Qu’est-ce qu’un NAS ? Le stockage en réseau (Network Attached Storage) et son accès à Internet

Dans la pratique, la décision se résume rarement à choisir entre un NAS ou le cloud. La plupart des entreprises utilisent un NAS pour les données de travail qui nécessitent un accès à la vitesse du LAN, et le stockage cloud comme cible de sauvegarde secondaire ou tertiaire. Le NAS gère le débit quotidien ; le cloud assure la durabilité hors site.

Pourquoi les entreprises déploient un NAS

• 
  
  • Débit. Monter des séquences 4K ou charger des images de machines virtuelles sur un LAN est nettement plus rapide que de récupérer les mêmes données via une connexion Internet.

• • Coût à grande échelle. La tarification cloud récurrente par téraoctet devient coûteuse pour les grands ensembles de données utilisés activement.

• • Frais de sortie de données. Les fournisseurs cloud facturent généralement les données qui quittent leur plateforme. Les données fréquemment transférées coûtent souvent moins cher lorsqu’elles sont conservées localement.

• • Résidence des données. Certains contrats et certaines réglementations exigent que les données restent dans un emplacement physique connu, sous le contrôle de l’organisation.

• • Autorisations centralisées. Un seul annuaire d’utilisateurs et de groupes, au lieu d’autorisations dispersées sur différentes machines.

• • Cible de sauvegarde. Un NAS fournit aux postes de travail et aux serveurs une destination locale unique pour leurs sauvegardes.

Le problème d’accessibilité : un NAS utilise une adresse IP privée

Un NAS reçoit normalement une adresse IP privée — par exemple dans les plages 192.168.0.0/16, 172.16.0.0/12 ou 10.0.0.0/8. Les adresses privées ne sont pas routables sur l’Internet public. Elles n’existent qu’à l’intérieur du réseau local.

Le NAS peut néanmoins accéder à Internet en sortie, notamment pour les mises à jour du firmware, les tâches de sauvegarde cloud, les services de notification et les vérifications de licence. Cela fonctionne parce que le routeur effectue une Network Address Translation, en remplaçant l’adresse source privée du NAS par l’adresse publique du routeur et en suivant la session afin que les réponses reviennent correctement. Les connexions sortantes fonctionnent donc sans problème.

Pour les connexions entrantes, c’est l’inverse. Lorsqu’un utilisateur distant tente d’ouvrir une connexion vers le NAS, aucune session correspondante n’existe dans la table de traduction et aucune adresse publique n’identifie directement le NAS. La connexion n’a donc aucun point d’arrivée. Ce n’est pas une panne — c’est le comportement de sécurité par défaut du NAT, et c’est précisément pourquoi un NAS n’est pas exposé directement à Internet par défaut.

Tout accès distant à un NAS nécessite donc de créer volontairement un chemin entrant. C’est le rôle du NAT traversal, également appelé intranet penetration.

Qu’est-ce que le NAT Traversal (Intranet Penetration) ?

Le NAT traversal désigne un ensemble de techniques permettant à un appareil situé sur un réseau privé de recevoir des connexions depuis l’extérieur malgré sa position derrière un NAT. Six approches sont couramment utilisées. Elles se répartissent en deux familles : créer un point d’entrée entrant, ou faire en sorte que l’appareil interne établisse lui-même une connexion sortante vers un point accessible.

Famille A : créer un point d’entrée entrant

Famille B : établir une connexion sortante à la place

Une septième option se situe légèrement en dehors de ces deux familles et correspond à celle que de nombreuses entreprises finissent par adopter : terminer une passerelle VPN sur une adresse IP publique que vous contrôlez. Les utilisateurs et sites distants se connectent à cette passerelle, tandis que le NAS n’est jamais directement exposé. Cette approche nécessite au moins une adresse publique stable par site, mais elle permet de garder l’authentification, la journalisation et les politiques d’accès sous votre propre administration.

