Passer au contenu principal
Si votre fournisseur d’accès vous place derrière un NAT de niveau opérateur (CGNAT), il vous est impossible de transférer un port vers votre machine, car il n’existe aucune adresse IPv4 publique propre à chaque client. Exécutez plutôt tokios-connector à côté de votre modèle : il établit un appel sortant vers https://api.tokios.com, donc il ne requiert ni adresse IP publique, ni transfert de port, ni modification du routeur ou de l’opérateur. Vous obtenez ainsi un point de terminaison stable et authentifié que vous pouvez solliciter de n’importe où.
Une requête entrante est empêchée par le CGNAT de l’opérateur faute d’adresse IP publique ou de port à transférer ; en revanche, la connexion sortante du tokios-connector franchit ce barrage et atteint le portail Tokios.

Les connexions entrantes sont bloquées par le CGNAT de l’opérateur — il n’y a aucun port à transférer. L’appel sortant du connecteur traverse quant à lui sans encombre.

​
Se trouvez-vous derrière un CGNAT ?

Une vérification d’une durée de 2 minute suffit. Ouvrez la page d’administration de votre routeur, repérez son adresse WAN (ou Internet) puis comparez-la à l’adresse publique indiquée par un site tel que ifconfig.me :
  • Adresse WAN comprise entre 100.64.0.0 et 100.127.255.255 — vous êtes bel et bien derrière un CGNAT. Cette plage (RFC 6598) est expressément réservée au NAT de niveau opérateur.
  • Adresse WAN appartenant à une plage privée (10.x.x.x, 172.16–31.x.x, 192.168.x.x) — un autre niveau de NAT se situe au-dessus de votre routeur, bloquant de la même manière les connexions entrantes.
  • Adresse WAN identique à l’adresse publique — vous disposez d’une véritable adresse IP publique, et le transfert classique de ports reste envisageable (même si l’API de votre modèle demeure non authentifiée sur Internet).
Si l’une des deux situations décrites en 2 se produit, aucun paramètre de connecteur ne permettra de diriger le trafic entrant vers votre machine — continuez à lire.

​
Pourquoi le CGNAT empêche le transfert de ports

Le transfert de port fonctionne en indiquant à votre routeur que « le trafic destiné à mon adresse IP publique sur le port X doit être acheminé vers ce périphérique sur mon réseau local ». Ce mécanisme ne s’applique que si votre routeur dispose lui-même d’une adresse IPv4 publique. Avec le CGNAT, ce n’est pas le cas. Votre fournisseur d’accès compte plus de clients que d’adresses IPv4 publiques ; il place donc plusieurs abonnés derrière une même adresse publique et attribue à chaque foyer une adresse privée. Le côté « public » de votre routeur n’est en réalité qu’une adresse privée au sein du réseau interne du fournisseur : il n’existe aucune adresse entrante unique permettant d’appliquer une règle de transfert de ports. Cela signifie que :
  • Il vous est impossible d’ouvrir le port 11434 (ou tout autre port) au trafic entrant, quelle que soit la configuration de votre routeur.
  • Vous ne pouvez pas remédier à ce problème vous-même : il s’agit d’un paramètre défini sur le matériel du fournisseur, pas sur le vôtre.
  • Il est parfois possible de contacter votre fournisseur d’accès Internet pour demander une adresse IP publique dédiée (souvent en tant que option payante réservée aux abonnements professionnels), toutefois il ne s’agit pas d’une configuration que vous pouvez effectuer vous-même, et il n’y a aucune garantie que cette option soit proposée.
Voilà pourquoi « simplement ouvrir un port » ne constitue pas une option viable pour de nombreux abonnés souhaitant héberger un serveur domestique. C’est aussi la raison d’être de solutions de contournement telles que la location d’un VPS pour relayer le trafic ou la mise en place de tunnels SSH inverses vers un appareil sous votre contrôle : ces méthodes exigent de déployer et de sécuriser un serveur permanent afin d’obtenir une connectivité entrante. Une connexion sortante seule permet d’éviter le problème au lieu de le contourner. Le CGNAT n’est pas un cas isolé : de nombreuses catégories de connexions l’utilisent par défaut :
  • Starlink applique le CGNAT au service résidentiel standard ; une adresse IPv4 publique n’est proposée qu’avec les abonnements haut de gamme. Si vous hébergez un modèle via une connexion Starlink, le transfert de ports est impossible dès le jour 1.
  • 4G/5G Internet domestique (T-Mobile Home Internet et services similaires) utilise presque toujours le CGNAT, sans qu’il soit possible d’obtenir une adresse IP publique dans le cadre des abonnements grand public.
  • Les FAI d’immeubles et de fibre qui vous attribuent une adresse partagée par l’immeuble ou NATée par le FAI se comportent exactement de la même manière.
La configuration en mode sortant présentée ci-dessous s’applique de façon identique à tous ces fournisseurs, car le connecteur n’a jamais besoin d’un chemin entrant.

