Puerto 123 (NTP): para qué sirve y cómo protegerlo
El puerto 123 UDP es el de NTP (Network Time Protocol), que mantiene sincronizados los relojes de los equipos. Una hora incorrecta rompe certificados TLS, tokens de 2FA, Kerberos y logs. Los servidores solo necesitan el 123 de salida; abrirlo de entrada solo tiene sentido si das hora a otros.
Qué es el puerto 123
Los servidores NTP mal configurados se han usado para amplificación DDoS mediante el comando monlist, que devolvía una respuesta cientos de veces mayor que la petición. Las versiones actuales lo desactivan por defecto.
¿Es peligroso tener abierto el puerto 123?
Riesgo bajo: Normal tenerlo abierto si el servicio está actualizado.
- De salida, imprescindible. De entrada, solo en servidores de hora.
Cómo proteger el puerto 123
- Usa chrony o systemd-timesyncd.
- Si das servicio NTP, desactiva monlist (noquery).
Comandos y configuración
Comprobar si el puerto 123 está abierto
sudo ss -ulpn | grep ':123 '
sudo nmap -sU -p 123 203.0.113.10Comprobar la sincronización
timedatectl status
chronyc tracking
chronyc sources -vTambién puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿Por qué mis códigos de Google Authenticator no funcionan?
Los códigos TOTP dependen de la hora. Si el reloj del servidor o del móvil va desfasado más de 30 segundos, los códigos no coinciden.