TeamViewer 直连端口
5938 是 TeamViewer 建立直连会话的主端口，TCP 与 UDP 都会用到。客户端优先尝试点对点直连，以获得更好的画质与更低的延迟；直连不成就退回到 443 端口走中继服务器。正因为存在这条回退路径，企业想封禁远程控制软件时，只封 443 是无效的。
基本信息
| 服务 | TeamViewer（router.teamviewer.com） |
|---|---|
| 协议 | TCP 与 UDP 5938，443 为回退中继 |
| 用途 | 远程支持、无人值守访问 |
| 客户端形态 | 全平台客户端与免安装的 QuickSupport |
| 安全等级 | 按企业策略管理 |
典型使用场景
- IT 支持人员远程协助用户排查故障
- 无人值守访问办公机与服务器，做集中维护
- 排查连不上时判断是直连失败还是中继被拦
- 制定出口策略时识别并阻断未经批准的远程控制软件
- 安全事件处置时确认免安装版本是否被悄悄启用
出口策略与检测
出口策略与检测
Test-NetConnection -ComputerName router.teamviewer.com -Port 5938
# 本机侧观察 5938 的会话
Get-NetTCPConnection -RemotePort 5938 -ErrorAction SilentlyContinue
# 核对防火墙策略是否同时覆盖 TCP 与 UDP
Get-NetFirewallRule -DisplayName '*TeamViewer*' | Format-Table Name,Enabled,Action连接路径与绕过点
| 路径 | 端口 | 说明 |
|---|---|---|
| 点对点直连 | TCP/UDP 5938 | 画质与延迟最优，客户端首选 |
| 中继回退 | TCP 443 | 直连失败后使用，与正常 HTTPS 流量共用端口 |
| 域名解析 | TCP/UDP 53 | 需解析服务域名才能建立连接 |
| 免安装版本 | 同 5938/443 | 单文件运行，主机上不留安装痕迹 |
管控思路：只在防火墙上封 5938 效果有限，还要配合域名解析限制与进程执行控制。企业常见做法是建立远程运维工具白名单，只允许批准的几款，同时对未授权工具的产生与运行做告警。
风险提示：QuickSupport 这类免安装版本是电信诈骗的常用工具。客服、财务与远程办公场景建议默认禁止运行并配置检测告警；发生过诈骗的机构还应排查主机上是否同时装了其他远控软件。
排障提示：能连上但画面卡，多半是直连失败走了中继，可在连接信息里查看连接类型。企业网络里 UDP 5938 常被阻断而 TCP 放行，典型表现就是能连但很卡，与完全连不上的原因截然不同。