Cómo abrir puertos en tu rúter

Tu rúter controla el tráfico de datos entre tu red doméstica e Internet. Cada vez que abres una página web, ves una película en streaming o juegas online, ese tráfico pasa por unos puntos de entrada llamados puertos. Cada servicio o aplicación decide qué puerto usar para establecer la comunicación entre el cliente y el servidor.

La mayoría de puertos permanecen cerrados, lo cual ayuda a evitar que personas externas se conecten directamente a tu red. No obstante, a veces un servicio necesita una vía directa de acceso, como un juego online o un servidor multimedia. En esos casos, puede ser necesario abrir manualmente ciertos puertos para permitir que el tráfico llegue a los dispositivos de tu red. En esta guía te explicamos cómo hacerlo de forma segura.

Puertos y redirección de puertos: qué son y cómo se relacionan

Cuando hablamos de redes, abrir un puerto y redireccionar puertos son dos términos que están muy relacionados entre sí, aunque no son exactamente lo mismo. Abrir un puerto significa permitir que el tráfico externo pase por él, mientras que redireccionar puertos, además, le indica al rúter qué dispositivo de la red debe recibir ese tráfico. En redes domésticas, ambas acciones suelen ir juntas, así que en esta guía usaremos ambos términos de forma equivalente.

¿Qué es un puerto?

Un puerto es un canal con una numeración que ayuda a tu dispositivo a gestionar distintos tipos de tráfico de Internet sin mezclarlos. Cada conexión (ya sea una página web, una app de correo o una videollamada) usa un puerto para mantener separados sus datos.

Existen 65.536 puertos en total. Algunos están reservados para servicios estándar, como el 443 para HTTPS, el 587 o 465 para correo seguro o el 53 para el Sistema de nombres de dominio (DNS). El resto quedan disponibles para que las aplicaciones los usen según sea necesario.

Cuando te conectas a una página web, el rúter asigna un puerto saliente temporal. Ese número permite identificar qué dispositivo hizo la solicitud y devolver los datos al lugar correcto. Esto forma parte del funcionamiento de la Traducción de direcciones de red (NAT, por sus siglas en inglés), el proceso que permite que varios dispositivos compartan una misma conexión a Internet sin mezclar su tráfico.

¿Por qué hay que abrir los puertos?

Los rúteres bloquean por defecto el tráfico inesperado que llega desde Internet. Gracias a NAT, las conexiones externas solo ven la dirección pública del rúter, no los dispositivos individuales de tu red. Esto protege tu red frente a accesos externos, pero también impide que algunos servicios se conecten directamente.

La redirección de puertos cambia ese comportamiento al crear una regla que permite que los datos externos que llegan a un puerto concreto se envíen a un dispositivo específico dentro de tu red. De esta manera, puedes alojar tus propios servicios (como páginas web pequeñas, herramientas para compartir archivos o aplicaciones de acceso remoto) y permitir conexiones directas con servicios externos.

Algunos rúteres pueden gestionar esto automáticamente mediante el conjunto de protocolos Universal Plug and Play (UPnP), que permite a ciertas aplicaciones abrir y cerrar puertos temporalmente. Muchos juegos online, apps de chat y herramientas peer-to-peer (P2P) lo usan para conectarse sin configuración adicional.

Si UPnP no funciona o lo tienes desactivado por seguridad, puedes abrir los puertos manualmente con redirección de puertos. Básicamente le dices al rúter: "cuando llegue tráfico a este puerto, envíalo a este dispositivo concreto”. Así, por ejemplo, una consola puede alojar partidas multijugador, un ordenador puede compartir una biblioteca multimedia o se puede ver en remoto el vídeo de un sistema de cámaras.

Riesgos de seguridad de la redirección de puertos

Abrir un puerto significa dejar expuesta una parte de tu red, ya que hay bots y escáneres que recorren Internet constantemente en busca de puertos abiertos. Si encuentran uno y el servicio no está bien protegido, pueden aprovecharlo para sus objetivos.

