IP publique ou CG-NAT : comment savoir ce que vous avez (et en sortir)

8 785 4 minutes de lecture

Câbles Ethernet et connecteurs réseau en gros plan

En bref :

Comparez l’adresse IP WAN affichée par votre box avec l’IP publique vue depuis un site comme « mon IP » : si elles diffèrent, vous êtes derrière un CG-NAT.
Une IP WAN dans la plage 100.64.0.0 à 100.127.255.255 (ou 10.x, 172.16-31.x, 192.168.x) confirme le partage d’adresse.
Conséquence : impossible d’ouvrir des ports ou d’héberger un serveur. Solution : demander une IPv4 dédiée à l’opérateur ou passer par l’IPv6.

Vous avez ouvert un port sur la box pour votre NAS, votre caméra ou un serveur de jeu, et rien ne passe depuis l’extérieur ? Il y a de fortes chances que votre opérateur vous ait placé derrière un CG-NAT : votre IPv4 est partagée avec d’autres abonnés. Voici comment le vérifier en deux minutes, pourquoi les opérateurs français le font et comment récupérer une vraie IP publique.

Qu’est-ce que le CG-NAT et pourquoi les opérateurs l’utilisent

Le Carrier-Grade NAT est une translation d’adresses faite chez l’opérateur, en plus de celle de votre box. Plusieurs abonnés sortent sur Internet avec la même adresse IPv4 publique, chacun identifié par une plage de ports. La raison est simple : les adresses IPv4 sont épuisées depuis des années et se négocient cher. En France, Bouygues Telecom et SFR partagent les IPv4 depuis longtemps, Free sur une partie de ses abonnés fibre, et Orange a généralisé le partage par défaut début 2025, en laissant une option pour le désactiver.

Situation	Ce qui marche	Ce qui ne marche pas
IP publique (dédiée)	Navigation, redirection de ports, serveur, caméra, VPN entrant, DDNS	—
CG-NAT	Navigation, streaming, jeux (avec parfois un NAT « strict »)	Ouverture de ports, accès distant direct, hébergement, certains jeux en P2P

Test 1 : comparer l’IP WAN de la box et l’IP publique

Ouvrez un site qui affiche votre adresse (tapez « mon IP » dans Google) et notez l’IPv4.
Connectez-vous à l’interface de la box : 192.168.1.1 (Livebox, Bbox, box SFR), mafreebox.freebox.fr ou 192.168.0.1.
Cherchez l’adresse IP WAN (Internet, Informations système, État de la connexion).
Identiques : vous avez une IP publique. Différentes : vous êtes derrière un CG-NAT (ou derrière un second routeur en cascade).

Test 2 : la plage de l’adresse WAN

Si l’adresse WAN commence par 100.64 à 100.127, c’est la plage réservée au CG-NAT (RFC 6598) : le diagnostic est certain. Une adresse en 10.x.x.x, 172.16-31.x.x ou 192.168.x.x indique aussi un réseau privé, donc soit un CG-NAT, soit un routeur placé devant votre box. Pour comprendre le rôle de cette interface, voyez le port WAN du routeur.

Test 3 : traceroute vers votre IP publique

Sous Windows, ouvrez l’invite de commandes et tapez tracert suivi de votre IP publique (sous macOS/Linux : traceroute). Avec une IP publique, la réponse arrive en un seul saut (votre box). Avec un CG-NAT, vous voyez deux sauts ou plus avant d’atteindre l’adresse : votre box, puis l’équipement de l’opérateur.

Test 4 : le NAT vu par les jeux

Sur PlayStation, Xbox ou dans certains jeux PC, un « type de NAT » strict ou « NAT 3 » malgré une redirection de ports correcte est un indice supplémentaire. Pour la redirection elle-même, suivez ouvrir des ports sur n’importe quel routeur.

Comment sortir du CG-NAT

Opérateur	Démarche (2026)
Orange / Sosh	Interface Livebox > Réseau > décocher le partage d’adresse IPv4 (IP unique mais non fixe ; fixe uniquement en offre pro)
Free	Espace abonné > Ma Freebox > Demander une adresse IP fixe V4 full-stack (gratuit)
SFR / RED	Espace client > option IPv4 dédiée, ou via le service client ; disponible selon l’offre
Bouygues / B&You	Espace client > Gérer ma Bbox > demande d’IPv4 publique (fixe) ; parfois via le service client

Les options changent régulièrement : vérifiez dans votre espace client. Deux alternatives évitent la demande : utiliser l’IPv6, activée par défaut chez tous les grands opérateurs, avec laquelle chaque appareil a sa propre adresse publique (il faut ouvrir le pare-feu IPv6 de la box et un DDNS compatible AAAA) ; ou passer par un tunnel (Tailscale, WireGuard sur un VPS, Cloudflare Tunnel) qui n’a besoin d’aucun port entrant. Pour le nom de domaine dynamique, voyez créer un DNS dynamique avec No-IP et les alternatives DDNS gratuites.

Erreurs fréquentes

Confondre CG-NAT et double NAT : un routeur Wi-Fi branché derrière la box donne les mêmes symptômes. Passez la box en mode bridge ou le routeur en point d’accès.
Tester avec le VPN actif : l’IP affichée est celle du VPN. Coupez-le avant les tests.
Penser que le DMZ règle le problème : avec un CG-NAT, aucun port entrant n’arrive jusqu’à la box.
Croire que l’IP dédiée est forcément fixe : chez Orange, l’IPv4 unique peut changer après un redémarrage de la box.

Cas pratique : un NAS inaccessible depuis le bureau

Karim a redirigé le port 5001 vers son NAS, mais la connexion échoue depuis l’extérieur. Son site « mon IP » affiche 90.x.x.x, alors que la Bbox annonce une IP WAN en 100.70.x.x : CG-NAT confirmé. Il demande une IPv4 publique dans son espace client, redémarre la box le lendemain, et le port répond. En attendant, il avait installé Tailscale sur le NAS et son PC, ce qui fonctionnait déjà sans ouverture de port. Pour un NAS maison, voyez aussi configurer XigmaNAS.