Как сменить RDP порт 3389 на другой в Windows Server

Если сервер доступен из интернета, стандартный порт 3389 может регулярно проверяться автоматическими сканерами. Поэтому системные администраторы иногда изменяют стандартный RDP-порт, например с 3389 на 3390, 50000 или другой свободный порт.

Что такое RDP и почему используется порт 3389?

RDP расшифровывается как Remote Desktop Protocol — протокол удалённого рабочего стола, разработанный Microsoft.

С его помощью можно подключиться к удалённому компьютеру или Windows Server и работать с ним практически так же, как если бы пользователь находился непосредственно перед сервером.

По умолчанию Remote Desktop использует TCP-порт 3389.

Например, стандартное подключение выглядит следующим образом:

203.0.113.10:3389

Если администратор изменил порт на 3390, подключаться необходимо уже так:

203.0.113.10:3390

Microsoft документирует возможность изменения RDP listening port через реестр Windows или PowerShell.

Зачем менять стандартный RDP-порт?

Основная причина — уменьшить количество автоматического сетевого шума на стандартном порту 3389.

Публичные серверы с открытым RDP могут регулярно получать автоматические попытки подключения и сканирования. Многие автоматизированные инструменты в первую очередь проверяют распространённые порты, включая 3389.

После изменения порта сервер перестаёт принимать RDP-соединения на стандартном 3389 и начинает ожидать подключения на новом порту.

Было:

SERVER-IP:3389

Стало:

SERVER-IP:3390

Однако важно понимать ограничение этого метода. Смена порта не делает RDP недоступным для атакующего. Если новый порт открыт в интернете, его также можно обнаружить при достаточно широком сканировании.

Поэтому изменение RDP-порта следует рассматривать только как один из дополнительных элементов общей безопасности сервера.

Перед изменением RDP-порта

Перед началом работы рекомендуется убедиться, что у вас есть:

• права локального администратора;
• активированный Remote Desktop;
• доступ к Windows Server;
• возможность изменить правила Windows Firewall;
• резервный способ доступа к серверу.

Это особенно важно потому, что неправильная настройка firewall после изменения RDP-порта может привести к потере удалённого доступа.

Способ №1. Изменение RDP-порта через реестр Windows

Один из стандартных способов изменения порта Remote Desktop — использование редактора реестра Windows.

Нажмите:

Win + R

Введите:

regedit

и нажмите Enter.

Перейдите в следующий раздел:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp

Внутри раздела найдите параметр:

PortNumber

Именно этот параметр определяет порт, который используется RDP listener.

По умолчанию его значение обычно:

3389

Перед изменением желательно создать резервную копию раздела реестра.

Нажмите правой кнопкой мыши на RDP-Tcp, выберите Export / Экспорт и сохраните файл.

После этого откройте параметр PortNumber. Выберите Decimal / Десятичная система.

Введите новый порт, например:

3390

Нажмите OK.

Способ №2. Изменение RDP-порта через PowerShell

Для системного администратора PowerShell часто является более удобным способом настройки Windows Server.

Откройте PowerShell от имени администратора.

Сначала можно проверить текущий RDP-порт:

Get-ItemProperty -Path 'HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber'

Для изменения порта на 3390 используйте:

$portValue = 3390

Set-ItemProperty -Path 'HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber' -Value $portValue

После изменения параметра необходимо настроить Windows Firewall.

Настройка Windows Firewall для нового RDP-порта

Это один из наиболее важных этапов.

Если RDP раньше работал на 3389, а теперь используется 3390, Windows Firewall должен разрешать входящие соединения на новый порт.

Для TCP создайте правило:

New-NetFirewallRule -DisplayName "RDP 3390 TCP" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3390

При необходимости можно создать правило и для UDP:

New-NetFirewallRule -DisplayName "RDP 3390 UDP" -Direction Inbound -Action Allow -Protocol UDP -LocalPort 3390

Если используется внешний firewall, NAT, security group или firewall дата-центра, новый порт необходимо разрешить и там.

Перезапуск службы Remote Desktop Services

После изменения конфигурации можно перезапустить службу Remote Desktop Services:

Restart-Service TermService -Force

При необходимости можно выполнить перезагрузку сервера:

Restart-Computer

Как проверить, какой порт слушает RDP?

После изменения порта необходимо проверить, действительно ли Windows слушает новый порт.

Например:

netstat -ano | findstr :3390

Также можно использовать PowerShell:

Get-NetTCPConnection -LocalPort 3390 -State Listen

Если конфигурация работает корректно, новый порт должен находиться в состоянии LISTEN.

Как подключиться к RDP после смены порта?

