本文详细介绍如何在 Windows Server 系统（2003/2008/2012/2016/2019/2022）上修改远程桌面服务（RDP）的默认端口，以提高服务器安全性。
适用系统版本：
- Windows Server 2003/2008/2012/2016/2019/2022
- Windows 10/11 Pro/Enterprise（支持远程桌面功能的版本）
为什么要修改远程桌面端口？
远程桌面协议（RDP）默认使用 3389 端口，这是众所周知的标准端口。修改默认端口可以有效减少自动化扫描和暴力破解攻击的风险，提升服务器的整体安全性。无论您使用的是香港独立服务器还是其他地区的服务器，修改 RDP 端口都是基础的安全加固措施之一。虽然这不是唯一的安全措施，但作为纵深防御策略的一部分，端口修改能够显著降低被恶意攻击的概率。
修改步骤：
第一步：打开注册表编辑器
按下 Win + R 组合键打开"运行"对话框，输入 regedit 并按回车键，打开注册表编辑器。在 Windows Server 2016 及更高版本中，系统可能会弹出用户账户控制（UAC）提示，点击"是"以管理员权限运行。
第二步：修改第一处端口配置
在注册表编辑器中，导航到以下路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
找到右侧窗格中的 PortNumber 键值（DWORD 类型）。双击该键值，在弹出的编辑窗口中：
- 选择"十进制"基数选项
- 将数值数据从默认的 3389 修改为您希望使用的新端口号（建议范围：10000-65535）
- 例如：60000
- 点击"确定"保存更改
第三步：修改第二处端口配置
继续在注册表编辑器中，导航到以下路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
同样找到 PortNumber 键值，执行相同的修改操作：
- 双击打开编辑窗口
- 选择"十进制"
- 修改为与第一步相同的端口号（如 60000）
- 点击"确定"确认
重要提示： 两处注册表位置的端口号必须完全一致，否则远程桌面服务可能无法正常工作。
配置防火墙规则（最关键步骤）：
在修改端口后，必须立即配置防火墙规则，这是最重要的步骤！ 如果不开放新端口，即使修改了注册表也无法远程连接。Windows Server 2008 及更高版本使用"高级安全 Windows 防火墙"：
- 打开"Windows Defender 防火墙"或"Windows 防火墙"控制面板
- 点击"高级设置"
- 选择左侧的"入站规则"
- 点击右侧的"新建规则"
- 选择"端口"类型，点击"下一步"
- 选择"TCP"协议，输入特定本地端口（如 60000）
- 选择"允许连接"
- 应用到所有配置文件（域、专用、公用）或根据需要选择
- 为规则命名（如"远程桌面 - 自定义端口"）并添加描述
- 点击"完成"
特别提醒： 在配置防火墙规则之前，建议保持当前的远程桌面连接不要断开，直到确认新端口可以正常访问后再关闭旧连接。这样可以避免因配置错误导致无法远程访问服务器的情况发生。
针对云服务器和独立服务器的额外配置：
如果您使用的是云平台服务器，除了修改 Windows 系统内部配置外，还必须在云平台的安全组或网络 ACL 中添加新端口的入站规则。不同云平台的配置界面各有差异，但基本步骤类似：
- 登录云服务商控制台
- 找到对应服务器的安全组设置
- 添加自定义 TCP 规则，允许您的新端口（如 60000）
- 设置授权对象（建议限制为特定 IP 地址段，而非开放给所有 IP）
对于物理独立服务器，特别是台湾独立服务器等亚太地区的服务器，如果前端有硬件防火墙或路由器，也需要在相应设备上开放对应端口。
第四步：重启计算机
完成防火墙配置后，关闭注册表编辑器，重启服务器使端口修改生效。在 Windows Server 2016 及更高版本中，您也可以选择仅重启"Remote Desktop Services"服务，但完全重启是更可靠的方式，能确保所有相关配置正确加载。
验证端口配置：
本地验证：
在服务器上打开命令提示符（CMD）或 PowerShell，执行以下命令检查新端口是否正在监听：
netstat -ano | findstr :60000
如果看到类似以下输出，说明端口已成功启用：
TCP 0.0.0.0:60000 0.0.0.0:0 LISTENING 1234
您也可以使用 telnet 命令测试本地端口：
telnet localhost 60000
远程验证：
从另一台计算机测试远程端口是否可访问：
telnet 服务器IP地址 60000
如果连接成功，会出现黑屏或连接提示；如果连接失败，请检查防火墙规则和网络配置。
客户端连接方法：
修改端口后，使用远程桌面客户端连接时需要指定新端口：
Windows 系统：
- 按 Win + R 打开运行对话框
- 输入 mstsc 打开远程桌面连接
- 在"计算机"字段中输入：服务器IP:端口号
- 例如：10.10.10.10:60000
- 或域名：server.example.com:60000
- 点击"连接"并输入凭据
macOS 系统： 使用 Microsoft Remote Desktop 应用程序，在添加 PC 时指定自定义端口号。
移动设备（iOS/Android）： 使用 Microsoft Remote Desktop 应用，在添加远程桌面时手动输入自定义端口。
安全建议：
虽然修改端口能提升安全性，但不应作为唯一的防护措施。特别是对于提供公网服务的服务器，如马来西亚独立服务器或其他高流量的亚太地区服务器，建议同时实施以下安全策略：
基础安全措施：
- 启用网络级别身份验证（NLA）： 在远程桌面连接前要求用户身份验证，减少未授权访问风险。
- 使用强密码策略： 确保所有账户使用复杂的强密码，定期更换密码。
- 限制访问 IP 地址： 在防火墙或安全组中，仅允许特定 IP 地址或地址段访问远程桌面端口。
- 禁用不必要的账户： 删除或禁用默认的 Administrator 账户，使用自定义管理员账户。
高级安全措施： 5. 启用账户锁定策略： 设置失败登录尝试次数限制，防止暴力破解。 6. 定期更新系统： 及时安装 Windows 更新和安全补丁，修复已知漏洞。 7. 使用 VPN： 对于远程访问，优先考虑通过 VPN 建立安全连接后再使用远程桌面。 8. 启用日志审计： 监控远程桌面登录日志，及时发现异常访问行为。 9. 配置双因素认证： 在条件允许的情况下，为远程桌面连接启用二次验证。
常见问题排查：
问题 1：修改后无法连接（最常见）
- 首先检查防火墙规则是否正确配置 - 这是90%连接失败的原因
- 确认两处注册表的端口号完全一致
- 检查服务器是否已重启
- 如使用云服务器，检查安全组规则是否已添加新端口
问题 2：连接超时
- 使用 telnet 测试端口是否开放
- 检查网络路由和 ISP 是否阻止该端口
- 确认服务器网络连接正常
- 验证云平台或硬件防火墙规则
问题 3：端口冲突
- 选择的新端口可能被其他服务占用
- 使用 netstat -ano 检查端口占用情况
- 更换为其他未使用的端口号（建议使用 10000-65535 范围内的端口）
问题 4：配置后仍然显示3389端口
- 确认已重启服务器或 Remote Desktop Services 服务
- 检查是否修改了正确的注册表路径
- 验证当前登录的是否是修改注册表的同一台服务器
通过以上完整的配置步骤和安全建议，您可以成功修改 Windows Server 的远程桌面端口，并显著提升服务器的安全防护水平。无论您管理的是单台服务器还是多台分布在不同地区的服务器集群，这些安全实践都能帮助您更好地保护服务器资源。