Brevet FR2853187A1 — publié le 20041001

Domaine technique L'invention concerne de façon générale l'environnement de réseau IP entre une station de travail connectée à un réseau 5 privé et un dispositif d'extrémité connecté à un réseau public dans lequel les deux réseaux sont interconnectés par un dispositif de traduction d'adresse réseau et concerne en particulier un système permettant à toute application réseau de fonctionner de façon transparente à travers un dispositif de 10 traduction d'adresse réseau. Etat de la technique Dans un système dans lequel une station de travail connectée à un réseau privé basé sur le protocole Internet (IP) désire 15 communiquer avec un dispositif d'extrémité connecté à un réseau public aussi basé sur le protocole IP, un dispositif de traduction d'adresse réseau (NAT) ou un dispositif de traduction d'adresse réseau et de port (NPAT) lorsque plusieurs ports sont utilisés, est mis en oeuvre à la frontière du réseau pour 20 transformer l'adresse IP et aussi le numéro de port de chaque paquet de données. Mais certaines applications ne sont pas compatibles avec la fonction NAT. Ainsi, dans un VPN sécurisé utilisant IPsec par exemple, l'association de sécurité (SA) qui est la méthode pour 25 créer un lien sécurisé, est établie entre les deux points d'extrémité qui nécessitent un tunnel IPsec sécurisé entre eux. Ces points d'extrémité ne sont pas nécessairement dans le même réseau et des dispositifs se trouvant entre ces points tels que des pare-feu ou des passerelles utilisent le NAT pour l'adresse 30 IP locale de façon à fournir le routage. Une fois le NAT mis en oeuvre, les paquets SA ou IPsec peuvent ne pas être reconnus par l'autre extrémité du fait que les paquets peuvent inclure l'adresse IP d'origine, peuvent inclure une signature comportant l'adresse IP d'origine mais peuvent ne pas avoir le numéro de port valide. D'autres protocoles tels que FTP, IRC, SNMP, LDAP 5 (protocoles du groupe de travail d'ingénierie international) ou H.323 (protocole de l'union internationale des télécommunications) sont aussi totalement ou partiellement incompatibles avec le mécanisme NAT dans la mesure ou l'adresse IP source de l'en-tête est différente de l'adresse transmise avec 10 les données. Il en est ainsi avec le protocole H.323 utilisé pour transporter de la voix par IP (VoIP) o une fonction proxy est souvent requise dans les passerelles. Le NAT a été développé à l'origine comme mesure à court terme pour combattre l'expansion des adresses IP version 4. 15 (Ipv4). Cependant, l'implémentation étendue et la lente migration vers IP version 6 (IPv6) ont rendu impossible pour les vendeurs IPsec d'ignorer le NAT. Cisco, Checkpoint, F-secure, Microsoft et SSH Communications sont parmi ces vendeurs travaillant pour permettre d'éviter le NAT IPsec. Le groupe de travail d'ingénierie Internet (IETF) a étudié protocole par protocole pour trouver des solutions généralement difficiles à mettre en oeuvre et qui ne résolvent pas tous les cas. La manière classique de surmonter le problème NAT est un exemple IETF mais quelques problèmes subsistent encore. Lorsque le dispositif NAT ou NPAT dans le chemin entre les dispositifs d'extrémité n'est pas sous contrôle, aucun mécanisme spécial ne peut être mis en oeuvre pour permettre d'éviter avec les différents protocoles, les problèmes posés par les dispositifs NAT/NPAT. Seule l'encapsulation de tout le flux à 30 l'aide d'un mécanisme d'encapsulation dédié (basé généralement sur VDP) entre les dispositifs d'extrémité peut être utilisée. Ceci ajoute de la complexité et un surplus de charge et implique généralement une modification du système ou de l'application. Exposé de l'invention En conséquence le but principal de l'invention est de fournir un système de transmission de données disposant d'un mécanisme transparent pour permettre aux applications non compatibles avec le dispositif de traduction d'adresse de réseau (NAT) ou de traduction d'adresse de réseau et de numéro de port 10 (NPAT) de fonctionner de façon transparente sans introduire un surplus de charge et sans limiter les performances. L'invention concerne donc un système de transmission de données basé sur le protocole Internet (IP) comprenant un réseau de transmission privé et un réseau de transmission public ou 15 équivalent interconnectés par un dispositif de traduction d'adresse de réseau NAT dans lequel au moins une station de travail WS connectée au réseau de