Résumé

  • Le NAT de qualité opérateur (CGNAT) est généralement présenté comme une mesure de conservation des adresses, mais son effet économique est plus large: il transforme l'identité IPv4 publique en un identifiant partagé et déporte les coûts vers les journaux, les ports, le support, la gestion des abus, l'évaluation des risques par les plateformes et la précision des demandes légales.
  • Dans la région APNIC, où l'épuisement des adresses IPv4 est arrivé tôt et où la demande continue de croître dans les domaines du mobile, des finances, du cloud, des jeux et de l'accès aux services publics, la taxe cachée n'est pas payée par un seul acteur. Les opérateurs supportent les coûts de journalisation et de conformité; les utilisateurs subissent des faux positifs et une réduction de leur liberté de choix; les plateformes font face à une incertitude d'attribution; les autorités publiques disposent de preuves plus faibles, sauf si les demandes incluent des détails de port et d'horodatage.
  • APNIC ne doit pas être considérée comme l'entité responsable de la correction du CGNAT ou de la décision sur les politiques d'application. Son rôle propre est plus étroit mais reste important: maintenir un registre d'unicité fiable, réduire l'incertitude autour des transferts et des enregistrements, et éviter les choix de gouvernance qui forcent davantage d'opérateurs à dépendre des adresses partagées que ce que le marché exige.

Le problème se présente sans drame. Le système anti-fraude d'une banque a bloqué une connexion provenant d'une adresse IPv4 publique après une série de tentatives échouées. Une plateforme de jeux a limité le débit de la même adresse. Un service de contenu l'a placée dans un compartiment à risque plus élevé parce qu'un trop grand nombre de comptes semblent changer d'appareil depuis un seul emplacement. Une demande des forces de l'ordre demande au fournisseur d'accès quel client a utilisé cette adresse à un moment précis. L'équipe du service client voit immédiatement le problème: l'adresse n'appartient pas à un seul client.

Il s'agit d'une adresse unique exposée à l'extérieur pour de nombreux abonnés derrière un NAT de qualité opérateur (CGNAT). Le fournisseur ne peut répondre à la demande que s'il dispose des journaux de traduction appropriés, d'une synchronisation horaire, d'une politique de rétention, des informations de port et de la correspondance avec l'abonné. La banque ne peut innocenter le client légitime que si son système de risque comprend qu'un grand nombre d'utilisateurs non liés peuvent partager un seul identifiant public. La plateforme de jeux ne peut lever le blocage que si elle dispose d'un moyen de distinguer l'utilisateur qui a triché, utilisé un robot ou abusé du service de tous les autres utilisateurs sur la même adresse. Le client ne peut presque rien faire, sinon se plaindre auprès du FAI, attendre, redémarrer le routeur, acheter un forfait premium, changer de fournisseur ou accepter le fait que « votre adresse IP semble suspecte » fait désormais partie de la vie ordinaire sur Internet.

C'est l'économie cachée du NAT de qualité opérateur. Ce n'est pas simplement une solution technique de contournement. C'est une méthode pour répartir le coût de la rareté des adresses IPv4.

Le NAT de qualité opérateur, ou CGNAT, permet à un fournisseur de services de placer de nombreux clients derrière un pool plus réduit d'adresses IPv4 publiques. La technique est suffisamment familière pour sembler banale. Un routeur domestique traduit déjà les adresses privées d'un foyer en une seule adresse publique. Le CGNAT répète cette idée à l'intérieur du réseau du fournisseur. Une couche de traduction supplémentaire apparaît entre les locaux du client et l'Internet public. Dans le langage des normes, l'Internet a dû faire de la place à cette réalité. LaRFC 6598a réservé le bloc d'adresses partagées 100.64.0.0/10 pour les déploiements de CGN par les fournisseurs, précisément parce que l'espace d'adressage privé ordinaire créait des problèmes de collision dans les réseaux de fournisseurs et que l'espace IPv4 public était rare.

Cette décision d'ingénierie a résolu un problème en créant tout un ensemble d'autres. LaRFC 6269, le mémo de l'IETF sur les problèmes liés au partage d'adresses IP, est frappante parce qu'elle ne considère pas le partage d'adresses comme un avantage gratuit. Elle identifie les défaillances applicatives, la complexité supplémentaire de surveillance, les problèmes de sécurité, les problèmes de géolocalisation, les conséquences des listes noires, la faiblesse de l'authentification et les coûts de traçabilité. LaRFC 6888transforme ensuite ces conséquences en exigences opérationnelles pour les NAT de qualité opérateur: les ports doivent être gérés; les correspondances peuvent nécessiter des journaux; un abonné peut devoir être identifié par une adresse externe, un port et un horodatage; et des volumes de journaux énormes peuvent devenir un réel fardeau. LaRFC 7422est encore plus explicite. Elle note que la journalisation par connexion n'est pas extensible dans de nombreux réseaux d'accès résidentiels à haut débit et propose une correspondance déterministe en partie pour réduire la charge de journalisation tout en préservant la traçabilité.

La région APNIC n'est pas un détail dans cette histoire. APNIC a atteint la phase finale de l'épuisement de son pool libre d'IPv4 en avril 2011. Ses documents post-épuisement décrivent maintenant une région dans laquelle les membres peuvent encore recevoir un espace IPv4 limité, mais le dernier pool 103/8 est plafonné à une délégation totale maximale de /23, soit 512 adresses, par membre à partir de ce pool. Ce n'est pas une plateforme pour une croissance avec une adresse publique par client. C'est un enregistrement de la rareté au niveau du registre, suivi d'un environnement de marché, de transfert et de conservation dans lequel de nombreux réseaux doivent décider s'ils achètent, louent, transfèrent, conservent, partagent ou reconçoivent leur architecture.

L'important n'est pas qu'APNIC ait causé le CGNAT. L'important est qu'APNIC se trouve au niveau du grand livre au-dessus d'une région où le CGNAT devient l'une des réactions par défaut du marché à la rareté des adresses publiques. Dès lors qu'une adresse publique ne peut plus être présumée pour chaque client, la nature de l'adresse change. Elle cesse d'être un simple identifiant de joignabilité pour devenir un identifiant partagé. L'Internet public voit l'adresse; le fournisseur voit l'abonné privé; la plateforme voit un comportement qui peut appartenir à une personne, un foyer, un café, un immeuble, un secteur mobile ou des milliers de sessions sans lien entre elles. La distance entre ces points de vue est l'endroit où la taxe cachée est payée.

