Comprendre le Double NAT : Pourquoi il bloque le gaming et comment le résoudre

Fonctionnement du NAT vs Dysfonctionnements causés par le Double NAT

Pour comprendre pourquoi le Double NAT crée des difficultés de connexion majeures, il est indispensable de saisir le rôle de la traduction d'adresses réseau standard sur un abonnement internet résidentiel classique.

NAT simple : Traduire une IP publique en plusieurs IP privées

Votre fournisseur d'accès à Internet attribue à votre domicile une unique adresse IPv4 publique (par exemple 73.189.44.12). Pourtant, un foyer moderne connecte des dizaines d'appareils simultanément : smartphones, ordinateurs portables, téléviseurs connectés et consoles de jeu.

Comme il n'y a pas assez d'adresses IPv4 à l'échelle mondiale pour chaque appareil, votre routeur utilise le NAT (défini par la norme IETF RFC 1918) pour créer un réseau local privé, généralement dans la plage 192.168.1.0/24 ou 10.0.0.0/24. Lorsque votre PC demande une page web, votre routeur remplace l'adresse IP privée de votre PC par l'adresse IP publique, consigne la requête dans sa table de traduction et redirige les données reçues en réponse vers votre PC. Cette traduction à saut unique est entièrement transparente et fluide.

Double NAT : Le piège de l'isolation entre deux routeurs

Le Double NAT se produit lorsque deux routeurs actifs sont connectés en série. Si vous hésitez sur la nature de votre box opérateur (modem simple ou combiné routeur), consultez notre comparatif des différences entre un modem et un routeur.

1. Routeur 1 (Box ou passerelle FAI) : Se connecte à Internet, reçoit l'adresse IP publique 73.189.44.12 et crée le sous-réseau privé A (ex. : 192.168.1.1).
2. Routeur 2 (Votre routeur ou borne Mesh) : Raccorde son port WAN au Routeur 1, reçoit une IP privée du Routeur 1 (ex. : 192.168.1.50) et crée le sous-réseau privé B (ex. : 192.168.68.1).
3. Votre console de jeu ou PC : Se connecte au Routeur 2 et reçoit une adresse IP sur le sous-réseau B (ex. : 192.168.68.105).

Au lieu d'un seul palier de traduction, chaque paquet de données doit traverser deux pare-feu indépendants et deux tables de routage totalement cloisonnées.

Pourquoi le trafic sortant fonctionne alors que le trafic entrant échoue

La navigation sur le web, la lecture de vidéos sur YouTube et le téléchargement de jeux continuent de fonctionner sans anomalie visible, car ce sont vos appareils qui initient la demande vers l'extérieur. Les connexions sortantes ouvrent des voies temporaires à travers les deux pare-feu NAT, autorisant les réponses des serveurs distants à revenir vers votre équipement.

Le problème apparaît avec le trafic entrant non sollicité. Dans les jeux multijoueurs reposant sur une architecture pair-à-pair (comme Call of Duty, EA Sports FC ou Halo), la console d'un autre joueur envoie des paquets de données directement à votre adresse IP publique. Lorsque ces paquets atteignent le Routeur 1, celui-ci ne possède aucun enregistrement de traduction indiquant quel équipement connecté au Routeur 2 attend ce paquet ; le pare-feu rejette donc immédiatement la requête. L'échange entrant ne parvient jamais à votre console.

Pourquoi le Double NAT ruine le jeu en ligne, la domotique et les serveurs

Le Double NAT n'apparaît généralement pas lors d'un test de débit classique, mais il provoque des dysfonctionnements ciblés et particulièrement frustrants au quotidien :

Jeux sur consoles Xbox Series X/S et PS5 (NAT Type 3 et NAT Strict)

Les consoles de jeu modernes effectuent un test réseau complet au démarrage afin d'évaluer la compatibilité multijoueur :

• Xbox : Affiche le message « Double NAT détecté » et bascule le type de NAT sur Strict. Vous ne pourrez plus héberger de parties, rejoindre des groupes de discussion vocale, ni jouer avec des utilisateurs ayant un NAT Modéré ou Strict.
• PlayStation (PS4/PS5) : Indique un Type de NAT 3 (Strict). Les temps d'attente en matchmaking s'allongent considérablement, les discussions audio se déconnectent fréquemment avec des codes d'erreur et les sessions pair-à-pair échouent.
• Nintendo Switch : Bascule en Type de NAT D ou F, empêchant les connexions aux salons de Mario Kart ou Super Smash Bros.

