Alternativas a ngrok: exponer localhost a internet

Qué hace un túnel de localhost

Una aplicación en su computadora suele escuchar en localhost, al que solo esa computadora puede llegar. Un túnel de localhost ejecuta un pequeño agente junto a la aplicación que abre una conexión de salida hacia un servidor de retransmisión con dirección pública. Las solicitudes que llegan a la URL pública viajan por esa conexión hasta su puerto local, así que su router nunca tiene que aceptar una conexión entrante.

La documentación de ngrok (en inglés) describe una URL pública que reenvía el tráfico a su máquina local, con autenticación y restricciones de IP mediante su función Traffic Policy. Las alternativas de esta guía cambian en quién opera el servidor de retransmisión, cómo se asignan las direcciones y quién puede entrar de forma predeterminada.

Un servicio de túneles administrado opera ese relé por usted; una instalación autoalojada significa que usted lo opera. Muchos de estos productos nacieron como herramienta de desarrollo para demostraciones y pruebas de webhooks, así que revise sus límites antes de usarlos para algo que la gente use todos los días.

Cuándo necesita exponer localhost a internet y cuándo no

Un túnel vale la pena cuando algo fuera de su red tiene que llegar a su máquina:

Webhooks: los proveedores de pagos, envíos o chat mandan eventos a una URL pública con HTTPS, no a localhost.
Demostraciones: un cliente o un compañero necesita probar una versión antes de que usted la publique.
Pruebas remotas: alguien en otra red, o su teléfono con datos móviles, necesita la aplicación real.

A veces puede evitar el túnel. Para un teléfono conectado al mismo Wi-Fi, haga que su servidor de desarrollo escuche en su red local y abra en el teléfono la dirección IP local de su computadora. La opción --host de Vite (en inglés) lo hace, pero también escucha en direcciones públicas, así que desactívela al terminar. Si prueba webhooks de Stripe, su documentación de webhooks muestra stripe listen --forward-to localhost:4242/webhook para hacer pruebas locales sin una URL pública.

Riesgos de seguridad al exponer una aplicación local

Un túnel deja su aplicación al alcance de cualquiera que tenga, adivine o reciba la dirección, y los entornos de desarrollo casi nunca están preparados para eso. La documentación de Flask (en inglés), por ejemplo, advierte que su depurador integrado permite ejecutar código Python arbitrario desde el navegador y que no debe usarse en producción.

Inicio de sesión débil o inexistente: las aplicaciones locales suelen saltarse la autenticación o usan una cuenta de administrador de prueba con una contraseña débil.
Más expuesto de lo que cree: el túnel expone todo lo que la aplicación alcanza, como páginas de administración, archivos, API internas y su base de datos.
Los enlaces secretos se filtran: una URL difícil de adivinar no es control de acceso. Los enlaces se reenvían, se pegan en tickets y quedan en el historial del navegador.
Túneles olvidados: un túnel que sigue abierto, o una credencial que nunca vence, deja la puerta abierta mucho después de la demostración.
Webhooks sin verificar: Stripe advierte que, sin verificar la firma, un atacante podría enviar eventos falsos a su punto de conexión.

Antes de compartir un enlace, desactive el modo de depuración, use datos de prueba, ponga un inicio de sesión o una regla de acceso delante de la aplicación y verifique las firmas de los webhooks. Al terminar, cierre el túnel y revoque su credencial.

Cloudflare Tunnel frente a ngrok

Cloudflare Tunnel (en inglés) usa un servicio ligero, cloudflared, que solo abre conexiones de salida hacia Cloudflare, así que su servidor no necesita una IP pública enrutable ni escuchar conexiones entrantes. Igual que ngrok, depende de un agente que se conecta hacia afuera. Las diferencias están en la configuración y en el acceso.

Quick Tunnels: cloudflared tunnel --url http://localhost:8080 crea una dirección temporal de trycloudflare.com sin cuenta de Cloudflare ni dominio. La página de Quick Tunnels (en inglés) indica que el nombre cambia cada vez y que son para pruebas y desarrollo, con un tope de 200 solicitudes en curso, sin Server-Sent Events y sin garantía de disponibilidad.
Túneles con nombre: para publicar una aplicación en su propio nombre de host, debe agregar un dominio a Cloudflare y crear una ruta de aplicación publicada. La guía de Cloudflare aclara que, sin más controles, cualquiera en internet puede llegar a la aplicación.
Control de acceso: agregar la aplicación a Cloudflare Access (en inglés) exige iniciar sesión con un proveedor de identidad antes de entrar. ngrok ofrece sus propios controles, como OAuth y restricciones de IP, mediante Traffic Policy.

