Porta RDP 3389: come cambiarla e proteggere il tuo RDP
Pubblicato 29 Oct 2026
La porta RDP è la 3389, TCP e UDP. Come cambiarla su Windows, perché riduce solo il rumore dei bot e cosa protegge davvero un RDP a noleggio.
La porta RDP predefinita è la 3389, sia in TCP sia in UDP. Un RD Gateway sposta il lato pubblico su TCP 443 e UDP 3391, ma un RDP Windows noleggiato da un provider di hosting raramente ne ha uno: ti colleghi direttamente alla porta 3389 del suo IP pubblico. Qui sotto trovi come cambiare la porta RDP, perché questo serve solo a zittire i bot, e i dieci minuti di impostazioni che proteggono davvero il server.
Verificato il 1° ottobre 2026.
Quale porta usa RDP: TCP e UDP 3389, e 443 per RD Gateway
L'elenco delle porte di Servizi Desktop remoto pubblicato da Microsoft:
| Porta | Protocollo | Usata da |
|---|---|---|
| 3389 | TCP | La connessione Desktop remoto (predefinita) |
| 3389 | UDP | Il trasporto UDP della stessa connessione |
| 443 | TCP | RD Gateway (RDP dentro HTTPS) e RD Web Access |
| 3391 | UDP | Il trasporto UDP di RD Gateway |
IANA registra la 3389 sia in TCP sia in UDP come ms-wbt-server. Per sapere su quale numero di porta RDP è in ascolto il tuo server, esegui questo comando in PowerShell avviato come amministratore:
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber
Cambiare la porta RDP riduce il rumore, non il rischio
Spostarla va bene, ma non è una misura di sicurezza. I programmi automatici che provano a indovinare le password puntano alla 3389 perché è quella predefinita, quindi un server su quella porta registra un flusso continuo di accessi falliti. Spostala e gran parte di quel rumore sparisce, così i tentativi veri saltano all'occhio.
Non nasconde il server: una scansione di tutte le 65.535 porte trova in fretta quella nuova. Cambiala per avere log più puliti, poi metti comunque in sicurezza il server come spiegato qui sotto.
Come cambiare la porta RDP su Windows
La procedura di Microsoft si riduce a un valore del Registro e a una regola del firewall. Apri prima il firewall, altrimenti al riavvio resti chiuso fuori. Scegli una porta libera sotto la 49152: Windows riserva l'intervallo da 49152 a 65535 alle proprie connessioni in uscita.
$port = 47213
# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow
# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port
# 3. Restart to apply
Restart-Computer
Se il tuo provider gestisce un firewall nel pannello di controllo, apri la porta anche lì. Collegati indicando la porta dopo l'indirizzo, per esempio 203.0.113.10:47213, e quando funziona disattiva le vecchie regole con Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Preferisci l'Editor del Registro di sistema? Modifica PortNumber sotto la stessa chiave RDP-Tcp, in base Decimale, e riavvia.
Il rischio di esporre RDP su internet
Un RDP esposto è una via d'ingresso fin troppo battuta. La #StopRansomware Guide della CISA spiega che spesso gli attaccanti entrano da servizi remoti esposti e mal protetti, e sconsiglia del tutto di esporre RDP sul web. Dove RDP serve, chiede di chiudere le porte RDP inutilizzate e di attivare il blocco degli account, l'autenticazione a più fattori e la registrazione dei tentativi di accesso. Nel KB5020282 (2022), Microsoft colloca gli attacchi di forza bruta tra i tre metodi più usati contro le macchine Windows e ricorda che, fino agli aggiornamenti di ottobre 2022, l'account Administrator integrato non poteva essere bloccato: via RDP si poteva quindi tentare di indovinarne la password senza alcun limite.
I bug di Servizi Desktop remoto peggiorano il quadro. BlueKeep (CVE-2019-0708), corretto a maggio 2019, permetteva a un attaccante di eseguire codice prima dell'accesso su Windows XP, 7 e Server dal 2003 al 2008 R2. Microsoft ha osservato che l'autenticazione a livello di rete (Network Level Authentication, NLA) lo mitigava solo in parte: fermava i worm, non un attaccante in possesso di credenziali valide.
Un RDP esposto con NLA, blocco degli account, una passphrase lunga e le patch più recenti si può difendere. Un RDP che risponde solo a te è ancora meglio.
