Brevet FR2953355A1 — publié le 20110603

L'invention concerne une technique d'établissement d'un tunnel entre une passerelle et un équipement de translation dans un réseau de communication. Pour se connecter à un réseau de communication, tel que le réseau Internet, un client doit disposer d'une adresse dans ce réseau, dite adresse publique ; cette adresse doit permettre de l'identifier d'une manière unique afin de lui acheminer le trafic qui lui est destiné. Cette adresse lui est attribuée par un fournisseur d'accès au réseau de communication. Dans la suite, on désignera par «passerelle» tout équipement d'interconnexion entre un réseau privé et un réseau de communication, le réseau privé pouvant aussi bien être un réseau résidentiel qu'un réseau d'entreprise. Actuellement, une adresse publique dans la version 4 du protocole Internet, notée IPv4, est attribuée au client. Le nombre d'adresses publiques de type IPv4 est limité. Une nouvelle version du protocole Internet, dite IPv6, a été prévue, afin de pallier notamment un épuisement du nombre d'adresses publiques de type IPv4. Les fournisseurs d'accès au réseau de communication Internet ont prévu de déployer des solutions de partage d'adresses IPv4 publiques basées sur un équipement appelé CGN pour "Carrier Grade NAT" en anglais. De telles solutions consistent à introduire une fonction de translation d'adresse ou NAT, pour "Network Address Translation" dans cet équipement CGN. Cette fonction de translation d'adresse permet ainsi de partager une pluralité d'adresses IPv4 publiques entre plusieurs clients. Une telle solution est par exemple définie par l'IETF, pour "Internet Engineering Task Force", dans le document intitulé "draft-ietf-softwire-dual-stack-lite-02". Elle consiste à introduire dans le réseau du fournisseur d'accès un équipement spécifique DS-Lite AFTR, pour "Dual-Stack Lite Address Family Transition Router" et consiste à combiner deux technologies : l'émission de données dans un tunnel ou "tunneling" et la fonction de translation d'adresse. Un tunnel est établi entre une passerelle B4, pour «Basic Bridging BroadBand », et l'équipement DS-Lite AFTR et permet d'encapsuler un flux de données de type IPv4 émis par des équipements du réseau privé jusqu'à l'équipement DS-Lite AFTR. Un flux de données est relatif à une session établie entre un équipement émetteur du réseau privé et un équipement récepteur dans le réseau public. Cette session est notamment identifiée dans le réseau privé par une adresse IPv4 privée de l'équipement du réseau privé émetteur et un numéro de port source. Le flux de données est ensuite décapsulé au niveau l'équipement DS-Lite AFTR et l'identifiant de session dans le réseau privé est translaté à l'aide de la fonction NAT de l'équipement DS-Lite AFTR vers une adresse IPv4 publique et un numéro de port public, tous deux alloués par l'équipement DS-Lite AFTR. Réciproquement, lorsqu'un flux de données arrive à destination de l'adresse IPv4 publique et du numéro de port public alloués, l'équipement DS-Lite AFTR translate à l'aide de la fonction NAT l'adresse IPv4 publique et le numéro de port public alloués vers l'adresse IPv4 privée et le numéro de port privé associés, puis encapsule le flux de données dans le tunnel à destination de la passerelle. Un préfixe IPv6 est alloué à la passerelle par le fournisseur d'accès et celle-ci est configurée uniquement avec une adresse IPv6 appartenant au préfixe; aucune adresse IPv4 publique ou privée n'est attribuée à celle-ci. La passerelle est ainsi chargée d'établir le tunnel IPv6 avec l'équipement DS-Lite AFTR mais elle se contente simplement d'acheminer le trafic IPv4 privé généré au niveau du réseau privé vers ce tunnel IPv6. Ce qui signifie que le trafic IPv4 privé est translaté une seule fois au niveau de l'équipement DS-Lite AFTR. Toutefois, l'utilisation de ce mécanisme dans le réseau du fournisseur d'accès pose un problème de traçabilité. En effet, à partir du moment où le trafic d'une pluralité de clients est translaté vers une seule adresse IPv4 publique, le fournisseur d'accès est dans l'incapacité de retrouver, à partir d'une adresse publique dans le réseau IPv4, un identifiant d'un des clients de la pluralité ayant émis un paquet de données. Or le fournisseur d'accès doit être en mesure d'identifier une provenance d'un paquet de données IP pour répondre à une requête d'une autorité judiciaire. Pour cette raison, le fournisseur d'accès doit mémoriser les informations relatives aux sessions translatées par l'équipement DS-Lite AFTR, notamment : un type de protocole : TCP pour "Transmission Control Protocol", UDP pour "User Datagram Protocol" ou ICMP pour "Internet Control Message Protocol" ; - l'adresse IPv6 de la passerelle ; - une adresse IPv4 publique allouée à la session ; un numéro de port public ou un identifiant ICMP alloué à la session ; - la date, les heures de début et de fin de l'allocation à la session. Ainsi, lorsqu'une autorité judiciaire demande au fournisseur d'accès d'identifier un client émetteur d'un paquet IPv4 donné, le fournisseur d'accès peut le déterminer en consultant dans un premier temps la base des sessions traduites, à l'aide de l'adresse IPv4 publique, du numéro de port source public, utilisés dans le paquet de données et d'une étiquette temporelle de ce dernier. Il obtient alors une adresse ou un préfixe IPv6 délégué au client, puis dans un deuxième temps un identifiant du client. Cependant, cette procédure requiert la mémorisation de l'ensemble des informations relatives aux traductions de sessions pendant une durée importante, typiquement d'un an. La quantité des informations à mémoriser dépend du nombre de clients fédérés par l'équipement DS-Lite AFTR ainsi que du nombre moyen de sessions générées par client. A titre d'exemple, pour un équipement gérant trente mille passerelles ou clients, avec un ordre de grandeur de cent sessions simultanées par client, les moyens de stockage nécessaires sont de l'ordre de huit Téraoctets. Ainsi, cette technique requiert des investissements importants en moyens de stockage. Un des buts de l'invention est de remédier à des inconvénients de l'état de la technique et/ou d'y apporter des améliorations. Selon un premier