RDP port 3389: RDP portu değiştirme ve RDP güvenliği

Varsayılan RDP portu 3389'dur, hem TCP hem UDP'de. RD Gateway kullanılırsa dışa açık taraf TCP 443 ve UDP 3391'e geçer, ama bir hosting sağlayıcısından kiralanan Windows RDP'de buna nadiren rastlanır: doğrudan sunucunun genel IP'sindeki 3389 portuna bağlanırsınız. Aşağıda RDP portunun nasıl değiştirileceğini, bunun neden yalnızca botları susturduğunu ve sunucuyu gerçekten koruyan on dakikalık ayarları bulacaksınız.

1 Ekim 2026 tarihinde kontrol edildi.

RDP hangi portu kullanır: TCP ve UDP 3389, RD Gateway için 443

Microsoft'un Uzak Masaüstü Hizmetleri port listesi:

Port	Protokol	Kullanan
3389	TCP	Uzak Masaüstü bağlantısı (varsayılan)
3389	UDP	Aynı bağlantının UDP aktarımı
443	TCP	RD Gateway (HTTPS içinde RDP) ve RD Web Access
3391	UDP	RD Gateway'in UDP aktarımı

IANA kayıtlarında 3389, hem TCP hem UDP için ms-wbt-server adıyla geçer. Sunucunuzun dinlediği RDP port numarasını öğrenmek için yönetici olarak açılmış bir PowerShell'de şunu çalıştırın:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

RDP portunu değiştirmek riski değil, gürültüyü azaltır

Portu taşımakta sakınca yok, ama bu bir güvenlik önlemi değil. Otomatik parola deneme araçları 3389'u hedefler, çünkü varsayılan port odur; bu yüzden bu portta çalışan bir sunucunun loglarına durmadan başarısız oturum açma denemeleri düşer. Portu taşıdığınızda bu gürültünün çoğu kesilir ve gerçek denemeler göze çarpar.

Sunucuyu da gizlemez: 65.535 portun tamamını tarayan biri yenisini kısa sürede bulur. Portu daha sakin loglar için değiştirin, ardından aşağıdaki sıkılaştırmayı yine de yapın.

Windows'ta RDP portu nasıl değiştirilir

Microsoft'un yöntemi bir kayıt defteri değeri ile bir güvenlik duvarı kuralından ibaret. Yeni portu önce güvenlik duvarında açın, yoksa yeniden başlattıktan sonra sunucuya giremezsiniz. 49152'nin altında kullanılmayan bir port seçin: Windows 49152 ile 65535 arasını kendi giden bağlantıları için ayırır.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

Sağlayıcınızın kontrol panelinde bir güvenlik duvarı varsa portu orada da açın. Bağlanırken portu adresin sonuna ekleyin, örneğin 203.0.113.10:47213; bu çalıştıktan sonra eski kuralları Disable-NetFirewallRule -DisplayGroup "Remote Desktop" ile kapatın. Kayıt Defteri Düzenleyicisi'ni mi tercih edersiniz? Aynı RDP-Tcp anahtarı altındaki PortNumber değerini ondalık (Decimal) tabanda düzenleyin ve yeniden başlatın.

RDP'yi internete açmanın riski

İnternete açık RDP, saldırganların çok kullandığı bir giriş kapısıdır. CISA'nın #StopRansomware Guide kılavuzu, saldırganların çoğu zaman internete açık ve zayıf korunan uzaktan erişim hizmetleri üzerinden içeri girdiğini söylüyor ve RDP'yi internete hiç açmamayı öneriyor. RDP'nin gerekli olduğu yerlerde ise kullanılmayan RDP portlarının kapatılmasını, hesap kilitlemeyi, çok faktörlü kimlik doğrulamayı ve oturum açma denemelerinin kaydedilmesini istiyor. Microsoft, KB5020282 (2022) belgesinde kaba kuvvet (brute force) saldırılarını Windows makinelerine yönelik en yaygın üç saldırı yolu arasında sayıyor ve Ekim 2022 güncellemelerine kadar yerleşik Administrator hesabının kilitlenemediğini, dolayısıyla parolasının RDP üzerinden sınırsızca denenebildiğini belirtiyor.

