Puertos conocidos y su significado

Un puerto es un número de 16 bits que indica a un ordenador qué programa debe recibir los datos de red entrantes. La dirección IP localiza el equipo correcto y el puerto localiza el servicio correcto dentro de ese equipo, por ejemplo el 443 para HTTPS o el 25 para la entrega de correo. Los puertos van del 0 al 65535, y un servicio «escucha» en un puerto hasta que un cliente se conecta.

Qué es un puerto

Una conexión se identifica por cinco valores: el protocolo (TCP o UDP), la dirección y el puerto de origen, y la dirección y el puerto de destino. El navegador elige un puerto de origen aleatorio para cada conexión, pero el puerto de destino lo fija el servicio. Por eso los números de puerto estándar son importantes: un navegador sabe que https:// significa el puerto 443 sin que nadie se lo indique.

TCP y UDP

• TCP está orientado a conexión. Establece una conexión, numera los datos, retransmite las partes perdidas y las entrega en orden. La web, el correo, SSH y las bases de datos usan TCP.
• UDP envía datagramas independientes, sin conexión y sin retransmisión. Tiene menos latencia y menos sobrecarga. Las consultas DNS, DHCP, NTP y muchos servicios de voz y vídeo usan UDP.

El puerto TCP 80 y el puerto UDP 80 son cosas distintas. Algunos servicios usan ambos, por ejemplo DNS en el puerto 53. Para saber más sobre cómo encajan las capas, consulte el modelo OSI.

Rangos de puertos

La Internet Assigned Numbers Authority (IANA) divide los puertos en tres rangos:

Rango	Nombre	Uso
0 – 1023	Puertos conocidos (de sistema)	Servicios básicos como HTTP, SSH y SMTP. En sistemas tipo Unix, solo los procesos con privilegios pueden escuchar aquí.
1024 – 49151	Puertos registrados	Aplicaciones registradas en IANA, por ejemplo MySQL (3306) y PostgreSQL (5432).
49152 – 65535	Puertos dinámicos (efímeros)	Puertos de origen temporales elegidos por los clientes. Algunos sistemas operativos usan otro rango por defecto; por ejemplo, Linux usa 32768 – 60999.

El registro no es una garantía. Cualquier programa puede escuchar en cualquier puerto libre, y algunos servicios funcionan en puertos no estándar, como SSH en el 2222.

Puertos habituales y para qué se usan

Cómo comprobar si un puerto está abierto

Puede probar un puerto desde el exterior con nuestro comprobador de puertos. Intenta abrir una conexión TCP al equipo y al puerto que indique, y devuelve uno de tres resultados:

• Abierto: un servicio aceptó la conexión. El equipo es alcanzable y hay algo escuchando.
• Cerrado: el equipo respondió, pero rechazó la conexión (un TCP reset). La ruta de red funciona, pero ningún programa escucha en ese puerto.
• Filtrado: no llegó respuesta antes del tiempo de espera. Probablemente un cortafuegos descarta los paquetes en silencio. También puede significar que el equipo está apagado.

Desde su propio ordenador puede probar con estos comandos:

Test-NetConnection -ComputerName example.com -Port 443   (Windows PowerShell)
nc -vz example.com 443                                     (Linux, macOS)
ss -tlnp                                                   (Linux: list local listening ports)
netstat -ano                                               (Windows: list local connections)

Probar UDP es más difícil, porque la falta de respuesta puede significar tanto «abierto» como «filtrado». Por eso los comprobadores de puertos en línea suelen probar solo TCP.

Seguridad: puertos que no debe exponer

Cada puerto abierto es una posible puerta de entrada. Abra solo lo necesario y cierre el resto. Algunos servicios casi nunca deberían ser accesibles desde toda internet:

• Telnet (23): envía las contraseñas en texto claro. Use SSH (22) en su lugar.
• SMB (445) y NetBIOS (137-139): uso compartido de archivos de Windows. Ha sido objetivo de numerosos gusanos y ataques de ransomware. No lo exponga nunca a internet.
• RDP (3389): el escritorio remoto es un objetivo habitual de ataques de adivinación de contraseñas. Colóquelo detrás de una VPN o de una pasarela con autenticación multifactor.
• Bases de datos: MySQL (3306), PostgreSQL (5432), SQL Server (1433), MongoDB (27017), Redis (6379) y Elasticsearch (9200). Permita el acceso solo a los servidores de aplicaciones que los necesiten.
• FTP (21): sin cifrar. Use SFTP o FTPS.
• SSH (22): es aceptable si usa claves, desactiva el acceso con contraseña y limita las direcciones de origen, pero espere intentos de acceso automatizados constantes.

Reglas generales: deniegue por defecto todo el tráfico entrante y permita solo puertos concretos; limite por dirección de origen siempre que sea posible; mantenga actualizado el software que hay detrás de cada puerto; y analice sus propios servidores con regularidad para comparar lo que está abierto con lo que espera. Un puerto abierto sin motivo conocido debe investigarse.

Lecturas relacionadas

Para ver cómo se relacionan los puertos con las direcciones IP, lea qué es una dirección IP. Para probar un servicio concreto ahora mismo, use el comprobador de puertos.