Le CGNAT : pourquoi votre adresse IP publique est partagée

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Des millions d'abonnés, en particulier en 4G et en 5G, partagent la même adresse IPv4 publique avec des dizaines d'inconnus sans le savoir. Ce guide explique pourquoi les opérateurs en sont arrivés là, comment vérifier votre situation en trois tests, ce que le CGNAT vous empêche réellement de faire et quelles solutions fonctionnent : avec leurs contreparties.

Le point de départ : il n'y a plus assez d'adresses IPv4

Une adresse IPv4 tient sur 32 bits, ce qui plafonne le nombre d'adresses possibles à environ 4,3 milliards. Sur ce total, une part importante est réservée et ne sera jamais attribuée à un abonné : les plages privées, la boucle locale 127.0.0.0/8, le multicast, les blocs de documentation. Notre page de référence sur les adresses IP réservées en dresse la liste complète.

Ce stock a été épuisé par étapes. L'IANA, l'autorité qui répartit les grands blocs entre les cinq registres régionaux, a distribué ses derniers blocs en février 2011. Le RIPE NCC, registre compétent pour l'Europe et le Moyen-Orient, est entré en régime de pénurie en septembre 2012, puis a annoncé fin novembre 2019 qu'il n'avait plus d'adresses IPv4 libres à allouer. Depuis, un opérateur qui veut des adresses supplémentaires doit les racheter à un tiers sur un marché secondaire, à un prix qui n'a fait que monter.

Mettez-vous à la place d'un opérateur mobile : plusieurs dizaines de millions de cartes SIM actives, dont une grande partie connectée en permanence. Une adresse publique par abonné supposerait un stock qui n'existe plus. La seule issue praticable a donc été de faire partager une même adresse publique à plusieurs dizaines de lignes. C'est exactement ce que fait le CGNAT ; le passage à IPv6, qui règle définitivement le problème, avance trop lentement pour dispenser les opérateurs de cette béquille.

Ce qu'est le CGNAT, concrètement

Vous pratiquez déjà la traduction d'adresses sans y penser. Chez vous, une dizaine d'appareils se partagent une seule adresse publique : votre box leur distribue des adresses privées en 192.168.x.x et réécrit les paquets sortants pour qu'ils semblent tous venir d'elle. C'est le NAT domestique, détaillé dans notre guide le NAT expliqué, qui repose sur la distinction entre adresse publique et adresse privée.

Le CGNAT (Carrier-Grade NAT, littéralement « NAT de qualité opérateur », aussi appelé Large Scale NAT (LSN) ou NAT444) reproduit exactement ce mécanisme, mais un cran plus haut : chez l'opérateur, entre son réseau d'accès et l'Internet public. Votre box n'y voit que du feu, car elle croit détenir une adresse publique alors qu'elle détient une adresse intermédiaire.

Le chemin complet d'un paquet ressemble alors à ceci :

Votre ordinateur     Votre box            Équipement de l'opérateur     Le site visité
192.168.1.42    →    192.168.1.1     →    100.64.12.7              →    203.0.113.45
   (privé)            NAT n° 1              NAT n° 2 (CGNAT)              voit 203.0.113.45
                      WAN : 100.64.12.7     IP publique partagée
# Deux traductions successives au lieu d'une : d'où le nom NAT444.
# Le site distant ne connaît que la dernière adresse, commune à des dizaines d'abonnés.

Le partage repose sur les numéros de port. Une adresse IPv4 dispose de 65 535 ports TCP et autant en UDP. L'équipement CGNAT découpe cet espace en plages qu'il attribue aux abonnés : si chacun reçoit un millier de ports, une seule adresse publique peut servir plusieurs dizaines de lignes simultanément. À chaque connexion sortante, le CGNAT note la correspondance entre votre adresse interne, votre port source et le port public qu'il vous a alloué, puis remet les réponses dans le bon sens.

