Cómo abrir puertos en el router paso a paso

Ahora mismo tu IP pública es 216.73.217.95 (IPv4)

Abrir puertos (lo que en los routers aparece como port forwarding, redirección de puertos, NAT o servidor virtual) es el trámite necesario para que algo de tu casa sea accesible desde internet: un servidor de Minecraft, las cámaras de vigilancia, tu NAS o el escritorio remoto. En esta guía lo hacemos paso a paso, con las rutas de menú de los principales operadores españoles y una checklist para cuando el puerto se resiste a abrirse.

¿Qué significa abrir puertos?

Cada conexión de red usa, además de una dirección IP, un puerto: un número entre 0 y 65535 que identifica el servicio concreto dentro de esa dirección. La web usa el 443, el correo el 25, Minecraft el 25565… Si la IP es el portal del edificio, los puertos son las puertas de cada vivienda.

Tu router, gracias al NAT, deja salir a internet a todos tus dispositivos, pero bloquea por defecto cualquier conexión entrante: nadie puede llamar desde fuera. Abrir un puerto es crear una excepción, una regla que dice: "todo lo que llegue al puerto 25565 de mi IP pública, envíalo al ordenador 192.168.1.50 de mi red". Eso es el port forwarding.

Cuándo necesitas abrir puertos

• Juegos online: para conseguir NAT abierta o moderada en consolas y evitar problemas al unirte a partidas o usar el chat de voz.
• Alojar un servidor de juego: Minecraft, Valheim, ARK… tus amigos se conectan a tu IP pública y el puerto del juego.
• Acceso remoto: escritorio remoto, NAS, cámaras IP, domótica o una VPN casera tipo WireGuard para entrar en tu red desde fuera.
• Programas P2P: BitTorrent y similares funcionan mucho mejor con su puerto abierto.
• Autoalojamiento: servir una web, Plex/Jellyfin, Home Assistant o cualquier servicio propio desde casa.

Antes de empezar: 3 comprobaciones

• 1. Que tienes una IP pública real (no CGNAT): compara la IP que muestra nuestra portada con la que aparece en la sección WAN de tu router. Si no coinciden, estás detrás de CGNAT y ninguna regla de puertos funcionará: primero tendrás que salir del CGNAT.
• 2. Que el dispositivo de destino tiene IP privada fija: si el PC o el NAS cambia de IP local, la regla dejará de apuntarle. Configura una reserva DHCP en el router (asociar su MAC a una IP concreta) o pon IP estática en el propio dispositivo.
• 3. Qué puerto y protocolo usa tu aplicación: cada servicio tiene su número y su protocolo (TCP, UDP o ambos). Lo encontrarás en la documentación de la aplicación o en la tabla de abajo.

Cómo abrir un puerto paso a paso (cualquier router)

Los menús cambian de un fabricante a otro, pero el proceso es siempre el mismo:

• Paso 1. Apunta la IP privada del dispositivo de destino (por ejemplo 192.168.1.50). Puedes verla en el propio dispositivo o en la lista de equipos conectados del router.
• Paso 2. Entra en el panel del router escribiendo su IP en el navegador, habitualmente 192.168.1.1. Si no la sabes, aquí explicamos cómo saber la IP de tu router.
• Paso 3. Busca la sección de Port forwarding. Según el fabricante se llama NAT, Redirección de puertos, Servidor virtual, Virtual server, Port mapping o Juegos y aplicaciones. Suele estar dentro de "Configuración avanzada".
• Paso 4. Crea la regla: un nombre descriptivo, el puerto externo (el que se abre hacia internet), el puerto interno (normalmente el mismo), el protocolo (TCP, UDP o ambos) y la IP privada de destino del paso 1.
• Paso 5. Guarda los cambios. Algunos routers piden reiniciar para aplicar la regla.
• Paso 6. Comprueba que funciona: arranca la aplicación que va a usar el puerto y prueba desde fuera de tu red (por ejemplo, con el móvil usando datos, no tu wifi) o con un comprobador de puertos online.

Dónde está la opción en los routers de cada operador

Rutas orientativas para los routers que instalan los principales operadores en España (pueden variar según el modelo exacto):

Si tu router es de otra marca (TP-Link, ASUS, Netgear, Fritz!Box…), busca los mismos términos: port forwarding, virtual server o NAT. La tabla de IPs de acceso por fabricante te ayudará a entrar al panel.

