Puerto 51820 (WireGuard): para qué sirve y cómo protegerlo
El puerto 51820 UDP es el puerto por defecto de WireGuard, la VPN moderna incluida en el kernel de Linux. Es rápida, tiene muy poco código y no responde a nada que no venga firmado con una clave conocida, así que es invisible a los escaneos de puertos. Es la forma recomendada de acceder a servicios internos sin exponerlos.
Qué es el puerto 51820
Cada equipo tiene un par de claves. El servidor solo responde a los paquetes cifrados con la clave pública de un cliente autorizado; a cualquier otro paquete no contesta, ni siquiera con un error. Por eso un escaneo no puede distinguir el 51820 de un puerto cerrado.
Con WireGuard puedes cerrar el SSH, el RDP, el SMB del NAS o el panel de Proxmox a Internet y acceder a todos ellos a través del túnel. Herramientas como wg-easy, Tailscale o Netbird simplifican su gestión.
¿Es peligroso tener abierto el puerto 51820?
Riesgo bajo: Normal tenerlo abierto si el servicio está actualizado.
- Diseñado para estar expuesto; invisible para los escáneres.
Cómo proteger el puerto 51820
- Una clave por dispositivo; borra las de dispositivos perdidos.
- AllowedIPs ajustados a lo que necesita cada cliente.
Comandos y configuración
Comprobar si el puerto 51820 está abierto
sudo ss -ulpn | grep ':51820 '
sudo nmap -sU -p 51820 203.0.113.10Servidor: /etc/wireguard/wg0.conf
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <clave-privada-servidor>
[Peer]
# portátil
PublicKey = <clave-publica-portatil>
AllowedIPs = 10.8.0.2/32Generar claves y arrancar
wg genkey | tee privada.key | wg pubkey > publica.key
sudo systemctl enable --now wg-quick@wg0
sudo ufw allow 51820/udp
sudo wg showTambién puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿Por qué el escáner dice que el 51820 está cerrado si WireGuard funciona?
Porque WireGuard no responde a paquetes de clientes desconocidos. Es intencionado: el puerto parece cerrado para cualquiera sin una clave autorizada.
¿WireGuard o Tailscale?
Tailscale usa WireGuard por debajo y gestiona las claves y la conexión entre equipos por ti, sin abrir puertos. WireGuard a mano da más control y no depende de un servicio externo.