Порт RDP 3389: как его изменить и защитить сервер

Стандартный порт RDP: 3389, и для TCP, и для UDP. Шлюз RD Gateway переносит публичную часть подключения на TCP 443 и UDP 3391, но у Windows RDP, арендованного у хостинг-провайдера, такой шлюз бывает редко: вы подключаетесь прямо к порту 3389 на его публичном IP. Ниже: как изменить порт RDP, почему это лишь приглушает шум от ботов и какие настройки действительно защищают сервер (на них уйдёт десять минут).

Проверено 1 октября 2026 г.

Какой порт использует RDP: TCP и UDP 3389, а для RD Gateway 443

Список портов служб удалённых рабочих столов от Microsoft:

Порт	Протокол	Назначение
3389	TCP	Подключение к удалённому рабочему столу (по умолчанию)
3389	UDP	UDP-транспорт того же подключения
443	TCP	RD Gateway (RDP внутри HTTPS) и RD Web Access
3391	UDP	UDP-транспорт RD Gateway

В реестре IANA порт 3389 зарегистрирован и для TCP, и для UDP под именем ms-wbt-server. Чтобы узнать номер порта RDP, который слушает ваш сервер, выполните в PowerShell от имени администратора:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

Смена порта RDP убирает шум, а не риск

Переносить порт можно, но мерой безопасности это не является. Программы автоматического подбора паролей целятся в 3389, потому что это порт по умолчанию, и в журнале сервера на этом порту не прекращаются неудачные попытки входа. Перенесите порт, и большая часть этого шума исчезнет, а настоящие попытки станут заметнее.

Спрятать сервер так не получится: сканирование всех 65 535 портов быстро найдёт новый. Меняйте порт ради более тихих журналов, а защиту, описанную ниже, всё равно настройте.

Как изменить порт RDP в Windows

Инструкция Microsoft сводится к одному значению в реестре и одному правилу брандмауэра. Сначала откройте порт в брандмауэре, иначе после перезагрузки вы не сможете подключиться. Выберите свободный порт ниже 49152: диапазон с 49152 по 65535 Windows резервирует для собственных исходящих подключений.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

Если у провайдера в панели управления есть свой брандмауэр, откройте порт и там. Подключайтесь, указав порт после адреса, например 203.0.113.10:47213, а когда всё заработает, отключите старые правила командой Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Удобнее через редактор реестра? Измените PortNumber в том же разделе RDP-Tcp, выбрав десятичную систему (Decimal), и перезагрузите сервер.

Чем опасен RDP, открытый в интернет

RDP, доступный из интернета, давно стал проторённой дорогой для взлома. Руководство CISA #StopRansomware Guide указывает, что злоумышленники часто проникают через открытые и плохо защищённые сервисы удалённого доступа, и советует вообще не выставлять RDP в интернет. Там, где RDP всё же нужен, оно рекомендует закрыть неиспользуемые порты RDP, включить блокировку учётных записей и многофакторную аутентификацию, а попытки входа записывать в журнал. В KB5020282 (2022 г.) Microsoft относит подбор паролей к трём основным способам атак на машины с Windows и отмечает, что до октябрьских обновлений 2022 года встроенную учётную запись Administrator нельзя было заблокировать, поэтому её пароль можно было подбирать через RDP без ограничений.

К этому добавляются уязвимости в службах удалённых рабочих столов. BlueKeep (CVE-2019-0708), закрытая в мае 2019 года, позволяла выполнить код ещё до входа в систему на Windows XP, 7 и Windows Server с 2003 по 2008 R2. Microsoft отмечала, что проверка подлинности на уровне сети (Network Level Authentication, NLA) защищала от неё лишь частично: она останавливала червей, но не злоумышленника с действующими учётными данными.

Открытый RDP с NLA, блокировкой учётных записей, длинной парольной фразой и свежими обновлениями защитить можно. Но RDP, который отвечает только вам, надёжнее.

