Port RDP 3389: Cara Mengganti dan Mengamankan RDP Anda

RDP adalah protokol Remote Desktop milik Microsoft, dan port RDP default-nya 3389, baik di TCP maupun UDP. RD Gateway memindahkan sisi publiknya ke TCP 443 dan UDP 3391, tetapi RDP Windows yang disewa dari penyedia hosting jarang memilikinya: Anda tersambung langsung ke port 3389 di IP publiknya. Berikut ini: cara mengganti port RDP, alasan langkah itu hanya meredam bot, dan pengaturan sepuluh menit yang benar-benar melindungi server.

Diperiksa pada 1 Oktober 2026.

Port yang dipakai RDP: TCP dan UDP 3389, dan 443 untuk RD Gateway

Daftar port Remote Desktop Services menurut Microsoft:

Port	Protokol	Dipakai oleh
3389	TCP	Koneksi Remote Desktop (default)
3389	UDP	Transport UDP untuk koneksi yang sama
443	TCP	RD Gateway (RDP di dalam HTTPS) dan RD Web Access
3391	UDP	Transport UDP milik RD Gateway

IANA mendaftarkan 3389 untuk TCP maupun UDP sebagai ms-wbt-server. Untuk mengecek di port berapa server Anda menerima koneksi RDP, jalankan perintah ini di PowerShell sebagai administrator:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

Mengganti port RDP mengurangi kebisingan, bukan risiko

Memindahkannya boleh saja, tetapi itu bukan langkah keamanan. Program penebak kata sandi otomatis mengincar 3389 karena itulah port default-nya, sehingga server di port tersebut mencatat login gagal tanpa henti. Pindahkan port, dan sebagian besar kebisingan itu hilang, sehingga upaya yang sungguhan lebih mudah terlihat.

Langkah ini tidak menyembunyikan server: pemindaian atas seluruh 65.535 port akan cepat menemukan port barunya. Ganti port demi log yang lebih bersih, lalu tetap lakukan pengamanan di bawah ini.

Cara mengganti port RDP di Windows

Prosedur dari Microsoft hanya berupa satu nilai registry ditambah satu aturan firewall. Buka firewall lebih dulu, kalau tidak, Anda akan terkunci di luar setelah restart. Pilih port yang tidak terpakai di bawah 49152: Windows menyisihkan 49152 sampai 65535 untuk koneksi keluarnya sendiri.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

Jika penyedia Anda menjalankan firewall di panel kontrolnya, buka port itu di sana juga. Sambungkan dengan menuliskan port setelah alamat, misalnya 203.0.113.10:47213, dan begitu berhasil, tutup aturan lama dengan Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Lebih suka Registry Editor? Ubah PortNumber di bawah kunci RDP-Tcp yang sama, dalam mode Decimal, lalu restart.

Risiko membuka RDP ke internet

RDP yang terbuka adalah jalan masuk yang sudah sangat sering dipakai. #StopRansomware Guide dari CISA menyebut penyerang sering masuk lewat layanan remote yang terbuka dan pengamanannya buruk, dan menyarankan agar RDP sama sekali tidak dibuka ke web. Jika RDP memang dibutuhkan, panduan itu meminta port RDP yang tidak terpakai ditutup, penguncian akun diaktifkan, autentikasi multifaktor dipakai, dan upaya login dicatat. Dalam KB5020282 (2022), Microsoft menyebut brute force sebagai salah satu dari tiga cara utama mesin Windows diserang, dan mencatat bahwa hingga pembaruan Oktober 2022, akun Administrator bawaan tidak bisa dikunci, sehingga kata sandinya bisa ditebak lewat RDP tanpa batas.

Bug di Remote Desktop Services menambah risikonya. BlueKeep (CVE-2019-0708), yang ditambal pada Mei 2019, memungkinkan penyerang menjalankan kode sebelum login di Windows XP, 7, dan Server 2003 hingga 2008 R2. Microsoft mencatat bahwa Network Level Authentication hanya mengurangi risikonya sebagian: NLA menghentikan worm, tetapi tidak menghentikan penyerang yang memegang kredensial sah.

RDP yang terbuka dengan NLA, penguncian akun, frasa sandi yang panjang, dan patch terbaru masih bisa dipertahankan dari serangan. RDP yang hanya merespons Anda lebih baik lagi.

