Résoudre l'erreur Double NAT sur un PC

Important : n’appliquez pas de modifications avancées sans sauvegarder la configuration actuelle du routeur. Si vous dépendez d’un service fourni par l’opérateur, contactez d’abord le support.

Si vous rencontrez des problèmes réseau, la cause peut être la traduction d’adresses réseau (NAT) de votre PC ou de vos équipements qui génère une erreur appelée double NAT. Les erreurs de NAT peuvent fortement détériorer votre expérience de navigation, de jeu en ligne et d’utilisation de services réseau. Ce guide vous aidera à comprendre le NAT, à détecter un double NAT et à le corriger.

Qu’est-ce que le NAT et pourquoi un double NAT pose problème

NAT (Network Address Translation) est un mécanisme qui traduit une adresse IP publique fournie par votre fournisseur d’accès à Internet (FAI) en adresses IP privées utilisées sur votre réseau local. Le routeur joue l’intermédiaire et effectue cette traduction.

Un double NAT survient lorsqu’il y a deux appareils effectuant la translation d’adresses sur la même chaîne réseau — typiquement deux routeurs ou un routeur personnel connecté à une passerelle/modem-routeur fournie par le FAI. Les paquets sont traduits deux fois, ce qui crée deux réseaux privés distincts. Les appareils derrière chacun des deux équipements seront isolés par des plages d’adresses et des règles de pare-feu différentes, ce qui empêche la communication directe et perturbe des fonctions comme :

• Jeux en ligne (sessions, NAT strict ou modéré)
• VPN (établissement des tunnels)
• Redirections de ports et déclenchements (port forwarding/port triggering)
• Qualité de service (QoS)
• Caméras et sonnettes connectées

En pratique, le double NAT peut « boucher » les connexions entrantes et rendre inutile la plupart des règles de routage ou de QoS. Voyons comment le détecter puis le corriger.

Comment détecter un double NAT sous Windows

Vous pouvez vérifier si votre réseau subit un double NAT directement depuis un PC Windows en suivant ces étapes simples.

1. Ouvrez une invite de commandes élevée : appuyez sur Win + R, tapez cmd, puis pressez Ctrl + Maj + Entrée pour lancer en mode administrateur.

2. Exécutez la commande suivante :

tracert 8.8.8.8

3. La commande affichera la liste des sauts (hops) entre votre PC et l’adresse publique (ici 8.8.8.8 est un serveur DNS public de Google). Si les deux premiers sauts (ou plusieurs des premiers sauts) affichent des adresses IP privées, il y a très probablement un double NAT.

Les plages d’adresses IP privées les plus courantes sont :

• 192.168.0.0 à 192.168.255.255
• 172.16.0.0 à 172.31.255.255
• 10.0.0.0 à 10.255.255.255

Si le premier saut est privé et le second est public, vous êtes normalement sur un seul NAT. Si les deux premiers sauts sont privés (par exemple 192.168.1.1 puis 10.0.0.1), cela indique deux appareils effectuant la traduction.

Note : certains équipements ou opérateurs utilisent des adresses privées pour leurs équipements de coeur de réseau (CGNAT). Dans ce cas, même si vous voyez une adresse privée plus loin dans la route, le problème peut être lié au FAI. Contactez le support si vous suspectez du CGNAT.

Méthodes pour corriger un double NAT

Voici plusieurs solutions classées de la plus simple à la plus sûre : supprimez l’appareil en double, convertissez un dispositif en modem (mode pont), configurez la DMZ, configurez une IP statique et le basculement en point d’accès. Chaque méthode indique quand l’utiliser et ses limites.

1) Supprimer un routeur

Description : la solution la plus simple est de n’utiliser qu’un seul routeur. Si vous avez connecté un routeur personnel derrière le routeur/modem de l’opérateur, retirez l’un des deux et conservez l’appareil qui fournit toutes les fonctions dont vous avez besoin.

Quand l’utiliser : réseau domestique simple, aucun service particulier attaché au routeur secondaire.

Limites : vous perdez les fonctionnalités exclusives du routeur retiré (par ex. meilleurs contrôles parentaux, Wi‑Fi supérieur), sauf si vous remplacez l’équipement de l’opérateur.

2) Mettre un appareil en mode modem (bridge) — utiliser un routeur comme modem

Description : configurez l’équipement du FAI (ou l’un des deux routeurs) en mode pont/bridge. En mode bridge, l’appareil cesse d’effectuer la NAT et passe l’adresse publique directement au routeur principal.