aspect, l'invention a pour objet un procédé d'établissement d'un tunnel destiné à acheminer des paquets de données relatifs à au moins une session d'une entité cliente d'un réseau privé par l'intermédiaire d'une passerelle reliée à un réseau intercalaire, ledit procédé comprenant les étapes suivantes mise en oeuvre par la passerelle : -une étape d'établissement d'un tunnel dans le réseau intercalaire entre la passerelle et un équipement de translation du réseau intercalaire, ledit équipement de translation étant apte à effectuer une translation d'un identifiant de session dans le réseau privé vers un identifiant de session dans un réseau public dans un paquet de données et réciproquement, un identifiant de session étant constitué d'une adresse et d'un numéro de port. Le procédé d'établissement est remarquable en ce qu'il comprend en outre une étape de modification d'une adresse dans le réseau intercalaire de la passerelle par inclusion dans ladite adresse d'informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports, et en ce que lors de l'établissement du tunnel, la passerelle est identifiée par l'adresse modifiée. Corrélativement, l'invention concerne en outre un procédé d'allocation d'un identifiant de session dans un réseau public à une session d'une entité cliente d'un réseau privé, les paquets de données de l'entité cliente transitant, par l'intermédiaire d'un tunnel établi dans un réseau intercalaire entre une passerelle et un équipement de translation, ledit procédé comprenant les étapes suivantes mises en oeuvre par ledit équipement de translation : - une étape de réception d'un paquet initiant la session par l'intermédiaire du tunnel, - une étape de sélection d'un identifiant de session dans le réseau public, un identifiant de session étant constitué d'une adresse et d'un numéro de port, les paquets de données relatifs à la session reçus dans le tunnel étant translatés d'un identifiant de session dans le réseau privé vers l'identifiant de session dans le réseau public sélectionné et réciproquement, caractérisé en ce que le procédé comprend en outre : - une étape d'obtention d'une adresse de la passerelle dans le réseau intercalaire, dans laquelle sont inclus des informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports ; et en ce que lors de l'étape de sélection, on sélectionne le numéro de port dans la plage de numéros de ports, l'identifiant de session dans le réseau public étant alors constitué de l'adresse dans le réseau public et du numéro de port sélectionné. Le réseau privé est par exemple un réseau de type IPv4 et les adresses dans ce réseau sont ainsi des adresses privées, qui ne permettent pas d'acheminer du trafic de données en dehors du réseau privé. Le réseau public est un réseau de type IPv4 dans lequel les adresses sont publiques. Le réseau intercalaire est par exemple un réseau de type IPv6. Dans ce cas, la passerelle et l'équipement de translation correspondent respectivement aux équipements B4 et DS-Lite AFPR du document de l'IETF cité précédemment. Par la suite on appelle identifiant de session dans un réseau, un couple constitué d'une adresse dans le réseau et d'un numéro de port. Grâce au procédé d'établissement du tunnel, une des extrémités du tunnel s'identifie à l'aide d'une adresse dans le réseau intercalaire modifiée. On utilise ainsi une partie libre du codage d'une adresse IPv6 pour faire porter des informations de translation, c'est-à-dire une adresse publique dans le réseau public et une plage de numéros de ports. Tout paquet de données transmis par la passerelle dans le tunnel est associé au tunnel et ainsi à l'adresse dans le réseau intercalaire de la passerelle. La passerelle n'effectue aucune fonction de translation et transmet le paquet de données tel qu'elle l'a reçu de l'entité cliente. La partie libre du codage de l'adresse IPv6 n'est généralement pas utilisée par l'équipement de translation, constituant l'autre extrémité du tunnel. Ainsi, les mécanismes mis en oeuvre par la passerelle sont modifiés uniquement dans une phase préalable d'établissement du tunnel. Aucune modification n'est apportée au fonctionnement lors de l'acheminement de paquets. Selon le procédé d'allocation d'un identifiant de session, l'équipement de translation utilise l'adresse dans le réseau intercalaire modifiée pour déterminer un identifiant de session dans le réseau public. Ceci permet notamment de partager une adresse dans le réseau public entre une pluralité d'entités clientes, appartenant éventuellement à différents réseaux privés. On conserve ainsi un des avantages de la solution proposée par l'IETF. De plus, l'allocation de l'identifiant de session s'effectue simplement par analyse de l'adresse IPv6 de l'extrémité du tunnel. Les modifications apportées à l'équipement de translation sont ainsi minimes. Une fois l'identifiant de session dans le réseau public alloué et mémorisé en association avec la session dans une table de translation, l'acheminement des paquets de données relatifs à la session s'effectue de la même façon que dans la technique antérieure, par lecture de la table de translation. A partir d'un paquet intercepté dans le réseau public, il est possible de déterminer l'identifiant de session associé et ainsi l'adresse dans le réseau public et le port public. Ces informations permettent d'identifier la passerelle ou le client de façon unique, sans avoir recours à une mémorisation de l'ensemble des sessions qui ont fait l'objet de la traduction au cours du temps. Ceci permet donc de satisfaire les obligations légales d'un opérateur sans requérir d'espace de mémorisation important. De plus, il n'est pas nécessaire de prévoir au niveau de l'équipement de translation des modules protocolaires, tels que SNMP pour « Simple Network Management Protocol » ou Syslog, permettant à ce dernier de transmettre les traces mémorisant l'ensemble des sessions à un serveur central. Il est également souligné que ces procédés limitent également les opérations de mise en service de l'équipement de translation, puisqu'il n'est plus nécessaire de configurer des adresses dans le réseau public et le cas échéant, des plages de port. Selon une caractéristique particulière, le procédé