transmission privé doit établir une communication avec un dispositif d'extrémité connecté au réseau de transmission public, l'adresse IP locale dans chaque 20 paquet venant de la station de travail WS étant traduite en une adresse NAT utilisée pour fournir la route à travers le réseau de transmission public. Le système comprend un serveur d'enregistrement connecté au réseau de transmission public pour enregistrer l'adresse IP locale correspondant à l'adresse NAT et 25 fournir la correspondance entre l'adresse NAT et l'adresse IP locale au dispositif d'extrémité de manière à ce que ce dernier remplace dans l'en-tête de chaque paquet reçu par le dispositif d'extrémité, l'adresse NAT par 1' adresse IP. Selon un autre aspect, l'invention concerne une méthode pour 30 permettre à n'importe quelle application de fonctionner d'une manière transparente dans un tel système de transmission de données comprenant les étapes de: enregistrer (REG) dans un serveur d'enregistrement l'adresse IP locale correspondant à l'adresse NAT, - requérir par le dispositif d'extrémité (REQUETE) auprès du serveur d'enregistrement l'adresse IP locale correspondant à toute adresse NAT inconnue d'un paquet de données reçu, obtenir en retour par le dispositif d'extrémité, l'adresse IP locale à partir du serveur d'enregistrement, et - remplacer dans le dispositif d'extrémité, l'adresse NAT du paquet de données reçu par l'adresse IP locale. Description brève des dessins Les buts, objets et caractéristiques de l'invention apparaîtront plus clairement à la lecture de la description qui suit faite en référence aux dessins dans lesquels: * la figure l est une représentation schématique d'un système de transmission de données selon l'invention, * la figure 2 est une représentation d'un mode de réalisation de l'invention dans lequel l'invention est mise en oeuvre à l'aide d'un tunnel IPsec, * la figure 3 est une représentation d'un mode de réalisation de l'invention dans lequel l'invention est mise en oeuvre par un tunnel IPsec dans une application serveur, * la figure 4 est une représentation d'un mode de réalisation de l'invention dans lequel l'invention est mise en oeuvre 25 avec un protocole de voix sur IP, * la figure 5 est une variante de mode de réalisation de l'invention illustrée sur la figure 4, * la figure 6 est une représentation d'un mode de réalisation de l'invention comprenant deux dispositifs NAT, * les figures 7A et 7B représentent respectivement l'organigramme du processus de requête et l'organigramme du processus d'activation réalisés dans le serveur d'enregistrement pour la mise en oeuvre de l'invention, et les figures 8A et 8B montrent le contenu d'un paquet de données modifié par le dispositif NAT et le proxy lorsqu'il 5 est transmis de la station de travail vers le dispositif d'extrémité et réciproquement. Description détaillée de l'invention En référence à la figure 1, un système de transmission de 10 données dans lequel l'invention peut être mise en oeuvre comprend un premier réseau privé NETl 18 auquel sont connectés une station de travail 10 et un second réseau NET2 16 qui est généralement un réseau public tel que le réseau Internet ou équivalent auquel est connectée une passerelle de communication 14 appelée hub dans la 15 suite de la description. En supposant que la station de travail a besoin d'établir une communication avec le hub 14, il est nécessaire que les deux réseaux soient interconnectés par un dispositif de traduction d'adresse réseau (NAT) 12 qui effectue la traduction d'adresse si une adresse NET2 dédiée peut être 20 affectée à la station de travail 10 pour toutes les communications avec les dispositifs NET2 ou par un dispositif de traduction d'adresse et de port réseau (NPAT) lorsqu'une adresse NET2 est partagée par plus d'un dispositif situé dans NETi 18 tel que par exemple plusieurs stations de travail comme la station de 25 travail 10. Certaines applications ou protocoles de tunnel ne peuvent pas fonctionner dans le modèle de la figure 1. Ainsi, avec un tunnel IPsec tel qu'illustré sur la figure 2, il est judicieux d'utiliser un serveur d'enregistrement 19 connecté au réseau NET2 30 16 comme décrit ci-après. Le tunnel IPsec est établi entre la station de travail 10 et le hub 14 avec un dispositif NAT 12 entre le réseau privé 18 et le réseau NET2 16 pour effectuer au moins la traduction d'adresse. Ce peut être le cas d'un utilisateur dans un hôtel contactant son réseau