Comprobación de puerto abierto
Elige un puerto y nuestro servidor intenta conectarse a él en la dirección desde la que nos visitas. Sabrás si el puerto está abierto, cerrado o en silencio, y qué dice cada respuesta sobre tu router.
Una dirección tiene 65 535 puertas
Tu conexión a internet tiene una dirección pública, algo así como la dirección postal de un edificio. Un puerto es una puerta numerada de ese edificio. Un programa que quiere recibir conexiones se coloca detrás de una de las puertas y espera. Un servidor web espera detrás del 443, un servidor de Minecraft detrás del 25565, el Escritorio remoto de Windows detrás del 3389.
En casa, el edificio tiene un portero, y ese es tu router. Las conexiones que inicias tú salen, y sus respuestas vuelven a entrar sin ninguna configuración. Una conexión que empieza desde fuera es otra historia. El router no sabe para cuál de tus dispositivos va, así que la descarta. Ese comportamiento por defecto es la razón por la que una red doméstica es difícil de atacar. También es la razón por la que tu amigo no puede unirse al servidor de juegos que corre en tu ordenador.
Una redirección de puertos es una instrucción permanente al portero, algo como “todo lo que llegue a la puerta 25565 va al ordenador 192.168.1.20”. Esta página llama desde fuera para decirte si esa instrucción funciona.
Tres respuestas posibles
Hacemos un solo intento de conexión TCP y observamos qué vuelve. No se envía nada por la conexión y la cerramos enseguida.
| Resultado | Qué pasó en el cable | Qué significa |
|---|---|---|
| Abierto | Se aceptó la conexión. | Un programa está escuchando y todos los firewalls del camino dejan pasar el tráfico. |
| Cerrado | Volvió un rechazo en cuestión de milisegundos. | El camino está libre pero no hay ningún programa detrás de la puerta. Inicia el programa o corrige su número de puerto. |
| Sin respuesta | Cuatro segundos de silencio. | Un firewall o el router descartó el intento. Para un puerto que nadie abrió, ese es el estado normal y seguro. |
Cuando una redirección no funciona, la diferencia entre “cerrado” y “sin respuesta” es tu mejor pista. Un rechazo prueba que el router pasó la conexión, así que lo que siga mal está en el dispositivo. El silencio apunta a la regla del router o al proveedor.
Por qué solo puedes probar tu propia dirección
No encontrarás un campo de dirección en esta página. La prueba siempre apunta a la dirección de la que vino tu petición, un puerto a la vez.
Probar puertos en una máquina es el primer paso de la mayoría de las intrusiones. Por eso casi todos los contratos de alojamiento prohíben escanear direcciones que no administras, y por eso es ilegal en algunos países. Una página pública que escaneara cualquier dirección a petición permitiría a cualquiera dar ese paso escondido detrás de nuestro servidor. Comprobar tu propia puerta está bien, porque ya tienes la llave.
Con una VPN o un proxy corporativo activado, “tu dirección” es la dirección del servidor VPN. Desactívalo antes de probar una redirección de puertos doméstica.
Cuando el puerto sigue en silencio
Repásalos en orden, de fuera hacia dentro.
- Dirección compartida en el proveedor. Abre la página de estado del router y lee su dirección WAN. Si es distinta de la dirección que se muestra arriba, o empieza por
100.64a100.127,10.o192.168., tu proveedor pone a muchos clientes detrás de una sola dirección (NAT de nivel de operador). Ninguna regla de tu router ayudará. Pide una dirección pública, o usa IPv6 o un servicio de túnel. - La regla de redirección. Puerto externo, puerto interno, protocolo TCP y la dirección local del dispositivo correcto. Dale a ese dispositivo una dirección local fija, o la regla no apuntará a nada después del próximo reinicio.
- Dos routers seguidos. Si una caja del proveedor está delante de tu propio router, necesitas la redirección en los dos, o poner el primero en modo puente.
- El firewall del dispositivo. Windows, macOS y la mayoría de los sistemas Linux bloquean las conexiones entrantes hasta que permites el programa.
- El programa. Tiene que estar en marcha, en ese puerto y escuchando en todas las interfaces (
0.0.0.0) en lugar de solo en127.0.0.1.
Algunos proveedores bloquean unos pocos puertos para todos los clientes domésticos, casi siempre el 25 (correo), el 80 y el 445. Si un puerto sigue en silencio mientras sus vecinos se abren, probablemente es eso lo que ves.
Un puerto abierto recibe visitas
Los escáneres automáticos barren todo internet IPv4 varias veces al día. Encuentran un puerto recién abierto en cuestión de horas, y los primeros intentos de contraseña llegan enseguida. Abre solo lo que uses y mantén actualizado el programa que hay detrás. Nunca expongas directamente una base de datos, el uso compartido de archivos de Windows (445), Telnet (23) o el Escritorio remoto (3389). Accede a ellos a través de una VPN.
Esta página solo prueba TCP. Los servicios UDP como WireGuard o la mayoría de los chats de voz no se pueden comprobar desde fuera, porque un puerto UDP abierto que no tiene nada que decir se ve exactamente igual que uno cerrado.
Preguntas frecuentes
¿Cómo sé si mi redirección de puertos funciona?
Inicia el programa que debe recibir las conexiones y prueba aquí su puerto. “Abierto” significa que la redirección funciona de extremo a extremo. “Cerrado” significa que el router redirige bien pero el programa no está escuchando. “Sin respuesta” significa que el router o un firewall sigue descartando el tráfico.
¿Por qué el puerto aparece cerrado si mi servidor está en marcha?
Suele ser un programa que escucha solo en 127.0.0.1, un número de puerto distinto en su configuración, un firewall del dispositivo o una VPN que hace que la prueba llegue a otra dirección. Prueba desde la misma red en la que está el servidor, con la VPN desactivada.
¿Puedo comprobar un puerto en otra dirección IP o sitio web?
No. La página solo prueba la dirección desde la que te conectas. Escanear máquinas que no administras es un abuso, así que no hay campo de dirección. Para ver si un sitio web público responde, usa ¿Está caído?.
¿Es peligroso tener puertos abiertos?
Un puerto es tan seguro como el programa que hay detrás. Un servidor web actualizado en el 443 está bien. El Escritorio remoto, una base de datos o una cámara con contraseña de fábrica serán encontrados y atacados enseguida. Cierra lo que no uses.
¿Qué es el NAT de nivel de operador y cómo bloquea la redirección de puertos?
Tu proveedor comparte una dirección pública entre muchos clientes, así que las conexiones entrantes se detienen en sus equipos y nunca llegan a tu router. Lo notas porque la dirección WAN de tu router es distinta de tu dirección pública. Solo el proveedor, IPv6 o un servicio de túnel pueden ayudarte a rodearlo.
¿Se pueden probar puertos UDP con esto?
No. UDP no tiene un protocolo de saludo de conexión, así que un puerto en silencio puede estar abierto o cerrado. Prueba los servicios UDP con su propio cliente desde otra red, por ejemplo un teléfono con datos móviles.