Esto puede provocar:

• Acceso no autorizado: los atacantes suelen probar puertos comunes para detectar servicios activos. Si encuentran una página de inicio de sesión abierta a Internet y la contraseña es débil o se ha filtrado, podrían tomar el control del dispositivo.
• Propagación de malware: los atacantes y ciertas herramientas automatizadas suelen buscar puertos abiertos vinculados a servicios desactualizados o sin parches. Los sistemas que se han visto expuestos pueden infectarse o usarse para propagar malware.
• Ataques de denegación de servicio (DoS): los servidores de juego o los dispositivos domésticos pueden recibir tráfico masivo malicioso hasta quedar fuera de servicio.
• Reglas olvidadas: muchas veces pasa que abrimos un puerto para un proyecto puntual y nos olvidamos, lo cual deja abierta una puerta innecesaria.

Cómo configurar una IP estática (y por qué la necesitas)

La mayoría de los rúteres usan el Protocolo de configuración dinámica de host (DHCP) para asignar a cada dispositivo una dirección local temporal, como 192.168.0.101 o 192.168.1.105. Estas direcciones pueden cambiar cuando el rúter se reinicia o el dispositivo se reconecta. Si tu regla de redirección de puertos apunta a una dirección antigua, los datos no llegarán al destino.

Asignar una IP estática soluciona este problema al fijar la dirección para que el rúter envíe siempre el tráfico al mismo dispositivo. Puedes hacerlo de dos formas: configurarlo en el rúter o configurarlo directamente en el dispositivo.

Cómo encontrar la IP de tu rúter y crear una IP estática

Para acceder al panel web del rúter necesitas su IP interna. Muchos rúteres usan 192.168.1.1, 192.168.0.1 o 10.0.0.1, pero puedes comprobarlo de la siguiente manera:

• Windows: abre Símbolo del sistema, escribe ipconfig y pulsa Enter. La línea "Puerta de enlace predeterminada” muestra la IP del rúter.
• macOS: abre Terminal, escribe netstat -nr | grep default y pulsa Enter.
• Linux: en Terminal, escribe ip route | grep default y pulsa Enter.

También puedes encontrar esta información en la pegatina del rúter o en el manual del fabricante.

Al iniciar sesión, escribe la dirección directamente en la barra del navegador (por ejemplo, http://192.168.1.1). Algunos navegadores fuerzan HTTPS por defecto, lo que puede impedir que cargue la página de acceso. Si esto ocurre, escribe manualmente "http://” en vez de "https://”. El navegador puede mostrar un aviso y ofrecer una opción avanzada como "Continuar de todos modos”. Si no aparece, puedes desactivar temporalmente el modo solo-HTTPS y volver a activarlo después.

Una vez dentro, busca una opción llamada "DHCP reservation”, "address reservation” o "static lease”. Aunque el nombre cambie, la función es la misma: vincular la dirección MAC del dispositivo a una IP fija dentro del rango DHCP. Actívala si es necesario, selecciona el dispositivo, elige "Add DHCP reservation” o similar e introduce la dirección MAC y la IP deseada. Desde ese momento, el rúter asignará siempre esa misma IP.

Nota: normalmente puedes encontrar la dirección MAC en la configuración del dispositivo o mediante comandos. La última sección de esta guía explica cómo encontrar la dirección MAC en los dispositivos más comunes.

Configurar una IP estática manualmente en distintos dispositivos

Esta opción podría resultarte útil en caso de que no puedas acceder a la configuración del rúter o si tu rúter no permite reservas DHCP.

Elige una dirección IP dentro de tu rango local que no esté en uso. Puedes comprobarlo revisando la IP actual y la máscara de subred. Evita direcciones dentro del rango automático DHCP del rúter (suele empezar aproximadamente en .100).

Al configurar una IP estática tendrás que introducir manualmente:

• Máscara de subred, normalmente 255.255.255.0.
• Puerta de enlace predeterminada, que es la IP del rúter.
• Servidor DNS, que puede ser la IP del rúter o un DNS público como 8.8.8.8.