d'établissement comprend une étape d'obtention auprès d'un serveur des informations de translation. Il est ainsi possible de configurer sur requête la passerelle à l'aide des informations de translation. Il est également possible de préconfigurer la passerelle à l'aide d'informations de translation mémorisées par exemple dans une mémoire programmable. Selon une autre caractéristique particulière du procédé d'établissement, sur réception d'un message indiquant un épuisement de la plage de numéros de ports en provenance de l'équipement de translation, la passerelle met de nouveau en oeuvre l'étape d'obtention afin d'obtenir d'autres informations de translation. Ainsi, la passerelle obtient des nouvelles informations de translation et établit un nouveau tunnel en s'identifiant à l'aide d'une nouvelle adresse modifiée, comprenant les nouvelles informations de translation. Ceci permet de fournir un service adapté à des clients initiant un grand nombre de sessions. Selon une caractéristique particulière du procédé d'allocation, lorsque l'ensemble des numéros de port de la plage a été alloué, l'initiation de la session est rejetée. Cette solution permet de conserver l'avantage mentionné précédemment du fait qu'elle ne nécessite pas de moyens de stockage. Une passerelle dont les entités clientes ont épuisé la plage de numéros de ports disponibles se trouve alors limitée quant à son nombre de sessions simultanées. Selon une autre caractéristique particulière du procédé d'allocation, lorsque l'ensemble des numéros de port de la plage a été alloué, on sélectionne un numéro de port dans une autre plage de numéros de port et on mémorise une trace de la translation. On prévoit ainsi des plages de numéros de port de débordement utilisées par des entités clientes de différentes passerelles. Des moyens de stockage sont alors prévus pour mémoriser les translations effectuées. Avec un dimensionnement judicieux des plages de numéros de ports, ce cas ne doit se produire que rarement. Selon un deuxième aspect, l'invention concerne en outre une passerelle agencée pour acheminer des données relatives à au moins une session d'une entité cliente d'un réseau privé par l'intermédiaire d'un tunnel établi dans un réseau intercalaire avec un équipement de translation, ledit équipement de translation étant apte à effectuer une translation dans un paquet de données d'un identifiant de session dans le réseau privé vers un identifiant de session dans un réseau public et réciproquement, un identifiant de session étant constitué d'une adresse et d'un numéro de port, ladite passerelle comprenant : - des moyens de modification d'une adresse dans le réseau intercalaire de la passerelle par inclusion dans ladite adresse d'informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports, - des moyens d'établissement du tunnel dans le réseau intercalaire entre la passerelle et l'équipement de translation, dans lesquels la passerelle est identifiée par l'adresse modifiée. Selon un troisième aspect, l'invention concerne en outre un équipement de translation agencé pour acheminer des données relatives à au moins une session d'une entité cliente d'un réseau privé par l'intermédiaire d'un tunnel établi dans un réseau intercalaire avec une passerelle, ledit équipement de translation comprenant : - des moyens de réception d'un paquet initiant la session par l'intermédiaire du tunnel, - des moyens de sélection d'un identifiant de session dans le réseau public, un identifiant de session étant constitué d'une adresse et d'un numéro de port, - des moyens de translation, agencés pour translater dans un paquet de données un identifiant de session dans le réseau privé vers l'identifiant de session sélectionné dans un réseau public et réciproquement, caractérisé en ce que ledit équipement de translation comprend en outre : - des moyens d'obtention d'une adresse de la passerelle dans le réseau intercalaire, dans laquelle sont inclus des informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports ; et dans lequel les moyens de sélection sont agencés pour sélectionner le numéro de port dans la plage de numéros de ports, l'identifiant de session dans le réseau public étant alors constitué de l'adresse dans le réseau public et du numéro de port sélectionné. Selon un quatrième aspect, l'invention concerne en outre un système pour acheminer des données relatives à au moins une session d'une entité cliente d'un réseau privé, ledit système comprenant au moins une passerelle et un équipement de translation tels que décrits précédemment. Selon un cinquième aspect, l'invention concerne en outre un programme d'ordinateur comportant des instructions pour la mise en oeuvre du procédé d'établissement d'un tunnel tel que décrit précédemment par une passerelle, lorsque ce programme est exécuté par un processeur. Selon un sixième aspect, l'invention concerne en outre un programme 20 d'ordinateur comportant des instructions pour la mise en oeuvre du procédé d'allocation d'un identifiant de session tel que décrit précédemment par un équipement de translation, lorsque ce programme est exécuté par un processeur. L'invention sera mieux comprise à l'aide de la description suivante d'un mode de réalisation particulier des procédés de l'invention, en référence aux dessins annexés 25 sur lesquels : - la figure 1 représente un système d'accès à un réseau public dans son environnement selon un mode particulier de réalisation de l'invention; la figure 2 représente les étapes du procédé d'établissement d'un tunnel selon un mode particulier de réalisation de l'invention ; la figure 3 représente les étapes du procédé de translation selon un mode particulier de réalisation de l'invention ; la figure 4 représente une adresse dans un réseau intercalaire selon un mode particulier de réalisation de l'invention ; - la figure 5 représente une passerelle selon un mode particulier de réalisation de l'invention ; la figure 6 représente un équipement de translation selon un mode particulier de réalisation de l'invention. Le principe général de l'invention repose sur la construction d'une adresse de type IPv6 comprenant des informations de translation dans une partie de l'adresse à usage privé. Pour rappel, une