Cheatsheet de Nmap: 40 comandos esenciales con ejemplos y cómo leer los resultados

Nmap es la herramienta básica de cualquiera que trabaje con redes: sirve para saber qué equipos hay encendidos, qué puertos tienen abiertos, qué servicios corren detrás y con qué versión. Lo usan los administradores para hacer inventario y diagnosticar, y los equipos de seguridad para auditar. Es gratuita, está disponible para Linux, Windows y macOS y se maneja desde la terminal.

Esta chuleta recoge 40 comandos agrupados por tarea, con una frase que explica qué hace cada uno. No hace falta memorizarlos: lo importante es saber qué pregunta quieres responder (¿qué equipos hay?, ¿qué puertos están abiertos?, ¿qué versión corre ahí?) y elegir la opción adecuada. Al final tienes cómo interpretar el resultado, una metodología de trabajo y unas recetas para el día a día.

Importante: usa Nmap solo sobre tus propios sistemas, un laboratorio o equipos para los que tengas autorización por escrito. Escanear redes ajenas sin permiso puede ser ilegal y, aunque no lo fuera, un escaneo agresivo puede saturar o tirar servicios frágiles.

Una nota práctica antes de empezar: algunos escaneos (-sS, -sU, -O) necesitan privilegios. En Linux y macOS, antepón sudo; en Windows, abre la terminal como administrador y asegúrate de tener instalado Npcap, que se incluye con el instalador de Nmap. Sin privilegios, Nmap usa alternativas más lentas o menos precisas.

1. Descubrir equipos

Antes de mirar puertos, conviene saber qué hay en la red.

• 01 · nmap -sn 192.168.1.0/24: descubre los equipos activos de la subred sin escanear puertos. Es el primer comando que se lanza en una red desconocida.
• 02 · nmap -sn -PR 192.168.1.0/24: usa solo peticiones ARP. Es el método más fiable en tu red local, porque un equipo con firewall no puede ignorar un ARP. Solo funciona en el mismo segmento.
• 03 · nmap -sn -PE 10.0.0.0/24: usa ping ICMP (echo). Útil para redes remotas que sí responden a ping.
• 04 · nmap -sn -PS22,80,443 10.0.0.0/24: hace el descubrimiento con paquetes TCP SYN a esos puertos. Funciona cuando el ICMP está bloqueado.
• 05 · nmap -sL 192.168.1.0/24: lista los objetivos y resuelve sus nombres DNS sin enviar nada a los equipos. Sirve para comprobar que has escrito bien el rango antes de escanearlo.
• 06 · nmap -sn -iL equipos.txt: lee los objetivos desde un archivo, uno por línea.
• 07 · nmap -sn 192.168.1.0/24 --exclude 192.168.1.1,192.168.1.2: excluye equipos del escaneo, por ejemplo el router o un servidor frágil.
• 08 · nmap -Pn 192.168.1.50: salta el descubrimiento y trata el equipo como activo. Necesario cuando un firewall bloquea las sondas y Nmap lo da por apagado.

2. Escanear puertos

• 09 · nmap 192.168.1.50: escaneo por defecto de los 1000 puertos TCP más habituales.
• 10 · nmap -F 192.168.1.50: escaneo rápido de los 100 puertos más comunes.
• 11 · nmap --top-ports 100 192.168.1.50: elige tú cuántos de los puertos más frecuentes comprobar.
• 12 · nmap -p- 192.168.1.50: comprueba los 65535 puertos TCP. Es el único modo de encontrar servicios en puertos poco habituales.
• 13 · nmap -p 22,80,443 192.168.1.50: solo los puertos que indiques.
• 14 · nmap -p 1-1024 192.168.1.50: un rango de puertos.
• 15 · nmap --open 192.168.1.50: muestra solo los puertos abiertos, lo que limpia mucho la salida.
• 16 · nmap -sU --top-ports 20 192.168.1.50: escanea los 20 puertos UDP más comunes. UDP es lento, así que conviene limitarlo.
• 17 · nmap -sS -sU -p T:80,443,U:53,161 192.168.1.50: mezcla TCP y UDP, indicando con T: y U: a qué protocolo pertenece cada puerto.