Uzak Masaüstü Hizmetleri'ndeki açıklar da riski artırıyor. Mayıs 2019'da yamalanan BlueKeep (CVE-2019-0708), Windows XP'de, Windows 7'de ve Server 2003'ten 2008 R2'ye kadarki sürümlerde saldırganın oturum açmadan önce kod çalıştırmasına izin veriyordu. Microsoft, Ağ Düzeyinde Kimlik Doğrulama'nın (NLA) bunu yalnızca kısmen hafiflettiğini belirtti: solucanları durduruyordu, ama geçerli kimlik bilgilerine sahip bir saldırganı durdurmuyordu.

NLA, hesap kilitleme, uzun bir parola cümlesi ve güncel yamalarla internete açık bir RDP savunulabilir. Yalnızca size yanıt veren bir RDP ise daha iyidir.

Kiralık bir RDP'yi on dakikada güvenceye alın

Ağ Düzeyinde Kimlik Doğrulama'yı açık tutun

RDP'de ağ düzeyinde kimlik doğrulama açıkken istemci, Windows bir oturum oluşturmadan önce kimliğini doğrulamak zorundadır; bu da BlueKeep gibi oturum öncesi hataları parolayı bilmeyen herkesten uzak tutar. Kontrol edin, gerekirse açın:

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

Hesap kilitleme ilkesini kontrol edin (kapalı olabilir)

Microsoft'un güvenlik ilkesi belgesi, bağımsız sunucularda varsayılan değeri 0 (hesap hiçbir zaman kilitlenmez) olarak veriyor ve yerleşik Administrator hesabını bunun dışında tutuyor. KB5020282 bunu yalnızca Windows 11 22H2'de ve ilk kurulumdan önce Ekim 2022 güncellemelerini almış yeni makinelerde değiştirdi: 10 dakika içinde 10 başarısız deneme, Administrator dahil hesabı 10 dakika boyunca kilitler. Kurulumdan sonra güncellenen bir makine eski varsayılanları korur. Sağlayıcınızın imajını net accounts ile kontrol edin. "Lockout threshold" satırında Never yazıyorsa:

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

Ardından secpol.msc içinde, Account Policies > Account Lockout Policy altında Allow Administrator account lockout ayarını etkinleştirin. Kilitleme yalnızca RDP gibi ağ üzerinden yapılan oturum açmaları engeller; konsol çalışmaya devam eder.

Yönetici hesabının adını değiştirin ve uzun bir parola cümlesi kullanın

Parola deneme araçları önce Administrator adını dener; adı değiştirilmiş bir hesap, yabancıların sizin kullanıcı adınızla hesabı kilitleyip sizi dışarıda bırakmasını da önler:

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

Sağlayıcınızın paneli parolayı sıfırlayabiliyorsa, adı değiştirilmiş hesabı hâlâ bulabildiğinden emin olun. İlk parolayı sağlayıcınız oluşturdu ve büyük olasılıkla e-postayla gönderdi; bu yüzden ilk oturum açışta değiştirin (oturum içinde Ctrl+Alt+End, ardından Change a password). CISA'nın kılavuzu varsayılan yönetici kullanıcı adlarının ve parolalarının değiştirilmesini, en az 15 karakterlik benzersiz parolalar kullanılmasını istiyor; burada da en az bu uzunlukta bir parola kullanın.

Yalnızca kendi IP'nize izin verin ya da WireGuard veya SSH ile tünel kurun

En iyi RDP güvenliği, yalnızca size yanıt veren bir porttur. Sabit bir adresiniz varsa yerleşik kuralları, portu taşıdıysanız kendi kurallarınızı kısıtlayın:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

Ev IP adresleri değişir ve bir VPN bunu çözmez. Mullvad ve IVPN ikisi de Monero kabul ediyor ve ev IP'nizi sağlayıcının loglarından uzak tutuyor, ama bir VPN sunucusunu kullanan herkes aynı çıkış adresini paylaşır; böyle bir adresi izin listesine koymak pek işe yaramaz. Size ait bir adres edinmenin iki yolu var:

