Puerto RDP 3389: cómo comprobarlo y cambiarlo en Windows

Por defecto, RDP escucha en el puerto TCP 3389. Cómo ver cuál usa tu servidor Windows, cambiarlo sin quedarte fuera y conectarte al nuevo puerto.

El Escritorio remoto (RDP) escucha por defecto en el puerto TCP 3389. [1] Windows también puede usar el puerto UDP 3389 para un transporte más rápido cuando la red lo permite. Esta guía explica cómo comprobar qué puerto usa tu servidor, cómo cambiarlo sin quedarte fuera y cómo conectarte al nuevo puerto. Los comandos funcionan en Windows Server 2019, 2022 y 2025; ejecútalos en una ventana de PowerShell abierta como administrador.

Permite el nuevo puerto en el cortafuegos antes de cambiar el puerto de Escritorio remoto. Si el Escritorio remoto se reinicia en un puerto que el cortafuegos bloquea, pierdes el acceso al servidor hasta que se deshaga el cambio.

Para qué sirve el puerto 3389

El servicio de Escritorio remoto espera las conexiones en el puerto 3389. Todos los clientes, desde Remote Desktop Connection (Conexión a Escritorio remoto) en Windows hasta Windows App en macOS y en los teléfonos, se conectan a ese puerto salvo que les indiques otro.

Mover el Escritorio remoto a otro puerto reduce los intentos automatizados de inicio de sesión dirigidos al puerto 3389 desde todo internet. Por sí solo no basta como protección: cualquiera que escanee todos los puertos puede encontrarlo igualmente. Mantén una contraseña robusta, la autenticación a nivel de red (NLA) y, cuando puedas, una regla de cortafuegos que solo permita conexiones desde tus propias direcciones.

Cómo comprobar qué puerto usa el Escritorio remoto

Consulta el puerto en el valor del Registro que el Escritorio remoto lee al arrancar: [1]

Puerto actual de Escritorio remoto

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'

La línea PortNumber muestra el puerto, por ejemplo PortNumber : 3389.

Para confirmar que el servicio escucha en ese puerto:

¿Hay algo escuchando en el puerto?

Get-NetTCPConnection -State Listen -LocalPort 3389

Desde tu propio equipo con Windows, comprueba que el puerto es accesible desde internet. Sustituye la dirección por la IP de tu servidor: [3]

Prueba el puerto desde tu equipo

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

TcpTestSucceeded : True significa que el puerto está abierto desde donde te conectas.

Cómo cambiar el puerto RDP

1. Elige un puerto libre

Escoge un puerto entre 1025 y 65535 que no use ningún otro servicio, por ejemplo el 3390 u otro más alto. Comprueba que está libre; este comando no devuelve nada si ningún proceso escucha en ese puerto:

PowerShell

Get-NetTCPConnection -State Listen -LocalPort 3390 -ErrorAction SilentlyContinue

2. Permite el nuevo puerto en el cortafuegos de Windows

Crea reglas de entrada para TCP y UDP en el nuevo puerto: [1] [2]

Reglas de cortafuegos para el nuevo puerto

$port = 3390
New-NetFirewallRule -DisplayName "Remote Desktop (TCP $port)" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "Remote Desktop (UDP $port)" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

Si hay otro cortafuegos delante del servidor, permite el puerto también en él.

3. Cambia el puerto en el Registro

Define el nuevo puerto

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port

4. Reinicia el Escritorio remoto

El nuevo puerto se aplica cuando se reinicia el servicio de Escritorio remoto. Al reiniciarlo se corta tu sesión actual, así que guarda antes tu trabajo:

Reinicia el servicio de Escritorio remoto

Restart-Service -Name TermService -Force

También sirve reiniciar todo el servidor con Restart-Computer.

5. Conéctate al nuevo puerto

Añade el puerto a la dirección del servidor, separado por dos puntos, por ejemplo 203.0.113.10:3390: [1]

Remote Desktop Connection (Windows): escribe 203.0.113.10:3390 en el campo Computer (Equipo), o ejecuta mstsc /v:203.0.113.10:3390.
Windows App (macOS, iOS, iPadOS y Android): edita el PC guardado e introduce la dirección con el puerto.

6. Cierra el puerto 3389

Cuando el nuevo puerto funcione, desactiva las reglas integradas que permiten el puerto 3389:

Desactiva las reglas predeterminadas de Escritorio remoto

Disable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'

@FirewallAPI.dll,-28752 es el identificador del grupo de reglas integrado de Escritorio remoto. Es el mismo en todos los idiomas de Windows, mientras que el nombre del grupo se traduce, así que el comando funciona en cualquier instalación. En un Windows en inglés, Disable-NetFirewallRule -DisplayGroup 'Remote Desktop' hace lo mismo.

Si no puedes conectarte

No existe la regla o está desactivada: Get-NetFirewallRule -DisplayName 'Remote Desktop (TCP*' debe mostrar tu regla con Enabled : True.
El servicio no escucha en el nuevo puerto: Get-NetTCPConnection -State Listen -LocalPort 3390 debe devolver una línea.
Tu propia red bloquea el puerto: las redes de oficina y las públicas suelen permitir solo los puertos habituales en las conexiones salientes. Prueba desde otra conexión.
Te has quedado fuera: escribe al soporte. Como último recurso, puedes reinstalar el servidor desde el área de cliente, lo que instala de nuevo el sistema operativo y borra los datos que hay en él.

Mantén seguro el Escritorio remoto

Usa una contraseña larga y única para la cuenta Administrator.
Mantén activada la autenticación a nivel de red (NLA), como viene por defecto.
Siempre que puedas, permite el puerto solo desde tus propias direcciones IP: Set-NetFirewallRule -DisplayName "Remote Desktop (TCP 3390)" -RemoteAddress 198.51.100.7.
Instala las actualizaciones de Windows con regularidad.

Encontrarás más medidas en 7 consejos de seguridad para el escritorio remoto.

Fuentes y referencias

Change Remote Desktop listening port on Windows and Windows Server — Microsoft Learn (consultado el 2026-10-24)
New-NetFirewallRule — Microsoft Learn (consultado el 2026-10-24)
Test-NetConnection — Microsoft Learn (consultado el 2026-10-24)