Otras alternativas a ngrok: Microsoft dev tunnels y Tailscale Funnel

Microsoft dev tunnels: la herramienta de línea de comandos devtunnel comparte un puerto local después de iniciar sesión con una cuenta de Microsoft, de Microsoft Entra ID o de GitHub, por ejemplo con devtunnel host -p 8080. La descripción de Microsoft indica que, de forma predeterminada, solo usted puede acceder a sus túneles, y presenta la función como una versión preliminar pública para pruebas y desarrollo puntuales, no para producción.
Tailscale Funnel: si sus dispositivos ya usan Tailscale, tailscale funnel 3000 dirige tráfico de internet a un servicio local. La documentación de Funnel (en inglés) exige MagicDNS, certificados HTTPS y un atributo en la política, solo permite los puertos 443, 8443 y 10000 con TLS, aplica límites de ancho de banda que no se pueden configurar y usa nombres de ts.net. Consulte esa página para conocer su estado de lanzamiento actual.

Funnel es público para cualquiera que tenga la dirección. Para compartir solo con sus propios dispositivos o su equipo, Tailscale remite a Tailscale Serve (en inglés).

Alternativas a ngrok en su propio servidor

Si prefiere no pasar su tráfico por una empresa de túneles, opere usted mismo el servidor de retransmisión en un servidor con dirección pública, como una pequeña máquina virtual en la nube. Las herramientas de código abierto no cuestan nada al descargarlas, pero las actualizaciones, los certificados TLS, los inicios de sesión y los registros pasan a ser responsabilidad suya.

Reenvío remoto con SSH: ssh -R 8080:localhost:3000 usted@su-servidor hace que el puerto 8080 del servidor reenvíe al puerto 3000 de su máquina. El manual de OpenSSH (en inglés) indica que, de forma predeterminada, el servidor solo abre ese puerto en la interfaz local (loopback), así que agregue un proxy inverso en el servidor para HTTPS.
frp: el proyecto de código abierto frp (en inglés), con licencia Apache-2.0, es un proxy inverso para exponer un servidor local que está detrás de NAT o de un firewall. Su servidor (frps) corre en la máquina pública, su cliente (frpc) se conecta hacia afuera desde la suya, y admite TCP, UDP, HTTP y HTTPS.
Una VPN hacia su red: si solo personas conocidas necesitan acceso, una VPN privada evita la exposición pública, pero requiere software en cada dispositivo.

Si prefiere un servidor de retransmisión administrado, con túneles con nombre y privados de forma predeterminada, al final de esta guía se describe ASL Tunnel.

Redirección de puertos frente a un túnel

La redirección de puertos es una regla del router que envía el tráfico entrante de un puerto directo a su computadora, que queda accesible en su dirección IP pública. No hay nada en medio, así que el HTTPS, los inicios de sesión y las actualizaciones quedan por su cuenta, y esa dirección puede cambiar.

Muchas conexiones móviles y algunas residenciales usan NAT de operador (CGNAT), que comparte una sola dirección pública entre muchos clientes. Si la dirección WAN de su router está dentro de 100.64.0.0/10, el espacio de direcciones compartido que define el RFC 6598 (en inglés) para ese fin, redirigir un puerto no lo hará accesible desde internet. Un túnel funciona en ambos casos porque se conecta desde su lado.

La contrapartida es la confianza: en un túnel administrado, el servidor del proveedor transporta su tráfico, así que revise qué guarda cada proveedor y por cuánto tiempo.