• Küçük bir Linux VPS üzerinde WireGuard. VPS bölmesinden alacağınız ucuz bir makinede kendi WireGuard sunucunuzu çalıştırın, ardından RDP'ye yalnızca onun IP'sinden izin verin.
• SSH tüneli. OpenSSH Server, Windows Server 2019'dan itibaren isteğe bağlı bir özelliktir ve Windows Server 2025'te kurulu gelir; sshd hizmetini başlatın ve başlangıç türünü Otomatik yapın. Genel anahtarınızı C:\ProgramData\ssh\administrators_authorized_keys dosyasına koyun; Microsoft'un anahtar kılavuzunda gösterildiği gibi bu dosyayı yalnızca Administrators ve SYSTEM okuyabilmelidir. C:\ProgramData\ssh\sshd_config içinde PasswordAuthentication no ayarını yapın ve sshd hizmetini yeniden başlatın. Tüneli açın (portu taşıdıysanız 3389 yerine kendi portunuzu yazın):

ssh -N -L 13389:127.0.0.1:3389 [email protected]

Uzak Masaüstü Bağlantısı'nda adres olarak 127.0.0.1:13389 girin; bu çalıştıktan sonra Remote Desktop güvenlik duvarı kurallarını devre dışı bırakın. RDP artık internete kapalı; açık olan yalnızca port 22, o da yalnızca anahtarla giriş kabul ediyor.

İhtiyacınız olmayan pano ve sürücü yönlendirmesini kapatın

Ele geçirilmiş bir sunucu, ona yönlendirdiğiniz panoya ve disklere erişebilir. Uzak Masaüstü Bağlantısı'nda Seçenekleri Göster > Yerel Kaynaklar'ı açın, Pano kutusunun işaretini kaldırın, Diğer altında da Sürücüler'in işaretini kaldırın. Bunu sunucu tarafında zorunlu kılmak için gpedit.msc içinde, Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection altında Do not allow Clipboard redirection ve Do not allow drive redirection ilkelerini etkinleştirin.

Yamaları kurun, sonra başarısız oturum açma olaylarını inceleyin

Windows Update'i çalıştırın ve otomatik güncellemeleri açık bırakın. Sürümü kontrol edin: Windows Server 2012 ve 2012 R2 için ücretli Genişletilmiş Güvenlik Güncelleştirmeleri Ekim 2026'da sona erdi (Microsoft yaşam döngüsü), Windows 10 ise 14 Ekim 2025'te destek sonuna ulaştı. Server 2022 veya 2025'i ya da Windows 11'i isteyin.

Başarısız bir oturum açma 4625 numaralı olaydır; başarılı bir Uzak Masaüstü oturum açması ise oturum açma türü 10 (RemoteInteractive) olan 4624'tür. Şu komut en çok başarısız deneme yapan on adresi listeler:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Liste boş mu? auditpol /set /subcategory:"Logon" /failure:enable başarısız oturum açma denetimini açar. Yabancılardan gelen başarısız denemeler, açık bir portun arka plan gürültüsüdür. Tanımadığınız bir adresten gelen, oturum açma türü 10 olan bir 4624 ise gerçek bir güvenlik olayıdır.

Hosting sağlayıcınız neyi görebilir, neyi göremez

Sağlayıcı, sunucunuzun altındaki hipervizörü işletir:

• Yapabildikleri: konsolu açmak, parolayı sıfırlamak, diskin anlık görüntüsünü almak ve şifrelemediğiniz her şeyi okumak.
• Gördükleri: bağlandığınız adres (VPN kullanıyorsanız VPN'inki), ne zaman bağlandığınız ve ne kadar veri aktarıldığı.
• Yapamadığı: ağda akan RDP oturumunu okumak, çünkü oturum şifrelidir. Hipervizör elinde olduğu için buna nadiren ihtiyaç duyar.
• Bildikleri: sipariş formunun ve ödemenizin ortaya koyduğu her şey. Monero ve KYC'siz bir kayıtla bu, bir e-posta adresinden ya da kullanıcı adından ibarettir.