Intranet. A noter que le hub 14 comporte un proxy P dont la fonction sera décrite par la suite. Selon un premier aspect de l'invention, seulement un mécanisme NAT est mis en oeuvre. D'abord, à l'étape d'enregistrement (REG), l'adresse IP locale et l'adresse NAT (adresse WAN) sont mémorisées ensemble avec l'identification d'utilisateur dans le serveur d'enregistrement 19. Il y a 10 plusieurs façons pour la station de travail d'obtenir la valeur de l'adresse IP enregistrée fournie par le dispositif NAT 12. Une première façon est d'utiliser un navigateur Web en contactant un serveur Web sur le réseau NET2 16 ayant cette fonction pour fournir l'adresse IP source détectée (il y a plusieurs serveurs 15 de ce type sur Internet) . Selon une deuxième façon, le serveur d'enregistrement 19 détecte lui-même la valeur de l'adresse IP source dans l'en-tête IP du message REG transmis de la station de travail au serveur d'enregistrement 19 excepté si un autre dispositif NAT est situé entre le dispositif NAT 12 et le serveur 20 d'enregistrement 19. La première façon de procéder est préférable dans la mesure o, dans la seconde façon, il est nécessaire d'analyser l'en- tête IP du message REG. Régulièrement, l'enregistrement (message REG) doit être effectué pour indiquer la présence de la station de travail 10 25 avec son adresse IP locale (adresse LAN). Lorsque des adresses dynamiques IP sont utilisées, la station de travail 10 détecte un changement et transmet un nouveau message REG de sorte que, dans ce cas, le nouvel enregistrement annule le précédent. Cette validation rafraîchie est effectuée par des messages MISE A JOUR 30 entre la station de travail et le serveur d'enregistrement 19 permettant à la station de travail 10 d'initialiser la connexion à la suite d'une requête d'activation du hub par l'intermédiaire du serveur d'enregistrement comme décrit ci-dessous. L'association de sécurité (SA) qui est la procédure pour établir le tunnel IPsec est initialisée à partir de la station de 5 travail. A la détection d'une adresse IPsource inconnue, le hub 14 envoie une requête (REQUETE) au serveur d'enregistrement 19 pour retrouver l'adresse enregistrée égale à cette adresse IP source du paquet. Le serveur d'enregistrement authentifie la requête et le hub récupère (ENVOI) l'information nécessaire telle 10 que l'identification et l'adresse locale de l'utilisateur. Ceci permet de continuer la procédure SA et de commencer l'échange de données IPsec entre la station de travail 10 et le hub 14. Dans le hub 14, le proxy remplace l'adresse IP source de l'en-tête du paquet reçu par l'adresse IP locale qui a été 15 utilisée dans le réseau NETl 18, de sorte que le processus IPsec voit les paquets comme si le hub était connecté au réseau NET1. Un mécanisme additionnel permet de commencer l'association de sécurité SA et le tunnel IPsec à partir du hub si nécessaire. Mais le problème à résoudre est que le hub ne connaît pas 20 l'adresse de la station de travail. En supposant qu'il y a un pare-feu à contrôle d'état dans le dispositif NAT qui empêche les flux de débuter à partir du hub, le processus IPsec doit débuter à partir de la station de travail. De manière à résoudre le problème, le hub demande à la station de travail de commencer la 25 SA au moyen d'une requête d'activation (ACTIVATION) postée dans le serveur d'enregistrement 19. La station de travail, lorsqu'elle est connectée en permanence, interroge le serveur d'enregistrement (MISE A JOUR) de sorte qu'il détecte la requête et puisse commencer la session à partir de son côté. Une 30 alternative est de transmettre le message ACTIVATION à la station de travail si celle-ci est autorisée, ce qui n'est pas souvent le cas lorsque le tunnel IPsec est actif mais peut être ajouté par une modification du protocole lui- même. A Noter que la nécessité de commencer à nouveau la session IPsec se produit très souvent attendu que chaque extrémité, station de travail ou hub, coupe la session et la rétablit régulièrement par l'emploi de minuteries. Selon un second aspect, l'invention peut être mise en òuvre lorsqu'il y a'un dispositif de traduction d'adresse et de port réseau (NPAT) qui est mis en oeuvre. La première étape d'enregistrement REG est la même que cidessus, mais un estampillage est mis dans le serveur d'enregistrement 19 chaque 10 fois qu'un enregistrement est effectué. En fait, un nouvel enregistrement est effectué chaque fois qu'une nouvelle connexion