NAT et PAT — l'essentiel
Une page à imprimer (⌘P). Le vocabulaire, les trois configurations, les pannes.
01Vocabulaire et types
La grille à deux axes
| Local privée | Global publique | |
|---|---|---|
| Inside mon réseau |
Inside Local192.168.1.20 |
Inside Global209.165.200.225 |
| Outside Internet |
Outside Local192.31.7.1 |
Outside Global192.31.7.1 |
La NAT traduit Inside Local → Inside Global.
Adresses privées — RFC 1918
172.16.0.0/12
192.168.0.0/16
Non routables sur Internet. Tout le reste est public.
IPv4 : ~4,3 milliards d'adresses (2³²). IPv6 : 3,4 × 10³⁸.
Les 3 types
| Statique | 1 ↔ 1 fixe | Serveur joignable de l'extérieur |
| Dynamique | Plusieurs ↔ plusieurs (pool) | Premier arrivé, premier servi |
| PAT | Plusieurs → 1 par les ports | La plus utilisée |
La question qui tranche : « doit-on pouvoir contacter cette machine depuis Internet ? » Oui → statique obligatoire.
02Les configurations
Les trois, côte à côte
! ══ STATIQUE ══
R2(config)# ip nat inside source static 192.168.10.254 209.165.201.5
! ══ DYNAMIQUE ══
R2(config)# ip nat pool NAT-POOL1 209.165.200.226 209.165.200.240 netmask 255.255.255.224
R2(config)# access-list 1 permit 192.168.0.0 0.0.255.255 ← masque GÉNÉRIQUE
R2(config)# ip nat inside source list 1 pool NAT-POOL1
! ══ PAT ══
R2(config)# access-list 1 permit 192.168.0.0 0.0.255.255
R2(config)# ip nat inside source list 1 interface s0/1/0 overload
! ou : ip nat inside source list 1 pool NAT-POOL1 overload
! ══ OBLIGATOIRE dans les 3 cas ══
R2(config)# interface fa0/0
R2(config-if)# ip nat inside ← côté LAN
R2(config)# interface s0/1/0
R2(config-if)# ip nat outside ← côté INTERNETLes 3 pièges de syntaxe
- Masque générique dans l'ACL :
0.0.255.255, pas255.255.0.0. 0 = doit correspondre, 1 = peu importe - Nom du pool sensible à la casse —
NAT-POOL1≠nat-pool1 netmaskobligatoire dansip nat pool
Redirection de port
ip nat inside source static tcp \
192.168.10.254 80 209.165.200.225 80C'est l'« ouverture de port » d'une box : exposer un seul service quand on n'a qu'une adresse publique.
03Vérifier et dépanner
Lire show ip nat translations
Pro Inside global Inside local Outside local Outside global
--- 209.165.201.5 192.168.10.254 --- ---
↑ Pro vide + Outside vides = NAT STATIQUE (entrée permanente)
tcp 209.165.200.225:1444 192.168.1.10:1444 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.225:1445 192.168.1.11:1444 192.31.7.1:80 192.31.7.1:80
↑ même adresse publique, ports DIFFÉRENTS = PAT
les 2 postes avaient le port 1444 : le second est incrémenté en 1445Symptôme → cause
| Symptôme | Cause |
|---|---|
| Table vide | ip nat inside/outside manquant ou inversé |
| 3 postes sortent, pas les autres | overload manquant |
| Serveur injoignable de l'extérieur | Pas de NAT statique |
| Misses sans hits | ACL ou nom de pool erroné |
| Adresse bloquée | Entrée résiduelle → clear ip nat translation * |
Commandes
show ip nat translations la table ★
show ip nat statistics hits / misses
show ip nat translations verbose
show run | include nat
show access-lists compteurs
clear ip nat translation *
clear ip nat statisticsTest propre :
clear ip nat statistics → trafic → show ip nat statistics.
Les Hits montent = ça marche.
Avantages / inconvénients
+ Conserve les adresses publiques · souplesse · cohérence interne · sécurité
− Performances · fin du bout en bout · perte de traçabilité · tunneling complexe · connexions TCP perturbées
⚠️ La NAT n'est pas un pare-feu. Elle masque, elle ne filtre pas.