修改远程桌面端口与防火墙放行

3389 是公开的秘密，全网扫描器每天盯着这个端口试密码，换一个冷门端口能让绝大多数自动扫描直接跳过你的服务器。这篇给出完整的改端口流程，核心原则是先铺好退路再动手。 ## 准备条件 能正常远程登录的服务器一台，有管理员权限；想好新端口，建议在 10000 到 65535 之间挑未被占用的，避开 3306、6379 这类常见服务端口；动手前新开一个远程会话保持在线，万一改挂了还有一条活路。 ## 第一步：改注册表端口 远程桌面的监听端口记录在注册表里，管理员身份打开 PowerShell： ``` Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 23389 ``` 23389 换成你选定的端口，注意这个值是十进制。这一步只是写入注册表，服务重启后才生效。 ## 第二步：先放行新端口 改完端口别急着重启服务，先给新端口配好防火墙入站规则： ``` New-NetFirewallRule -DisplayName "RDP 23389" -Direction Inbound -Protocol TCP -LocalPort 23389 -Action Allow ``` 云服务器还要到控制台安全组加同样的规则。系统防火墙和安全组两边都放行之后再动服务，顺序反了就是把自己锁在门外。 ## 第三步：重启服务并验证 重启远程桌面服务让新端口生效： ``` Restart-Service TermService -Force ``` 这条命令会把当前所有远程会话踢下线，包括你自己，所以执行前必须确认第二步的规则已经生效。等待半分钟后用新端口连接，客户端计算机一栏填 IP:23389。确认新端口能进之后，回头删掉旧的 3389 防火墙规则和安全组规则，最后用 netstat -ano | findstr 23389 复核监听状态。 ## 常见报错 新端口连不上的排查顺序：注册表值是否写对、防火墙规则协议是否配成 TCP、安全组有没有放行、云厂商是否有负载均衡或端口映射层挡在前面。逐项查完还连不上，用云控制台的 VNC 登录服务器看服务状态，从服务器本地反向定位问题。 端口改完只是降低了被扫到的概率，密码强度和账户锁定策略仍然要做。冷门端口、强密码、锁定阈值三道防线一起上，爆破脚本拿这台服务器基本没办法。