L'adresse publique devient un instrument de réputation partagé

Le premier coût du CGNAT est la réputation. Une adresse IPv4 publique n'est pas seulement un numéro routable. C'est aussi un objet de mémoire. Les systèmes de messagerie, les systèmes anti-fraude, les équipes de lutte contre les abus, les plateformes de contenu, les services de jeux, les sites de billetterie, les applications financières, les réseaux publicitaires, les fournisseurs de sécurité et les systèmes de réception des forces de l'ordre attachent tous une signification aux adresses observées. Une partie de cette signification est explicite: listes noires, bases de données de réputation, limites de débit, tables de géolocalisation, modèles de risque de fraude et seuils de protection des comptes. Une autre partie est informelle: un analyste de support remarque la même adresse dans de nombreuses plaintes; un processeur de paiement associe l'adresse à des tentatives de prise de contrôle de compte; un éditeur de jeux voit un groupe de signalements de tricherie.

Lorsque l'adresse appartient à un seul serveur ou à un circuit d'entreprise, cette mémoire peut être utile. Elle reste imparfaite, mais au moins le lien entre le comportement observé et l'opérateur responsable est relativement direct. Avec le CGNAT, la mémoire devient floue. Le malware d'un utilisateur peut empoisonner l'adresse vue par la banque d'un autre utilisateur. Un compte robot peut déclencher un CAPTCHA ou une demande de connexion pour un foyer qui n'a jamais utilisé le service auparavant. Un incident de spam peut endommager le pool d'adresses utilisé par un petit fournisseur d'accès, et le fardeau de la correction incombe à l'équipe de lutte contre les abus du fournisseur même si le client fautif a résilié.

Ce n'est pas une hypothèse théorique ou marginale. L'analyse du partage d'adresses de l'IETF indique clairement que les rapports d'abus basés uniquement sur une adresse IPv4 et une heure ne suffisent pas à identifier un abonné lorsque plusieurs abonnés partagent cette adresse. Elle avertit également que les boîtes de pénalité basées sur l'IP et les listes noires peuvent produire des dommages collatéraux lorsque l'adresse est partagée. Ladiscussion de Cloudflare en 2025 sur la détection du CGNfait le même constat du point de vue des plateformes: si des centaines ou des milliers de clients apparaissent derrière une seule IP, un système de sécurité basé sur l'IP peut bloquer ou limiter de nombreux utilisateurs légitimes en raison du comportement d'un seul. Lerésumé technique de M3AAWGnote de même qu'un groupe de clients FAI peut partager un pool d'adresses externes et que le FAI doit conserver des journaux de traduction détaillés pour diagnostiquer les abus.

La taxe cachée est ici payée en plusieurs monnaies. L'opérateur paie en travail de gestion de réputation. L'utilisateur paie en frictions: connexions bloquées, vérifications supplémentaires, appels au support, réduction de la confiance et parfois rétrogradation d'abonnement parce que le service semble de moins bonne qualité qu'il ne l'est. La plateforme paie un modèle anti-abus plus coûteux, car une adresse IP a perdu une partie de sa valeur probatoire. Si la plateforme ne s'adapte pas, les utilisateurs innocents sont punis. Si elle s'adapte, elle doit investir dans des signaux alternatifs, des modèles d'appareil, l'historique des comptes, l'analyse comportementale, une conception de risque respectueuse de la vie privée et des voies de recours. Dans les deux cas, le coût a été déplacé. Le CGNAT économise des adresses publiques, mais cette économie est en partie financée par tous ceux qui doivent maintenant réparer la signification d'une adresse publique.

En Asie-Pacifique, cela est important car la région est économiquement hétérogène et la demande est forte. GSMA Intelligence estimait que la connectivité mobile avait contribué à hauteur de 950 milliards de dollars à l'économie de l'Asie-Pacifique en 2024 et pourrait atteindre 1 400 milliards de dollars d'ici 2030. La région comprend des marchés denses à revenu élevé, des réseaux insulaires, des corridors urbains émergents, des systèmes ruraux à faible ARPU, des économies fortement numérisées dans les services financiers, des marchés de consommation à forte composante de jeux et des programmes de numérisation des services publics. Une adresse partagée derrière un grand opérateur dans un certain contexte peut créer une nuisance gérable. Une adresse partagée derrière un fournisseur local fragile, un programme de connectivité scolaire, un corridor de transferts de fonds ou une base d'utilisateurs de services financiers sur un petit marché peut devenir un réel problème d'acceptation. La même solution technique a une incidence économique très différente selon qui peut absorber les coûts secondaires.

Les ports deviennent la couche d'identité rationnée

Le deuxième coût est celui des ports. Un système CGNAT ne se contente pas de partager une adresse. Il partage l'espace limité des ports de transport attaché à cette adresse. L'adresse externe et le port deviennent ensemble l'identité publique pratique d'un flux. C'est pourquoi le port source, l'horodatage et le protocole comptent tant dans la journalisation et les demandes légales. L'adresse seule n'identifie plus le client. Le port fait partie de la réponse.

Cela transforme un domaine technique auparavant obscur en une surface de rationnement économique. La RFC 6888 décrit les ports externes comme une ressource partagée et affirme qu'une gestion efficace des ports affecte directement la qualité de connexion de l'abonné. Elle exige également des limites configurables par abonné, en partie pour qu'un seul abonné ne puisse pas consommer trop de la ressource NAT partagée. Il s'agit d'une règle d'équité technique, mais c'est aussi un signal de prix déguisé. Si un utilisateur, un foyer, une petite entreprise ou un cybercafé a besoin de nombreux flux simultanés, le fournisseur doit décider combien de ports sont équitables, quelle quantité d'état conserver, quand recycler les correspondances, comment gérer l'épuisement des ports et que faire lorsque les applications se comportent mal.

