Puerto RDP 3389: cómo cambiarlo y proteger tu RDP
Publicado 29 Oct 2026
El puerto RDP es el 3389, TCP y UDP. Cómo cambiarlo en Windows, por qué solo reduce el ruido de bots y qué ajustes protegen de verdad un RDP alquilado.
El puerto RDP por defecto es el 3389, tanto en TCP como en UDP. Un RD Gateway lleva la parte pública a TCP 443 y UDP 3391, pero un RDP con Windows alquilado a un proveedor de hosting rara vez tiene uno: te conectas directamente al puerto 3389 de su IP pública. A continuación: cómo cambiar el puerto RDP, por qué eso solo acalla a los bots y los diez minutos de ajustes que de verdad protegen el servidor.
Comprobado el 1 de octubre de 2026.
Qué puerto usa RDP: TCP y UDP 3389, y 443 para RD Gateway
La lista de puertos de Servicios de Escritorio remoto de Microsoft:
| Puerto | Protocolo | Uso |
|---|---|---|
| 3389 | TCP | La conexión de Escritorio remoto (por defecto) |
| 3389 | UDP | El transporte UDP de esa misma conexión |
| 443 | TCP | RD Gateway (RDP dentro de HTTPS) y RD Web Access |
| 3391 | UDP | El transporte UDP de RD Gateway |
La IANA registra el 3389 tanto en TCP como en UDP con el nombre ms-wbt-server. Para comprobar en qué número de puerto RDP escucha tu servidor, ejecuta esto en PowerShell como administrador:
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber
Cambiar el puerto RDP reduce el ruido, no el riesgo
Moverlo no tiene nada de malo, pero no es una medida de seguridad. Los programas que adivinan contraseñas de forma automática apuntan al 3389 porque es el puerto por defecto, así que un servidor en ese puerto registra un goteo constante de inicios de sesión fallidos. Si lo mueves, la mayor parte de ese ruido desaparece y los intentos reales saltan a la vista.
No oculta el servidor: un escaneo de los 65.535 puertos encuentra el nuevo enseguida. Cámbialo para tener registros más limpios y, aun así, aplica después las medidas de más abajo.
Cómo cambiar el puerto RDP en Windows
El procedimiento de Microsoft se reduce a un valor del registro y una regla de firewall. Abre primero el firewall, o el reinicio te dejará fuera. Elige un puerto libre por debajo de 49152: Windows reserva del 49152 al 65535 para sus propias conexiones salientes.
$port = 47213
# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow
# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port
# 3. Restart to apply
Restart-Computer
Si tu proveedor tiene un firewall en su panel de control, abre el puerto también ahí. Conéctate añadiendo el puerto tras la dirección, por ejemplo 203.0.113.10:47213, y, cuando funcione, cierra las reglas antiguas con Disable-NetFirewallRule -DisplayGroup "Remote Desktop". ¿Prefieres el Editor del Registro? Edita PortNumber en la misma clave RDP-Tcp, en Decimal, y reinicia.
El riesgo de exponer RDP a internet
Un RDP expuesto es una puerta de entrada clásica. La #StopRansomware Guide de CISA explica que los atacantes suelen entrar por servicios remotos expuestos y mal protegidos, y recomienda no exponer RDP a la web en ningún caso. Donde RDP sea necesario, pide cerrar los puertos RDP que no se usen, bloquear cuentas tras varios intentos fallidos, usar autenticación multifactor y registrar los intentos de inicio de sesión. En KB5020282 (2022), Microsoft sitúa la fuerza bruta entre las tres formas más habituales de atacar equipos Windows, y señala que, hasta sus actualizaciones de octubre de 2022, la cuenta Administrador integrada no podía bloquearse, así que su contraseña se podía adivinar por RDP sin límite.
A eso se suman los fallos de los Servicios de Escritorio remoto. BlueKeep (CVE-2019-0708), corregido en mayo de 2019, permitía a un atacante ejecutar código sin haber iniciado sesión en equipos con Windows XP, 7 y Server 2003 a 2008 R2. Microsoft advirtió que la autenticación a nivel de red (NLA) solo lo mitigaba en parte: frenaba a los gusanos, no a un atacante con credenciales válidas.
Un RDP expuesto con NLA, bloqueo de cuentas, una frase de contraseña larga y los parches al día es defendible. Un RDP que solo te responda a ti es mejor.