3. Técnicas de escaneo TCP

• 18 · nmap -sS 192.168.1.50: escaneo SYN, el predeterminado cuando tienes privilegios. Envía el SYN y no completa la conexión, así que es rápido y deja menos huella.
• 19 · nmap -sT 192.168.1.50: escaneo connect, completa la conexión TCP. Es lo que se usa cuando no tienes privilegios.
• 20 · nmap -sA 192.168.1.50: escaneo ACK. No detecta puertos abiertos, sino que sirve para ver si un firewall filtra o no y de qué forma.
• 21 · nmap -sF 192.168.1.50 (también -sN y -sX): escaneos FIN, Null y Xmas. Sirven para entender cómo responde una pila TCP o un firewall sin estado, pero Windows y muchos equipos los contestan siempre igual, así que los resultados pueden no ser fiables.

4. Servicios y sistema operativo

• 22 · nmap -sV 192.168.1.50: identifica el servicio y su versión en cada puerto abierto.
• 23 · nmap -sV --version-light 192.168.1.50: detección de versión más rápida, con menos pruebas.
• 24 · nmap -sV --version-intensity 9 192.168.1.50: detección más exhaustiva (de 0 a 9). Tarda más.
• 25 · nmap -O 192.168.1.50: intenta adivinar el sistema operativo por cómo responde a ciertas sondas. Requiere privilegios y da una estimación, no una certeza.
• 26 · nmap -O -sV 192.168.1.50: sistema operativo y servicios a la vez.
• 27 · nmap -A 192.168.1.50: modo agresivo. Activa detección de versión, de sistema operativo, scripts por defecto y traceroute. Es cómodo pero ruidoso: úsalo solo cuando de verdad necesites todo eso.

5. Scripts NSE

El motor de scripts de Nmap (NSE) automatiza comprobaciones. Los scripts están agrupados por categorías como default, discovery, safe, vuln o intrusive. Con --script-help nombre puedes leer qué hace cada uno antes de ejecutarlo.

• 28 · nmap -sC 192.168.1.50: ejecuta los scripts de la categoría default.
• 29 · nmap --script banner 192.168.1.50: muestra el banner que anuncia cada servicio.
• 30 · nmap --script http-title -p 80,443 192.168.1.50: obtiene el título de la página web de cada servidor. Muy práctico para reconocer rápidamente qué aplicación es.
• 31 · nmap --script ssl-enum-ciphers -p 443 192.168.1.50: lista los protocolos y cifrados TLS que acepta el servidor y los puntúa.
• 32 · nmap --script smb-os-discovery -p 445 192.168.1.50: obtiene del servicio SMB el nombre del equipo, el dominio y la versión de Windows.
• 33 · nmap --script safe 192.168.1.50: ejecuta los scripts catalogados como seguros, que no deberían afectar al servicio.
• 34 · nmap --script vuln 192.168.1.50: lanza comprobaciones de vulnerabilidades conocidas. Úsalo con autorización y con cuidado: algunas pruebas son intrusivas y los resultados pueden incluir falsos positivos.

6. Velocidad y rendimiento

Las plantillas de tiempo van de -T0 (paranoico) a -T5 (insano). La predeterminada es -T3.

• 35 · nmap -T4 192.168.1.50: más rápida; es una buena elección en redes locales y laboratorios.
• 36 · nmap -T2 192.168.1.50: más lenta y suave, para no cargar equipos o enlaces frágiles.
• 37 · nmap --max-rate 100 192.168.1.50: limita el envío a 100 paquetes por segundo como máximo. Es la forma de controlar de verdad la carga que generas.

7. Resultados y comparación

• 38 · nmap --reason 192.168.1.50: añade el motivo por el que cada puerto aparece en su estado, por ejemplo syn-ack o no-response. Muy útil para entender un resultado confuso.
• 39 · nmap -oA auditoria 192.168.1.50: guarda el resultado en los tres formatos a la vez (auditoria.nmap, auditoria.xml y auditoria.gnmap).
• 40 · ndiff antes.xml despues.xml: compara dos escaneos guardados en XML y te dice qué ha cambiado. Es una herramienta que se instala junto con Nmap.

Cómo leer el resultado

Cada puerto aparece con uno de estos estados:

• open: hay un servicio escuchando y respondiendo.
• closed: el equipo responde, pero no hay nada escuchando en ese puerto.
• filtered: Nmap no puede saber si está abierto, porque algo (casi siempre un firewall) descarta las sondas.
• open|filtered: no hay forma de distinguir entre abierto y filtrado. Es típico de UDP.
• unfiltered: el puerto es alcanzable, pero Nmap no sabe si está abierto o cerrado. Aparece con -sA.

