Obtenir une IP publique fixe derrière un CGNAT, Starlink ou une box 4G/5G
CGNAT, Starlink, 4G/5G : pourquoi vous n'avez pas d'IP publique, les solutions possibles et comment un tunnel vous donne une IPv4 fixe routée chez vous.
Mis à jour le · 9 min de lecture
Pourquoi vous n'avez pas d'IP publique
Les adresses IPv4 sont épuisées depuis des années. Pour continuer à raccorder des clients, beaucoup d'opérateurs partagent une même adresse publique entre plusieurs abonnés grâce au CGNAT (Carrier-Grade NAT) : votre box reçoit une adresse privée, et c'est un équipement de l'opérateur qui fait la traduction vers Internet.
Pour naviguer, cela ne change rien. Mais dès que quelqu'un doit vous joindre depuis Internet, c'est bloqué :
- impossible d'ouvrir un port pour un serveur web, un serveur de jeu ou un VPN ;
- caméras, NAS et domotique injoignables à distance sans passer par un cloud tiers ;
- pas d'IP fixe à déclarer dans une liste blanche (accès client, partenaire, banque, administration) ;
- serveur mail, homelab ou petit hébergement impossibles à exposer proprement.
Les situations les plus courantes :
| Connexion | IPv4 publique ? | Ce qu'il faut savoir |
|---|---|---|
| Starlink (offres grand public) | Non, CGNAT | Préfixe IPv6 public généralement fourni, IPv4 partagée. |
| Box 4G/5G, routeur cellulaire | Rarement | Les réseaux mobiles utilisent très souvent du CGNAT ; l'IP change aussi régulièrement. |
| Fibre ou ADSL | Selon l'opérateur | Certains partagent une IPv4 entre abonnés (plages de ports), d'autres permettent de demander une IPv4 complète. |
| Réseaux d'entreprise, coworkings, campings, sites isolés | Rarement | NAT multiples et aucun contrôle sur l'équipement de sortie. |
Vérifier si vous êtes derrière un CGNAT
- Relevez l'adresse WAN affichée dans l'interface de votre box ou de votre routeur.
- Comparez-la avec l'adresse vue depuis Internet (n'importe quel site « quelle est mon IP »).
- Si les deux diffèrent, ou si l'adresse WAN est dans
100.64.0.0/10(la plage réservée au CGNAT),10.0.0.0/8,172.16.0.0/12ou192.168.0.0/16, vous êtes derrière un NAT de l'opérateur.
Un traceroute vers une adresse publique donne un indice supplémentaire : si les premiers sauts après votre box sont encore en 100.64.x.x ou en adresses privées, le NAT est chez l'opérateur.
Les solutions possibles
| Solution | Avantages | Limites |
|---|---|---|
| Demander une IP fixe à l'opérateur | Rien à installer quand c'est possible. | Souvent réservé aux offres pro, payant, et impossible sur Starlink grand public ou la plupart des forfaits mobiles. |
| Passer en IPv6 uniquement | Gratuit si votre opérateur fournit un préfixe public. | Une partie des réseaux et des visiteurs n'a pas encore d'IPv6 : votre service reste injoignable pour eux. |
| Tunnel inverse applicatif (proxy HTTP type « tunnel cloud ») | Simple pour exposer un site web. | Limité au HTTP(S) ou à quelques protocoles ; pas une vraie IP, pas de ports arbitraires ni d'UDP pour un serveur de jeu ou un VPN. |
| VPS + VPN monté soi-même | Contrôle total. | Configuration NAT et routage à maintenir, une seule IP, bande passante et protection du VPS à gérer vous-même. |
| Tunnel IP avec IP publique routée | Vraie IPv4 (et IPv6) publique fixe, tous ports et protocoles, indépendante de la connexion. | Un équipement capable de monter un tunnel est nécessaire (routeur, serveur ou petite machine). |
Comment fonctionne un tunnel IP
Le principe : une adresse IP publique vous est attribuée sur notre réseau à Paris (Equinix PA5). Votre équipement établit un tunnel sortant vers notre routeur, ce qui passe sans difficulté à travers le CGNAT. Tout le trafic destiné à votre IP publique arrive chez nous et vous est livré dans le tunnel, puis vos réponses repartent par le même chemin.
