Routeur : définition et fonctionnement

Ce qu’est un routeur, en une définition

Prenez votre ordinateur en 192.168.1.42 et un serveur DNS public en 9.9.9.9. Ces deux machines ne sont pas sur le même réseau, elles ne peuvent donc pas se parler directement. Le routeur est l'équipement qui accepte le paquet de l'une, consulte sa table, et le transmet vers le réseau suivant. Répétez l'opération une dizaine de fois et vous avez traversé Internet.

Formellement, un routeur est un nœud IP qui transfère des paquets dont il n'est pas le destinataire. La RFC 1812 (Requirements for IP Version 4 Routers, juin 1995) décrit ce qu'il doit faire à chaque paquet : vérifier l'en-tête et sa somme de contrôle, décrémenter le champ TTL d'au moins 1, choisir le saut suivant, réémettre sur la bonne interface. La RFC 8200 tient le même rôle pour IPv6, avec une différence qui compte en exploitation : un routeur IPv6 n'a pas le droit de fragmenter un paquet trop grand pour le lien suivant, il renvoie un ICMPv6 Packet Too Big (type 2) à la source, qui doit réduire sa taille d'émission.

Un routeur n'est pas forcément un boîtier vendu comme tel. Un serveur Linux avec deux cartes réseau et net.ipv4.ip_forward=1 en est un, au même titre qu'un châssis opérateur à plusieurs dizaines de milliers d'euros.

Comment un routeur choisit où envoyer un paquet

La table de routage est une liste de préfixes associés chacun à un saut suivant. À la réception d'un paquet, le routeur compare l'adresse de destination à toutes les entrées et retient la plus spécifique, celle dont le masque est le plus long : c'est la règle du longest prefix match. Une route vers 192.168.10.0/24 l'emporte sur 192.168.0.0/16, qui l'emporte elle-même sur la route par défaut 0.0.0.0/0. L'ordre d'écriture des lignes n'entre pas en jeu, contrairement à ce que beaucoup supposent en lisant une table pour la première fois.

Sur une machine Linux, ip route get 9.9.9.9 répond en une ligne quelle interface, quelle passerelle et quelle adresse source seront utilisées. C'est bien plus rapide que de lire toute la table quand vous cherchez pourquoi un flux sort du mauvais côté.

Le TTL sert de garde-fou contre les boucles. Chaque routeur traversé le décrémente, et à zéro le paquet est détruit avec un ICMP Time Exceeded (type 11) renvoyé à l'expéditeur. C'est précisément ce que traceroute exploite : il émet des paquets avec un TTL de 1, puis 2, puis 3, et note qui se plaint à chaque étape. Les valeurs initiales usuelles sont 64 sous Linux et macOS, 128 sous Windows. Un paquet qui arrive avec un TTL de 57 depuis une source Linux a donc franchi 7 routeurs.

• Linux : ip route show pour la table, ip route get pour la décision réelle
• macOS et BSD : netstat -rn
• Windows : route print, ou Get-NetRoute en PowerShell
• Vérifier le chemin effectif : traceroute 1.1.1.1 (tracert sous Windows)

Routeur, switch, modem, box : ne pas confondre

La confusion la plus fréquente oppose routeur et commutateur. Un switch lit les adresses MAC et travaille à l'intérieur d'un seul réseau. Il ignore ce qu'est une adresse IP et ne franchit aucune frontière de sous-réseau. Le routeur existe justement pour franchir cette frontière, et c'est pour cette raison que chaque machine a besoin d'une passerelle par défaut configurée.

Deuxième confusion, le modem. Il convertit un signal de ligne (DSL, fibre via un ONT, câble) en trames Ethernet, et s'arrête là. Une box internet réunit modem, routeur, switch de quatre ports et point d'accès Wi-Fi dans le même boîtier. D'où l'habitude d'appeler routeur l'ensemble de la box.

Équipement	Couche	Ce qu'il lit	Rôle
Concentrateur (hub)	1	Rien	Répète le signal sur tous les ports, matériel obsolète
Commutateur (switch)	2	Adresse MAC	Aiguille la trame vers le bon port du même réseau local
Routeur	3	Adresse IP de destination	Relie deux réseaux IP distincts et choisit le saut suivant
Modem	1 et 2	Signal DSL, fibre ou câble	Convertit le signal de la ligne en Ethernet
Box internet	1 à 4	Tout ce qui précède	Modem, routeur, switch, Wi-Fi et NAT dans un seul boîtier

Ce que fait vraiment un routeur domestique

Chez vous, l'essentiel du travail est du NAT. Vos appareils portent des adresses privées définies par la RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), qui ne sont pas routables sur Internet. Le routeur réécrit l'adresse source et le port de chaque connexion sortante pour les faire passer sous son unique adresse publique, puis remet le trafic de retour dans le bon sens grâce à sa table de traduction. Le mécanisme est décrit dans la RFC 3022.

