¿Qué puertos están abiertos en mi red? Cómo comprobarlo y cuáles cerrar
Qué es un puerto abierto, cómo ver cuáles exponen el router, la impresora, el NAS y los PC, cuáles son arriesgados en una red doméstica o de una pequeña oficina, y cómo cerrarlos.
Qué es en realidad un puerto abierto
Cualquier dispositivo de la red puede ofrecer servicios: una página web para configurarlo, compartir archivos, escritorio remoto, imprimir. Cada servicio escucha en un puerto numerado: la web en el 80 y el 443, compartir archivos en el 445, el escritorio remoto en el 3389. Un puerto está abierto cuando algo en el dispositivo responde ahí.
Un puerto abierto no es un problema en sí mismo. Tu impresora tiene que responder en su puerto de impresión, y tu router tiene que responder en el 53 para resolver nombres para todos. El problema es un puerto abierto que nadie necesita, o uno que ofrece una entrada antigua, sin cifrar o con una contraseña fácil de adivinar. La mayoría de las intrusiones en redes domésticas y de pequeñas oficinas empiezan justo ahí: un servicio olvidado, todavía con la configuración de fábrica.
Desde dentro o desde fuera: dos preguntas distintas
Hay dos sitios desde los que mirar, y responden a preguntas distintas.
- Desde dentro de tu red ves todo lo que cada dispositivo ofrece a los que tiene alrededor: la página web de la impresora, las carpetas compartidas del NAS, el escritorio remoto del PC. Es lo que podría alcanzar el móvil de un invitado, o un enchufe inteligente comprometido.
- Desde internet solo ves lo que tu router deja pasar: normalmente nada, salvo que alguien haya configurado una redirección de puertos o activado UPnP, que permite a los dispositivos abrir puertos en el router por su cuenta.
Las dos importan. Empieza por dentro, porque es donde están la mayoría de las sorpresas, y después revisa el propio router.
Cómo comprobarlo desde dentro
Un escáner de puertos llama a una serie de puertos de un dispositivo y anota cuáles responden. Tres decisiones marcan cuánto tarda y qué encuentra:
- El objetivo. Empieza por el router (la puerta de enlace, normalmente
192.168.1.1o192.168.0.1) y sigue con los dispositivos que más te importan: el NAS, los PC, las cámaras. - Qué puertos. Las pocas decenas de puertos comunes cubren casi todos los servicios que encontrarás en casa o en la oficina, y tardan segundos. El rango completo de puertos conocidos, 1–1024, es más exhaustivo. Una lista personalizada sirve cuando buscas algo concreto.
- TCP y UDP. La mayoría de los servicios usan TCP, pero algunos importantes usan UDP —DNS, NTP, SNMP, NetBIOS— y muchos escáneres se los saltan. Un puerto UDP solo cuenta como abierto si el dispositivo responde de verdad, así que un buen escáner envía una petición real para cada protocolo en lugar de adivinar.
Qué puertos merecen atención
En una red doméstica o de una pequeña oficina, estos merecen una segunda mirada:
| Puerto | Servicio | Por qué importa |
|---|---|---|
| 21, 23 | FTP, Telnet | Protocolos antiguos que envían las contraseñas en claro. Hoy rara vez hacen falta. |
| 80 | Web sin cifrar | Vale para la página de estado de una impresora; peor para la página de acceso del router. |
| 445, 139 | Compartir archivos de Windows (SMB) | La vía clásica por la que el malware salta de un PC a otro. Limítalo a los equipos que de verdad comparten archivos. |
| 3389 | Escritorio remoto | Atacado sin parar cuando es accesible desde internet. Dentro, déjalo solo en los PC que lo necesitan. |
| 5900 | VNC | Control remoto, a menudo con una contraseña débil o sin ella. |
| 1900, 5000 | UPnP | Permite a los dispositivos abrir puertos en el router por su cuenta. |
| 161 | SNMP | Útil para supervisar, pero con la comunidad predeterminada public cualquiera en la red puede leer el dispositivo. |
| 554, 8000, 8080 | Cámaras y páginas de administración | Las cámaras y aparatos baratos suelen venir con contraseñas predeterminadas. |
Lo que buscas es algo que no encaje: un servicio en un dispositivo que no tiene motivo para ofrecerlo, o un servicio que no sabías que estaba ahí.
Cómo cerrar lo que no necesitas
- Desactiva el servicio en el propio dispositivo. Un puerto se cierra cuando nada escucha en él: desactiva Telnet en el router, compartir archivos en un PC que no comparte nada, la interfaz web de una cámara que solo usas desde su app.
- Quita del router las redirecciones de puertos que ya no usas y desactiva UPnP, salvo que una consola o una app lo necesiten de verdad.
- Cambia las contraseñas predeterminadas de todo lo que mantenga abierta una página de administración o un acceso remoto: router, NAS, cámaras, impresoras.
- Actualiza el firmware: muchos servicios antiguos se corrigen o se eliminan en las versiones nuevas.
- Pasa los aparatos a la red de invitados, si tu router tiene una, para que una cámara o un enchufe inteligente no puedan llegar a tus PC.
Después vuelve a escanear. La lista debería ser más corta, y cada línea debería ser algo que sabes explicar.
Hacerlo con NetBlade en el iPhone
NetBlade para iPhone y iPad hace la comprobación desde el bolsillo, sin cuenta:
- la pestaña Puertos escanea cualquier dispositivo: escribe una dirección o toca Usar puerta de enlace para el router, y elige Comunes, 1–1024 o Personalizado;
- cada puerto abierto aparece con servicio, una breve descripción y un nivel de riesgo, TCP y UDP lado a lado, con sondas UDP reales para DNS, NTP, TFTP, mDNS, NetBIOS y SNMP;
- Buscar CVE junto a un puerto abre la National Vulnerability Database para ese servicio;
- en la pestaña LAN, los detalles de cada dispositivo convierten sus puertos abiertos en una puntuación de seguridad sobre 100, con un consejo para cada hallazgo;
- puedes compartir el resultado desde la barra superior.
El escaneo de puertos y la puntuación de seguridad son gratis. Escanea una vez el router y tus dispositivos más importantes, cierra lo que no reconozcas y deja la red guardada: la próxima vez que abras la app, su historial te mostrará qué ha cambiado.