Porta 3389: como verificar e alterar a porta RDP no Windows

Por predefinição, o Ambiente de Trabalho Remoto (RDP) está à escuta na porta TCP 3389. [1] Quando a rede o permite, o Windows também pode usar UDP na porta 3389, para um transporte mais rápido. Este guia mostra como verificar que porta o seu servidor usa, como alterar a porta RDP sem perder o acesso e como ligar-se à nova porta. Os comandos funcionam no Windows Server 2019, 2022 e 2025 e têm de ser executados numa janela do PowerShell aberta como administrador.

Para que serve a porta 3389

A porta 3389 é onde o serviço de Ambiente de Trabalho Remoto aguarda ligações. É a essa porta que se ligam todos os clientes, da Remote Desktop Connection (Ligação ao Ambiente de Trabalho Remoto) no Windows à Windows App no macOS e nos telemóveis, a não ser que lhes indique outra.

Mudar o Ambiente de Trabalho Remoto para outra porta reduz as tentativas automáticas de início de sessão dos bots que varrem a internet à procura da porta 3389. Por si só, isto não é uma proteção: quem fizer um varrimento de todas as portas continua a encontrar o serviço. Mantenha uma palavra-passe forte, a Autenticação ao Nível da Rede (NLA) e, sempre que possível, uma regra de firewall que só permita os seus próprios endereços.

Verifique a porta que o Ambiente de Trabalho Remoto usa

Consulte a porta no valor do registo do Windows que o Ambiente de Trabalho Remoto lê ao arrancar: [1]

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'

A linha PortNumber mostra a porta, por exemplo PortNumber : 3389.

Para confirmar que o serviço está à escuta nessa porta:

Get-NetTCPConnection -State Listen -LocalPort 3389

No seu próprio computador com Windows, verifique se a porta está acessível através da internet. Substitua o endereço pelo IP do seu servidor: [3]

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

TcpTestSucceeded : True significa que a porta está aberta a partir de onde se encontra.

Altere a porta RDP

Get-NetTCPConnection -State Listen -LocalPort 3390 -ErrorAction SilentlyContinue

$port = 3390
New-NetFirewallRule -DisplayName "Remote Desktop (TCP $port)" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "Remote Desktop (UDP $port)" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port

Restart-Service -Name TermService -Force

Disable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'

Se não se conseguir ligar

• A regra não existe ou está desativada: Get-NetFirewallRule -DisplayName 'Remote Desktop (TCP*' deve listar a sua regra com Enabled : True.
• O serviço não está à escuta na nova porta: Get-NetTCPConnection -State Listen -LocalPort 3390 deve devolver uma linha.
• A sua própria rede bloqueia a porta: as redes de escritório e as redes públicas muitas vezes só permitem ligações de saída para as portas mais comuns. Experimente a partir de outra ligação.
• Ficou sem acesso: contacte o suporte. Em último recurso, pode reinstalar o servidor a partir da área de cliente, o que instala de novo o sistema operativo e apaga os dados que lá estão.

Mantenha o Ambiente de Trabalho Remoto seguro

• Defina na conta Administrator uma palavra-passe longa, que não utilize em nenhum outro lado.
• Mantenha a Autenticação ao Nível da Rede (NLA) ativada, como está por predefinição.
• Sempre que possível, permita a porta apenas a partir dos seus próprios endereços IP: Set-NetFirewallRule -DisplayName "Remote Desktop (TCP 3390)" -RemoteAddress 198.51.100.7.
• Instale regularmente as atualizações do Windows.

Encontra mais medidas nos 7 conselhos para proteger a sua ligação ao Ambiente de Trabalho Remoto.