منفذ RDP 3389: كيف تغيّره وتؤمّن RDP الخاص بك

منفذ RDP الافتراضي (RDP port) هو 3389، على TCP وUDP معًا. تنقل بوابة سطح المكتب البعيد (RD Gateway) الواجهة العامة إلى TCP 443 وUDP 3391، لكن RDP ويندوز الذي تستأجره من مزوّد استضافة نادرًا ما تكون معه بوابة كهذه: فأنت تتصل مباشرةً بمنفذ RDP 3389 على عنوان IP العام للخادم. في ما يلي: كيف تغيّر منفذ RDP، ولماذا لا يفعل ذلك سوى إسكات البوتات، ودقائق الإعداد العشر التي تحمي الخادم حقًا.

تم التحقق في 1 أكتوبر 2026.

منفذ RDP الافتراضي: TCP وUDP 3389، و443 لـ RD Gateway

هذه قائمة المنافذ التي تستخدمها خدمات سطح المكتب البعيد كما تنشرها Microsoft:

المنفذ	البروتوكول	يستخدمه
3389	TCP	اتصال سطح المكتب البعيد (الافتراضي)
3389	UDP	نقل UDP للاتصال نفسه
443	TCP	RD Gateway (RDP داخل HTTPS) وRD Web Access
3391	UDP	نقل UDP الخاص بـ RD Gateway

وتسجّل IANA المنفذ 3389 على TCP وUDP كليهما باسم ms-wbt-server. لمعرفة رقم منفذ RDP الذي يستمع عليه خادمك، شغّل هذا الأمر في PowerShell بصلاحيات المسؤول:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

تغيير منفذ RDP يقلّل الضجيج، لا الخطر

لا بأس بنقله، لكنه ليس إجراءً أمنيًا. أدوات تخمين كلمات المرور الآلية تستهدف 3389 لأنه المنفذ الافتراضي، فيسجّل الخادم الذي يعمل عليه سيلًا متواصلًا من محاولات الدخول الفاشلة. انقله يختفِ معظم هذا الضجيج، فتبرز المحاولات الحقيقية.

لكنه لا يخفي الخادم: فحصٌ لكل المنافذ الـ 65,535 يعثر على المنفذ الجديد بسرعة. غيّره لتهدأ السجلات، ثم طبّق إجراءات التحصين أدناه في كل الأحوال.

كيف تغيّر منفذ RDP على ويندوز

الإجراء الذي تصفه Microsoft هو قيمة واحدة في السجل (Registry) وقاعدة في جدار الحماية. افتح جدار الحماية أولًا، وإلا فستجد نفسك خارج الخادم بعد إعادة التشغيل. اختر منفذًا غير مستخدم أقل من 49152: فويندوز يحجز المنافذ من 49152 إلى 65535 لاتصالاته الصادرة الخاصة به.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

إن كان لدى مزوّدك جدار حماية في لوحة التحكم، فافتح المنفذ هناك أيضًا. اتصل بكتابة المنفذ بعد العنوان، مثل 203.0.113.10:47213، وحين ينجح الاتصال أغلق القواعد القديمة بالأمر Disable-NetFirewallRule -DisplayGroup "Remote Desktop". تفضّل محرر السجل (Registry Editor)؟ عدّل PortNumber تحت المفتاح RDP-Tcp نفسه، بالنظام العشري (Decimal)، ثم أعد التشغيل.

خطر كشف RDP على الإنترنت

RDP المكشوف على الإنترنت طريقٌ مطروق للاختراق. يقول دليل #StopRansomware الصادر عن CISA إن المهاجمين كثيرًا ما يدخلون عبر خدمات الوصول عن بُعد المكشوفة وضعيفة التأمين، وينصح بعدم كشف RDP على الويب أصلًا. وحيث لا غنى عن RDP، يطلب إغلاق منافذ RDP غير المستخدمة، وقفل الحسابات، والمصادقة متعددة العوامل، وتسجيل محاولات الدخول. وفي KB5020282 (2022)، تعدّ Microsoft هجمات القوة الغاشمة (brute force) من أكثر ثلاث طرق تُهاجَم بها أجهزة ويندوز، وتشير إلى أن حساب Administrator المدمج لم يكن قابلًا للقفل حتى تحديثاتها في أكتوبر 2022، فكان بالإمكان تخمين كلمة مروره عبر RDP بلا حد.

