La traduction d’adresses réseau réécrit les champs d’adresses, et souvent les ports de transport, lorsque les paquets traversent un dispositif de traduction. Elle sert largement à relier des réseaux IPv4 adressés de manière privée au moyen d’un ensemble plus restreint d’adresses routables à l’extérieur.
Subnetting · Leçon 6
NAT
Découvrez comment la traduction de la source, de la destination et des ports modifie les flux IPv4 et l’état des connexions.
Traduction de la source
Le NAT source remplace l’adresse source d’un paquet lorsqu’il quitte un réseau. Les déploiements plusieurs-vers-un traduisent également les ports source afin que plusieurs flux internes puissent partager une adresse externe. Cette forme qui tient compte des ports est souvent appelée NAPT, PAT ou masquage lorsque l’adresse externe peut changer.
Le traducteur suit les associations afin de pouvoir réécrire les paquets de réponse vers le terminal interne d’origine. Il achemine normalement le même flux de transport ; il n’a pas besoin d’ouvrir une connexion proxy distincte comme le ferait un proxy applicatif.
Que modifie le NAT source sur un paquet sortant ?
Traduction de la destination
Le NAT de destination réécrit l’adresse ou le port de destination, généralement pour publier un service interne par un terminal externe. Une règle de redirection de port peut associer un port TCP externe à une autre adresse et un autre port internes. Le trafic de retour exige une traduction inverse cohérente.
Quelle forme de NAT met couramment en œuvre une redirection de port entrante ?
NAT et politique du pare-feu
Le NAT n’est pas un pare-feu. Un traducteur avec état peut ne posséder aucune association pour un trafic entrant non sollicité, mais l’acheminement explicite, la traduction de destination, le filtrage et l’exposition de l’application déterminent ce qui est accessible. La politique de sécurité doit être exprimée et auditée par des règles de pare-feu, des services au moindre privilège et des contrôles de bout en bout plutôt que déduite de la réécriture des adresses.
Pourquoi le NAT ne doit-il pas être considéré comme une politique de sécurité à lui seul ?
Conséquences opérationnelles
Le NAT peut épuiser les associations d’adresses et de ports, compliquer les protocoles pair à pair, masquer les sources d’origine aux applications et nécessiter un traitement spécial des protocoles qui intègrent des adresses. Les journaux doivent conserver les horodatages et les détails des associations de traduction si les flux doivent être retracés.
Sous Linux, les politiques modernes se configurent couramment avec nftables et le suivi des connexions. Examinez le jeu de règles réel avant de le modifier :
$ sudo nft list ruleset
$ sudo conntrack -L
La deuxième commande exige les outils conntrack et des privilèges. Les modifications du jeu de règles peuvent interrompre l’accès distant ; employez donc un accès de récupération par la console, une configuration atomique, une validation et un retour en arrière.
Quel indice est nécessaire pour retrouver le client interne à l’origine d’un flux qui partage une adresse ?
Leçon terminée
Vous avez terminé NAT
Vous savez maintenant distinguer la traduction d’adresses du routage, des proxys et de la politique du pare-feu.
Identifier la traduction de la source sur les flux sortants.
Identifier la traduction de la destination dans les services publiés.
Comprendre comment les associations de ports permettent le partage des adresses.
Appliquer un filtrage explicite au lieu de considérer le NAT comme une sécurité.
Préserver les indices d’association et l’accès de récupération pendant les changements.
Conservez votre progression
Créez un compte gratuit pour enregistrer cette leçon et continuer sur n'importe quel appareil.
Créer un compte gratuit