云服务器安全维护：Window 远程桌面端口修改

必须同步修改注册表两处PortNumber值（RDP-Tcp和rdpwd\Tds\tcp路径），并放行防火墙新端口、重启TermService服务，才能成功变更Windows远程桌面默认3389端口；推荐选用10000–65535间不规则高位端口（如27419），且需用netstat验证端口空闲。

直接改掉3389端口是云服务器上线后最基础、最有效的安全加固动作之一。它不能替代强密码或网络ACL，但能大幅减少自动化扫描和暴力破解的命中率。关键不在“改”，而在“改对”和“配齐”。

选一个真正可用的新端口

别随手填个443、8080或3390——这些同样是攻击者高频试探的目标。推荐从10000–65535中挑一个不规则数字，比如27419、51836。改之前务必验证是否被占用：

• 以管理员身份运行CMD，执行：
  netstat -ano -p tcp | findstr ":27419"
• 若无任何输出，说明端口空闲；若有结果，换一个再试
• 避免使用1024以下端口（需管理员权限且易冲突），也避开SQL Server（1433）、MySQL（3306）等常见服务端口

注册表两处必须同步修改

Windows远程桌面依赖两个注册表位置共同生效，只改一处会导致连接失败：

IT技术解决互联网公司网站模板

IT技术解决互联网公司网站模板是一款适合提供APP设计、网页开发、SEO优化、云服务、数据分析等服务的互联网公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。

下载

• 路径一：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
  → 找到 PortNumber，双击，选“十进制”，填入你选好的端口号（如27419）
• 路径二：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
  → 同样找到 PortNumber，填入**完全相同的端口号**
• 修改前建议点击注册表编辑器菜单「文件 → 导出」备份当前分支，防止误操作

防火墙必须手动放行新端口

改完注册表重启服务后，若没开防火墙规则，外部仍连不上。不能只禁用旧的3389规则，要新建一条允许规则：

• 按 Win+R 输入 firewall.cpl，打开防火墙设置
• 点左侧「高级设置」→「入站规则」→ 右侧「新建规则」
• 类型选「端口」→ 协议选「TCP」→ 特定本地端口填你的新端口（如27419）
• 操作选「允许连接」→ 配置文件勾选「域」「专用」「公用」（云服务器通常全选）
• 名称建议写清楚，例如「RDP-27419-TCP-Allow」，便于后续管理

重启服务比重启整机更高效

改完注册表和防火墙后，无需重启整个云服务器。以管理员身份运行PowerShell，执行：

• Restart-Service TermService -Force
• 再执行 Get-NetTCPConnection -State Listen | Where-Object {$_.LocalPort -eq 27419} 确认端口已在监听
• 客户端连接时，在IP后加冒号和端口，例如：192.168.1.100:27419