Port RDP 3389: jak go zmienić i zabezpieczyć RDP

Domyślny port RDP to 3389, zarówno na TCP, jak i na UDP. Brama RD Gateway przenosi to, co widać od strony internetu, na TCP 443 i UDP 3391, ale Windows RDP wynajęty od dostawcy hostingu rzadko ją ma: łączysz się wprost z portem 3389 na jego publicznym IP. Poniżej: jak zmienić port RDP, dlaczego to jedynie ucisza boty i jakie ustawienia w dziesięć minut naprawdę zabezpieczą serwer.

Sprawdzono 1 października 2026 r.

Jakiego portu używa RDP: TCP i UDP 3389 oraz 443 dla RD Gateway

Microsoft publikuje listę portów Usług pulpitu zdalnego:

Port	Protokół	Do czego służy
3389	TCP	Połączenie Pulpitu zdalnego (domyślnie)
3389	UDP	Transport UDP tego samego połączenia
443	TCP	RD Gateway (RDP wewnątrz HTTPS) i RD Web Access
3391	UDP	Transport UDP bramy RD Gateway

IANA rejestruje port 3389 dla TCP i UDP jako ms-wbt-server. Aby sprawdzić numer portu RDP, na którym nasłuchuje twój serwer, uruchom w PowerShellu z uprawnieniami administratora:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

Zmiana portu RDP ogranicza szum, nie ryzyko

Przeniesienie portu nie szkodzi, ale nie jest środkiem bezpieczeństwa. Automatyczne skrypty do zgadywania haseł celują w 3389, bo to port domyślny, więc serwer na tym porcie zapisuje w logach nieustanny strumień nieudanych logowań. Przenieś go, a większość tego szumu zniknie i prawdziwe próby zaczną się wyróżniać.

Serwera to nie ukrywa: skan wszystkich 65 535 portów szybko znajdzie nowy. Zmień port dla czystszych logów, ale i tak wprowadź zabezpieczenia opisane niżej.

Jak zmienić port RDP w Windows

Procedura Microsoftu to jedna wartość w rejestrze i jedna reguła zapory. Najpierw otwórz port w zaporze, inaczej po restarcie stracisz dostęp. Wybierz nieużywany port poniżej 49152: Windows rezerwuje zakres od 49152 do 65535 na własne połączenia wychodzące.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

Jeśli twój dostawca ma zaporę w swoim panelu, otwórz port także tam. Łącz się, podając port po adresie, na przykład 203.0.113.10:47213, a gdy to zadziała, wyłącz stare reguły poleceniem Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Wolisz Edytor rejestru? Zmień PortNumber w tym samym kluczu RDP-Tcp, wybierając system dziesiętny (Decimal), i uruchom komputer ponownie.

Ryzyko wystawienia RDP do internetu

Wystawiony RDP to dobrze wydeptana droga do środka. W przewodniku #StopRansomware Guide agencja CISA pisze, że atakujący często wchodzą przez dostępne z sieci, słabo zabezpieczone usługi zdalne, i odradza w ogóle wystawianie RDP do internetu. Tam, gdzie RDP jest potrzebny, zaleca zamknięcie nieużywanych portów RDP, blokadę kont, uwierzytelnianie wieloskładnikowe i rejestrowanie prób logowania. W KB5020282 (2022) Microsoft wymienia ataki brute force wśród trzech najczęstszych metod ataku na maszyny z Windows i zaznacza, że do aktualizacji z października 2022 roku wbudowanego konta Administrator nie dało się zablokować, więc jego hasło można było zgadywać przez RDP bez ograniczeń.

Do tego dochodzą błędy w Usługach pulpitu zdalnego. BlueKeep (CVE-2019-0708), załatany w maju 2019 roku, pozwalał atakującemu w systemach Windows XP, 7 oraz Server od 2003 do 2008 R2 uruchomić kod jeszcze przed zalogowaniem. Microsoft zaznaczył, że uwierzytelnianie na poziomie sieci (Network Level Authentication) chroniło przed nim tylko częściowo: zatrzymywało robaki, ale nie atakującego z prawidłowymi danymi logowania.

Wystawiony RDP z NLA, blokadą konta, długim hasłem i aktualnymi poprawkami da się obronić. RDP, który odpowiada tylko tobie, jest lepszy.

