Routeur : ce que c’est, et ce qu’il fait vraiment
Un routeur est un équipement qui relie au moins deux réseaux IP et décide, paquet par paquet, par quelle interface les faire sortir. Chez vous, c'est la fonction qui fait passer le trafic du réseau local en 192.168.x.x vers internet, presque toujours intégrée à la box de l'opérateur.
Ce qu’un routeur fait quand vous ouvrez une page
Vous tapez une adresse, votre machine applique son masque de sous-réseau, constate que la destination n'est pas chez elle, et expédie le paquet à sa passerelle par défaut. Cette passerelle, c'est le routeur. Il lit l'adresse IP de destination dans l'en-tête, la compare aux entrées de sa table, et réémet le paquet par l'interface qui va dans la bonne direction. Il ignore le chemin complet jusqu'au serveur. Il ne connaît que le saut suivant, et il fait confiance au routeur d'après pour la suite.
Rien de plus. Un aiguilleur, pas un guide.
Pour voir le vôtre, une commande suffit. Sous Linux, ip route show default renvoie une ligne du type : default via 192.168.1.1 dev eth0 proto dhcp metric 100. L'adresse 192.168.1.1 est celle de votre routeur. L'équivalent est route print sous Windows (regardez la ligne 0.0.0.0) et netstat -rn sous macOS.
La table de routage décide de tout
Un routeur ne réfléchit pas, il compare des préfixes.
Chaque entrée associe un réseau de destination, écrit en notation CIDR, à une sortie. Quand plusieurs entrées correspondent à la même adresse, la plus spécifique gagne : pour joindre 192.168.1.50, une route 192.168.1.0/24 l'emporte sur la route par défaut 0.0.0.0/0, parce que son masque est plus long. La métrique n'intervient qu'ensuite, pour départager deux routes de longueur identique. C'est la règle du longest prefix match, et elle explique la quasi-totalité des comportements de routage qui semblent bizarres au premier coup d'œil.
Voici à quoi ressemble une table sur un poste de travail ordinaire, VPN compris :
Un routeur domestique se contente de trois ou quatre lignes. Un routeur de cœur de réseau, lui, porte la table complète d'internet, de l'ordre du million de préfixes IPv4, un volume qui grimpe d'année en année et se vérifie sur le CIDR Report plutôt que dans un article. Ces routes-là ne sont pas écrites à la main : elles arrivent par BGP (RFC 4271) depuis les réseaux voisins.
| Destination | Passerelle | Interface | Ce qui sort par là |
|---|---|---|---|
| 0.0.0.0/0 | 192.168.1.1 | eth0 | tout le reste, internet compris |
| 192.168.1.0/24 | directe | eth0 | les machines du réseau local |
| 127.0.0.0/8 | directe | lo | la boucle locale de la machine |
| 10.8.0.0/24 | 10.8.0.1 | tun0 | le sous-réseau situé derrière le VPN |
Routeur, switch, box, modem : les quatre mots qu’on confond
La confusion la plus fréquente oppose le routeur au commutateur. Un switch travaille en couche 2 : il lit des adresses MAC et distribue les trames entre machines d'un même réseau, sans jamais regarder l'IP. Le routeur travaille en couche 3, lit l'adresse IP de destination, et sert précisément à sortir du réseau local. Brancher deux sous-réseaux différents sur un switch ne les fait pas communiquer, quel que soit le prix du switch.
Deuxième piège : le point d'accès Wi-Fi. Ce n'est pas un routeur, c'est un switch sans fil. Un répéteur non plus.
La box de votre opérateur, elle, contient les quatre fonctions dans un seul boîtier, ce qui rend le vocabulaire flou pour tout le monde.
| Équipement | Couche OSI | Ce qu'il lit | Ce qu'il relie |
|---|---|---|---|
| Commutateur (switch) | 2 | l'adresse MAC | des machines d'un même réseau |
| Point d'accès Wi-Fi | 2 | l'adresse MAC | des clients sans fil au réseau filaire |
| Routeur | 3 | l'adresse IP de destination | des réseaux différents entre eux |
| Modem | 1 et 2 | le signal de la ligne | votre installation au réseau opérateur |
| Box internet | 1 à 3 | un peu de tout | les quatre rôles ci-dessus réunis |
Ce que le paquet subit en traversant
Un routeur ne se contente pas de faire suivre. Il modifie le paquet, et le RFC 1812, qui liste les exigences applicables aux routeurs IPv4, décrit ces opérations une par une :
- Le TTL perd 1 à chaque traversée. Arrivé à zéro, le paquet est détruit et un ICMP Time Exceeded (type 11) repart vers l'expéditeur. C'est exactement ce mécanisme que traceroute détourne, en envoyant des paquets à TTL croissant pour faire parler chaque routeur du chemin l'un après l'autre.
