- Els ports VPN són canals numerats que usen els protocols (OpenVPN, WireGuard, IPsec, etc.) per crear el túnel xifrat entre el dispositiu i el servidor.
- Cada protocol té ports per defecte (1194 UDP, 51820 UDP, 500/4500 UDP, 1701 TCP, 443 TCP) i només obrir els necessaris redueix riscos de seguretat.
- Obrir ports al router és imprescindible si muntes el teu propi servidor VPN, però s'ha de fer amb firewall, programari actualitzat i autenticació forta.
- Escollir un bon protocol i proveïdor, juntament amb una configuració de ports cuidada, millora la velocitat, la privadesa i la protecció davant d'atacs.
Usar una VPN s'ha convertit en una cosa gairebé obligatòria si vols navegar amb certa tranquil·litat, però hi ha un detall tècnic de què es parla molt menys: els ports VPN i com afecten la teva seguretat, velocitat i privadesa . Triar bé el port i obrir-lo correctament al router marca la diferència entre una connexió fluida i un túnel insegur o directament inservible.
A més, cada protocol VPN (OpenVPN, WireGuard, IPsec, L2TP, etc.) utilitza un o més ports concrets , i no tots són igual d'assegurances ni igual de ràpids. Tenir mig router ple de ports oberts “per si de cas” tampoc és bona idea: com més ports exposats, més oportunitats li dónes a un atacant per colar-se a la teva xarxa. A veure amb calma quins ports usen les VPN, quan convé obrir-los i quins riscos implica.
Què és exactament un port VPN
A les xarxes, un port és com la “porta” lògica per la qual entra i surt un tipus de trànsit concret en un dispositiu (router, PC, NAS, mòbil…). Igual que un hotel té habitacions numerades, Internet utilitza fins a 65.536 números de port per organitzar les dades i saber quina aplicació els ha de rebre.
Quan utilitzeu una VPN, el vostre dispositiu envia el trànsit xifrat cap al servidor VPN a través d'un d'aquests ports (passant primer pel vostre encaminador). Aquest port es converteix en la porta dentrada i sortida del túnel xifrat. Si el port està bloquejat al router o per algun firewall, la VPN no aixecarà el túnel o funcionarà de forma molt inestable.
De manera molt resumida, els ports VPN són canals numerats assignats a un protocol VPN (OpenVPN, WireGuard, IPsec/IKEv2, L2TP, etc.) perquè el trànsit xifrat viatgi correctament entre el dispositiu i el servidor.
Internet organitza aquests números de port en tres grans rangs amb usos força definits, i entendre'ls ajuda molt a saber on es mouen les VPN:
- Ports del 1 al 1024: reservats per a serveis molt coneguts (HTTP, HTTPS, POP3, SSH, etc.). Se'ls anomena sovint “ports ben coneguts”.
- Ports del 1025 al 49151: usats per aplicacions i serveis de forma més lliure. La majoria de protocols VPN usen ports d'aquest rang, encara que no exclusivament.
- Ports del 49152 al 65535: ports dinàmics o privats, molt habituals en connexions directes entre equips (P2P) o com a ports efímers assignats temporalment.
A la pràctica, quan configures un servidor VPN a casa oa l'oficina, necessitaràs obrir un o diversos ports concrets al router perquè el trànsit des d'Internet arribi a aquest servidor. Si no ho fas, el router bloquejarà les connexions entrants i ningú no podrà accedir al teu VPN des de fora de la xarxa local.
Ports per defecte dels principals protocols VPN
Cada protocol VPN té els seus ports típics, i alguns ni tan sols permeten canviar-los. Altres són molt flexibles i poden fer servir pràcticament qualsevol port TCP o UDP. El que és fonamental és saber quin protocol fas servir i quin port li correspon per no obrir coses a l'atzar.
PPTP (Point to Point Tunneling Protocol)
PPTP va ser un dels primers protocols VPN populars, però avui dia es considera completament insegur i obsolet per les seves debilitats de xifratge. Tècnicament continua existint en molts sistemes, però és més un llast històric que una altra cosa.
