ce qui compte comme usage raisonnable est dans les conditions du produit, et un engagement dédié peut être chiffré.
• Pas de BGP, pas de numéro d’AS nécessaire.L’adresse est routée statiquement vers le tunnel. Si vous voulez annoncer vos propres préfixes, c’est un autre produit : voir Ce que fait un LIR sponsor.

À quoi ressemble une configuration WireGuard pour cela, et comment fonctionne un devis, c’est sur la page IP Tunnel. Pour une installation que vous gérez vous-même sur un VPS, la même idée fonctionne avec n’importe quel routeur compatible WireGuard et l’adresse propre du VPS.

Quelle option, en pratique

• Un ou deux ports à joindre depuis l’extérieur, le fournisseur propose une IP publique pour un petit supplément : option 1.
• Seuls vous et vos propres appareils doivent entrer, tous sur mobile ou connexions modernes : option 2, IPv6 seulement, sans frais.
• Le service n’a pas besoin d’être à la maison : option 3, un VPS.
• Le matériel doit rester où il est et des visiteurs IPv4 doivent l’atteindre : option 4, un tunnel.

Ça n’a pas résolu le problème ? Ouvrez un ticket et dites-nous ce que vous avez essayé.