Ce mécanisme fonctionne parfaitement… dans un seul sens. Une connexion que vous initiez crée l'entrée nécessaire dans la table de traduction. Une connexion qui vient de l'extérieur, elle, arrive sur un port public qui n'est associé à rien : l'équipement ne sait pas à quel abonné la remettre, et la jette. C'est toute l'origine des désagréments décrits plus bas.

La plage 100.64.0.0/10 et la RFC 6598

Publiée en avril 2012, la RFC 6598 a réservé un bloc entier d'adresses IPv4 pour cet usage précis : 100.64.0.0/10, soit toutes les adresses de 100.64.0.0 à 100.127.255.255, un peu plus de 4,19 millions d'adresses. Son nom officiel est Shared Address Space, « espace d'adressage partagé ».

Cette plage occupe un statut particulier, et c'est ce qui la rend intéressante :

• Elle n'est pas publique : elle n'est pas routable sur l'Internet mondial et ne doit pas y être annoncée. Personne ne peut vous joindre sur une adresse en 100.64.x.x.
• Elle n'est pas privée non plus, au sens de la RFC 1918. Elle est destinée au réseau de l'opérateur, entre le client et le point de traduction, et non aux réseaux locaux d'entreprise ou de particulier.
• Elle existe précisément pour éviter les collisions. Si un opérateur numérotait son réseau d'accès en 192.168.x.x alors que votre box utilise le même plan, les deux réseaux entreraient en conflit et le routage deviendrait ambigu. Un bloc dédié règle ce problème.

En pratique, voir une adresse de cette plage sur l'interface WAN de votre box est le signe le plus net d'un CGNAT : il n'existe pas d'autre raison d'y trouver une adresse de ce type. La liste complète des plages à statut particulier figure sur notre page adresses IP réservées.

Comment savoir si vous êtes derrière un CGNAT

Aucun opérateur n'affiche l'information en clair sur votre facture. Voici une méthode en trois tests, du plus rapide au plus concluant. Le premier suffit dans la grande majorité des cas ; les deux suivants lèvent les derniers doutes.

1. Comparez l'adresse WAN de votre box avec votre adresse publique réelle Connectez-vous à l'interface d'administration de votre box, généralement à l'adresse 192.168.1.1 ou 192.168.0.1 selon le modèle, et cherchez la rubrique « État », « Internet », « WAN » ou « Connexion ». Notez l'adresse IPv4 qui y figure. Ouvrez ensuite la page d'accueil de ce site, qui affiche l'adresse publique vue par les serveurs distants, ou notre outil de recherche d'adresse IP. Si les deux valeurs sont identiques, votre box détient bien une adresse publique complète et vous n'êtes pas en CGNAT. Si elles diffèrent, une traduction a lieu quelque part en amont de votre box.
2. Regardez à quelle plage appartient l'adresse WAN Une adresse comprise entre 100.64.0.0 et 100.127.255.255 désigne sans ambiguïté un CGNAT. Les plages privées de la RFC 1918 (10.0.0.0 à 10.255.255.255, 172.16.0.0 à 172.31.255.255, 192.168.0.0 à 192.168.255.255) mènent à la même conclusion dès lors que l'adresse a été attribuée par l'opérateur et non par un autre équipement de votre domicile. En cas de doute sur l'appartenance d'une adresse à une plage, notre calculateur de sous-réseau tranche la question. Un traceroute apporte un indice complémentaire : si les premiers sauts après votre box affichent des adresses en 100.64 ou en 10.x, vous traversez bien le réseau interne de l'opérateur avant d'atteindre l'Internet public.
3. Tentez une redirection de port et vérifiez depuis l'extérieur C'est le test décisif, car il mesure ce qui vous intéresse vraiment : la joignabilité. Créez dans votre box une redirection du port de votre choix vers une machine de votre réseau, mettez cette machine en écoute sur ce port, puis tentez de vous y connecter depuis l'extérieur : par exemple depuis votre téléphone, Wi-Fi coupé. Si rien ne répond alors que la règle est correcte et que le pare-feu local autorise le trafic, c'est que le trafic n'atteint jamais votre box. Certaines interfaces refusent même de créer la règle, ou signalent que l'adresse WAN n'est pas publique. Notre guide ouvrir un port sur sa box décrit la manipulation pas à pas et les précautions à prendre.

