Abrir un puerto es decirle al router: «lo que llegue de internet a este puerto, mándalo a este equipo de casa o de la oficina». Sirve para una consola, una cámara o un servidor, pero deja ese equipo al alcance de cualquiera. Aquí está cómo se hace y qué cuidar.
Foto: Kadir Altıntaş, en Pexels
Por defecto, un router o un cortafuegos no deja que nadie desde internet inicie una conexión hacia tu red. Es lo que te protege de quien recorre internet buscando equipos a los que entrar. Abrir un puerto es hacer una excepción a esa regla, y por eso conviene saber exactamente qué se está abriendo.
La documentación de pfSense lo define con precisión: el port forwarding es un tipo de NAT de entrada que da acceso a un puerto, un rango de puertos o un protocolo de un equipo de la red interna. La regla cambia el destino del paquete y lo reenvía al nuevo destino. Según el fabricante, también se le llama NAT de destino o NAT de entrada, y en FortiGate se hace con una «IP virtual» (VIP).
Hace falta porque todos los equipos de tu red salen a internet con una sola dirección pública, como se explica en la guía de NAT. Cuando llega una conexión nueva desde fuera, el router no sabe a cuál de ellos mandarla. La regla se lo dice.
INCIBE indica que la opción suele estar en los apartados NAT, Port Forwarding u Opciones avanzadas del router, y resume los campos más habituales:
| Campo | Qué poner |
|---|---|
| Nombre | Para qué es la regla. Solo informativo. |
| IP de LAN | La dirección local del equipo que debe recibir las conexiones. |
| IP de WAN | La dirección pública del router. Suele venir rellena o se deja en blanco. |
| Puertos WAN | El puerto o el rango que se abre hacia fuera. |
| Puertos LAN | Normalmente, los mismos. |
| Protocolo | TCP, UDP o los dos. Lo dice la aplicación o el servicio que lo necesita. |
Después hay que guardar y, en algunos routers, reiniciar. Qué puerto usa cada servicio está en la guía de puertos TCP y UDP comunes.
Movistar explica en su blog que se hace desde el Portal Alejandra, la web de configuración del router, entrando con la cuenta de Movistar. En el apartado Puertos hay dos formas:
La IP local de cada equipo se ve en la app Smart WiFi, en la pestaña Dispositivos; la 192.168.1.1 es la del propio router. Para juegos, la misma app tiene un modo gaming: en el perfil del dispositivo, Servicios Smart WiFi, Gestionar Gaming y Priorizar, que abre los puertos y da prioridad a su tráfico. En otros routers los nombres cambian, pero los datos son los mismos.
En un cortafuegos de empresa la idea es la misma, con una diferencia importante: la redirección y el permiso son dos reglas distintas.
Más sobre estos equipos en la guía de pfSense y OPNsense y en la de Fortinet FortiGate.
La documentación de pfSense es clara con el riesgo: el cortafuegos no distingue un paquete con contenido malicioso de uno legítimo cuando llega a un puerto abierto. Lo que limita la exposición es lo estrecha que sea la regla. De ahí salen estos consejos, todos de las fuentes citadas:
Dos límites prácticos, también de la documentación de pfSense. Con una sola IP pública, cada puerto solo se puede reenviar a un equipo: si hay dos servidores web, el segundo tendrá que usar otro puerto, como el 8080. Y una redirección tiene prioridad sobre los servicios del propio cortafuegos: si se reenvía el 443, puede dejar de verse su panel web desde fuera por ese puerto.
Esto es criterio de esta web, a partir de las fuentes anteriores. Antes de abrir más puertos, conviene comprobar estas cuatro cosas:
Es una regla de NAT de entrada: el router cambia el destino de los paquetes que llegan a un puerto de su dirección pública y los manda a un equipo de la red interna. La documentación de pfSense recuerda que también se llama NAT de destino o NAT de entrada.
Deja el equipo de destino accesible desde internet en ese puerto. La documentación de pfSense avisa de que el cortafuegos no distingue un paquete malicioso de uno legítimo en un puerto abierto, así que ese equipo tiene que estar protegido por sí mismo. CISA pide cerrar los puertos que no se usan, como el del escritorio remoto.
Según INCIBE, suele estar en los apartados NAT, Port Forwarding u Opciones avanzadas. En los routers de Movistar, en el apartado Puertos del Portal Alejandra.
Las causas habituales son que el equipo de destino cambió de dirección IP local, que su propio cortafuegos bloquea la conexión, que el servicio no está en marcha o que tu operador usa CGNAT, en cuyo caso la redirección del router no basta. Para comprobarlo desde fuera está la guía de puertos abiertos.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
