¿Qué es el reenvío de puertos?

El reenvío de puertos (también denominado «asignación de puertos») es una técnica de traducción de direcciones de red (NAT) que redirige los paquetes entrantes dirigidos a una dirección IP externa y un puerto específicos hacia una dirección y un puerto internos, lo que permite que los dispositivos externos a la red accedan a un servicio alojado en un host concreto dentro de la LAN.

Puntos clave

• El reenvío de puertos asigna un par de dirección y puerto externos a uno interno.
• Se trata de una forma de NAT que se aplica en el extremo WAN del router o la pasarela.
• Las reglas no están activas por defecto; cada una debe crearse de forma explícita.
• Tipos de reglas habituales: NAT de destino, NAT de origen, NAT estático, sin NAT.
• Expone un servidor interno, una cámara o un dispositivo a la red pública de Internet.

En esta página: Por qué es importante · Cómo funciona · Tipos · Reenvío de puertos y Versa · Preguntas frecuentes

¿Por qué es importante el reenvío de puertos?

El direccionamiento LAN privado y el NAT ocultan los hosts internos de Internet de forma predeterminada, lo cual es bueno para la seguridad, pero también bloquea usos legítimos. Una aplicación web autohospedada, un servidor de juegos, una aplicación de visualización remota de una cámara de seguridad o una sesión de escritorio remoto necesitan que algo desde fuera de la red abra una conexión hacia el interior, y el NAT saliente habitual no tiene ninguna regla para ese paquete. El reenvío de puertos subsana esta carencia sin renunciar a la protección del NAT: abre una combinación de dirección y puerto a través del perímetro hacia un host, mientras que el resto de puertos permanecen inaccesibles.

Esa precisión es la clave: en lugar de una dirección IP pública por dispositivo o una VPN completa para un solo servicio, el operador solo reenvía el protocolo y el puerto necesarios. Cada puerto reenviado se convierte también en un punto de entrada desde Internet, por lo que una regla demasiado amplia amplía el alcance de un atacante.

¿Qué es el reenvío de puertos?

Un router o una pasarela se sitúa en el límite entre una LAN privada y una dirección WAN pública. El reenvío de puertos configura ese dispositivo para reescribir el destino de los paquetes entrantes: a un paquete que llega a la dirección WAN en un puerto determinado se le cambia la dirección y el puerto de destino por la IP privada y el puerto de un host interno, y el dispositivo realiza un seguimiento del flujo para que el tráfico de retorno se traduzca correctamente. Esta reescritura entrante es NAT de destino —la dirección que da nombre al reenvío de puertos—, a diferencia del NAT de origen saliente, que permite a los hosts internos acceder a Internet.

Una regla suele especificar la interfaz externa y el puerto, la dirección interna y el puerto, y un protocolo, junto con un valor de prioridad para resolver los conflictos entre reglas.

Tipos de reenvío de puertos

El reenvío de puertos estático (manual) es una regla persistente que un administrador configura explícitamente, asignando un puerto externo fijo a un host interno y un puerto fijos hasta que se elimine; es el caso habitual para un servidor o una cámara a los que siempre debe poder accederse. El reenvío de puertos dinámico lo abre automáticamente y de forma temporal una aplicación, normalmente a través de UPnP o NAT-PMP/PCP; resulta cómodo, pero reduce la visibilidad del administrador sobre lo que está abierto. La activación de puertos es aún más limitada: la pasarela supervisa un puerto de activación y, solo entonces, abre un puerto de entrada correspondiente hasta que finaliza la sesión. Las taxonomías también distinguen el reenvío de puertos —NAT de destino con traducción de puertos— del NAT estático, que asigna una dirección completa sin traducir los puertos.

Reenvío de puertos y Versa

VersaEl portal «Titan » —la consola en la nube para los dispositivos de sucursal CSG gestionados por Titan — permite configurar el reenvío de puertos en la pantalla «Red > LAN > Reenvío de puertos». Primero hay que configurar las interfaces WAN, ya que solo aparecen como opciones aquellas que estén configuradas, y el reenvío de puertos no está habilitado de forma predeterminada: cada regla debe añadirse explícitamente.

Una regla de « Titan » tiene un nombre, un tipo de traducción de direcciones —NAT de destino, NAT de origen, NAT estático o sin NAT—, una interfaz WAN, un valor de prioridad y, según el tipo, direcciones internas y externas, puertos y un protocolo. Al crear la regla, también se inserta una entrada correspondiente en la lista de reglas del cortafuegos, cuyo nombre es _frd sufijo; esa entrada no se puede editar ni eliminar, solo desactivar o cambiar de orden. En esa misma pantalla también se gestiona la reserva de direcciones IP de los dispositivos, fijando una dirección DHCP para que el destino interno de una regla no varíe.

Preguntas frecuentes

¿Cuál es la diferencia entre el reenvío de puertos y el NAT?

El reenvío de puertos es un caso concreto de NAT. El NAT general traduce las direcciones del tráfico que cruza un límite, normalmente el tráfico saliente que sale de una red privada. El reenvío de puertos es el caso del tráfico entrante: asignar un par de dirección externa y puerto a un host interno para que el tráfico no solicitado pueda llegar hasta él.

¿Supone el reenvío de puertos un riesgo para la seguridad?

Es posible. Cada puerto reenviado constituye un punto de acceso definido y accesible desde Internet, por lo que una regla más amplia de lo necesario, o una dirigida a un servicio sin parches, amplía la superficie de ataque. Limitar las reglas a puertos, protocolos y direcciones de origen específicos reduce esa exposición.

¿Cuál es la diferencia entre el reenvío de puertos estático y el dinámico?

El reenvío de puertos estático es una regla que un administrador configura manualmente y que permanece activa hasta que se elimina. El reenvío de puertos dinámico lo abre automáticamente una aplicación, normalmente a través de UPnP o NAT-PMP, mientras dura una sesión, y se cierra una vez que finaliza la sesión o se agota el tiempo de espera.

¿Sigue siendo importante el reenvío de puertos con IPv6?

Con menos frecuencia. Por lo general, IPv6 asigna a cada dispositivo una dirección enrutable a nivel mundial, lo que elimina la limitación del uso de direcciones privadas que el reenvío de puertos resuelve en IPv4. Algunas implementaciones siguen aplicando reglas similares a las de NAT a IPv6 para la segmentación del cortafuegos, pero el reenvío de puertos puro es principalmente un concepto de la era de IPv4.

¿Puede una sola regla de reenvío de puertos abarcar un rango de puertos?

Sí. La mayoría de las implementaciones, incluido el portal Titan de Versa, admiten un rango de puertos coincidente tanto en el lado externo como en el interno de una regla —por ejemplo, del 200 al 300—, lo que permite asignar un bloque contiguo de puertos en lugar de configurar cada puerto por separado.

Más información sobre el reenvío de puertos

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el reenvío de puertos, te conviene echar un vistazo a lo siguiente.