Puertos abiertos, cerrados y filtrados: cómo interpretar una prueba
Una comprobación de puertos indica cómo se vio un intento de conexión desde una ubicación de red concreta. «Abierto», «cerrado» y «filtrado» son etiquetas de diagnóstico útiles, pero un único resultado no puede identificar todos los dispositivos implicados ni determinar si una aplicación es segura.
Qué significan las tres etiquetas
En TCP, abierto suele significar que el extremo remoto aceptó un intento de establecer una conexión. Cerrado normalmente significa un rechazo explícito: la dirección respondió, pero ningún servicio aceptó conexiones TCP en ese puerto. Filtrado, o sin respuesta, significa que el comprobador no obtuvo una respuesta concluyente antes de agotar su tiempo de espera. Un cortafuegos, un router o una red del recorrido pueden haber descartado la sonda o su respuesta. La etiqueta por sí sola no revela qué dispositivo lo hizo.
Las herramientas pueden usar sondas y términos distintos. UDP es especialmente difícil de clasificar por la ausencia de respuesta, porque no tiene una confirmación de conexión integrada. Puede existir un servicio UDP silencioso, y una comprobación TCP correcta no dice nada sobre UDP en el mismo número. Confirme qué transporte usa realmente la aplicación antes de cambiar las reglas.
Revise el camino hasta un servicio alojado en casa
Si aloja una aplicación en casa, compruebe primero que escucha en el puerto y la interfaz previstos. Un proceso vinculado solo a 127.0.0.1 acepta conexiones locales, pero no las solicitudes que llegan desde la red. A continuación, revise el cortafuegos del equipo y la regla de reenvío del router. Si el proveedor utiliza NAT de nivel de operador (CGNAT), su dirección IPv4 pública compartida puede no permitir conexiones entrantes arbitrarias hacia su router. En ese caso, cambiar una regla de reenvío en su propio dispositivo no basta.
Ejecute la comprobación de puertos abiertos de 2IP desde fuera de la red doméstica. Probar solo desde dentro puede inducir a error, porque el NAT loopback se comporta de forma distinta al tráfico entrante real. Compare el resultado externo con los registros locales de la aplicación. Si la solicitud llega y la aplicación devuelve un error, el problema puede estar en la capa de aplicación y no en el puerto.
Corrija el fallo sin abrir más de la cuenta
No desactive todo el cortafuegos para obtener un resultado en verde. Permita exactamente el protocolo y el puerto necesarios, restrinja las direcciones de origen permitidas cuando sea posible y mantenga actualizado el servicio expuesto. Un puerto abierto no es automáticamente una vulnerabilidad, pero permite intentos de conexión. Un resultado cerrado no demuestra que todo el dispositivo sea seguro: otros servicios pueden seguir siendo accesibles.
La guía sobre puertos de red explica los números de puerto, y la guía sobre cortafuegos trata las reglas de filtrado. Los nombres de estado de un escáner son una abreviatura útil solo si se leen junto con el tipo de sonda y la respuesta.
El registro de servicios de IANA enumera los números asignados y sus transportes. Una asignación no demuestra que el tráfico en ese puerto sea seguro, ni siquiera que pertenezca a la aplicación indicada.