Puerto 53 (DNS): para qué sirve y cómo protegerlo
El puerto 53 es el del DNS, el sistema que traduce nombres como vapa.es en direcciones IP. Las consultas normales van por UDP 53; TCP 53 se usa para respuestas grandes (DNSSEC) y transferencias de zona. Solo deben exponerlo los servidores DNS autoritativos o los resolvers que lo necesiten de verdad.
Qué es el puerto 53
Cada vez que abres una web, tu equipo pregunta al resolver DNS (el de tu operador, 1.1.1.1, 8.8.8.8) por el puerto 53. Si la respuesta no cabe en un paquete UDP, el servidor lo indica y el cliente repite la pregunta por TCP.
Un resolver abierto a todo Internet (open resolver) se usa en ataques de amplificación DDoS: el atacante falsifica la IP de la víctima y envía consultas pequeñas que generan respuestas enormes contra ella.
¿Es peligroso tener abierto el puerto 53?
Riesgo medio: Solo expuesto con autenticación fuerte o limitado por IP.
- Correcto en servidores autoritativos.
- Un resolver recursivo abierto es un riesgo: amplificación DDoS.
Cómo proteger el puerto 53
- Si es un resolver, limita la recursión a tus redes (allow-recursion en BIND).
- Desactiva las transferencias de zona a IPs no autorizadas.
- Considera DNS over TLS (853) o DNS over HTTPS para clientes.
Comandos y configuración
Comprobar si el puerto 53 está abierto
sudo ss -tlnp | grep ':53 '
nc -zv 203.0.113.10 53
sudo nmap -p 53 203.0.113.10Consultas con dig
dig vapa.es A +short
dig @1.1.1.1 vapa.es MX
dig +tcp vapa.es DNSKEY¿Qué está escuchando en el 53?
sudo ss -tulpn | grep ':53 'También puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿El DNS usa TCP o UDP?
Las dos. UDP para casi todas las consultas, por rapidez, y TCP cuando la respuesta es grande o para transferencias de zona.
¿Por qué el puerto 53 está ocupado en Ubuntu?
Porque systemd-resolved escucha en 127.0.0.53:53. Si vas a instalar Pi-hole o tu propio DNS, desactiva DNSStubListener en /etc/systemd/resolved.conf.