وتضاف إلى ذلك ثغرات خدمات سطح المكتب البعيد. فثغرة BlueKeep (CVE-2019-0708)، التي سُدّت في مايو 2019، سمحت لمهاجم بتشغيل تعليمات برمجية قبل تسجيل الدخول على Windows XP و7 وعلى Windows Server من 2003 إلى 2008 R2. وأشارت Microsoft إلى أن المصادقة على مستوى الشبكة (Network Level Authentication) لم تخفف منها إلا جزئيًا: فقد أوقفت الديدان، لا مهاجمًا يملك بيانات اعتماد صالحة.

يمكن الدفاع عن RDP مكشوف على الإنترنت إذا اجتمعت له NLA وقفلٌ للحساب وعبارة مرور طويلة وآخر التحديثات. والأفضل منه RDP لا يستجيب إلا لك.

حصّن RDP المستأجر في عشر دقائق

أبقِ المصادقة على مستوى الشبكة (NLA) مفعّلة

مع المصادقة على مستوى الشبكة في RDP، يجب أن يثبت العميل هويته قبل أن ينشئ ويندوز جلسة، فتبقى ثغرات ما قبل تسجيل الدخول مثل BlueKeep بعيدة عن متناول كل من لا يملك كلمة المرور. تحقّق من حالتها، وفعّلها إن لزم:

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

تحقّق من سياسة قفل الحساب (قد تكون معطّلة)

يذكر مرجع السياسة لدى Microsoft أن القيمة الافتراضية على الخادم المستقل هي 0، أي لا قفل أبدًا، ويستثني حساب Administrator المدمج. ولم يغيّر KB5020282 ذلك إلا في Windows 11 22H2 وفي الأجهزة الجديدة التي حصلت على تحديثات أكتوبر 2022 قبل إعدادها الأول: 10 محاولات فاشلة خلال 10 دقائق تقفل الحساب 10 دقائق، بما في ذلك Administrator. أما الجهاز الذي حُدّث بعد إعداده فيحتفظ بالقيم الافتراضية القديمة. افحص صورة النظام التي يقدّمها مزوّدك بالأمر net accounts. إن كانت قيمة «Lockout threshold» هي Never:

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

ثم فعّل Allow Administrator account lockout في secpol.msc، ضمن Account Policies > Account Lockout Policy. القفل لا يمنع إلا تسجيلات الدخول عبر الشبكة مثل RDP؛ أما الدخول من وحدة التحكم (console) فيبقى متاحًا.

غيّر اسم حساب المسؤول واستخدم عبارة مرور طويلة

أدوات تخمين كلمات المرور تجرّب Administrator أولًا، وتغيير اسم الحساب يمنع الغرباء أيضًا من قفل حسابك عليك باستخدام اسم المستخدم الخاص بك:

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

إن كانت لوحة مزوّدك قادرة على إعادة تعيين كلمة المرور، فتأكد من أنها ما زالت تعثر على الحساب بعد تغيير اسمه. مزوّدك هو من أنشأ كلمة المرور الأولى، وعلى الأرجح أرسلها إليك بالبريد الإلكتروني، فاستبدلها عند أول تسجيل دخول (Ctrl+Alt+End داخل الجلسة، ثم Change a password). ويطلب دليل CISA تغيير أسماء المستخدمين وكلمات المرور الافتراضية لحسابات المسؤول، واستخدام كلمات مرور فريدة لا تقل عن 15 حرفًا؛ فالتزم هنا بهذا الحد على الأقل.

اسمح لعنوان IP الخاص بك فقط، أو مرّر الاتصال عبر نفق WireGuard أو SSH

أفضل حماية لـ RDP منفذٌ لا يستجيب إلا لك. إن كان عنوانك ثابتًا، فقيّد القواعد المدمجة، أو قواعدك المخصصة إن كنت قد نقلت المنفذ:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

العناوين المنزلية تتغير، والـ VPN لا يحل هذه المشكلة. فخدمتا Mullvad وIVPN كلتاهما تقبلان Monero وتُبقيان عنوان IP منزلك خارج سجلات مزوّد الاستضافة، لكن كل مستخدمي خادم الـ VPN يتشاركون عنوان الخروج نفسه، فلا يصلح هذا العنوان لقائمة سماح. وهناك طريقتان للحصول على عنوان خاص بك:

