Cómo comprobar si un puerto está abierto (desde fuera de tu red) | Check Host
Aprende a comprobar si un puerto TCP como el 22, 443, 3389 o 25565 está abierto y accesible desde Internet, y cómo resolver las causas habituales si no lo está.
Has arrancado un servidor, abierto el puerto en el cortafuegos, redirigido el puerto en el router… y nadie puede conectarse. Probar el puerto desde tu propio equipo no sirve: se salta el router, el proveedor y todos los cortafuegos intermedios. Para saber si un puerto está realmente abierto, hay que probarlo desde fuera.
Qué significa realmente "abierto"
Un puerto TCP está abierto cuando algo escucha en él y una conexión desde Internet puede completar el saludo TCP (handshake). Deben cumplirse las tres cosas:
- Un programa escucha en ese puerto, en la interfaz correcta (no solo en
127.0.0.1).
- El cortafuegos del host permite conexiones entrantes en ese puerto.
- Cada dispositivo de red delante del host (router, NAT, grupo de seguridad en la nube) reenvía o permite el tráfico.
Pruébalo desde muchos países a la vez
El comprobador de puertos intenta un saludo TCP con tu host y puerto desde servidores de todo el mundo e informa del tiempo de conexión de cada uno. Introduce un nombre de host o IP y un puerto, por ejemplo example.com y 443.
- Conecta en todas partes: el puerto está abierto a Internet.
- Tiempo agotado en todas partes: los paquetes se descartan en silencio, normalmente por un cortafuegos o una redirección de puertos que falta.
- Rechazado en todas partes: el host es accesible, pero nada escucha en ese puerto.
- Resultados mixtos: geobloqueo, un problema de enrutamiento regional o una protección DDoS que filtra algunas redes.
Puertos habituales
| Puerto | Servicio |
|---|
| 22 | SSH |
| 25 / 587 | SMTP (correo) |
| 80 / 443 | HTTP / HTTPS |
| 3306 / 5432 | MySQL / PostgreSQL |
| 3389 | Escritorio remoto de Windows |
| 25565 | Servidor de Minecraft Java |
Por qué un puerto aparece cerrado
- Escucha solo en localhost. Compruébalo con
ss -tlnp (Linux) o netstat -an (Windows); la dirección local debe ser 0.0.0.0 o ::, no 127.0.0.1.
- Cortafuegos del host. ufw, firewalld, iptables o el Firewall de Windows Defender lo bloquean.
- Grupo de seguridad en la nube. AWS, GCP, Azure y la mayoría de proveedores de VPS tienen su propio cortafuegos delante de la máquina.
- Falta la redirección de puertos. Detrás de un router doméstico, el puerto debe redirigirse a la IP local de tu equipo.
- CGNAT. Muchos proveedores comparten una IP pública entre clientes. Si la IP WAN de tu router no coincide con tu IP pública (mira la búsqueda de IP), la redirección de puertos no puede funcionar.
- Bloqueo del proveedor. Los proveedores domésticos suelen bloquear el 25, y a veces el 80 o el 445.
Solo se prueba TCP
Una comprobación TCP no puede decir si un puerto UDP (DNS en el 53, WireGuard, muchos servidores de juegos) está abierto: UDP no tiene saludo, así que un puerto silencioso y uno filtrado parecen iguales. Prueba los servicios UDP con un cliente de ese protocolo.