Un ejemplo de salida con -sV:

PORT    STATE    SERVICE  VERSION
22/tcp  open     ssh      OpenSSH 8.9p1 Ubuntu
23/tcp  open     telnet   Linux telnetd
80/tcp  open     http     nginx 1.18.0
443/tcp filtered https

Aquí SSH y HTTP están accesibles, Telnet también (y eso es un problema, como se ve más abajo) y HTTPS está filtrado: algo lo bloquea, así que no sabemos si hay un servicio detrás.

Metodología: de lo general a lo concreto

En lugar de lanzar siempre el comando más completo, avanza por fases y ajusta lo que haces según lo que encuentres:

# 1. ¿Qué equipos hay?
nmap -sn 192.168.1.0/24 -oN hosts.txt

# 2. ¿Qué puertos tiene abiertos el que me interesa?
nmap -p- --open 192.168.1.50

# 3. ¿Qué hay detrás de esos puertos?
nmap -sV -p 22,80,443 192.168.1.50

# 4. Más detalle y guardado para comparar
nmap -sC -sV -O -oA auditoria 192.168.1.50

Si encuentras algo raro, vuelve a mirar con --reason o con una captura de tráfico; en la guía de diagnóstico de red con tcpdump y Wireshark tienes cómo hacerlo.

Recetas para el día a día

Inventario semanal con comparación. Guarda el resultado en XML cada semana y deja que ndiff te diga qué equipos o puertos son nuevos:

nmap -sn 192.168.1.0/24 -oX inventario_actual.xml
ndiff inventario_anterior.xml inventario_actual.xml

Encontrar equipos con escritorio remoto abierto. Un -oG - imprime el formato "grepable" por pantalla, y con grep filtras:

nmap -p 3389 --open -oG - 192.168.1.0/24 | grep "3389/open"

Revisar la configuración TLS de un servidor propio:

nmap --script ssl-enum-ciphers -p 443 servidor.ejemplo.com

Comprobar qué ve alguien desde otra VLAN. Si has segmentado tu red, escanear desde una VLAN hacia otra confirma que las reglas funcionan. Si te interesa ese tema, tienes la guía de VLANs y segmentación, que incluye cómo comprobar el aislamiento.

Un caso típico: el equipo olvidado con Telnet abierto

Esto pasa con frecuencia en auditorías internas. Se hace un nmap -sn de la red y aparece una dirección que no figura en el inventario. Un escaneo con -sV revela el puerto 23 abierto con un servicio Telnet, que envía usuario y contraseña sin cifrar. Resulta ser un equipo antiguo, como un conmutador, una impresora o un dispositivo industrial, que se instaló años atrás y nadie recuerda.

La secuencia razonable es identificar a quién pertenece (por la MAC y el fabricante que muestra Nmap), comprobar si todavía se usa, desactivar Telnet o sustituirlo por SSH, aplicar las actualizaciones del fabricante si existen y, si no se puede, aislarlo en una VLAN con acceso restringido. Moraleja: no se puede proteger lo que no se sabe que existe, y por eso el inventario periódico con Nmap es una de las medidas más rentables.

Errores frecuentes con Nmap

• Usar siempre `-A`. Genera mucho tráfico y mucha información que casi nunca necesitas.
• Confundir `closed` con `filtered`. Cerrado significa que el equipo contesta; filtrado, que algo bloquea la respuesta.
• Olvidar UDP. Un escaneo TCP no dice nada de DNS, SNMP, NTP o DHCP.
• Escanear `-p-` por sistema. Es completo pero lento; úsalo cuando haga falta, no por costumbre.
• Tomar una versión como una vulnerabilidad. Que Nmap detecte una versión concreta no significa que esté vulnerable, y puede haberse parcheado sin cambiar el número (algo habitual en las distribuciones Linux).
• Fiarse ciegamente de la detección de sistema operativo. Es una estimación basada en cómo responde el equipo.
• No guardar los resultados. Sin ellos no puedes comparar ni documentar.
• Escanear sin autorización. Que tengas acceso técnico no es lo mismo que tener permiso.

Resumen

Nmap se resume en cuatro pasos: descubrir equipos con -sn, escanear puertos con -p, identificar servicios con -sV y analizar con -sC y los scripts NSE. A partir de ahí, ajusta la velocidad con -T o --max-rate, guarda siempre los resultados con -oA y compáralos con ndiff. La clave no es lanzar el comando más grande, sino saber qué pregunta quieres responder y escoger la opción que te da justo esa información.