Type de NAT strict ou modéré sur PC : UPnP, double NAT et CGNAT

« Mes amis n'arrivent pas à rejoindre mon lobby. » « Le chat de groupe se connecte pour tout le monde sauf moi. » « Le jeu affiche Type de NAT : Strict, et redémarrer le routeur n'a rien changé. » Les trois peuvent venir d'un seul mécanisme : quelque chose entre Internet et ton PC laisse sortir ton trafic, mais arrête une connexion qu'un autre joueur lance vers toi.

Ce que fait le NAT, et ce que son type évalue

Ton routeur a une seule adresse IPv4 côté Internet et donne des adresses privées à tes appareils. La traduction d'adresses réseau (NAT) réécrit tes paquets à la sortie et mémorise chaque conversation pour que les réponses retrouvent leur chemin. La RFC 3022 en énonce la conséquence : dans le NAT traditionnel, les sessions sont unidirectionnelles, sortantes depuis le réseau privé, et une session lancée de l'extérieur n'entre que par une correspondance établie à l'avance pour cet hôte.

C'est pour ça que rejoindre un serveur marche même avec un mauvais type : c'est ton PC qui lance cette conversation. Le type de NAT évalue à quel point une conversation lancée par quelqu'un d'autre passe. Le support Xbox définit les niveaux :

Ouvert : tu peux jouer et héberger avec des personnes qui ont n'importe quel type de NAT.
Modéré : tu ne pourras peut-être pas jouer avec certaines personnes, et normalement tu ne seras pas choisi pour héberger.
Strict : tu ne peux jouer qu'avec des personnes dont le NAT est Ouvert, et tu ne peux pas être choisi pour héberger.
Non disponible : pas de conversation de groupe, et pas de multijoueur dans certains titres Xbox.

La documentation de Microsoft pour les développeurs énonce la même règle : Modéré ne se connecte qu'avec Modéré ou Ouvert, Strict seulement avec Ouvert. Selon cette règle, deux joueurs en Strict ne peuvent pas se connecter l'un à l'autre.

Quand ça compte, et quand ça ne compte presque pas

Le type compte quand quelqu'un d'autre doit te joindre :

Les parties en pair-à-pair. La documentation du Game Development Kit de Microsoft indique aux développeurs que les jeux pair-à-pair construits dessus sont toujours censés fournir leur propre découverte d'adresse IP publique et de port, ainsi qu'une solution de NAT punching pour les clients dont le type de NAT est modéré ou strict.
L'hébergement. Un lobby que tu héberges, ou un serveur d'écoute (listen server) ou dédié sur ton PC, attend que les autres se connectent. Pour les serveurs dédiés ou d'écoute, le support Steam de Valve indique UDP 27015 comme port par défaut du trafic de jeu.
La voix et la conversation de groupe, que le support Xbox lie au type de NAT au même titre que le multijoueur.

Ça ne compte presque pas quand le jeu place chaque partie sur ses propres serveurs ou derrière un relais, parce qu'alors c'est ton PC qui ouvre lui-même chaque connexion. Le Steam Datagram Relay de Valve fait passer le trafic de jeu par la dorsale et les relais de Valve, d'après Valve aussi bien pour le trafic pair-à-pair que pour les serveurs dédiés, et les adresses IP n'y sont jamais révélées. Les notes de version de Counter-Strike 2, par exemple, distinguent les connexions relayées par SDR des connexions UDP directes vers les serveurs communautaires (Valve, 9 septembre 2024). Un type Strict dans une autre application dit peu de chose sur un jeu qui n'a jamais besoin que quelqu'un te joigne.

Où Windows l'affiche

Sous Windows 10, Paramètres > Jeux > Xbox Networking affiche le type de NAT et la connectivité au serveur du réseau Xbox. Teredo is unable to qualify (Teredo ne parvient pas à se qualifier) à cet endroit veut dire que ton PC n'a pas pu obtenir d'adresse Teredo. Teredo est le protocole de tunnel que certains jeux, dont Forza Horizon 3 et 4, utilisent pour le multijoueur sur le réseau Xbox (support Xbox). Le même écran a un bouton Corriger. Le support Xbox ne documente cet écran que pour Windows 10 ; ses instructions Windows 11 pour la même panne passent plutôt par Paramètres > Réseau et Internet > Paramètres réseau avancés > Réinitialisation du réseau.

Teredo a aussi besoin du service IP Helper en démarrage automatique et en cours d'exécution, et du pare-feu Windows activé avec sa stratégie par défaut. Le support Xbox ajoute que certaines applications qui reconfigurent Windows pour tenter d'en optimiser les performances désactivent IP Helper, que certains routeurs domestiques bloquent Teredo quand ils voient de l'IPv6 côté Internet, et que certains clients VPN le bloquent tant qu'ils sont connectés. Là où un outil a modifié ces réglages, la carte Réseau Xbox et IPv6 de w0a, sur la page Fix, remet le service IP Helper et les réglages de transition Teredo/IPv6 à leurs valeurs par défaut de Windows (comment fonctionne la carte).