Kiralık bir Windows makinesinde, onu işleten şirkete teslim etmeyeceğiniz hiçbir şeyi tutmayın.

RDP sağlayıcısı seçerken nelere bakmalı

• Kontrol panelinde bir konsol, bir güvenlik duvarı kuralının ya da hesap kilitlemenin ters gittiği gün için. Sipariş vermeden önce sorun.
• Güncel bir Windows imajı: Server 2022 veya 2025, ya da Windows 11. Daha eski sürümler sunulsa bile siparişte bunlardan birini seçin.
• DDoS koruması ve tam yönetici hakları, ikisi de fiyata dahil.
• Ödeme sayfasında Monero ve kimlik belgesi değil, yalnızca bir e-posta adresi ya da kullanıcı adı isteyen bir kayıt.

RDP bölmemizdeki iki birim Monero karşılığında Windows RDP satıyor, alfabetik sırayla:

	MurmurHost	rdp.monster
En ucuz RDP	Taahhütsüz aylık 44 $ ya da yıllık 224,40 $	Aylık 8,99 $
Windows	Server 2019 ve 2022, Windows 10 ve 11	Server 2012 ve 2022
Monero	Kendi cüzdanına ödenir, 10 onaydan sonra hesaba geçer	Ödeme yöntemleri arasında yer alıyor
Kayıt	Ad, telefon ya da kimlik belgesi istenmez	Yalnızca e-posta, KYC yok
Dahil	Tam yönetici yetkisi, 10 Gbps DDoS koruması	Tam yönetici yetkisi, anti-DDoS, 25 hariç tüm portlar açık (25 için aylık 5 $'lık seçenek)

VPS, alan adı ve e-posta için de Monero kabul eden hosting sağlayıcıları yazımıza bakın.

Sıkça sorulan sorular

RDP portu 3389 mu?

Evet. Uzak Masaüstü varsayılan olarak 3389'u dinler ve bu port IANA'da TCP ve UDP için kayıtlıdır. Bir yönetici portu tek bir kayıt defteri değeriyle değiştirebilir.

Uzak Masaüstü portu 3389 TCP mi, UDP mi?

İkisi de. Bağlantıyı TCP taşır ve açık olması gerekir; aynı porttaki UDP ise istemcinin mümkün olduğunda kullandığı ek bir aktarımdır. Portu taşıdığınızda ikisini de açın.

RDP 443 portunu kullanır mı?

RD Gateway üzerinden evet: RDP'yi TCP 443'te HTTPS içine sarar ve UDP 3391'i ekler. Sıradan bir kiralık RDP'de ağ geçidi yoktur ve 3389 kullanılır.

RDP portu 22 mi?

Hayır, 22 SSH portudur. RDP'yi 22 portundaki bir SSH tüneli içinden taşıyabilirsiniz, ama RDP'nin kendisi yine 3389'u dinler.

RDP 3389 güvenli mi?

Port numarası hiçbir şeyi değiştirmez. RDP oturumu şifreler; güvenlik NLA'dan, yamalardan, hesap kilitlemeden, güçlü bir paroladan ve ona ne kadar az adresin ulaşabildiğinden gelir.

RDP'yi internete açmak güvenli mi?

En riskli kurulum budur: herkes parola deneyebilir ve yamalanmamış her hataya erişilebilir. Mecbursanız NLA'yı açık tutun, hesap kilitlemeyi ayarlayın, uzun bir parola cümlesi kullanın ve yamaları kurun; daha iyisi, yalnızca kendi adresinize ya da bir tünele izin verin.

Kısa özet

Port 3389, TCP ve UDP. Daha sakin loglar için değiştirin, güvenlik için değil. Ardından: NLA açık, Administrator'ı da kapsayan bir hesap kilitleme, adı değiştirilmiş ve uzun bir parola cümlesiyle korunan bir hesap, sizin dışınızda herkese kapalı bir port, yönlendirme kapalı, yamalar güncel ve haftada bir kez 4625 olaylarının kontrolü. Sunucu başına on dakika.