débute à partir de la station de travail vers le hub. Cette nouvelle connexion est caractérisée par un nouveau numéro de port qui est utilisé. Les numéros de port correspondant respectivement 15 au numéro de port LAN et au numéro de port WAN sont transmis dans le message REG et mémorisés dans le serveur d'enregistrement. Pour chaque nouvelle connexion, le serveur d'enregistrement 19 enregistre l'adresse IP source (adresse WAN) le numéro de port source (port WAN) et l'estampillage en plus de l'adresse IP 20 locale correspondante (adresse LAN) et le numéro de port LAN. Lorsque le hub 14 reçoit un nouveau flux de données à partir du dispositif NAT 12, il commence par mettre un estampillage et ensuite transmet le message REQUETE au serveur d'enregistrement et reçoit en retour un message ENVOI de ce dernier correspondant 25 à l'estampillage le plus proche ou le plus récent, de sorte qu'il peut faire la corrélation avec le flux de données auquel appartient le paquet reçu en comparant les estampillages. A noter qu'une valeur de hachage des données peut aussi être ajoutée au message REG. Dans ce cas, cette valeur de hachage est un moyen 30 supplémentaire pour s'assurer que le paquet analysé est réellement le même. L'utilisation du seul champ de hachage sans l'estampillage est également possible. Finalement, le proxy inclus dans le hub remplace l'adresse IP source (adresse WAN) et le numéro de port source (port WAN) par respectivement l'adresse IP Locale (adresse LAN) et le numéro de port (port LAN). On doit noter que la procédure utilisant la 5 requête ACTIVATION transmise par le hub au serveur d'enregistrement et l'interrogation régulière par un message MISE A JOUR à partir de la station de travail vers le serveur d'enregistrement est utilisée dans le premier cas o il n'y a pas de numéro de port à traduire. En référence à la figure 3, l'invention peut aussi être mise en òuvre quand un tunnel tel qu'un tunnel IPsec est utilisé comme moyen de transport pour une application ayant un problème de compatibilité avec NAT. Dans ce cas, le hub 14 qui est le dispositif à l'extrémité du tunnel IPsec est connecté au LAN 11. 15 La communication est établie entre la station de travail 10 et un serveur 31 connecté au LAN 11. Une telle architecture est utilisée quand le serveur d'application 31 ne peut pas être modifié pour inclure un proxy. Ceci est le cas lorsque le serveur 31 est un serveur vocal non modifiable et que l'application est 20 basée sur le protocole H.323. En outre, l'avantage de cette implémentation est que le proxy inclus dans le hub est utilisé pour toutes applications au lieu d'être mise en òuvre dans chaque serveur. Cependant, il y a une première contrainte dans la mesure o le réseau 18 (NETl) doit être reconnu sur le LAN 11 de manière 25 à ce que les paquets ayant les adresses NETl soient correctement routés. Ceci signifie qu'un hub 14 présente ces adresses sur le réseau local il comme si elles étaient ses propres adresses. Une autre contrainte sur la station de travail 10 est de montrer le tunnel comme étant une interface logique valide même si il est 30 virtuel pour le système d'exploitation et les applications associées de sorte que les applications utilisent l'adresse IP du tunnel comme adresse IP locale. La solution illustrée sur la figure 3 permet de surmonter le problème cidessus puisqu'un tunnel est réalisé entre la station de travail 10 et le hub 14. Les adresses Internet (telles que les adresses du LAN 11) qui sont les adresses montrées par une 5 interface virtuelle à la station de travail 10 seront utilisées par des applications telles que VoIP en tant qu'adresses sources. Puisque l'interface virtuelle est toujours sous forme de tunnel, une seconde adresse source appartenant à NETl est utilisée pour tout paquet sortant. Finalement, puisque la fonction mise en oeuvre est d'occulter la fonction NAT ou NPAT, l'application voit réellement une communication avec un dispositif local sur le même réseau ce qui procure une transparence totale pour toutes les applications. La manière de fonctionner du système illustré sur la figure 15 3 est très similaire à celle qui est décrite sur la figure 2 puisque le tunnel entre le hub 14 et la station de travail 10 peut être un tunnel IPsec ou tout type de tunnel. La mise en tunnel est requise pour accéder à un dispositif tel que le hub 14 qui peut effectuer le changement d'adresse et de numéro de port 20 du côté Intranet. Par