Le NAT (Network Address Translation) expliqué pour l'IoT

La plupart des appareils connectés à Internet dans le monde ne disposent pas de leur propre adresse IP publique. Ils se trouvent sur un réseau privé, partagent une seule adresse IP publique et s'appuient sur un routeur pour assurer la traduction entre les deux. Ce routeur se charge de NAT: Traduction d'adresses réseau (NAT). Cet article explique le fonctionnement du NAT, pourquoi il est omniprésent et ce que cela implique pour votre carte SIM Simbase.

Fonctionnement du NAT

Une passerelle NAT se situe entre un réseau privé et l'Internet public. Son rôle consiste à réécrire les adresses IP des paquets afin que :

Trafic sortant provenant d'un appareil privé semble provenir de l'adresse IP publique de la passerelle.
Trafic de retour en provenance d'Internet et acheminé vers la passerelle est redirigé vers le bon appareil privé.

Un guide simplifié :

Votre ordinateur portable (adresse IP privée 192.168.1.10) envoie une requête à un serveur web.
Le paquet quitte votre ordinateur portable avec la source 192.168.1.10 et de destination 93.184.216.34 (le serveur).
Le routeur ou la passerelle NAT intercepte le paquet. Il remplace l'adresse source par sa propre adresse IP publique (par exemple 203.0.113.5), comme l'indique la carte (192.168.1.10:55124) ↔ (203.0.113.5:62001) dans sa table NAT, puis le transmet.
Le serveur répond à 203.0.113.5:62001.
Le routeur consulte la table NAT et constate que cela correspond à 192.168.1.10:55124, réécrit la destination et transmet la réponse à votre ordinateur portable.

Votre ordinateur portable n'a jamais su qu'il se trouvait derrière un NAT. Le serveur web n'a jamais su qu'il existait un réseau privé.

Pourquoi le NAT existe-t-il ?

Trois raisons :

Préservation des adresses IPv4. Il existe environ 4,3 milliards d'adresses IPv4, mais le nombre d'appareils est bien plus élevé. Le NAT permet à des milliers d'appareils de partager une seule adresse.
Pare-feu intégré. Les appareils situés derrière un NAT ne sont pas accessibles directement depuis Internet. Les paquets envoyés à la passerelle pour lesquels aucune entrée correspondante n'existe dans la table NAT sont rejetés. Il s'agit là d'une politique de sécurité par défaut très stricte.
Indépendance vis-à-vis du réseau. Chaque réseau privé peut utiliser le même espace d'adressage (192.168.x.x) sans se concerter avec qui que ce soit.

Les inconvénients du NAT

Les connexions entrantes sont bloquées par défaut. Si un élément sur Internet souhaite communiquer avec votre appareil, il ne peut pas lancer la connexion. Il existe des solutions de contournement (redirection de ports, traversée NAT, « hole-punching »), mais elles sont complexes et peu fiables.
Certains protocoles rencontrent des difficultés. Tout ce qui intègre des adresses IP dans la charge utile de l'application (anciennes technologies VoIP, mode actif FTP, certains protocoles VPN) ne fonctionne pas sous NAT, à moins que la passerelle ne dispose de fonctions d'assistance spécifiques.
Le suivi des connexions a ses limites. Les appareils à très haut débit peuvent saturer la table NAT des petites passerelles.
L'exploitation forestière est plus difficile. Du point de vue d'Internet, tous vos appareils apparaissent comme une seule adresse IP ; par conséquent, pour attribuer le trafic à un appareil spécifique, il faut consulter les journaux de la passerelle NAT.

Cartes SIM NAT et Simbase

Par défaut, Chaque carte SIM Simbase est connectée derrière une passerelle NAT au cœur mobile Simbase. Cela signifie :

La carte SIM peut lancer une communication sortante des connexions à vos API, à vos brokers MQTT, à vos serveurs web, à tout ce qui se trouve sur Internet.
La carte SIM ne peut pas accepter les appels entrants connexions. Vos serveurs ne peuvent pas établir directement une connexion avec la carte SIM.
La carte SIM reçoit un adresse IP privée qui n'est pas visible depuis Internet.

Pour les cas d'utilisation classiques de l'IoT (un appareil qui interroge un serveur ou envoie des données via MQTT ou HTTP), c'est exactement ce qu'il vous faut. C'est sécurisé, c'est simple et cela ne coûte rien de plus.

Quand le NAT pose problème

Le NAT vous pose problème lorsque vous en avez besoin accéder à l'appareil depuis l'extérieur:

SSH à distance vers un routeur ou une passerelle
Interface utilisateur de configuration à distance sur un appareil déployé
Lancé par le serveur commande envoyée à l'appareil (par exemple, « se mettre en marche et envoyer un rapport »)
Organiser un service religieux sur l'appareil (serveur web, flux vidéo RTSP)
VPN site à site terminé sur l'appareil

Dans chacun de ces cas, vous devez contourner le NAT pour cette carte SIM. Simbase y parvient en attribuant un Adresse IP publique, qui achemine le trafic via une passerelle dédiée dotée d'une adresse routable.

Voir Adresses IP publiques pour les étapes.

NAT vs CGNAT

Vous verrez peut-être CGNAT (Carrier-Grade NAT) dans les discussions sur les réseaux mobiles. Le CGNAT est une forme de NAT mise en œuvre au niveau de l'opérateur. Votre opérateur applique le NAT derrière son adresse IP publique avant que votre trafic n'atteigne Internet. La plupart des réseaux mobiles grand public utilisent le CGNAT. Du point de vue de l'appareil, cela revient au même qu'un NAT classique.

Les cartes SIM sans adresse IP publique sont soumises à une traduction NAT au niveau de la passerelle Simbase. Le résultat est identique à celui du CGNAT sur un réseau mobile grand public : une adresse IP privée sur l'appareil, une adresse publique partagée exposée à Internet et aucune connexion entrante.

Questions fréquentes

Non. La redirection de ports nécessite de pouvoir contrôler la passerelle NAT. La passerelle NAT de Simbase est partagée et ne peut pas être configurée par l'utilisateur. Si vous avez besoin d'un accès entrant sur des ports spécifiques, attribuez une adresse IP publique et utilisez les règles de pare-feu de cette passerelle.

Non. MQTT est une connexion sortante de longue durée. Le client l'ouvre, le broker la maintient ouverte, et les messages circulent dans les deux sens via cette connexion unique. Le NAT gère très bien cela.

Non, ils sont isolés par la passerelle NAT. Ils peuvent communiquer via un serveur public (ou un VPN) auquel les deux ont accès en sortie.

Indirectement. Simbase attribue des adresses IP via DHCP lors de la connexion ; la carte SIM peut donc se voir attribuer une adresse IP privée différente à chaque fois. Le NAT gère cela de manière transparente pour les connexions sortantes. Si vous avez besoin d'une adresse stable, attribuez une Adresse IP publique pour une adresse statique routable, ou utilisez un réseau privé pour l'adressage statique au sein de votre propre sous-réseau.