修改 RDP 端口与注意
把远程桌面的监听端口从 3389 换成其他端口，只能减少自动化扫描的噪音，并不等于安全加固：真正的防护来自网络级身份验证、多因素认证与网关。修改时要同时改两处注册表项，只改一处会让远程桌面彻底连不上，所以远程操作之前必须先确认还有带外管理通道可用。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| 注册表位置一 | HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp |
| 注册表位置二 | HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp |
| 生效方式 | 重启 TermService 服务 |
| 客户端连接 | mstsc /v:主机:端口 |
典型使用场景
- 降低公网暴露面，减少针对 3389 的扫描与爆破噪音
- 满足内部规范中关于更换默认管理端口的要求
- 排查「改了端口之后远程桌面连不上」，核对是否两处都改
- 多台服务器统一端口，便于防火墙与网关规则收敛
- 评估改端口之外的真正加固手段，如 NLA 与网关
- 为堡垒机或跳板机配置非默认端口的接入目标，减少误连
常用示例
常用示例
$p = 33890
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $p
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp' -Name PortNumber -Value $p
New-NetFirewallRule -DisplayName 'RDP-33890' -Direction Inbound -Protocol TCP -LocalPort $p -Action Allow
Restart-Service TermService -Force # 重启远程桌面服务
netstat -ano | findstr LISTENING | findstr 33890 # 确认新端口在监听改动清单
| 项目 | 位置 | 说明 |
|---|---|---|
| PortNumber | RDP-Tcp 项 | 监听端口，必须与下一处一致 |
| PortNumber | Wds\rdpwd\Tds\tcp 项 | 第二处，漏改就无法连接 |
| 防火墙规则 | 本机或云安全组 | 新端口必须放行 |
| NLA 设置 | 远程桌面系统设置 | 真正的接入安全控制点 |
改端口属于降低噪音，不属于安全加固：扫描器照样能发现新端口上的远程桌面服务，安全能力来自网络级身份验证、多因素认证、来源限制与网关。
远程执行修改前务必确认存在带外管理通道（如 iLO、iDRAC、KVM）或其他管理方式；两处注册表改错会让远程连接直接断开且无法远程恢复。改完先在本地或带外会话里用 mstsc 连一次新端口，确认无误再放开公网或广域网访问。