Zabezpiecz wynajęty RDP w dziesięć minut

Nie wyłączaj uwierzytelniania na poziomie sieci (NLA)

Gdy w RDP działa uwierzytelnianie na poziomie sieci, klient musi się uwierzytelnić, zanim Windows utworzy sesję, więc błędy wykorzystywane przed zalogowaniem, takie jak BlueKeep, są poza zasięgiem każdego, kto nie zna hasła. Sprawdź, czy jest włączone, i w razie potrzeby je włącz:

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

Sprawdź zasady blokady konta (mogą być wyłączone)

W dokumentacji tej zasady Microsoft podaje 0, czyli brak blokady, jako wartość domyślną dla serwera autonomicznego, a wbudowane konto Administrator wyłącza spod blokady. KB5020282 zmienił to tylko w Windows 11 22H2 i na nowych maszynach, które miały aktualizacje z października 2022 roku zainstalowane jeszcze przed pierwszą konfiguracją: 10 nieudanych prób w ciągu 10 minut blokuje konto na 10 minut, także konto Administrator. Maszyna zaktualizowana po konfiguracji zachowuje stare wartości domyślne. Sprawdź obraz systemu od swojego dostawcy poleceniem net accounts. Jeśli przy „Lockout threshold” widnieje Never:

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

Następnie włącz Allow Administrator account lockout w secpol.msc, w sekcji Account Policies > Account Lockout Policy. Blokada dotyczy tylko logowań sieciowych, takich jak RDP; konsola nadal działa.

Zmień nazwę konta administratora i użyj długiego hasła

Boty zgadujące hasła zaczynają od Administrator, a po zmianie nazwy obcy nie zablokują ci też konta, wpisując twoją własną nazwę użytkownika:

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

Jeśli panel dostawcy pozwala zresetować hasło, sprawdź, czy nadal znajduje konto o nowej nazwie. Pierwsze hasło wygenerował dostawca i prawdopodobnie wysłał je e-mailem, więc zmień je przy pierwszym logowaniu (Ctrl+Alt+End w sesji, potem Change a password). Przewodnik CISA zaleca zmianę domyślnych nazw użytkowników i haseł administratora oraz stosowanie unikalnych haseł o długości co najmniej 15 znaków; tutaj trzymaj się co najmniej tego minimum.

Wpuszczaj tylko swoje IP albo tuneluj przez WireGuard lub SSH

Najlepsze zabezpieczenie RDP to port, który odpowiada tylko tobie. Jeśli masz stały adres, ogranicz do niego wbudowane reguły, a po zmianie portu swoje własne:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

Adresy domowe się zmieniają, a VPN tego nie rozwiązuje. Mullvad i IVPN przyjmują Monero i nie dopuszczają, by twoje domowe IP trafiło do logów dostawcy hostingu, ale wszyscy użytkownicy serwera VPN dzielą jego adres wyjściowy, a taki adres słabo nadaje się na listę dozwolonych. Dwa sposoby, by mieć adres tylko dla siebie:

• WireGuard na małym VPS z Linuksem. Postaw własny serwer WireGuard na taniej maszynie z naszej wnęki VPS, a potem wpuszczaj RDP tylko z jego IP.
• Tunel SSH. OpenSSH Server jest funkcją opcjonalną od Windows Server 2019, a w Windows Server 2025 jest zainstalowany od razu; uruchom usługę sshd i ustaw jej typ uruchomienia na automatyczny (Automatic). Umieść swój klucz publiczny w C:\ProgramData\ssh\administrators_authorized_keys, z prawem odczytu tylko dla grupy Administrators i konta SYSTEM, jak pokazuje przewodnik Microsoftu po kluczach, ustaw PasswordAuthentication no w C:\ProgramData\ssh\sshd_config i uruchom ponownie sshd. Otwórz tunel (po zmianie portu wpisz swój port zamiast 3389):

ssh -N -L 13389:127.0.0.1:3389 [email protected]

W oknie Podłączanie pulpitu zdalnego wpisz adres 127.0.0.1:13389, a gdy to zadziała, wyłącz reguły zapory dla Pulpitu zdalnego. RDP znika z internetu; widoczny zostaje port 22, który przyjmuje tylko klucze.

Wyłącz niepotrzebne przekierowanie schowka i dysków

Przejęty serwer ma dostęp do każdego schowka i każdego dysku, który do niego przekierowujesz. W oknie Podłączanie pulpitu zdalnego otwórz Pokaż opcje > Zasoby lokalne, odznacz Schowek, a pod przyciskiem Więcej odznacz Dyski. Aby wymusić to po stronie serwera, włącz Do not allow Clipboard redirection i Do not allow drive redirection w gpedit.msc, w sekcji Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection.

Instaluj poprawki, potem przeglądaj zdarzenia nieudanych logowań

Uruchom Windows Update i zostaw włączone aktualizacje automatyczne. Sprawdź wersję systemu: płatne rozszerzone aktualizacje zabezpieczeń (Extended Security Updates) dla Windows Server 2012 i 2012 R2 skończyły się w październiku 2026 roku (cykl życia produktu w dokumentacji Microsoftu), a Windows 10 stracił wsparcie 14 października 2025 roku. Proś o Server 2022 lub 2025 albo o Windows 11.

