Puerto 6443 (Kubernetes API): para qué sirve y cómo protegerlo
El puerto 6443 TCP es el de la API de Kubernetes (kube-apiserver), el punto central desde el que kubectl y todos los componentes gestionan el clúster. Quien controle la API controla el clúster entero, así que debe protegerse con certificados, RBAC y, preferiblemente, sin exposición pública.
Qué es el puerto 6443
k3s, kubeadm y la mayoría de distribuciones usan el 6443. En los servicios gestionados (EKS, GKE, AKS) se puede limitar el acceso a la API a rangos de IP concretos o hacerla privada.
¿Es peligroso tener abierto el puerto 6443?
Riesgo medio: Solo expuesto con autenticación fuerte o limitado por IP.
- Seguro con autenticación correcta, pero es un objetivo de alto valor.
- Acceso anónimo mal configurado.
Cómo proteger el puerto 6443
- Desactiva el acceso anónimo.
- RBAC con permisos mínimos.
- Limita el acceso por IP o usa una VPN.
Comandos y configuración
Comprobar si el puerto 6443 está abierto
sudo ss -tlnp | grep ':6443 '
nc -zv 203.0.113.10 6443
sudo nmap -p 6443 203.0.113.10Comprobar el acceso
kubectl cluster-info
kubectl auth can-i --list
curl -k https://IP:6443/versionTambién puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿Qué otros puertos usa Kubernetes?
2379-2380 (etcd), 10250 (kubelet), 10257 y 10259 (controller-manager y scheduler) y el rango 30000-32767 para los servicios NodePort.