Защитите арендованный RDP за десять минут

Не отключайте проверку подлинности на уровне сети

С NLA клиент RDP должен пройти аутентификацию до того, как Windows создаст сеанс, поэтому уязвимости, срабатывающие до входа, вроде BlueKeep, недоступны тем, у кого нет пароля. Проверьте настройку и при необходимости включите её:

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

Проверьте политику блокировки учётных записей (она может быть выключена)

Справочник по этой политике от Microsoft указывает для автономного сервера значение по умолчанию 0, то есть «никогда не блокировать», и не распространяет блокировку на встроенную учётную запись Administrator. KB5020282 изменил это только для Windows 11 22H2 и для новых машин, получивших октябрьские обновления 2022 года до первой настройки: 10 неудачных попыток за 10 минут блокируют учётную запись на 10 минут, включая Administrator. Машина, обновлённая уже после настройки, сохраняет старые значения по умолчанию. Проверьте образ своего провайдера командой net accounts. Если в строке «Lockout threshold» стоит Never:

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

Затем включите Allow Administrator account lockout («Разрешить блокировку учетной записи администратора») в secpol.msc, в разделе Account Policies > Account Lockout Policy (Политики учетных записей > Политика блокировки учетной записи). Блокировка действует только на сетевые входы, такие как RDP; консоль продолжает работать.

Переименуйте учётную запись администратора и задайте длинную парольную фразу

Программы подбора паролей первым делом пробуют Administrator, а переименованная учётная запись к тому же не даст посторонним заблокировать вас вашим же именем пользователя:

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

Если панель провайдера умеет сбрасывать пароль, убедитесь, что она по-прежнему находит переименованную учётную запись. Первый пароль сгенерировал провайдер и, скорее всего, прислал его по электронной почте, поэтому смените его при первом входе: Ctrl+Alt+End в сеансе, затем Change a password («Изменить пароль» в русской версии). Руководство CISA рекомендует менять стандартные имена и пароли администраторов и использовать уникальные пароли длиной не менее 15 символов; здесь меньше не берите.

Разрешите доступ только со своего IP или через туннель WireGuard либо SSH

Лучше всего RDP защищает порт, который отвечает только вам. Если у вас постоянный адрес, ограничьте им встроенные правила брандмауэра, а если вы перенесли порт, то свои:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

Домашние адреса меняются, и VPN эту проблему не решает. Mullvad и IVPN принимают Monero и не пускают ваш домашний IP в журналы хостинг-провайдера, но выходной адрес VPN-сервера общий для всех его пользователей, так что для белого списка он подходит плохо. Получить собственный адрес можно двумя способами:

• WireGuard на небольшом VPS с Linux. Поднимите собственный сервер WireGuard на дешёвой машине из отсека VPS, а затем разрешите RDP только с её IP.
• SSH-туннель. OpenSSH Server доступен как дополнительный компонент начиная с Windows Server 2019 и уже установлен в Windows Server 2025; запустите службу sshd и выставьте ей тип запуска «Автоматически» (Automatic). Положите свой открытый ключ в C:\ProgramData\ssh\administrators_authorized_keys с доступом на чтение только для Administrators и SYSTEM, как показано в руководстве Microsoft по ключам, задайте PasswordAuthentication no в C:\ProgramData\ssh\sshd_config и перезапустите sshd. Откройте туннель (если вы перенесли порт, замените 3389 на свой):

ssh -N -L 13389:127.0.0.1:3389 [email protected]

Подключайтесь клиентом удалённого рабочего стола к 127.0.0.1:13389, а когда всё заработает, отключите правила брандмауэра для Remote Desktop. RDP больше не виден из интернета; виден порт 22, и он принимает только ключи.

Отключите ненужное перенаправление буфера обмена и дисков

Взломанный сервер может добраться до буфера обмена и дисков, которые вы к нему перенаправили. В «Подключении к удалённому рабочему столу» откройте «Показать параметры» > «Локальные ресурсы», снимите флажок «Буфер обмена», затем нажмите «Подробнее» и снимите флажок «Диски». Чтобы запретить это на стороне сервера, включите Do not allow Clipboard redirection и Do not allow drive redirection («Не разрешать перенаправление буфера обмена», «Не разрешать перенаправление дисков») в gpedit.msc, в разделе Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection (в русской версии: Административные шаблоны > Компоненты Windows > Службы удаленных рабочих столов > Узел сеансов удаленных рабочих столов > Перенаправление устройств и ресурсов).

Обновите систему, затем проверьте события неудачного входа

Запустите Центр обновления Windows (Windows Update) и оставьте автоматические обновления включёнными. Проверьте версию: платные расширенные обновления безопасности (Extended Security Updates) для Windows Server 2012 и 2012 R2 закончились в октябре 2026 года (жизненный цикл Microsoft), а поддержка Windows 10 завершилась 14 октября 2025 года. Просите Server 2022 или 2025 либо Windows 11.

