Respuesta rápida
UDP 51820
Qué es y para qué sirve
WireGuard es un protocolo VPN moderno y ligero basado en UDP. Su puerto por defecto es el UDP 51820, aunque es habitual y recomendable cambiarlo en la configuración del servidor.
Cuándo conviene comprobarlo
- Verificar, justo después de montar un servidor WireGuard, que el puerto es realmente accesible desde fuera antes de dar la configuración por buena.
- Diagnosticar por qué un cliente no consigue completar el handshake con el servidor.
Motivos habituales por los que aparece cerrado o filtrado
- Falta la regla de redirección de puertos en el router: al ser UDP, hay que reenviar específicamente ese protocolo, no solo TCP.
- El firewall del servidor (ufw, iptables) no tiene la regla para el puerto UDP.
- El operador de internet usa CG-NAT (frecuente en fibra y datos móviles), lo que impide que el tráfico entrante llegue aunque todo esté bien configurado.
- Se cambió el puerto en la configuración de WireGuard pero no se actualizó la redirección en el router.
Cómo comprobarlo por línea de comandos
Al ser UDP, ni Test-NetConnection ni nc pueden confirmar con certeza un "abierto": si no hay respuesta dentro del timeout, el resultado más fiable es probar el handshake real con un cliente WireGuard.
Windows (PowerShell):
Test-NetConnection servidor -Port 51820Linux / macOS:
nc -uvz servidor 51820Firewall
El puerto UDP configurado debe estar abierto de entrada en el servidor y, si está detrás de un router doméstico, redirigido explícitamente como UDP (no como TCP).
Seguridad
- Cambiar el puerto 51820 por defecto reduce el ruido de escaneos automáticos, aunque la seguridad real de WireGuard depende de las claves, no del puerto.
- Restringir por firewall qué IPs de origen pueden intentar el handshake, si el conjunto de clientes es conocido y estable.
- Mantener actualizado el kernel o el paquete de WireGuard del servidor.
Servicios relacionados
Preguntas frecuentes
UDP me sale siempre como "abierto o filtrado", nunca como "abierto", ¿es normal?
Sí, es una limitación inherente de UDP: al no existir confirmación de conexión, si el servidor no responde a un paquete de prueba no se puede distinguir con certeza un puerto abierto de uno filtrado. Para WireGuard en concreto, lo más fiable es comprobar si el handshake real del cliente se completa.
¿Cómo sé si estoy detrás de un CG-NAT?
Si la IP pública que ves en el router no coincide con la que muestra un "cuál es mi IP" consultado desde dentro de tu red, es probable que tu operador use CG-NAT, lo que impide el acceso entrante aunque abras el puerto correctamente.
¿Debo cambiar el puerto 51820 por defecto?
No es tan crítico como en SSH, pero cambiarlo reduce el ruido de los escaneos automáticos que prueban puertos VPN conocidos.