¿Quién está conectado a tu wifi?

Haz la cuenta: los móviles de casa, los portátiles, la tele, la consola, el altavoz, el enchufe inteligente, el robot aspirador, la cámara que compraste en oferta. En una casa normal hay fácilmente veinte aparatos conectados a la red, y casi nadie sabe decir cuáles son. Entre ellos puede haber un vecino que aprovecha tu wifi o un trasto con una contraseña de fábrica que cualquiera puede adivinar.

Saber qué hay en tu red es el primer paso para protegerla. En este tutorial harás inventario con nmap, la herramienta libre de exploración de redes por excelencia: descubrirás todos los aparatos conectados, les pondrás nombre y verás qué puertas tiene abiertas cada uno. Elige tu sistema en el desplegable de arriba.

Explora solo redes que sean tuyas o que administres con permiso. Escanear redes ajenas puede ser ilegal, y en cualquier caso es de mala educación. Todo lo que hay aquí es para tu casa o tu oficina.

Paso 1: lo más rápido, el router

Antes de instalar nada, mira lo que sabe tu router. Entra en su página de configuración (normalmente http://192.168.1.1 o http://192.168.0.1; la dirección y la contraseña suelen venir en una pegatina debajo) y busca una sección como «Dispositivos conectados», «Clientes DHCP» o «Mapa de red».

Es un buen punto de partida, pero no está completo: no siempre muestra los aparatos con dirección fija, los que están detrás de otro router o los que llevan un rato dormidos. Para eso está nmap.

Paso 2: instalar nmap

sudo apt install nmap

sudo apt install nmap

sudo dnf install nmap

sudo pacman -S nmap

brew install nmap

winget install Insecure.Nmap

Paso 3: averiguar el rango de tu red

nmap necesita saber qué direcciones recorrer. Averigua la de tu equipo y el tamaño de la red:

ip -brief address

lo               UNKNOWN        127.0.0.1/8 ::1/128
wlp2s0           UP             192.168.1.34/24 fe80::3a2c:1fff:fe4b:a1c2/64

ip -brief address

lo               UNKNOWN        127.0.0.1/8 ::1/128
wlp2s0           UP             192.168.1.34/24 fe80::3a2c:1fff:fe4b:a1c2/64

ip -brief address

lo               UNKNOWN        127.0.0.1/8 ::1/128
wlp2s0           UP             192.168.1.34/24 fe80::3a2c:1fff:fe4b:a1c2/64

ip -brief address

lo               UNKNOWN        127.0.0.1/8 ::1/128
wlp2s0           UP             192.168.1.34/24 fe80::3a2c:1fff:fe4b:a1c2/64

ipconfig getifaddr en0
ipconfig getoption en0 subnet_mask

192.168.1.34
255.255.255.0

ipconfig

Adaptador de LAN inalámbrica Wi-Fi:

   Dirección IPv4. . . . . . . . . . . . . . : 192.168.1.34
   Máscara de subred . . . . . . . . . . . . : 255.255.255.0
   Puerta de enlace predeterminada . . . . . : 192.168.1.1

Tu equipo es 192.168.1.34, y la máscara 255.255.255.0 (o el /24 del final) significa que la red son las 256 direcciones que empiezan por 192.168.1.. En la notación que entiende nmap, 192.168.1.0/24. Si tu red es otra, como 192.168.0.x o 10.0.0.x, cambia el rango en los pasos siguientes.

Paso 4: el barrido

Pide a nmap que busque todos los aparatos de la red, sin explorar todavía sus puertos (eso es lo que significa -sn):

sudo nmap -sn 192.168.1.0/24

sudo nmap -sn 192.168.1.0/24

sudo nmap -sn 192.168.1.0/24

sudo nmap -sn 192.168.1.0/24

sudo nmap -sn 192.168.1.0/24

nmap -sn 192.168.1.0/24

Starting Nmap 7.95 ( https://nmap.org ) at 2026-10-27 19:02 CET
Nmap scan report for router.home (192.168.1.1)
Host is up (0.0031s latency).
MAC Address: 3C:84:6A:12:34:56 (TP-Link)
Nmap scan report for 192.168.1.20
Host is up (0.012s latency).
MAC Address: B8:27:EB:AA:BB:CC (Raspberry Pi Foundation)
Nmap scan report for 192.168.1.37
Host is up (0.084s latency).
MAC Address: 7C:A7:B0:11:22:33 (Shenzhen Bilian Electronic)
Nmap scan report for 192.168.1.41
Host is up (0.21s latency).
MAC Address: 5A:0F:3E:44:55:66 (Unknown)
Nmap done: 256 IP addresses (9 hosts up) scanned in 3.12 seconds

Los permisos de administrador no son por capricho: con ellos, nmap pregunta a cada dirección a través del protocolo ARP, al que tienen que responder incluso los aparatos que ignoran los ping. Y así puede enseñarte la dirección MAC de cada uno, con el fabricante de su tarjeta de red entre paréntesis.