Amankan RDP sewaan dalam sepuluh menit

Biarkan Network Level Authentication tetap aktif

Dengan network level authentication RDP, klien harus melakukan autentikasi sebelum Windows membuat sesi, sehingga bug yang bisa dieksploitasi sebelum login, seperti BlueKeep, tidak bisa dijangkau oleh siapa pun yang tidak tahu kata sandinya. Periksa pengaturannya, lalu aktifkan bila perlu:

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

Periksa kebijakan penguncian akun (bisa jadi nonaktif)

Referensi kebijakan dari Microsoft menyebut 0, artinya tidak pernah mengunci, sebagai default untuk server mandiri (stand-alone), dan mengecualikan Administrator bawaan. KB5020282 mengubahnya hanya untuk Windows 11 22H2 dan untuk mesin baru yang sudah menerima pembaruan Oktober 2022 sebelum setup pertamanya: 10 kali gagal login dalam 10 menit mengunci akun selama 10 menit, termasuk Administrator. Mesin yang diperbarui setelah setup tetap memakai default lama. Periksa image dari penyedia Anda dengan net accounts. Jika "Lockout threshold" bertuliskan Never:

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

Lalu aktifkan Allow Administrator account lockout di secpol.msc, di bawah Account Policies > Account Lockout Policy. Penguncian hanya memblokir login lewat jaringan seperti RDP; konsol tetap bisa dipakai.

Ganti nama akun administrator dan pakai frasa sandi yang panjang

Penebak kata sandi mencoba Administrator lebih dulu, dan akun yang sudah diganti namanya juga mencegah orang asing membuat Anda terkunci dengan memakai username Anda sendiri:

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

Jika panel penyedia Anda bisa mereset kata sandi, pastikan panel itu masih menemukan akun yang sudah diganti namanya. Penyedia Anda yang membuat kata sandi pertama dan kemungkinan besar mengirimkannya lewat email, jadi gantilah saat login pertama (Ctrl+Alt+End di dalam sesi, lalu Change a password). Panduan CISA meminta username dan kata sandi admin bawaan diganti, serta kata sandi unik minimal 15 karakter; pakai setidaknya sepanjang itu di sini.

Izinkan hanya IP Anda, atau gunakan tunnel WireGuard atau SSH

Keamanan RDP terbaik adalah port yang hanya merespons Anda. Jika alamat IP Anda statis, batasi aturan firewall bawaan, atau aturan kustom Anda jika port sudah dipindah:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

Alamat IP rumah bisa berubah, dan VPN tidak menyelesaikan masalah itu. Mullvad dan IVPN sama-sama menerima Monero dan menjauhkan IP rumah Anda dari log penyedia, tetapi semua pengguna di satu server VPN berbagi alamat exit yang sama, sehingga kurang cocok untuk allowlist. Ada dua cara untuk mendapatkan alamat milik sendiri:

• WireGuard di VPS Linux kecil. Jalankan server WireGuard sendiri di mesin murah dari bay VPS, lalu izinkan RDP hanya dari IP-nya.
• Tunnel SSH. OpenSSH Server adalah fitur opsional sejak Windows Server 2019 dan sudah terpasang di Windows Server 2025; jalankan layanan sshd dan setel ke Automatic. Taruh kunci publik Anda di C:\ProgramData\ssh\administrators_authorized_keys dan pastikan file itu hanya bisa dibaca oleh Administrators dan SYSTEM, seperti ditunjukkan panduan kunci dari Microsoft, setel PasswordAuthentication no di C:\ProgramData\ssh\sshd_config, lalu restart sshd. Buka tunnel-nya (ganti 3389 dengan port kustom Anda jika sudah dipindah):

ssh -N -L 13389:127.0.0.1:3389 [email protected]

Arahkan Remote Desktop ke 127.0.0.1:13389, dan begitu berhasil, nonaktifkan aturan firewall Remote Desktop. RDP tidak lagi terbuka ke internet; yang terbuka adalah port 22, dan port itu hanya menerima kunci.

Matikan pengalihan clipboard dan drive yang tidak Anda perlukan

Server yang sudah dibobol bisa menjangkau clipboard dan disk apa pun yang Anda alihkan ke sana. Di Remote Desktop Connection, buka Show Options > Local Resources, hilangkan centang Clipboard, lalu di bawah More, hilangkan centang Drives. Untuk memberlakukannya dari sisi server, aktifkan Do not allow Clipboard redirection dan Do not allow drive redirection di gpedit.msc, di bawah Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection.

Pasang patch, lalu baca event login yang gagal

Jalankan Windows Update dan biarkan pembaruan otomatis tetap aktif. Periksa versinya: Extended Security Updates berbayar untuk Windows Server 2012 dan 2012 R2 berakhir pada Oktober 2026 (siklus hidup Microsoft), dan Windows 10 mencapai akhir dukungan pada 14 Oktober 2025. Mintalah Server 2022 atau 2025, atau Windows 11.

Login yang gagal tercatat sebagai event 4625; login Remote Desktop yang berhasil tercatat sebagai 4624 dengan logon type 10, RemoteInteractive. Perintah ini menampilkan sepuluh alamat yang paling sering gagal:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Kosong? auditpol /set /subcategory:"Logon" /failure:enable menyalakan audit untuk login yang gagal. Login gagal dari orang asing hanyalah kebisingan latar sebuah port yang terbuka. Event 4624 type 10 dari alamat yang tidak Anda kenal adalah insiden.