adresse de type IPv6 est de longueur seize octets, soit cent vingt huit bits. Une adresse de type IPv6 comporte deux parties: la partie de gauche identifie un sous-réseau du domaine ; la partie de droite identifie une interface d'une machine connectée au sous- réseau. Généralement, les préfixes les plus longs alloués à un sous-réseau sont des préfixes "/64"; c'est-à-dire qu'ils comportent 64 bits pour les identifier. Les 64 bits de droite de l'adresse sont alors utilisés pour identifier une interface particulière d'une machine appartenant au sous-réseau. L'usage des 64 derniers bits dans ce bloc reste privé. Pour un réseau de type résidentiel, un préfixe de longueur 56, noté "/56", est délégué au réseau. Toujours pour rappel, une adresse de type IPv4 est de longueur quatre octets, soit trente deux bits. Les valeurs de port comprises entre 0 et 1024 (en décimal) sont des valeurs connues et pré-réservées par l'IANA (pour "Internet Assigned Numbers Authority"). Elles sont réservées à des services connus et ne doivent donc pas être utilisées pour caractériser des sessions. Il existe également des ports enregistrés auprès de l'IANA dont les numéros vont de 1024 à 49151. Pour conclure, il existe des ports dynamiques et/ou privés, dont les numéros de port vont de 49152 à 65535. Par la suite, on appelle identifiant de session dans un réseau, un couple composé d'une adresse dans ce réseau et d'un numéro de port. Un système d'accès 15 à un réseau public 3 est représenté à la figure 1 dans son environnement. Le système d'accès 15 comprend une passerelle 20 et un routeur 10 CGN, pour "Carrier Grade NAT", appelé également équipement de translation. On notera qu'à des fins de simplification, seule une passerelle a été représentée sur la figure 1. Un routeur 10 CGN peut être relié à une pluralité de passerelles. De même, l'opérateur du réseau peut mettre en place plusieurs routeurs CGN de ce type. Dans le contexte de l'invention, on considère que la passerelle 20 est double couche ou "Dual-Stack" (DS), c'est-à-dire ayant activé les deux piles protocolaires IPv4 et IPv6. De ce fait, une telle passerelle 20 est en mesure de traiter, notamment recevoir et émettre, des paquets de données de type IPv4 ou IPv6. Cette passerelle 20 correspond à l'équipement "DS-Lite Basic Bridging BroadBand" noté B4 dans le document de l'IETF intitulé "draft-ietf-softwire-dual-stack-lite-02". Le routeur CGN 10 correspond à l'équipement "DS-Lite Address Family Transition Router" noté AFTR dans ce même document. La passerelle 20 et le routeur CGN 10 communiquent par l'intermédiaire d'un tunnel établi dans un réseau intercalaire 1, par exemple un réseau de type IPv6. Le tunnel est établi à l'initiative de la passerelle 20. Les deux extrémités de ce tunnel sont les adresses respectives dans le réseau intercalaire 1 de la passerelle 20 et du routeur CGN 10. Il peut s'agir d'un tunnel IPv6 générique conforme à la spécification RFC 2473 de l'IETF intitulée « Generic Packet Tunneling in IPv6 Specification ». Il peut également s'agir d'un tunnel L2TP, pour « Layer 2 Tunneling Protocol », ou d'un tunnel IPsec, pour «Internet Protocol Security », ou encore d'un tunnel TSP, pour «Tunnel Setup Protocol ». En outre, l'établissement de ces tunnels peut être automatique ou manuel. La passerelle 20 permet l'accès à des entités clientes ou terminaux 21 et 22 d'un réseau privé 2 au réseau public 3, notamment à des équipements 31 et 32 de ce réseau public. Le réseau public 3 est de type IPv4 et à adressage public. Le réseau privé 2 est de type IPv4 et à adressage privé. Lorsque la passerelle 20 transmet un paquet reçu en provenance d'un des terminaux 21, 22 qui lui est connecté, elle émet le paquet dans le tunnel à destination du routeur 10 CGN. Réciproquement, elle reçoit des paquets à destination des terminaux 21, 22 dans le tunnel et les retransmet dans le réseau privé 2 vers leurs destinataires. Le routeur CGN 10 est en charge d'effectuer une translation entre un identifiant de session dans le réseau privé 2 et un identifiant de session dans le réseau public 3 dans des paquets, ces paquets étant reçus par l'intermédiaire du tunnel établi dans le réseau intercalaire 1. A cet effet, il comprend notamment une table de Io translation 100, représentée à la figure 6, dans laquelle il mémorise la translation à effectuer, c'est-à-dire de l'adresse IPv6 de la passerelle 20 et l'identifiant de session dans le réseau privé 2 (adresse IPv4 privée source, port source privé) vers un identifiant de session dans le réseau public 3 (adresse IPv4 publique, port source public) et réciproquement. 15 A titre d'exemple, une entrée de la table de translation 100 est la suivante : IN : Adresse IPv6 source : adresse IPv6 de la passerelle 20 + adresse IPv4 source privée : 192.168.1.2 + identifiant de protocole de transport : TCP + port source privé :11111 OUT : 20 Adresse IPv4 source publique :80.66.57.12 + port source public :44444 ce qui se traduit par le fait que l'entête d'un paquet reçu en provenance de l'adresse IPv6 de la passerelle et appartenant à la session, la session étant identifiée par une adresse IPv4 privée 192.168.1.2 et un port source privé 11111, est translaté vers un entête comprenant un identifiant de session, composé notamment de l'adresse IPv4 25 source publique 80.66.57.12 et du port source public 44444. Réciproquement, l'entête d'un paquet reçu en provenance du réseau public 3, comprenant l'adresse IPv4 source publique 80.66.57.12 et le port source public 44444 est translaté vers un entête comprenant notamment l'identifiant de session dans le réseau privé, composé de l'adresse Ipv4 privée 192.168.1.2 et du port source TCP 11111. Le paquet est ensuite 30 transmis sur le tunnel à destination de l'adresse IPv6 de la passerelle 20. Une même adresse IPv4 publique est susceptible d'être partagée entre différentes passerelles ou clients. On notera qu'à des fins de simplification, seuls deux terminaux ont été représentés sur la figure 1. Les procédés s'appliquent bien entendu à un nombre 5 supérieur de terminaux. Un serveur 11 est également représenté sur la figure 1. Il s'agit d'un serveur DHCP, pour «Dynamic Host Configuration Protocol », agencé pour fournir sur requête d'un client ou d'une passerelle 20 une adresse IPv4 publique et une plage de numéros de ports, tel que détaillé ultérieurement. 