- L'en-tête Ethernet est intégralement réécrit à chaque saut : nouvelle MAC source, nouvelle MAC destination. Les adresses IP, elles, ne bougent pas.
- Le checksum d'en-tête IPv4 est recalculé, puisque le TTL vient de changer. IPv6 a purement supprimé ce champ pour éviter ce recalcul permanent.
- Si le paquet dépasse le MTU de l'interface de sortie, il est fragmenté, ou rejeté avec un ICMP « fragmentation needed » quand le bit DF est armé.
- Sur un routeur domestique, le NAT (RFC 3022) remplace en plus l'adresse privée source par l'adresse publique et mémorise la correspondance dans une table de traduction.
Compter les routeurs sans y penser
Le TTL de départ dépend du système : 64 sur Linux et macOS, 128 sur Windows. Comme chaque routeur en retire 1, le TTL affiché en retour vous donne le nombre de sauts.
Un ping vers un serveur qui répond ttl=57 signifie donc, si la machine distante est sous Linux, que sept routeurs ont manipulé le paquet entre elle et vous. Un ttl=118 trahit un serveur Windows à dix sauts. Ce n'est pas une preuve formelle, un administrateur peut avoir modifié la valeur initiale, mais dans la pratique c'est fiable et gratuit.
Quand la panne vient du routeur
Le cas classique : vous ajoutez votre propre routeur derrière la box, sans passer celle-ci en mode bridge. Deux NAT se retrouvent en série. Tout fonctionne pour la navigation, et rien ne fonctionne dès qu'il faut recevoir une connexion entrante. Vous ouvrez consciencieusement le port 32400 sur votre routeur, la box l'ignore, et le service reste injoignable de l'extérieur.
Symptôme reconnaissable : la redirection de ports est bien configurée, elle ne marche pas.
Un cousin de ce problème vient de l'opérateur. Si l'interface WAN de votre box porte une adresse comprise entre 100.64.0.0 et 100.127.255.255, plage réservée par le RFC 6598, vous êtes derrière un CGNAT : l'adresse publique est partagée avec d'autres abonnés et aucune redirection de port n'est possible de votre côté. Comparez l'adresse affichée dans l'interface de la box avec celle que renvoie un site de test, l'écart règle la question en dix secondes.
Dernier suspect fréquent, le MTU. Sur une liaison PPPoE, la valeur utile tombe à 1492 octets au lieu des 1500 habituels en Ethernet. Quand un routeur intermédiaire filtre les ICMP, la découverte automatique de MTU échoue en silence : les petites requêtes passent, les pages lourdes se figent à moitié chargées, et le diagnostic dure des heures parce que rien ne ressemble moins à un problème de taille de paquet qu'un site qui charge mal.
Et si la fonction DHCP du routeur s'arrête, les postes basculent en 169.254.x.x, s'attribuent une adresse de secours et perdent toute passerelle.
Testez vos connaissances
Sur quelle couche du modèle OSI un routeur prend-il sa décision ?
Score : 0 sur 3
Questions fréquentes
Quelle est la différence entre un routeur et une box internet ?
La box contient un routeur, plus un modem, un petit switch et un point d'accès Wi-Fi. Le routeur est une fonction, la box est le boîtier qui l'héberge avec le reste. Un routeur acheté séparément se branche derrière la box, ce qui suppose de passer celle-ci en mode bridge pour éviter deux NAT en cascade.
Comment connaître l’adresse IP de mon routeur ?
C'est votre passerelle par défaut : ip route show default sous Linux, route print sous Windows en lisant la ligne 0.0.0.0, netstat -rn sous macOS. Les valeurs les plus courantes en France sont 192.168.1.1, 192.168.0.1 et 192.168.1.254 selon l'opérateur, mais rien n'impose à un routeur de prendre la première adresse du sous-réseau.
Un routeur sert-il de pare-feu ?
Partiellement, et par effet de bord. Le NAT bloque les connexions entrantes non sollicitées parce qu'il ne sait pas à quelle machine interne les livrer, pas parce qu'il les analyse. En IPv6, où chaque machine porte une adresse publique, cette protection accidentelle disparaît et il faut un filtrage explicitement activé sur le routeur.
Le routeur ralentit-il la connexion ?
Il ajoute un délai de traitement de quelques dizaines à quelques centaines de microsecondes, négligeable face aux millisecondes d'une liaison jusqu'au premier relais opérateur. Les ralentissements réels viennent plutôt du Wi-Fi encombré, d'une table NAT saturée de sessions, ou du processeur du routeur quand le débit dépasse ce que son accélération matérielle sait absorber.
Faut-il un routeur pour relier deux ordinateurs ?
Non. Deux machines du même sous-réseau se joignent directement, via ARP, avec un câble ou un switch. Le routeur ne devient nécessaire qu'au moment où la destination sort du préfixe local, ce que chaque machine détermine seule en appliquant son masque à l'adresse visée.