Ouvrir les ports sur une Freebox: le guide complet pour maîtriser redirections, NAT et sécurité

Configurer une redirection de port sur une Freebox exige de comprendre le NAT et le partage d’adresses. Ce guide détaille la vérification de l’IPv4 full-stack, la réservation DHCP et la procédure d’ouverture. Il aborde aussi la sécurité, l’UPnP, l’IPv6 et les alternatives comme Tailscale pour votre réseau.

Des chemins exacts et des captures accompagnent chaque étape afin d’éviter les erreurs courantes. L’objectif final demeure simple : rendre votre réseau accessible sans compromettre sa protection.

Voici l’essentiel, ouvrir un port sur une Freebox, c’est simple — à condition de vérifier trois choses.

• Le prérequis : une IPv4 full-stack, sinon votre plage de ports est déjà partagée avec d’autres foyers.
• La méthode : réservez une IP locale fixe, puis créez la règle dans Freebox OS, mode avancé, gestion des ports.
• La sécurité : évitez l’UPnP, n’activez pas le pare-feu IPv6 tout-ou-rien, et tournez-vous vers Tailscale sans full-stack.

Comprendre le NAT et la redirection de port

Le NAT (Network Address Translation) relie votre réseau domestique à Internet et attribue une adresse IP privée à chaque appareil. Vu depuis Internet, tout ce petit monde se présente derrière une seule adresse IP publique. Le NAT veille à ce que chaque requête sortante revienne vers la bonne machine du foyer.

Lorsqu’une connexion entrante arrive d’Internet vers un appareil précis, le NAT bloque par défaut, car il ignore la machine cible. Une redirection de port crée justement cette règle manquante et oriente le trafic au bon endroit. L’adresse IP publique ressemble à l’adresse unique d’un immeuble résidentiel situé dans une grande ville. Les ports seraient comparables aux différentes portes donnant accès à des services bien précis du réseau. Une redirection indique à la Freebox d’envoyer une connexion arrivant sur une porte vers tel appareil. Free intègre d’ailleurs la redirection de ports parmi les paramètres réseau avancés de ses Freebox.

Pourquoi ouvrir un port sur une Freebox

Héberger un serveur Minecraft ou lancer une partie en ligne sur Warcraft 3 devient vite frustrant quand personne ne peut rejoindre. Les logiciels de partage pair à pair comme eMule galèrent souvent à connecter des pairs distants. Un NAS s’avère inaccessible depuis l’extérieur, car le NAT bloque les connexions entrantes non sollicitées vers l’appareil. Tous ces scénarios partagent la même cause, et le NAT bloque les connexions entrantes non sollicitées.

Ouvrir un port spécifique donne une porte dédiée à votre appareil pour communiquer avec l’extérieur. Les usages typiques concernent les jeux en ligne, les serveurs de fichiers et le streaming via Plex ou Jellyfin. Free cite explicitement les jeux en ligne parmi les situations dans lesquelles la redirection de ports peut être recommandée.

Le prérequis absolu : vérifier son IPv4 full-stack

Le partage d’adresse IPv4 chez Free

Depuis 2023-2024, Free bascule progressivement une partie de ses abonnés vers une IPv4 partagée, aussi appelée CGNAT. Plusieurs foyers se partagent alors la même adresse IP publique, et les 65 536 ports de cette adresse sont découpés en quatre plages. Chaque abonné n’en reçoit qu’une seule, comprise entre 0 et 16 383, 16 384 et 32 767, 32 768 et 49 151 ou 49 152 et 65 535. Un paquet arrivant sur le port 443 est livré à l’abonné qui détient la plage 0 à 16 383. Personne d’autre ne le reçoit, car chaque plage reste strictement attribuée à un seul foyer abonné. Si votre plage est 49 152 à 65 535, une redirection du port 443 vers votre NAS ne recevra jamais rien. Aucun réglage dans Freebox OS ne change cela, et la solution consiste à demander une IPv4 full-stack.