10 Le procédé d'établissement du tunnel entre la passerelle 20 et le routeur CGN 10, tel qu'il est mis en oeuvre par la passerelle, va maintenant être décrit en relation avec la figure 2. Dans une étape El du procédé d'établissement, la passerelle 20 obtient une adresse de type IPv6 auprès d'un serveur DHCP IPv6, non représenté sur la figure 1. 15 Dans une étape E2 du procédé d'établissement, la passerelle 20 transmet une requête auprès du serveur DHCP 11 en vue d'obtenir des informations de translation. Les infoiuiations de translation comprennent notamment une adresse IPv4 publique et une plage de numéros de port. Il s'agit par exemple d'une requête DHCPDISCOVER, conforme au document de l'IETF intitulé «draft-bajko-v6ops-port-restricted-ipaddr- 20 assign-02 », dans laquelle la passerelle 20 indique qu'elle supporte cette option OPTION-IPv4-RPR. Le serveur DHCP 11 lui transmet alors en retour un message DHCPACK indiquant qu'il supporte l'option OPTION-IPv4-OPR et comprenant une adresse IPv4 publique et une plage de numéros de port. Cette plage de port est représentée sous la forme d'un intervalle de numéros de ports [« beginning port 25 range », « ending port range »i. Seuls des numéros de port appartenant à cet intervalle peuvent être utilisés en association avec l'adresse IPv4 publique. Il est ici souligné que l'adresse IPv4 publique peut ainsi être partagée par différents clients ou passerelles, ces clients ou passerelles étant identifiés de façon unique à l'aide de la combinaison de l'adresse IPv4 publique et de l'intervalle de numéros de port alloués. Ainsi, à l'issue de 30 cette étape E2, la passerelle 20 possède les infoiniations de translation. Lors d'une étape E3 du procédé d'établissement, la passerelle 20 modifie son adresse IPv6 par inclusion dans la partie privée de son adresse des informations de translation. A titre d'exemple, une telle adresse IPv6 40, appelée par la suite adresse IPv6 étendue, est représentée à la figure 4. Elle comprend dans la partie gauche un champ 41 comprenant le préfixe IPv6 auquel appartient l'adresse IPv6 de la passerelle 20, un champ 42 identifiant le sous-réseau. Ces deux champs forment la partie fixe de l'adresse IPv6. L'adresse IPv6 40 comprend également dans un mode particulier de réalisation de l'invention, un champ 43 comprenant un masque port ou « Port Mask» codé sur 16 bits, un champ 44 comprenant un localisateur de masque ou « Locator 1 o Mask » codé sur seize bits et un champ 45 de longueur trente deux bits comprenant l'adresse IPv4 publique allouée. Les champs 43 et 44 sont codés conformément au document de l'IETF intitulé «draft-boucadair-dhc-port-range-01 ». La plage des numéros de port est ainsi codée à l'aide de trente deux bits. La passerelle 20 utilise ensuite cette adresse IPv6 étendue pour s'identifier. 15 Dans une étape E4 du procédé d'établissement, la passerelle 20 initie l'établissement du tunnel vers le routeur CGN 10 en s'identifiant à l'aide de l'adresse IPv6 étendue. L'établissement de ce tunnel s'effectue selon les méthodes connues de l'art antérieur telles que précisées précédemment. On se place par la suite dans le cas où le tunnel est établi. 20 A l'issue de ces étapes El à E4, le tunnel entre la passerelle 20 et le routeur CGN 10 est établi et les paquets à destination ou en provenance de la passerelle 20 sont encapsulés dans ce tunnel. Dans une variante du procédé d'établissement, la passerelle 20 est préconfigurée à l'aide d'informations de translation mémorisées par exemple dans une 25 mémoire programmable. L'étape E2 du procédé d'établissement n'est alors pas mise en oeuvre. Le procédé de translation, comprenant le procédé d'allocation d'un identifiant de session, tel qu'il est mis en oeuvre par le routeur CGN 10, va maintenant être décrit en relation avec la figure 3. Dans une étape F1 du procédé de translation, le routeur CGN 10 reçoit un paquet P en provenance du tunnel établi avec la passerelle 20 ou en provenance du réseau public 3. Dans une étape F2 du procédé de translation, le routeur CGN 10 détermine la 5 nature du paquet P. S'il s'agit d'un paquet initiant une session, le procédé de translation passe à une étape F3. S'il s'agit d'un paquet de relâche de session, le procédé de translation passe à une étape F10. 10 Dans les autres cas, c'est-à-dire s'il s'agit d'un paquet de données appartenant à une session établie, le procédé de translation passe à une étape F20. Au cours de l'étape F3 du procédé de translation, le routeur CGN 10 obtient l'adresse de l'extrémité du tunnel, c'est-à-dire l'adresse IPv6 étendue de la passerelle 20. 15 Dans une étape F4 du procédé de translation, le routeur CGN 10 détermine à partir de cette adresse IPv6 étendue obtenue une adresse IPv4 publique et une plage de numéros de port. Dans une étape F5 du procédé de translation, le routeur CGN 10 vérifie dans une table d'adressage 101, représentée à la figure 6, s'il existe dans cette plage de 20 numéros de port associée à l'adresse IPv4 publique un port libre. Si tel est le cas, dans une étape F8 du procédé de translation, le routeur CGN 10 alloue ce port à la session en cours d'initiation et mémorise dans la table d'adressage 101 que le port est désormais occupé. Le procédé de translation passe ensuite à une étape F9 du procédé de translation. 