問題背景

為了安全性，系統管理員常將遠端桌面服務（RDP）預設連接埠 3389 修改為其他埠號（如 3390、50000 等）。修改後，標準的「遠端桌面連線」客戶端若僅輸入 IP 將無法連線，必須明確指定新連接埠。

連線方法

圖形介面（mstsc）

1. 執行 mstsc（Win+R → mstsc）開啟遠端桌面連線
2. 在「電腦」欄位輸入：
   IP位址:新連接埠
   範例：192.168.1.100:3390 或 rdp.example.com:50000
3. 點擊「連線」

命令列直連

mstsc /v:192.168.1.100:3390

.rdp 檔案預設連線

# 建立 connection.rdp
full address:s:192.168.1.100:3390
prompt for credentials:i:1
# 雙擊即可連線

伺服器端修改 RDP 連接埠（複習）

1. regedit 開啟登錄編輯器
2. 定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
3. 修改 PortNumber（DWORD）為新埠號（十進位），如 3390
4. 防火牆開放新埠號：
   netsh advfirewall firewall add rule name="RDP 3390" dir=in action=allow protocol=TCP localport=3390
5. 重啟遠端桌面服務或重啟伺服器：
   net stop TermService && net start TermService

常見連線失敗排查

現象	可能原因	排查
連線逾時	防火牆未放行新埠號	伺服器端 netstat -an | findstr 3390 確認監聽；客戶端 telnet IP 3390 測試連通
憑證錯誤	自我簽署憑證不受信	連線前勾選「不再詢問」，或匯入信任根憑證
驗證失敗	帳號/密碼錯、NLA 設定不符	確認使用者屬於 Remote Desktop Users 群組
內網可連、外網不可連	路由器/NAT 未做埠號轉發	路由器設定 Port Forwarding：外部 3390 → 內部 IP:3390

安全建議

• 修改埠號僅能阻擋自動掃描腳本，無法替代強密碼、NLA、VPN、防火牆 IP 白名單
• 建議：僅開放 VPN 存取 RDP，完全不將 RDP 埠暴露公網
• 啟用網路層級驗證（NLA）：系統屬性 → 遠端 → 僅允許執行網路層級驗證的遠端桌面連線
• 配置帳號鎖定策略：secpol.msc → 帳號原則 → 帳號鎖定原則

修改 RDP 連接埠後，記得在客戶端以 IP:Port 格式指定新埠號，並同步更新防火牆與 NAT 規則，即可正常遠端管理。