Pourquoi le carrier-grade NAT change la situation

De nombreuses connexions haut débit et mobiles ne fournissent plus au client une véritable adresse IPv4 publique. Le routeur reçoit lui-même une adresse opérateur partagée, généralement issue de 100.64.0.0/10, et le fournisseur effectue une seconde couche de traduction en amont. Dans ce type de configuration, la redirection de ports sur votre propre routeur ne sert à rien, car la traduction réellement importante se trouve sur un équipement que vous ne contrôlez pas. Toutes les méthodes de la famille A, à l’exception du hole punching opportuniste, cessent alors de fonctionner, et le déploiement doit s’appuyer sur des relais ou des tunnels.

L’aboutissement de toutes les méthodes : l’adresse IP publique de quelqu’un

Relisez les deux tableaux et un schéma apparaît clairement. Chaque méthode implique quelque part une adresse IP publique. Le trafic Internet doit nécessairement arriver sur une adresse routable à l’échelle mondiale ; il n’existe aucun moyen de contourner cette réalité. La seule véritable question est la suivante :

Cette adresse IP publique est-elle la vôtre ou celle de quelqu’un d’autre ?

Utiliser l’accessibilité fournie par un tiers fonctionne, et pour un petit déploiement, c’est souvent une bonne solution. Mais cela entraîne des conséquences faciles à négliger jusqu’à ce qu’elles deviennent problématiques :

Le point de transition est généralement prévisible. Un NAS utilisé par un seul bureau via un client VPN fonctionne parfaitement avec une accessibilité fournie par un tiers. En revanche, lorsqu’un NAS devient un véritable service — réplication entre plusieurs sites, réception de vidéos provenant de caméras distantes, partage de fichiers avec des clients ou prestataires, ou cible de sauvegarde pour d’autres sites — il devient en pratique une infrastructure de production. À ce stade, l’adresse sur laquelle il répond fait partie de la définition du service et n’est plus un simple détail d’implémentation.

Les entreprises arrivées à ce stade demandent généralement une adresse publique statique à leur fournisseur, placent la charge de travail dans un datacentre où des adresses sont disponibles, ou choisissent de louer un espace d’adressage IPv4 afin de disposer d’un point de terminaison stable et dédié. Dans un contrat de location, le bloc reste enregistré au nom de son détenteur ; le locataire est autorisé à l’utiliser et à l’annoncer pendant la période convenue. Cette distinction est importante pour la planification : la continuité opérationnelle de l’adresse dépend des conditions du contrat et de l’autorisation de routage qui lui est associée, et non d’un changement de titulaire dans les registres.

Ce qu’il faut vérifier avant d’exposer un NAS

1. 
   
   1. Ne publiez pas l’interface d’administration. Exposez uniquement le service spécifique qui doit être accessible, jamais la console de gestion.

1. 1. Préférez un VPN ou un tunnel à une redirection directe de ports pour tout service qui doit uniquement être accessible au personnel.

1. 1. Imposez une authentification forte. Utilisez un compte unique par utilisateur, l’authentification multifacteur et aucun identifiant partagé.

1. 1. Maintenez le firmware à jour. Les NAS sont des cibles permanentes pour l’exploitation automatisée ; les appareils non corrigés sont rapidement découverts.

1. 1. Vérifiez si vous disposez réellement d’une adresse IP publique. Comparez l’adresse WAN de votre routeur avec l’adresse externe observée. Si elles sont différentes, une couche de traduction en amont est utilisée.

1. 1. Vérifiez si votre adresse est statique. Une adresse qui change peut casser les enregistrements DNS, les allowlists des partenaires et le certificate pinning.

1. 1. Surveillez les plages privées qui se chevauchent entre plusieurs sites. Deux bureaux utilisant tous les deux 192.168.1.0/24 entreront en conflit lorsqu’ils seront reliés.

1. 1. Conservez une véritable sauvegarde. Le RAID n’est pas une sauvegarde, et la réplication reproduit fidèlement les suppressions comme les données chiffrées par un ransomware.

1. 1. Journalisez et examinez les accès. Sachez qui s’est connecté, depuis où et à quel moment.

