Cómo abrir puertos para un servidor de juegos

Abrir un puerto no consiste en crear un agujero físico ni en acelerar la conexión. Significa indicar al router qué equipo de tu red debe recibir las conexiones que llegan desde Internet a un puerto concreto. Para alojar un servidor de juegos en casa necesitas configurar ese reenvío, permitir el tráfico en el cortafuegos y asegurarte de que tu operador te proporciona una dirección accesible desde Internet.

Qué significa realmente abrir un puerto

Los dispositivos de una red doméstica utilizan direcciones privadas, normalmente del tipo 192.168.1.x, 192.168.0.x o 10.x.x.x. Estas direcciones solo funcionan dentro de tu casa. Hacia Internet, todos los equipos suelen compartir una única dirección IP pública asignada al router.

Cuando alguien intenta conectarse a tu IP pública, el router necesita saber a qué dispositivo interno debe entregar la conexión. Una regla de reenvío de puertos —también llamada port forwarding, NAT o servidor virtual en algunos routers— proporciona esa instrucción.

Por ejemplo, una regla podría indicar:

• Puerto externo: 25565.
• Protocolo: TCP.
• Dirección interna: 192.168.1.50.
• Puerto interno: 25565.

Desde ese momento, el tráfico dirigido a tu IP pública en el puerto TCP 25565 se enviará al equipo 192.168.1.50. El puerto solo responderá si en ese equipo hay un servidor escuchando y el cortafuegos permite la conexión.

TCP y UDP: qué diferencia hay

Muchos juegos utilizan UDP porque recibir rápidamente la posición actual de un jugador resulta más útil que esperar la retransmisión de una posición antigua. Una pequeña pérdida ocasional puede corregirse con la siguiente actualización. TCP, en cambio, detiene la entrega ordenada mientras recupera datos perdidos, algo que puede producir pausas perceptibles.

Esto no significa que todos los juegos usen exclusivamente UDP. Algunos emplean TCP, otros UDP y muchos combinan ambos protocolos. Consulta siempre la documentación del servidor concreto. No selecciones “TCP/UDP” por comodidad si solo necesitas uno: cuanto menor sea la exposición, mejor.

Antes de tocar el router

Identifica los puertos del juego

Comprueba el puerto de la partida y los posibles puertos adicionales para consultas, administración remota o voz. Distingue también el protocolo. Un número de puerto por sí solo no basta: TCP 27015 y UDP 27015 son dos servicios diferentes.

Fija la dirección privada del servidor

Si hoy el servidor tiene la IP 192.168.1.50 y mañana el router le asigna 192.168.1.73, la regla dejará de apuntar al equipo correcto. La opción más limpia es crear una reserva DHCP en el router, asociando la dirección MAC del servidor con una IP determinada.

Para consultar la configuración actual en Windows:

ipconfig /all

En Linux puedes utilizar:

ip addr
ip route

Anota la dirección IPv4 del servidor y la puerta de enlace predeterminada. La puerta de enlace suele ser la dirección del router.

Comprueba dónde escucha el servidor

Inicia el servidor de juegos y verifica que el proceso escucha en el puerto esperado. En Windows:

netstat -ano | findstr :25565

En Linux:

sudo ss -lntup | grep 25565

Sustituye 25565 por el puerto real. Si el servicio aparece asociado únicamente a 127.0.0.1, solo acepta conexiones desde el propio equipo. Configúralo para escuchar en su dirección privada o en todas las interfaces, normalmente representadas por 0.0.0.0.

Cómo configurar el reenvío de puertos

1. Entra en el router. Escribe la dirección de la puerta de enlace, como http://192.168.1.1, en el navegador. Utiliza las credenciales de administración del router, no la contraseña de la red wifi.
2. Localiza la sección adecuada. Puede llamarse “Reenvío de puertos”, “Port Forwarding”, “NAT”, “Servidor virtual” o “Redirección de puertos”.
3. Crea una regla. Indica un nombre descriptivo, la IP privada fija del servidor, el puerto externo, el puerto interno y el protocolo correcto.
4. Guarda los cambios. Algunos routers aplican la configuración inmediatamente; otros requieren reiniciarse.
5. Permite el puerto en el cortafuegos. Hazlo solo para el protocolo, puerto y programa necesarios.
6. Prueba desde fuera. Una conexión realizada desde la misma red puede fallar aunque la regla funcione, porque no todos los routers admiten retorno NAT.

En el Firewall de Windows, lo recomendable es crear una regla de entrada asociada al ejecutable del servidor o limitada al puerto necesario. En Linux, si utilizas UFW, un ejemplo para UDP sería:

sudo ufw allow 27015/udp
sudo ufw status

No coloques el servidor en una DMZ para evitar configurar reglas. En muchos routers domésticos esa función expone al equipo todos los puertos entrantes, aumentando innecesariamente la superficie de ataque.

Cómo comprobar si el puerto está abierto

Haz la prueba con el servidor encendido y escuchando. Desactiva temporalmente el wifi del móvil y conéctate mediante datos móviles, o pide a otra persona que pruebe desde otra conexión. Usa la IP pública de tu router, no la dirección privada del servidor.

