NAT, DHCP et DNS : les bases du réseau expliquées

Ouvrir une page web déclenche trois mécanismes distincts, dans un ordre précis, et chacun peut échouer seul. DHCP vous attribue une adresse, DNS traduit le nom du site, NAT vous permet de sortir. Comprendre lequel fait quoi transforme un « ça ne marche pas » en diagnostic de trente secondes. Voici les trois, dans l’ordre où ils interviennent.

DHCP : obtenir une adresse

Une machine qui rejoint un réseau n’a pas d’adresse. Elle en demande une, et l’échange se déroule toujours en quatre temps : elle diffuse un appel, un serveur propose une adresse, elle la demande formellement, le serveur confirme.

Ce que le serveur fournit ne se limite pas à l’adresse. Il transmet aussi trois renseignements indispensables, et c’est ce qui explique qu’une panne de ce service mette tout par terre :

• Le masque, qui indique quelles autres machines sont sur le même réseau local.
• La passerelle, c’est-à-dire l’équipement par lequel sortir.
• Les résolveurs de noms à interroger pour traduire les adresses de sites.

L’adresse est prêtée pour une durée déterminée, qu’il faut renouveler. C’est pourquoi une machine peut fonctionner plusieurs heures après une panne du service, puis tomber d’un coup : son bail est arrivé à échéance.

Le signe qui ne trompe pas : une machine dont l’adresse commence par 169.254 n’a reçu aucune réponse et s’est attribué une adresse de secours toute seule. Le serveur d’adressage est injoignable, et c’est le premier élément à vérifier. Sur une box grand public, ce service est rendu par la box elle-même : notre article sur l’association avec le serveur Freebox traite le cas le plus fréquent.

Les adresses privées, et pourquoi elles ne sortent pas

Trois plages d’adresses sont réservées aux réseaux internes et ne circulent jamais sur Internet. Vous les reconnaîtrez immédiatement.

Plage	Où on la rencontre
192.168.x.x	Les box et les petits réseaux domestiques
10.x.x.x	Les réseaux d’entreprise, qui ont besoin de place
172.16 à 172.31	Moins fréquente, souvent en virtualisation et en conteneurs

Ces adresses se répètent dans des millions de réseaux simultanément, sans conflit, parce qu’elles restent locales. C’est précisément ce qui rend le troisième mécanisme nécessaire.

DNS : traduire le nom

Les machines communiquent par adresses numériques, les humains par noms. Le service de noms fait la traduction, et il procède par étapes en conservant chaque réponse un certain temps.

1. Votre système regarde d’abord s’il connaît déjà la réponse.
2. Sinon il interroge le résolveur que le service d’adressage lui a indiqué.
3. Ce résolveur, s’il ne sait pas, remonte la hiérarchie jusqu’aux serveurs qui font autorité pour le domaine.
4. La réponse redescend et chaque étape la conserve pour la durée indiquée.

Cette conservation explique un phénomène qui déroute tout le monde : après un changement, certains visiteurs voient le nouveau site et d’autres l’ancien. Rien n’est cassé, les copies n’ont simplement pas toutes expiré. Le mécanisme et sa durée sont détaillés dans notre article sur la propagation DNS.

Le test qui isole ce service : si une adresse numérique répond mais qu’un nom ne répond pas, le réseau fonctionne et c’est la traduction qui échoue. Vous venez d’éliminer tout le reste.

NAT : sortir à plusieurs par une seule adresse

Votre installation dispose d’une seule adresse publique pour l’ensemble de vos appareils. La traduction d’adresses résout ce problème : la box remplace votre adresse privée par la sienne en sortie, note la correspondance dans une table, et fait le chemin inverse au retour.

Elle distingue les appareils grâce au numéro de port qu’elle attribue à chaque conversation. C’est ce qui permet à trois personnes de consulter le même site en même temps sans que les réponses se mélangent. Ce que révèle cette adresse unique est détaillé dans notre article sur l’adresse IP publique.

La conséquence importante est asymétrique. Une connexion que vous initiez fonctionne, puisque la correspondance est créée au départ. Une connexion venue de l’extérieur, elle, arrive sur la box sans qu’aucune correspondance n’existe : la box ne sait pas à qui la transmettre, et la rejette.

