CGNAT : c'est quoi, et votre fibre en a-t-elle un ?

Le CGNAT, c'est une adresse IPv4 publique que votre opérateur partage entre plusieurs abonnés : vous naviguez sans problème, mais personne ne peut vous joindre de l'extérieur. Pour savoir si votre fibre en dépend, comparez l'adresse affichée par votre routeur à celle que voit internet. Elles diffèrent ? Vous êtes presque sûrement derrière un CGNAT.

CGNAT, c'est quoi au juste ?

CGNAT signifie Carrier-Grade NAT, un NAT « de niveau opérateur ». Votre routeur fait déjà un NAT : il range tous vos appareils derrière une seule adresse. Avec le CGNAT, l'opérateur ajoute une seconde couche en amont et range plusieurs foyers derrière une même adresse publique. L'IETF a réservé pour cette liaison un bloc spécial, 100.64.0.0/10, décrit par la RFC 6598 en avril 2012 : il numérote le lien entre le matériel de l'opérateur et votre box.

Les connexions parties de chez vous passent. Celles qui arrivent sans invitation s'arrêtent à l'étage de l'opérateur, qui ne sait pas à quel abonné les remettre.

Pourquoi les opérateurs partagent-ils leurs adresses IPv4 ?

Le stock est vide. Proximus indique dans son point d'étape IPv6 d'octobre 2023 que son dernier bloc d'adresses IPv4 reçu du RIPE date de 2012, et qu'il applique du CGN sur son internet mobile depuis des années, jusqu'à 16 abonnés par adresse. Sur le fixe résidentiel, le document ne dit rien.

Partager a un coût en ports. Une adresse IPv4 offre 64 512 ports utilisables (de 1 024 à 65 535) ; plus on y range d'abonnés, moins chacun en garde pour ses connexions simultanées.

Calcul de l'auteur sur 64 512 ports, relevé du 12 octobre 2026 ; la répartition réelle est propre à chaque opérateur. Un échange de 2016 sur la liste du RIPE évoque un accord belge qui plafonnerait le partage à 16 abonnés par adresse. Je n'en ai pas retrouvé le texte, donc je le range parmi les rumeurs.

Comment savoir si votre fibre est en CGNAT ?

La vérification prend cinq minutes et ne demande aucun outil.

1. Ouvrez l'interface de votre routeur et notez l'adresse IPv4 « WAN » ou « Internet ».
2. Sur un appareil du réseau, lancez une recherche « quelle est mon adresse IP » : le site affiche l'adresse publique vue de l'extérieur.
3. Comparez les deux adresses avec le tableau ci-dessous.
4. Si un routeur personnel est branché derrière la box, répétez la manœuvre sur la box elle-même, ou passez-la en mode pont avant de conclure.

Une redirection de port qui échoue ne prouve rien à elle seule : un pare-feu ou un mauvais appareil cible donnent le même symptôme.

Quels usages le CGNAT casse-t-il ?

La navigation, le streaming et la visioconférence n'y voient que du feu, parce que la connexion part de chez vous. Le problème apparaît dès que quelque chose doit pouvoir vous joindre de l'extérieur, ou dès que l'adresse que vous empruntez a mauvaise réputation.

• L'accès à distance à un NAS, à une caméra ou à une alarme, sans passer par le cloud du fabricant.
• L'hébergement maison : serveur de jeu, site, domotique exposée.
• Le VPN entrant vers votre réseau domestique.
• Le type de NAT des consoles, bloqué en strict : voir notre article sur le NAT strict, modéré ou ouvert.
• La réputation de l'adresse, qu'un autre abonné peut dégrader : captchas à répétition, voire refus d'un site.

Qui fait du CGNAT en Belgique ?

Aucune page officielle d'opérateur belge consultée au 12 octobre 2026 ne décrit sa politique sur le fixe résidentiel. Les traces publiques tiennent en quelques lignes.

Notre article sur le NAT des consoles jugeait le CGNAT rare sur les lignes fixes belges. Ces témoignages montrent qu'il existe au moins chez Orange Belgium et qu'il se corrige parfois par un simple appel. Ce sont des cas isolés, pas une statistique.

La région ne décide pas, l'opérateur oui. En Flandre, vous choisissez surtout entre Proximus (constructeur partenaire Fiberklaar) et Telenet (réseau Wyre en fibre) ; en Wallonie, entre Proximus (Unifiber) et le câble de VOO ou d'Orange ; à Bruxelles, entre les quatre. Avec une fibre disponible à environ 78 % à Bruxelles, 71 % en Flandre et 44 % en Wallonie à la mi-2026 (chiffres mouvants), l'adresse qui vous est attribuée dépend donc d'abord de l'opérateur que votre rue permet de souscrire.

Comment sortir du CGNAT ?

Voici les options, de la plus simple à la plus technique.

1. Demander une adresse IPv4 dédiée au support. C'est la voie des deux témoignages relevés. Demandez le prix et la condition avant de dire oui.
2. Passer par l'IPv6. Chaque appareil reçoit une adresse publique. Vérifiez que votre routeur distribue de l'IPv6, puis ajoutez une règle autorisant l'entrée vers l'appareil visé : le pare-feu l'interdit par défaut.
3. Contourner par un tunnel sortant. Un service comme Tailscale ou Cloudflare Tunnel ouvre la connexion depuis chez vous vers l'extérieur, donc le CGNAT ne l'empêche pas.
4. Changer d'offre. Si l'accès à distance est indispensable, comparez les opérateurs de votre adresse avec notre classement des meilleures offres de fibre.

Le piège du double NAT

Un faux CGNAT coûte une heure de support pour rien. Avant d'appeler, débranchez le routeur personnel, branchez un ordinateur directement sur la box et relisez l'adresse WAN de la box. Si elle est publique, le problème est chez vous. Proximus documente d'ailleurs la redirection de ports sur sa b-box et son Internet Box, preuve que la fonction est prévue pour les abonnés.

Pour comprendre où s'arrête la fibre chez vous, lisez FTTH, FTTB et FTTC ; pour le rôle de la prise murale, le boîtier ONT.