Lista para elegir una alternativa a ngrok

Tipo de tráfico: ¿solo web, o también TCP, UDP, WebSockets o Server-Sent Events?
Dirección: ¿aleatoria y temporal, o estable y en su propio dominio? Los webhooks y los enlaces compartidos necesitan una estable.
Acceso predeterminado: ¿un túnel nuevo es público o privado, y qué inicio de sesión, clave o reglas de IP se pueden poner delante?
Control: ¿puede pausar o revocar el acceso al instante, y queda registro de quién cambió qué?
Manejo de datos: quién opera el servidor de retransmisión, qué registra y dónde funciona.
Límites publicados: topes de solicitudes, límites de ancho de banda, compromisos de disponibilidad y estado de lanzamiento.
Su aplicación: ¿necesita su propio nombre de host o puede funcionar bajo una subruta?
Costo: lea usted mismo la página de precios vigente de cada proveedor, porque los planes cambian.
Plan gratuito y plan de pago: ¿qué limita el plan gratuito, como ancho de banda, conexiones o dominios propios, y qué agrega un plan de pago? Revise la página de precios actual del proveedor, porque los planes cambian.
Acceso privado: ¿puede exigir un inicio de sesión o mantener la app fuera de internet pública y accesible solo desde sus propios dispositivos, por ejemplo con el cliente de Tailscale instalado en cada uno?

Dónde encaja ASL Tunnel

ASL Tunnel es un servicio en acceso anticipado para llegar a una aplicación en su propia máquina sin abrir un puerto en su firewall. Un pequeño programa (Windows, Linux o Raspberry Pi) se conecta hacia afuera y mantiene la conexión, y su aplicación recibe una dirección estable con un nombre que usted reserva y que nunca se vuelve a asignar a otra persona.

Los túneles nuevos son privados: un visitante necesita el enlace de acceso que usted le da, y después su navegador guarda un pase firmado para esa dirección, válido hasta por ocho horas. Puede hacer público un túnel a propósito, por ejemplo para un proveedor de webhooks que no puede enviar una clave. Pausar o revocar un túnel corta la conexión activa al instante.

La página del producto explica sus límites: solo tráfico web y de aplicaciones (sin escritorio remoto, acceso directo a bases de datos ni protocolos de red sin procesar), aplicaciones publicadas bajo una subruta de una dirección compartida, un servidor de retransmisión que opera ASL y no usted, y una sola ubicación sin cambio automático a otra. Las cuentas se configuran directamente con ASL, no mediante registro por cuenta propia, y el precio se cotiza después de una conversación. Conozca ASL Tunnel.

Preguntas frecuentes

¿Qué alternativa a ngrok me conviene?

Depende del trabajo: una demostración rápida y temporal, acceso limitado a su propia cuenta, compartir dentro de una red de Tailscale que ya usa, o control total en su propio servidor. Use la lista de arriba para comparar las opciones de esta guía.

¿Hay alternativas a ngrok gratuitas?

Cloudflare indica que sus Quick Tunnels no necesitan cuenta ni dominio, y las herramientas de código abierto como OpenSSH y frp no cuestan nada al descargarlas, aunque usar su propio servidor requiere uno con dirección pública. Los precios cambian, así que revise la página de precios de cada proveedor.

¿Es seguro exponer localhost a internet?

Puede serlo, por poco tiempo y con cuidado. Desactive los modos de depuración, use datos de prueba, exija un inicio de sesión o una regla de acceso, verifique las firmas de los webhooks y cierre el túnel al terminar.

¿Qué diferencia hay entre Cloudflare Tunnel y ngrok?

Los dos usan un agente que se conecta hacia afuera, así que no hace falta abrir un puerto entrante. Cloudflare ofrece Quick Tunnels sin cuenta y túneles con nombre en su propio dominio, que puede proteger con Cloudflare Access; ngrok da una URL pública con controles de Traffic Policy.

¿Puedo usar una alternativa a ngrok en mi propio servidor?

Sí. Use el reenvío remoto de SSH o frp con un servidor que tenga dirección pública, más un proxy inverso para HTTPS. Desde ese momento, usted mantiene el servidor, los certificados, los inicios de sesión y los registros.

¿Cómo expongo un servidor local a internet sin un túnel?

La redirección de puertos en su router funciona si su conexión tiene una IP pública propia, pero expone su máquina directamente y falla detrás de un NAT de operador. Para un teléfono en el mismo Wi-Fi, suele bastar con que el servidor de desarrollo escuche en su red local.

Guías relacionadas

Conozca el producto completo

Consulte funciones, acceso actual y límites

Alternativas a ngrok: cómo exponer localhost a internet con seguridad