Étapes générales :

1. Accédez à l’interface web du routeur du FAI (souvent http://192.168.0.1 ou http://192.168.1.1).
2. Cherchez un réglage “Mode bridge”, “Bridge mode” ou “Modem only”.
3. Activez ce mode puis branchez le câble WAN du routeur personnel sur l’appareil qui reçoit maintenant l’adresse publique.

Quand l’utiliser : vous voulez garder votre routeur personnel comme équipement principal (Wi‑Fi, règles avancées).

Limites : certains routeurs FAI n’offrent pas le mode bridge. Si le FAI gère le firmware, vous devrez le contacter.

3) Utiliser la DMZ pour contourner la NAT du premier routeur

Description : la DMZ (demilitarized zone) permet d’envoyer tout le trafic entrant vers une adresse IP interne spécifique. Cela ne désactive pas la NAT, mais contourne le pare‑feu/NAT du premier appareil en renvoyant tous les ports vers le routeur secondaire.

Étapes :

1. Attribuez une IP statique au routeur secondaire (ex. 192.168.1.2). Évitez le DHCP pour ce périphérique.
2. Sur le routeur primaire, localisez la section DMZ et indiquez l’adresse IP du routeur secondaire.
3. Activez la DMZ. Vérifiez l’accès depuis l’extérieur (par exemple test de port ou service exposé).

Quand l’utiliser : le mode bridge n’est pas disponible, mais vous avez besoin que le second routeur reçoive tout le trafic entrant.

Limitations : la DMZ peut réduire la sécurité (tout le trafic est redirigé). Utilisez uniquement si le routeur secondaire dispose de ses propres protections.

4) Mettre le routeur secondaire en point d’accès (Access Point)

Description : si vous n’avez besoin que d’un meilleur Wi‑Fi, convertissez le deuxième routeur en point d’accès. Le routeur secondaire n’effectuera plus la fonction de routeur/NAT : il se contentera d’étendre le réseau.

Étapes rapides :

1. Connectez le câble réseau entre un port LAN du routeur principal et un port LAN (pas le WAN) du routeur secondaire.
2. Désactivez le serveur DHCP sur le routeur secondaire.
3. Attribuez une adresse IP statique au routeur secondaire dans la plage du routeur principal (hors plage DHCP).
4. Configurez SSID et canaux pour éviter les interférences.

Quand l’utiliser : vous souhaitez étendre le Wi‑Fi sans créer un deuxième sous‑réseau.

5) Activer UPnP, configurer le port forwarding ou utiliser un IP statique

Description : si vous ne pouvez pas corriger le double NAT globalement, essayez d’ouvrir les ports nécessaires via UPnP (si sécurisé et disponible) ou configurez des règles manuelles de transfert de ports. La combinaison DMZ + IP statique sur le routeur secondaire est souvent suffisante.

Bonnes pratiques :

• Utilisez une IP statique pour le routeur secondaire et les services qui doivent recevoir du trafic.
• Évitez la redirection de ports massifs si vous ne contrôlez pas la sécurité du réseau.

6) Contacter votre fournisseur d’accès (FAI)

Description : si l’équipement du FAI est limité ou si le FAI utilise du CGNAT (carrier‑grade NAT), le seul moyen d’obtenir une adresse IPv4 publique directement peut être de demander la mise en bridge, un forfait avec IP publique dédiée ou une solution IPv6.

Quand l’utiliser : échec des autres méthodes, ou si vous observez des adresses privées inattendues en amont.

Checklist de diagnostic rapide (à suivre avant toute modification)

• Exécuter tracert 8.8.8.8 et noter les deux premiers sauts.
• Vérifier les IP des interfaces réseau locales (ipconfig /all sous Windows).
• Identifier le modèle et l’interface web du routeur FAI et du routeur personnel.
• Sauvegarder la configuration actuelle de chaque routeur (export de config).
• Noter les services qui nécessitent des ports entrants (jeux, caméras, NAT rigide).

Procédure pas à pas (Playbook) pour un réseau domestique typique

1. Sauvegarde : exportez la config de chaque routeur.
2. Diagnostic : lancez tracert. Si double NAT confirmé, continuez.
3. Solution la plus simple : si possible, retirez le routeur secondaire et testez.
4. Si vous avez besoin de fonctionnalités du routeur personnel : tentez le mode bridge sur le routeur FAI.
5. Si pas de bridge : configurez la DMZ vers le routeur secondaire (IP statique) puis testez le service.
6. Si vous voulez seulement du Wi‑Fi amélioré : passez le routeur secondaire en point d’accès (désactivez DHCP).
7. Test final : exécutez à nouveau tracert et testez les applications (jeu, VPN, caméra).
8. Restauration : si problème, restaurez la configuration sauvegardée et contactez le FAI si nécessaire.

