Windows怎么配置远程桌面端口号_Windows如何修改RDP默认端口避免被扫描攻击【避坑】

如果您希望提升 Windows 系统远程桌面（RDP）的安全性，防止因使用默认端口 3389 而遭受自动化扫描与暴力破解攻击，则必须修改其侦听端口号。以下是多种可靠、可操作的配置方法：

一、通过注册表编辑器图形化修改端口

该方法直接编辑系统核心配置项，适用于所有 Windows 版本（含 Server 2008 至 Windows 11），需同时修改两个注册表路径以确保服务与监听组件一致生效。

1、按 Win + R 打开运行窗口，输入 regedit 并回车，以管理员身份运行注册表编辑器。

2、在左侧导航栏中，依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp。

3、在右侧找到名为 PortNumber 的 DWORD 值，双击打开，将“基数”设为“十进制”，在“数值数据”中填入目标端口号（如 54321），点击“确定”。

4、再次在左侧导航栏中，依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp。

5、同样双击右侧的 PortNumber，设置为相同十进制端口号（如 54321），点击“确定”。

6、关闭注册表编辑器，以管理员身份打开命令提示符或 PowerShell，执行：net stop TermService && net start TermService，强制重启远程桌面服务。

二、使用 PowerShell 命令行一键修改端口

该方式避免手动导航注册表路径出错，支持脚本化批量部署，且能即时验证端口变更结果，适合运维人员快速执行。

1、右键“开始”按钮，选择“Windows PowerShell（管理员）”或“终端（管理员）”。

2、执行以下命令查看当前端口：Get-ItemProperty -Path ‘HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp’ -Name ‘PortNumber’。

3、执行命令设置新端口（示例端口为 48273）：$newPort = 48273; Set-ItemProperty -Path ‘HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp’ -Name ‘PortNumber’ -Value $newPort。

4、同步更新 Wds\rdpwd\Tds\tcp 路径下的 PortNumber：Set-ItemProperty -Path ‘HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp’ -Name ‘PortNumber’ -Value $newPort。

5、立即重启服务使配置生效：Restart-Service TermService -Force。

三、配置 Windows 防火墙放行新端口并禁用旧规则

仅修改注册表无法对外生效，若防火墙未放行新端口或仍开放 3389，攻击面未实质缩小。必须同步调整入站规则。

1、按 Win + R 输入 wf.msc，打开“高级安全 Windows Defender 防火墙”。

2、在左侧面板点击“入站规则”，右键空白处选择“新建规则…”。

3、规则类型选择“端口”，点击“下一步”。

4、协议选择“TCP”，在“特定本地端口”中输入新端口号（如 54321），点击“下一步”。

5、操作选择“允许连接”，点击“下一步”。

6、配置配置文件：勾选“域”、“专用”、“公用”（根据实际网络环境可酌情取消公用），点击“下一步”。

7、名称填写为 Allow RDP (54321)，描述可选填，点击“完成”。

8、在入站规则列表中，找到原规则“远程桌面(TCP-In)”或名称含 3389 的条目，右键选择“禁用规则”。

四、验证端口修改是否成功

修改后必须确认服务实际监听新端口且旧端口已停止响应，避免配置遗漏导致远程连接中断或防护失效。

1、以管理员身份运行 PowerShell，执行：netstat -an -p tcp | findstr :54321（将 54321 替换为您的端口号）。

2、若输出中包含 LISTENING 状态且本地地址为 0.0.0.0:54321 或 [::]:54321，表示监听成功。

3、执行：netstat -an -p tcp | findstr :3389，确认无任何 LISTENING 输出。

4、从另一台设备使用 mstsc.exe 连接：目标IP:54321，测试登录是否正常。