Aquest protocol utilitza el port 1723 TCP . Atès que PPTP acumula vulnerabilitats i el seu xifratge és molt feble, el més prudent és no fer-lo servir i mantenir el port 1723 tancat al router. Si en algun manual veus que recomanen obrir aquest port per “posar una VPN ràpida”, sospita.
L2TP i L2TP/IPsec
L2TP (Layer 2 Tunneling Protocol) va néixer com a evolució del mateix PPTP per corregir molts dels seus errors, però per si sol no xifra el contingut . Per això, a la pràctica s'utilitza gairebé sempre juntament amb IPsec (L2TP/IPsec), que és qui aporta el xifratge, l'autenticació i la integritat de les dades.
El component L2TP utilitza el port 1701 amb TCP i aquest port està estandarditzat, no es pot canviar sense trencar la compatibilitat. Tot i així, la seguretat real ve d'IPsec , que és qui xifra els paquets que viatgen per dins del túnel L2TP.
IPsec / IKEv2
IPsec (Internet Protocol Security) és un conjunt de protocols dissenyat per assegurar les comunicacions directament a nivell IP . Permet xifrar i autenticar cada paquet de dades individualment. IKE (i la versió millorada IKEv2) s'encarreguen de negociar el tipus de xifratge, l'autenticació i l'intercanvi de claus entre el client i el servidor.
Perquè IPsec funcioni correctament a la majoria d'escenaris NAT habituals, s'utilitzen dos ports UDP clau: UDP 500 i UDP 4500 . En alguns textos o configuracions antigues encara veureu alguna referència a un “1500”, però en l'ús estandarditzat actual els ports rellevants són 500 i 4500 UDP.
Aquests ports no són intercanviables per altres qualsevol : els estàndards d'IPsec els fixen, així que no pots posar “un altre port més rar per a més seguretat” sense trencar el protocol. També és important recordar que IPsec funciona directament sobre IP, no sobre TCP o UDP a nivell d'aplicació, per això la gestió de ports i NAT tingui les seves peculiaritats.
OpenVPN
OpenVPN és probablement el protocol VPN més estès entre serveis comercials i muntatges casolans. És de codi obert, molt auditat i ofereix un bon equilibri entre seguretat, flexibilitat i rendiment . Treballa a la capa de transport, recolzant-se en TLS (normalment TLS 1.2 o 1.3) per al canal de control i en xifrats robusts com AES-256-GCM o ChaCha20 per al canal de dades.
Per defecte, OpenVPN utilitza el port 1194 UDP , encara que també pot funcionar sobre 1194 TCP . De fet, un dels seus grans avantatges és que permet utilitzar pràcticament qualsevol port TCP o UDP . És molt habitual, per exemple, configurar-lo sobre el port 443 TCP per camuflar el trànsit com si fos HTTPS i així passar més fàcilment per tallafocs restrictius.
WireGuard
WireGuard és el protocol de moda al món VPN. Està dissenyat amb una filosofia minimalista: molt poques línies de codi, xifrat modern per defecte i un rendiment espectacular tant a routers, NAS i Raspberry Pi com a servidors d'alt rendiment.
Utilitza com a defecte el port 51820 UDP , encara que es pot configurar qualsevol altre port sempre que sigui UDP (WireGuard no funciona sobre TCP ). Aquesta flexibilitat permet adaptar-lo a les restriccions de cada xarxa, però el més habitual és deixar-lo en 51820, llevat que tinguis un motiu concret per canviar-lo.
SSTP (Secure Socket Tunneling Protocol)
SSTP és un protocol propietat de Microsoft que encapsula el trànsit VPN dins una connexió TLS sobre el port 443 TCP . Això ho fa molt útil en entorns on les VPN estan molt limitades, perquè es comporta de forma molt semblant a un trànsit HTTPS normal i travessa molts tallafocs sense problemes.
Té, això sí, el desavantatge de ser un estàndard tancat i dependent de Microsoft, per la qual cosa no està tan auditat ni tan disponible en tants dispositius com OpenVPN o WireGuard.