Paso 5: ponerle nombre a cada cosa

Haz una lista con cada dirección, su fabricante y lo que crees que es. Algunas pistas:

• El fabricante suele delatar el aparato: una Raspberry Pi, una impresora HP, una tele Samsung. Los nombres raros, como «Shenzhen Bilian» o «Espressif», suelen ser el chip wifi de enchufes, bombillas y cámaras baratas.
• «Unknown» con una MAC cuyo segundo carácter es 2, 6, A o E es casi siempre un móvil o un portátil. Por privacidad, los sistemas modernos usan una dirección MAC inventada para cada red, que no corresponde a ningún fabricante. Comprueba la de tu móvil en sus ajustes de wifi.
• Pregunta al aparato qué es. Con la opción -O, nmap intenta adivinar su sistema operativo por cómo responde: sudo nmap -O 192.168.1.37.
• Apaga y compara. Desconecta un aparato, repite el barrido y mira qué dirección ha desaparecido.

Si al final queda algo que no eres capaz de identificar, salta al paso 7.

Paso 6: qué puertas tiene abiertas cada aparato

Cada servicio que ofrece un aparato escucha en un puerto. Para ver los de uno concreto, y qué programa hay detrás de cada uno (-sV):

sudo nmap -sV 192.168.1.37

sudo nmap -sV 192.168.1.37

sudo nmap -sV 192.168.1.37

sudo nmap -sV 192.168.1.37

sudo nmap -sV 192.168.1.37

nmap -sV 192.168.1.37

PORT     STATE SERVICE VERSION
23/tcp   open  telnet  BusyBox telnetd
80/tcp   open  http    lighttpd 1.4.35
554/tcp  open  rtsp

Este ejemplo es el de una cámara barata, y es un mal ejemplo a propósito: tiene abierto telnet, un acceso remoto sin cifrar que casi siempre lleva una contraseña de fábrica conocida, y un servidor web con una versión de hace años. Es exactamente el tipo de aparato que acaba formando parte de una red de bots.

Señales de alarma:

• Telnet (23), FTP (21) o paneles web sin HTTPS en aparatos que no has configurado tú.
• Versiones muy antiguas de cualquier servicio.
• Puertos que no esperas en un aparato que debería ser sencillo, como una bombilla.

Qué hacer con cada uno: cambiar la contraseña de fábrica, actualizar el firmware, desactivar los servicios que no usas desde su configuración y, si no hay manera de arreglarlo, sacarlo a una red aparte (paso siguiente) o dejar de usarlo.

Paso 7: echar a quien sobra y cerrar la puerta

Si has encontrado un aparato que no es de nadie de casa, o quieres empezar de cero:

1. Cambia la contraseña de la wifi por una larga, de frase. Todos los aparatos se desconectarán y tendrás que volver a conectar los tuyos, que es justo lo que quieres: entrará solo quien tenga la nueva.
2. Usa WPA3, o WPA2 con cifrado AES si algún aparato no admite WPA3. Nada de WEP ni de WPA a secas.
3. Desactiva WPS, el botón o PIN para conectar sin contraseña. Su PIN se puede adivinar en pocas horas.
4. Cambia la contraseña del propio router, la de su página de configuración, si sigue siendo la de la pegatina.
5. Actualiza el firmware del router desde su página de configuración.
6. Desactiva UPnP y la administración remota si no los necesitas. UPnP deja que cualquier aparato de tu red abra puertos hacia internet sin preguntarte.
7. Crea una red de invitados y mete en ella las visitas y los aparatos «inteligentes». Desde ahí tienen internet, pero no ven tus ordenadores ni tus discos.

Bloquear un aparato por su dirección MAC, como permiten muchos routers, ayuda poco: cualquiera puede cambiar la suya en dos clics.

Extra: lo que ve internet de tu casa

Hasta aquí has mirado tu red desde dentro. Falta saber qué se ve desde fuera, que es lo que ven los bots. Averigua tu IP pública desde casa:

curl ifconfig.me

Y explórala desde fuera de tu red: desde un servidor tuyo en la nube, por ejemplo. Solo tu IP, nunca la de otros:

nmap -Pn 203.0.113.77

Lo ideal es que no aparezca ningún puerto abierto. Si sale alguno que no esperabas, busca en el router reglas de redirección de puertos (port forwarding) que no recuerdes haber creado; es lo que deja UPnP cuando está activo. Y si lo que necesitas es llegar a casa desde fuera, hay una forma mucho mejor que abrir puertos: tu propia VPN con WireGuard.

Listo

Ya sabes qué hay en tu red, qué es cada cosa y qué puertas tiene abiertas. Repite el barrido de vez en cuando, sobre todo cuando metas un aparato nuevo en casa. Y para quitarles a todos ellos buena parte de la publicidad y el rastreo, ponles delante un Pi-hole.