遠端桌面連線進階技巧：修改預設埠號躲避攻擊、禁止遠端變更桌布、利用磁碟重新導向安全傳檔

遠端桌面（RDP）是 Windows 內建最強大的遠端管理工具，預設埠 3389 卻是駭客掃描首選目標。本文教學三招實戰技巧：修改 RDP 埠號隱藏服務、透過登錄檔禁止遠端變更桌布、善用「本機資源 → 磁碟機」重新導向實現加密通道內安全傳檔，免開共用資料夾風險。

技巧一：修改 RDP 預設埠號（3389 → 自訂）

1. 開啟 regedit，定位兩個機碼並修改 PortNumber（DWORD，十進位）：
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
2. 建議埠號：1024~65535 間未被佔用的號碼（如 9999、3390、54321），避開常見服務埠。
3. 重新開機或重新啟動 TermService 服務生效。

客戶端連線設定

1. 開啟「遠端桌面連線」 → 「選項」 → 「另存為」儲存 .rdp 檔。
2. 用記事本開啟 .rdp，新增一行：server port:i:9999（對應新埠號）。
3. 儲存 .rdp，以後雙擊此檔即可連線新埠號。

效果：不知新埠號者無法建立 RDP 連線，大幅降低自動化掃描/暴力破解風險。

技巧二：禁止遠端工作階段變更桌布

1. regedit 定位：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
2. 右鍵新增 DWORD 值：fNoRemoteDesktopWallpaper = 1。
3. 重新開機生效。遠端連線時，桌布將鎖定為本機設定，遠端嘗試變更無效。

技巧三：利用磁碟重新導向安全傳檔（免開共用資料夾）

1. 開啟「遠端桌面連線」 → 「選項」 → 「本機資源」索引標籤。
2. 「本機裝置與資源」區塊 → 勾選 「磁碟機」 → 「連線」。
3. 連線成功後，遠端電腦的「我的電腦」/「檔案總管」會出現本機磁碟機（標示為「在 <電腦名稱> 上的 C/D/E...」）。
4. 直接在遠端視窗拖曳複製/移動檔案，傳輸經 RDP 加密通道，不開放任何 SMB/共用埠，安全性極高。

傳檔完成後請立即中斷遠端連線，避免閒置連線被劫持。

進階安全建議

• 啟用「網路層級驗證 (NLA)」（系統屬性 → 遠端 → 僅允許執行「網路層級驗證」的遠端桌面連線）。
• 防火牆限制 RDP 埠僅允許特定 IP/VPN 子網存取。
• 使用強式密碼、帳戶鎖定原則、雙因子驗證（RD Gateway + MFA）。
• 定期檢視安全性事件記錄（事件 4624/4625 登入成功/失敗）。

遠端桌面好用，安全配置不可少。三招設定，讓 RDP 既方便又安心。