Windows Serverda 3389 RDP portini boshqasiga qanday o'zgartirish mumkin

Agar server internetdan kirish mumkin bo'lsa, standart 3389-port avtomatik skanerlar tomonidan muntazam tekshirilishi mumkin. Shu sababli tizim administratorlari ba'zan standart RDP-portni, masalan, 3389 dan 3390, 50000 yoki boshqa bo'sh portga o'zgartiradilar.

RDP nima va nima uchun 3389-port ishlatiladi?

RDP — Remote Desktop Protocol, ya'ni Microsoft tomonidan ishlab chiqilgan masofaviy ish stoli protokoli.

Uning yordamida masofadagi kompyuter yoki Windows Server'ga ulanish va foydalanuvchi bevosita server oldida o'tirgandek ishlash mumkin.

Odatiy holda Remote Desktop TCP-port 3389 dan foydalanadi.

Masalan, standart ulanish quyidagicha ko'rinadi:

203.0.113.10:3389

Agar administrator portni 3390 ga o'zgartirgan bo'lsa, quyidagicha ulanish kerak:

203.0.113.10:3390

Microsoft RDP listening port'ni Windows reyestri yoki PowerShell orqali o'zgartirish imkoniyatini hujjatlashtirgan.

Nima uchun standart RDP-portni o'zgartirish kerak?

Asosiy sabab — standart 3389-portdagi avtomatik tarmoq "shovqini" miqdorini kamaytirish.

RDP ochiq bo'lgan ommaviy serverlar muntazam ravishda avtomatik ulanish urinishlari va skanerlashlarni qabul qilishi mumkin. Ko'plab avtomatlashtirilgan vositalar birinchi navbatda keng tarqalgan portlarni, jumladan 3389 ni tekshiradi.

Port o'zgartirilgandan so'ng server standart 3389 da RDP-ulanishlarni qabul qilishni to'xtatadi va yangi portda ulanishlarni kuta boshlaydi.

Avval:

SERVER-IP:3389

Endi:

SERVER-IP:3390

Biroq bu usulning cheklovini tushunish muhim. Portni almashtirish RDP'ni tajovuzkor uchun yetib bo'lmaydigan qilmaydi. Agar yangi port internetda ochiq bo'lsa, uni yetarlicha keng skanerlash orqali ham aniqlash mumkin.

Shuning uchun RDP-portni o'zgartirishni serverning umumiy xavfsizligidagi faqat qo'shimcha elementlardan biri sifatida qarash kerak.

RDP-portni o'zgartirishdan oldin

Ishni boshlashdan oldin quyidagilar mavjudligiga ishonch hosil qilish tavsiya etiladi:

• lokal administrator huquqlari;
• yoqilgan Remote Desktop;
• Windows Server'ga kirish imkoni;
• Windows Firewall qoidalarini o'zgartirish imkoniyati;
• serverga kirishning zaxira usuli.

Bu ayniqsa muhim, chunki RDP-port o'zgartirilgandan keyin firewall'ni noto'g'ri sozlash masofaviy kirishni yo'qotishga olib kelishi mumkin.

№1-usul. RDP-portni Windows reyestri orqali o'zgartirish

Remote Desktop portini o'zgartirishning standart usullaridan biri — Windows reyestr muharriridan foydalanish.

Bosing:

Win + R

Kiriting:

regedit

va Enter tugmasini bosing.

Quyidagi bo'limga o'ting:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp

Bo'lim ichida quyidagi parametrni toping:

PortNumber

Aynan shu parametr RDP listener ishlatadigan portni belgilaydi.

Odatda uning qiymati:

3389

O'zgartirishdan oldin reyestr bo'limining zaxira nusxasini yaratish tavsiya etiladi.

RDP-Tcp ustiga sichqonchaning o'ng tugmasini bosing, Export / Eksport ni tanlang va faylni saqlang.

Shundan so'ng PortNumber parametrini oching. Decimal / O'nlik sanoq tizimi ni tanlang.

Yangi portni kiriting, masalan:

3390

OK tugmasini bosing.

№2-usul. RDP-portni PowerShell orqali o'zgartirish

Tizim administratori uchun PowerShell ko'pincha Windows Server'ni sozlashning qulayroq usuli hisoblanadi.