Savoir derrière quel NAT tu es

Connecte-toi à l'interface de ton routeur et note l'adresse WAN ou Internet sur sa page d'état.
Compare-la avec ton adresse publique, celle qu'affiche n'importe quelle page « quelle est mon IP ».
Si les deux correspondent, ton routeur est le seul à traduire, et l'UPnP ou le transfert de port sur ce routeur peuvent ouvrir le passage.
Sinon, le verdict du support Xbox s'applique : un NAT ouvert ne sera pas possible avec la configuration actuelle. Regarde l'adresse WAN. Dans 10.x.x.x, de 172.16.x.x à 172.31.x.x ou dans 192.168.x.x, vérifie d'abord si un deuxième boîtier à toi se trouve devant : une passerelle du fournisseur plus ton propre routeur, c'est du double NAT. Entre 100.64.0.0 et 100.127.255.255, c'est l'espace d'adresses partagé réservé à la liaison entre le NAT opérateur (carrier-grade NAT) d'un fournisseur et ton routeur (RFC 6598).

Les corrections, cause par cause

UPnP sur ton propre routeur

L'UPnP permet à un jeu de demander à ton routeur d'accepter du trafic venant de l'extérieur, sans que tu aies rien à saisir. Le support Xbox dit que si ton routeur le prend en charge, il est probablement activé par défaut, et suggère de rafraîchir la table NAT du routeur : désactive l'UPnP, enregistre, redémarre le routeur, puis réactive l'UPnP et enregistre à nouveau. Il prévient aussi qu'il ne faut pas combiner les paramètres de transfert de port, d'UPnP et de réseau de périmètre (aussi appelé DMZ).

Double NAT : passer la passerelle en mode pont

Avec une passerelle du fournisseur et ton propre routeur, les deux appareils peuvent effectuer du NAT, note le support Xbox, et sa correction consiste à mettre la passerelle en mode pont, pour que seul ton routeur traduise. Les étapes dépendent de la passerelle ; sa documentation ou ton fournisseur les donnent.

Transfert de port, quand tu héberges

Un transfert envoie un port directement à un appareil, donc cet appareil a besoin d'une adresse qui ne change pas. La méthode du support Xbox : dans la section DHCP ou LAN du routeur, ajoute l'adresse MAC de l'appareil à la liste des adresses réservées. Ensuite, ne transfère que les ports et protocoles que liste l'éditeur du jeu, comme UDP 27015 dans la liste de Valve pour les serveurs dédiés ou d'écoute. L'option réseau de périmètre (DMZ) va beaucoup plus loin : le support Xbox la décrit comme le fait de déplacer ton appareil vers une zone située en dehors du pare-feu de ton réseau.

NAT opérateur : seul ton fournisseur peut le changer

Un NAT opérateur (CGNAT) partage une seule adresse IPv4 entre plusieurs abonnés, et la RFC 6888 ajoute qu'il n'est pas géré par les abonnés : aucun réglage de ton routeur ne l'atteint. Un rapport de tests de CableLabs et de deux câblo-opérateurs, publié comme RFC 7021, a constaté lors de tests menés en 2010 que, derrière un tel NAT, les technologies de transition IPv6 comme 6to4 et Teredo échouent purement et simplement ou subissent une forte dégradation du service. Le conseil du support Xbox est de demander une adresse IP publique à ton fournisseur et, s'il ne peut pas t'en donner une, de changer de fournisseur.

IPv6, là où le jeu l'utilise

La RFC 7021 présente IPv6 comme la solution au problème de l'épuisement des adresses IPv4. Les recommandations de l'IETF pour les routeurs IPv6 domestiques (RFC 6092) y jugent le NAT peu probable, mais conservent son habitude de n'admettre que le trafic lancé depuis l'intérieur, et demandent un moyen pour les applications d'ouvrir des flux entrants, ou un mode transparent. L'IPv6 n'aide donc que là où ton fournisseur, ton routeur et le jeu l'utilisent tous ; la documentation du Game Development Kit de Microsoft demande aux jeux de lier leur port multijoueur à la fois à IPv4 et à IPv6. Laisse les composants IPv6 de Windows à leurs valeurs par défaut : parmi les causes des échecs de Teredo, le support Xbox cite Teredo désactivé dans le registre, par un programme ou à la main.

Ce qui ne change pas ton type de NAT

Les paramètres réseau de Windows. Les options TCP et le DNS ne touchent pas à la traduction, qui se fait dans ton routeur ou chez ton fournisseur. Tweaks réseau explique ce que font ces cases.
Désactiver le pare-feu. Le support Xbox dit que Teredo a besoin du pare-feu Windows en marche avec sa stratégie par défaut, et qu'avec une stratégie de trafic entrant "AllowInbound", Teredo ne peut pas établir sa connexion IPsec.
Une DMZ en plus de l'UPnP ou du transfert de port. Le support Xbox dit de ne pas les combiner.
Un VPN. Certains clients VPN bloquent Teredo, et certains laissent derrière eux une règle de pare-feu qui continue à le bloquer après leur désinstallation. Savoir si un VPN aide ton ping est une autre question : un VPN peut-il baisser ton ping ?