Referencia de puertos

3 min · 7 apartados

Qué escucha en cada puerto, quién lo abre y cuál se puede tocar en el router y cuál no. Es la tabla que hace falta delante cuando se configura el cortafuegos, se abre algo hacia internet o se busca por qué un equipo no llega.

Dos cosas antes de leerla:

El cortafuegos del NAS lo gestiona el panel. Cada servicio abre su puerto al encenderse y lo cierra al apagarse; no hay que abrir nada a mano. Panel de Control → Cortafuegos enseña lo que hay abierto ahora mismo.
Abrir un puerto en el ROUTER es otra cosa, y la mayoría de esta tabla no se abre nunca. La columna de la derecha lo dice.

El panel

Puerto	Qué es	¿Al router?
5001 /tcp	El panel, cifrado. Es la dirección de siempre	Solo con dominio y certificado de verdad — ver Acceso desde internet
5000 /tcp	Desvío en claro: solo te manda al 5001	No

Compartir archivos

Puerto	Qué es	¿Al router?
445 /tcp	SMB — carpetas en red para Windows y Mac	Nunca. Es el puerto que más se ataca de internet
139 /tcp	NetBIOS, para equipos antiguos	Nunca
5353 /udp · 3702 /udp · 5357 /tcp	Que el NAS aparezca solo en «Red» (mDNS y WSD)	No. Solo tienen sentido dentro de casa
2049 /tcp · 111 /tcp · 20048 /tcp	NFS y sus dos ayudantes	Nunca
8081 /tcp	WebDAV (se puede cambiar)	Solo a través del proxy inverso
873 /tcp	Servidor rsync: donde otro NAS deja sus copias	Solo hacia el otro NAS, y mejor por VPN
22 /tcp	SSH y SFTP	Solo si sabes lo que haces; mejor la VPN

Servicios de la casa

Puerto	Qué es	¿Al router?
51820 /udp	VPN WireGuard	Sí. Es el único que hace falta abrir para entrar desde fuera
53 /tcp+udp	Servidor DNS del NAS	Nunca. Un DNS abierto se usa para atacar a otros
67 /udp	Servidor DHCP	Nunca. No sale de la red local por diseño
631 /tcp	Impresora en red	No
161 /udp	SNMP, para vigilarlo desde otro sistema	No
3260 /tcp	Discos en red (iSCSI)	Nunca. Es un disco entero: va por VPN
9980 /tcp	El editor de documentos, solo en el propio equipo	No
6881 /tcp+udp	Torrents: por aquí te entran los demás	Sí, si usas torrents. Sin él bajan mucho más lento

Cámaras

Las cámaras no escuchan en el NAS: es el NAS quien las llama a ellas en su red. No hay que abrir nada, y sobre todo no hay que abrir el puerto de la cámara en el router — es la forma más común de acabar con la cámara de casa publicada en un buscador de cámaras.

Ver Cámaras.

Cómo se comprueba

Desde otro equipo de la red:

nc -vz 192.168.1.50 5001      # ¿contesta el panel?

Desde el propio NAS, quién tiene cogido cada puerto:

sudo ss -tulpn | grep -E ':(445|5001|51820)\b'

Y desde el panel, Panel de Control → Cortafuegos enseña las reglas que hay puestas, y la sección Conectividad trae una comprobación de puertos sin salir del navegador.

La regla corta

Si dudas sobre un puerto, no lo abras en el router: monta la VPN y entra por ahí. Da acceso a toda la red de casa, no publica nada en internet y es un solo puerto UDP. Está en Servicios de red.

Ver también

Acceso desde internet — la única forma correcta de publicar el panel.
Cuando algo no va — «no veo el NAS desde Windows».