Apa yang bisa dan tidak bisa dilihat penyedia hosting Anda

Penyedia menjalankan hypervisor di bawah server Anda:

• Penyedia bisa membuka konsol, mereset kata sandi, membuat snapshot disk, dan membaca apa pun yang tidak Anda enkripsi.
• Penyedia melihat alamat asal koneksi Anda (alamat VPN, jika Anda memakainya), kapan, dan berapa banyak data yang berpindah.
• Penyedia tidak bisa membaca sesi RDP di jaringan, karena sesi itu terenkripsi. Dengan akses ke hypervisor, ia jarang perlu melakukannya.
• Penyedia tahu apa yang diungkapkan formulir pemesanan dan pembayaran Anda. Dengan Monero dan pendaftaran tanpa KYC, itu sebatas email atau username.

Jangan simpan apa pun di mesin Windows sewaan yang tidak rela Anda serahkan kepada perusahaan yang menjalankannya.

Yang perlu diperhatikan saat memilih penyedia RDP

• Konsol di panel kontrol, untuk berjaga-jaga jika suatu hari aturan firewall atau penguncian akun bermasalah. Tanyakan sebelum memesan.
• Image Windows terbaru: Server 2022 atau 2025, atau Windows 11. Pilih saat checkout meskipun versi lama juga ditawarkan.
• Perlindungan DDoS dan hak administrator penuh, keduanya sudah termasuk.
• Monero saat checkout, dan pendaftaran yang cukup meminta email atau username, bukan dokumen identitas.

Dua unit di bay RDP kami menjual RDP Windows yang bisa dibayar dengan Monero, diurutkan secara alfabetis:

	MurmurHost	rdp.monster
RDP termurah	$44 per bulan tanpa kontrak, atau $224,40 per tahun	$8,99 per bulan
Windows	Server 2019 dan 2022, Windows 10 dan 11	Server 2012 dan 2022
Monero	Dibayar ke dompetnya sendiri, diproses setelah 10 konfirmasi	Tercantum di antara metode pembayarannya
Pendaftaran	Tanpa nama, telepon, atau dokumen identitas	Hanya email, tanpa KYC
Termasuk	Admin penuh, perlindungan DDoS 10 Gbps	Admin penuh, anti-DDoS, semua port terbuka kecuali 25 (opsi $5 per bulan)

Jika Anda juga butuh VPS, domain, atau email, lihat daftar penyedia hosting yang menerima Monero.

FAQ

Apakah 3389 port RDP?

Ya. Secara default, Remote Desktop menerima koneksi di port 3389, yang terdaftar di IANA untuk TCP dan UDP. Administrator bisa memindahkannya lewat satu nilai registry.

Port Remote Desktop 3389 itu TCP atau UDP?

Keduanya. TCP membawa koneksi dan wajib dibuka; UDP di port yang sama adalah transport tambahan yang dipakai klien bila memungkinkan. Saat memindahkan port, buka keduanya.

Apakah RDP memakai port 443?

Lewat RD Gateway, ya: gateway membungkus RDP dalam HTTPS di TCP 443 dan menambahkan UDP 3391. RDP sewaan biasa tidak punya gateway dan memakai 3389.

Apakah port RDP itu 22?

Bukan, port 22 adalah SSH. Anda bisa melewatkan RDP melalui tunnel SSH di port 22, tetapi RDP sendiri tetap menerima koneksi di 3389.

Apakah RDP 3389 aman?

Nomor port tidak mengubah apa pun. RDP mengenkripsi sesi; keamanannya ditentukan oleh NLA, patch, penguncian akun, kata sandi yang kuat, dan seberapa sedikit alamat yang bisa menjangkaunya.

Amankah membuka RDP ke internet?

Itu pengaturan yang paling berisiko: siapa pun bisa mencoba kata sandi, dan bug apa pun yang belum ditambal bisa dijangkau. Jika terpaksa, biarkan NLA aktif, pasang penguncian akun, pakai frasa sandi yang panjang, dan pasang patch; lebih baik lagi, izinkan hanya alamat Anda atau sebuah tunnel.

Versi singkatnya

Port 3389, TCP dan UDP. Ganti demi log yang lebih bersih, bukan demi keamanan. Lalu: NLA aktif, penguncian akun yang juga berlaku untuk Administrator, akun yang diganti namanya dengan frasa sandi panjang, port tertutup untuk semua orang kecuali Anda, pengalihan dimatikan, patch terpasang, dan cek event 4625 setiap minggu. Sepuluh menit per server.