Il en résulte un problème discret de différenciation de service. Un client disposant d'une adresse IPv4 publique dédiée a un certain type de liberté. Il peut exécuter un serveur, accepter des connexions entrantes, héberger un système de caméras, utiliser des applications pair-à-pair, jouer à des jeux avec moins de complications NAT ou satisfaire des logiciels métier qui supposent une adresse stable. Un client derrière un CGNAT a une autre forme de liberté. Certaines utilisations fonctionnent encore bien. La navigation, la messagerie, le streaming et le trafic ordinaire des applications mobiles se passent généralement bien la plupart du temps. Mais « la plupart du temps » n'est pas la même chose que « la pleine liberté ». Le client peut être incapable d'accepter du trafic entrant, de se heurter à des soupçons de la plateforme, d'avoir besoin de contournements pour les jeux ou les fonctions pair-à-pair, d'avoir une géolocalisation moins fiable et de se voir proposer de payer un supplément pour une IP publique statique si elle est disponible.

Le fournisseur d'accès peut présenter cela comme une segmentation commerciale normale. Forfait de base: identité publique partagée. Forfait premium: adresse publique. Forfait professionnel: adresse statique et meilleure gestion des abus. Il n'y a rien de fondamentalement mauvais à un service différencié. Mais l'économie doit être nommée. Le CGNAT transforme l'identité IPv4 publique d'un attribut par défaut de la connectivité en un supplément rare. La taxe est cachée parce qu'elle n'est pas toujours facturée comme « taxe CGNAT ». Elle apparaît sous la forme d'un ticket de support, d'une adresse statique payante, d'une application défaillante, d'une plainte de jeu, d'un faux positif de modèle de fraude, d'un client perdu, d'une file d'attente de réponse légale plus lente ou d'un blocage de plateforme que personne ne peut chiffrer clairement.

C'est ici que l'article doit être distingué du débat plus large sur le coût du double pile. L'incidence du coût du double pile pose la question de savoir qui paie pour faire fonctionner IPv4 et IPv6 ensemble. L'incidence de la taxe cachée du CGNAT pose la question de savoir qui paie lorsqu'une seule adresse IPv4 publique doit représenter plusieurs parties. Les deux sont liés, mais pas identiques. Le double pile est un fardeau d'exploitation de deux réseaux. Le CGNAT est un fardeau de compression d'identité. L'un relève du routage, de l'approvisionnement, de la compatibilité et de la duplication d'ingénierie. L'autre relève des ports, des journaux, de la réputation, du support, de la traçabilité légale et de l'acceptation par les plateformes extérieures.

La facture de la journalisation ne se limite pas au stockage

Le coût interne le plus visible du CGNAT est la journalisation. Le rapport d'abus le plus simple dit: cette adresse IPv4 publique a fait quelque chose à tel moment. Avant le partage d'adresses, cela pouvait souvent suffire pour commencer l'attribution. Avec le CGNAT, le fournisseur a besoin au moins d'un tuple plus fin: adresse publique, port source, protocole, horodatage et un moyen de faire correspondre ces valeurs à l'abonné ou à l'adresse interne active à ce moment-là. Si le service distant n'a pas enregistré le port source, ou si les fuseaux horaires diffèrent, ou si les horloges n'étaient pas synchronisées, ou si les journaux ont expiré, la réponse devient incertaine.

Le coût n'est pas seulement l'espace disque. C'est la conception du système. Les dispositifs de traduction doivent générer des journaux avec précision sans perte de trafic ni latence inacceptable. Les journaux doivent être collectés, compressés, indexés, conservés et protégés. Le temps doit être synchronisé entre les appareils. La conservation doit satisfaire la législation locale sans créer d'exposition inutile à la vie privée. Le personnel doit être formé pour répondre aux plaintes d'abus et aux demandes légales de manière rapide, défendable et proportionnée. Une demande qui ne contient pas de port source peut devoir être renvoyée pour plus d'informations. Une demande qui couvre une fenêtre temporelle trop large peut impliquer de nombreux abonnés. Une demande qui arrive après l'expiration de la conservation peut être impossible à satisfaire. Chaque échec crée une friction institutionnelle.

Le coût varie également selon l'architecture. La journalisation par session offre une traçabilité détaillée mais peut générer un volume énorme. L'attribution déterministe de blocs de ports réduit la journalisation, mais elle alloue des plages de ports d'une manière qui peut réduire l'utilisation ou la flexibilité. La RFC 7422 existe parce que ce compromis n'est pas académique: un accès résidentiel à haut débit à grande échelle peut ne pas être en mesure de journaliser chaque connexion à moindre coût. La RFC 6888 décrit la même tension: l'allocation de ports doit maximiser l'utilisation, minimiser le volume de journalisation et rendre les devinettes de ports difficiles, mais optimiser une exigence peut compromettre une autre. Le CGNAT n'est donc pas un coût unique. C'est une famille de compromis entre la conservation des adresses publiques, l'utilisation des ports, la traçabilité des abus, la vie privée, la sécurité et la qualité d'expérience.

C'est pourquoi « il suffit de journaliser » n'est pas une réponse. La journalisation est un système d'exploitation continu, pas une case à cocher. Un petit FAI de la région APNIC peut devoir acheter de l'équipement CGNAT, des collecteurs de journaux, du stockage, un support d'interception légale, de la surveillance, de la redondance et du temps de personnel dans des monnaies plus fortes que sa base de revenus. Un grand opérateur mobile peut amortir ces coûts sur des millions de clients. Un petit opérateur fixe sans fil, un FAI insulaire, une coopérative locale de haut débit ou un fournisseur urbain en phase de croissance ne le peuvent pas. La même exigence CGNAT peut être un poste d'ingénierie gérable pour un réseau et un fardeau matériel pour un autre.

