Ir al contenido

Comprobar puertos abiertos

Comprueba si un puerto TCP está abierto en cualquier IP o host público: verifica tu redirección de puertos o analiza los puertos comunes de una vez.

Puerto TCP entre 1 y 65535, por ejemplo 443 para HTTPS o 22 para SSH.

Puertos TCP comunes y para qué sirven

El análisis de arriba prueba los 21 primeros de una vez. Los dos últimos son casos típicos de redirección de puertos: introdúcelos a mano.

PuertoServicioPara qué sirve
21FTPTransferencia de archivos (FTP). Envía las contraseñas en claro: SFTP, por el puerto 22, lo sustituye.
22SSHShell remoto y transferencia de archivos (SSH, SFTP) en servidores Linux y equipos de red.
25SMTPCorreo entre servidores (SMTP). A menudo bloqueado en conexiones domésticas contra el spam.
53DNSDNS sobre TCP: respuestas grandes y transferencias de zona. Las consultas normales usan UDP.
80HTTPSitios web sin cifrado (HTTP), normalmente solo una redirección a HTTPS.
110POP3Descarga de correo (POP3), sin cifrar. El puerto 995 es la versión TLS.
143IMAPLectura del correo en el servidor (IMAP), sin cifrar. El puerto 993 es la versión TLS.
443HTTPSSitios web y API sobre TLS (HTTPS). El puerto con más probabilidades de estar abierto.
465SMTPSEnvío de correo desde un cliente, en TLS desde el primer byte (SMTPS).
587SMTP-TLSEnvío de correo desde un cliente, pasado a TLS con STARTTLS (envío).
993IMAPSIMAP sobre TLS: lo que usan los móviles y las apps de correo para leer un buzón.
995POP3SPOP3 sobre TLS: descarga de correo cifrada.
3306MySQLBases de datos MySQL y MariaDB. No debería ser accesible desde todo internet.
3389RDPEscritorio remoto de Windows (RDP). Un objetivo constante de ataques de fuerza bruta si está abierto.
5060SIPSeñalización de telefonía IP (SIP), para teléfonos y centralitas VoIP.
5432PostgreSQLBases de datos PostgreSQL. Como MySQL, mejor detrás de un cortafuegos o una VPN.
6379RedisRedis, una base de datos en memoria. Sin contraseña, un Redis abierto es tomado en pocas horas.
6443KubernetesEl servidor de API de Kubernetes, que controla todo un clúster.
8080HTTP-AltPuerto HTTP alternativo: proxies, paneles de administración, servidores de desarrollo.
8443HTTPS-AltPuerto HTTPS alternativo, frecuente en páginas de administración de equipos y routers.
27017MongoDBBases de datos MongoDB. Miles de instancias abiertas sin contraseña han sido borradas por bots de rescate.
25565MinecraftServidores de Minecraft Java Edition: el caso clásico de redirección de puertos en un router doméstico.
32400PlexPlex Media Server, para ver tu biblioteca fuera de casa.

Sobre la comprobación de puertos

Una comprobación de puerto abre una conexión TCP a un puerto concreto e informa de si se completa. Donde el ping dice que una máquina responde, esto dice que un servicio concreto escucha y es accesible: la distinción que importa cuando una base de datos o una API no responden aunque el host haga ping.

El recorrido de una prueba de redirección de puertosLa prueba llega desde fuera, como cualquier visitante: tu router debe pasarla al dispositivo correcto, y ese dispositivo debe responder.
  1. Nuestro servidor de pruebasInternet, desde Falkenstein (Alemania)
    Abre una conexión TCP hacia203.0.113.42:25565
    Antes del router: CGNAT

    Tu operador comparte una IP pública entre varios clientes: la dirección WAN del router está en 100.64.0.0/10 o es privada. La prueba se queda en el operador y ninguna regla de tu lado puede arreglarlo.

    La prueba muestra: filtrado

  2. Tu routerEl único equipo que ve internet
    IP pública203.0.113.42
    Regla de redirección25565 → 192.168.1.20:25565
    Sin regla, o hacia la dirección local equivocada

    No hay regla para este puerto, o apunta a una dirección antigua del dispositivo (reasignada por DHCP): reserva su dirección en el router.

    Lo más habitual: filtrado

  3. El dispositivoAquí, un servidor de Minecraft
    Dirección local192.168.1.20
    Escucha enTCP 25565
    En el dispositivo: cortafuegos o servicio parado

    Su cortafuegos descarta la conexión, o el servicio está detenido o solo escucha en 127.0.0.1.

    Cortafuegos: filtrado. Sin servicio: cerrado.

Solo TCP: UDP no tiene handshake, así que un puerto mudo no demuestra nada.

los puertos habituales de scanme.nmap.org, un host que el proyecto Nmap ofrece para pruebas: SSH (22) y HTTP (80) abiertos, SMTP (25 y 465) filtrado, el resto cerrados.

Conviene distinguir tres resultados. Un puerto abierto completó el saludo: el servicio está activo y accesible desde fuera. Una conexión rechazada significa que algo respondió pero nada escucha, normalmente porque el servicio está parado. Un tiempo de espera agotado significa que nada respondió, lo que casi siempre apunta a un cortafuegos que descarta el tráfico en silencio más que a un servicio detenido.

Preguntas frecuentes

El puerto está abierto en local pero cerrado desde aquí. ¿Por qué?
Un cortafuegos, un grupo de seguridad, o el servicio escuchando en 127.0.0.1 en vez de 0.0.0.0. Los tres son idénticos desde dentro de la máquina y totalmente distintos desde fuera.
¿Rechazado o tiempo agotado: qué es peor?
Rechazado suele ser más fácil: el paquete llegó al host y nada escuchaba. Un tiempo agotado significa que el paquete desapareció, así que hay que investigar el servicio y toda la cadena de filtrado.
¿Puedo comprobar un puerto de mi red doméstica?
Sí, a través de su dirección pública: la que tu router muestra a internet, justo lo que necesita una prueba de redirección de puertos. Las direcciones privadas y locales (192.168.x.x, 10.x.x.x, 127.0.0.1) se rechazan a propósito: sondear rangos internos desde un servicio público es un riesgo, no una función.
¿Un puerto abierto significa que estoy expuesto?
Significa que el servicio es accesible. Que sea un problema depende de qué escucha y de cómo autentica. Una base de datos o un puerto de administración abiertos al mundo conviene cerrarlos hoy.
¿Cómo compruebo que mi redirección de puertos funciona?
Inicia primero el servicio en tu ordenador (el servidor de juegos, Plex, la cámara) y luego introduce aquí tu IP pública y el puerto: solo una prueba desde fuera demuestra la redirección. Abierto: el router redirige el puerto y el servicio responde. Rechazado: el router lo redirige, pero nada escucha en ese equipo. Tiempo agotado: normalmente el router no lo redirige, un cortafuegos lo descarta o tu operador te pone detrás de un CGNAT, donde la IP pública es compartida y no se puede redirigir ningún puerto.
¿Puedo probar un puerto UDP?
No, y ninguna herramienta en línea puede hacerlo de forma fiable. TCP tiene un saludo inicial, así que un puerto abierto se demuestra solo. UDP no lo tiene: un puerto cerrado suele quedarse callado también, así que el silencio no prueba nada. Muchos servidores de juegos y VPN (WireGuard, por ejemplo) usan UDP: para ellos, la prueba es conectarse con el cliente real desde fuera de tu red.

Guías relacionadas

Herramientas relacionadas

Para profundizar

Glosario de redes: ICMP, MSS, CGNAT

Ejecutar un traceroute visual hacia este host