Blinda un RDP alquilado en diez minutos
Mantén activada la autenticación a nivel de red
Con la autenticación a nivel de red de RDP, el cliente tiene que autenticarse antes de que Windows cree una sesión, lo que deja los fallos previos al inicio de sesión, como BlueKeep, fuera del alcance de quien no tenga la contraseña. Compruébala y actívala si hace falta:
$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}
Revisa la directiva de bloqueo de cuentas (puede estar desactivada)
La referencia de la directiva de Microsoft indica 0, no bloquear nunca, como valor por defecto en un servidor independiente, y deja fuera a la cuenta Administrador integrada. KB5020282 solo cambió eso para Windows 11 22H2 y para los equipos nuevos que ya tenían las actualizaciones de octubre de 2022 antes de su primera configuración: 10 intentos fallidos en 10 minutos bloquean la cuenta durante 10 minutos, Administrador incluido. Un equipo actualizado después de configurarse conserva los valores antiguos. Comprueba la imagen de tu proveedor con net accounts. Si «Lockout threshold» indica Never:
net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10
Después activa Allow Administrator account lockout en secpol.msc, en Account Policies > Account Lockout Policy. El bloqueo solo impide los inicios de sesión por red, como RDP; la consola sigue funcionando.
Cambia el nombre de la cuenta de administrador y usa una frase de contraseña larga
Los ataques de fuerza bruta prueban primero con Administrator, y una cuenta renombrada también impide que un desconocido te deje bloqueado usando tu propio nombre de usuario:
Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"
Si el panel de tu proveedor permite restablecer la contraseña, comprueba que sigue encontrando la cuenta renombrada. Tu proveedor generó la primera contraseña y probablemente te la envió por correo, así que cámbiala en el primer inicio de sesión (Ctrl+Alt+Fin dentro de la sesión y luego Change a password). La guía de CISA pide cambiar los nombres de usuario y contraseñas de administrador por defecto, y usar contraseñas únicas de al menos 15 caracteres; no te quedes por debajo.
Permite solo tu IP o pasa por un túnel WireGuard o SSH
La mejor seguridad para RDP es un puerto que solo te responda a ti. Si tienes una dirección fija, restringe las reglas integradas, o las tuyas si cambiaste el puerto:
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7
Las direcciones domésticas cambian, y una VPN no lo soluciona. Tanto Mullvad como IVPN aceptan Monero y mantienen tu IP doméstica fuera de los registros del proveedor, pero todos los usuarios de un servidor VPN comparten su dirección de salida, así que no sirve de mucho en una lista de permitidos. Dos formas de tener una dirección propia:
- WireGuard en un VPS Linux pequeño. Monta tu propio servidor WireGuard en una máquina barata de la bahía de VPS y permite RDP solo desde su IP.
- Un túnel SSH. OpenSSH Server es una característica opcional a partir de Windows Server 2019 y viene instalado en Windows Server 2025; inicia el servicio
sshdy ponlo en Automático. Coloca tu clave pública enC:\ProgramData\ssh\administrators_authorized_keys, legible solo por Administrators y SYSTEM, como muestra la guía de claves de Microsoft, ponPasswordAuthentication noenC:\ProgramData\ssh\sshd_configy reiniciasshd. Abre el túnel (cambia 3389 por tu puerto personalizado si lo moviste):
ssh -N -L 13389:127.0.0.1:3389 [email protected]
En Escritorio remoto, conéctate a 127.0.0.1:13389 y, cuando funcione, desactiva las reglas de firewall de Escritorio remoto. RDP queda fuera de internet; el que sí queda expuesto es el puerto 22, y solo acepta claves.
Desactiva la redirección del portapapeles y de unidades que no necesites
Un servidor comprometido puede acceder al portapapeles y a los discos que le redirijas. En Conexión a Escritorio remoto, abre Mostrar opciones > Recursos locales, desmarca Portapapeles y, en Más, desmarca Unidades. Para imponerlo desde el servidor, activa Do not allow Clipboard redirection y Do not allow drive redirection en gpedit.msc, en Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection.
Aplica los parches y luego revisa los inicios de sesión fallidos
Ejecuta Windows Update y deja activadas las actualizaciones automáticas. Revisa la versión: las actualizaciones de seguridad extendidas (ESU) de pago para Windows Server 2012 y 2012 R2 terminaron en octubre de 2026 (ciclo de vida de Microsoft), y Windows 10 llegó al fin del soporte el 14 de octubre de 2025. Pide Server 2022 o 2025, o Windows 11.