Com obrir els ports VPN al teu router
Perquè algú pugui connectar-se des d'Internet al teu servidor VPN casolà, necessites que el router sàpiga què fer amb les connexions entrants a un port concret . Aquesta és just la funció del port forwarding, redirecció de ports o “Permetre accés” segons en digui la interfície del teu router.
El primer pas és entrar a la configuració web del router . Normalment n'hi ha prou amb escriure al navegador 192.168.1.1 o 192.168.0.1 (pot variar segons l'operador) i després introduir usuari i contrasenya, que solen venir en un adhesiu al propi dispositiu si no els has canviat.
Un cop dins hauràs de buscar l'apartat relacionat amb l'obertura o redirecció de ports . Es pot anomenar “Port Forwarding”, “NAT”, “Configuració de ports”, “Permetre accés”… Cada fabricant (Asus, FRITZ!Box, NETGEAR, D-Link, etc.) l'etiqueta de manera diferent, així que toca bussejar una mica pels menús d'Internet o WAN.
Per a cada protocol VPN que has de fer servir, hauràs de crear una regla que apunti el port corresponent al dispositiu intern que actua com a servidor (per exemple, un NAS, una Raspberry Pi o un router amb servidor VPN integrat). És imprescindible que aquest dispositiu tingui sempre la mateixa IP local, ja sigui mitjançant DHCP estàtic al router o configurant una IP fixa al propi equip.
Un exemple típic: si munteu un servidor L2TP/IPsec en un NAS amb IP local 192.168.1.3, haureu de crear regles per redirigir el port 1701 TCP i els ports 500 i 4500 UDP cap a aquesta IP. A molts routers veuràs la regla com una línia on tries nom, protocol (TCP, UDP o tots dos), port extern i port intern, més l'adreça IP de l'equip.
Exemple pràctic: obertura de ports per a una VPN L2TP
Imagina que tens un servidor VPN L2TP/IPsec a casa i vols connectar-te des de fora per accedir a la teva xarxa domèstica. Perquè funcioni de veritat, no n'hi ha prou d'activar la VPN al NAS o al router avançat , cal fer que el router principal deixi passar i redirigeixi aquest trànsit.
Al panell del router buscaries la secció de “Port Forwarding” o equivalent i crearies una regla amb, per exemple, el nom “VPN-L2TP”. Seleccionaries el protocol TCP i assignaries com a port extern i intern el 1701. Després indicaries que aquesta regla apunti a la IP local del servidor (per exemple, 192.168.1.3).
Després hauràs d'afegir les regles per als ports UDP 500 i 4500 necessaris per a IPsec, de nou redirigint-los a la mateixa IP del servidor VPN. Alguns encaminadors permeten definir un rang o un grup de ports en una sola regla; en altres les hauràs de crear per separat.
Quan apliquis els canvis, si la configuració del servidor VPN és correcta i tens ben configurada l'autenticació, ja et podràs connectar des de fora de casa utilitzant el teu domini o adreça pública i el protocol L2TP/IPsec . Si alguna cosa falla, sol ser per un port mal encaminat, IP local equivocada o un firewall intermedi bloquejant el trànsit.
Raons per muntar el teu propi servidor VPN i obrir ports
Més enllà de contractar un servei comercial de NordVPN, Surfshark, CyberGhost i companyia, molts usuaris aposten per tenir el seu propi servidor VPN a casa o al núvol . Això requereix obrir ports, però a canvi ofereix força control i avantatges interessants.
A l'àmbit domèstic és cada vegada més comú que la gent substitueixi el router de l'operador per equips de fabricants reconeguts com ASUS, FRITZ!Box, NETGEAR o D-Link , o que afegeixi un servidor NAS o una Raspberry Pi a la xarxa. Tots aquests dispositius solen incloure funcions de servidor VPN força completes.
Muntar la teva pròpia VPN et permet connectar-te de forma segura a casa teva o oficina des de qualsevol lloc , com si estiguessis físicament allà: accés a fitxers compartits, impressores, servidor multimèdia, domòtica, etc. A més, no depens de tercers ni de les seves polítiques de registre ; tu controles les dades que passen pel túnel.