Metti in sicurezza un RDP a noleggio in dieci minuti
Tieni attiva l'autenticazione a livello di rete
Con l'autenticazione a livello di rete (NLA) di RDP, il client deve autenticarsi prima che Windows crei una sessione, e questo tiene i bug sfruttabili prima dell'accesso, come BlueKeep, fuori dalla portata di chi non ha la password. Controllala e attivala se serve:
$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}
Controlla il criterio di blocco degli account (potrebbe essere disattivato)
Il riferimento del criterio di Microsoft indica 0, cioè nessun blocco, come valore predefinito per un server autonomo, ed esclude l'account Administrator integrato. Il KB5020282 ha cambiato le cose solo per Windows 11 22H2 e per le macchine nuove su cui gli aggiornamenti di ottobre 2022 erano già installati prima della configurazione iniziale: 10 tentativi falliti in 10 minuti bloccano l'account per 10 minuti, Administrator compreso. Una macchina aggiornata dopo la configurazione mantiene i vecchi valori predefiniti. Controlla l'immagine del tuo provider con net accounts. Se «Soglia di blocco» (Lockout threshold) indica Mai (Never):
net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10
Poi attiva Consenti blocco dell'account Administrator (Allow Administrator account lockout) in secpol.msc, sotto Criteri account > Criterio di blocco account. Il blocco ferma solo gli accessi di rete come RDP; la console funziona comunque.
Rinomina l'account Administrator e usa una passphrase lunga
Chi prova a indovinare le password parte da Administrator, e un account rinominato impedisce anche agli sconosciuti di chiuderti fuori usando il tuo stesso nome utente:
Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"
Se il pannello del tuo provider permette di reimpostare la password, controlla che trovi ancora l'account rinominato. La prima password l'ha generata il provider e probabilmente te l'ha mandata per email, quindi sostituiscila al primo accesso (Ctrl+Alt+Fine nella sessione, poi Cambia password). La guida della CISA chiede di cambiare i nomi utente e le password predefiniti degli amministratori e di usare password uniche di almeno 15 caratteri; qui usa almeno quella lunghezza.
Consenti solo il tuo IP, oppure passa da un tunnel WireGuard o SSH
La migliore sicurezza per RDP è una porta che risponde solo a te. Con un indirizzo fisso, limita le regole integrate, o quelle personalizzate se hai spostato la porta:
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7
Gli indirizzi di casa cambiano, e una VPN non risolve il problema. Mullvad e IVPN accettano entrambe Monero e tengono il tuo IP di casa fuori dai log del provider, ma tutti gli utenti di un server VPN ne condividono l'indirizzo di uscita, che diventa così una pessima base per una lista di IP consentiti. Due modi per avere un indirizzo tutto tuo:
- WireGuard su un piccolo VPS Linux. Installa il tuo server WireGuard su una macchina economica del vano VPS, poi consenti RDP solo dal suo IP.
- Un tunnel SSH. OpenSSH Server è una funzionalità facoltativa a partire da Windows Server 2019 ed è già installato su Windows Server 2025; avvia il servizio
sshde imposta l'avvio su Automatico. Metti la tua chiave pubblica inC:\ProgramData\ssh\administrators_authorized_keys, leggibile solo da Administrators e SYSTEM come mostra la guida alle chiavi di Microsoft, impostaPasswordAuthentication noinC:\ProgramData\ssh\sshd_confige riavviasshd. Apri il tunnel (sostituisci 3389 con la tua porta personalizzata se l'hai spostata):
ssh -N -L 13389:127.0.0.1:3389 [email protected]
In Desktop remoto collegati a 127.0.0.1:13389 e, quando funziona, disattiva le regole firewall di Desktop remoto. RDP non è più raggiungibile da internet; lo è la porta 22, che accetta solo chiavi.
Disattiva il reindirizzamento di appunti e unità che non ti serve
Un server compromesso può raggiungere gli appunti e i dischi che gli reindirizzi. In Connessione Desktop remoto apri Mostra opzioni > Risorse locali, togli la spunta ad Appunti e, sotto Altro, togli la spunta a Unità. Per imporlo sul server, attiva Non consentire il reindirizzamento degli Appunti e Non consentire il reindirizzamento delle unità (Do not allow Clipboard redirection, Do not allow drive redirection) in gpedit.msc, sotto Modelli amministrativi > Componenti di Windows > Servizi Desktop remoto > Host sessione Desktop remoto > Reindirizzamento dispositivi e risorse.
Applica le patch, poi leggi gli eventi di accesso fallito
Esegui Windows Update e lascia attivi gli aggiornamenti automatici. Controlla la versione: gli Extended Security Updates a pagamento per Windows Server 2012 e 2012 R2 sono terminati a ottobre 2026 (ciclo di vita Microsoft), e Windows 10 ha raggiunto la fine del supporto il 14 ottobre 2025. Chiedi Server 2022 o 2025, oppure Windows 11.