Tabla de puertos habituales

¿Y el UPnP? Puertos que se abren solos

UPnP (Universal Plug and Play) permite que las aplicaciones pidan al router abrir puertos automáticamente, sin que tú toques nada. Las consolas y muchos juegos lo usan, y por eso a veces todo funciona sin configurar reglas.

La contrapartida es la seguridad: con UPnP activado, cualquier programa de tu red puede abrir puertos, incluido un dispositivo infectado. Si valoras más el control que la comodidad, desactívalo y crea las reglas a mano; si lo mantienes activo, revisa de vez en cuando la lista de puertos abiertos por UPnP que muestra el router.

El puerto sigue cerrado: soluciones

• ¿Estás detrás de CGNAT? Es la causa más frecuente: la regla es correcta pero tu operador comparte tu IP con más clientes y las conexiones entrantes nunca llegan a tu router. Compruébalo y sal del CGNAT.
• ¿Hay algo escuchando? El comprobador dirá "cerrado" si la aplicación de destino no está arrancada. Inicia el servidor o servicio antes de probar.
• Firewall del equipo: el firewall de Windows (o el del NAS) también debe permitir la conexión entrante en ese puerto.
• Doble NAT: si tienes el router del operador y otro tuyo en cascada, hay que abrir el puerto en los dos, o poner el del operador en modo bridge (o su DMZ apuntando al router tuyo).
• La IP privada cambió: si no hiciste la reserva DHCP, la regla puede estar apuntando a una IP que ya no es la del dispositivo.
• Prueba desde fuera: muchos routers no permiten probar el puerto desde dentro de la propia red (falta de NAT loopback). Usa los datos del móvil para verificar.

Seguridad al abrir puertos

Cada puerto abierto es una puerta desde internet hacia un equipo de tu casa, así que conviene abrir con cabeza:

• Abre solo los puertos que necesites y cierra las reglas cuando dejes de usarlas.
• Protege el servicio expuesto con contraseñas fuertes (y verificación en dos pasos si la ofrece).
• Actualiza el firmware del router y del dispositivo expuesto: la mayoría de ataques explotan versiones antiguas.
• Evita exponer directamente servicios delicados como el escritorio remoto (3389): mejor accede a través de una VPN casera (WireGuard, un único puerto UDP abierto) y deja el resto cerrado.
• No uses la DMZ como atajo: expone todos los puertos de un equipo a internet.

Guías relacionadas

• ¿Cuál es mi IP pública? — consulta tu IP y aprende cómo funciona.
• Cómo saber la IP de mi router — para entrar al panel de administración.
• Cómo salir del CGNAT — imprescindible si los puertos no se abren.

Preguntas frecuentes sobre abrir puertos

¿Abrir un puerto es peligroso?

El riesgo no está en el puerto en sí, sino en el servicio que expone: un puerto abierto hacia una aplicación actualizada y con buena contraseña es un riesgo controlado; uno hacia un servicio antiguo o sin contraseña es una invitación. Abre solo lo necesario y protege lo que expongas.

¿Qué diferencia hay entre puerto interno y externo?

El externo es el que se abre en tu IP pública hacia internet; el interno, el que usa el dispositivo en tu red local. Normalmente son el mismo número, pero puedes usar uno externo distinto (por ejemplo 2222 → 22) para despistar escaneos automáticos.

¿Puedo abrir el mismo puerto para dos dispositivos?

No: un puerto externo solo puede redirigirse a un dispositivo a la vez. Si necesitas el mismo servicio en dos equipos, usa puertos externos distintos apuntando cada uno a su IP interna.

¿Qué es la DMZ del router?

Es una opción que redirige todos los puertos hacia un único equipo, dejándolo completamente expuesto a internet. Como práctica de seguridad es desaconsejable; casi siempre es mejor abrir solo los puertos concretos que necesitas.

¿Por qué el comprobador dice "cerrado" si mi regla está bien?

Las causas más comunes: no hay ninguna aplicación escuchando en ese puerto, el firewall del equipo bloquea la conexión, estás probando desde dentro de tu propia red o tu operador te tiene detrás de CGNAT.