Scénarios d’entreprise

Les exemples suivants sont illustratifs et ne constituent pas des études de cas.

Un studio de post-production disposant de deux sites. Les séquences vidéo sont importées sur un site et montées sur l’autre. La réplication nocturne entre deux NAS transfère plusieurs centaines de gigaoctets. Un tunnel basé sur un relais limite tellement le débit que la synchronisation ne se termine plus pendant la nuit. Une liaison directe site-à-site utilisant des adresses publiques stables à chaque extrémité résout le problème.

Un cabinet comptable soumis à une obligation réglementaire de conservation. Les documents doivent rester dans une juridiction connue et pouvoir être récupérés pendant plusieurs années. Un NAS au bureau conserve la copie principale ; un second NAS situé dans un bureau partenaire conserve la réplique. Les deux sites doivent être accessibles, et les auditeurs ont besoin d’un chemin d’accès stable et documenté.

Un gestionnaire immobilier disposant de caméras réparties sur plusieurs sites. Les enregistreurs de vidéosurveillance installés dans plusieurs bâtiments écrivent leurs données sur un NAS central. Les caméras et enregistreurs établissent des connexions sortantes ; le NAS doit être accessible via un point de terminaison fixe. Dès qu’un prestataire de sécurité doit ajouter la destination à une allowlist, une adresse partagée ou changeante n’est plus viable.

Une entreprise de logiciels proposant une offre de stockage privé. Les clients téléchargent leurs données vers un stockage exploité directement par l’entreprise plutôt que vers un cloud public. Les pare-feu des clients ont besoin d’une adresse fixe à autoriser. Il ne s’agit alors plus simplement d’IT interne ; l’adresse fait désormais partie de la documentation technique du produit.

Note pratique de i.lease

Lorsqu’un déploiement NAS rencontre un blocage, les disques sont rarement en cause. Le problème est presque toujours lié à l’accessibilité : absence d’adresse publique, adresse opérateur partagée, adresse qui change ou adresse dont la réputation est affectée par du trafic sans rapport avec votre activité.

Avant d’acheter davantage de capacité de stockage, il est utile de séparer deux questions. Où les données sont-elles stockées ? est une question de stockage. Qui peut y accéder, depuis où et avec quel niveau de fiabilité ? est une question d’adressage et de routage. Un NAS répond à la première. Un point de terminaison IPv4 public, stable et dédié répond à la seconde — et aucune capacité supplémentaire ne peut s’y substituer.

Si un déploiement a atteint le stade où des partenaires doivent ajouter une adresse à leur allowlist, où le débit de réplication devient important ou où un relais fourni par un prestataire devient une dépendance, l’étape pratique consiste à obtenir un adressage que vous contrôlez, par l’intermédiaire de votre fournisseur, de votre datacentre ou d’un contrat de location assorti d’une autorisation de routage claire et de conditions de renouvellement précises.

Conclusion

Le principe d’un NAS est simple : placer le stockage sur le réseau plutôt que dans une seule machine, afin que toutes les personnes autorisées puissent l’utiliser. À l’intérieur d’un même bâtiment, cela fonctionne de manière relativement simple.

La complexité apparaît lorsque le réseau concerné devient Internet. Un NAS possède une adresse privée et, par conception, n’est pas accessible depuis l’extérieur. Toutes les techniques permettant de changer cela — redirection de ports, hole punching, relais, tunnels, mesh overlays ou passerelles VPN — dépendent finalement d’une adresse globalement routable quelque part sur le chemin. Choisir un NAS est une décision de stockage. Décider à quelle adresse IP publique vos données répondent est une décision d’infrastructure, et c’est généralement celle qui détermine si le déploiement peut évoluer au-delà d’un seul site.

À lire également

• 
  
  • Comprendre la Network Address Translation (NAT)

• • Les différents types de Network Address Translation (NAT)

• • IP publique vs IP privée : guide pour les réseaux d’entreprise

• • Adresses IP dynamiques vs statiques

• • Qu’est-ce que l’IP Forwarding ?