Para un servicio TCP puedes probar desde otro equipo con PowerShell:

Test-NetConnection TU_IP_PUBLICA -Port 25565

En Linux, una comprobación TCP básica sería:

nc -vz TU_IP_PUBLICA 25565

Los comprobadores web suelen funcionar bien con TCP, pero sus resultados para UDP son menos concluyentes. UDP no realiza el saludo de conexión de TCP: si el servicio no responde al paquete concreto enviado por la herramienta, esta puede interpretar el puerto como cerrado o indeterminado aunque el reenvío sea correcto.

Para UDP, la prueba más fiable es intentar entrar mediante el propio cliente del juego y revisar simultáneamente los registros del servidor. También puedes capturar el tráfico en el servidor:

sudo tcpdump -ni any udp port 27015

Si aparecen paquetes entrantes, el router está reenviando tráfico. Si llegan paquetes pero el juego no responde, revisa la configuración del servidor y el cortafuegos. Si no llega nada, comprueba la regla NAT, la IP privada de destino y la posible presencia de CG-NAT.

CG-NAT explicado en cristiano

Con NAT doméstico, todos tus dispositivos comparten la IP pública del router. Con CG-NAT, además, tú y otros clientes del operador compartís otra IP pública común. Es como vivir en un edificio donde el repartidor solo conoce la puerta principal, pero no existe un portero que pueda enviar un paquete inesperado hasta tu piso.

Puedes abrir el puerto en tu router, pero el tráfico se detiene antes, en el router del operador. Como no controlas ese equipo, no puedes crear allí la segunda regla de reenvío.

Para detectarlo, compara la dirección WAN o de Internet mostrada por el router con la IP pública que ve una página externa. Si son diferentes, podría haber CG-NAT o una doble NAT. Es especialmente sospechoso que la WAN pertenezca a 100.64.0.0–100.127.255.255, rango reservado para este uso, o que sea una dirección privada como 10.x.x.x o 192.168.x.x.

La solución es pedir al operador una IP pública, si ofrece esa posibilidad. Otra alternativa es utilizar una red virtual o un túnel que acepte conexiones entrantes, aunque añade complejidad y puede afectar a la latencia. Abrir más reglas en tu router no resuelve CG-NAT.

Los problemas reales de alojar en casa

• IP dinámica: tu dirección pública puede cambiar. Tendrás que comunicar la nueva IP o configurar DNS dinámico. Esto no soluciona CG-NAT.
• Subida limitada: el servidor envía datos a todos los jugadores. La velocidad de descarga anunciada en tu tarifa no indica necesariamente la capacidad de subida disponible.
• Latencia inestable: copias en la nube, videollamadas y otros usos de la conexión pueden provocar colas, pérdida de paquetes y tirones.
• Sin protección DDoS especializada: si alguien ataca tu IP, puede saturar la conexión completa de la vivienda. Un cortafuegos local no puede detener tráfico que ya ha llenado el enlace.
• Equipo siempre encendido: el servidor deja de estar disponible si el ordenador se suspende, se reinicia, pierde corriente o instala una actualización.
• Exposición de la red doméstica: una vulnerabilidad en el juego, sus complementos o el sistema puede servir como punto de entrada. Actualiza el software, elimina servicios innecesarios y evita ejecutar el servidor con privilegios de administrador.

Para partidas ocasionales entre pocas personas, alojar en casa puede ser suficiente. Si necesitas disponibilidad continua, una IP accesible, protección frente a ataques y no quieres depender del ordenador doméstico, resulta más práctico contratar un servidor de juegos. Overclock Host los ofrece desde 2,50 €/mes sobre una red propia con ASN propio y protección DDoS.

Preguntas frecuentes

¿Tengo que abrir el mismo puerto en TCP y UDP?

No. Abre únicamente los protocolos indicados por la documentación del servidor. Si el juego necesita ambos, crea dos reglas o selecciona TCP/UDP si el router ofrece esa opción.

¿Por qué el puerto aparece cerrado después de reenviarlo?

Las causas habituales son que el servidor está apagado, escucha en otro puerto o solo en 127.0.0.1, el cortafuegos bloquea la entrada, la IP privada ha cambiado o la conexión está detrás de CG-NAT.

¿Puedo comprobar un puerto UDP con una página web?

No de forma concluyente en todos los casos. Al no existir un establecimiento de conexión como en TCP, el resultado depende de que el servicio reconozca y responda al paquete de prueba. Usa el cliente real del juego y revisa los registros o una captura de tráfico.

¿UPnP evita configurar el reenvío manualmente?

UPnP permite que una aplicación solicite reglas automáticamente al router, pero no funciona en todas las redes y concede esa capacidad a programas internos. Para un servidor permanente, una reserva DHCP y una regla manual ofrecen una configuración más previsible.

¿Qué hago si mi operador utiliza CG-NAT?

Pregunta si puede asignarte una IP pública. Si no es posible, valora un túnel adecuado o un servidor externo. Si prefieres evitar la configuración doméstica, puedes consultar una opción gestionada con soporte 24/7.