PowerShell'ni administrator nomidan oching.

Avval joriy RDP-portni tekshirish mumkin:

Get-ItemProperty -Path 'HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber'

Portni 3390 ga o'zgartirish uchun quyidagidan foydalaning:

$portValue = 3390

Set-ItemProperty -Path 'HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber' -Value $portValue

Parametr o'zgartirilgandan so'ng Windows Firewall'ni sozlash kerak.

Yangi RDP-port uchun Windows Firewall'ni sozlash

Bu eng muhim bosqichlardan biri.

Agar RDP ilgari 3389 da ishlagan bo'lsa, endi esa 3390 ishlatilayotgan bo'lsa, Windows Firewall yangi portga kiruvchi ulanishlarga ruxsat berishi kerak.

TCP uchun qoida yarating:

New-NetFirewallRule -DisplayName "RDP 3390 TCP" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3390

Zarur bo'lsa, UDP uchun ham qoida yaratish mumkin:

New-NetFirewallRule -DisplayName "RDP 3390 UDP" -Direction Inbound -Action Allow -Protocol UDP -LocalPort 3390

Agar tashqi firewall, NAT, security group yoki ma'lumotlar markazining firewall'i ishlatilsa, yangi portga u yerda ham ruxsat berish kerak.

Remote Desktop Services xizmatini qayta ishga tushirish

Konfiguratsiya o'zgartirilgandan so'ng Remote Desktop Services xizmatini qayta ishga tushirish mumkin:

Restart-Service TermService -Force

Zarur bo'lsa, serverni qayta yuklash mumkin:

Restart-Computer

RDP qaysi portni tinglayotganini qanday tekshirish mumkin?

Portni o'zgartirgandan so'ng Windows haqiqatan ham yangi portni tinglayotganini tekshirish kerak.

Masalan:

netstat -ano | findstr :3390

PowerShell'dan ham foydalanish mumkin:

Get-NetTCPConnection -LocalPort 3390 -State Listen

Agar konfiguratsiya to'g'ri ishlayotgan bo'lsa, yangi port LISTEN holatida bo'lishi kerak.

Port o'zgargandan keyin RDP'ga qanday ulanish mumkin?

Windows'ning standart Remote Desktop klientini ishga tushiring:

mstsc.exe

Kompyuter maydoniga IP-manzil va yangi portni kiriting:

203.0.113.10:3390

Agar domen nomi ishlatilsa:

server.example.com:3390

Windows RDP-ulanishni ko'rsatilgan port orqali o'rnatadi.

Yangi RDP-portni boshqa kompyuterdan qanday tekshirish mumkin?

Boshqa Windows kompyuteridan PowerShell'dan foydalanish mumkin:

Test-NetConnection 203.0.113.10 -Port 3390

Agar port mavjud bo'lsa, natijada quyidagi qator bo'ladi:

TcpTestSucceeded : True

Agar natija quyidagicha bo'lsa:

TcpTestSucceeded : False

Windows Firewall, tashqi firewall, NAT, marshrutlash va Remote Desktop xizmati holatini tekshirish kerak.

Agar RDP ishlamay qolsa nima qilish kerak?

Agar port o'zgartirilgandan keyin ulanish yo'qolgan bo'lsa, konfiguratsiyani ketma-ket tekshiring.

1. PortNumber'ni tekshirish

Reyestrdagi quyidagi bo'limda:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp

PortNumber parametri to'g'ri qiymatga ega ekaniga ishonch hosil qiling.

2. Windows Firewall'ni tekshirish

Yangi TCP-portga kiruvchi ulanishlar uchun ruxsat berilganiga ishonch hosil qiling.

3. RDP listener holatini tekshirish

netstat -ano | findstr :3390

4. Tashqaridan ulanishni tekshirish

Test-NetConnection SERVER-IP -Port 3390

5. Tashqi firewall va NAT'ni tekshirish

Agar server ma'lumotlar markazida yoki NAT ortida joylashgan bo'lsa, Windows Server'dan tashqaridagi tarmoq qoidalarini tekshirish kerak.

6. Remote Desktop Services xizmatini tekshirish

Get-Service TermService

Xizmat Running holatida bo'lishi kerak.