La dimension des demandes légales intensifie le problème car elle convertit l'ambiguïté technique en risque institutionnel. Les forces de l'ordre ne comprennent pas toujours la différence entre l'attribution d'IP publique et l'attribution de l'abonné derrière un NAT. Europol a averti que les technologies CGN créent des difficultés d'attribution car de nombreux utilisateurs peuvent partager une seule adresse IP. Dans un environnement de demandes mature, les enquêteurs fournissent le port source et l'horodatage précis. Dans un environnement plus faible, le fournisseur peut ne recevoir qu'une adresse et une heure approximative. Le fournisseur est alors confronté à un choix inconfortable: divulguer trop d'abonnés possibles, refuser ou restreindre la demande, consacrer du temps de personnel à éduquer le demandeur, ou risquer d'être perçu comme non coopératif.

Ce coût est rarement visible pour les clients. Ils voient le prix mensuel du haut débit et la vitesse. Ils ne voient pas l'usine de conformité cachée nécessaire pour rendre l'identité publique partagée lisible pour les autorités et les plateformes. Pourtant, le coût provient de la même marge opérationnelle qui finance la couverture, la réparation, le service client et les mises à niveau du réseau. Sur les marchés à faible marge, la taxe cachée n'est pas moralement neutre. L'argent dépensé pour rendre le partage d'adresses juridiquement utilisable est de l'argent qui n'est pas dépensé ailleurs.

L'acceptation par les plateformes devient un problème d'accès au marché

Le CGNAT affecte également l'accès aux plateformes, et l'acceptation par les plateformes fait désormais partie de la vie économique. Une connexion bancaire, un portail gouvernemental, une console cloud, un serveur de jeux, un compte vendeur sur une place de marché, une application de chauffeur de VTC, un service de transfert de fonds et une plateforme vidéo ne sont pas des luxes à la périphérie de la connectivité. Ce sont de plus en plus les raisons pour lesquelles les gens achètent de la connectivité. Si l'identité publique partagée amène ces services à se méfier des utilisateurs, la qualité du produit réseau diminue même lorsque les tests de vitesse semblent bons.

Le côté plateforme fait face à son propre coût. Une adresse IP était autrefois un signal brut mais utile. Elle l'est toujours, mais le CGNAT réduit sa précision. Une équipe anti-fraude peut voir des centaines de comptes provenant d'une seule adresse et devoir décider s'il s'agit d'un dortoir, d'un NAT opérateur, d'une ferme d'émulateurs, d'une opération de clics, d'un centre d'appels, d'un cybercafé, d'une passerelle mobile ou d'une attaque. Un éditeur de jeux peut voir de nombreuses sessions simultanées et se demander s'il s'agit d'un cybercafé ou d'un groupe de robots. Une banque peut voir un changement d'adresse et se demander si le client voyage, utilise des données mobiles, est derrière un CGNAT ou compromis. Un service de streaming peut voir de nombreux foyers derrière une même adresse et confondre la conception normale du réseau d'accès avec un partage de compte ou un comportement de VPN.

Si la plateforme bloque de manière trop agressive, elle nuit aux utilisateurs légitimes et génère des plaintes pour le FAI. Si elle assouplit trop les contrôles, elle augmente la fraude et les abus. Si elle construit une meilleure détection du CGNAT, elle dépense de l'argent en ingénierie. Si elle exige plus de données de la part des opérateurs, elle soulève des questions de confidentialité et de conformité. Il en résulte une négociation multipartite des coûts qui est rarement explicite. La plateforme veut une précision d'attribution. Le fournisseur d'accès veut une efficacité d'adressage. L'utilisateur veut l'acceptation du service. Les autorités publiques veulent la traçabilité. La loi sur la vie privée veut une minimisation. La rareté d'IPv4 sous-tend tout cela.

C'est pourquoi la taxe cachée devrait être décrite comme une incidence plutôt que comme un blâme. Il ne suffit pas de dire que le CGNAT est mauvais, ou que les opérateurs ont tort de l'utiliser. Pour de nombreux réseaux, le CGNAT est une réponse rationnelle à la rareté des adresses publiques et à la sensibilité au prix des clients. Si l'alternative est l'absence de service, une croissance plus lente, des achats d'adresses publiques inabordables ou une empreinte de service qui exclut les utilisateurs à faible revenu, le CGNAT peut être la moins mauvaise option. La question économique est plus étroite et plus utile: qui paie pour les effets secondaires, et ces coûts sont-ils reconnus dans les politiques, la tarification et la gouvernance des registres?

Sur un marché transparent, une adresse IPv4 publique, un slot CGNAT partagé, un bloc de ports déterministe, une IP professionnelle statique et un service natif IPv6 auraient chacun des différences de coûts et de capacités visibles. Les clients pourraient comprendre ce qu'ils achètent. Les opérateurs pourraient investir dans la bonne combinaison. Les plateformes pourraient classer le trafic à adresse partagée sans le pénaliser par défaut. Les autorités publiques pourraient demander le bon tuple. Les registres pourraient se concentrer sur l'exactitude des enregistrements et la certitude des transferts au lieu de moraliser la conservation. Le marché actuel est moins transparent. Les coûts du CGNAT sont diffusés à travers les plaintes, les faux positifs et les frictions opérationnelles.

Le rôle de registre d'APNIC est étroit, mais ce rôle étroit compte

APNIC n'est pas un régulateur d'applications. Elle ne décide pas si une banque doit accepter une connexion, si une plateforme de jeux doit lever une interdiction, si un service vidéo doit traiter une adresse partagée comme un partage de compte, ou si la demande légale d'une autorité nationale est suffisamment précise. Il ne faut pas lui demander de contrôler le déploiement du CGNAT, de punir le partage d'adresses, de déterminer la géographie du client, d'approuver les modèles commerciaux ou d'imposer des objectifs sociaux généraux à l'utilisation d'adresses rares. Un registre qui devient un exécutant transforme le livre d'adresses en levier, et c'est précisément la mauvaise direction pour une infrastructure critique.

Mais le rôle étroit d'APNIC compte toujours parce que la taxe cachée est en partie une conséquence de la difficulté à obtenir et à déplacer l'identité IPv4 publique. Un enregistrement de registre propre réduit l'incertitude. Un chemin de transfert prévisible réduit les coûts de transaction. Des coordonnées exactes améliorent l'escalade. Les enregistrements de routage et de DNS inverse réduisent les dommages collatéraux à la réputation. Une preuve claire de contrôle soutient les contreparties. Des enregistrements de transferts inter-RIR et intra-région efficaces réduisent le besoin de partage désespéré. Un registre qui maintient le livre mince, précis et prévisible n'abolit pas le CGNAT, mais il réduit le fardeau excessif causé par une incertitude évitable.