• WireGuard على VPS لينكس صغير. شغّل خادم WireGuard خاصًا بك على جهاز رخيص من رفّ VPS، ثم اسمح بـ RDP من عنوان IP الخاص به وحده.
• نفق SSH. OpenSSH Server ميزة اختيارية بدءًا من Windows Server 2019، ويأتي مثبّتًا في Windows Server 2025؛ شغّل خدمة sshd واضبطها على Automatic. ضع مفتاحك العام في C:\ProgramData\ssh\administrators_authorized_keys، بحيث لا يقرؤه إلا Administrators وSYSTEM كما يبيّن دليل المفاتيح لدى Microsoft، واضبط PasswordAuthentication no في C:\ProgramData\ssh\sshd_config ثم أعد تشغيل sshd. افتح النفق (ضع منفذك المخصص مكان 3389 إن كنت قد نقلته):

ssh -N -L 13389:127.0.0.1:3389 [email protected]

وجّه برنامج سطح المكتب البعيد إلى 127.0.0.1:13389، وحين ينجح ذلك عطّل قواعد Remote Desktop في جدار الحماية. صار RDP خارج الإنترنت؛ والمكشوف الآن هو المنفذ 22، ولا يقبل إلا المفاتيح.

عطّل إعادة توجيه الحافظة والأقراص إن لم تكن بحاجة إليها

الخادم المخترَق يستطيع الوصول إلى أي حافظة أو أقراص تعيد توجيهها إليه. في Remote Desktop Connection افتح Show Options > Local Resources، وألغِ تحديد Clipboard، ثم ضمن More ألغِ تحديد Drives. ولفرض ذلك من جهة الخادم، فعّل Do not allow Clipboard redirection وDo not allow drive redirection في gpedit.msc، ضمن Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection.

ثبّت التحديثات، ثم اقرأ أحداث الدخول الفاشلة

شغّل Windows Update وأبقِ التحديثات التلقائية مفعّلة. وانتبه إلى الإصدار: تحديثات الأمان الممتدة المدفوعة (Extended Security Updates) لـ Windows Server 2012 و2012 R2 انتهت في أكتوبر 2026 (دورة حياة المنتج لدى Microsoft)، وانتهى دعم Windows 10 في 14 أكتوبر 2025. اطلب Server 2022 أو 2025، أو Windows 11.

تسجيل الدخول الفاشل هو الحدث 4625؛ أما تسجيل الدخول الناجح عبر سطح المكتب البعيد فهو 4624 بنوع دخول 10، أي RemoteInteractive. يعرض هذا الأمر العناوين العشرة التي سجّلت أكبر عدد من المحاولات الفاشلة:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

النتيجة فارغة؟ الأمر auditpol /set /subcategory:"Logon" /failure:enable يفعّل تدقيق محاولات الدخول الفاشلة. المحاولات الفاشلة من الغرباء هي الضجيج المعتاد لأي منفذ مفتوح. أما حدث 4624 من النوع 10 آتيًا من عنوان لا تعرفه فهو حادث أمني.

ما يستطيع مزوّد الاستضافة رؤيته وما لا يستطيع

المزوّد يدير طبقة المحاكاة الافتراضية (hypervisor) التي يعمل فوقها خادمك:

• يستطيع فتح وحدة التحكم (console)، وإعادة تعيين كلمة المرور، وأخذ لقطة من القرص، وقراءة كل ما لم تشفّره.
• يرى العنوان الذي تتصل منه (عنوان الـ VPN إن كنت تستخدمه)، ومتى تتصل، وحجم البيانات المتبادلة.
• لا يستطيع قراءة جلسة RDP أثناء انتقالها عبر الشبكة، فهي مشفّرة. ومع تحكمه في طبقة المحاكاة الافتراضية، نادرًا ما يحتاج إلى ذلك.
• يعرف ما يكشفه نموذج الطلب ودفعتك. ومع Monero وتسجيل بدون KYC، لا يتعدى ذلك بريدًا إلكترونيًا أو اسم مستخدم.

لا تحتفظ على جهاز ويندوز مستأجر بشيء لا تقبل أن تسلّمه للشركة التي تديره.