Windows 11

1. Ve a Settings (Ajustes) > Network & Internet (Red e Internet) y elige tu conexión Wi-Fi o Ethernet.
   
2. Entra en propiedades y haz clic en Edit (Editar) junto a IP assignment (Asignación de IP). Si usas conexión por cable, entra en Ethernet para llegar a la misma pantalla.
   
3. Selecciona Manual, activa IPv4 e introduce la IP elegida, máscara de subred, puerta de enlace y DNS. Haz clic en Save (Guardar).
   

macOS

1. Ve a System Settings (Ajustes del sistema) > Network (Red). Verás los tipos de conexión disponibles (Wi-Fi, Ethernet, etc.). Selecciona el que estés usando.
   
2. Dentro de la conexión activa, selecciona la red y haz clic en Details (Detalles).
   
3. En la pestaña TCP/IP, cambia Configure IPv4 (Configurar IPv4) a Manually (Manual) e introduce tu dirección IP, máscara de subred y dirección del rúter. Haz clic en OK para guardar los ajustes. Puedes dejar los ajustes de DNS en blanco salvo que necesites usar uno específico.
   

Linux

1. Abre la configuración de red del sistema (por ejemplo, Settings (Ajustes)> Network (red) en GNOME), selecciona tu conexión y haz clic en el icono del engranaje.
   
2. En la pestaña IPv4, cambia IPv4 Method (Método IPv4) a Manual e introduce IP, máscara de subred, puerta de enlace y DNS. Haz clic en Apply (Aplicar) para guardar los ajustes.
   

En servidores sin interfaz gráfica, puedes usar el comando nmcli o editar el archivo de configuración de red (por ejemplo, Netplan o systemd-networkd) para introducir los mismos datos.

Cómo abrir los puertos en un rúter

Primero, confirma que tu dispositivo usa una IP estática. Puedes verlo en la lista de clientes DHCP del rúter o en los ajustes de red del dispositivo. Si todo está correcto, ya puedes aplicar la redirección de puertos.

El proceso varía ligeramente según la marca del rúter, pero la lógica suele ser la misma. Estas instrucciones te guiarán por el proceso. Primero, accede al panel de tu rúter como se describe en la sección de arriba.

Ve a la sección de redirección de puertos

Después de iniciar sesión, busca un menú llamado Redirección de puertos, Port Range Forwarding, Servidores virtuales o Port mapping en el rúter. Todos se refieren a lo mismo.

En algunos rúteres puede estar dentro de NAT, Configuración avanzada, Cortafuegos o dentro de secciones como Aplicaciones, Gaming o WAN. Si no lo ves a simple vista, revisa los menús avanzados o de red.

Añadir una regla de redirección de puertos

Cuando encuentres la sección correcta, crea una nueva regla. Cada regla indica qué tráfico entrante debe redirigirse y a qué dispositivo enviarlo. Normalmente, tienes que rellenar los siguientes campos:

• Nombre de servicio o Descripción: se trata de un nombre identificativo, como "Servidor Minecraft” o "Feed de la Cámara”.
• Puerto externo: puerto del rúter que recibirá conexiones externas (ejemplo: 25565 para Minecraft). Consulta siempre la documentación oficial del servicio para saber qué puertos usar.
• Puerto interno: normalmente es el mismo valor que el del puerto externo. Puedes poner el número del puerto que suele usar tu dispositivo o aplicación internamente si es distinto, si no estás seguro, usa el mismo valor del puerto externo, ya que funciona para la mayoría de aplicaciones.
• Protocolo: Elige TCP, UDP o Ambos (TCP/UDP) según la aplicación. Muchos servicios web usan Protocolo de control de transmisión (TCP), mientras que algunos juegos o apps de streaming usan el Protocolo de datagrama de usuario (UDP) o ambos. Para encontrar el protocolo correcto, revisa la documentación oficial de la app o la página web de soporte; si no estás seguro, puedes usar ambos (TCP/UDP) para no tener problemas.
• Dirección IP interna: la IP estática del dispositivo asignada anteriormente al dispositivo. Algunos rúteres permiten seleccionarla en una lista, de manera que no tengas que introducir esta dirección de forma manual.
• Activar o desactivar: asegúrate de activar la regla, de lo contrario no funcionará. Haz clic en Guardar o Aplicar cuando termines.

