Consola con NAT estricta: qué revisar antes de abrir puertos

Cómo ver tu tipo de NAT en cada consola

Qué dice cada fabricante:

• Xbox: con NAT estricta solo puedes jugar con personas que tengan NAT abierta y no puedes ser anfitrión. Con moderada, puede que no conectes con algunas personas. Con No disponible, no podrás usar el chat de grupo ni el multijugador de algunos juegos.
• PlayStation: el tipo 1 es conexión directa a internet, el tipo 2 es a través de un router y el tipo 3 también, pero con la comunicación limitada. Sony avisa de que con el tipo 3 puede que no conectes con otras consolas ni uses el Uso a distancia.
• Nintendo: el tipo A es el más adecuado y el B es compatible con la mayoría. Con el C puedes tener problemas con jugadores más restrictivos, con el D normalmente solo conectas con quien tenga A y con el F no podrás conectar con otros jugadores.

Nintendo recuerda algo importante: en cada conexión influye tu NAT y la del otro jugador. Si solo fallas con una persona concreta, puede que el problema esté en su casa.

Paso 1. Reinicia bien

Parece poca cosa, pero la tabla de conexiones del router se "limpia" al reiniciar. Xbox recomienda un apagado completo: quitar la corriente, esperar de 10 a 20 segundos y volver a enchufar la consola y el router. Sony, para los errores de conexión de PS5, pide apagar router y módem y esperar al menos 5 minutos. Si tu operador te instaló una caja de fibra aparte, apágala también.

Después, repite la prueba de NAT. Si ya sale abierta, has terminado. Tienes más detalle en cómo reiniciar el router correctamente.

Paso 2. UPnP, el ajuste que lo arregla casi siempre

UPnP permite que la consola pida al router que le abra los puertos que necesita en cada momento, sin que tengas que escribir nada. Xbox indica que, si el router lo admite, suele venir activado de serie.

Si ya está activado y aun así tienes NAT estricta, Xbox propone refrescarlo:

1. Entra en la configuración del router (si no sabes cómo, sigue cómo entrar en la configuración del router).
2. Desactiva UPnP y guarda.
3. Apaga del todo la consola, el router y el módem si lo tienes aparte.
4. Vuelve a activar UPnP y guarda. Si hay una opción llamada Zero Config, actívala también.
5. Reinicia el router y repite la prueba de NAT.

En los routers TP-Link, UPnP está en la parte avanzada, dentro de NAT Forwarding; en los Deco, en Más, Avanzado, NAT Forwarding. En los routers de operador el nombre del menú cambia según el modelo: busca "UPnP" en el apartado de red o de puertos.

Una advertencia honesta: TP-Link recuerda que UPnP también lo puede usar una aplicación maliciosa para abrir puertos sin que te enteres. Por eso recomienda desactivarlo si no lo usas y mantener el firmware del router al día. Actualizar el firmware es, de hecho, el siguiente paso que proponen Xbox, Sony y Nintendo.

Paso 3. La doble NAT, el culpable más habitual en casa

Si tienes dos routers encadenados, cada uno hace su propia NAT. La consola queda detrás de dos porteros y el segundo no puede abrir nada en el primero. Pasa mucho cuando pones:

• un Mesh o un router propio conectado al router del operador, y los dos funcionan como router;
• un router 4G o 5G detrás de otro router.

La Xbox lo dice claramente: te muestra "NAT doble detectado" en el estado de red. Su solución, por orden: poner el primer equipo en modo puente, comprobar si tienes IP pública o privada y, si hace falta, pedir una IP pública al operador.

En la práctica, en casa suele bastar con que solo uno de los dos equipos haga de router. Con un Mesh detrás del router del operador, lo más sencillo es poner el Mesh en modo punto de acceso. Lo explicamos en Mesh con el router del operador. Si estás pensando en cambiar el reparto, router del operador o router neutro te ayuda a decidir.

Paso 4. El CG-NAT del operador

Hay un caso que no se arregla en casa: que el operador comparta una misma IP pública entre varios clientes. Se llama CG-NAT (NAT de operador). Tu router cree que está en internet, pero en realidad hay otro portero más arriba que tú no controlas. Es habitual en conexiones móviles 4G y 5G.

Cómo sospecharlo:

1. Mira en la página de estado del router la dirección IP de internet (WAN).
2. Si empieza por 100.64 a 100.127, está en el bloque que los estándares reservan precisamente para la NAT de operador.
3. Si empieza por 10., 172.16 a 172.31 o 192.168., es una dirección privada: hay otro router o una NAT por encima.
4. Compara con la Dirección IP global que muestra la prueba de conexión de la Switch, o con la que te dé cualquier web de "cuál es mi IP". Si no coinciden con la WAN del router, hay una NAT por encima.

Si es el operador, la única salida es pedirle una IP pública, que es lo mismo que acaba recomendando Xbox. Comprar otro router no cambia nada en este caso. En router 4G o 5G, cuándo compensa tienes en cuenta esta limitación antes de elegir ese tipo de conexión.

Paso 5. Ahora sí: abrir los puertos oficiales

Si UPnP no basta, toca redirigir puertos. Antes, dale a la consola una IP fija (la reserva DHCP del router es lo más cómodo). Si no, el día que cambie de dirección la regla dejará de funcionar. El procedimiento paso a paso está en cómo abrir puertos en el router.

Los puertos que publican los fabricantes:

• Xbox: 88 (UDP), 3074 (UDP y TCP), 53 (UDP y TCP), 80 (TCP), 500 (UDP), 3544 (UDP) y 4500 (UDP). El 9002 (UDP) solo hace falta si usas el juego remoto y la consola marca NAT estricta.
• PS5: TCP 80, 443, 3478, 3479 y 3480; UDP 3478, 3479 y el rango 49152 a 65535.
• Nintendo Switch: la ayuda española de Nintendo que hemos consultado remite a su asistente de NAT y no da una lista que podamos verificar hoy, así que no la reproducimos.

Algunos juegos piden puertos adicionales. Xbox recomienda consultar la web del desarrollador del juego.

Xbox insiste en una regla: no combines reenvío de puertos, UPnP y red perimetral. Elige un método y, si no funciona, deshazlo antes de pasar al siguiente.

Paso 6. La red perimetral (DMZ), solo como último recurso

La DMZ saca un aparato fuera del cortafuegos del router. Xbox la contempla como paso final, con tres condiciones: la consola debe tener IP fija, solo puede haber una consola en la DMZ y hay que desactivarla si no resuelve el problema. Nunca pongas un ordenador en la DMZ: queda expuesto a internet sin protección.