Routeur derrière une box : la bonne configuration

Ce qui se passe réellement quand vous ajoutez un routeur

En France, la box de l'opérateur n'est pas seulement un routeur : c'est aussi le modem qui termine la fibre ou la ligne cuivre, et le point d'entrée de la télévision et de la téléphonie. Elle reste donc en place. Votre routeur se branche derrière elle et crée un second réseau local, avec son propre plan d'adressage.

Résultat : deux routeurs en série, deux réseaux privés, deux traductions d'adresses successives. La box possède l'adresse publique et distribue par exemple des adresses en 192.168.1.x ; votre routeur reçoit l'une d'elles sur son port WAN et distribue à son tour du 192.168.50.x à vos appareils. C'est ce qu'on appelle le double NAT. Pour naviguer, regarder une vidéo ou travailler en visio, cela ne pose aucun problème.

Les vrais symptômes du double NAT — et les faux

Le double NAT gêne uniquement les flux qui arrivent de l'extérieur vers chez vous :

• Les redirections de ports doivent être créées deux fois, sur la box puis sur le routeur. Un seul oubli et le service reste inaccessible.
• Le NAT des consoles passe en « strict » ou « type 3 », ce qui dégrade le matchmaking et le chat vocal de certains jeux.
• L'UPnP ne traverse pas les deux couches : les applications qui ouvrent leurs ports toutes seules échouent silencieusement.
• Les services auto-hébergés (NAS accessible de l'extérieur, caméras, serveur de jeu, serveur VPN personnel) deviennent injoignables depuis internet.
• Les appareils des deux réseaux ne se voient pas : une imprimante restée branchée sur la box est invisible depuis les appareils connectés au routeur.

En revanche, on lui attribue à tort le Wi-Fi lent, les micro-coupures et la latence en jeu. Une traduction d'adresse supplémentaire coûte moins d'une milliseconde et aucune bande passante mesurable. Si votre réseau est lent, cherchez du côté du placement, des canaux saturés ou de la charge : notre méthode Wi-Fi lent : causes et solutions déroule le diagnostic dans le bon ordre.

Configuration 1 : le mode bridge, quand l'opérateur le propose

Le mode bridge transforme la box en simple modem : elle cesse de router, et c'est votre routeur qui récupère l'adresse IP publique. Plus de double NAT, plus de réglages en double, NAT ouvert sur console, redirections de ports qui fonctionnent du premier coup.

Sa disponibilité dépend entièrement de l'opérateur et de la génération de box. Free le propose depuis longtemps dans l'interface de la Freebox, Bouygues Telecom l'offre sur plusieurs générations de Bbox ; chez Orange et SFR, il n'existe généralement pas d'équivalent grand public, et il faut se rabattre sur la DMZ. La marche à suivre est toujours la même :

1. Branchez d'abord le routeur sur la box et vérifiez qu'il fonctionne en mode normal.
2. Dans l'interface de la box, activez le mode bridge, en notant précisément comment le désactiver — souvent un bouton physique de réinitialisation ou un accès depuis l'espace client, puisque l'interface locale peut devenir inaccessible.
3. Sur le routeur, réglez le type de connexion WAN sur IP dynamique, puis redémarrez les deux appareils dans l'ordre : box, puis routeur.

Les contreparties sont réelles. En bridge, la box perd son Wi-Fi, et selon l'opérateur la télévision par décodeur et la téléphonie fixe cessent de fonctionner, car elles reposent sur des flux réseau spécifiques gérés par la box. Certaines box n'acceptent qu'un seul appareil derrière elles en bridge, ce qui impose de tout raccorder au routeur. Vérifiez ces trois points avant de basculer.

Configuration 2 : la DMZ vers le routeur

La DMZ est le compromis le plus utile quand le bridge n'est pas proposé. Vous demandez à la box d'envoyer vers votre routeur tout le trafic entrant qu'elle ne sait pas attribuer. Techniquement, le double NAT subsiste, mais il devient transparent : vos redirections de ports n'ont plus qu'à être créées sur le routeur, et le NAT des consoles s'ouvre.

1. Dans l'interface du routeur, relevez l'adresse IP que la box lui a attribuée sur son port WAN.
2. Dans l'interface de la box, réservez cette adresse au routeur (bail DHCP statique, à partir de son adresse MAC) pour qu'elle ne change jamais.
3. Toujours sur la box, activez la DMZ et désignez cette adresse comme destination.
4. Désactivez le Wi-Fi de la box, puis vérifiez avec un test d'ouverture de port depuis l'extérieur.

Une précision de sécurité : mettre un routeur en DMZ n'a rien de dangereux, car son propre pare-feu continue de filtrer le trafic entrant. Ne placez jamais en DMZ un ordinateur, un NAS ou une caméra, qui se retrouveraient eux directement exposés.

Configuration 3 : garder le double NAT, tout simplement

Pour la grande majorité des foyers, c'est la bonne réponse. Vous branchez le routeur sur la box, vous coupez le Wi-Fi de la box, vous connectez tout au routeur, et vous vivez très bien avec le double NAT. Rien à configurer, rien à casser, et l'intégralité des fonctions du routeur — QoS, contrôle parental, réseau invité, client VPN — reste disponible.

Il existe une quatrième voie, souvent oubliée : le mode point d'accès. Le routeur abandonne le routage et devient une simple borne Wi-Fi reliée à la box par un câble sur un port LAN. Un seul réseau, aucun double NAT, tous les appareils se voient. En échange, vous perdez les fonctions avancées du routeur, puisque c'est la box qui route. C'est le bon choix si vous vouliez seulement un meilleur Wi-Fi — auquel cas un point d'accès dédié fait le travail pour moins cher.

Les limites propres aux box françaises

Trois contraintes n'ont pas de solution logicielle et méritent d'être connues avant de commander quoi que ce soit.

La télévision dépend de la box. Le décodeur utilise des flux et un étiquetage réseau propres à l'opérateur que peu de routeurs grand public savent reproduire. Laissez le décodeur branché sur la box : c'est la solution qui marche à tous les coups. La téléphonie fixe aussi : la prise téléphonique est portée par la box, et un mode bridge la coupe généralement. Le Wi-Fi partagé de l'opérateur (réseau communautaire ouvert aux abonnés) reste souvent actif même après désactivation de vos propres réseaux ; il continue d'occuper un canal, ce qui est une raison de plus de choisir son canal plutôt que de laisser l'automatisme décider.

Enfin, remplacer entièrement la box par un modem-routeur n'est possible que dans des cas précis, à peu près jamais en fibre grand public. Si vous partez de zéro, notre guide comment choisir son routeur et la procédure installer un routeur couvrent la suite.