La prueba de arriba hace lo mismo que haría cualquiera desde Internet: intenta abrir una conexión con tu IP pública en el puerto que elijas. Si algo contesta, el puerto está abierto: tu router lo deja pasar y hay un programa escuchando detrás. Debajo tienes qué es un puerto, cómo abrirlo en el router y por qué a veces sale cerrado aunque lo hayas abierto.
Qué es un puerto
Tu IP pública dice a qué conexión va un paquete; el puerto dice a qué programa de esa conexión. Es un número del 1 al 65535. Un servidor web escucha en el 443, uno de Minecraft en el 25565 y el escritorio remoto de Windows en el 3389. Hay dos protocolos con sus propios puertos: TCP, que abre una conexión antes de enviar nada, y UDP, que manda los paquetes sin más.
Tu router no deja entrar conexiones por su cuenta. Cuando alguien de fuera llama a tu IP en un puerto, el router no sabe a cuál de tus equipos mandarlo y lo descarta. «Abrir un puerto» es decirle: lo que llegue al puerto 25565, pásalo al ordenador 192.168.1.40.
Qué significa cada resultado
| Resultado | Qué ha pasado | Qué quiere decir |
|---|---|---|
| Abierto | Algo ha aceptado la conexión | El puerto llega a un programa. Si no lo esperabas, ciérralo. |
| Cerrado | El router o el equipo ha rechazado la conexión | La conexión llega, pero no hay redirección o no hay nada escuchando. |
| Sin respuesta | Nadie ha contestado en 3,5 segundos | Un cortafuegos descarta la conexión. Es lo normal en un router que no tiene ese puerto abierto. |
Cómo abrir un puerto en el router
Los menús cambian con cada modelo, pero los pasos son siempre estos:
- Dale una IP fija al equipo dentro de tu red. Si el router le cambia la IP local, la regla deja de apuntar a él. Lo más limpio es una reserva DHCP en el router («IP estática», «Lease estático» o «Reserva de dirección»), ligada a la dirección MAC del equipo.
- Entra en el router. Normalmente en 192.168.1.1 o en 192.168.0.1; si no, busca la IP de tu router.
- Busca el menú de puertos. Se llama «NAT», «Port forwarding», «Redirección de puertos», «Servidor virtual» o «Reenvío de puertos».
- Crea la regla: un nombre, el protocolo (TCP, UDP o ambos), el puerto externo, la IP local del equipo y el puerto interno, que casi siempre es el mismo.
- Guarda y comprueba. Con el programa en marcha, prueba el puerto aquí arriba.
Tienes los pasos con el router de cada operador en sus guías: Movistar, Vodafone, Orange, Digi, MásMóvil, Yoigo y O2.
Por qué sale cerrado aunque lo hayas abierto
- No hay nada escuchando. Un puerto solo sale abierto si un programa lo atiende. Con el servidor o el juego cerrado, la redirección es correcta pero la prueba dice cerrado. En Windows lo ves con
netstat -ano | findstr LISTENING; en Linux, conss -tln. - El cortafuegos del equipo lo bloquea. El de Windows pregunta la primera vez que un programa escucha; si dijiste que no, o solo marcaste «Redes privadas», la conexión de fuera no entra.
- Tienes CG-NAT. Si tu operador comparte tu IPv4 con otros clientes, el bloqueo está en su equipo y no en tu router: ningún puerto IPv4 llega a tu casa. Compruébalo y mira cómo salir.
- Hay dos routers en cascada. Si tienes un router tuyo detrás del del operador, hay que abrir el puerto en los dos, o poner el del operador en modo puente.
- La IP local del equipo ha cambiado. Si no hiciste la reserva DHCP, la regla puede estar apuntando a otro dispositivo.
- Lo pruebas desde dentro de tu red. Muchos routers no saben devolver a tu propia red una conexión a tu IP pública (lo que se llama NAT loopback), así que desde casa parece cerrado aunque desde fuera esté abierto. Esta prueba se hace desde fuera, desde los servidores de Cloudflare.
En IPv6 cada dispositivo tiene su propia dirección pública, así que no hay que redirigir nada: basta con permitir ese puerto en el cortafuegos IPv6 del router para ese equipo. Si tu navegador entra en esta web por IPv6, la prueba comprueba ese cortafuegos.
Puertos habituales
| Puerto | Protocolo | Para qué |
|---|---|---|
| 80 y 443 | TCP | Servidor web (HTTP y HTTPS) |
| 22 | TCP | SSH, acceso remoto por terminal |
| 3389 | TCP y UDP | Escritorio remoto de Windows |
| 21 | TCP | FTP |
| 8080 | TCP | Web alternativa: paneles, proxies, cámaras |
| 25565 | TCP | Servidor de Minecraft (edición Java) |
| 32400 | TCP | Plex Media Server |
| 8123 | TCP | Home Assistant |
| 5000 y 5001 | TCP | NAS Synology (DSM por HTTP y HTTPS) |
| 51820 | UDP | WireGuard |
| 3074 | TCP y UDP | Xbox Live |
| 3478 a 3480 | TCP (3478 y 3479 también en UDP) | PlayStation Network |
Lo que esta prueba no puede ver
Solo comprueba TCP. En UDP no hay conexión que abrir: un paquete UDP que llega a un puerto abierto puede no recibir respuesta, igual que uno que se pierde, y desde fuera no se distinguen. WireGuard y buena parte del tráfico de las consolas van por UDP; para esos, lo fiable es probar el propio servicio desde fuera, por ejemplo con los datos móviles.
No puede probar el puerto 25, el del correo, porque Cloudflare no permite conexiones salientes a ese puerto. Tampoco sirve con WARP o Tor: probaría su red, no la tuya. Y si usas una VPN, comprueba los puertos de la VPN, no los de tu casa.
Antes de abrir un puerto
Cada puerto abierto es una puerta que cualquiera puede probar. Hay programas que recorren Internet entero buscando escritorios remotos, cámaras o NAS expuestos, y lo hacen en cuestión de horas. Abre solo lo que necesites, mantén actualizado el programa que escucha y usa contraseñas largas. Para entrar en tu red desde fuera es más seguro montar una VPN propia, como WireGuard, que abrir el escritorio remoto o el panel del NAS.
Desconfía también de UPnP, la función del router que deja a los programas abrir puertos solos. Es cómoda para las consolas, pero cualquier programa de tu red, también uno malicioso, puede usarla. Si no la necesitas, desactívala en el router y revisa de vez en cuando qué puertos tiene abiertos.
Cómo funciona la prueba
Tu navegador pide a nuestro servidor un permiso de dos minutos, ligado a tu IP y a los puertos que eliges. Con ese permiso, un servicio de Cloudflare intenta abrir una conexión TCP con tu IP en cada puerto: si se establece, la cierra al momento sin enviar nada. Nuestro servidor no se conecta contigo, y el servicio de Cloudflare solo puede conectar con la IP que hace la petición, así que no sirve para probar puertos de otras personas. No guardamos ni los puertos que compruebas ni el resultado.