Arbre de décision (Mermaid)

flowchart TD
  A[Problèmes réseau / jeu / VPN] --> B{Avez-vous 2 routeurs ou
un modem-routeur + routeur ?}
  B -- Oui --> C[Exécuter tracert 8.8.8.8]
  B -- Non --> Z[Vérifier autres causes 'Wi‑Fi, latence, CGNAT']
  C --> D{Les deux premiers sauts sont privés ?}
  D -- Oui --> E{Souhaitez-vous garder
le routeur personnel ?}
  E -- Non --> F[Retirer le routeur secondaire]
  E -- Oui --> G{Le routeur FAI supporte‑t‑il le bridge ?}
  G -- Oui --> H[Activer mode bridge sur routeur FAI]
  G -- Non --> I[Configurer DMZ vers routeur secondaire ou
mettre le routeur secondaire en point d'accès]
  D -- Non --> Z

Critères d’acceptation

• Tracert 8.8.8.8 n’affiche qu’un seul saut privé avant les adresses publiques.
• Les jeux en ligne indiquent NAT modéré/ouverte (selon le jeu) et les connexions VPN s’établissent sans erreurs.
• Les appareils domotiques accessibles depuis l’extérieur (si configurés) fonctionnent après tests.
• Les règles de QoS (si présentes) sont opérationnelles.

Listes par rôle

Utilisateur joueur

• Priorité : faible latence et NAT ouvert.
• Actions recommandées : mode bridge du FAI ou DMZ vers votre routeur de jeu; vérifier UPnP.

Administrateur domestique (touche technique)

• Priorité : sécurité et contrôle.
• Actions recommandées : mode bridge si disponible, sinon DMZ + IP statique, configurer pare-feu du routeur principal.

Utilisateur non technique

• Priorité : simplicité.
• Actions recommandées : contacter le FAI, demander l’option bridge ou assistance pour désactiver le double NAT.

Glossaire (1 ligne par terme)

• NAT : traduction d’adresses réseau entre IP publiques et privées.
• DMZ : zone démilitarisée — redirige tout le trafic entrant vers une IP interne.
• Bridge/Mode pont : mode où un appareil transmet l’adresse publique à un autre sans effectuer de NAT.
• UPnP : protocole permettant l’ouverture automatique de ports par des applications.

Sécurité et bonnes pratiques

• Ne laissez pas une DMZ active sur un appareil non sécurisé sans firewall interne.
• Utilisez des mots de passe forts pour l’interface des routeurs.
• Sauvegardez toute configuration avant modification.

Limitations et cas où cela échoue

• Certains FAI utilisent le CGNAT et n’attribuent pas d’adresse IPv4 publique — dans ce cas, aucune configuration locale ne résoudra l’absence d’une IP publique.
• Si vous dépendez d’un service géré par l’opérateur (TV sur IP, téléphone), la mise en bridge peut casser ces services. Renseignez-vous avant.

Notes sur la compatibilité et migration

• Modèles anciens de routeurs peuvent ne pas supporter le bridge ou la DMZ.
• Lors de la migration, testez chaque étape et notez les adresses IP et paramètres DHCP.

Résolution finale et conseils

Corriger un double NAT consiste souvent à faire un choix entre simplicité (retirer un dispositif), contrôle (passer en mode bridge) ou compromis (DMZ ou point d’accès). Pour les joueurs et les administrateurs domestiques, le passage en bridge ou la configuration d’une DMZ vers un routeur dédié est généralement la meilleure solution. Pour un simple renforcement du Wi‑Fi, la conversion en point d’accès évite tout problème de NAT.

Si après toutes ces étapes vos problèmes persistent, notez les symptômes précis (erreurs, messages du jeu, logs du VPN) et contactez le support de votre FAI. Conservez toujours une sauvegarde de la configuration et documentez les changements pour pouvoir revenir en arrière.

Résumé : identifiez le double NAT avec tracert, choisissez la méthode adaptée (supprimer un routeur, bridge, DMZ, point d’accès) et appliquez la checklist et la procédure pas à pas. Avec ces étapes, vous devriez retrouver un réseau stable, des jeux sans blocage de ports et des appareils domotiques fonctionnels.