¿Qué es el Escaneo de Puertos?
El escaneo de puertos es el proceso de enviar solicitudes de red a un rango de puertos en un servidor o dispositivo para determinar cuáles están abiertos, cerrados o filtrados. Cada puerto de red es un punto de comunicación numerado del 0 al 65535, y los servicios que se ejecutan en un servidor escuchan en puertos específicos. Por ejemplo, un servidor web HTTP escucha en el puerto 80, mientras que un servidor HTTPS usa el puerto 443.
Comprender qué puertos están abiertos en un servidor es fundamental para la seguridad de redes, la administración de sistemas y la resolución de problemas de conectividad. Un escáner de puertos como el de miip.link te permite verificar rápidamente qué servicios están accesibles desde Internet en cualquier dirección IP pública o nombre de dominio, sin necesidad de instalar software adicional.
El escaneo de puertos funciona enviando paquetes de red a cada puerto objetivo y analizando la respuesta recibida. Si un puerto responde con una confirmación de conexión, está abierto y aceptando conexiones. Si responde con un rechazo, está cerrado pero accesible. Si no hay respuesta, el puerto puede estar filtrado por un firewall que bloquea silenciosamente las conexiones entrantes.
Puertos Más Comunes y sus Servicios
Existen 65,535 puertos disponibles en cada dirección IP, pero solo un subconjunto se usa comúnmente para servicios conocidos. La Autoridad de Números Asignados de Internet (IANA) clasifica los puertos en tres rangos:
| Puerto | Protocolo | Servicio | Descripción |
|---|---|---|---|
| 21 | TCP | FTP | Transferencia de archivos |
| 22 | TCP | SSH | Shell seguro para acceso remoto |
| 23 | TCP | Telnet | Acceso remoto sin cifrar |
| 25 | TCP | SMTP | Envío de correo electrónico |
| 53 | TCP/UDP | DNS | Sistema de nombres de dominio |
| 80 | TCP | HTTP | Servidor web sin cifrar |
| 110 | TCP | POP3 | Recepción de correo |
| 143 | TCP | IMAP | Correo en servidor |
| 443 | TCP | HTTPS | Servidor web seguro |
| 3306 | TCP | MySQL | Base de datos MySQL |
| 3389 | TCP/UDP | RDP | Escritorio remoto Windows |
| 5432 | TCP | PostgreSQL | Base de datos PostgreSQL |
| 5900 | TCP | VNC | Escritorio remoto VNC |
| 8080 | TCP | HTTP Alt | Servidor web alternativo |
| 8443 | TCP | HTTPS Alt | Servidor web seguro alternativo |
Puertos Bien Conocidos (0-1023)
Estos puertos están asignados por IANA a servicios estándar y requieren privilegios de administrador para ser utilizados. Son los puertos más utilizados en Internet: HTTP (80), HTTPS (443), SSH (22), FTP (21), SMTP (25), DNS (53) y Telnet (23). La mayoría de los servidores web y de correo utilizan puertos dentro de este rango.
Puertos Registrados (1024-49151)
Asignados por IANA a aplicaciones específicas que no son servicios estándar del sistema. Incluyen MySQL (3306), PostgreSQL (5432), servidores de aplicaciones como Tomcat (8009, 8080) y muchos otros. Cualquier usuario puede configurar servicios para escuchar en estos puertos sin privilegios especiales.
Puertos Dinámicos/Privados (49152-65535)
No están asignados por IANA y se usan para conexiones temporales del lado del cliente. Cuando tu navegador se conecta a un servidor web en el puerto 443, abre una conexión desde un puerto efímero en este rango.
Cómo Usar el Escáner de Puertos
La herramienta de escaneo de puertos de miip.link es fácil de usar:
- Ingresa la dirección IP o dominio que deseas escanear (ej:
8.8.8.8ogoogle.com). - Haz clic en "Escanear Puertos" y la herramienta verificará los puertos más comunes.
- Revisa los resultados mostrando qué puertos están abiertos, cerrados o filtrados.
La herramienta escanea los puertos más relevantes para servicios comunes. También puedes usarla directamente desde la página principal de miip.link.
TCP vs UDP: Diferencias
Los protocolos TCP y UDP son los dos protocolos de transporte fundamentales en Internet:
- TCP (Transmission Control Protocol): Protocolo orientado a conexión que establece una conexión formal antes de transmitir datos (proceso de tres vías: SYN, SYN-ACK, ACK). Un puerto TCP abierto responde con SYN-ACK, uno cerrado con RST, y uno filtrado no responde. El escaneo TCP es más confiable y es el que utiliza la herramienta de miip.link.
- UDP (User Datagram Protocol): Protocolo sin conexión que envía datagramas sin establecer conexión. El escaneo UDP es más lento y menos confiable porque un puerto UDP abierto puede no responder, haciéndolo indistinguible de uno filtrado. Los servicios UDP incluyen DNS (53), DHCP, streaming y juegos en línea.
Seguridad de Puertos y Firewalls
Cada puerto abierto es un potencial punto de entrada para atacantes. Sigue el principio de privilegio mínimo: solo abre los puertos que necesitas.
Buenas Prácticas de Seguridad
- Cierra puertos innecesarios: Deshabilita servicios que no uses.
- Usa un firewall: Configura reglas que permitan solo el tráfico necesario.
- Cambia puertos predeterminados: Mover SSH del puerto 22 reduce ataques automatizados.
- Usa autenticación fuerte: Claves públicas para SSH, deshabilita login por contraseña.
- Mantén el software actualizado: Las vulnerabilidades en servicios expuestos son el vector más común.
- Monitorea puertos abiertos: Escaneos regulares para verificar servicios autorizados.
- Considera port knocking: Envía una secuencia de conexiones a puertos cerrados antes de abrir el puerto real.
Puertos Inesperados Abiertos
Si encuentras puertos abiertos que no reconoces, identifica el servicio con netstat -tlnp o ss -tlnp. Si no es necesario, desactívalo. Si lo es, asegúrate de que tiene autenticación fuerte y las últimas actualizaciones. Configura tu firewall para bloquear acceso no autorizado.
Cómo Funciona el Escaneo de Puertos
La técnica más común es el escaneo SYN (half-open): se envía un paquete SYN al puerto objetivo. Si responde con SYN-ACK, está abierto; si responde con RST, está cerrado; si no responde, está filtrado. Esta técnica no completa la conexión TCP, haciéndola más rápida y menos intrusiva.
Otras técnicas incluyen: escaneo CONNECT (conexión completa TCP), escaneo FIN (envía paquete FIN), escaneo Xmas (flags FIN, URG y PSH), y escaneo UDP. La herramienta de miip.link utiliza técnicas de escaneo TCP seguras y no intrusivas.