L'interface d'administration s'atteint le plus souvent sur http://192.168.1.1 ou http://192.168.0.1 selon le constructeur. Plutôt que de deviner, lisez la passerelle par défaut : ipconfig sous Windows, ip route | grep default sous Linux, netstat -rn | grep default sous macOS.

Cas de panne à connaître : vous branchez un second routeur derrière la box et vous laissez les deux distribuer du 192.168.1.0/24. Le second routeur se retrouve alors avec une adresse WAN dans le même préfixe que son propre LAN, sa table contient deux routes concurrentes pour le même réseau, et le trafic cesse de sortir. Même sans ce recouvrement, le double NAT casse les redirections de ports, qu'il faudrait déclarer deux fois. La correction tient en deux options : changer le plan d'adressage du second réseau, par exemple en 192.168.20.0/24, ou basculer l'un des deux équipements en mode pont.

• NAT et suivi des connexions sortantes (RFC 3022)
• Serveur DHCP qui distribue adresses, masque, passerelle et DNS (RFC 2131)
• Pare-feu à état, qui bloque par défaut les connexions entrantes non sollicitées
• Point d'accès Wi-Fi, en 2,4 GHz et 5 GHz sur la plupart des modèles récents
• Relais DNS, souvent annoncé aux clients comme l'adresse du routeur lui-même
• Redirections de ports et UPnP, à désactiver si vous voulez garder la main sur ce qui est exposé

Routeurs d’opérateur : d’où viennent les routes

Un routeur domestique n'a qu'une décision à prendre : la destination est locale, ou elle part vers la route par défaut. Les routeurs d'opérateur apprennent leurs chemins par des protocoles. À l'intérieur d'un même réseau, OSPF (RFC 2328) ou IS-IS calculent les meilleurs chemins. Entre opérateurs, BGP (RFC 4271) échange les préfixes que chaque système autonome accepte de transporter.

Un système autonome est identifié par un ASN, sur 16 bits à l'origine et sur 32 bits depuis la RFC 6793. Orange exploite l'AS3215, Free l'AS12322. Les routeurs de bordure gardent en mémoire la table globale, dont la taille se compte en centaines de milliers de préfixes IPv4 et continue de croître. Les valeurs exactes se relèvent sur des sources publiques comme le CIDR Report ou les statistiques de la vue BGP de Potaroo ; ne recopiez pas un chiffre daté, il bouge tous les mois.

Rien de tout cela ne tourne dans votre box. Elle connaît son réseau local et sa route par défaut, un point c'est tout.

Questions fréquentes

Une box internet est-elle un routeur ?

Elle en contient un. Une box regroupe un modem (ou un ONT pour la fibre), un routeur, un switch de quelques ports et un point d'accès Wi-Fi. La fonction routeur y est bien présente, avec sa table de routage, son NAT et son serveur DHCP, mais elle n'est qu'une partie de l'appareil.

Quelle différence concrète entre un routeur et un switch ?

Un switch aiguille des trames à partir des adresses MAC, à l'intérieur d'un seul réseau. Un routeur transfère des paquets à partir des adresses IP, entre deux réseaux différents. Test simple : si deux machines sont dans le même sous-réseau, elles se parlent via le switch et le routeur n'intervient jamais ; dès qu'elles changent de sous-réseau, le trafic passe obligatoirement par le routeur.

Comment connaître l’adresse IP de mon routeur ?

C'est la passerelle par défaut de votre machine. Sous Windows, ipconfig affiche la ligne Passerelle par défaut. Sous Linux, ip route | grep default. Sous macOS, netstat -rn | grep default. La valeur renvoyée, souvent 192.168.1.1 ou 192.168.0.1, est aussi l'adresse de l'interface d'administration.

Un routeur ralentit-il la connexion ?

Le temps de traitement d'un routeur local se compte en fractions de milliseconde, invisible à côté de la latence de la ligne. En revanche il peut devenir le goulot d'étranglement quand le NAT et le pare-feu à état sont traités par le processeur plutôt que par du matériel dédié, typiquement sur des débits fibre élevés ou avec des milliers de connexions simultanées (partage de fichiers en pair à pair, par exemple).

Pourquoi mon VPN d’entreprise ne fonctionne pas depuis chez moi ?

Vérifiez le plan d'adressage. Si votre réseau domestique utilise 192.168.1.0/24 et que le réseau distant utilise le même préfixe, votre machine considère les serveurs distants comme locaux et n'envoie jamais leurs paquets dans le tunnel. Changez le sous-réseau de votre routeur pour une plage moins courante, par exemple 192.168.87.0/24.

Testez vos connaissances

À lire aussi

box internet · commutateur reseau · cidr · bgp