Windows Server 2008 啟用 TS 遠程管理並修改 RDP 端口完整指南

概述

Windows Server 2008 預設啟用遠程桌面服務（RDP），但為了安全考慮，建議修改預設的 3389 端口並配置防火牆規則。本文詳細說明如何啟用終端服務管理主控台（tsmmc）所需的防火牆規則，以及通過註冊表修改 RDP 監聽端口的完整步驟。

一、啟用 TS 遠程管理所需的防火牆入站規則

在「高級安全 Windows 防火牆」→「入站規則」中，啟用以下預定義規則組：

• 遠程管理 (RPC-EPMAP)：RPC 端點映射器，用於動態端口分配。
• 遠程管理 (RPC)：遠程過程調用核心通信。
• 遠程管理 (RPCNP-IN)：RPC 命名管道通信。
• 遠程管理 (TCP-IN)：TCP 入站通用遠程管理流量。
• 遠程管理 - RemoteFX (TCP-IN)：RemoteFX 圖形虛擬化相關流量。

啟用上述規則後，即可通過 MMC 管理單元（如「服務器管理器」、「終端服務管理器」）遠程連接管理本服務器。

二、修改 RDP 監聽端口（註冊表法）

1. 打開註冊表編輯器

按 Win + R，輸入 regedit 回車。

2. 修改兩個關鍵註冊表鍵值

位置一：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

找到 PortNumber（DWORD 值），預設為 3389（十進制）。雙擊修改為自定義端口（如 53389），確保該端口未被佔用且允許通過防火牆。

位置二：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp

同樣修改 PortNumber 為相同的自定義端口值。

3. 配置防火牆允許新端口

在「高級安全 Windows 防火牆」→「入站規則」→「新建規則」：

1. 規則類型選「端口」→ 下一步。
2. 選「TCP」，特定本地端口輸入新端口號（如 53389）→ 下一步。
3. 選「允許連接」→ 下一步。
4. 勾選「域」、「專用」、「公用」（視網絡位置而定）→ 下一步。
5. 命名規則（如「RDP Custom Port 53389」）→ 完成。

4. 禁用預設 3389 端口規則（可選，增強安全）

在入站規則中找到並禁用以下兩條預設規則：

• 遠程管理 (TCP-IN)
• 遠程管理 - RemoteFX (TCP-IN)

5. 重啟服務器使更改生效

執行 shutdown /r /t 0 或通過「開始」菜單重啟。重啟後，遠程桌面連接時需在 IP 後加冒號指定新端口，例如：192.168.1.100:53389。

安全建議

• 新端口建議選擇 10000-65535 範圍內的非常用端口，減少掃描風險。
• 結合 IPsec 策略或 RD Gateway 進一步加強認證與加密。
• 定期審核安全日誌（Event ID 4624/4625）監控登錄嘗試。