L'inverse est également vrai. Si la gouvernance du registre rend les transferts lents, discrétionnaires, coûteux ou politiquement chargés, plus de réseaux étireront des adresses limitées via le CGNAT plus longtemps. Si les membres craignent que l'utilisation d'espace loué, d'espace transféré ou de dispositions d'adresses spécifiques à un modèle commercial n'attire un examen arbitraire, ils garderont le partage d'adresses à l'intérieur de leurs propres réseaux plutôt que de s'exposer aux transactions du marché. Si le langage du registre traite la rareté comme une raison pour davantage de contrôle institutionnel plutôt que pour une tenue de registres plus précise, cela rejette le coût sur les opérateurs et les utilisateurs. La taxe cachée augmente lorsque le registre devient un portail.

La bonne frontière est simple. APNIC doit protéger l'unicité, l'exactitude et la continuité. Elle doit enregistrer qui détient la ressource, comment les transferts sont reconnus, quels contacts sont responsables et quels enregistrements de sécurité ou de routage soutiennent la confiance. Elle ne doit pas décider si le choix d'un fournisseur d'utiliser, d'acheter, de vendre, de louer ou de conserver des adresses est moralement préférable, sauf lorsque ce choix affecte l'unicité, la fraude, l'exactitude ou l'état documenté des litiges. Le CGNAT est une architecture de couche de service. La politique du registre ne doit pas le microgérer. Cependant, les frictions du registre ne devraient pas faire du CGNAT la seule option abordable pour les réseaux qui autrement acquerraient une identité publique à des conditions transparentes.

Cette frontière aide également à séparer APNIC des plateformes qui consomment la réputation des adresses. Le système anti-abus d'un fournisseur de contenu peut avoir besoin de traiter le CGNAT différemment, mais il ne devrait pas attendre d'APNIC qu'elle certifie la moralité de chaque conception de partage d'adresses. Une unité des forces de l'ordre peut avoir besoin de meilleurs modèles de demande, mais elle ne devrait pas attendre du registre qu'il remplace les journaux des fournisseurs. Un utilisateur peut avoir besoin d'une adresse publique statique, mais le registre ne devrait pas devenir le bureau des plaintes commerciales. Le registre a le devoir d'être correct et fiable. Il n'a pas le mandat de résoudre toutes les externalités en aval créées par la rareté d'IPv4.

La taxe Asie-Pacifique est inégale

La région APNIC rend l'économie du CGNAT inhabituellement inégale parce que la région n'est pas un seul marché. Elle comprend des pays avec une adoption élevée d'IPv6 et des réseaux mobiles matures, des économies où la numérisation du secteur public dépend fortement de l'accès mobile, des systèmes insulaires avec des liaisons de backhaul coûteuses, des marchés à faible revenu avec des coûts d'équipement importés, des villes denses où une seule adresse publique peut représenter un volume d'utilisateurs énorme, et de petits réseaux qui doivent acheter ou louer des IPv4 sur un marché influencé par la demande mondiale du cloud et des télécommunications.

Le même ratio d'adresses partagées peut donc signifier des choses différentes. Dans un marché mobile dense avec une journalisation sophistiquée et des relations avec les plateformes, le CGNAT peut être une partie gérée du tissu d'accès. Les utilisateurs peuvent subir des frictions occasionnelles, mais l'opérateur a l'échelle pour exécuter les journaux, répondre aux demandes et se coordonner avec les principales plateformes. Sur un marché plus petit, l'opérateur peut avoir le même besoin technique mais beaucoup moins de soutien institutionnel. Un blocage de plateforme peut prendre des jours à résoudre faute de canal d'escalade privilégié. Une demande légale peut consommer du temps d'ingénierie senior parce que les équipes juridiques et techniques sont minces. Un faux positif bancaire peut amener les clients à blâmer le FAI même lorsque le modèle de la banque est la cause immédiate.

La taxe est également inégale entre les utilisateurs. Les utilisateurs résidentiels peuvent tolérer le partage d'adresse si le prix est bas et que les applications courantes fonctionnent. Les joueurs peuvent le remarquer immédiatement. Les travailleurs à domicile peuvent le remarquer lorsque les VPN, l'accès à distance ou les outils de sécurité se comportent mal. Les petites entreprises peuvent le remarquer lorsqu'un fournisseur de paiement ou une place de marché signale l'adresse partagée. Les développeurs peuvent le remarquer lorsque les consoles cloud, les dépôts de paquets ou les services API limitent l'adresse. Les utilisateurs de services publics peuvent le remarquer lorsqu'un portail gouvernemental suppose que l'adresse est un marqueur de localisation ou d'identité. Une même IP publique peut servir de nombreuses personnes, mais toutes n'ont pas la même tolérance à l'ambiguïté.

Cette inégalité crée une subvention croisée cachée. Les clients qui n'ont pas besoin d'identité publique bénéficient de coûts d'accès plus bas. Les clients qui en ont besoin paient par des mises à niveau, des frais d'adresse statique ou une fonctionnalité perdue. Les plateformes subventionnent le réseau d'accès en construisant une détection plus nuancée. Les opérateurs subventionnent les plateformes en faisant du support et de la réparation de réputation lorsque les modèles de plateforme pénalisent les adresses partagées. Les autorités publiques subventionnent les deux lorsque les demandes deviennent plus difficiles à exécuter. Le coût est réparti, mais réparti ne signifie pas absent.

C'est l'incidence économique que les débats politiques d'APNIC devraient pouvoir voir. La rareté ne disparaît pas parce que l'adresse est partagée. Elle change de forme. Au lieu de payer pour plus d'adresses publiques, le marché paie par la complexité. Au lieu qu'un prix d'adresse publique apparaisse dans un bilan, les coûts apparaissent dans les minutes de centre d'appels, le stockage, la révision juridique, les tickets d'abus, l'ingénierie de plateforme, les sessions échouées et la liberté de choix perdue. Une taxe cachée est toujours une taxe si elle modifie le comportement et consomme des ressources.

