Puertos TCP y UDP más comunes: para qué sirve cada uno y cuáles no abrir a internet

Un puerto es el número que, junto con la dirección IP, dice a qué servicio va una conexión. La IP lleva el tráfico hasta el equipo, y el puerto hasta el programa concreto: el servidor web, el de correo o el escritorio remoto. Quien reparte esos números es IANA, la organización que gestiona los registros técnicos de internet, en su registro oficial de nombres de servicio y números de puerto.

Los tres rangos

La RFC 6335 divide los 65.536 puertos, del 0 al 65.535, en tres tramos:

Los dinámicos son los que usa tu propio equipo como origen de sus conexiones. No identifican un servicio: sirven para conexiones temporales.

TCP y UDP

Cada puerto existe por separado en TCP y en UDP, los dos protocolos de transporte más usados. No funcionan igual:

• TCP, cuya especificación actual es la RFC 9293, abre una conexión entre los dos extremos antes de enviar datos y se encarga de que lleguen completos y en orden. Lo usan la web, el correo, SSH o el escritorio remoto.
• UDP, definido en la RFC 768, envía mensajes sueltos sin abrir conexión. Su propia especificación avisa de que no garantiza la entrega ni evita los duplicados. A cambio es más ligero, y lo usan servicios como DNS, la hora de red (NTP) o muchas VPN.

Para el cortafuegos, la diferencia importa: una regla para el puerto 53 en TCP no abre el 53 en UDP. Hay que indicar siempre el protocolo.

Los puertos más habituales

Estos son los que más se ven en una red de empresa, con el nombre que les da el registro de IANA:

IANA registra la mayoría de estos servicios a la vez en TCP y en UDP; para abrirlos en el cortafuegos, la documentación de cada programa dice cuál usa de verdad. Y que un puerto esté asignado a un servicio no obliga a nadie: un programa puede escuchar en el puerto que quiera. Por eso un cortafuegos que solo mira el número no sabe con certeza qué aplicación pasa por él, y un NGFW intenta reconocerla por el propio tráfico.

El 443, el 22, el 3389 y el 8080

• 443: es el puerto de HTTPS, la web cifrada. Que el tráfico vaya por el 443 no garantiza que sea web: la guía #StopRansomware de CISA cita casos de atacantes que han metido túneles de SSH por él para sacar datos.
• 22: SSH, el acceso remoto cifrado a servidores y equipos de red. La NSA lo prefiere, en su versión 2, para administrar equipos a distancia. Que esté cifrado no significa que deba estar abierto a internet.
• 3389: el escritorio remoto de Windows. CISA pide no exponerlo a internet y desactivarlo donde no se use.
• 8080: IANA lo registra como HTTP alternativo, es decir, web sin cifrar en otro número. Si aparece abierto, conviene saber qué programa hay detrás y si debería estar ahí.

Los que no deberían estar abiertos a internet

Dos fuentes oficiales lo dicen claro:

• CISA, en su guía contra el ransomware: no exponer servicios como el escritorio remoto (3389) y bloquear en el cortafuegos de internet el 445 de SMB, de entrada y de salida, y los 137, 138 y 139 de NetBIOS.
• La NSA, en su guía de seguridad de infraestructura de red: desactivar la administración en texto claro, como Telnet (23), HTTP (80), FTP (21) y SNMP en sus versiones 1 y 2c, porque cualquiera que capture el tráfico puede leer usuarios y contraseñas. En su lugar, SSH versión 2 y HTTPS con TLS 1.2 o superior.

Esto es criterio de esta web, a partir de lo anterior: tampoco deberían verse desde internet las bases de datos (como el 3306), el control remoto de escritorio (5900) ni los paneles de administración del cortafuegos, del router o de otros equipos. Si hay que entrar desde fuera, mejor a través de una VPN o un acceso ZTNA. Lo que sí tiene que publicarse, como una web propia, va mejor en una DMZ.