conséquent, un paquet contient les champs suivant: un en-tête IP de tunnel (adresses NET1), un en-tête tunnel (par ex; IPsec AH ou ESP tels que définis par IETF), un en-tête IP interne (utilisé par l'application) et la trame de données. Arrivant au 25 hub, l'en-tête IP de tunnel et l'en-tête tunnel sont retirés. L'en-tête IP interne est reconnu sur le LAN local 11 comme une adresse interne du hub. En référence à la figure 4, un autre cas o le protocole utilisé pour l'application n'est pas compatible avec la fonction 30 NAT est le cas du protocole H.323 qui est utilisé pour transmettre de la voix sur IP. Un mécanisme similaire à celui utilisé dans les deux modes de réalisation précédents s'applique à ce cas avec la procédure ETABLISSEMENT D'APPEL au lieu de SA pour le tunnel IPsec et un serveur vocal VS 32 au lieu du hub 14. Mais les procédures ACTIVATION et MISE A JOUR ne sont pas utilisées ici attendu qu'aucune re-connexion n'a besoin d'être 5 effectuée comme dans le tunnel IPsec. Quand une communication est terminée, la connexion peut être interrompue à partir de n'importe quelle extrémité et ensuite ré- établie à partir de l'utilisateur. Les procédures ACTIVATION et MISE A JOUR seraient nécessaires par exemple dans le cas d'un pare-feu à contrôle 10 d'état empêchant un appel d'être initialisé à partir du serveur vocal. La figure 5 illustre la même application utilisant le protocole H.323 comme dans la figure 4, mais avec un proxy indépendant 49 connecté à un serveur vocal VS 48. Lorsqu'un proxy 15 n'est pas intégré dans le dispositif mettant en oeuvre l'application finale comme c'est le cas de la figure 5, l'adresse source pour le trafic entrant correspondant à la destination pour le trafic sortant doit être déterminée de f açon à ce que ce trafic sortant soit routé vers le dispositif o est le proxy. 20 Ceci peut être réalisé en appliquant des méthodes de routage connues telles que l'utilisation de sous-réseaux prédéfinis pour les adresse IP qui sont fournis à la station de travail WS 10. Une autre méthode est d'utiliser le proxy 49 comme route de destination par défaut pour tout le trafic inconnu utilisant des 25 adresses privées n'appartenant pas à Intranet. Une alternative lorsque le' routage ne peut pas être modifié est de construire des tunnels logiques entre le proxy 49 et le serveur 48 tels qu'un tunnel IPsec, L2TP (protocole de tunnel couche 2) ou GRE (encapsulation de routage générique) . Un tel tunnel force le 30 trafic encapsulé à revenir au serveur au proxy. La figure 6 montre un système dans lequel un autre dispositif NAT2 42 est utilisé à l'autre extrémité du réseau. Dans ce cas, les deux extrémités doivent enregistrer la correspondance entre l'adresse d'origine et l'adresse NAT et chaque dispositif d'extrémité doit inclure un proxy pour faire la substitution entre les champs de l'en-tête IP entrant et sortant 5 pour les applications requérant ce mécanisme telles que les applications utilisant le protocole H.323. Avant toute communication si seulement la traduction d'adresse réseau est implémentée (NAT) ou pour chaque connexion si une traduction d'adresse et de port réseau (NPAT) est mise en 10 oeuvre, la station de travail 10 envoie un message WS REG au serveur d'enregistrement 19 pour enregistrer la correspondance entre l'adresse IP de la station de travail et l'adresse NAT, et le serveur VS 48 transmet un message REG au serveur d'enregistrement 19 pour enregistrer la correspondance entre 15 l'adresse IP du serveur et l'adresse NAT2. En supposant que la station de travail 10 désire établir une communication avec le serveur 48, elle doit d'abord envoyer un message REQUETE WS au serveur d'enregistrement 19 pour recevoir un message ENVOI WS comportant l'adresse NAT2 correspondant à 20 l'adresse finale (l'adresse IP du serveur) puisque aucune route n'est définie pour cette adresse finale. Lorsque le paquet est reçu par le serveur, le proxy du serveur doit effectuer deux changements dans l'en-tête IP et pas simplement un changement tel que défini dans les modes de réalisation précédents o un seul 25 dispositif NAT était présent. Il doit remplacer l'adresse NATl par l'adresse IP de la station de travail qu'il a obtenue par une procédure REQUETE VS et ENVOI VS comme expliqué précédemment et remplacer l'adresse NAT2 par l'adresse IP du serveur qui est l'adresse du serveur 48 enregistrée sur le réseau (WAN). Une procédure similaire à la procédure ci-dessus est appliquée