- Internet joint votre IP publique fixe, par exemple
203.0.113.10. - Notre routeur à Paris reçoit le trafic et l'envoie dans votre tunnel.
- Votre connexion (Starlink, 4G/5G, fibre derrière CGNAT) transporte le tunnel sans rien voir.
- Votre routeur ou serveur reçoit le trafic avec l'IP publique configurée directement sur son interface.
Ce que cela change par rapport aux autres solutions :
- Une vraie IP routée, pas un port redirigé : tous les ports, TCP comme UDP, ICMP compris.
- Une IP qui ne bouge pas, même si vous changez d'opérateur, de box ou de type de connexion.
- Plusieurs protocoles : GRE, IPIP et WireGuard (chiffré) pour le routage ; VXLAN, EoIP, GRETAP ou L2TPv3 pour étendre un réseau de niveau 2.
- De l'IPv4 et de l'IPv6, d'une seule adresse
/32jusqu'à un bloc/22, avec reverse DNS (PTR) géré depuis le panel.
Mise en place en 4 étapes
- Commander. Sur Tunnel IP, choisissez le nombre de tunnels et d'adresses. Le point de départ est à 6 € par mois : 4 € pour le tunnel et 2 € pour une IPv4. Aucune information technique n'est demandée à la commande.
- Créer le tunnel dans le panel. Choisissez le protocole (WireGuard si votre lien n'est pas chiffré par ailleurs, GRE ou IPIP pour la performance pure) et indiquez l'adresse publique actuelle de votre connexion si le protocole le demande. Le type de tunnel peut être changé à tout moment.
- Configurer votre équipement. Montez le tunnel sur votre routeur (MikroTik, pfSense, OPNsense), un serveur Linux ou un hôte Proxmox, puis ajoutez l'IP publique sur l'interface ou derrière, selon que vous la voulez sur le routeur ou sur une machine précise.
- Vérifier. Testez depuis l'extérieur (ping, ouverture de port), configurez le reverse DNS si besoin, puis déclarez l'IP dans vos listes blanches ou vos enregistrements DNS.
Bande passante : le port est à 10 Gbps par tunnel, avec 20 Mbps garantis inclus et une facturation au 95e percentile au-delà. Les pics ponctuels ne sont donc pas facturés ; seul un usage soutenu au-dessus du palier l'est.
Questions fréquentes
Comment savoir si je suis derrière un CGNAT ?
Comparez l'adresse WAN affichée par votre box ou votre routeur avec l'adresse vue par un site comme « quelle est mon IP ». Si elles diffèrent, ou si l'adresse WAN commence par 100.64 à 100.127 (plage 100.64.0.0/10), 10., 172.16 à 172.31 ou 192.168., vous êtes derrière un NAT de l'opérateur.
Starlink fournit-il une IP publique ?
Sur les offres grand public, l'IPv4 est partagée derrière un CGNAT : impossible d'ouvrir un port entrant en IPv4. Un préfixe IPv6 public est généralement fourni, mais beaucoup de réseaux et d'appareils ne sont pas encore joignables en IPv6. Un tunnel vers une IPv4 publique fixe contourne le problème.
Un tunnel IP fonctionne-t-il avec une connexion 4G ou 5G ?
Oui. Le tunnel est établi depuis votre équipement vers notre réseau : il sort par la connexion existante, quel que soit son type (4G, 5G, fibre, satellite), et l'IP publique reste la même si votre adresse côté opérateur change.
Quels équipements sont compatibles ?
Tout équipement qui parle GRE, IPIP, WireGuard, VXLAN ou EoIP : routeurs MikroTik, pfSense, OPNsense, serveurs Linux, Proxmox, ou une petite machine dédiée derrière votre box. Le type de tunnel se choisit et se change à tout moment dans le panel.
Vous avez déjà vos propres adresses IP, ou vous voulez annoncer un préfixe en BGP ? Lisez notre guide BGP sans ASN et BYOIP.