¿Qué es el puerto 502 de Modbus TCP?
Modbus TCP corre sobre una conexión TCP simple, y por defecto esa conexión se hace al puerto 502. Cuando usted configura un firewall, una regla NAT o una conexión de SCADA, este es el número de puerto con el que trabaja. Esta referencia explica qué es el puerto 502, por qué importa para el diseño de red y la seguridad, y cómo se relaciona con el puerto cifrado separado de Modbus.
Puerto 502 de Modbus TCP en una línea: El puerto 502 es el puerto TCP registrado para Modbus TCP. Un cliente Modbus abre una conexión TCP hacia el dispositivo servidor en el puerto 502 e intercambia sobre ella solicitudes y respuestas con encabezado MBAP. Como el 502 es el puerto por defecto bien conocido, los firewalls y los escaneos de red lo tratan como la firma de Modbus, lo que importa tanto para la conectividad como para la seguridad cuando el tráfico va sin cifrar.
Cómo se usa el puerto 502
Un cliente Modbus TCP establece una conexión TCP ordinaria hacia el dispositivo servidor, y por convención el puerto de destino es el 502, el valor registrado para Modbus. Sobre esa única conexión el cliente envía solicitudes y recibe respuestas, cada una precedida por el encabezado MBAP descrito en la referencia del encabezado MBAP de Modbus, y el identificador de transacción de ese encabezado permite tener varias solicitudes pendientes a la vez.
Como el 502 es el valor por defecto, la mayoría de los dispositivos y drivers lo asumen, así que es el primer puerto que se abre en un firewall o se mapea en una regla NAT al conectar un dispositivo Modbus a través de una frontera de red. Algunos dispositivos permiten cambiar el puerto, lo que puede ser una pequeña medida de ofuscación, pero la expectativa estándar sigue siendo el 502. Poner a funcionar un enlace Modbus TCP a través de una red es exactamente el tipo de tarea que cubre la guía de conectar Modbus a un SCADA en la nube.
Por qué el puerto por defecto importa para la seguridad
El tráfico del puerto 502 va, por defecto, sin autenticar y sin cifrar, así que cualquier cosa que alcance el puerto puede leer y, más preocupante aún, escribir en el dispositivo. Por eso exponer el puerto 502 directamente a internet es un riesgo serio y por eso los escáneres de red buscan específicamente puertos 502 abiertos como señal de un dispositivo industrial expuesto. El panorama de riesgo más amplio y sus mitigaciones se detallan en la referencia de postura de seguridad y mitigaciones de Modbus.
La práctica aceptada es mantener el puerto 502 en una red segmentada y protegida, y alcanzarlo por rutas controladas en lugar de abrirlo en el borde. Donde se requiere cifrado, la organización Modbus define Modbus sobre TLS en un puerto registrado diferente, distinto del 502 en texto plano, como se cubre en la referencia de Modbus sobre TLS. Tratar un 502 abierto como seguro solo porque funciona es el error que deja expuestos a los dispositivos industriales.
Preguntas frecuentes
¿Qué puerto usa Modbus TCP?
Por defecto, el puerto TCP 502, que es el puerto bien conocido registrado para Modbus. Un cliente abre una conexión TCP hacia el dispositivo servidor en el puerto 502 e intercambia sobre ella solicitudes con encabezado MBAP. Algunos dispositivos permiten cambiar el puerto, pero el 502 es el valor por defecto estándar que asumen firewalls, drivers y escáneres.
¿Es seguro exponer el puerto 502 a internet?
No. El Modbus TCP plano en el puerto 502 va sin autenticar y sin cifrar, así que cualquiera que alcance el puerto puede leer y escribir en el dispositivo. Los escáneres cazan activamente puertos 502 abiertos. Manténgalo en una red segmentada alcanzada por rutas controladas, y use Modbus sobre TLS en su propio puerto donde se requiera cifrado.
¿Puedo cambiar el puerto de Modbus TCP a otro distinto del 502?
Algunos dispositivos lo permiten, y usar un puerto no estándar es una ofuscación leve, pero no es seguridad real porque el tráfico sigue sin cifrar y sin autenticar. El valor por defecto sigue siendo el 502, y los drivers y firewalls lo esperan. Cambiar el puerto complica la configuración sin atender la exposición de fondo, que se maneja apropiadamente con segmentación de red y TLS.
Fuentes y lecturas
Referencias primarias de los organismos de normas y reguladores que definen este tema:
- Modbus Specifications - Modbus Organization
Servicios de automatización
¿Necesita convertir esta información en un sistema que funcione?
Merobix integra SCADA, programa PLC Allen-Bradley y Siemens, y diseña y fabrica tableros de control industrial.
Las solicitudes de reunión se revisan antes de confirmarse.