Cómo funciona esta herramienta
Introduce un nombre de host o una dirección IP. Nuestro servidor de sondeo, una máquina dedicada a pruebas de red activas, intenta una conexión TCP a cada puerto de una lista de puertos de uso común, en paralelo, con un tiempo límite global corto. El resultado es una tabla de puertos con su estado y el servicio normalmente asociado a cada uno. La herramienta es gratuita y no necesita cuenta.
Un escaneo TCP connect es el tipo de escaneo más simple y honesto: la sonda completa el handshake normal en cada puerto exactamente como lo haría un cliente, y luego cierra la conexión sin enviar datos. No hay paquetes manipulados ni intento de evadir nada. Los estados son los mismos que en el verificador de puertos: abierto cuando un programa aceptó la conexión, cerrado cuando el host la rechazó, filtrado cuando nada respondió dentro del tiempo límite.
La lista de puertos cubre lo que importa en la mayoría de los hosts: servidores web en 80, 443, 8080 y 8443; correo en 25, 465, 587, 110, 143, 993 y 995; acceso remoto en 22, 23 y 3389; transferencia de archivos en 21 y 445; bases de datos en 3306, 5432, 1433, 6379 y 27017; DNS en 53; y una selección de puertos de aplicaciones, VPN y juegos. Se prueban hasta 50 puertos por ejecución.
La sonda se niega a escanear rangos de direcciones privadas y reservadas y sus propias redes, y cada visitante tiene límite de frecuencia. El escaneo está pensado para comprobar tu propio servidor, router o conexión doméstica, y los límites por visitante están fijados para ese uso, no para escanear internet.
Cómo leer el resultado
La tabla lista cada puerto, su estado y el servicio que suele ejecutarse ahí. Solo se mide el estado; el nombre del servicio es la asignación convencional de ese número de puerto, y un host puede ejecutar cualquier cosa en cualquier puerto.
Los puertos abiertos son los que hay que revisar. Cada uno es un programa que acepta conexiones de toda internet. En un servidor web, 80 y 443 abiertos es lo esperado. En una conexión doméstica, un puerto abierto que no reenviaste deliberadamente merece atención: un router con administración remota activada, una cámara o servidor multimedia con UPnP, un dispositivo con un servicio por defecto aún encendido.
Los puertos cerrados te dicen que el host es alcanzable y simplemente no tiene nada escuchando ahí. Un host que muestra todos los puertos cerrados y ninguno filtrado está activo pero no tiene filtrado de paquetes delante, lo que es inusual en cualquier cosa que no sea un servidor pelado.
Los puertos filtrados significan que un firewall o router descartó los paquetes de la sonda. En una conexión doméstica el panorama normal es todos los puertos filtrados: el router descarta el tráfico no solicitado por defecto. En un servidor, una mezcla de unos pocos puertos abiertos y todo lo demás filtrado significa que hay un firewall instalado y configurado.
Un escaneo que no muestra más que resultados filtrados, incluso en puertos que sabes abiertos, normalmente significa que el host bloquea la dirección de nuestra sonda o que una red intermedia descarta el tráfico. Ejecuta la prueba de ping para ver si el host responde en absoluto.
Qué hacer con el resultado
Cierra lo que no necesitas
- En el host, encuentra el programa detrás de cada puerto abierto.
sudo ss -ltnpen Linux,netstat -abnoen un símbolo del sistema de administrador en Windows,sudo lsof -iTCP -sTCP:LISTEN -n -Pen macOS. La salida nombra el proceso. - Detén y desactiva los servicios que no uses. Una base de datos con la que solo habla la aplicación local debería vincularse a localhost, no a todas las interfaces.
- Para los servicios que deban seguir siendo alcanzables, restringe las direcciones de origen en el firewall o en el grupo de seguridad de la nube. Los puertos administrativos como SSH y RDP es mejor alcanzarlos a través de una VPN que exponerlos directamente.
- En un router doméstico, desactiva la administración remota, UPnP y cualquier regla de reenvío que ya no reconozcas.
- Vuelve a escanear. Los puertos que cerraste deberían aparecer ahora cerrados o, con un firewall delante, filtrados.
Verifica un servidor tras la configuración
- Escanea inmediatamente después de aprovisionar y de nuevo tras instalar cada servicio. Las imágenes de nube a veces vienen con un agente de gestión, una base de datos o un demonio de correo escuchando en todas las interfaces.
- Compara la lista de abiertos con lo que pretendías. Cualquier extra es una sorpresa o un valor por defecto que deberías conocer.
- Guarda el resultado del escaneo como referencia. Un escaneo posterior que muestre un puerto abierto nuevo es una de las señales más claras de que un host ha cambiado, por ti o por otra persona.