25 Si ce n'est pas le cas, c'est-à-dire que l'ensemble des ports de la plage est alloué, le routeur CGN 10 sélectionne dans une étape F6 du procédé de translation un numéro de port dans une plage de débordement associée à l'adresse IPv4 publique. Dans ce cas, le numéro de port alloué dans la plage de débordement et l'adresse IPv4 publique ne permettent pas d'identifier de manière unique la passerelle 20. Le routeur CGN 10 mémorise alors dans une zone mémoire de trace 102, représentée à la figure 6, une trace associée à cette translation. Plus précisément, le routeur CGN 10 mémorise : un type de protocole : TCP pour "Transmission Control Protocol", UDP pour "User Datagram Protocol" ou ICMP pour "Internet Control Message Protocol" ; l'adresse IPv6 de la passerelle 20 ; l'adresse IPv4 publique allouée à la session ; l'adresse IPv4 privée du client ; le numéro de port source privé du client ; le numéro de port source public dans la plage de débordement alloué à la session ; la date, les heures de début et de fin de l'allocation à la session. Au cours de l'étape F9 du procédé de translation, le routeur CGN 10 mémorise dans la table de translation 100 en association avec l'adresse IPv6 de la passerelle 20, la translation de l'identifiant de session dans le réseau privé 2, tel que lu à partir de l'entête du paquet P, comprenant l'adresse IPv4 privée et le numéro de port source privé, vers l'identifiant de session dans le réseau public 3, comprenant l'adresse IPv4 publique et le numéro de port source public alloués. Le procédé de translation retourne ensuite à l'étape Fl en attente de réception d'un paquet P. A l'étape F10 du procédé de translation, c'est-à-dire lorsqu'il s'agit d'un paquet P de relâche de la session, le routeur CGN 10 libère le port public alloué à la session. Plus précisément, le routeur GCN 10 indique dans la table d'adressage 101 que le port public alloué associé à l'adresse IPv4 publique est désormais libre. Si une trace a été mémorisée dans la zone de mémoire de trace 102, dans ce cas, le routeur CGN 10 mémorise la date de fin de la session. A l'étape F11 du procédé de translation, le routeur CGN 10 supprime de la table de translation 100 l'entrée correspondant à la session en cours de relâche. Le procédé de translation retourne ensuite à l'étape F1 en attente de réception 30 d'un paquet P. A partir de l'étape F20 du procédé de translation, c'est-à-dire lorsqu'il s'agit d'un paquet P de données, le routeur CGN 10 met en oeuvre les étapes de translation, telles que connues de l'art antérieur. Plus précisément, à l'étape F20 du procédé de translation, le routeur CGN 10 obtient à partir de la table de translation 100 : - dans un premier cas, s'il s'agit d'un paquet P en provenance du réseau public 3, l'identifiant de session dans le réseau privé 2 et l'adresse IPv6 de la passerelle 20 ; - dans un deuxième cas, s'il s'agit d'un paquet P en provenance de la passerelle 20, l'identifiant de session dans le réseau public 3. A l'étape F21 du procédé de translation, le routeur CGN 10 effectue la translation nécessaire puis émet au cours de l'étape F22 du procédé de translation le paquet P dans le tunnel dans le premier cas et dans le réseau public 3 dans le deuxième cas. Le procédé de translation retourne ensuite à l'étape Fl en attente de réception d'un paquet P. Grâce aux procédés selon l'invention, il est ainsi possible d'identifier un client à partir d'un paquet intercepté sur le réseau public 3. On détermine la plage de numéros de ports publics à partir du paquet P et ainsi, en association avec l'adresse IPv4 publique, on détermine le client. Lorsque le numéro de port appartient à la plage de débordement associée à l'adresse IPv4 publique, le client est identifié à l'aide de la trace mémorisée dans la zone de mémoire de trace 102. La zone de mémoire de trace 102 est toutefois de taille limitée lorsqu'un dimensionnement correct est choisi pour la plage de numéros de port publics. Des observations montrent que, de manière générale, un terminal est susceptible d'initier au maximum une soixantaine de sessions simultanées. A titre d'exemple non limitatif, une plage comprenant cent numéros de ports publics peut être retenue. Dans une variante à ce mode de réalisation, lorsqu'on détermine à l'étape F5 du procédé de translation qu'il n'existe pas de port public libre, la demande d'initiation de la session est rejetée, les étapes F6 et F7 du procédé de translation n'étant pas mises en oeuvre dans ce cas. Ceci permet d'éviter d'administrer des plages de débordement et ainsi de prévoir une zone de mémoire de trace 102. Toujours dans ce cas, c'est-à-dire lorsque qu'il n'existe pas de port public libre et que la demande d'initiation de la session est rejetée, la passerelle 20 reçoit alors dans ce cas un message ICMP lui indiquant qu'il n'y a plus de ports publics disponibles, c'est-à-dire un épuisement de la plage de numéros de ports. Dans ce cas, la passerelle 20 peut mettre de nouveau mettre en oeuvre les étapes El à E4 afin d'obtenir une deuxième plage de numéros de ports publics. Dans ce cas, la passerelle 20 construit une deuxième adresse IPv6 prenant en compte cette deuxième plage de numéros de ports publics. Il est ici souligné qu'il est possible dans un réseau de type IPv6 d'avoir plusieurs adresses IPv6. Dans ce mode de réalisation particulier, la plage de numéros de ports publics a été prévue de taille trente deux bits dans l'adresse IPv6 étendue. Il est également possible de prévoir des codages de cette plage de numéros de ports publics moins consommateurs, par exemple sur seize bits. Dans un groupe de six bits sur les seize bits, on code une plage de numéros de 15 ports. On peut alors identifier soixante-quatre plages et on obtient alors par plage un nombre de ports de l'ordre de mille. Les valeurs sont indiquées par la suite en notation hexadécimale. Une première plage de numéros de port est [0400-043F], c'est-à-dire l'ensemble des valeurs comprises entre 0400 et 043F. La deuxième plage de numéros de port est [0440-047F] 20 et ainsi de suite jusqu'à la dernière plage de numéros de port [FFCO-FFFF]. D'autres formes de constitution des plages de numéros de port sont également possibles, par exemple une distribution séquentielle des numéros de port dans les différentes plages. Toujours à titre d'exemple, on indique dans ce cas la première valeur de la plage de numéros de port, soit 0440 pour [0440-047F]. Il est également possible de 25 prendre la dernière valeur, ou toute autre valeur. Il s'agit d'une convention de notation. En utilisant un codage de la plage de numéros de port sur seize bits, il est alors possible d'inclure également dans l'adresse IPv6 étendue la plage de débordement. Dans ce cas, la passerelle 20 obtient à l'étape E2 du procédé d'établissement la plage de débordement et l'inclut à l'étape E3 du procédé 30 d'établissement dans l'adresse IPv6 étendue. Le routeur CGN 10 obtient alors à partir de l'adresse IPv6 étendue la plage de débordement à utiliser le cas échéant à l'étape