RDP uchun qaysi portni tanlash kerak?

Universal "eng yaxshi" nostandart RDP-port mavjud emas.

Boshqa xizmat ishlatmaydigan va tarmoq siyosatingiz ruxsat bergan bo'sh portni tanlash mumkin.

Masalan:

• 3390;
• 3391;
• 50000;
• 55000.

Biroq katta yoki nostandart port raqamining o'zi to'liq himoyani ta'minlamaydi.

Portni tanlashdan oldin uning boshqa ilova tomonidan ishlatilmayotganiga ishonch hosil qilish kerak.

netstat -ano

RDP-portni o'zgartirish xavfsizmi?

Yo'q. RDP-portni o'zgartirishning o'zi serverni xavfsiz qilmaydi.

Agar yangi port butun internet uchun ochiq bo'lsa, uni ham skanerlash orqali aniqlash mumkin.

Shuning uchun bir nechta himoya darajasidan foydalanish tavsiya etiladi:

• Network Level Authentication (NLA);
• Windows Firewall;
• kuchli noyob parollar;
• Windows'ni muntazam yangilab turish;
• IP bo'yicha kirishni cheklash;
• VPN;
• Remote Desktop Gateway;
• MFA, agar infratuzilmangiz buni qo'llab-quvvatlasa.

RDP himoyasining tavsiya etiladigan sxemasi

Internet orqali kirish mumkin bo'lgan Windows Server uchun bir nechta mustaqil himoya mexanizmidan foydalanish tavsiya etiladi.

1. Windows'ning dolzarb yangilanishlarini o'rnating.
2. Murakkab noyob parollardan foydalaning.
3. Network Level Authentication'ni yoqing.
4. Zarur bo'lsa, standart RDP-portni o'zgartiring.
5. Yangi portga faqat kerakli firewall'larda ruxsat bering.
6. Imkon qadar ulanishlarni ishonchli IP-manzillar bilan cheklang.
7. Masofaviy kirish uchun VPN yoki Remote Desktop Gateway'dan foydalaning.
8. Avtorizatsiya jurnallarini va shubhali ulanishlarni nazorat qiling.
9. Imkon bo'lgan joyda MFA'dan foydalaning.

RDP'ni 3390-portda to'liq sozlash namunasi

Faraz qilaylik, Windows Server quyidagi ommaviy IP-manzildan foydalanadi:

203.0.113.10

Biz RDP-portni o'zgartirmoqchimiz:

3389 → 3390

Portni o'zgartiramiz:

$portValue = 3390

Set-ItemProperty -Path 'HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber' -Value $portValue

Portni Windows Firewall'da ochamiz:

New-NetFirewallRule -DisplayName "RDP 3390 TCP" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3390

Xizmatni qayta ishga tushiramiz:

Restart-Service TermService -Force

Listener'ni tekshiramiz:

Get-NetTCPConnection -LocalPort 3390 -State Listen

Boshqa kompyuterdan mavjudligini tekshiramiz:

Test-NetConnection 203.0.113.10 -Port 3390

Muvaffaqiyatli tekshiruvdan so'ng ulanamiz:

203.0.113.10:3390

Xulosa

Windows Server'ning standart RDP-portini 3389 dan boshqa portga reyestr muharriri yoki PowerShell orqali o'zgartirish mumkin.

Bunda uchta asosiy bosqichni esda tutish muhim:

1. PortNumber parametrini o'zgartirish;
2. yangi portga Windows Firewall'da ruxsat berish;
3. yangi port orqali ulanishni tekshirish.

Standart RDP-portni almashtirish 3389 ga kelayotgan avtomatik so'rovlar sonini kamaytirishi mumkin, ammo bu to'liq himoya emas.

Ommaviy Windows Server uchun qo'shimcha ravishda NLA, firewall, IP bo'yicha cheklovlar, kuchli autentifikatsiya, xavfsizlik yangilanishlari va imkon qadar VPN yoki Remote Desktop Gateway'dan foydalanish kerak.

Masofaviy server sozlamalarini o'zgartirishdan oldin kirishning zaxira usuli borligiga ishonch hosil qiling. Bu RDP yoki firewall sozlashda xatolik yuz bergan taqdirda serverni boshqarishni tiklash imkonini beradi.