Le cas particulier du réseau mobile

Sur les réseaux 4G et 5G, la question ne se pose presque plus : le CGNAT y est la règle, chez pratiquement tous les opérateurs et pour pratiquement toutes les offres grand public. La raison est arithmétique : le nombre de lignes mobiles dépasse de très loin le stock d'adresses IPv4 disponibles. Les box 4G/5G destinées aux zones mal desservies et les accès par satellite fonctionnent le plus souvent sur le même principe.

Une autre architecture s'y rencontre : le terminal ne reçoit qu'une adresse IPv6, l'accès aux services restés en IPv4 étant assuré par une traduction dans le réseau. Le résultat visible est identique : aucune connexion entrante sur l'IPv4 affichée. Cette diversité explique que deux abonnés du même opérateur constatent des comportements différents selon leur offre et leur ancienneté, comme le résume notre panorama des fournisseurs d'accès français.

Ce que le CGNAT vous empêche de faire

Le point commun de tous les symptômes tient en une phrase : vous pouvez sortir, mais personne ne peut entrer. Concrètement :

• Héberger un service chez vous. Site web personnel, serveur de jeu entre amis, instance de domotique, serveur de fichiers : ces services ont besoin d'être joints depuis l'extérieur. Derrière un CGNAT, ils restent accessibles uniquement depuis votre réseau local.
• Ouvrir un port. La redirection de port n'a plus d'effet, puisque le trafic est arrêté un étage plus haut. Les protocoles d'ouverture automatique utilisés par les jeux et les consoles ne fonctionnent plus davantage ; le seul qui puisse traverser un CGNAT est PCP (Port Control Protocol), et uniquement si l'opérateur a choisi de l'activer, ce qui reste rare sur les offres grand public. Voyez notre guide dédié pour la manipulation et ses limites.
• Jouer en pair-à-pair sans friction. Les consoles signalent un NAT « strict » ou de type 3 : vous ne pouvez pas héberger de partie, les temps d'attente en matchmaking s'allongent, la voix passe mal et certaines sessions échouent à s'établir. Notre guide adresse IP et jeux vidéo explique les types de NAT et ce qu'on peut réellement y faire.
• Accéder à distance à une caméra ou à un NAS. C'est pour contourner ce blocage que les fabricants imposent leurs services de relais dans le nuage : votre équipement ouvre lui-même une connexion sortante vers le serveur du constructeur, qui sert d'intermédiaire. Cela fonctionne, mais fait transiter votre flux vidéo par un tiers.
• Recevoir un tunnel VPN entrant. Un serveur VPN installé à votre domicile pour rejoindre votre réseau depuis l'extérieur devient injoignable. À l'inverse, un VPN sortant vers un fournisseur commercial fonctionne parfaitement : il n'a besoin d'aucun port entrant.
• Recevoir un appel SIP direct. En téléphonie sur IP, les invitations entrantes n'aboutissent pas sans mécanisme de contournement ; il faut un enregistrement permanent auprès d'un serveur et un relais média.
• Utiliser un service de DNS dynamique. Faire pointer un nom de domaine vers votre adresse ne sert à rien si cette adresse est partagée et ne mène à aucun port qui vous appartienne. Notre guide sur l'obtention d'une IP fixe détaille ce point souvent mal compris.

Il faut être juste : pour un usage strictement grand public (navigation, streaming, visioconférence, jeu sur serveurs dédiés, messagerie) le CGNAT est transparent. La visioconférence fonctionne parce que les applications basculent sur des serveurs relais quand la connexion directe échoue, au prix d'un peu de latence.

