13389 是什么
13389 并不是 IANA 分配的标准端口，而是安全加固里的一条常见惯例：把 Windows 远程桌面从默认 3389 改到 13389，以减少自动化扫描的命中量。要清楚的是，改端口只能降低噪音，对定向扫描而言只是多花几秒；真正的风险控制仍取决于认证方式、访问来源限制与账号策略。注册表改完还要同步防火墙与端口映射，只改一半会出现「本机能连、外部连不上」的经典问题。
基本信息
| 服务 | RDP 改端口惯例（13389，官方默认仍为 3389） |
|---|---|
| 协议 | TCP，RDP 协议 |
| 用途 | 远程桌面接入 |
| 安全等级 | 仍需 VPN 或堡垒机，禁止直接暴露 |
| 改动位置 | 注册表 PortNumber 与防火墙规则 |
典型使用场景
- 降低扫描噪音：避开默认端口的自动化扫描
- 合规整改：审计要求关闭默认管理端口时的一种处理方式
- 多实例区分：同一网络内不同主机使用不同自定义端口
- 规则同步：防火墙与端口映射必须一起修改
- 访问控制：配合来源限制与堡垒机使用
- 应急回滚：改错端口后通过带外方式恢复
查看与修改端口（Windows）
查看与修改端口（Windows）
Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' PortNumber # 查看当前端口
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 13389 # 改为 13389
New-NetFirewallRule -DisplayName 'RDP 13389' -Direction Inbound -Protocol TCP -LocalPort 13389 -Action Allow # 放行新端口
Restart-Service TermService -Force # 重启服务使改动生效改动后的同步项
| 项目 | 默认值 | 需同步为 |
|---|---|---|
| 注册表 PortNumber | 3389 | 13389 后重启远程桌面服务 |
| Windows 防火墙 | 放行 3389 | 新增 13389 规则并清理旧规则 |
| 网络侧映射 | 转发 3389 | 改为转发 13389 |
改端口的收益主要是降噪：定向扫描仍会发现非标端口上的远程桌面服务，因此它应当与来源限制、账号策略一起使用，而不是替代它们。
改端口属于高危操作：先保留一个已建立的会话或带外管理通道，改完在新窗口验证成功，再关闭旧通道。
远程桌面的高频风险是弱口令与账号爆破，启用网络级认证并配置失败锁定，效果比调整端口更实在。
多点位部署时把端口写进运维文档：自定义端口最常见的问题不是被攻击，而是后来人不知道改成了什么。