CGNAT : pourquoi l’accès distant à votre NAS ne fonctionne plus

Vous avez tout configuré avec minutie. Le serveur multimédia ou le stockage réseau est opérationnel, l’adresse IP locale est fixée, les redirections de ports (NAT/PAT) sont renseignées sur votre box Internet, et un nom de domaine dynamique (DDNS) met à jour vos accès. Pourtant, dès que vous franchissez le pas de votre porte et basculez sur votre connexion mobile, rien ne répond. L’application tourne dans le vide avant de renvoyer un échec de connexion.

Face à cette panne incompréhensible, beaucoup pensent à une erreur de manipulation ou à un bogue matériel. En réalité, le responsable est invisible et se trouve bien plus haut sur la ligne : vous êtes enfermé derrière un CGNAT.

Le diagnostic de l'écran noir : pourquoi vos ports ne répondent plus

Face à la pénurie mondiale d’adresses IPv4, les fournisseurs d'accès à Internet ont dû adapter leurs infrastructures. Sur les connexions 4G ou 5G fixes, chez les opérateurs satellitaires comme Starlink, et de plus en plus souvent sur les abonnements fibre optique récents, les opérateurs n'attribuent plus d'adresse IPv4 publique dédiée à chaque foyer.

Ils déploient ce que l’on nomme le Carrier-Grade NAT (CGNAT) : une passerelle géante qui regroupe plusieurs centaines d'abonnés derrière une seule et unique adresse publique.

Pour savoir si vous êtes concerné, un test simple suffit : comparez l'adresse IP WAN indiquée dans la console d'administration de votre box avec celle que détectent les sites de vérification d'adresse IP en ligne. Si l'adresse dans votre routeur commence par 100.64. (la plage réservée au CGNAT), le verdict est sans appel.

Vous ne disposez pas d'une adresse publique à vous. Ouvrir des ports sur votre équipement domestique revient à déverrouiller une porte intérieure dans un immeuble dont l'accès d'entrée principal reste cadenassé de l'extérieur.

L’illusion marketing : un VPN traditionnel n'ouvre pas vos accès

Le premier réflexe consiste souvent à chercher un outil de contournement sur le web. Des dizaines d'articles affirment qu’il suffit de « souscrire un bon VPN » pour franchir le CGNAT. C'est une confusion technique majeure entretenue par des comparateurs généralistes.

Il faut distinguer deux usages radicalement opposés :

Le VPN de sortie (commercial grand public) : Il chiffre vos données locales et les achemine vers un serveur distant pour masquer votre navigation auprès des sites web que vous visitez.

Le VPN d'accès distant (point-à-point) : Il permet à un utilisateur extérieur de pénétrer au sein d'un réseau privé pour joindre un serveur, un disque partagé ou des caméras.

Installer un abonnement commercial ordinaire sur votre box ou votre serveur ne résoudra rien. Ce service cachera l'activité sortante de votre machine, mais il ne vous attribuera pas une adresse d'accès fixe sur laquelle rediriger des connexions depuis votre téléphone à l'extérieur.

Quant aux rares fournisseurs traditionnels qui proposent une option de redirection de port (port forwarding), elle s'avère souvent précaire : les ports réassignés changent fréquemment, la configuration est instable, et ces fonctions sont régulièrement désactivées pour prévenir les abus. Acheter un service classique dans l'espoir de joindre sa maison depuis l'extérieur est une dépense inutile.

La seule méthode fonctionnelle : inverser le sens de la liaison

Pour contourner la barrière du CGNAT sans demander une dérogation coûteuse à son opérateur, la solution ne consiste pas à forcer l’entrée, mais à inverser la logique de communication.

Si votre box refuse les requêtes entrantes venues d'Internet, elle autorise en revanche sans aucune restriction les flux qui partent de votre domicile vers l'extérieur. Il suffit donc que votre serveur ou votre équipement domestique initialise lui-même une liaison permanente vers un point de coordination externe neutre.

C'est exactement le principe exploité par les réseaux maillés modernes (overlay networks) comme Tailscale ou ZeroTier. En installant un agent léger sur votre machine domestique et sur vos terminaux nomades, les appareils établissent une liaison sortante vers un coordinateur sécurisé.

Grâce à des mécanismes de découverte automatique (perforation NAT), vos deux équipements créent un tunnel chiffré direct de bout en bout. Vous obtenez une adresse privée accessible partout, sans jamais toucher aux réglages de votre box et sans vous soucier du CGNAT.

Pour des besoins purement web, des tunnels applicatifs comme Cloudflare Tunnels offrent une alternative similaire, même s'ils restent moins adaptés au transfert massif de fichiers locaux.

Le rôle différent d’un outil de protection en déplacement

Une fois cette passerelle point-à-point établie, le problème d'accès est résolu. Mais une nouvelle difficulté apparaît dès que vous vous déplacez : l'environnement depuis lequel vous tentez de vous connecter.

Travailler en déplacement implique des connexions instables : Wi-Fi partagés d'hôtels aux filtrages agressifs, réseaux de gares peu sécurisés, et bascules permanentes entre antennes cellulaires qui provoquent de fortes pertes de paquets. C'est précisément à cette étape qu'un outil de protection dédié prend tout son sens pour le voyageur, non pas comme hébergeur domestique, mais comme bouclier d'acheminement réseau.

C’est sur ce terrain d’optimisation du flux client qu’intervient OnlydogVPN.

Pour le terminal nomade (ordinateur portable ou smartphone en déplacement), ce service apporte une réponse ciblée à la dégradation des réseaux externes grâce à son architecture s'appuyant sur HTTP/3. Contrairement aux liaisons conventionnelles qui s'effondrent dès que le signal faiblit ou que le réseau change d'interface (passage du Wi-Fi à la 4G/5G), cette conception assure une continuité de session remarquable. Les requêtes ne décrochent pas, même lors de micro-coupures ou d'une perte importante de paquets.

L'expérience reste directe : aucun casse-tête de configuration, aucun compte alourdi de mots de passe à ressaisir en urgence, et des profils prêts à l'emploi qui sécurisent l'ensemble du trafic sortant d'un simple clic. En intégrant un filtrage natif des traceurs et des requêtes parasites, l'outil préserve également la bande passante sur les réseaux mobiles contraints, évitant que des données inutiles ne viennent ralentir vos transferts distants.