Entiende lo que ve un atacante
El resultado es la vista que obtiene cualquier escáner en internet. Cada puerto abierto es una puerta; la pregunta para cada uno es si el software detrás está parcheado y si exige autenticación fuerte. Un puerto abierto con software antiguo es el punto de entrada típico, y el escaneo de puertos es el primer paso de un ataque automatizado. Hacerlo tú mismo, con regularidad, te pone por delante.
Escáner de puertos frente a verificador de puertos
Usa el verificador de puertos cuando quieras saber de un puerto concreto, por ejemplo si un servidor de juegos o una aplicación web que acabas de reenviar es alcanzable, y quieras una respuesta solo sobre ese puerto. Usa el escáner de puertos cuando quieras saber qué expone un host en general, o cuando no estés seguro de qué puertos están en juego.
Los dos también difieren en dónde se ejecutan. La única conexión del verificador de puertos viene de nuestro servidor web. El escáner se ejecuta desde el servidor de sondeo dedicado, construido para pruebas activas y que es la misma máquina detrás de las herramientas de ping y traceroute. Los firewalls que permiten o bloquean por dirección de origen verán direcciones distintas desde las dos herramientas.
Puertos abiertos que merecen atención inmediata
Algunos puertos rara vez están abiertos por una buena razón en un dispositivo expuesto a internet, y encontrarlos en el resultado debería motivar una acción el mismo día.
| Puerto | Servicio | Por qué importa |
|---|---|---|
| 23 | Telnet | Inicio de sesión remoto sin cifrar; las credenciales cruzan internet en texto claro. Normalmente un router o un dispositivo embebido con un servicio heredado activado. |
| 445, 139 | SMB, NetBIOS | Compartición de archivos de Windows. SMB expuesto ha sido el punto de entrada de varias oleadas de ransomware. Nunca debería ser alcanzable desde internet. |
| 3389 | Escritorio remoto | Sometido a fuerza bruta constantemente. Accede a él a través de una VPN o restríngelo a direcciones conocidas. |
| 5900 | VNC | A menudo sin cifrar y con frecuencia sin contraseña. |
| 3306, 5432, 1433, 6379, 27017 | Bases de datos | Una base de datos escuchando en todas las interfaces está a una contraseña débil de una fuga de datos. Vincúlala a localhost o ponle firewall. |
| 21 | FTP | Credenciales en texto claro; sustitúyelo por SFTP en el puerto 22 cuando sea posible. |
| 1900, 5000, 8080 | UPnP y gestión de dispositivos | Routers, cámaras y servidores multimedia exponiendo interfaces de control a internet. |
Los puertos 22, 80 y 443 abiertos en un servidor que administras son lo esperado. Los mismos puertos abiertos en una conexión doméstica significan que un dispositivo interno expone un servicio, deliberadamente o mediante UPnP, y deberías saber cuál.
Escanear una conexión doméstica frente a un servidor
En una conexión doméstica, escanea tu dirección pública mientras estás conectado a esa red. El resultado esperado es todos los puertos filtrados, porque el router descarta el tráfico no solicitado. Cualquier cosa abierta es una regla de reenvío que creaste, un mapeo UPnP que pidió un dispositivo o el propio router. Revisa las páginas de reenvío y UPnP del router para asociar cada puerto abierto con su causa, y desactiva UPnP si los mapeos te sorprenden.
En un servidor, el resultado esperado es la lista corta de servicios que ejecutas y nada más. Escanea después de cada cambio, guarda la salida y compara. Un puerto que se abre sin tu conocimiento es la advertencia más temprana y barata que tendrás de que un host ha sido modificado, por una actualización de paquete que activó un servicio o por alguien que no debería tener acceso.
Límites de esta herramienta
- Solo se escanean puertos TCP comunes, como máximo 50 por ejecución. Un servicio en un puerto inusual no se encuentra; el verificador de puertos puede probar cualquier puerto individual a petición.
- No se escanea UDP. Los endpoints VPN, los resolvers DNS, los servidores NTP y la mayoría de los servidores de juegos son invisibles para esta herramienta.
- El escaneo se ejecuta desde una ubicación. Los firewalls con reglas por origen, los bloqueos geográficos y la limitación de frecuencia pueden hacer que un puerto abierto parezca filtrado.
- El nombre de servicio junto a cada puerto es la asignación convencional, no una detección. El escáner no lee banners, no identifica versiones de software ni comprueba vulnerabilidades.
- Los hosts que limitan la tasa de conexiones pueden responder en algunos puertos y descartar el resto, produciendo un resultado que mezcla estados filtrados reales y falsos. Repetir el escaneo tras una breve pausa suele resolverlo.
- Un nombre de host con varias direcciones se escanea en la primera devuelta; las demás direcciones tras el mismo nombre no se prueban.
- El escaneo tiene un tiempo límite global corto. Un host que responde muy despacio puede mostrar como filtrados puertos que habrían acabado respondiendo.
- Se rechazan los rangos privados, de loopback, reservados y los de la propia sonda, y los escaneos tienen límite por visitante.