C’est pour cela qu’héberger un service chez soi demande de déclarer explicitement une redirection de port. Et c’est aussi pour cela qu’une machine derrière une box est, par construction, inaccessible depuis l’extérieur tant que rien n’a été ouvert, ce qui constitue une protection de fait décrite dans notre article sur le rôle des pare-feu.

Fixer une adresse, et la bonne façon de le faire

Une imprimante, une caméra ou un serveur domestique ont besoin d’une adresse qui ne change pas. Deux méthodes existent, et l’une pose régulièrement problème.

• Saisir l’adresse sur l’appareil lui-même. Cela fonctionne, mais le service d’attribution l’ignore : il peut confier la même adresse à un autre appareil, et les deux se retrouvent en conflit. Le symptôme est intermittent et particulièrement désagréable à diagnostiquer.
• Réserver l’adresse sur la box. L’appareil continue de demander normalement son adresse, et le service lui rend toujours la même, identifiée par son adresse matérielle. Aucun conflit n’est possible, et le réglage est centralisé au même endroit que les autres.

La seconde méthode est presque toujours la bonne. Elle présente en plus un avantage pratique : en changeant de box ou de réseau, il suffit de reporter les réservations au lieu de reconfigurer chaque appareil un par un.

Le diagnostic, dans l’ordre

Symptôme	Mécanisme en cause
Adresse en 169.254.x.x	Attribution d’adresse : aucune réponse reçue
Adresse correcte, passerelle injoignable	Liaison locale : câble, port, borne sans fil
Passerelle joignable, aucun site n’arrive	Sortie vers l’extérieur ou lien opérateur
Une adresse numérique répond, pas un nom	Résolution de noms
Certains sites oui, d’autres non	Filtrage, ou résolution partielle

Cette grille couvre la grande majorité des pannes domestiques et une bonne part des pannes en entreprise. La méthode complète, avec la supervision qui permet de détecter avant que les utilisateurs ne se plaignent, figure dans notre article sur le monitoring des pannes réseau.

La limite : quand l’adresse publique n’est plus à vous

La réserve mérite d’être connue, car elle rend inopérant tout ce qui précède sur l’hébergement à domicile.

Les adresses publiques disponibles étant épuisées, certains opérateurs appliquent une seconde traduction à leur propre niveau : plusieurs abonnés partagent alors une même adresse publique. Vous conservez un accès normal à Internet, mais vous ne disposez plus d’une adresse qui vous soit propre.

Dans ce cas, aucune redirection de port configurée sur votre box ne fonctionnera, puisque la connexion entrante n’atteint même pas votre installation. Le symptôme est déroutant : tout est correctement réglé et rien n’arrive. La solution passe par une adresse publique dédiée auprès de l’opérateur, ou par un hébergement ailleurs.

Questions fréquentes sur NAT, DHCP et DNS

Que signifie une adresse en 169.254 ?

Que la machine n’a reçu aucune réponse à sa demande d’adresse et s’en est attribué une toute seule. Le service d’attribution est injoignable, et c’est le premier point à vérifier avant tout autre diagnostic.

À quoi sert le NAT sur une box ?

À permettre à plusieurs appareils de partager une seule adresse publique. La box remplace l’adresse privée par la sienne en sortie, note la correspondance, et fait le chemin inverse au retour en distinguant les appareils par le numéro de port.

Pourquoi faut-il ouvrir un port pour héberger un service chez soi ?

Parce qu’une connexion venue de l’extérieur arrive sans correspondance dans la table de traduction : la box ne sait pas à quel appareil la transmettre et la rejette. La redirection de port crée cette correspondance à l’avance.

Comment savoir si le problème vient du DNS ?

En testant une adresse numérique et un nom. Si l’adresse numérique répond et que le nom ne répond pas, le réseau fonctionne et c’est la traduction de noms qui échoue.

Pourquoi mes redirections de port ne fonctionnent-elles pas ?

Souvent parce que votre opérateur applique une traduction d’adresses à son niveau et que plusieurs abonnés partagent la même adresse publique. La connexion entrante n’atteint alors jamais votre box, quels que soient vos réglages.