També guanyes flexibilitat: pots triar el protocol que més t'interessi (OpenVPN, IPsec, WireGuard, L2TP/IPsec) en funció de si prioritzes seguretat, velocitat, compatibilitat amb mòbils, facilitat de configuració, etc. I pots ajustar potència, ubicacions (si uses el núvol) i recursos al teu gust.
Això sí, l'altra cara de la moneda és que la seguretat recau totalment sobre tu . Heu de mantenir el router, NAS o Raspberry Pi actualitzats, revisar la configuració dels ports i estar atent a possibles vulnerabilitats. I si el servidor sempre està encès, també implica un petit increment en el consum elèctric i en el manteniment.
Impacte de la VPN i dels ports en el rendiment de la xarxa
Activar una VPN no és gratuïta a nivell de rendiment: xifrar i desxifrar dades afegeix càrrega de processador i una mica de latència . Si la vostra connexió a Internet és justa o el vostre servidor VPN és poc potent, ho notaràs de seguida.
L'impacte depèn, entre altres coses, del protocol de VPN que utilitzeu . OpenVPN i WireGuard solen oferir un bon equilibri entre seguretat i velocitat, mentre que combinacions com L2TP/IPsec poden introduir més sobrecàrrega de xifratge i, per tant, més pèrdua de rendiment.
La ubicació del servidor també pesa: com més lluny estigui el servidor VPN de la vostra ubicació real, més latència i menys velocitat percebuda . Si no necessites simular que ets en un altre país, és recomanable triar servidors relativament propers.
A això cal sumar la congestió de la xarxa i les hores punta : si molts usuaris estan usant el mateix servidor o el mateix enllaç al mateix temps, és normal que notis baixades de velocitat i inestabilitat, amb o sense VPN.
En resum, la combinació de xifrat, distància i saturació fa que una VPN poques vegades arribi a la velocitat completa de la teva connexió bruta. Tot i així, amb un bon protocol i un servidor decent pots acostar-te força a la teva màxima teòrica , especialment amb tecnologies modernes com WireGuard.
Quan té sentit obrir ports VPN i quan no
Obrir ports no és una cosa que s'hagi de fer alegrement. Cada port obert és una possible porta d'entrada a la teva xarxa , així que convé tenir molt clar quan és estrictament necessari.
T'has de plantejar obrir un port VPN quan necessites que un dispositiu o aplicació dins la teva xarxa local sigui accessible des de l'exterior a través d'un túnel xifrat. És el cas típic d'un servidor VPN casolà o corporatiu on vols accedir des de fora.
En canvi, si estàs usant una VPN comercial des del teu portàtil o mòbil únicament per sortir a Internet de forma més privada , no has d'obrir res al teu router: en aquest escenari el teu dispositiu actua com a client, no com a servidor, i totes les connexions s'estableixen des de dins cap a fora.
Com a norma general, és recomanable obrir únicament el port just que necessita el protocol VPN escollit i tancar-lo si deixes d'utilitzar aquest servei. Evita tenir diversos ports de VPN oberts “per si de cas” i molt menys ports innecessaris associats a protocols obsolets com a PPTP.
I, per descomptat, si obriràs ports, reforça la protecció global amb un bon tallafocs i antivirus en tots els equips, perquè un port mal defensat pot ser un caramel per al codi maliciós i els atacants automatitzats.
Riscos d'obrir ports VPN i altres ports al router
Des del punt de vista de la seguretat, com més ports tinguis oberts, més gran és la superfície d'atac . Els ciberdelinqüents escanegen contínuament rangs d'IP i ports per localitzar serveis exposats que puguin explotar.
Molt malware i eines d'atac automatitzades se centren en ports concrets coneguts per llençar atacs de força bruta, explotació de vulnerabilitats o segrest de dispositius. Si aquests ports estan oberts sense una bona raó ni protecció adequada, regales oportunitats.
A més, si un atacant aconsegueix entrar per un d'aquests ports mal protegits, pot provocar des de modificacions a la teva configuració DNS per redirigir-te a webs falses , fins a atacs man-in-the-middle per espiar i manipular el teu trànsit, o fins i tot enganxar el teu router a una botnet per llançar atacs de denegació de servei (DoS) a tercers.