ما الذي تبحث عنه في مزوّد RDP

• وصول إلى وحدة التحكم (console) من لوحة مزوّدك، لليوم الذي تجد فيه نفسك خارج الخادم بسبب قاعدة خاطئة في جدار الحماية أو قفلٍ للحساب. اسأل عنه قبل الطلب.
• صورة ويندوز حديثة: Server 2022 أو 2025، أو Windows 11. اخترها عند الطلب حتى لو عُرضت إصدارات أقدم.
• حماية من هجمات DDoS وصلاحيات مسؤول كاملة، وكلتاهما مشمولة في السعر.
• Monero عند الدفع، وتسجيل يطلب بريدًا إلكترونيًا أو اسم مستخدم، لا وثيقة هوية أبدًا.

وحدتان في رفّ RDP وويندوز لدينا تبيعان RDP ويندوز مقابل Monero، مرتّبتين أبجديًا:

	MurmurHost	rdp.monster
أرخص RDP	$44 شهريًا دون التزام، أو $224.40 سنويًا	$8.99 شهريًا
ويندوز	Server 2019 و2022، وWindows 10 و11	Server 2012 و2022
Monero	يُدفع إلى محفظته الخاصة، ويُعتمد الدفع بعد 10 تأكيدات	مدرج ضمن طرق الدفع لديه
التسجيل	بلا اسم أو هاتف أو وثيقة هوية	بريد إلكتروني فقط، بدون KYC
المشمول	صلاحيات مسؤول كاملة، حماية DDoS بسعة 10 Gbps	صلاحيات مسؤول كاملة، حماية من DDoS، كل المنافذ مفتوحة عدا 25 (خيار بـ $5 شهريًا)

ولخيارات VPS والنطاقات والبريد أيضًا، اطّلع على مزوّدي الاستضافة الذين يقبلون Monero.

الأسئلة الشائعة

هل 3389 هو منفذ RDP؟

نعم. يستمع سطح المكتب البعيد على المنفذ 3389 افتراضيًا، وهو مسجّل لدى IANA على TCP وUDP. ويستطيع المسؤول نقله بتعديل قيمة واحدة في السجل.

هل منفذ سطح المكتب البعيد 3389 يعمل على TCP أم UDP؟

على كليهما. يحمل TCP الاتصال ويجب أن يكون مفتوحًا؛ أما UDP على المنفذ نفسه فوسيلة نقل إضافية يستخدمها العميل متى استطاع. وعندما تنقل المنفذ، افتحهما كليهما.

هل يستخدم RDP المنفذ 443؟

نعم، عبر RD Gateway: فهي تغلّف RDP داخل HTTPS على TCP 443 وتضيف UDP 3391. أما RDP المستأجر العادي فلا بوابة معه ويستخدم 3389.

هل منفذ RDP هو 22؟

لا، المنفذ 22 هو منفذ SSH. يمكنك تمرير RDP عبر نفق SSH على المنفذ 22، لكن RDP نفسه يظل يستمع على 3389.

هل RDP على المنفذ 3389 آمن؟

رقم المنفذ لا يغيّر شيئًا. RDP يشفّر الجلسة؛ والأمان يأتي من NLA والتحديثات وقفل الحساب وكلمة المرور القوية وقلة العناوين التي تستطيع الوصول إليه.

هل من الآمن كشف RDP على الإنترنت؟

إنه الإعداد الأخطر: أي أحد يستطيع تجربة كلمات المرور، وأي ثغرة لم تُسدّ تصبح في المتناول. إن كان لا بد منه، فأبقِ NLA مفعّلة، واضبط قفل الحساب، واستخدم عبارة مرور طويلة، وثبّت التحديثات؛ والأفضل أن تسمح لعنوانك وحده أو لنفق.

الخلاصة

المنفذ 3389، على TCP وUDP. غيّره لسجلات أهدأ، لا للأمان. ثم: NLA مفعّلة، وقفل للحساب يشمل Administrator، وحساب باسم جديد وعبارة مرور طويلة، ومنفذ مغلق أمام الجميع سواك، وإعادة التوجيه معطّلة، والتحديثات مفعّلة، ونظرة أسبوعية على الحدث 4625. عشر دقائق لكل خادم.