Le rejet des paquets entrants étant souvent confondu avec des interférences Wi-Fi, consultez notre guide sur comment réparer la perte de paquets en jeu pour identifier l'origine exacte des déconnexions..

Pour bien choisir vos bornes Wi-Fi, consultez notre analyse détaillée comparatif des systèmes mesh eero vs. Orbi.

Appels vocaux et visioconférences (Discord, Teams et appels Wi-Fi)

Les protocoles de voix sur IP (SIP, RTP) nécessitent des flux audio bidirectionnels directs. En situation de Double NAT, vos paquets audio sortants peuvent parvenir à votre interlocuteur, mais les paquets audio entrants échouent à traverser le second pare-feu. Cela engendre un phénomène d'« audio à sens unique » où vous entendez votre contact sans qu'il ne puisse vous entendre, ou des coupures brusques d'appel après 30 secondes.

Appareils domotiques, serveurs multimédias Plex et accès distant aux NAS

Si vous hébergez un serveur multimédia personnel (Plex, Jellyfin) ou un stockage en réseau (NAS) pour accéder à vos fichiers à distance, la redirection de ports configurée sur votre routeur échouera. Les requêtes de connexion externes heurtent la box FAI et sont stoppées, car la box ne communique pas avec les règles de redirection du routeur secondaire. De même, les objets connectés répartis sur des sous-réseaux distincts (par exemple des ampoules connectées sur la box FAI et un smartphone sur le Wi-Fi mesh) ne pourront pas se détecter via mDNS ou UPnP.

Comment détecter un Double NAT en moins de 60 secondes

Vous pouvez vérifier facilement si votre connexion subit un Double NAT grâce à deux tests rapides de diagnostic :

Méthode 1 : La commande Traceroute sur Windows et Mac

Ouvrez l'Invite de commandes (Windows) ou le Terminal (macOS/Linux) et tracez la route vers une adresse DNS publique fiable :

Analysez les deux premiers sauts (hops) du résultat :

• Normal (NAT simple) :

  Saut 1: 192.168.1.1 (Votre routeur)
  Saut 2: 100.x.x.x ou nœud public du FAI (Trajet internet direct)

• Double NAT actif :

  Saut 1: 192.168.68.1 (Votre routeur mesh)
  Saut 2: 192.168.1.1  (Votre box FAI — l'IP privée au saut 2 confirme le Double NAT !)

Si vous observez deux adresses IP privées consécutives (commençant par 192.168.x.x, 10.x.x.x ou entre 172.16.x.x et 172.31.x.x), votre connexion transite par deux routeurs.

Méthode 2 : Vérifier l'adresse IP WAN de votre routeur secondaire

Connectez-vous à l'interface d'administration ou à l'application mobile de votre routeur personnel (eero, Netgear Orbi, Asus, etc.) et consultez son adresse IP Internet / WAN :

• Si l'IP WAN commence par 192.168.x.x, 10.x.x.x ou 172.16.x.x, votre routeur reçoit une adresse locale privée attribuée par un autre routeur en amont. Vous êtes en Double NAT.
• Si l'IP WAN correspond à l'adresse IP publique visible sur un site comme whatismyipaddress.com, votre routeur est directement relié à Internet avec un NAT simple.

Avertissement : Distinguer le Double NAT du NAT de classe opérateur (CGNAT)

Si l'adresse IP WAN de votre routeur se situe dans la plage comprise entre 100.64.0.0 et 100.127.255.255, vous êtes soumis au Carrier-Grade NAT (CGNAT). Ce procédé est fréquent sur les forfaits 4G/5G fixes, Starlink et certains fournisseurs de fibre régionaux. Le CGNAT étant opéré directement dans le réseau de votre FAI, modifier les paramètres de votre routeur domestique ne suffira pas sans demander une adresse IP publique dédiée auprès de votre opérateur.

Les 4 méthodes éprouvées pour corriger le Double NAT

Éliminer le Double NAT nécessite de veiller à ce qu'un seul appareil sur l'ensemble de votre réseau prenne en charge le routage et le NAT. Sélectionnez la démarche adaptée à vos équipements :

Méthode 1 : Activer le véritable mode Pont sur votre box FAI (Recommandé)

Il s'agit de la méthode d'excellence recommandée par les ingénieurs réseau. Passer votre box FAI en mode Pont désactive son Wi-Fi, son serveur DHCP et son moteur NAT, la transformant en un modem transparent de transit pur.

