修改遠程桌面埠 3389 並配置客戶端連接：註冊表雙鍵值修改與 RDP 檔案調整

預設 3389 埠為暴力破解首選目標，修改非標準埠可大幅降低自動化掃描攻擊面。

伺服器端修改 (註冊表雙重修改)

1. Win+R → regedit
2. 修改第一處：

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
   PortNumber (DWORD) → 修改為新埠 (如 53389)，基數選「十進位」

   
3. 修改第二處：

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
   PortNumber (DWORD) → 同樣修改為新埠

   
4. 重啟伺服器或重啟 TermService：net stop TermService && net start TermService
5. 防火牆/安全組同步放行新埠

客戶端連接配置

方法一：另存 .rdp 檔案手動編輯

1. 遠程桌面連線 → 輸入 IP → 「連線設定」→ 「另存為」→ custom.rdp
2. 記事本開啟 custom.rdp，新增一行：

   server port:i:53389

3. 雙擊 custom.rdp 直連

方法二：直接輸入 IP:Port (Windows 7+/10/11)

mstsc /v:192.168.1.100:53389

或在「電腦」欄直接輸入 192.168.1.100:53389

Windows 2000 客戶端 (.cns 檔案)

Server Port =53389  # 修改 .cns 檔案中此行

安全性補充

• 修改埠僅為「安全透過隱匿」，必須配合：帳號鎖定策略、強密碼、NLA (網路層級驗證)、RD Gateway/VPN、Fail2Ban/Windows Defender ATP
• 掃描器可透過服務指紋識別 RDP 服務 (即使非標準埠)
• 建議：禁用 3389 直接暴露公網，僅允許 VPN/堡壘機/跳板機存取

註冊表修改必須雙處同步，否則服務仍監聽 3389 或無法啟動。修改後立即在本機 netstat -an | findstr 新埠 驗證監聽狀態。