L'expérience utilisateur est le système comptable que personne ne veut

La comptabilité la plus dure du CGNAT apparaît souvent dans l'expérience utilisateur. Un utilisateur ne dit pas: « Je souffre d'une mauvaise allocation des externalités sous une identité IPv4 partagée ». Il dit que l'application bancaire ne fonctionne pas. Il dit que le jeu indique que sa connexion est restreinte. Il dit qu'un site web pense qu'il est dans la mauvaise ville. Il dit que le service de streaming n'arrête pas de demander une vérification. Il dit que le portail gouvernemental a échoué. Il dit que le FAI est mauvais.

C'est économiquement important parce que les fournisseurs d'accès vendent une fiabilité perçue, pas seulement un transport brut. Si le CGNAT cause une défaillance en dehors du réseau du fournisseur, ce dernier absorbe une partie du blâme. Les équipes de support doivent expliquer ce qu'est une IP publique partagée à des clients qui n'avaient pas demandé à apprendre l'architecture réseau. L'explication satisfait rarement. Du point de vue de l'utilisateur, il a payé pour un accès Internet et un service important l'a refusé. Que le refus provienne d'un modèle de risque basé sur l'IP d'une plateforme, d'une liste de réputation périmée, d'un blocage des forces de l'ordre, d'une limitation de port ou d'un échec de traversée NAT importe peu.

La file d'attente de support devient donc un grand livre d'incidences cachées. Chaque ticket porte des informations sur l'endroit où le coût a atterri. Si un utilisateur paie pour une IP publique, le coût atterrit sur la facture de l'utilisateur. Si le fournisseur remappe le client vers un pool d'adresses plus propre, le coût atterrit dans la gestion opérationnelle. Si la plateforme met en liste blanche une plage NAT, le coût atterrit dans l'ingénierie de la plateforme et la politique de confiance. Si personne ne le résout, le coût atterrit dans le churn, la perte de productivité ou l'exclusion d'un service.

Pour les opérateurs de la région APNIC, ce n'est pas simplement une préoccupation d'exploitation technique. Cela affecte la structure du marché. Les plus grands fournisseurs peuvent se permettre de meilleurs systèmes CGNAT, de meilleurs journaux, une meilleure escalade de plateforme, un plus grand inventaire d'IPv4 publiques, de meilleurs scripts de support et du personnel de conformité dédié. Les plus petits fournisseurs peuvent utiliser un équipement plus simple, des journaux plus petits, une capacité de support plus faible et moins de relations. Cela peut renforcer l'avantage des opérateurs historiques même lorsque les règles du registre sont formellement neutres. La rareté d'IPv4 publique plus les externalités du CGNAT peuvent rendre l'échelle plus précieuse, non parce que les grands réseaux sont toujours techniquement meilleurs, mais parce qu'ils peuvent absorber la taxe cachée plus efficacement.

La conséquence est subtile. Un nouvel entrant peut être en mesure d'acheter du transit, de déployer des radios, de louer du backhaul et de signer des clients, mais il peut encore se heurter à des problèmes de réputation d'adresse, de demande d'IP statique, de processus de demande légale et d'acceptation par les plateformes. La barrière n'est pas seulement « trouver de l'IPv4 ». C'est « trouver une identité publique suffisamment propre, ou construire suffisamment de mécanismes d'identité partagée, pour que les clients soient acceptés par l'Internet extérieur ». C'est une exigence plus difficile et moins visible.

Une bonne conception du CGNAT réduit les dommages mais n'efface pas l'incidence

Il existe de meilleures et de pires façons d'exécuter le CGNAT. Les opérateurs peuvent utiliser des budgets de ports adéquats, des correspondances déterministes, une communication client claire, des journaux précis, des horloges synchronisées, une conservation minutieuse, une surveillance de la réputation du pool d'adresses, des procédures de gestion des abus, des chemins de mise à niveau vers une IP statique, un déploiement d'IPv6 là où c'est utile, des contacts d'escalade avec les plateformes et des formats de demande légale documentés. Ils peuvent éviter de surcharger les adresses publiques au-delà de ce que les applications tolèrent. Ils peuvent réserver des pools plus propres pour les clients ayant des besoins d'acceptation plus élevés. Ils peuvent former les équipes de support à reconnaître rapidement les faux positifs liés aux adresses partagées.

Ces pratiques sont importantes. Elles réduisent les dommages et devraient être encouragées comme une discipline opérationnelle. Mais elles n'éliminent pas l'économie sous-jacente. Un budget de ports reste un budget. Les journaux restent des journaux. Le support reste du support. La réputation reste partagée. Une meilleure détection du CGNAT par une plateforme reste un coût d'adaptation de la plateforme. La vente incitative d'une IP statique signifie toujours que l'identité publique est devenue une fonctionnalité premium. Le réseau mieux géré rend la taxe moins douloureuse; il ne fait pas disparaître la taxe.

C'est pourquoi un simple guide de dépannage passerait à côté du problème. La question n'est pas de savoir comment un client peut déterminer s'il est derrière un CGNAT, ou si un joueur devrait demander une IP statique, ou quelle méthode de traversée NAT fonctionne le mieux. Ce sont des questions pratiques, mais elles se situent en aval. La question en amont est de savoir pourquoi le coût existe et qui le supporte. Le CGNAT est un mécanisme de prix habillé en solution technique de contournement. Il fixe le prix de la rareté des IPv4 publiques en réduisant la qualité de l'identité plutôt qu'en facturant à chaque utilisateur une adresse unique.

Cela peut être efficace pour de nombreux marchés grand public. Cela peut aussi être équitable si les utilisateurs savent ce qu'ils achètent et peuvent acheter une adresse publique lorsqu'ils en ont besoin. Mais cela devient problématique lorsque le coût est caché, lorsque les utilisateurs sont blâmés pour des défaillances de plateforme qu'ils ne contrôlent pas, lorsque les opérateurs n'ont pas un accès raisonnable à l'offre d'adresses publiques, lorsque les systèmes de demande légale n'incluent pas les ports, lorsque les plateformes punissent trop largement les adresses partagées et lorsque la politique du registre ajoute des frictions aux transferts qui pourraient autrement réduire la dépendance au partage.

