Porta RDP 3389: verificare e cambiare la porta di Desktop remoto

Di default, Desktop remoto (RDP) è in ascolto sulla porta TCP 3389. [1] Quando la rete lo permette, Windows può usare anche UDP sulla porta 3389, per un trasporto più veloce. Questa guida spiega come verificare quale porta usa il tuo server, come cambiarla senza perdere l’accesso e come collegarti alla nuova porta. I comandi funzionano su Windows Server 2019, 2022 e 2025 e vanno eseguiti in una finestra di PowerShell aperta come amministratore.

A cosa serve la porta 3389

Sulla porta 3389 il servizio Desktop remoto attende le connessioni. Tutti i client, da Remote Desktop Connection (Connessione Desktop remoto) su Windows a Windows App su macOS e sugli smartphone, si collegano a quella porta, a meno che tu non ne indichi un’altra.

Spostare Desktop remoto su un’altra porta riduce i tentativi di accesso automatici dei bot che scansionano a tappeto la porta 3389 su internet. Da solo, però, non basta a proteggerti: chi scansiona tutte le porte può comunque trovarlo. Per questo usa una password robusta, lascia attiva l’autenticazione a livello di rete (NLA) e, dove puoi, aggiungi una regola del firewall che consenta l’accesso solo dai tuoi indirizzi.

Verifica quale porta usa Desktop remoto

Ricava la porta dal valore del Registro di sistema che Desktop remoto legge all’avvio: [1]

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'

La riga PortNumber mostra la porta, per esempio PortNumber : 3389.

Per verificare che il servizio sia in ascolto su quella porta:

Get-NetTCPConnection -State Listen -LocalPort 3389

Dal tuo computer Windows, controlla che la porta sia raggiungibile da internet. Sostituisci l’indirizzo con l’IP del tuo server: [3]

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

TcpTestSucceeded : True significa che la porta è raggiungibile dalla rete in cui ti trovi.

Cambia la porta di Desktop remoto

Get-NetTCPConnection -State Listen -LocalPort 3390 -ErrorAction SilentlyContinue

$port = 3390
New-NetFirewallRule -DisplayName "Remote Desktop (TCP $port)" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "Remote Desktop (UDP $port)" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port

Restart-Service -Name TermService -Force

Disable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'

Se non riesci a collegarti

• La regola manca o è disattivata: Get-NetFirewallRule -DisplayName 'Remote Desktop (TCP*' dovrebbe elencare la tua regola con Enabled : True.
• Il servizio non è in ascolto sulla nuova porta: Get-NetTCPConnection -State Listen -LocalPort 3390 dovrebbe restituire una riga.
• È la tua rete a bloccare la porta: le reti aziendali e quelle pubbliche spesso consentono in uscita solo le porte più comuni. Prova da un’altra connessione.
• Hai perso l’accesso: contatta l’assistenza. Come ultima risorsa puoi reinstallare il server dall’area clienti: il sistema operativo viene reinstallato e i dati sul server vengono cancellati.

Proteggi Desktop remoto

• Scegli per l’account Administrator una password lunga che non usi da nessun’altra parte.
• Lascia attiva l’autenticazione a livello di rete (NLA), che lo è già di default.
• Dove puoi, limita l’accesso alla porta ai tuoi indirizzi IP: Set-NetFirewallRule -DisplayName "Remote Desktop (TCP 3390)" -RemoteAddress 198.51.100.7.
• Installa regolarmente gli aggiornamenti di Windows.

Trovi altri accorgimenti nei 7 consigli per proteggere la tua connessione Desktop remoto.