Запустите стандартный клиент Windows Remote Desktop:

mstsc.exe

В поле компьютера укажите IP-адрес и новый порт:

203.0.113.10:3390

Если используется доменное имя:

server.example.com:3390

Windows будет устанавливать RDP-соединение через указанный порт.

Как проверить новый RDP-порт с другого компьютера?

С другого компьютера Windows можно использовать PowerShell:

Test-NetConnection 203.0.113.10 -Port 3390

Если порт доступен, результат будет содержать:

TcpTestSucceeded : True

Если результат:

TcpTestSucceeded : False

необходимо проверить Windows Firewall, внешний firewall, NAT, маршрутизацию и состояние службы Remote Desktop.

Что делать, если RDP перестал работать?

Если после изменения порта подключение пропало, проверяйте конфигурацию последовательно.

1. Проверить PortNumber

Убедитесь, что в реестре:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp

параметр PortNumber содержит правильное значение.

2. Проверить Windows Firewall

Убедитесь, что новый TCP-порт разрешён для входящих соединений.

3. Проверить состояние RDP listener

netstat -ano | findstr :3390

4. Проверить соединение извне

Test-NetConnection SERVER-IP -Port 3390

5. Проверить внешний firewall и NAT

Если сервер расположен в дата-центре или за NAT, необходимо проверить сетевые правила за пределами Windows Server.

6. Проверить службу Remote Desktop Services

Get-Service TermService

Служба должна находиться в состоянии Running.

Какой порт выбрать для RDP?

Универсального «лучшего» нестандартного RDP-порта не существует.

Можно выбрать свободный порт, который не используется другим сервисом и разрешён вашей сетевой политикой.

Например:

• 3390;
• 3391;
• 50000;
• 55000.

Но сам по себе большой или нестандартный номер порта не обеспечивает полноценную защиту.

Перед выбором порта необходимо убедиться, что он не используется другим приложением.

netstat -ano

Безопасна ли смена RDP-порта?

Нет. Сама по себе смена RDP-порта не делает сервер безопасным.

Если новый порт открыт для всего интернета, он также может быть обнаружен при сканировании.

Поэтому рекомендуется использовать несколько уровней защиты:

• Network Level Authentication (NLA);
• Windows Firewall;
• сильные уникальные пароли;
• регулярные обновления Windows;
• ограничение доступа по IP;
• VPN;
• Remote Desktop Gateway;
• MFA, если это поддерживается вашей инфраструктурой.

Рекомендуемая схема защиты RDP

Для Windows Server, доступного через интернет, рекомендуется использовать несколько независимых механизмов защиты.

1. Установить актуальные обновления Windows.
2. Использовать сложные уникальные пароли.
3. Включить Network Level Authentication.
4. При необходимости изменить стандартный RDP-порт.
5. Разрешить новый порт только в необходимых firewall.
6. По возможности ограничить подключения доверенными IP-адресами.
7. Для удалённого доступа использовать VPN или Remote Desktop Gateway.
8. Контролировать журналы авторизации и подозрительные подключения.
9. Использовать MFA там, где это возможно.

Пример полной настройки RDP на порту 3390

Предположим, Windows Server использует публичный IP-адрес:

203.0.113.10

Мы хотим изменить RDP-порт:

3389 → 3390

Изменяем порт:

$portValue = 3390

Set-ItemProperty -Path 'HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber' -Value $portValue

Открываем порт в Windows Firewall:

New-NetFirewallRule -DisplayName "RDP 3390 TCP" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3390

Перезапускаем службу:

Restart-Service TermService -Force

Проверяем listener:

Get-NetTCPConnection -LocalPort 3390 -State Listen

Проверяем доступность с другого компьютера:

Test-NetConnection 203.0.113.10 -Port 3390

После успешной проверки подключаемся:

203.0.113.10:3390

Заключение

Изменить стандартный RDP-порт Windows Server с 3389 на другой порт можно через редактор реестра или PowerShell.

При этом важно помнить о трёх основных этапах:

1. изменить параметр PortNumber;
2. разрешить новый порт в Windows Firewall;
3. проверить подключение через новый порт.

Смена стандартного RDP-порта может уменьшить количество автоматических обращений к 3389, но не является полноценной защитой.

Для публичного Windows Server следует дополнительно использовать NLA, firewall, ограничения по IP, сильную аутентификацию, обновления безопасности и, по возможности, VPN или Remote Desktop Gateway.

Перед изменением настроек удалённого сервера убедитесь, что у вас есть резервный способ доступа. Это позволит восстановить управление сервером в случае ошибки настройки RDP или firewall.