Routeur, NAT, DHCP et firewall

Objectifs

À la fin de cette leçon, vous saurez :

• expliquer ce que fait votre box/routeur pour relier votre bulle privée à Internet ;
• décrire le fonctionnement de la traduction d'adresses (NAT) et sa conséquence de sécurité ;
• situer le rôle du DHCP dans l'attribution des adresses ;
• formuler le principe d'un pare-feu (« fermé par défaut, ouvert explicitement »).

🔗 Pour vous rafraîchir la mémoire : adresses, masques et réseaux locaux

Le routeur : l'unique porte de la bulle privée

Votre réseau local (192.168.1.x) est une bulle étanche. Le routeur est son unique porte vers Internet :

vos machines ──── réseau local ──── ROUTEUR ──── Internet
192.168.1.x                        (1 adresse
                                    publique)

Côté privé, le routeur porte une adresse locale (192.168.1.1, votre passerelle). Côté public, il porte UNE adresse fournie par votre FAI — la seule visible depuis Internet. Toute la magie de la connexion domestique tient dans la traduction entre ces deux mondes.

NAT : comment trente machines partagent une seule adresse publique

Le problème : des millions de foyers utilisent les mêmes 192.168.1.x, adresses non routables sur Internet. La solution : la traduction d'adresses — NAT (Network Address Translation).

Suivons une requête de votre VM vers un serveur web :

1. VM 192.168.1.10 envoie : [de 192.168.1.10:54321 → vers 93.184.216.34:80]
2. Le routeur intercepte, RÉÉCRIT la source :
   [de 83.12.45.67:40001 → vers 93.184.216.34:80]      ← son IP publique,
                                                          port réattribué
3. Il MÉMORISE l'équivalence :
   « port 40001 ↔ machine 192.168.1.10, port 54321 »

4. Le serveur répond à 83.12.45.67:40001
5. Le routeur consulte sa table : « 40001 ? c'était la VM ! »
6. Réécriture inverse → livraison à 192.168.1.10:54321 ✓

Le routeur joue au facteur bilingue : il renomme chaque paquet sortant avec ses propres coordonnées et tient un registre pour acheminer correctement les réponses. C'est ce registre — rempli uniquement quand VOUS initiez une connexion — qui fait toute la sécurité implicite du système :

Depuis Internet, on ne peut pas « entrer » spontanément chez vous : aucune entrée n'existe dans la table NAT tant qu'aucune connexion sortante n'a été ouverte.

Pour exposer volontairement un service, il faut soit ouvrir explicitement un chemin (port forwarding : « tout ce qui arrive sur le port 443 public → vers 192.168.1.50:443 »), soit passer par un tunnel/VPN. Vous reverrez cette notion au moment du déploiement : c'est exactement ce que font les reverse proxies et les règles cloud.

DHCP : qui décide que votre machine s'appellera 192.168.1.10 ?

Personne ne configure les adresses à la main chez soi : c'est le DHCP (Dynamic Host Configuration Protocol). Quand une machine rejoint le réseau :

1. la nouvelle machine crie : « y a-t-il un serveur DHCP ? je cherche une adresse »
2. la box répond : « prends 192.168.1.24, bail de 24 heures »
3. la machine confirme et utilise cette adresse pendant la durée du BAIL
4. bail expiré ou machine absente → l'adresse retourne au pool, redistribuable

Conséquences pratiques importantes pour nous :

• votre adresse locale peut changer après un redémarrage ou une longue absence — normale, c'est une location, pas une propriété ;
• un serveur hébergé chez vous exige une adresse stable : réservation DHCP (« cette MAC aura toujours .50 ») ou configuration statique. Sans cela, votre port forwarding et vos enregistrements DNS pointent vers une adresse que la machine ne possède plus ;
• dans les datacenters et le cloud, on configure presque toujours statiquement — la prévisibilité prime.

Firewall : fermé par défaut, ouvert explicitement

Un pare-feu filtre les paquets selon des règles : interface, adresse source/destination, port, direction (entrant/sortant). Le modèle professionnel universel :

règle typique d'un serveur web :
  AUTORISER TCP entrant ports 22   (SSH, depuis vos seules IPs d'admin)
  AUTORISER TCP entrant ports 80 et 443 (HTTP/HTTPS, depuis partout)
  REFUSER tout autre trafic entrant        ← règle finale par défaut

La philosophie tient en une phrase : fermé par défaut, ouvert explicitement. Chaque ouverture est une décision documentée, pas un oubli tolérant. Comparez avec le modèle inverse (« tout passe, on bloquera les problèmes ») : celui-là produit des serveurs compromis.

Trois précisions utiles :

• sur Linux, le pare-feu vit dans le noyau (iptables/nftables) ; Docker et les clouds le manipulent pour vous — mais les règles existent toujours, visibles (iptables -L), et méritent d'être comprises avant d'être modifiées ;
• le firewall se combine avec le NAT pour la défense en profondeur : même avec un port forwarding ouvert, le firewall décide qui peut réellement passer ;
• souvenez-vous aussi que le service lui-même choisit son interface d'écoute : écouter sur 127.0.0.1 rend inutile toute ouverture de port — rien n'arrive jamais jusqu'au firewall utilement.

Les quatre briques assemblées

DHCP     distribue les adresses internes          (qui est qui, localement)
firewall filtre ce qui entre/sort                  (qui a le droit)
NAT      traduit interne ↔ public                  (comment sortir et rentrer)
routeur  porte unique + routage hop by hop         (où passer)

Chaque panne réseau classique se relit dans cette grille : « mon serveur n'est pas joignable depuis Internet » = vérifier l'interface d'écoute (127.0.0.1 ?), puis le firewall local, puis le port forwarding/NAT — dans cet ordre, du plus proche au plus loin, comme toujours.

Exercice

1. Expliquez pourquoi votre VM peut joindre example.com alors qu'Internet ne peut pas joindre directement votre VM.
2. Votre IP locale change après redémarrage. Quel service est responsable ? Quelle conséquence pour un serveur hébergé chez vous ?
3. Un serveur web tourne sur votre machine mais n'est pas joignable depuis Internet. Citez trois causes possibles, dans l'ordre où vous les vérifieriez.
4. Question de synthèse : reliez NAT et firewall — pourquoi dit-on que le NAT « protège par défaut » alors que ce n'est pas son but premier ?

Résumé

• Routeur = porte unique entre bulle privée et Internet.
• NAT = traduction privée↔publique via table de connexions ; protège par défaut (rien n'entre sans flux sortant préalable) ; exposition = port forwarding explicite.
• DHCP loue les adresses (bails) : instable par nature, donc serveurs = adresses fixes.
• Firewall : fermé par défaut, ouvert documenté ; se combine avec l'écoute sur la bonne interface.