lorsqu'un paquet est reçu du serveur 48 par la station de travail 10. D'abord, le serveur 48 doit utiliser la procédure REQUETE VS et ENVOI VS avec le serveur d'enregistrement de manière à ce que le proxy remplace l'adresse de destination qui est l'adresse IP de la station de travail par l'adresse NATl. Lorsque le paquet est reçu par la station de travail 10, le proxy 5 qu'elle contient doit utiliser la procédure REQUETE WS et ENVOI WS de manière à remplacer dans l'en-tête IP du paquet reçu, l'adresse NAT2 par l'adresse source locale qui est l'adresse IP du serveur et remplacer l'adresse NATl par l'adresse IP de la station de travail. Comme illustré sur la figure 7A, les étapes mise en oeuvre après la procédure d'enregistrement REG dans le serveur d'enregistrement comportent le message REQUETE à partir du hub (étape 50) et ensuite il faut déterminer si l'adresse d'un paquet reçu et de façon optionnelle le numéro de port ont été 15 enregistrés dans le serveur d'enregistrement (étape 52). Sinon, la requête est rejetée (étape 54). Si l'adresse a été enregistrée, tous les champs disponibles sont mis dans un message de réponse ENVOI et envoyés au demandeur (étape 56). Comme illustré sur la figure 7B, le processus ACTIVATION 20 dans le serveur d'enregistrement commence lorsque le hub en cas d'IPsec ou le serveur vocal en cas de protocole H.323 envoie un message au serveur d'enregistrement. Ce message indique que ce dispositif (hub ou serveur) désire que le dispositif d'extrémité éloigné redémarre un appel ou une connexion. La requête est 25 traitée et on détermine si l'adresse du message reçu a été enregistré (étape 53). Sinon, la requête ACTIVATION est rejetée (étape 55). Si l'adresse est trouvée, un message est préparé avec l'information contenue dans ACTIVATION (étape 57) et le serveur d'enregistrement attend le prochain message MISE A JOUR de la 30 station de travail pour envoyer le message préparé (étape 59). En référence aux figures 8A et 8B, le procédé de remplacement d'adresses selon l'invention est similaire pour toute application. La figure 8A illustre la transmission de la station de travail (WS) au serveur vocal ou au hub (VS/H). Un paquet (60) envoyé par la station de travail contient la trame de données de l'application avec des protocoles des couches 5 supérieures et un en-tête IP contenant une adresse source qui est l'adresse locale de la station de travail sur le LAN et une adresse de destination qui correspond au serveur ou au hub du côté Intranet. Le chemin de données 68 part de la station de travail, passe par le dispositif NAT dans lequel l'adresse IP 10 source est remplacée par une adresse NAT qui est l'adresse IP enregistrée sur le WAN (62). Lorsque le paquet est ensuite reçu par le proxy, celui-ci se procure l'adresse IP de destination à partir du serveur d'enregistrement et remplace l'adresse WAN par l'adresse IP de destination locale ou adresse LAN (64) reçue du 15 serveur d'enregistrement. Le procédé de remplacement d'adresse lorsqu'un paquet est transmis du hub ou du serveur vocal (VS/H) à la station de travail comme illustré sur la figure 8B est la réciproque du procédé illustré sur la figure 8A. Un paquet (61) envoyé par VS/H 20 contient la trame de données avec les protocoles de couches supérieures comprenant une adresse de destination qui est l'adresse locale de la station de travail sur le LAN et une adresse source qui est l'adresse du serveur ou du hub du côté Intranet. Le chemin de données 69 part de VS/H, passe par le 25 proxy ou l'adresse source locale de la station de travail est remplacée par une adresse NAT qui est l'adresse IP enregistrée sur le WAN (63) . Lorsque le paquet est reçu ensuite par le dispositif NAT, celui-ci remplace l'adresse NAT par l'adresse de la station de travail qui est l'adresse reçue du serveur 30 d'enregistrement en utilisant la procédure REQUETE et ENVOI (65). REVENDICATIONS 1. Système de transmission de données basé sur le protocole Internet (IP) comprenant un réseau de transmission privé 5 (18) et un réseau de transmission public ou équivalent (16) interconnectés par un dispositif de traduction d'adresse réseau NAT (12) dans lequel au moins une station de travail WS (10) connectée audit réseau de transmission privé doit établir une communication avec un dispositif d'extrémité 10 (14) connecté audit réseau de transmission public, l'adresse IP locale dans chaque paquet venant de la station de travail WS étant