Неудачный вход записывается как событие 4625, а успешный вход через удалённый рабочий стол как событие 4624 с типом входа 10 (RemoteInteractive). Эта команда выводит десять адресов с наибольшим числом неудачных попыток:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Пусто? Команда auditpol /set /subcategory:"Logon" /failure:enable включает аудит неудачных входов. Неудачные попытки посторонних составляют обычный фоновый шум открытого порта. А вот событие 4624 с типом 10 с незнакомого адреса означает инцидент.

Что ваш хостинг-провайдер видит, а что нет

Провайдер управляет гипервизором, на котором работает ваш сервер:

• Он может открыть консоль, сбросить пароль, сделать снимок диска и прочитать всё, что вы не зашифровали.
• Он видит адрес, с которого вы подключаетесь (адрес VPN, если вы им пользуетесь), время подключения и объём переданных данных.
• Он не может прочитать сеанс RDP при передаче по сети, потому что тот зашифрован. С доступом к гипервизору ему это редко нужно.
• Он знает то, что раскрывают форма заказа и ваш платёж. С Monero и регистрацией без KYC это email или имя пользователя.

Не храните на арендованной машине с Windows ничего, что вы не готовы отдать компании, которая ею управляет.

На что смотреть при выборе RDP-провайдера

• Консоль в панели управления на случай, если правило брандмауэра или блокировка сработают не так. Спросите о ней до заказа.
• Актуальный образ Windows: Server 2022 или 2025 либо Windows 11. Выбирайте его при оформлении заказа, даже если предлагают более старые.
• Защита от DDoS и полные права администратора, и то и другое включено в цену.
• Monero при оплате и регистрация, где спрашивают только email или имя пользователя и никогда не просят документы.

Windows RDP за Monero продают два провайдера из нашего отсека RDP и Windows, в алфавитном порядке:

	MurmurHost	rdp.monster
Самый дешёвый RDP	44 $ помесячно или 224,40 $ в год	8,99 $ в месяц
Windows	Server 2019 и 2022, Windows 10 и 11	Server 2012 и 2022
Monero	Оплата на собственный кошелёк провайдера, засчитывается после 10 подтверждений	Указан среди способов оплаты
Регистрация	Без имени, телефона и документов	Только email, без KYC
Включено	Полные права администратора, защита от DDoS на 10 Гбит/с	Полные права администратора, защита от DDoS, все порты открыты, кроме 25 (открывается как опция за 5 $ в месяц)

VPS, домены и почту тоже можно найти в подборке хостинг-провайдеров, принимающих Monero.

Частые вопросы

Порт 3389 используется для RDP?

Да. По умолчанию удалённый рабочий стол слушает порт 3389, зарегистрированный в IANA для TCP и UDP. Администратор может перенести его, изменив одно значение в реестре.

Порт удалённого рабочего стола 3389 работает по TCP или UDP?

По обоим протоколам. По TCP идёт само подключение, и TCP-порт должен быть открыт; UDP на том же порту служит дополнительным транспортом, который клиент использует, когда может. Перенося порт, откройте оба.

Использует ли RDP порт 443?

Через RD Gateway да: шлюз упаковывает RDP в HTTPS на TCP 443 и добавляет UDP 3391. У обычного арендованного RDP шлюза нет, и он работает на 3389.

RDP работает на порту 22?

Нет, порт 22 принадлежит SSH. RDP можно пустить через SSH-туннель на порту 22, но сам RDP всё равно слушает 3389.

Безопасен ли RDP на порту 3389?

Номер порта ничего не меняет. RDP шифрует сеанс; безопасность обеспечивают NLA, обновления, блокировка учётных записей, надёжный пароль и то, насколько узок круг адресов, с которых до него можно достучаться.

Безопасно ли открывать RDP в интернет?

Это самая рискованная конфигурация: кто угодно может подбирать пароли, а любая незакрытая уязвимость доступна извне. Если без этого никак, не отключайте NLA, настройте блокировку, используйте длинную парольную фразу и ставьте обновления; а лучше разрешите доступ только со своего адреса или через туннель.

Коротко

Порт 3389, TCP и UDP. Меняйте его ради тихих журналов, а не ради безопасности. Затем: NLA включена, блокировка распространяется и на Administrator, учётная запись переименована и защищена длинной парольной фразой, порт закрыт для всех, кроме вас, перенаправление отключено, обновления ставятся, а раз в неделю вы просматриваете события 4625. Десять минут на сервер.