Port RDP 3389: jak sprawdzić i zmienić port pulpitu zdalnego

Pulpit zdalny (RDP) domyślnie nasłuchuje na porcie TCP 3389. [1] Gdy sieć na to pozwala, Windows może też korzystać z UDP na porcie 3389, co przyspiesza transmisję. Ten poradnik pokazuje, jak sprawdzić, którego portu używa twój serwer, jak go zmienić, nie odcinając sobie dostępu, i jak połączyć się z nowym portem. Polecenia działają w Windows Server 2019, 2022 i 2025. Uruchamiaj je w oknie PowerShell otwartym jako administrator.

Do czego służy port 3389

Na porcie 3389 usługa pulpitu zdalnego czeka na połączenia. Każdy klient – od Remote Desktop Connection (Podłączanie pulpitu zdalnego) w Windows po Windows App na macOS i telefonach – łączy się z tym portem, chyba że podasz mu inny.

Przeniesienie pulpitu zdalnego na inny port ogranicza liczbę automatycznych prób logowania, które generują boty skanujące port 3389 w całym internecie. Samo w sobie nie jest to jednak zabezpieczenie: każdy, kto przeskanuje wszystkie porty, i tak znajdzie usługę na nowym porcie. Nadal korzystaj z silnego hasła i uwierzytelniania na poziomie sieci (NLA), a jeśli możesz, także z reguły zapory, która przepuszcza ruch tylko z twoich adresów IP.

Sprawdź, którego portu używa pulpit zdalny

Numer portu odczytasz z wartości rejestru, którą usługa pulpitu zdalnego wczytuje przy starcie: [1]

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'

Port widać w wierszu PortNumber, na przykład PortNumber : 3389.

Aby się upewnić, że usługa na nim nasłuchuje:

Get-NetTCPConnection -State Listen -LocalPort 3389

Na swoim komputerze z Windows sprawdź, czy port jest osiągalny przez internet. Zastąp adres w poleceniu adresem IP swojego serwera: [3]

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

Wynik TcpTestSucceeded : True oznacza, że port jest otwarty dla połączeń z twojej sieci.

Zmień port pulpitu zdalnego

Get-NetTCPConnection -State Listen -LocalPort 3390 -ErrorAction SilentlyContinue

$port = 3390
New-NetFirewallRule -DisplayName "Remote Desktop (TCP $port)" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "Remote Desktop (UDP $port)" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port

Restart-Service -Name TermService -Force

Disable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'

Jeśli nie możesz się połączyć

• Reguła nie istnieje lub jest wyłączona: polecenie Get-NetFirewallRule -DisplayName 'Remote Desktop (TCP*' powinno wyświetlić twoją regułę z wartością Enabled : True.
• Usługa nie nasłuchuje na nowym porcie: polecenie Get-NetTCPConnection -State Listen -LocalPort 3390 powinno zwrócić co najmniej jeden wiersz.
• Twoja sieć blokuje port: sieci firmowe i publiczne często przepuszczają ruch wychodzący tylko na popularne porty. Spróbuj połączyć się z innej sieci.
• Nie masz dostępu do serwera: skontaktuj się z zespołem wsparcia. W ostateczności możesz w panelu klienta przeinstalować serwer – system operacyjny zostanie zainstalowany od nowa, a dane na serwerze zostaną usunięte.

Zadbaj o bezpieczeństwo pulpitu zdalnego

• Ustaw dla konta Administrator długie hasło, którego nie używasz nigdzie indziej.
• Nie wyłączaj uwierzytelniania na poziomie sieci (NLA) – domyślnie jest włączone.
• Jeśli to możliwe, otwórz port tylko dla swoich adresów IP: Set-NetFirewallRule -DisplayName "Remote Desktop (TCP 3390)" -RemoteAddress 198.51.100.7.
• Regularnie instaluj aktualizacje Windows.

Więcej wskazówek znajdziesz w artykule o 7 sposobach zabezpieczenia połączenia pulpitu zdalnego.