traduite en une adresse NAT utilisée pour fournir la route à travers ledit réseau de transmission public; ledit système de transmission de données étant caractérisé en ce qu'il comprend un serveur d'enregistrement (19) connecté audit réseau de transmission public pour enregistrer l'adresse IP locale correspondant à ladite adresse NAT et fournir la correspondance entre 20 ladite adresse NAT et ladite adresse IP locale audit dispositif d'extrémité de manière à ce que ce dernier remplace dans l'en-tête de chaque paquet reçu par ledit dispositif d'extrémité, ladite adresse NAT par ladite adresse IP. 2. Système de transmission de données selon la revendication 1, dans lequel ladite adresse NAT est partagée par plusieurs stations de travail telles que ladite station de travail WS (10), les différentes stations de travail étant 30 connectées à des ports différents partageant la même adresse, et dans lequel ledit dispositif de traduction d'adresse (12) comprend en outre des moyens pour fournir aussi une traduction du numéro de port en plus de la traduction d'adresse réseau. 3. Système de transmission de données selon la revendication 1 ou 2, dans lequel ledit dispositif d'extrémité (14, 31, 32, 48) comprend un proxy pour remplacer dans l'en-tête IP de 5 chaque paquet de données reçu ladite adresse NAT par ladite adresse IP locale. 4. Système de transmission de données selon la revendication 3, dans lequel ledit dispositif d'extrémité est un hub (14) 10 et un tunnel IPsec est établi entre ladite station de travail WS (10) et ledit hub. 5. Système de transmission de données selon la revendication 3, dans lequel ledit dispositif d'extrémité (14) est 15 connecté à un serveur (31) au moyen d'un réseau local (11), une connexion étant établie entre ladite station de travail WS (10) et ledit serveur par ladite application. 6. Système de transmission de données selon la revendication 20 5, dans lequel un tunnel est établi entre ladite station de travail WS (10) et ledit dispositif d'extrémité (14). 7. Système de transmission de données selon la revendication 6, dans lequel ledit tunnel établi entre ladite station de 25 travail WS (10) et ledit dispositif d'extrémité (14) est un tunnel IPsec. 8. Système de transmission de données selon la revendication 3, dans lequel ledit dispositif d'extrémité est un serveur 30 vocal (32) et une connexion pour la transmission de la voix utilisant le protocole H. 323 est établie entre ladite station de travail WS (10) et ledit serveur vocal. 9. Système de transmission de données selon la revendication 3, dans lequel ledit dispositif d'extrémité est un proxy (49) et est connecté à un serveur vocal (48) au moyen d'un réseau local (11) et une connexion pour la transmission de 5 la voix utilisant le protocole H.323 est établie entre ladite station de travail WS (10) et ledit serveur vocal. 10. Système de transmission de données selon la revendication 1 ou 2, dans lequel ledit dispositif d'extrémité est un 10 serveur d'extrémité (48) comportant un proxy connecté audit réseau de transmission public (16) au moyen d'un réseau local (11) , ledit réseau local étant connecté audit réseau de transmission privé par un dispositif de traduction d'adresse réseau NAT2 (42). 11. Système de transmission de données selon la revendication 10, dans lequel ledit serveur d'enregistrement (19) est adapté pour enregistrer l'adresse IP locale dudit serveur d'extrémité (48) correspondant à l'adresse réseau résultant 20 de la traduction de ladite adresse IP Locale du serveur par l'adresse fournie par ledit dispositif NAT2 et fournir audit serveur la correspondance entre ladite adresse NAT2 et ladite adresse IP Locale du serveur. 12. Système de transmission de données selon la revendication 1l, dans lequel ledit serveur d'extrémité est un serveur vocal (48) et une connexion pour la transmission de la voix utilisant le protocole H. 323 est établie entre ladite station de travail WS (10) et ledit serveur vocal. 