IPv6 et CGNAT chez les FAI français : ce que votre ligne expose vraiment

En France, la ligne fixe est massivement en double pile. Free a ouvert l’IPv6 à ses abonnés dès la fin de 2007, à l’aide du mécanisme 6rd que décrira plus tard la RFC 5569, et les autres opérateurs ont suivi, d’abord sur la fibre, puis, selon les offres et les générations de box, sur l’ADSL. Dans le même temps, l’IPv4 se raréfie : le partage d’une même adresse publique entre plusieurs abonnés — le CGNAT — est la règle sur les accès mobiles, et il apparaît aussi sur certaines offres fixes. Une même ligne peut donc disposer d’un préfixe IPv6 public bien à elle et d’une IPv4 partagée avec d’autres foyers.

Ces deux propriétés se transmettent telles quelles au tunnel chiffré posé par-dessus, et elles expliquent la plupart des diagnostics contradictoires : une adresse qui change selon la page de test, un service qui vous attribue une localisation inattendue, un transfert qui se fige au bout de quelques secondes. Voici comment lire la configuration réelle de votre ligne avant de conclure à une panne.

Double pile : deux adresses publiques sur la même ligne

Un appareil en double pile détient simultanément une adresse IPv4 et une ou plusieurs adresses IPv6. Lorsqu’un nom de domaine publie à la fois un enregistrement A et un enregistrement AAAA, les systèmes récents appliquent Happy Eyeballs (RFC 8305) : ils lancent les deux tentatives presque simultanément et gardent celle qui répond la première, avec une préférence pour IPv6. Deux pages de test peuvent donc afficher deux adresses différentes sans la moindre anomalie — l’une vous a joint en IPv6, l’autre en IPv4. Avant tout diagnostic, relevez trois valeurs.

• L’IPv4 publique vue depuis l’extérieur, comparée à l’adresse WAN affichée dans l’interface de la box. Si les deux diffèrent, un équipement de l’opérateur traduit vos adresses en amont.
• Le préfixe IPv6 délégué par l’opérateur — sa longueur dépend de l’offre — et l’adresse effectivement utilisée par la machine, souvent une adresse temporaire renouvelée automatiquement (RFC 8981).
• Les résolveurs DNS actifs : par défaut, la box distribue ceux de l’opérateur, en IPv4 comme en IPv6, et un système peut utiliser un résolveur différent pour chaque famille d’adresses.

CGNAT : l’IPv4 que vous partagez

Le CGNAT (Carrier-Grade NAT) place plusieurs abonnés derrière une même IPv4 publique, chacun recevant une plage de ports. Côté client, l’accès reçoit alors une adresse issue de l’espace partagé 100.64.0.0/10 réservé par la RFC 6598, parfois une adresse privée classique. Le mécanisme reste invisible pour la navigation ordinaire, mais ses effets sont mesurables.

• Aucune connexion entrante n’aboutit sans dispositif dédié : la redirection de port configurée dans la box ne suffit plus.
• La géolocalisation par adresse IP perd toute finesse : elle désigne au mieux le point de sortie de l’opérateur, pas votre ville.
• La réputation de l’adresse est mutualisée : le comportement d’un autre abonné derrière la même IPv4 se traduit chez vous par des captchas et des vérifications supplémentaires.
• Les protocoles qui négocient une connexion directe entre pairs (jeux en ligne, voix, transferts de fichiers) doivent passer par des relais.

1. 1Relevez l’adresse WAN dans l’interface d’administration de votre box : Freebox OS chez Free, interface d’administration de la Livebox chez Orange, équivalent chez SFR et Bouygues.
2. 2Relevez l’adresse IPv4 vue depuis l’extérieur sur une page de test, tunnel désactivé.
3. 3Adresse WAN dans 100.64.0.0/10, ou adresse WAN différente de l’adresse publique observée : votre accès passe par un CGNAT.
4. 4Adresses identiques et publiques : votre ligne dispose d’une IPv4 dédiée. Quand l’opérateur propose une IPv4 dédiée en option, elle se demande depuis l’espace client ou s’active dans l’interface de la box ; cette option n’existe pas dans toutes les offres.
5. 5Sur un accès mobile ou une box 4G/5G, considérez le partage d’adresse comme acquis : la vérification est superflue.

Ce qu’un tunnel modifie, et ce qu’il laisse filer

Un tunnel remplace le point de sortie du trafic qui l’emprunte : les serveurs voient l’adresse du nœud de sortie, et l’opérateur ne voit plus qu’un flux chiffré vers ce nœud. Le mot important est « qui l’emprunte ». Si le client ne transporte que l’IPv4 alors que votre ligne est en double pile, chaque nom résolu en AAAA sera joint en IPv6, en direct, hors du tunnel, avec le préfixe de votre opérateur.

Deux configurations sont cohérentes, et deux seulement. Soit le tunnel transporte l’IPv6 et lui attribue une adresse de sortie, soit l’IPv6 est désactivée au niveau du système et bloquée par une règle de pare-feu tant que le tunnel n’est pas établi. Décocher l’IPv6 dans l’interface de la box ne règle rien pour les autres réseaux que vous utilisez : partage de connexion mobile, Wi-Fi d’hôtel, réseau d’un tiers. La fuite réapparaîtra ailleurs.

MTU : la fibre n’empêche pas la fragmentation

Chaque couche d’encapsulation retire des octets utiles au paquet. Un accès en PPPoE plafonne typiquement à 1492 octets, un tunnel ajoute son propre en-tête, et si un équipement du chemin filtre les messages ICMP « fragmentation needed », la découverte du MTU de chemin (RFC 1191) échoue en silence. Le symptôme est caractéristique : la connexion s’établit, les petites pages s’affichent, puis tout transfert volumineux se fige.

1. 1Choisissez une destination qui répond au ping : la passerelle de votre box, ou un résolveur public tel que 1.1.1.1.
2. 2Windows : ping -f -l 1400 1.1.1.1. macOS : ping -D -s 1400 1.1.1.1. Linux : ping -M do -s 1400 1.1.1.1 — sur Linux, -D horodate les lignes et ne fixe pas le bit « ne pas fragmenter ».
3. 3Faites varier la taille jusqu’à la plus grande valeur qui ne déclenche pas de message de fragmentation.
4. 4Ajoutez 28 octets (en-têtes IP et ICMP) : vous obtenez le MTU du chemin.
5. 5Retranchez la surcharge propre au tunnel, puis appliquez le résultat à l’interface du client.
6. 6Refaites la mesure depuis chaque réseau que vous utilisez : la valeur relevée au domicile ne vaut pas pour un partage de connexion mobile.

Contrôle complet en cinq minutes

1. 1Tunnel coupé : notez l’IPv4 publique, l’IPv6 publique et les résolveurs DNS observés.
2. 2Tunnel actif : les trois valeurs doivent avoir changé, ou l’IPv6 doit avoir disparu. Une seule valeur inchangée est une fuite.
3. 3Forcez un test en IPv6 seule, puis un test en IPv4 seule : c’est le seul moyen d’attraper une fuite partielle.
4. 4Vérifiez que les requêtes DNS ne partent plus vers les résolveurs de l’opérateur.
5. 5Recommencez après chaque changement de réseau, chaque mise à jour du micrologiciel de la box et chaque montée de version majeure du système.

Le récapitulatif visuel se fait sur notre page de test de fuites. Hors du domicile, deux cas méritent leur propre méthode : les portails captifs des trains, gares et hôtels et les réseaux ouverts diffusés par les box des opérateurs.

Questions fréquentes