Puertos conocidos y comandos de firewall: consulta y abre puertos

Una ficha por puerto con servicio, TCP o UDP, estado de IANA, rango de puertos y capa OSI, además de avisos de seguridad para puertos delicados y comandos listos para cinco firewalls. Para un servidor FiveM con ufw, por ejemplo: sudo ufw allow 30120/tcp, sudo ufw allow 30120/udp. Después, un clic en «Comprobar puerto» verifica si se puede acceder al puerto desde fuera.

Los puertos conocidos (puertos del sistema) van del 0 al 1023. La IANA los asigna a servicios estándar habituales como SSH (22), HTTP (80) y HTTPS (443). En Linux, un servicio en estos puertos necesita por defecto permisos de root o la capability CAP_NET_BIND_SERVICE. Por encima están los puertos registrados (1024 a 49151) y los puertos dinámicos (49152 a 65535).

Para administrar servidores y realizar pruebas de redes, como CompTIA Network+ o el examen alemán de la IHK, los principales son: 20/21 FTP, 22 SSH, 23 Telnet, 25 SMTP, 53 DNS, 67/68 DHCP, 80 HTTP, 110 POP3, 123 NTP, 143 IMAP, 161 SNMP, 389 LDAP, 443 HTTPS, 445 SMB, 465 y 587 para enviar correo, 993 IMAPS, 995 POP3S, 1433 Microsoft SQL Server, 3306 MySQL, 3389 RDP, 5432 PostgreSQL y 8080 como puerto HTTP alternativo. En total, los números de puerto van del 0 al 65535, por separado para TCP y UDP. La lista bajo la herramienta muestra los puertos más importantes con su categoría y permite cambiar a los puertos asignados por IANA.

TCP establece una conexión antes de transmitir y garantiza que todos los datos lleguen completos y en el orden correcto, por ejemplo, en páginas web, correos y SSH. UDP envía paquetes sin establecer conexión ni confirmar la recepción; es más rápido y resulta adecuado para consultas DNS, voz y juegos. Cada regla de firewall se aplica a un solo protocolo, por lo que un servicio como FiveM necesita dos reglas.

Depende del firewall: en Ubuntu y Debian, normalmente con ufw (sudo ufw allow 443/tcp); en Rocky Linux, AlmaLinux y RHEL, con firewalld (sudo firewall-cmd --permanent --add-port=443/tcp y después --reload). Si no usas una interfaz, puedes utilizar iptables o nftables directamente. La herramienta genera los comandos para estos cuatro firewalls, también para un rango de puertos o solo para una IP concreta.

La forma más rápida es usar New-NetFirewallRule en una PowerShell como administrador, por ejemplo: New-NetFirewallRule -DisplayName „Port 443 TCP“ -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow. Con Remove-NetFirewallRule y el mismo nombre puedes eliminar la regla. La herramienta genera ambos comandos por ti.

En el servidor, sudo ss -tulpn muestra qué servicio escucha en cada puerto. Para comprobar si el puerto también es accesible desde fuera, usa el comprobador: el botón «Comprobar puerto» lo abre con tus puertos. Si un puerto está cerrado, puede que el servicio no esté en ejecución, que solo escuche en localhost o que un firewall lo bloquee.

Las bases de datos (3306, 5432, 6379, 27017), el escritorio remoto (3389), los recursos compartidos de Windows (445), la API de Docker (2375) y las interfaces de administración no deben estar expuestos a Internet. Permite el acceso solo desde una IP concreta o accede mediante VPN o un túnel SSH. Telnet (23) y FTP (21) transmiten las contraseñas en texto sin cifrar y han sido sustituidos por SSH y SFTP.

Sí. Cambia el origen a «IP específica» e introduce una dirección IPv4 o IPv6, o una red en notación CIDR, como 203.0.113.10 o 198.51.100.0/24. La herramienta valida la entrada e incorpora la dirección a las reglas: en ufw, como from … to any port; en iptables, con -s; en nftables, con saddr; en firewalld, como Rich Rule; y en Windows, con -RemoteAddress. La plantilla «Base de datos» establece automáticamente el origen en «IP específica».

Activa «Mostrar comandos para volver a cerrar los puertos»: ufw elimina la regla con sudo ufw delete allow; iptables usa -D en vez de -I; firewalld usa --remove-port o --remove-rich-rule y --reload; Windows usa Remove-NetFirewallRule con el mismo nombre. En nftables, muestra la cadena con sudo nft -a list chain inet filter input y elimina la regla mediante su número de handle. Para conservar las reglas: guarda las de iptables con sudo netfilter-persistent save (paquete iptables-persistent); firewalld las guarda con --permanent; en nftables, la regla debe figurar en /etc/nftables.conf.