Port RDP 3389: Apa Itu, Cara Mengubah dan Mengamankannya

Port apa yang digunakan RDP?

Remote Desktop Protocol secara bawaan mendengarkan di port 3389 — port yang terdaftar di IANA untuk ms-wbt-server. Kanal sesi utama berjalan di atas TCP 3389; sejak RDP 8.0 (Windows 8 dan Windows Server 2012) klien juga menegosiasikan UDP 3389, yang secara nyata memperbaiki kemulusan video dan latensi input pada koneksi dengan packet loss. Layanan di balik port ini adalah TermService (Remote Desktop Services). Jika Anda baru mengenal protokolnya, panduan RDP lengkap kami membahas handshake, enkripsi, dan lapisan sesi dengan bahasa yang sederhana.

Cara memeriksa port yang dipakai RDP

Dari Command Prompt dengan hak administrator:

reg query "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber

Nilainya ditampilkan dalam heksadesimal — 0xd3d berarti 3389. Padanan PowerShell menampilkannya langsung dalam desimal:

Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber

Untuk memastikan ada proses yang benar-benar mendengarkan:

netstat -ano | findstr :3389

Cara mengubah port RDP

Tiga langkah, dalam urutan ini — membuat aturan firewall sebelum memulai ulang layanan mencegah Anda terkunci dari mesin remote:

1. Tetapkan port baru di registry

Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 3390

Pilih port yang tidak dipakai layanan lain (di atas 1024, di luar rentang layanan umum).

2. Izinkan port baru di Windows Firewall

New-NetFirewallRule -DisplayName "RDP custom port TCP" -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow
New-NetFirewallRule -DisplayName "RDP custom port UDP" -Direction Inbound -Protocol UDP -LocalPort 3390 -Action Allow

Mengelola aturan lewat GPO? Panduan kami tentang Windows Firewall via Group Policy dan PowerShell membahas versi aturan yang sama untuk seluruh domain.

3. Mulai ulang layanan Remote Desktop

Restart-Service TermService -Force

Lalu sambungkan dengan menambahkan port pada alamat di klien Remote Desktop: 203.0.113.10:3390. Pada Windows VPS sewaan, jangan lupa firewall di sisi penyedia: port yang sama harus terbuka di edge, bukan hanya di Windows.

Apakah mengubah port itu pengamanan nyata?

Tidak — anggap saja sebagai pengurang kebisingan. Pemindai berskala internet seperti botnet yang menggedor setiap IP publik akan menemukan port RDP yang dipindahkan dalam hitungan menit, karena handshake RDP mengidentifikasi dirinya di port mana pun. Yang benar-benar Anda dapatkan dari port khusus adalah log yang lebih tenang dan lebih sedikit kejadian lockout dari bot yang hanya memindai 3389. Kontrol yang benar-benar menghentikan pembobolan adalah:

• Network Level Authentication (NLA) — aktif secara bawaan sejak Server 2012, biarkan tetap aktif;
• Kata sandi kuat dan unik serta kebijakan account lockout;
• Pembatasan IP sumber pada aturan firewall bila IP klien Anda stabil;
• VPN atau RD Gateway di depan RDP untuk apa pun yang sensitif.

Port RDP versus port akses remote lainnya

Pertanyaan yang sering ditanyakan

Apakah port RDP itu TCP atau UDP?

Keduanya — TCP 3389 membawa sesi, dan UDP 3389 (sejak RDP 8.0) memuluskan grafis serta input.

RDP mendengarkan di TCP 3389 untuk sesi utama dan, sejak RDP 8.0 (Windows 8 / Server 2012), juga memakai UDP 3389 agar grafis dan input lebih cepat pada koneksi yang banyak kehilangan paket. Buka kedua protokol di firewall Anda untuk performa terbaik; hanya TCP yang mutlak diperlukan.

Bisakah saya menjalankan RDP di port 443?

Bisa, tetapi RD Gateway atau tunnel TLS di 443 adalah pendekatan yang lebih bersih.

Anda bisa menetapkan PortNumber ke 443 dan RDP akan berjalan, dan port itu jarang diblokir oleh filter keluar perusahaan. Pendekatan yang lebih bersih adalah RD Gateway atau tunnel SSH/VPN yang membawa RDP di dalam TLS sungguhan pada 443, sehingga 443 tetap bebas untuk trafik web.

Apakah mengubah port RDP menghentikan serangan brute-force?

Hanya mengurangi kebisingan pemindai — NLA, kata sandi kuat, dan kebijakan lockout yang benar-benar bekerja.

Cara ini mengurangi kebisingan log dari bot yang hanya memindai 3389, tetapi pemindaian port menyeluruh akan menemukan RDP dalam hitungan menit karena handshake protokolnya mengidentifikasi diri. Anggap port khusus sebagai pengurang kebisingan, bukan perlindungan: biarkan NLA aktif, gunakan kata sandi kuat dan kebijakan account lockout, serta batasi IP sumber bila memungkinkan.

Bagaimana jika port 3389 diblokir di jaringan saya?

Uji dengan Test-NetConnection, lalu beralih ke RD Gateway di 443 atau VPN.

Penyebabnya bisa firewall server, filter ISP, atau proxy perusahaan yang membuangnya. Uji dengan Test-NetConnection server -Port 3389, coba matikan UDP lebih dulu, lalu beralih ke RD Gateway di 443 atau VPN. Pada Windows VPS sewaan, firewall edge penyedia mungkin juga perlu membuka port tersebut.

Ingin berlatih di mesin yang bukan PC Anda sendiri? Windows RDP dari rdp.monster hadir dengan akses admin penuh, jadi Anda bebas mengubah port, aturan firewall, dan layanan — serta bisa deploy ulang sekitar 10 detik jika Anda mengunci diri sendiri.