Guía
¿Qué es un puerto TCP abierto?
Los servicios en internet escuchan en puertas numeradas llamadas puertos. Un puerto TCP abierto significa que algo aceptó una conexión desde fuera.
Por qué importa
El reenvío de puertos solo funciona si internet público puede completar la negociación TCP hacia ese puerto. Un comprobador desde fuera de tu LAN es la forma de verificarlo.
Los puertos abiertos inesperados (escritorio remoto, bases de datos, API de Docker) son una vía habitual por la que los atacantes encuentran servicios expuestos.
Los puertos son solo números
HTTPS suele usar el 443, SSH el 22 y el correo el 25 o el 587. El número es una convención; el programa que escucha decide qué pasa después de conectar.
Un mismo host puede tener muchos puertos abiertos. Cada uno es una puerta distinta.
Abierto
El servicio aceptó una conexión
- Internet
- Host:puerto
- El servicio responde
Cerrado o filtrado
Rechazo, o silencio de un cortafuegos
- Internet
- Cortafuegos o nadie escuchando
- Ningún servicio usable
Abierto, cerrado, filtrado
Abierto: la negociación tuvo éxito. Cerrado: el host rechazó. Filtrado: no hay una respuesta clara, a menudo porque un cortafuegos descartó el paquete.
Filtrado no demuestra que el servicio esté caído para todas las redes. Solo describe este punto de observación.
Cómo comprobarlo
Usa un comprobador de puertos TCP en línea contra tu IP pública después de configurar el reenvío. Si puedes, prueba desde una red que no sea tu propia LAN.
Escanea solo máquinas que te pertenezcan o para las que tengas permiso.
Recuerda
- Una comprobación desde una red no es una comprobación desde todas las redes.
- El CGNAT puede hacer imposible el reenvío doméstico sin ayuda extra del ISP.
- Los servicios UDP necesitan otro tipo de sonda.
- Escanear sin autorización puede ir contra la ley o contra las condiciones del host.
