Puertos del servidor

El agente solo sale: llega al panel por HTTPS y no necesita ningún puerto de entrada. El instalador abre los puertos de abajo en el cortafuegos del servidor (ufw), según para qué sea el servidor. Nunca cambia el cortafuegos de tu proveedor; abre allí los mismos puertos.

Puerto	En qué servidores	Para qué
Los puertos en los que escucha sshd	Todos, cuando el instalador activa ufw	Conservar tu acceso por SSH
80/tcp y 443/tcp	Los que alojan instancias, salvo los que solo se alcanzan por su propio túnel	El Odoo de tus clientes, a través de Caddy
51871/udp	Todos	La malla del partner, entre tus servidores (WireGuard)
6432 y 30000–30999/tcp, en la interfaz osaas-mesh	Los que pueden ejecutar Postgres	El pooler y las bases de datos, solo para tus otros servidores
25000–25999/tcp	Los que pueden ejecutar Postgres	El acceso de solo lectura de un cliente a su base de datos
80/tcp	Un servidor de bases de datos que publica el acceso de sus clientes	El certificado del nombre publicado
10000–20000/tcp	Los que pueden ejecutar Postgres	El acceso a las bases de datos de tus otros servidores, de antes de la malla

WireGuard no contesta a un paquete que no se autentica, así que el 51871/udp no aparece en un escaneo de puertos.

Un servidor sin IP pública no abre ni el 80 ni el 443: el conector de su túnel llega a Caddy en la propia máquina.