​
La solution en mode sortant uniquement

Le tokios-connector ne traite jamais de trafic entrant. Il établit une connexion wss:// vers Tokios, dans la même direction que celle utilisée par votre navigateur pour charger une page web ; ainsi, le CGNAT, le NAT de votre routeur et la plupart des pare-feux ne le considèrent pas comme un élément anormal.
1

Exécutez votre modèle localement, comme d’habitude.

Démarrez votre backend de manière classique — sans utiliser OLLAMA_HOST=0.0.0.0, sans indiquer d’option de liaison sur toutes les interfaces, sans modifier le routeur. Par exemple, avec Ollama :
Laissez-le écouter sur http://127.0.0.1:11434 (valeur par défaut d’Ollama). Tokios fonctionne également avec llama.cpp, vLLM et LM Studio — consultez la page Backends pris en charge.
2

Associez le connecteur.

Connectez-vous à tokios.com/console, ouvrez l’onglet Setup puis cliquez sur Start pairing. Tokios affiche alors un code d’appairage unique de forme TKS-XXXX-XXXX, valable environ 15 minutes.Sur l’ordinateur hébergeant votre modèle, lancez la commande d’installation adaptée à votre système d’exploitation.
Windows
macOS
Linux
Avez-vous déjà installé tokios-connector ? Transmettez alors directement le code d’appairage.
De retour dans la console, cliquez sur approve pour l’appareil dans l’onglet Setup ou Connectors. Le jeton du connecteur est transmis via le tunnel une fois l’appareil approuvé — vous ne le voyez jamais à l’écran et ne le collez dans aucun fichier.
3

Effectuez un déploiement

Dans l’onglet Models, enregistrez votre modèle local et choisissez un nom public — par exemple, llama3-tunnel. Les clients transmettent ce nom public, et non l’ID de modèle amont de votre backend, dans le champ model de chaque requête.
4

Créez une clé API

Dans l’onglet Keys, cliquez sur Create key. Vous pouvez éventuellement limiter son utilisation à certains déploiements grâce à des motifs de noms de modèles (liste séparée par des virgules ; utilisez * pour tout autoriser). Copiez immédiatement la clé sk-tok-… — elle ne s’affiche qu’une seule fois.
À aucun moment de ce processus votre routeur, votre FAI ou votre adresse IP publique n’interviennent. Le connecteur a établi la liaison ; la console l’a validé ; le modèle devient ainsi accessible via le point de terminaison de Tokios, sans dépendre de votre réseau.

​
Utilisez-le depuis n’importe où

Le champ model doit toujours contenir le nom de votre déploiement enregistré, et non l’ID de modèle amont de votre backend. Consultez la page Utiliser Claude Code pour conserver ces variables d’environnement d’une session à l’autre.
Les pare-feux d’entreprise ou universitaires stricts posent le même problème que le CGNAT : les connexions entrantes sont bloquées même si vous disposez d’une adresse IP publique. Comme le connecteur ne lance que des connexions sortantes wss://, cette configuration fonctionne également derrière ces pare-feux, sans avoir à déposer de demande d’exception.

​
Votre modèle demeure sur votre matériel — votre point de terminaison reste utilisable partout

Le CGNAT fait que votre FAI gère l’accessibilité entrante vers votre réseau domestique, et non vous. Mettre en place un relais loué ou un tunnel SSH inverse exige de configurer et sécuriser un serveur entier. Le connecteur supprime cette contrainte : il initie une seule connexion sortante, vous la validez une fois, et à partir de là https://api.tokios.com constitue l’adresse stable que les clients emploient, quoi qu’il advienne de votre adresse IP.

Démarrage rapide

Associez un connecteur et enregistrez votre premier modèle en suivant toutes les étapes.

Tunnels et Tokios

Découvrez comment Tokios se compare à Cloudflare Tunnel, ngrok et Tailscale pour le déploiement de trafic LLM en streaming.

Quand utiliser Tokios

Le CGNAT constitue l’une des contraintes ; ce cadre de décision aborde également les autres : taille de l’équipe, compatibilité des connecteurs, exigences de cloisonnement réseau, et cas où un autre outil serait plus adapté.