30 13. Méthode pour permettre à n'importe quelle application de fonctionner d'une manière transparente dans un système de transmission de données basé sur le protocole Internet (IP) comprenant un réseau de transmission privé (18) et un réseau de transmission public ou équivalent (16) interconnectés par un dispositif de traduction d'adresse réseau NAT (12) dans lequel au moins une station de travail WS (10) connectée audit réseau de transmission privé doit 5 établir une communication avec un dispositif d'extrémité (14) connecté audit réseau de transmission public, l'adresse IP locale dans chaque paquet venant de la station de travail WS étant traduite en une adresse NAT utilisée pour fournir la route à travers ledit réseau de 10 transmission public ladite méthode comprenant les étapes de: a) enregistrer (REG) dans un serveur d'enregistrement (19) l'adresse IP locale correspondant à l'adresse NAT, b) requérir par ledit dispositif d'extrémité (REQUETE) 15 auprès dudit serveur d'enregistrement l'adresse IP locale correspondant à toute adresse NAT inconnue d'un paquet de données reçu, c) obtenir en retour par ledit dispositif d'extrémité, ladite adresse IP locale à partir dudit serveur 20 d'enregistrement, et d) remplacer dans ledit dispositif d'extrémité, ladite adresse NAT du paquet de données reçu par ladite adresse IP locale. 14. Méthode selon la revendication 13, dans laquelle plusieurs autres stations de travail pouvant établir une communication avec ledit dispositif d'extrémité (14), un numéro de port local est attribué à ladite station de travail (10) et ledit dispositif de traduction d'adresse 30 réseau (12) est utilisé pour traduire l'adresse IP locale et le numéro de port local desdites stations de travail en respectivement une adresse NAT et un numéro de port NAT, ladite méthode comprenant les étapes de: a) enregistrer (REG) dans ledit serveur d'enregistrement (19) ladite adresse IP locale et ledit numéro de port local correspondant à une adresse NAT et un numéro de port NAT, b) requérir par ledit dispositif d'extrémité (REQUETE) auprès dudit serveur d'enregistrement l'adresse IP locale et le numéro de port local correspondant respectivement à une adresse NAT et à un numéro de port NAT inconnus du paquet de données reçu, c) obtenir en retour par ledit dispositif d'extrémité ladite adresse IP locale et ledit numéro de port local à partir dudit serveur d'enregistrement, et d) remplacer dans ledit dispositif d'extrémité ladite adresse NAT et ledit numéro de port NAT du paquet reçu 15 par respectivement ladite adresse IP Locale et ledit numéro de port local. 15. Méthode selon la revendication 13 ou 14, dans lequel un tunnel IPsec est établi entre ladite station de travail 20 (10) et ledit dispositif d'extrémité (14) , ladite méthode comprenant en outre les étapes de: e) transmettre à partir dudit dispositif d'extrémité vers ledit serveur d'enregistrement (19) une requête d'activation (ACTIVATION) pour demander à ladite station 25 de travail d'initialiser une session à travers ledit tunnel IPsec, et f)interroger régulièrement ledit serveur d'enregistrement par ladite station de travail (MISE A JOUR) pour détecter ladite requête d'activation et débuter ladite 30 session IPsec. 16. Méthode selon la revendication 13 ou 14, utilisée dans un système de transmission de données dans lequel ledit réseau de transmission public (16) est connecté au dispositif d'extrémité (48) au moyen d'un autre dispositif de traduction d'adresse réseau NAT2 (42) ; ladite méthode comprenant en outre: ai)l'enregistrement (VS REG) dans ledit serveur d'enregistrement de l'adresse IP Locale dudit dispositif d'extrémité correspondant à l'adresse résultant de la traduction de l'adresse IP locale du dispositif d'extrémité par ledit dispositif NAT2. 17. Méthode selon la revendication 16, comprenant en outre les étapes suivantes qui sont utilisées lorsqu'un paquet de données est transmis dudit dispositif d'extrémité à ladite station de travail WS (10) : b1)requérir (REQUETE WS) par ladite station de travail WS 15 auprès dudit serveur d'enregistrement (19) l'adresse IP locale du dispositif d'extrémité correspondant à une adresse NAT2 inconnue, cl)obtenir en retour par ladite station de travail WS ladite adresse IP locale du dispositif d'extrémité 20 (ENVOI WS), et dj)remplacer dans ladite station de travail WS, ladite adresse NAT2 du paquet reçu par ladite adresse IP locale du dispositif d'extrémité. 18. Méthode selon la revendication 13 ou 14, dans laquelle ledit dispositif d'extrémité est un serveur vocal (31, 32) et une connexion pour la transmission de la voix utilisant le protocole H.323 est établie entre ladite station de travail WS et ledit serveur vocal. 30 19. Méthode selon la revendication 18, dans laquelle ledit dispositif d'extrémité est un serveur vocal (48) et une connexion basée sur le protocole H.323 est établie entre ladite station de travail WS et ledit serveur vocal.