Para ver guías específicas según el modelo del rúter, consulta este post.

Cómo comprobar si los puertos están abiertos

Después de crear la regla, conviene comprobar que funciona. Puedes hacerlo desde tu ordenador o mediante herramientas online.

Línea de comandos

Windows

1. Abre PowerShell.
2. Escribe Test-NetConnection [your public IP] -Port [port number] y pulsa Enter.
   Por ejemplo: Test-NetConnection 203.0.113.15 -Port 8080
3. Si aparece TcpTestSucceeded: True, el puerto está abierto y en funcionamiento.

macOS o Linux

1. Abre Terminal.
2. Escribe nc -zv [your public IP] [port number] y pulsa Enter. Ejemplo: nc -zv 203.0.113.15 8080.
3. Si el puerto está accesible, verás un mensaje parecido a: Connection to 203.0.113.15 8080 port [tcp/someService] succeeded!

Prueba siempre con tu IP pública (la puedes encontrar con la herramienta de dirección IP), no con la IP local; de lo contrario, solo estarías comprobando tu red interna.

Comprobadores de puertos online

También puedes probar desde fuera de tu red con páginas web como Canyouseeme.org, YouGetSignal y Port Checker para ver si un puerto está abierto o cerrado. Estos detectan tu IP pública automáticamente, solo tienes que introducir el número de puerto.

Asegúrate de que el programa o dispositivo que usa ese puerto esté activo durante la prueba. Si no está funcionando, el puerto aparecerá como cerrado, aunque la configuración sea correcta.

Solución de problemas cuando el puerto aparece cerrado

Si un test muestra que tu puerto está cerrado cuando debería estar abierto, intenta con esto:

• Configuración de rúter y modem: si tienes módem del ISP y rúter Wi-Fi, tendrás que redirigir el mismo puerto en ambos dispositivos. Otra opción es activar el modo bridge de modo que solo un rúter gestione la redirección.
• Configuración de cortafuegos: el cortafuegos de tu dispositivo puede bloquear el puerto. Desactívalo de forma temporal para hacer la prueba. Si te aparecen mensajes como "No Internet, secured”, podría significar que los permisos de la red local de tu dispositivo están mal configurados.
• IP incorrecta: confirma que la regla apunta a la IP correcta. Si el dispositivo cambió, actualiza la regla en los ajustes del rúter.
• Restricciones del ISP: algunos proveedores bloquean ciertos puertos (como el 25). Prueba un puerto diferente o ponte en contacto con tu ISP.
• Carrier-grade NAT (CGNAT): si la IP de la red WAN de tu rúter empieza por 100.64.x.x, tu ISP usa CGNAT, por lo que compartes IP pública con otros usuarios. Por ello, la redirección de puertos no funcionará y no podrás redirigir conexiones a los dispositivos de tu red. Para usar la redirección de puertos, puedes hacer que tu ISP te asigne una dirección IP pública única (dedicada) o usar una red privada virtual (VPN) compatible con redirección de puertos, aunque no recomendamos el último método.

Casos de uso habituales de la redirección de puertos

No solo sirve para servidores grandes; también es común en configuraciones domésticas como consolas, escritorios remotos o herramientas autoalojadas) que necesitan un camino claro hacia el rúter.

Abrir puertos para jugar online

Muchos juegos online usan puertos específicos para comunicarse con servidores o conectar jugadores entre sí. Si están cerrados, pueden aparecer problemas de lag o emparejamientos fallidos. La redirección de puertos establece un vínculo directo y más estable entre tu consola o tu ordenador y la red del juego.

Consulta siempre la documentación oficial del juego, ya que los puertos pueden cambiar con actualizaciones o variar según la plataforma y usar puertos desactualizados podría provocar que la conexión deje de funcionar.

