Utiliser NAT pour Serveur Proxy DMZ : Attribution IP Interne & Accès Intranet
Oui, la Translation d'Adresses Réseau (NAT) peut attribuer une adresse IP privée/interne à un serveur proxy hébergé en DMZ tout en permettant à la fois l'accès internet sortant et les connexions entrantes clients intranet — sans exiger d'IP publique statique sur le proxy lui-même.
Comment Ça Marche
Sortant (Proxy → Internet)
Le serveur proxy est configuré avec une IP privée (ex: 10.0.1.10/24) sur segment DMZ. Le dispositif NAT (pare-feu/routeur) effectue Source NAT (SNAT), traduisant l'IP source privée du proxy en IP publique (ou pool) pour trafic vers internet. Trafic retour est re-traduit via table d'état.
Entrant (Clients Intranet → Proxy)
Clients intranet (ex: 192.168.10.0/24) accèdent au proxy via son IP privée DMZ (10.0.1.10) directement — pas NAT nécessaire pour trafic intranet-vers-DMZ si routage permet. Politique pare-feu autorise simplement TCP/80,8080,3128 (ou port proxy) depuis zone intranet vers zone DMZ.
Alternative: Transfert Port (DNAT) pour Accès Public
Si clients internet externes doivent joindre proxy (rare pour proxies sortants), configurer Destination NAT (DNAT) sur pare-feu: mapper IP_publique:port → 10.0.1.10:port_proxy. Clients intranet utilisent toujours IP privée directement.
Pourquoi IP Publique Statique sur Proxy Est Inutile
- Clients intranet résolvent proxy via DNS interne (ex:
proxy.corp.example.com→ 10.0.1.10) - Pas exposition DNS public réduit surface attaque
- Dispositif NAT gère toute gestion IP publique
- Simplifie HA/basculement (déplacer IP privée vers proxy standby)
Checklist Configuration
- Interface/sous-réseau DMZ sur pare-feu
- Réservation DHCP statique ou IP statique proxy dans sous-réseau DMZ
- Politique pare-feu: Intranet → DMZ (IP proxy, ports proxy) AUTORISER
- Politique pare-feu: DMZ (IP proxy) → Internet AUTORISER (avec SNAT)
- Enregistrement DNS A interne pour hostname proxy → IP privée DMZ
- Config client proxy:
https://proxy.corp.example.com:3128
Cette architecture suit principes segmentation zero-trust: proxy réside en DMZ, accède internet via SNAT, sert clients intranet directement via IP privée — pas d'IP publique sur hôte proxy requise.