1. Branchez un ordinateur directement à la box FAI à l'aide d'un câble Ethernet.
2. Ouvrez votre navigateur web et accédez à l'adresse IP d'administration (habituellement 192.168.1.1, 192.168.0.1 ou 10.0.0.1).
3. Connectez-vous à l'aide des identifiants d'administration situés sur l'étiquette de la box.
4. Accédez au menu Réseau > Paramètres avancés ou Configuration du routeur.
5. Recherchez l'option Mode Pont (Bridge Mode) et activez-la.
6. Enregistrez les modifications et laissez la box redémarrer. Une fois redémarrée, reliez le port WAN de votre routeur personnel au port Ethernet 1 de la box FAI.

Votre routeur tiers recevra désormais directement l'adresse IP publique, supprimant définitivement tout Double NAT..

De plus, disposer d'un routeur unique permet d'activer le Smart Queue Management (SQM) pour éradiquer les hausses de ping : découvrez qu'est-ce que le bufferbloat et comment le résoudre.

Méthode 2 : Configurer l'IP Passthrough ou DMZplus (Box et passerelles fibre)

Certaines box et passerelles fibre ne proposent pas de bascule de pont standard car des services annexes (téléphonie fixe VoIP ou décodeur TV) dépendent de la box active. Elles intègrent en revanche une fonction IP Passthrough :

1. Accédez à la page d'administration de la box (souvent 192.168.1.254 ou 192.168.1.1).
2. Rendez-vous dans la section Pare-feu > IP Passthrough.
3. Réglez le mode d'allocation sur Passthrough.
4. Définissez le protocole sur DHCPS-fixed.
5. Sélectionnez l'adresse MAC de votre routeur personnel dans la liste des appareils connectés.
6. Désactivez les réseaux Wi-Fi 2,4 GHz et 5 GHz de la box FAI afin qu'ils n'encombrent pas le spectre sans fil de votre système mesh.

Méthode 3 : Basculer votre système Mesh en mode Point d'accès (AP)

Si vous préférez laisser votre box FAI gérer l'intégralité du réseau domestique (ou si votre abonnement FAI restreint la modification des paramètres de la box), vous pouvez désactiver la fonction routeur sur votre équipement mesh tiers :

• eero : Ouvrez l'application eero > Paramètres > Paramètres réseau > DHCP et NAT > Sélectionnez Pont (Bridge).
• Netgear Orbi : Connectez-vous à orbilogin.com > Avancé > Configuration avancée > Mode Routeur / AP > Sélectionnez Mode AP.
• TP-Link Deco : Ouvrez l'application Deco > Plus > Avancé > Mode de fonctionnement > Sélectionnez Point d'accès.
• Asus ZenWiFi : Administration > Mode de fonctionnement > Sélectionnez Mode Point d'accès (AP).

En mode AP, vos bornes mesh continuent de diffuser une couverture sans fil fluide dans toute la maison, mais elles cessent d'attribuer des adresses IP. La box FAI devient l'unique routeur, rétablissant un NAT simple sur tous vos appareils.

Méthode 4 : Assigner votre routeur secondaire dans la DMZ de la box FAI

Si votre box FAI ne propose aucun mode pont et que vous ne pouvez pas utiliser le mode AP (par exemple parce que vous tenez aux fonctionnalités avancées de contrôle parental, de VPN ou de QoS de votre routeur personnel), vous pouvez configurer une DMZ (Zone Démilitarisée) :

1. Attribuez une adresse IP privée statique à votre routeur secondaire sur le sous-réseau de la box FAI (ex. : 192.168.1.100).
2. Dans les paramètres de la box FAI, trouvez le menu Pare-feu > DMZ.
3. Saisissez 192.168.1.100 comme adresse IP de l'hôte DMZ et appliquez la modification.

La box FAI transmettra alors l'ensemble des paquets entrants non sollicités directement vers votre routeur secondaire sans les filtrer, contournant de manière efficace le premier pare-feu..

Vous rencontrerez des configurations NAT similaires lors de vos déplacements – suivez notre tutoriel sur comment utiliser un routeur de voyage sur le Wi-Fi d'hôtel.