Une bonne politique commence donc par la visibilité. Les opérateurs devraient mesurer les tickets de support CGNAT séparément des tickets de connectivité génériques. Les plateformes devraient détecter et traiter le trafic à adresse partagée avec soin. Les autorités publiques devraient utiliser des formats de demande qui incluent l'adresse, le port, l'horodatage, le protocole et le fuseau horaire. Les clients qui ont besoin d'une identité publique stable devraient se voir offrir des options claires. Les discussions sur la politique du registre devraient traiter la friction des transferts IPv4, l'incertitude de la location et la rareté des adresses publiques comme des intrants du coût du CGNAT, et non comme des mondes séparés.

Le principe du registre et non du gardien appliqué au CGNAT

Le principe du registre et non du gardien est utile ici car il discipline à la fois l'excès et la négligence. Un registre outrepasse son rôle s'il essaie de commander l'architecture de service, de moraliser l'utilisation des adresses, de punir les opérateurs par le contrôle des enregistrements ou de décider quel type de client mérite une identité publique. Mais un registre néglige son rôle si des enregistrements inexacts, des transferts lents, des coordonnées peu claires, une faible preuve de contrôle ou une incertitude discrétionnaire rendent les marchés d'adresses publiques plus difficiles à utiliser qu'ils ne devraient l'être.

Pour le CGNAT, la contribution étroite du registre n'est pas un livre de règles sur le CGNAT. C'est un meilleur environnement de marché pour les adresses. Si un opérateur peut acquérir, transférer, louer ou documenter des ressources IPv4 publiques avec un traitement prévisible des enregistrements, il a plus d'options. Si les enregistrements sont exacts, les contreparties peuvent évaluer la réputation et le contrôle. Si les procédures de transfert sont prévisibles, les détenteurs d'adresses peuvent orienter l'espace vers une utilisation de plus grande valeur. Si les litiges sont enregistrés sans geler les opérations ordinaires inutilement, la confiance s'améliore. Si APNIC reste un registre fiable plutôt qu'un gardien, les opérateurs peuvent faire des choix de couche de service dans des conditions économiques plus claires.

Cela importe parce que le CGNAT peut devenir un piège lorsque les alternatives d'adresses publiques sont trop incertaines. Un fournisseur peut savoir que plus d'IPv4 publiques réduiraient le support et les frictions de plateforme, mais éviter néanmoins les transactions parce que les transferts sont lents, les prix sont opaques, la documentation est lourde ou le risque politique est difficile à chiffrer. Dans ce cas, le CGNAT n'est pas choisi uniquement parce qu'il est efficace. Il est choisi parce que le marché des adresses publiques est plus difficile à naviguer que la machine à adresses partagées. La taxe cachée devient alors un symptôme de friction du marché.

Il y a une deuxième discipline: APNIC ne doit pas utiliser les effets secondaires du CGNAT comme argument pour un contrôle plus centralisé. Il serait tentant pour tout registre de dire que, parce que le partage d'adresses crée des problèmes d'abus et de traçabilité, le registre a besoin de pouvoirs d'application plus larges. Cette conclusion ne suit pas. La gestion des abus appartient aux opérateurs, aux plateformes, aux clients et aux autorités légales qui détiennent les preuves et le mandat légal pertinents. Un excès de pouvoir du registre ajouterait un autre point de contrôle sans ajouter la connaissance opérationnelle nécessaire pour résoudre le problème. La réponse correcte aux externalités du CGNAT est une coordination plus mince et plus propre, associée à de meilleures pratiques de couche de service, et non un État de registre plus épais.

La même logique s'applique à IPv6. IPv6 peut réduire la pression sur les IPv4 partagées là où il est effectivement utilisé de bout en bout, et de nombreux opérateurs le déploient pour de bonnes raisons. Mais IPv6 ne supprime pas la nécessité de comptabiliser les coûts du CGNAT tant que l'IPv4 reste nécessaire pour la joignabilité. Un article public sur le CGNAT ne doit pas se transformer en plaidoyer protocolaire. Il doit demander comment l'économie des adresses existante répartit les coûts aujourd'hui. Si le trafic IPv6 réduit le nombre de sessions IPv4 par abonné, il peut réduire la charge de CGNAT. Si les principaux services exigent encore la joignabilité IPv4, la taxe sur les adresses partagées demeure. Les opérateurs vivent dans ce présent.

Ce qui devrait être mesuré

Une discussion sérieuse sur le CGNAT dans la région APNIC devrait mesurer plus que les économies d'adresses. Les économies d'adresses sont faciles à compter: moins d'adresses IPv4 publiques desservent plus d'abonnés. La question la plus difficile et la plus importante est ce qui a été dépensé pour obtenir ces économies.

La première mesure est le coût de journalisation par abonné. Cela inclut la capacité de journalisation des équipements, les collecteurs, le stockage, l'indexation, la rétention, la suppression, les contrôles d'accès, les pistes d'audit et le temps de personnel pour les demandes. La deuxième est le coût de réponse aux abus: nombre de plaintes, fraction nécessitant une désambiguïsation au niveau du port, délai de résolution, taux de faux positifs et escalades de plateforme. La troisième est le coût de réputation: adresses listées sur des listes noires, temps de radiation, impact client et surcoût de rotation des pools. La quatrième est le coût de support: tickets mentionnant des connexions bloquées, des types de NAT de jeu, des demandes d'IP statique, des échecs d'accès à distance, des erreurs de géolocalisation et des interdictions de plateforme. La cinquième est la qualité des demandes légales: pourcentage de demandes qui incluent le port source, le protocole, l'horodatage précis et le fuseau horaire. La sixième est le coût de la liberté de choix: revenus ou churn associés aux clients qui ont besoin d'identité publique mais ne peuvent pas l'obtenir facilement.