Un altre perill són les xarxes Wi-Fi falses o clons de la teva pròpia xarxa que atacants poden crear per enganyar usuaris poc atents. Encara que això no depèn directament dels ports, sí que forma part del mateix ecosistema de riscos quan la teva infraestructura de xarxa no està ben assegurada.
Per això és tan important obrir només els ports imprescindibles perquè el teu VPN funcioni i optar per protocols moderns i ben auditats, en lloc de reactivar vells ports associats a tecnologies plenes de forats.
Bones pràctiques de seguretat en exposar un port VPN
Si heu decidit obrir un port per muntar el vostre propi servidor VPN, hi ha una sèrie de mesures senzilles que redueixen molt el risc que aquest port es converteixi en un problema.
La primera és tenir un firewall correctament configurat , ja sigui al propi router o al dispositiu que fa de servidor VPN. L'ideal és permetre només el trànsit estrictament necessari cap al port VPN i bloquejar tota la resta que no calgui.
Una altra bona pràctica és restringir l'accés al port VPN a rangs d'IP concrets (per exemple, les IP mòbils que utilitzes habitualment) sempre que el vostre cas d'ús ho permeti. No és viable per a tothom, però quan es pot aplicar hi afegeix una capa extra de protecció.
També convé desactivar funcions com UPnP al router, que permeten a dispositius i aplicacions obrir ports automàticament sense que t'assabentis. És còmode, sí, però un risc innecessari a molts escenaris domèstics.
Finalment, assegureu-vos que tot el programari implicat està al dia : firmware del router, sistema operatiu del NAS o Raspberry Pi, programari del servidor VPN i clients. Les actualitzacions corregeixen vulnerabilitats que, si no instal·les, deixen portes obertes encara que creguis que estàs protegit.
A nivell d'autenticació, planteja't utilitzar certificats TLS o claus segures en lloc de només contrasenyes , especialment a OpenVPN i similars. Les contrasenyes febles són carn de canó per a atacs de força bruta i diccionari quan un port està exposat a Internet.
Per què els ports VPN importen tant per a la teva privadesa i la teva seguretat
Darrere de tota aquesta teoria hi ha un motiu clar: sense un port VPN correctament configurat, el teu trànsit segueix passant en clar davant del teu proveïdor d'Internet i qualsevol que intercepti la teva connexió . El teu ISP pot registrar la teva navegació, vendre dades anonimitzades a tercers i, a determinats països, cedir informació a governs o agències.
Una VPN ben muntada actua com a intermediari anònim entre el teu dispositiu i Internet : el lloc web que visites veu la IP del servidor VPN, no la teva real, i el contingut de les teves comunicacions viatja xifrat. Això complica molt la vida a qualsevol que intenti espiar o manipular el teu trànsit, especialment a xarxes Wi-Fi públiques.
Això sí, cal tenir present que no totes les VPN són iguals . Molts serveis gratuïts es financen precisament recopilant i venent dades d'ús, mostrant publicitat intrusiva o limitant tant l'amplada de banda i el nombre de servidors que l'experiència esdevé un suplici.
Per això, si optes per una VPN de pagament, val la pena fixar-se en la seva política de registres, els protocols que ofereix (OpenVPN, WireGuard, IKEv2/IPsec) , si disposa de funcions com kill switch i protecció contra fuites de DNS, el nombre i distribució de servidors i, per descomptat, la velocitat real que aconsegueixes a les teves condicions d'ús.
Tipus de VPN i la seva relació amb els ports
No totes les VPN es fan servir igual ni es configuren de la mateixa manera, i això també influeix en quins ports s'obren, on i amb quin objectiu . A grans trets, podem distingir-ne diversos tipus.
Les VPN personals o de consum són les típiques que instal·les al teu mòbil o ordinador per navegar de forma privada, saltar-te blocs geogràfics o protegir-te en Wi-Fi públiques. Aquí el proveïdor gestiona els ports als seus servidors, i tu només necessites que la teva connexió sortint pugui fer servir determinats ports (sovint 1194 UDP, 443 TCP o altres).
