Diagnóstico de firewall
Empiece por la aplicación
Anote host, puerto, protocolo y hora del fallo. Confirme proceso y listener con ss -lnt en Linux o Get-NetTCPConnection -State Listen en Windows. Pruebe primero en el servidor y luego desde otro dispositivo LAN. Si solo escucha en localhost, una regla del router no lo resolverá.
Revise cada capa
Revise firewall del sistema, reglas de nube, NAT del router y filtros del ISP. Permitir en una capa no anula un bloqueo en otra. Compare WAN e IP pública para investigar CGNAT. En dual stack, compruebe A/IPv4 y AAAA/IPv6 por separado: pueden apuntar a servidores con reglas distintas.
Interprete el resultado
Abierto solo demuestra el handshake TCP desde el origen de prueba. Rechazado indica una respuesta de rechazo, no quién la emitió. Un timeout no determina la causa. Compare logs del mismo horario y repita tras un solo cambio. No desactive todas las protecciones. TCP no demuestra funcionamiento de la aplicación ni disponibilidad UDP.