Cómo abrir puertos en tu router y qué hacer si tienes CGNAT

El problema: «abrí el puerto y no funciona»

Quieres ver las cámaras de tu negocio desde el celular, entrar a la PC de la oficina desde la casa, o montar un servidor de juegos para jugar con tus amigos. Buscas cómo hacerlo, todos los tutoriales dicen lo mismo, «abre el puerto en tu router», lo haces paso a paso… y desde afuera no conecta.

Casi siempre es una de estas tres cosas:

1. Algún paso quedó mal: la IP del equipo cambió, el firewall de Windows bloquea, o se probó desde el mismo WiFi.
2. Doble NAT: hay dos routers en cadena y se abrió el puerto solo en uno.
3. CGNAT: tu proveedor no te da una IP pública propia. Ahí no hay paso que valga, y es la causa más común hoy en planes de hogar.

Vamos a entender por qué pasa, a comprobar cuál es tu caso con una herramienta, y a ver qué hacer en cada uno.

Cómo funciona: el edificio y el conserje

Imagina que tu casa es un edificio:

• La IP pública es la dirección del edificio: la que ve todo internet.
• Cada equipo de tu red tiene una IP privada, como el número de departamento: 192.168.1.50 es el DVR, 192.168.1.20 la PC. Solo existen dentro del edificio.
• El puerto es la puerta por la que entra cada tipo de visita: 80 para páginas web, 3389 para el escritorio remoto de Windows, cada aplicación tiene los suyos.
• El router es el conserje. Por seguridad, a cualquiera que llegue de afuera sin ser esperado lo rechaza.

Abrir un puerto (o «reenviar un puerto») es darle una instrucción al conserje: «lo que llegue por la puerta 8080, súbelo al departamento .50, puerta 80». Nada más.

Primero: ¿tu casa tiene dirección propia?

Aquí está la trampa que los tutoriales no cuentan. Las direcciones de internet (IPv4) se acabaron hace años, y muchos proveedores ya no le dan una a cada cliente: comparten una sola IP pública entre cientos de casas. Eso se llama CGNAT.

Con CGNAT tu edificio no tiene dirección propia: está dentro de un condominio cuyo guardia es el proveedor. Puedes darle todas las instrucciones que quieras a tu conserje, pero las visitas nunca llegan hasta tu puerta.

Cómo saberlo: compara la IP que tu router dice tener en Internet o WAN con la IP pública que ve el mundo.

• Si la del router empieza con 100.64 a 100.127 → CGNAT.
• Si es 10.x, 172.16 a 172.31 o 192.168.x → hay otro router antes del tuyo (doble NAT), normalmente el módem del proveedor.
• Si coincide con tu IP pública → tienes IP pública y puedes abrir puertos.

Comprueba tu caso

Pulsa «Detectar» para ver tu IP pública, escribe la que muestra tu router y elige qué quieres hacer. La herramienta te dice tu situación y qué opción te conviene.

Si tienes IP pública: cómo abrir el puerto paso a paso

1. Fija la IP del equipo. Si el DVR hoy es 192.168.1.50 y mañana el router le da otra, la regla deja de servir. En el router, busca Reserva DHCP o IP estática y asígnale siempre la misma.
2. Entra al router. En el navegador escribe 192.168.1.1 o 192.168.0.1. El usuario y la clave suelen estar en la etiqueta de abajo del equipo.
3. Busca la sección. Según la marca se llama Reenvío de puertos, Port Forwarding, Virtual Server o simplemente NAT.
4. Crea la regla: protocolo (TCP casi siempre), puerto externo, la IP del equipo y su puerto interno. El manual del DVR o del programa te dice qué puerto usa.
5. Si es una PC, permite ese puerto también en el Firewall de Windows.
6. Prueba desde afuera, con datos móviles. Este punto confunde a muchos: desde el mismo WiFi, varios routers no te dejan entrar por la IP pública aunque la regla funcione perfecto.

Si tu IP pública cambia cada vez que se reinicia el módem, usa DDNS: un nombre fijo (como minegocio.ddns.net) que siempre apunta a tu IP actual. Muchos routers y DVR lo traen incluido; si no, servicios como No-IP o DuckDNS tienen opción gratuita.

Si tienes doble NAT, tienes dos caminos: abrir el mismo puerto en los dos routers (en el del proveedor, hacia la IP de tu router), o pedir que pongan el módem del proveedor en modo puente, para que tu router reciba la IP pública directamente.

Si tienes CGNAT: sales tú

Con CGNAT nadie puede entrar a tu casa, pero tus equipos sí pueden salir. Todas las soluciones que funcionan sin IP pública usan ese truco: en lugar de esperar visitas, tu equipo y tu celular salen los dos a un punto de encuentro en internet y se conectan a través de él.

• Pedir IP pública a tu proveedor. Lo más directo. Pregunta si la ofrecen y si es fija o dinámica; la fija suele ser un adicional pagado. Con eso vuelves al caso anterior.
• Para cámaras: la app de la marca. Hik-Connect, DMSS y similares conectan el DVR a su nube (lo llaman P2P). No abres nada y funciona con CGNAT. Lo único: cambia la clave de fábrica del DVR.
• Para entrar a una PC: un programa de escritorio remoto, como AnyDesk, RustDesk o Escritorio remoto de Chrome.
• Para acceder a toda la red: Tailscale o ZeroTier. Instalas un programa en cada equipo (o en uno que haga de puente para los que no aceptan programas, como cámaras e impresoras) y quedan conectados como si estuvieran en la misma oficina. Son gratis para uso personal.
• Para publicar una web o un sistema: Cloudflare Tunnel. Un programa en tu servidor abre el túnel hacia afuera y publica tu sitio con HTTPS. Necesitas un dominio.
• Avanzado: un servidor en la nube (VPS) como puente, con una VPN como WireGuard. Sirve para todo, incluidos servidores de juegos, pero tiene costo mensual y requiere conocimientos.

Seguridad: lo que nunca deberías abrir

Abrir un puerto es poner una puerta hacia internet, y hay robots probando puertas abiertas las 24 horas. Algunas reglas:

• Nunca abras el escritorio remoto de Windows (3389) directo a internet. Es de los puertos más atacados y una vía clásica de entrada de ransomware. Usa una VPN o un programa de escritorio remoto.
• Nunca expongas carpetas compartidas de Windows (445) ni el panel de administración del propio router.
• Cambia las claves de fábrica de DVR, cámaras y router, y actualiza su firmware.
• Revisa el UPnP: es una función que deja que los equipos abran puertos solos. Es cómoda para consolas, pero si no la necesitas, apágala.
• Abre solo lo que uses, y borra la regla cuando ya no la necesites.

Qué aprender de esto

1. Abrir un puerto es dar una instrucción al conserje: lo que llegue por tal puerta, mándalo a tal equipo.
2. Antes de abrir nada, mira si tienes IP pública. Si tu router muestra 100.64 a 100.127, es CGNAT y no va a funcionar.
3. Fija la IP del equipo y prueba con datos móviles, no desde el mismo WiFi.
4. Sin IP pública, sales tú: app de la marca, escritorio remoto, Tailscale o un túnel.
5. Nunca expongas el 3389 ni el 445, y cambia las claves de fábrica.

Si tienes cámaras, una oficina o un servidor y quieres acceder desde afuera de forma segura, en el servicio de abajo lo configuramos y dejamos asegurado.