Un inicio de sesión fallido es el evento 4625; un inicio de sesión correcto por Escritorio remoto es el 4624 con tipo de inicio de sesión 10, RemoteInteractive. Esto muestra las diez direcciones con más fallos:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name
¿No sale nada? auditpol /set /subcategory:"Logon" /failure:enable activa la auditoría de los inicios de sesión fallidos. Los intentos fallidos de desconocidos son el ruido de fondo de un puerto abierto. Un 4624 de tipo 10 desde una dirección que no conoces es un incidente.
Qué puede ver tu proveedor de hosting y qué no
El proveedor gestiona el hipervisor sobre el que funciona tu servidor:
- Puede abrir la consola, restablecer la contraseña, hacer una instantánea del disco y leer todo lo que no hayas cifrado.
- Ve la dirección desde la que te conectas (la de la VPN, si usas una), cuándo y cuántos datos se mueven.
- No puede leer la sesión RDP en tránsito, que va cifrada. Con el hipervisor, rara vez le hace falta.
- Sabe lo que revelan el formulario de pedido y tu pago. Con Monero y un registro sin KYC, eso se reduce a un correo o un nombre de usuario.
No guardes en una máquina Windows alquilada nada que no estés dispuesto a entregar a la empresa que la gestiona.
Qué buscar en un proveedor de RDP
- Una consola en el panel de control, para el día en que una regla de firewall o un bloqueo salgan mal. Pregunta antes de contratar.
- Una imagen de Windows actual: Server 2022 o 2025, o Windows 11. Elígela al hacer el pedido aunque se ofrezcan otras más antiguas.
- Protección DDoS y derechos completos de administrador, ambos incluidos.
- Monero en el proceso de pago, y un registro que pida un correo o un nombre de usuario, nunca un documento de identidad.
Dos unidades de nuestra bahía de RDP y Windows venden RDP con Windows por Monero, en orden alfabético:
| MurmurHost | rdp.monster | |
|---|---|---|
| RDP más barato | 44 $ mes a mes, o 224,40 $ al año | 8,99 $ al mes |
| Windows | Server 2019 y 2022, Windows 10 y 11 | Server 2012 y 2022 |
| Monero | Se paga a su propio monedero y el pedido se libera tras 10 confirmaciones | Figura entre sus métodos de pago |
| Registro | Sin nombre, teléfono ni documento de identidad | Solo correo, sin KYC |
| Incluye | Acceso de administrador completo, protección DDoS de 10 Gbps | Acceso de administrador completo, anti-DDoS, todos los puertos abiertos salvo el 25 (opción de 5 $ al mes) |
Si también buscas VPS, dominios o correo, consulta los proveedores de hosting que aceptan Monero.
Preguntas frecuentes
¿El 3389 es el puerto de RDP?
Sí. Escritorio remoto escucha por defecto en el 3389, registrado en la IANA para TCP y UDP. Un administrador puede cambiarlo con un solo valor del registro.
¿El puerto 3389 de Escritorio remoto es TCP o UDP?
Los dos. TCP lleva la conexión y tiene que estar abierto; UDP en el mismo puerto es un transporte adicional que el cliente usa cuando puede. Si cambias el puerto, abre ambos.
¿RDP usa el puerto 443?
A través de un RD Gateway, sí: envuelve RDP en HTTPS sobre TCP 443 y añade UDP 3391. Un RDP alquilado normal no tiene gateway y usa el 3389.
¿RDP usa el puerto 22?
No, el puerto 22 es el de SSH. Puedes llevar RDP por un túnel SSH en el puerto 22, pero RDP en sí sigue escuchando en el 3389.
¿Es seguro el puerto RDP 3389?
El número de puerto no cambia nada. RDP cifra la sesión; la seguridad depende de NLA, los parches, el bloqueo de cuentas, una contraseña robusta y de que el menor número posible de direcciones pueda llegar a él.
¿Es seguro exponer RDP a internet?
Es la configuración más arriesgada: cualquiera puede probar contraseñas y cualquier fallo sin parchear queda a su alcance. Si no tienes otra opción, mantén NLA activada, configura el bloqueo de cuentas, usa una frase de contraseña larga y aplica los parches; mejor aún, permite solo tu dirección o un túnel.
En resumen
Puerto 3389, TCP y UDP. Cámbialo para tener registros más limpios, no por seguridad. Después: NLA activada, un bloqueo que cubra también a Administrador, una cuenta renombrada con una frase de contraseña larga, el puerto cerrado para todos menos para ti, la redirección desactivada, los parches al día y un vistazo semanal al evento 4625. Diez minutos por servidor.