F6 du procédé d'allocation. Il est bien entendu que cette plage de débordement peut être allouée à plusieurs clients ou passerelles administrés par le même routeur CGN 10. La passerelle 20 selon un mode particulier de réalisation va maintenant être décrite en relation avec la figure 5. Une telle passerelle 20 est agencée pour acheminer des données relatives à au moins une session d'une entité cliente 21, 22 d'un réseau privé 2 par l'intermédiaire d'un tunnel établi dans un réseau intercalaire 1 avec un routeur 10 CGN. A cet effet, la passerelle 20 comprend : - un module 202 d'émission/réception dans le réseau privé : - un module 204 d'émission/réception dans le réseau intercalaire ; - un module 206 de gestion du tunnel dans le réseau intercalaire, agencé pour établir le tunnel et pour encapsuler des paquets de données reçus en provenance des entités clientes du réseau privé et décapsuler des paquets de données reçus en provenance du routeur CGN ; - un module 208 de modification d'une adresse de la passerelle dans le réseau intercalaire, agencé pour inclure dans ladite adresse des informations de translation, comprenant une adresse dans un réseau public et une plage de numéros de ports. Le module 206 est en outre agencé pour identifier la passerelle lors de l'établissement du tunnel à l'aide de l'adresse modifiée. La passerelle 20 peut être configurée de façon statique avec l'adresse dans le réseau public et la plage de numéros de port. En option, la passerelle 20 comprend en outre un module 210 d'obtention des informations de translation, agencé pour obtenir d'un serveur 11 l'adresse dans le 25 réseau public et la plage de numéros de ports. Le routeur CGN 10 selon un mode particulier de réalisation va maintenant être décrit en relation avec la figure 6. Un tel équipement 10 est agencé pour acheminer des données relatives à au moins une session d'une entité cliente 21, 22 d'un réseau privé 2 par l'intenmédiaire 30 d'un tunnel établi dans un réseau intercalaire 1 avec une passerelle 20. A cet effet, l'équipement de translation comprend : - les tables 100 de translation, 101 d'adressage présentées précédemment ; - un module 110 d'émission/réception dans le réseau intercalaire : - un module 112 d'émission/réception dans le réseau public ; - un module 114 de gestion du tunnel dans le réseau intercalaire, agencé pour établir le tunnel et pour encapsuler des paquets de données à destination de la passerelle et décapsuler des paquets de données reçus en provenance de la passerelle ; - un module 116 de sélection d'un identifiant de session dans le réseau public : - un module 118 de translation, agencé pour translater dans un paquet de données un identifiant de session dans le réseau privé vers l'identifiant de session sélectionné dans le réseau public et réciproquement, - un module 120 d'obtention d'une adresse de la passerelle dans le réseau intercalaire, dans laquelle sont inclus des informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports. Le module 116 de sélection est en outre agencé pour sélectionner le numéro de port dans la plage de numéros de ports, l'identifiant de session dans le réseau public étant alors constitué de l'adresse dans le réseau public et du numéro de port sélectionné. Dans une variante, le routeur CGN 10 comprend également la zone mémoire de trace 102, précédemment décrite. Le module 116 de sélection est également agencé pour sélectionner un numéro de port dans une autre plage de numéros de port lorsque l'ensemble des numéros de port de la plage a été alloué et pour mémoriser une trace de la translation dans la zone mémoire de trace 102. Les modules 206, 208, 210 d'une passerelle 20 sont agencés pour mettre en oeuvre les étapes du procédé d'établissement d'un tunnel précédemment décrit exécutées par la passerelle. Il s'agit de préférence de modules logiciels comprenant des instructions logicielles pour faire exécuter les étapes d'établissement d'un tunnel précédemment décrit, mises en oeuvre par une passerelle. L'invention concerne donc aussi : - un programme pour passerelle, comprenant des instructions de programme destinées à commander l'exécution des étapes du procédé d'établissement d'un tunnel précédemment décrit qui sont exécutées par ladite passerelle, lorsque ledit programme est exécuté par un processeur de celle-ci ; - un support d'enregistrement lisible par une passerelle sur lequel est enregistré le programme pour passerelle. Les modules 116, 120 d'un équipement de translation 10 ou routeur CGN sont agencés pour mettre en oeuvre les étapes du procédé d'allocation d'un identifiant de session précédemment décrit exécutées par l'équipement de translation. Il s'agit de io préférence de modules logiciels comprenant des instructions logicielles pour faire exécuter les étapes d'allocation d'un identifiant de session précédemment décrit, mises en oeuvre par un équipement de translation. L'invention concerne donc aussi : - un programme pour équipement de translation, comprenant des instructions de programme destinées à commander l'exécution des étapes du procédé d'allocation 15 d'un identifiant de session précédemment décrit qui sont exécutées par ledit équipement de translation, lorsque ledit programme est exécuté par un processeur de celui-ci ; - un support d'enregistrement lisible par un équipement de translation sur lequel est enregistré le programme pour équipement de translation. 