DNAT : Destination Network Address Translation
Réseau
DNAT : Destination Network Address Translation. « Traduction de l'adresse de destination », par analogie avec le standard téléphonique qui reçoit tous les appels sur le numéro public et les transfère au bon poste interne.
Le mécanisme : L'équipement réécrit l'adresse, et souvent le port, de destination des paquets entrants pour les diriger vers une machine interne. C'est la technique derrière la redirection de port et la publication d'un serveur situé derrière un pare-feu.
Le pendant : Le SNAT réécrit l'adresse source des paquets sortants ; le DNAT réécrit la destination des paquets entrants. La table de translation garde la correspondance pour que les réponses reprennent le bon chemin.
Ce qu'il ne fait pas : Le DNAT publie un service, il ne le protège pas. Rediriger le port d'une interface d'administration vers Internet n'est pas une architecture, c'est une invitation rédigée en bonne et due forme ; le filtrage reste l'affaire du pare-feu.
Ce qui arrive si on s'en passe
Mal compris, le DNAT passe pour une protection alors qu'il se contente de publier : rediriger vers Internet le port d'une interface d'administration ou d'un service interne l'expose directement aux balayages automatiques, qui ne se lassent jamais de parcourir les adresses publiques. Sans filtrage associé sur le pare-feu, chaque règle de redirection oubliée reste une entrée ouverte que personne n'inventorie, et supprimer une règle suppose d'abord de savoir qu'elle existe. Le DNAT a la loyauté d'un standardiste : il transfère tous les appels au poste indiqué, y compris ceux des cambrioleurs.
Explication de la marmotte
Une maison ou une entreprise n'a souvent qu'une seule adresse visible depuis Internet, alors qu'à l'intérieur il y a plein d'appareils. Quand quelqu'un de l'extérieur veut joindre un service précis, par exemple un site web hébergé dans un ordinateur de la maison, la box doit savoir à quel appareil transmettre la demande. On lui donne une règle du genre : tout ce qui arrive par cette porte-là, envoie-le à cet ordinateur-là. C'est ce que fait ce mécanisme, un peu comme un standardiste qui transfère les appels vers le bon bureau.
Où ce terme est utilisé
- NAT, translations et publication de services (10 occurrences)
- Docker ou Podman en auto-hébergement : root, rootless, isolation (4 occurrences)
- Isolation des conteneurs Docker : namespaces, cgroups et évasions (2 occurrences)