A les VPN de client a lloc (VPN obertes o corporatives) , l'administrador defineix un servidor central i distribueix fitxers de configuració als equips que necessiten accés. En aquest cas, el servidor ha d'exposar el port corresponent (per exemple, 1194 UDP per a OpenVPN o 51820 UDP per a WireGuard) i el tallafoc de l'empresa ha de permetre aquest trànsit.
A les VPN de lloc a lloc (punt a punt) , molt usades entre seus d'empreses, els encaminadors o tallafocs de cada delegació creen túnels permanents entre xarxes . Aquí s'obren ports als dos extrems, però l'usuari final ni se n'assabenta: veu tots els recursos com si fossin part d'una única xarxa interna repartida per diferents ciutats o països.
Finalment, les VPN d'accés remot o SSL usen normalment ports molt comuns com el 443 TCP perquè els empleats puguin connectar-se des de qualsevol lloc sense barallar-se amb tallafocs estrictes. De nou, el servidor corporatiu exposa el port i aplica regles estrictes per controlar qui entra ia quins recursos hi accedeix.
VPN a ordinadors i mòbils: he d'obrir alguna cosa?
El dia a dia, la majoria d'usuaris es connecten a una VPN des d' un ordinador amb Windows, macOS o Linux, o des d'un mòbil Android o iOS . En aquests casos, el més normal és que actuïs només com a client i que no hagis de tocar res al teu router.
Windows, macOS, moltes distribucions Linux i els propis Android i iOS ja inclouen clients VPN integrats capaços de connectar-se a diferents protocols (IPsec, L2TP, IKEv2, etc.). A més, podeu instal·lar clients específics del vostre proveïdor, extensions per al navegador o apps dedicades.
Les extensions VPN per a navegadors com Chrome, Firefox o Opera només protegeixen el trànsit que passa per aquest navegador , no la resta d'aplicacions del sistema (com ara jocs, clients P2P o programes de correu). Per a una protecció global, és millor fer servir el client a nivell de sistema o un router VPN.
En mòbils, instal·lar i utilitzar una VPN sol ser tan senzill com descarregar l'app, iniciar sessió i triar un servidor . Per a usos més avançats (per exemple, connectar amb un servidor propi), podeu configurar connexions manuals des de la configuració del sistema usant les dades que us proporcioni el vostre administrador o el vostre proveïdor.
A cap d'aquests escenaris típics cal obrir ports a la teva xarxa local: les connexions s'estableixen des de dins cap a fora , aprofitant ports de sortida que gairebé sempre estan permesos (com el 443 TCP o ports UDP estàndard dels proveïdors).
Com triar una bona combinació de VPN, protocol i ports
Si vols treure el màxim partit a una VPN sense complicar-te més del compte, val la pena prendre's un moment per triar bé el servei i el protocol , perquè això també condiciona quins ports utilitzaràs i com es comportarà la connexió.
A nivell de seguretat, convé cercar proveïdors que ofereixin xifrat fort (AES-256 o equivalent), protocols moderns (OpenVPN, WireGuard, IKEv2/IPsec) i polítiques clares de no registre. També suma punts que incloguin funcions com kill switch, protecció contra fuites de DNS i suport per a múltiples dispositius.
Quant al rendiment, fixeu-vos a la xarxa de servidors i la vostra ubicació . Com més servidors i més repartits estiguin, més fàcil serà trobar-ne un de proper i ràpid. Alguns serveis fins i tot permeten canviar de port o protocol des de l'app per adaptar-se a xarxes restrictives (per exemple, saltar de l'OpenVPN UDP a TCP sobre 443).
La compatibilitat també és clau: assegura't que la VPN funciona bé en tots els dispositius clau (PC, mòbil, tablet, smart TV, consola, etc.) i valora si t'interessa instal·lar-la directament en un router compatible per protegir tota la xarxa sense configurar equip per equip.
Entendre què són i com funcionen els ports VPN t'ajuda a configurar millor les teves connexions, evitar exposicions innecessàries i treure tot el partit a la seguretat i la privadesa que ofereix una bona xarxa privada virtual , ja sigui muntada per tu mateix a casa o contractada a un proveïdor especialitzat.
