Cambio del puerto de escritorio remoto predeterminado (RDP) 3389 en Windows

En todos los sistemas operativos de Windows, el puerto predeterminado asignado a RDP (Protocolo de escritorio remoto) es TCP 3389.

Si su computadora está conectada a Internet directamente (por ejemplo, un servidor VDS / VPS) o si ha configurado el reenvío de puertos del puerto 3389 / RDP en su enrutador de borde a una computadora con Windows (servidor) en la red local, puede cambiar la configuración predeterminada Puerto 3389 / RDP a cualquier otro. Al cambiar el número de puerto RDP, puede ocultar su servidor RDP de los escáneres de puertos, reducir la posibilidad de explotar vulnerabilidades RDP (la última vulnerabilidad conocida en RDP BlueKeep se describe en CVE-2019-0708), reducir el número de ataques de fuerza bruta RDP (no olvide analizar regularmente los registros de conexión RDP), SYN y otros ataques (especialmente, cuando NLA está deshabilitado).

Puede cambiar el puerto RDP predeterminado cuando varios equipos que ejecutan Windows utilizan un enrutador con una dirección IP blanca a los que debe proporcionar acceso RDP externo. Puede configurar un puerto RDP único en cada computadora y configurar el reenvío de puertos (PAT) a las computadoras locales en su enrutador (dependiendo del número de puerto RDP, la sesión remota se reenvía a una de las computadoras internas).

Al elegir un puerto RDP no estándar, tenga en cuenta que no se recomienda utilizar el puerto 1-1023 (puertos conocidos) y rango de puertos RPC dinámico 49152-65535.

Intentemos cambiar el puerto del servicio de Escritorio remoto a 1350. Para hacerlo:

1. Abra el Editor del registro y vaya a la clave del registro. HKEY_LOCAL_MACHINE System CurrentControlSet Control Terminal Server WinStations RDP-Tcp;
2. Encuentra el DWORD parámetro con el nombre Número de puerto. Este parámetro muestra el puerto en el que está escuchando el servicio de Escritorio remoto;
3. Cambie el valor de este parámetro. He cambiado el puerto RDP a 1350 (Decimal);
4. Si el Firewall de Windows está habilitado en su computadora, tendrá que crear una nueva regla que permita la conexión entrante a su nuevo puerto RDP. (Si reconfigura un servidor remoto a través de RDP sin crear la regla para su firewall, perderá el acceso a su servidor.) Puede crear una regla de entrada de permiso para su nuevo puerto TCP / UDP RDP manualmente en la consola del Firewall de Windows Defender (firewall.cpl) o usando cmdlets de PowerShell del módulo NetSecurity:New-NetFirewallRule -DisplayName "New RDP Port 1350" -Direction Inbound -LocalPort 1350 -Protocol TCP -Action allowNew-NetFirewallRule -DisplayName "New RDP Port 1350" -Direction Inbound -LocalPort 1350 -Protocol UDP -Action allow
5. Reinicie su computadora o reinicie su servicio de Escritorio remoto con este comando: net stop termservice & net start termservice
6. Para conectarse a esta computadora con Windows a través de RDP, debe especificar el nuevo puerto de conexión RDP en su cliente mstsc.exe usando los dos puntos de la siguiente manera: RDPComputerName:1350 o por dirección IP: 192.168.1.10:1350 o desde el símbolo del sistema: mstsc.exe /v 192.168.1.10:1350

    

   Si está utilizando RDCMan para administrar varias conexiones RDP, puede especificar el puerto RDP que ha configurado en el Configuración de conexión pestaña.

7. Luego, se conectará con éxito al escritorio remoto de una computadora usando el nuevo puerto RDP. Puedes usar el netstat –na | Find “LIST” comando para asegurarse de que su RDS esté escuchando en otro puerto.

El script completo de PowerShell para cambiar el número de puerto RDP, crear la regla de firewall y reiniciar el servicio de Escritorio remoto en el nuevo puerto puede verse así:

Write-host "Specify the number of your new RDP port: " -ForegroundColor Yellow -NoNewline;$RDPPort = Read-Host
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TCP" -Name PortNumber -Value $RDPPort
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol TCP -Action Allow
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol UDP -Action Allow
Restart-Service termservice -force
Write-host "The number of the RDP port has been changed to $RDPPort " -ForegroundColor Magenta

Puede cambiar el número de RDP de forma remota en varios equipos de su dominio de AD (en la unidad organizativa específica) mediante los cmdlets Invoke-Command y Get-ADComputer:

Write-host "Specify the number of your new RDP port: " -ForegroundColor Yellow -NoNewline;$RDPPort = Read-Host
$PCs = Get-ADComputer -Filter * -SearchBase "CN=IT,CN=Computers,CN=NY,DC=woshub,DC=com"
Foreach ($PC in $PCs) {
Invoke-Command -ComputerName $PC.Name -ScriptBlock {
param ($RDPPort)
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TCP" -Name PortNumber -Value $RDPPort
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol TCP -Action Allow
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol TCP -Action Allow
Restart-Service termservice -force
}

Esta guía para cambiar el puerto RDP estándar es adecuada para cualquier versión de Windows a partir de Windows XP (Windows Server 2003) y hasta las versiones modernas de Windows 10 / Windows Server 2019.