La procédure de demande et l’éligibilité

La demande s’effectue depuis votre Espace Abonné, rubrique Ma Freebox, lien « Demandez une adresse IP V4 fixe full-stack ». L’éligibilité dépend de la zone de raccordement, car en ZMD (zones moyennement denses), Free partage effectivement une adresse IPv4 entre quatre abonnés. Une fois la demande validée, redémarrez physiquement votre Server Freebox environ trente minutes plus tard. Sans ce redémarrage, l’adresse IP publique ne change pas et les ports ne répondent pas côté opérateur.

Configurer une IP fixe locale pour chaque appareil

Une redirection de port ne fonctionne correctement que si l’appareil cible conserve toujours la même adresse IP locale. Si votre Freebox attribue une nouvelle adresse à chaque redémarrage, la règle de redirection pointera dans le vide et le service restera injoignable.

La Freebox permet de réserver une adresse IP locale en l’associant à l’adresse MAC de la carte réseau de l’appareil. Connectez-vous à Freebox OS, activez la réservation DHCP, choisissez votre plage d’adresses, puis associez chaque adresse à une adresse MAC. Cette étape fixe la relation entre les ports ouverts et la bonne machine du foyer.

Ouvrir un port : la procédure pas à pas

Se connecter à Freebox OS

La manipulation prend quelques minutes et commence par une connexion à Freebox OS depuis un navigateur. Tapez mafreebox.freebox.fr dans la barre d’adresse, car cette adresse ne fonctionne que depuis le réseau local. À la première connexion, un code s’affiche sur l’écran LCD du Server et sert à créer le mot de passe administrateur. Sur les modèles sans écran, la validation passe par l’écran du Player ou par l’application mobile Freebox.

Créer la règle de redirection

Une fois connecté, ouvrez « Paramètres de la Freebox », puis « Mode avancé », et sélectionnez « Gestion des ports ». Cliquez sur « Ajouter une redirection », puis renseignez l’adresse IP locale fixe de l’appareil cible. Indiquez le protocole (TCP, UDP ou les deux), le port externe exposé sur Internet et le port de destination écouté par le service local. Enregistrez la règle, car un redémarrage n’est pas systématiquement nécessaire et la règle s’applique dès la validation.

Gérer les réglages depuis l’application Free

L’application Free unifiée permet aussi de gérer certains réglages réseau depuis un smartphone, car depuis le 6 janvier 2026, Freebox Connect a fusionné avec l’application Free. La fusion progresse toutefois par étapes, et Freebox Connect perdure pour le moment. Le chemin d’accès aux réglages réseau avancés passe par « Réseau », puis « Paramètres réseau avancés ».

Vérifier qu’un port est bien ouvert

Après configuration, validez le bon fonctionnement depuis l’extérieur du réseau local, car un test lancé en local ne traverse pas le NAT. Des services en ligne gratuits comme Port Checker permettent de vérifier l’accessibilité depuis Internet en quelques secondes. Vous entrez l’adresse IP publique de votre Freebox et le numéro de port concerné.

Si le port demeure fermé malgré la règle, trois vérifications s’imposent dans l’ordre. L’adresse IP locale de l’appareil doit correspondre à la réservation DHCP, le service local doit écouter sur ce port, et votre IPv4 doit être full-stack. Le pare-feu de l’appareil cible doit également autoriser le trafic entrant sur le port concerné. Le test UDP présente une limite technique importante qu’il convient de bien connaître avant de conclure à un échec. Contrairement au TCP, l’UDP fonctionne sans connexion établie, et l’absence de réponse ne prouve rien.

Les risques liés à l’ouverture des ports

Ouvrir un port crée un passage direct entre Internet et un appareil de votre réseau, et l’image de la fenêtre ouverte dans une maison parle d’elle-même. La fenêtre aère, mais elle peut aussi laisser entrer des visiteurs indésirables, et un port ouvert expose votre réseau à des tentatives d’intrusion. Le masquage des ports par défaut ne s’applique qu’à l’IPv4, car en IPv4, le NAT de la Freebox bloque les connexions entrantes non sollicitées. En IPv6, l’absence de NAT et le pare-feu désactivé par défaut exposent directement les appareils, et cette nuance mérite d’être soulignée pour éviter toute confusion.

N’ouvrez que les ports réellement indispensables à votre usage, et fermez sans tarder ceux qui deviennent inutiles. Un pare-feu fiable et des logiciels à jour complètent la protection, tandis que la DMZ sans protections augmente considérablement la surface d’attaque. Cette configuration redirige l’intégralité des ports entrants vers un seul appareil du réseau local domestique sans aucune exception.