Ce que cela change pour votre géolocalisation

Puisque les sites ne voient que l'adresse de sortie de l'équipement opérateur, votre position apparente devient celle de cet équipement, et non la vôtre. Or les points de traduction sont concentrés dans quelques sites techniques régionaux, voire nationaux. Un abonné de province peut ainsi être localisé dans une grande métropole située à plusieurs centaines de kilomètres, et cette erreur sera identique pour tous les abonnés qui partagent la même adresse.

Les effets sont tangibles : résultats de recherche orientés vers la mauvaise ville, météo décalée, langue d'affichage inadaptée, offres locales incohérentes, ou encore alerte de sécurité d'un service bancaire signalant une « connexion inhabituelle » parce que votre point de sortie change au gré des reconnexions. Notre guide sur la géolocalisation par adresse IP explique comment ces bases sont construites et pourquoi elles se trompent aussi souvent sur les accès mobiles.

Retenez qu'une géolocalisation par IP ne prouve jamais une position : sur un accès partagé, elle désigne l'architecture du réseau de l'opérateur, pas votre domicile.

Le problème du voisin : une réputation partagée

Une adresse partagée, c'est aussi une réputation partagée. Les services en ligne évaluent en permanence la fiabilité des adresses qui les sollicitent : volume de requêtes, tentatives de connexion échouées, signalements de spam. Quand une adresse dépasse un seuil, elle est ralentie, mise sous surveillance ou bloquée.

Derrière un CGNAT, ce jugement porte sur des dizaines d'abonnés à la fois. Si l'un d'eux héberge une machine compromise qui envoie du spam, ou lance un aspirateur de site un peu trop gourmand, tous les autres en subissent les conséquences. Les symptômes typiques sont faciles à reconnaître : captchas qui reviennent sans fin sur des sites que vous consultez tous les jours, message « trop de requêtes », impossibilité de créer un compte, moteur de recherche qui vous demande de prouver que vous n'êtes pas un robot à chaque requête, ou courriels rejetés par un serveur distant.

La difficulté est que vous ne pouvez rien y faire directement : vous ne maîtrisez ni l'adresse, ni le comportement de ceux qui la partagent. Redémarrer la box peut vous faire basculer sur une autre adresse partagée, avec une réputation différente, mais c'est un coup de dés, pas une solution. Notre guide mon adresse IP est bloquée détaille les vérifications à mener et les recours possibles selon le type de blocage rencontré.

Les solutions, classées honnêtement

Aucune de ces options n'est universellement bonne. Chacune répond à un besoin précis et se paye d'une contrepartie ; le tableau ci-dessous les compare sur ces deux critères.

Quelques précisions qui font la différence au moment de choisir :

• La demande à l'opérateur reste la première démarche à tenter. Formulez-la précisément : demandez une « adresse IPv4 publique dédiée, non partagée », et non une « IP fixe », car ce sont deux notions différentes que les services clients confondent régulièrement. Certains opérateurs proposent la bascule directement depuis l'espace abonné ; d'autres attribuent à chaque ligne partagée une plage de ports fixe, utilisable pour des redirections dans cette plage uniquement. Vérifiez ce que propose votre offre avant de conclure que rien n'est possible : la distinction entre adresse fixe, adresse dynamique et adresse dédiée est expliquée dans notre guide obtenir une IP fixe.
• IPv6 ne se substitue à rien tant que les deux extrémités ne l'ont pas. C'est la solution la plus élégante et la moins coûteuse, mais elle échoue silencieusement dès qu'un maillon manque : le réseau d'entreprise depuis lequel vous voulez vous connecter, le réseau invité d'un hôtel, ou l'hébergeur du service distant.
• Le tunnel inverse et le réseau maillé ne répondent pas au même besoin. Le premier publie un service ; le second vous relie à vos propres machines. Choisir le second pour héberger un site public revient à contourner un problème qui reviendra.
• Attention aux fausses solutions. Un VPN standard, un changement de DNS ou l'activation d'UPnP sur la box ne modifient rien à votre situation. Redémarrer la box ne fait que changer d'adresse partagée.