20 Les modules logiciels peuvent être stockés dans ou transmis par un support de données. Celui-ci peut être un support matériel de stockage, par exemple un CD-ROM, une disquette magnétique ou un disque dur, ou bien un support de transmission tel qu'un signal électrique, optique ou radio, ou un réseau de télécommunication. L'invention concerne également un système 15 d'accès à un réseau public 25 pour acheminer des données relatives à au moins une session d'une entité cliente d'un réseau privé, comprenant au moins une passerelle et un équipement de translation, tels que décrits précédemment. REVENDICATIONS1. Procédé d'établissement d'un tunnel destiné à acheminer des paquets de données relatifs à au moins une session d'une entité cliente (21, 22) d'un réseau privé (2) par l'intermédiaire d'une passerelle (20) reliée à un réseau intercalaire (1), ledit procédé comprenant les étapes suivantes mise en oeuvre par la passerelle : - une étape (E4) d'établissement d'un tunnel dans le réseau intercalaire entre la passerelle et un équipement (10) de translation du réseau intercalaire, ledit équipement de translation étant apte à effectuer une translation d'un identifiant de session dans le réseau privé vers un identifiant de session dans un réseau public (3) dans un paquet de données et réciproquement, un identifiant de session étant constitué d'une adresse et d'un numéro de port, caractérisé en ce que le procédé comprend en outre : - une étape (E3) de modification d'une adresse dans le réseau intercalaire de la passerelle par inclusion dans ladite adresse d'informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports, et en ce que, lors de l'établissement du tunnel, la passerelle est identifiée par l'adresse modifiée. 2. Procédé selon la revendication 1, comprenant en outre une étape (E2) d'obtention auprès d'un serveur (11) des informations de translation. 3. Procédé selon la revendication 2, dans lequel, sur réception d'un message indiquant un épuisement de la plage de numéros de ports en provenance de l'équipement de translation, la passerelle (20) met de nouveau en oeuvre l'étape d'obtention afin d'obtenir d'autres informations de translation. 4. Procédé d'allocation d'un identifiant de session dans un réseau public (3) à une 30 session d'une entité cliente (21, 22) d'un réseau privé (2), les paquets de données del'entité cliente transitant, par l'intermédiaire d'un tunnel établi dans un réseau intercalaire (1) entre une passerelle (20) et un équipement (10) de translation, ledit procédé comprenant les étapes suivantes mises en oeuvre par ledit équipement de translation : - une étape (F1) de réception d'un paquet initiant la session par l'intermédiaire du tunnel, - une étape (F8) de sélection d'un identifiant de session dans le réseau public, un identifiant de session étant constitué d'une adresse et d'un numéro de port, les paquets de données relatifs à la session reçus dans le tunnel étant translatés d'un identifiant de session dans le réseau privé vers l'identifiant de session dans le réseau public sélectionné et réciproquement, caractérisé en ce que le procédé comprend en outre : - une étape (F3) d'obtention d'une adresse de la passerelle dans le réseau intercalaire, dans laquelle sont inclus des informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports; et en ce que lors de l'étape de sélection, on sélectionne le numéro de port dans la plage de numéros de ports, l'identifiant de session dans le réseau public étant alors constitué de l'adresse dans le réseau public et du numéro de port sélectionné. 5. Procédé d'allocation selon la revendication 4, dans lequel lorsque l'ensemble des numéros de port de la plage a été alloué, l'initiation de la session est rejetée. 6. Procédé d'allocation selon la revendication 4, dans lequel lorsque l'ensemble des 25 numéros de port de la plage a été alloué, on sélectionne (F6) un numéro de port dans une autre plage de numéros de port et on mémorise une trace de la translation. 7. Passerelle (20) agencée pour acheminer des données relatives à au moins une session d'une entité cliente (21, 22) d'un réseau privé par l'intermédiaire d'un tunnel établi dans 30 un réseau intercalaire (1) avec un équipement (10) de translation, ledit équipement detranslation étant apte à effectuer une translation dans un paquet de données d'un identifiant de session dans le réseau privé vers un identifiant de session dans un réseau public (3) et réciproquement, un identifiant de session étant constitué d'une adresse et d'un numéro de port, ladite passerelle comprenant : - des moyens (208) de modification d'une adresse dans le réseau intercalaire de la passerelle par inclusion dans ladite adresse d'informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports, - des moyens (206) d'établissement du tunnel dans le réseau intercalaire entre la passerelle et l'équipement de translation, dans lesquels la passerelle est identifiée par l'adresse modifiée. 8. Equipement (10) de translation agencé pour acheminer des données relatives à au moins une session d'une entité cliente (21, 22) d'un réseau privé (2) par l'intermédiaire d'un tunnel établi dans un réseau intercalaire (1) avec une passerelle (20), ledit équipement de translation comprenant : - des moyens (110) de réception d'un paquet initiant la session par l'intermédiaire du tunnel, - des moyens (116) de sélection d'un identifiant de session dans le réseau public, un identifiant de session étant constitué d'une adresse et d'un numéro de port, - des moyens (118) de translation, agencés pour translater dans un paquet de données un identifiant de session dans le réseau privé vers l'identifiant de session sélectionné dans un réseau public (3) et réciproquement, caractérisé en ce que ledit équipement de translation comprend en outre : - des moyens (120) d'obtention d'une adresse de la passerelle dans le réseau intercalaire, dans laquelle sont inclus des informations de translation, lesdites informations de translation comprenant une adresse dans le réseau public et une plage de numéros de ports ;et dans lequel les moyens de sélection sont agencés pour sélectionner le numéro de port dans la plage de numéros de ports, l'identifiant de session dans le réseau public étant alors constitué de l'adresse dans le réseau public et du numéro de port sélectionné. 9. Système (15) pour acheminer des données relatives à au moins une session d'une entité cliente d'un réseau privé, ledit système comprenant au moins une passerelle selon la revendication 7 et un équipement de translation selon la revendication 8. 10. Programme d'ordinateur comportant des instructions pour la mise en oeuvre du 10 procédé d'établissement d'un tunnel selon la revendication 1 par une passerelle, lorsque ce programme est exécuté par un processeur. 11. Programme d'ordinateur comportant des instructions pour la mise en oeuvre du procédé d'allocation d'un identifiant de session selon la revendication 4 par un 15 équipement de translation, lorsque ce programme est exécuté par un processeur.