Nieudane logowanie to zdarzenie 4625; udane logowanie przez Pulpit zdalny to 4624 z typem logowania 10, RemoteInteractive. To polecenie wypisuje dziesięć adresów z największą liczbą nieudanych prób:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Pusto? auditpol /set /subcategory:"Logon" /failure:enable włącza inspekcję nieudanych logowań. Nieudane próby od obcych to szum tła każdego otwartego portu. Zdarzenie 4624 typu 10 z adresu, którego nie znasz, to incydent.

Co widzi twój dostawca hostingu, a czego nie

Pod twoim serwerem działa hiperwizor dostawcy:

• Może otworzyć konsolę, zresetować hasło, zrobić migawkę dysku i przeczytać wszystko, czego nie zaszyfrujesz.
• Widzi adres, z którego się łączysz (adres VPN, jeśli go używasz), kiedy się łączysz i ile danych przesyłasz.
• Nie może odczytać sesji RDP w trakcie transmisji, bo jest zaszyfrowana. Mając hiperwizor, rzadko tego potrzebuje.
• Wie to, co zdradzają formularz zamówienia i twoja płatność. Przy Monero i rejestracji bez KYC to adres e-mail albo nazwa użytkownika.

Nie trzymaj na wynajętej maszynie z Windows niczego, czego nie chcesz oddać w ręce firmy, która nią zarządza.

Na co zwrócić uwagę przy wyborze dostawcy RDP

• Konsola w panelu klienta na wypadek, gdyby reguła zapory albo blokada konta poszła nie tak. Zapytaj o nią przed zamówieniem.
• Aktualny obraz Windows: Server 2022 lub 2025 albo Windows 11. Wybierz go przy zamówieniu, nawet jeśli w ofercie są starsze.
• Ochrona DDoS i pełne uprawnienia administratora, jedno i drugie w cenie.
• Monero przy płatności i rejestracja, która prosi o e-mail lub nazwę użytkownika, nigdy o dokument tożsamości.

W naszej wnęce RDP i Windows dwie jednostki sprzedają Windows RDP za Monero, w kolejności alfabetycznej:

	MurmurHost	rdp.monster
Najtańszy RDP	44 $ miesięcznie bez zobowiązań albo 224,40 $ za rok	8,99 $ miesięcznie
Windows	Server 2019 i 2022, Windows 10 i 11	Server 2012 i 2022
Monero	Wpłata na własny portfel dostawcy, zaksięgowana po 10 potwierdzeniach	Na liście metod płatności
Rejestracja	Bez nazwiska, telefonu ani dokumentu	Tylko e-mail, bez KYC
W cenie	Pełne uprawnienia administratora, ochrona DDoS 10 Gb/s	Pełne uprawnienia administratora, anty-DDoS, wszystkie porty otwarte poza 25 (opcja za 5 $ miesięcznie)

Także VPS, domeny i pocztę znajdziesz na liście dostawców hostingu przyjmujących Monero.

FAQ

Czy 3389 to port RDP?

Tak. Pulpit zdalny domyślnie nasłuchuje na porcie 3389, zarejestrowanym w IANA dla TCP i UDP. Administrator może go przenieść, zmieniając jedną wartość w rejestrze.

Port 3389 pulpitu zdalnego to TCP czy UDP?

Jedno i drugie. TCP przenosi połączenie i musi być otwarty; UDP na tym samym porcie to dodatkowy transport, z którego klient korzysta, gdy może. Przenosząc port, otwórz oba.

Czy RDP używa portu 443?

Przez RD Gateway tak: brama opakowuje RDP w HTTPS na TCP 443 i dokłada UDP 3391. Zwykły wynajęty RDP nie ma bramy i używa portu 3389.

Czy RDP to port 22?

Nie, port 22 to SSH. RDP można przesyłać tunelem SSH na porcie 22, ale sam RDP nadal nasłuchuje na 3389.

Czy RDP na porcie 3389 jest bezpieczny?

Sam numer portu niczego nie zmienia. RDP szyfruje sesję; bezpieczeństwo zapewniają NLA, poprawki, blokada konta, mocne hasło i to, jak niewiele adresów może się z nim połączyć.

Czy wystawianie RDP do internetu jest bezpieczne?

To najbardziej ryzykowna konfiguracja: każdy może zgadywać hasła, a każdy niezałatany błąd jest w zasięgu. Jeśli musisz, zostaw NLA włączone, ustaw blokadę konta, użyj długiego hasła i instaluj poprawki; lepiej jednak wpuszczać tylko swój adres albo tunel.

W skrócie

Port 3389, TCP i UDP. Zmieniaj go dla czystszych logów, nie dla bezpieczeństwa. Potem: NLA włączone, blokada obejmująca konto Administrator, konto o zmienionej nazwie z długim hasłem, port zamknięty dla wszystkich poza tobą, przekierowania wyłączone, poprawki instalowane na bieżąco i cotygodniowy rzut oka na zdarzenie 4625. Dziesięć minut na serwer.