Un accesso fallito è l'evento 4625; un accesso riuscito tramite Desktop remoto è il 4624 con tipo di accesso 10, RemoteInteractive. Questo comando elenca i dieci indirizzi con più tentativi falliti:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name
Nessun risultato? auditpol /set /subcategory:"Logon" /failure:enable attiva il controllo degli accessi falliti. Gli accessi falliti da parte di sconosciuti sono il rumore di fondo di una porta aperta. Un 4624 di tipo 10 da un indirizzo che non conosci è un incidente.
Cosa può e non può vedere il tuo provider di hosting
Il provider gestisce l'hypervisor su cui gira il tuo server:
- Può aprire la console, reimpostare la password, fare uno snapshot del disco e leggere tutto ciò che non hai cifrato.
- Vede l'indirizzo da cui ti colleghi (quello della VPN, se ne usi una), quando ti colleghi e quanti dati passano.
- Non può leggere la sessione RDP in transito, che è cifrata. Con l'hypervisor in mano, raramente ne ha bisogno.
- Sa quello che rivelano il modulo d'ordine e il tuo pagamento. Con Monero e una registrazione senza KYC, si tratta di un'email o di un nome utente.
Non tenere su una macchina Windows a noleggio nulla che non consegneresti all'azienda che la gestisce.
Cosa cercare in un provider RDP
- Una console nel pannello di controllo, per il giorno in cui una regola del firewall o un blocco dell'account va storto. Chiedi prima di ordinare.
- Un'immagine Windows aggiornata: Server 2022 o 2025, oppure Windows 11. Sceglila al momento dell'ordine anche se ne vengono offerte di più vecchie.
- Protezione DDoS e diritti di amministratore completi, entrambi inclusi.
- Monero accettato al pagamento, e una registrazione che chiede un'email o un nome utente, mai un documento d'identità.
Due unità del nostro vano RDP vendono RDP Windows pagabili in Monero, in ordine alfabetico:
| MurmurHost | rdp.monster | |
|---|---|---|
| RDP più economico | $44 al mese senza vincoli, o $224,40 all'anno | $8,99 al mese |
| Windows | Server 2019 e 2022, Windows 10 e 11 | Server 2012 e 2022 |
| Monero | Pagato su un wallet gestito in proprio, ordine sbloccato dopo 10 conferme | Elencato tra i metodi di pagamento |
| Registrazione | Nessun nome, telefono o documento | Solo email, senza KYC |
| Incluso | Admin completo, protezione DDoS da 10 Gbps | Admin completo, anti-DDoS, tutte le porte aperte tranne la 25 (opzione da $5 al mese) |
Se cerchi anche VPS, domini o email, vedi i provider di hosting che accettano Monero.
Domande frequenti
La 3389 è la porta RDP?
Sì. Desktop remoto è in ascolto sulla 3389 per impostazione predefinita, registrata presso IANA in TCP e UDP. Un amministratore può spostarla con un solo valore del Registro.
La porta 3389 di Desktop remoto è TCP o UDP?
Entrambi. TCP trasporta la connessione e deve essere aperto; UDP sulla stessa porta è un trasporto in più che il client usa quando può. Quando sposti la porta, aprili entrambi.
RDP usa la porta 443?
Tramite un RD Gateway sì: incapsula RDP in HTTPS su TCP 443 e aggiunge UDP 3391. Un normale RDP a noleggio non ha un gateway e usa la 3389.
La porta RDP è la 22?
No, la porta 22 è quella di SSH. Puoi far passare RDP in un tunnel SSH sulla porta 22, ma RDP in sé resta in ascolto sulla 3389.
La porta RDP 3389 è sicura?
Il numero di porta non cambia nulla. RDP cifra la sessione; la sicurezza viene da NLA, patch, blocco degli account, una password robusta e dal limitare il più possibile gli indirizzi che possono raggiungerlo.
È sicuro esporre RDP su internet?
È la configurazione più rischiosa: chiunque può provare le password e qualsiasi bug non corretto è raggiungibile. Se proprio devi, tieni attiva NLA, imposta il blocco degli account, usa una passphrase lunga e applica le patch; meglio ancora, consenti solo il tuo indirizzo o un tunnel.
In breve
Porta 3389, TCP e UDP. Cambiala per avere log più puliti, non per sicurezza. Poi NLA attiva, un blocco degli account che copra anche Administrator, un account rinominato con una passphrase lunga, la porta chiusa a tutti tranne te, reindirizzamento disattivato, aggiornamenti attivi e un'occhiata settimanale all'evento 4625. Dieci minuti per server.