Porta RDP 3389: cos'è, come cambiarla e come proteggerla

Quale porta usa RDP?

Il Remote Desktop Protocol è in ascolto per impostazione predefinita sulla porta 3389, la porta registrata presso la IANA per ms-wbt-server. Il canale principale della sessione viaggia su TCP 3389; da RDP 8.0 (Windows 8 e Windows Server 2012) il client negozia anche UDP 3389, che migliora sensibilmente la fluidità video e la latenza dell'input su collegamenti con perdita di pacchetti. Il servizio dietro la porta è TermService (Servizi Desktop remoto). Se il protocollo in sé ti è nuovo, la nostra guida completa a RDP spiega in modo chiaro handshake, cifratura e livelli di sessione.

Come verificare quale porta sta usando RDP

Da un Prompt dei comandi con privilegi elevati:

reg query "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber

Il valore viene restituito in esadecimale: 0xd3d corrisponde a 3389. L'equivalente PowerShell lo stampa direttamente in decimale:

Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber

Per confermare che qualcosa sia effettivamente in ascolto:

netstat -ano | findstr :3389

Come cambiare la porta RDP

Tre passaggi, in quest'ordine: creare la regola firewall prima del riavvio evita di rimanere chiusi fuori da una macchina remota:

1. Imposta la nuova porta nel registro

Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 3390

Scegli una porta non usata da nient'altro (sopra la 1024, fuori dagli intervalli dei servizi comuni).

2. Autorizza la nuova porta in Windows Firewall

New-NetFirewallRule -DisplayName "RDP custom port TCP" -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow
New-NetFirewallRule -DisplayName "RDP custom port UDP" -Direction Inbound -Protocol UDP -LocalPort 3390 -Action Allow

Gestisci le regole tramite GPO? La nostra guida a Windows Firewall con Criteri di gruppo e PowerShell copre la versione a livello di dominio della stessa regola.

3. Riavvia il servizio Desktop remoto

Restart-Service TermService -Force

Poi connettiti aggiungendo la porta all'indirizzo nel client Desktop remoto: 203.0.113.10:3390. Su un VPS Windows in affitto, ricorda il firewall lato provider: la stessa porta deve essere aperta anche sul perimetro, non solo in Windows.

Cambiare porta è vera sicurezza?

No: consideralo una riduzione del rumore. Gli scanner su scala Internet, come le botnet che martellano ogni IP pubblico, trovano una porta RDP spostata in pochi minuti, perché l'handshake RDP si identifica su qualsiasi porta. Ciò che una porta personalizzata ti dà davvero sono log più silenziosi e meno eventi di blocco causati dai bot stupidi che scansionano solo la 3389. I controlli che impediscono realmente una compromissione sono:

• Network Level Authentication (NLA): attiva per impostazione predefinita da Server 2012, lasciala attiva;
• Password robuste e univoche e un criterio di blocco account;
• Restrizione dell'IP di origine nella regola firewall, se il tuo IP client è stabile;
• Una VPN o un RD Gateway davanti a RDP per qualsiasi cosa sensibile.

Porta RDP e altre porte di accesso remoto a confronto

Domande frequenti

La porta RDP è TCP o UDP?

Entrambe: TCP 3389 trasporta la sessione e UDP 3389 (da RDP 8.0) rende più fluidi grafica e input.

RDP è in ascolto su TCP 3389 per la sessione principale e, da RDP 8.0 (Windows 8 / Server 2012), usa anche UDP 3389 per grafica e input più rapidi su collegamenti con perdita di pacchetti. Apri entrambi i protocolli nel firewall per le prestazioni migliori; solo TCP è strettamente necessario.

Posso far girare RDP sulla porta 443?

Funziona, ma un RD Gateway o un tunnel TLS sulla 443 è l'approccio più pulito.

Puoi impostare PortNumber a 443 e RDP funzionerà, e la porta è raramente bloccata dai filtri aziendali in uscita. L'approccio più pulito è un RD Gateway o un tunnel SSH/VPN che trasporta RDP dentro un vero TLS sulla 443, così lasci la 443 libera per il traffico web.

Cambiare la porta RDP ferma gli attacchi brute-force?

Riduce solo il rumore degli scanner: il vero lavoro lo fanno NLA, password robuste e criteri di blocco account.

Riduce il rumore nei log generato dai bot che scansionano solo la 3389, ma qualsiasi scansione completa delle porte trova RDP in pochi minuti perché l'handshake del protocollo si identifica da solo. Considera una porta personalizzata come riduzione del rumore, non come protezione: mantieni attiva la NLA, usa password robuste e un criterio di blocco account e limita gli IP di origine dove possibile.

E se la porta 3389 è bloccata sulla mia rete?

Verifica con Test-NetConnection, poi ripiega su un RD Gateway sulla 443 o su una VPN.

A scartare il traffico è il firewall del server, un filtro dell'ISP o un proxy aziendale. Verifica con Test-NetConnection server -Port 3389, prova prima a disattivare UDP, poi ripiega su un RD Gateway sulla 443 o su una VPN. Su un VPS Windows in affitto potrebbe essere necessario aprire la porta anche sul firewall perimetrale del provider.

Vuoi fare pratica su una macchina che non sia il tuo PC? Un RDP Windows di rdp.monster include accesso amministratore completo, così puoi cambiare porte, regole firewall e servizi liberamente, e rifare il deploy in circa 10 secondi se rimani chiuso fuori.