Automatiser avec UPnP : entre confort et vigilance

L’UPnP (Universal Plug and Play) permet à certaines applications compatibles d’ouvrir automatiquement les ports nécessaires, et les jeux gèrent alors leurs redirections sans intervention manuelle. Une vulnérabilité critique affecte toutefois les implémentations UPnP IGD des Freebox v5 avant la version 1.5.29 et des Freebox Server avant la version 4.2.3. Identifiée sous la référence CVE-2020-24376, cette faille de type DNS rebinding atteint un score CVSS 3.x de 9,6 sur 10, même si les versions récentes de Freebox OS corrigent cette vulnérabilité. La prudence s’impose toutefois, car l’UPnP IGD peut permettre à n’importe quelle application compatible d’ouvrir des ports sans consentement explicite. La redirection de port manuelle, ciblée et maîtrisée, mérite donc la préférence.

Cas particuliers : IPv6, CGNAT et alternatives

Le pare-feu IPv6 reste désactivé par défaut

L’IPv6 mérite une mention, car Free attribue par défaut une IPv6 full-stack à ses abonnés et le partage d’adresse ne concerne que l’IPv4. En IPv6, chaque appareil dispose donc de sa propre adresse publique, et le pare-feu IPv6 de la Freebox s’affiche désactivé par défaut sur l’ensemble des modèles. Cette configuration découle d’un choix technique assumé par Free, aligné sur la philosophie du protocole IPv6 qui privilégie une connectivité de bout en bout sans NAT. Chaque appareil du réseau local reçoit alors une adresse IPv6 publique routable, et une machine domestique devient directement joignable depuis Internet. Un serveur maison, un NAS ou une caméra connectée se trouve exposé au monde entier sans la moindre règle de filtrage.

Un mécanisme tout-ou-rien

La Freebox propose un pare-feu IPv6 activable manuellement dans Freebox OS, mais ce mécanisme fonctionne selon une logique tout-ou-rien. Une fois activé, il bloque l’intégralité du trafic entrant sans possibilité de créer des exceptions pour un port ou un service précis. L’utilisateur qui souhaite exposer un service unique tout en filtrant le reste se retrouve donc dans une impasse. La protection doit alors reposer sur le pare-feu de chaque appareil, activé individuellement, ainsi que sur une réduction drastique des services en écoute. Cette approche multicouche limite les risques même en cas d’intrusion.

Redirection IPv6 et alternatives

Deux points importants méritent d’être retenus, car Freebox OS ne gère pas nativement la redirection de ports IPv6. Les règles ne s’appliquent qu’à l’IPv4, et il ne faut surtout pas activer le pare-feu IPv6 dans Freebox OS sans comprendre les conséquences. Cette activation bloque tout le trafic entrant sans possibilité de créer des exceptions, et si votre service fonctionne uniquement en IPv6, aucune redirection de port n’est nécessaire. Pour les utilisateurs de Freebox Ultra, Delta ou Pop, une interface alternative open source mérite l’attention. Freebox OS Ultra Dashboard exploite l’API officielle de Free pour proposer un tableau de bord moderne, développé avec React 19 et Express 5. Il permet de suivre le débit en temps réel, l’état des appareils connectés, le Wi-Fi, le VPN et les téléchargements, même si le projet s’affiche encore en version bêta, non officiel et communautaire.

Si votre connexion passe par une IPv4 partagée et que vous ne pouvez pas obtenir de full-stack, Tailscale propose une alternative efficace. Cette solution relie vos machines sans ouvrir de port entrant, car elle utilise l’IPv6 natif de la Freebox pour établir une liaison directe. Une adresse entre crochets dans l’interface Tailscale indique un chemin direct en IPv6, et si aucun chemin direct n’aboutit, le trafic bascule automatiquement vers un relais DERP. Ce relais, généralement situé à Paris pour les utilisateurs français, introduit une latence supplémentaire, mais garantit la connectivité. Chaque extrémité n’émet que des paquets UDP sortants, ce qui contourne le blocage du NAT.

FAQ