Le NAT (Network Address Translation) expliqué pour l'IoT

La plupart des appareils connectés à Internet n'ont pas leur propre adresse IP publique. Ils se trouvent sur un réseau privé, partagent une seule IP publique et comptent sur un routeur pour faire la traduction entre les deux. Ce routeur fait du NAT : Network Address Translation. Cet article explique ce que fait le NAT, pourquoi on le trouve partout et ce que cela implique pour votre SIM Simbase.

Ce que fait le NAT

Une passerelle NAT se place entre un réseau privé et l'Internet public. Son rôle est de réécrire les adresses IP des paquets pour que :

• Le trafic sortant d'un appareil privé semble provenir de l'IP publique de la passerelle.

• Le trafic de retour envoyé depuis Internet à la passerelle soit redirigé vers le bon appareil privé.

Un exemple simplifié :

1. Votre ordinateur portable (IP privée 192.168.1.10) envoie une requête à un serveur web.

2. Le paquet quitte votre ordinateur avec l'adresse source 192.168.1.10 et la destination 93.184.216.34 (le serveur).

3. Le routeur ou la passerelle NAT intercepte le paquet. Il remplace la source par sa propre IP publique (par exemple 203.0.113.5), enregistre la correspondance (192.168.1.10:55124) ↔ (203.0.113.5:62001) dans sa table NAT, puis transmet le paquet.

4. Le serveur répond à 203.0.113.5:62001.

5. Le routeur consulte la table NAT, voit que cette entrée correspond à 192.168.1.10:55124, réécrit la destination et transmet la réponse à votre ordinateur.

Votre ordinateur n'a jamais su qu'il était derrière un NAT. Le serveur web n'a jamais su qu'il existait un réseau privé.

Pourquoi le NAT existe

Pour trois raisons :

1. Économiser les adresses IPv4. Il existe environ 4,3 milliards d'adresses IPv4, mais beaucoup plus d'appareils. Le NAT permet à des milliers d'appareils de partager une seule adresse.

2. Une protection indirecte. Les appareils derrière un NAT ne sont pas joignables directement depuis Internet. Les paquets qui arrivent à la passerelle sans entrée correspondante dans la table NAT sont rejetés. C'est un comportement par défaut utile, mais ce n'est pas un pare-feu et il ne faut pas s'en servir comme tel.

3. L'indépendance des réseaux. Chaque réseau privé peut utiliser la même plage d'adresses (192.168.x.x) sans se coordonner avec qui que ce soit.

Les inconvénients du NAT

• Les connexions entrantes sont bloquées par défaut. Si un système sur Internet veut communiquer avec votre appareil, il ne peut pas ouvrir la connexion lui-même. Il existe des contournements (port forwarding, NAT traversal, hole punching), mais ils sont complexes et peu fiables.

• Certains protocoles posent problème. Tout ce qui intègre des adresses IP dans les données applicatives (VoIP ancienne génération, FTP en mode actif, certains protocoles VPN) ne fonctionne pas derrière un NAT, sauf si la passerelle dispose de helpers spécifiques.

• Le suivi des connexions a ses limites. Les appareils à très haut débit peuvent saturer la table NAT des petites passerelles.

• La journalisation est plus difficile. Vu d'Internet, tous vos appareils ressemblent à une seule IP. Pour attribuer du trafic à un appareil précis, il faut les journaux de la passerelle NAT.

Le NAT et les SIM Simbase

Par défaut, chaque SIM Simbase se trouve derrière une passerelle NAT dans le cœur de réseau mobile de Simbase. Concrètement :

• La SIM peut établir des connexions sortantes vers vos API, brokers MQTT, serveurs web et tout ce qui se trouve sur Internet.

• La SIM ne peut pas accepter de connexions entrantes. Vos serveurs ne peuvent pas ouvrir directement une connexion vers la SIM.

• La SIM reçoit une IP privée qui n'est pas visible depuis Internet.

Pour les usages IoT classiques (un appareil qui interroge un serveur ou envoie des données via MQTT ou HTTP), c'est exactement ce qu'il vous faut. C'est sûr, simple et sans coût supplémentaire.

Quand le NAT devient un problème

Le NAT vous gêne dès que vous devez joindre l'appareil depuis l'extérieur :

• SSH à distance sur un routeur ou une passerelle

• Interface de configuration à distance sur un appareil déployé

• Push initié par le serveur vers l'appareil (par exemple "réveil et envoi d'un rapport")

• Hébergement d'un service sur l'appareil (serveur web, flux caméra RTSP)

• VPN site à site terminé sur l'appareil

Dans tous ces cas, vous devez contourner le NAT pour cette SIM. Simbase le fait en attribuant une IP publique, qui fait passer le trafic par une passerelle dédiée avec une adresse routable.

Consultez IP publiques pour la marche à suivre.

NAT ou CGNAT

Vous croiserez peut-être le terme CGNAT (Carrier-Grade NAT) dans les discussions sur les réseaux cellulaires. Le CGNAT, c'est du NAT au niveau de l'opérateur. Votre opérateur vous place derrière son IP publique avant que votre trafic n'atteigne Internet. La plupart des réseaux mobiles grand public utilisent le CGNAT. Du point de vue de l'appareil, c'est identique à un NAT classique.

Les SIM sans IP publique passent par le NAT de la passerelle Simbase. L'effet est le même que le CGNAT d'un réseau mobile grand public : une IP privée sur l'appareil, une adresse publique partagée côté Internet et aucune connexion entrante.

Questions fréquentes

Articles associés

• Adresses IP : l'article principal sur IPv4 et les sous-réseaux

• IP privée ou publique : ce qui est joignable depuis Internet

• IP publiques : attribuer une adresse routable à une SIM

• VPN : joindre des appareils sans IP publique