Cómo abrir el puerto 443

El puerto 443 es el estándar para tráfico HTTPS. Si tienes una interfaz web en casa (por ejemplo, un NAS o una aplicación autoalojada), tendrás que redirigir el puerto correspondiente para acceder desde fuera.

Si usa el puerto HTTPS estándar (443), no hará falta añadir el puerto en la URL https://myhome.ddns.net. Si usa otro puerto, deberás indicarlo (por ejemplo, https://myhome.ddns.net:8443).

Alternativas más seguras a la redirección de puertos

Si solo necesitas acceso remoto a un dispositivo desde fuera de tu red doméstica, estas opciones son más seguras y fáciles de gestionar:

• UPnP: permite que las aplicaciones compatibles abran y cierren puertos automáticamente cuando los necesitan. En la mayoría de rúteres, estos puertos vuelven a cerrarse después. No obstante, algunos rúteres antiguos o mal configurados han expuesto los controles de UPnP a Internet en el pasado, por lo que es importante mantener el firmware actualizado y usarlo solo en redes de confianza.
• Conexiones en la nube o mediante relay: algunas aplicaciones y dispositivos modernos pueden conectarse de forma segura sin necesidad de abrir puertos. Por ejemplo, Plex (una aplicación de servidor multimedia) y los dispositivos Synology NAS usan servidores relay cifrados para enlazar tu sistema doméstico con tu cuenta en la nube. Así puedes reproducir contenido o acceder a tus archivos en remoto sin exponer tu red a tráfico entrante directo.
• Acceso remoto de confianza cero: usa un modelo de "no confiar nunca, verificar siempre”, que autentica cada sesión de forma individual y envía el tráfico a través de túneles cifrados. A diferencia de la redirección de puertos, no deja puertos abiertos que puedan quedar expuestos a Internet. El acceso solo se concede a usuarios verificados.

VPN y redirección de puertos

Aunque muchos usuarios siguen usando la redirección de puertos, hoy en día existen alternativas más seguras para el acceso remoto.

Acceso seguro a tu red doméstica con una VPN de acceso remoto

Si necesitas conectarte a los dispositivos de tu casa desde fuera de tu red, una VPN de acceso remoto es una alternativa más segura a la redirección de puertos tradicional.

En lugar de abrir varios puertos hacia Internet, solo se expone un único puerto seguro, normalmente mediante protocolos como WireGuard, OpenVPN o Internet Protocol Security (IPSec). Todo el tráfico viaja entonces a través de un túnel cifrado hasta tu red doméstica.

Nota: una VPN de acceso remoto es una VPN que tú mismo alojas en tu rúter o en un NAS. Las VPN como ExpressVPN no proporcionan acceso seguro a tu red doméstica, ya que su función es cifrar el tráfico saliente de tus dispositivos.

VPNs con redirección de puertos (y por qué puede ser arriesgado usarlas)

Como se mencionó antes, algunos proveedores de Internet (ISP) utilizan CGNAT, lo que significa que varios clientes comparten la misma dirección IP pública. En esos casos, el tráfico entrante desde Internet nunca llega directamente a tu rúter, por lo que la redirección de puertos tradicional no funciona.

Algunas VPN pueden sortear este problema al enrutar la conexión a través de su propia red y asignarte una dirección IP pública que sí permite tráfico entrante. Incluso pueden permitir una redirección de puertos limitada dentro del túnel cifrado, lo cual puede hacer accesibles ciertos servicios autoalojados.

No obstante, esto implica riesgos de privacidad y seguridad, ya que permitir conexiones entrantes significa exponer tu dispositivo o servicio a Internet. ExpressVPN no ofrece soporte para redirección de puertos, ya que puede aumentar los riesgos de seguridad y reducir la protección general de la privacidad. Puedes configurar la redirección de puertos en un rúter que use ExpressVPN, pero ese tráfico circulará fuera del túnel cifrado y no estará protegido por la conexión VPN.