RDP 与 3389 端口
RDP（Remote Desktop Protocol）是 Windows 自带的图形化远程协议，默认监听 TCP 3389，UDP 3389 只用于图形与多媒体的体验增强。公网暴露的 3389 通常在数分钟内就会迎来第一轮口令爆破；历史上还出现过 BlueKeep（CVE-2019-0708）这类无需认证的蠕虫级漏洞。启用 NLA（网络级身份验证）可让未通过认证的连接无法进入登录界面，是 RDP 加固中性价比最高的一步。
基本信息
| 服务 | RDP（Remote Desktop Services，rdp-tcp 监听器） |
|---|---|
| 协议 | TCP（UDP 3389 为体验增强，可单独关闭） |
| 适用平台 | Windows Server 2012 R2 及以后、Windows 10/11 专业版及以上 |
| 权限要求 | 账户须在 Remote Desktop Users 组；改端口需改注册表并重启服务 |
| 审计入口 | 事件 ID 4625 登录失败、4624 登录成功 |
典型使用场景
- 运维远程管理 Windows 服务器，替代现场操作
- 远程办公连接公司内网的办公主机
- RD Gateway 收敛外网入口：外部先连 443 的网关，再由网关转发到内网 3389
- 跳板机与堡垒机统一入口，配合会话录屏与命令审计
- 必须使用图形界面的运维工具，例如只有 GUI 客户端的老旧业务软件
客户端连接与连通性
客户端连接与连通性
Test-NetConnection dc01.example.com -Port 3389 # 先确认网络层是否可达
mstsc /v:dc01.example.com # 常规连接
mstsc /v:dc01.example.com:13389 # 非默认端口写法
quser # 在目标机上查看当前登录会话
qwinsta # 列出会话与状态，含 rdp-tcp 监听器加固措施与效果
| 措施 | 做法 | 效果 |
|---|---|---|
| 收敛入口 | 公网只开 VPN 或 RD Gateway，3389 不对外放行 | 效果最高，直接消除扫描与爆破面 |
| 启用 NLA | 要求先完成身份验证再建立会话 | 缓解 BlueKeep 类未认证漏洞，登录前不占会话资源 |
| 账户锁定策略 | 设置失败次数阈值与锁定时长 | 拖慢慢速试密码，制造可观测的日志信号 |
| 强口令与改名 | 禁用或重命名 administrator 等默认账户 | 降低撞库命中率 |
| 改监听端口 | 改注册表并重启服务 | 仅减少扫描噪音，不能替代以上措施 |
输出逐列读法
| 输出项 | 含义 | 正常/异常 |
|---|---|---|
| SESSIONNAME | console 为本机登录，rdp-tcp#N 为远程会话 | 出现陌生 rdp-tcp 会话要核对来源与时间 |
| STATE | Active 使用中，Disc 断开的会话仍占资源 | 大量 Disc 会话会耗尽会话数并拖慢登录 |
| USERNAME | 当前登录账户 | 出现废弃账号或无人认领的账户需立即处置 |
| LocalAddress | 监听地址 | 0.0.0.0 表示全网卡可达，应改为仅内网网卡 |
服务端状态与审计检查
服务端状态与审计检查
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress,OwningProcess # 确认监听范围
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' | Select-Object UserAuthentication,PortNumber # UserAuthentication=1 即已启用 NLA
Get-Service TermService | Select-Object Status,StartType # 远程桌面服务状态
net accounts # 当前锁定阈值与锁定时长
wevtutil qe Security /q:"*[System[(EventID=4625)]]" /c:20 /f:text # 最近的失败登录记录只改端口而不收敛入口，扫描器换端口照样能找到；3389 的正解是 VPN 或 RD Gateway 加 NLA、强口令与及时补丁。
UDP 3389 只影响远程会话的图形与多媒体体验，单独关闭不影响登录；远程办公规模大时用 RD Gateway 集中收口，比逐台放行 3389 更易管理。
登录失败排查顺序：先看 4625 的来源地址判断是外部爆破还是内部误输，再确认账户是否已被锁定；同一内网网段集中出现的失败记录往往意味着已有主机失陷。
外网访问收敛方案
- VPN 接入：用户先连 VPN 再访问内网 3389，公网不暴露任何 RDP 端口
- RD Gateway：网关监听 443，按策略转发到内网主机的 3389
- 堡垒机跳板：先登录跳板机再发起 RDP，天然附带审计与会话录屏
- 云厂商会话管理：由平台下发临时凭据，免开公网端口
- 临时按需放行：限定来源地址与有效期，用完立即回收规则
会话被顶掉的常见原因：组策略或注册表限制单用户单会话时，同一账号第二次登录会挤掉前一个会话；排查用户莫名掉线先看这条策略，而不是先怀疑网络。