Ces mesures rendraient la taxe cachée visible. Elles montreraient également où le fardeau atterrit. Si la journalisation domine, l'opérateur a besoin d'une meilleure architecture ou de modèles de demande légale. Si les faux positifs de plateforme dominent, l'opérateur a besoin d'escalade et la plateforme a besoin d'un meilleur traitement des adresses partagées. Si la demande d'IP statique domine, la rareté des adresses et l'accès au marché de transfert sont le problème. Si les plaintes de jeux dominent, le comportement des ports et la communication du plan client comptent. Si les demandes légales manquent de ports, l'éducation des autorités publiques est le goulot d'étranglement. Sans mesure, chaque acteur peut blâmer tous les autres acteurs et la taxe reste cachée.

La mesure aide également à éviter un faux débat moral. Le CGNAT n'est ni un méchant ni un miracle. C'est une technologie de rationnement. Les technologies de rationnement peuvent être utiles. Elles peuvent aussi cacher des coûts et les transférer à des parties ayant moins de pouvoir de négociation. La question est de savoir si le rationnement est explicite, proportionné et réversible. Un consommateur qui achète en connaissance de cause un forfait à adresse partagée à bas prix et peut passer à un niveau supérieur en cas de besoin se trouve dans une position différente de celle d'une petite entreprise qui découvre seulement après avoir signé un contrat que des services critiques n'accepteront pas son identité publique. Une plateforme qui peut distinguer le CGNAT des abus est dans une position différente de celle qui bloque des pools d'adresses entiers. Un fournisseur avec un accès propre au transfert est dans une position différente de celui piégé derrière des frictions politiques.

Pour la gouvernance d'APNIC, la leçon n'est pas que chaque membre doit recevoir suffisamment d'IPv4 pour chaque client. Ce monde est révolu. La leçon est que la politique du registre ne doit pas prétendre que le partage d'adresses est sans coût. Le langage de la conservation peut donner l'impression que le CGNAT est un bien public: utilisez moins d'adresses, servez plus de clients. Parfois, cela est vrai. Mais si la conservation pousse les coûts vers des formes moins visibles, la politique doit tenir compte de ces coûts. Un registre qui reconnaît l'incidence réelle du marché et de l'exploitation est plus légitime qu'un registre qui vante la conservation tout en ignorant qui gère les conséquences.

La taxe cachée et la valeur de l'identité publique

Le CGNAT révèle quelque chose que l'ère d'abondance ancienne masquait: l'identité IPv4 publique a une valeur au-delà du transfert de paquets. Elle porte la réputation, la liberté de choix, la traçabilité, la joignabilité entrante, l'acceptation par les plateformes et la lisibilité institutionnelle. Lorsque l'identité publique est compressée, ces attributs sont également compressés. La valeur économique d'une adresse publique dédiée n'est pas seulement que les paquets peuvent l'atteindre. C'est que le monde extérieur peut la traiter comme un point de référence plus précis.

Cela ne signifie pas que chaque utilisateur a besoin d'une adresse dédiée. Beaucoup n'en ont pas besoin. Cela signifie que le marché devrait cesser de prétendre que la différence est triviale. Une adresse partagée est un produit d'identité à moindre coût avec des externalités différentes. Une adresse dédiée est un produit d'identité à liberté plus élevée avec des coûts différents. Une adresse louée, une adresse transférée, une adresse professionnelle statique ou un service natif IPv6 portent chacun un profil de risque et d'acceptation différent. Une fois cela reconnu, les opérateurs et les clients peuvent faire de meilleurs choix.

Cacher la différence aide les opérateurs historiques et les grandes plateformes plus que les utilisateurs. Un grand opérateur peut gérer l'ambiguïté en interne. Une grande plateforme peut construire de meilleurs systèmes de risque. Un petit opérateur, une petite entreprise et un client individuel ont moins de levier. Ils découvrent le coût lorsque quelque chose casse. C'est pourquoi une description économique calme est plus utile que des slogans. La question n'est pas de savoir si le CGNAT devrait exister. La question est de savoir si l'identité publique partagée est tarifée et gouvernée honnêtement.

Le rôle d'APNIC est de rendre l'environnement des adresses en amont plus honnête, pas de régenter la conception des services. Sa réalité post-épuisement est déjà un exemple: la région ne peut pas compter sur l'abondance du pool libre. Cela rend les transferts, les locations, les enregistrements exacts, la possibilité de contact, les preuves de routage et la continuité opérationnelle plus importants, pas moins. Si le registre reste un livre mince et fiable, l'identité publique peut se diriger vers les réseaux et les clients qui la valorisent le plus. S'il devient une structure de permission, les coûts de rareté s'exprimeront par plus de CGNAT, plus de fardeau de support et plus de frictions de plateforme.

Le ticket bancaire au début de cet article n'est donc pas une anecdote de service client. C'est une petite écriture de bilan dans l'Internet post-épuisement. Quelqu'un a économisé une adresse IPv4 publique. Quelqu'un d'autre a construit des journaux pour prouver qui l'utilisait. Quelqu'un d'autre a construit un modèle de risque pour décider s'il fallait lui faire confiance. Quelqu'un a attendu dans une file de support. Quelqu'un a rédigé une demande légale qui incluait ou non le port et l'horodatage. Quelqu'un a payé pour une IP statique. Quelqu'un a résilié. Quelqu'un a été bloqué par erreur. L'adresse publique a été conservée, mais le coût n'a pas disparu.

C'est l'économie du NAT de qualité opérateur en tant que taxe cachée. C'est une taxe sur la précision lorsque l'identité publique est partagée. Elle est payée par les opérateurs en infrastructure et en temps de personnel, par les plateformes dans des systèmes de confiance plus complexes, par les autorités dans le soin des preuves, et par les utilisateurs dans la liberté de choix perdue. Dans la région APNIC, où la croissance, la rareté et la diversité du marché se rencontrent plus tôt et plus durement que dans de nombreux récits d'Internet, cette taxe mérite d'être visible. Le livre étroit ne peut pas l'abolir. Mais un livre étroit, prévisible et conscient du marché peut éviter de l'aggraver.

Sources et lectures complémentaires