CGNAT et identification des abonnés

Le partage d'adresses a une conséquence juridique et technique que peu de pages mentionnent : une adresse IP publique et un horodatage ne suffisent plus à désigner un abonné. À un instant donné, cette adresse correspond à des dizaines de lignes. Sans information supplémentaire, une réquisition fondée sur ces deux seuls éléments ne peut aboutir qu'à une liste de suspects, ou pire, à une désignation erronée.

L'élément manquant est le numéro de port source. C'est lui qui identifie l'abonné au sein de l'adresse partagée. Cela impose deux obligations symétriques : les services en ligne qui journalisent les connexions doivent enregistrer le port source en plus de l'adresse, faute de quoi leurs journaux perdent toute valeur probante ; et les opérateurs doivent conserver la table des correspondances entre adresse publique, plage de ports, abonné et horodatage.

Cette journalisation est massive : enregistrer chaque session de chaque abonné produit un volume considérable. Les travaux de l'IETF sur l'attribution déterministe des ports visent à le réduire : en attribuant à chaque ligne une plage de ports calculable à l'avance plutôt que des ports au coup par coup, l'opérateur ne conserve plus que l'affectation des plages, et non chaque connexion.

Pour vous, deux enseignements pratiques. D'abord, l'idée que le CGNAT vous rendrait anonyme est fausse : votre opérateur sait parfaitement qui vous êtes derrière l'adresse partagée. Ensuite, si vous êtes mis en cause sur la base d'une adresse IP, le caractère partagé de cette adresse est un élément technique déterminant. Notre page sur ce que votre fournisseur d'accès conserve détaille les durées et les catégories de données concernées en droit français.

IPv6 : la vraie sortie de crise

Le CGNAT est un pansement sur une pénurie. IPv6 supprime la pénurie elle-même : son espace d'adressage sur 128 bits est si vaste que chaque abonné se voit attribuer un préfixe entier, généralement un /64 ou un /56, permettant d'adresser individuellement chaque appareil du logement. Il n'y a alors plus rien à traduire, donc plus de partage, plus de table d'états et plus de réputation commune.

Une précision indispensable, souvent source de confusion : joignable ne veut pas dire exposé. En IPv6, votre box conserve un pare-feu qui bloque par défaut le trafic entrant non sollicité. La différence est qu'il devient possible d'autoriser explicitement un flux vers une machine précise, alors qu'un CGNAT ne laisse aucune option. On passe donc d'une impossibilité technique à une décision de sécurité, qui reste la vôtre.

Qu'est-ce qui freine encore ? Trois choses, toutes extérieures à votre volonté. Le côté distant d'abord : si le service que vous voulez joindre n'est pas accessible en IPv6, la connexion retombe en IPv4, donc dans le CGNAT. Les réseaux intermédiaires ensuite : réseaux d'entreprise, hôtels, Wi-Fi publics et certains réseaux mobiles restent en IPv4 seule, ce qui vous empêche d'atteindre votre domicile en IPv6 depuis l'extérieur. Les équipements enfin : caméras, imprimantes et objets connectés anciens ignorent parfois IPv6, et certains routeurs personnels demandent une configuration explicite. L'ARCEP publie chaque année un baromètre de la transition vers IPv6 en France qui donne une image chiffrée et à jour de cette progression, opérateur par opérateur.

La bonne nouvelle est que la partie qui dépend de vous est simple et gratuite : vérifier qu'IPv6 est actif sur votre accès, l'activer si ce n'est pas le cas, et contrôler que vos appareils l'utilisent réellement. C'est l'objet de notre guide activer IPv6 chez soi, qui reprend la procédure fournisseur par fournisseur, ainsi que les erreurs de configuration les plus fréquentes.

Questions fréquentes