必须同步修改注册表两处PortNumber值（RDP-Tcp和rdpwd\Tds\tcp路径），并放行防火墙新端口、重启TermService服务，才能成功变更Windows远程桌面默认3389端口；推荐选用10000–65535间不规则高位端口（如27419），且需用netstat验证端口空闲。
直接改掉3389端口是云服务器上线后最基础、最有效的安全加固动作之一。它不能替代强密码或网络ACL，但能大幅减少自动化扫描和暴力破解的命中率。关键不在“改”，而在“改对”和“配齐”。
选一个真正可用的新端口
别随手填个443、8080或3390——这些同样是攻击者高频试探的目标。推荐从10000–65535中挑一个不规则数字，比如27419、51836。改之前务必验证是否被占用：
- 以管理员身份运行CMD，执行：
netstat -ano -p tcp | findstr ":27419" - 若无任何输出，说明端口空闲；若有结果，换一个再试
- 避免使用1024以下端口（需管理员权限且易冲突），也避开SQL Server（1433）、MySQL（3306）等常见服务端口
注册表两处必须同步修改
Windows远程桌面依赖两个注册表位置共同生效，只改一处会导致连接失败：
IT技术解决互联网公司网站模板
下载
IT技术解决互联网公司网站模板是一款适合提供APP设计、网页开发、SEO优化、云服务、数据分析等服务的互联网公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。
- 路径一：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
→ 找到 PortNumber，双击，选“十进制”，填入你选好的端口号（如27419） - 路径二：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
→ 同样找到 PortNumber，填入**完全相同的端口号** - 修改前建议点击注册表编辑器菜单「文件 → 导出」备份当前分支，防止误操作
防火墙必须手动放行新端口
改完注册表重启服务后，若没开防火墙规则，外部仍连不上。不能只禁用旧的3389规则，要新建一条允许规则：
- 按 Win+R 输入 firewall.cpl，打开防火墙设置
- 点左侧「高级设置」→「入站规则」→ 右侧「新建规则」
- 类型选「端口」→ 协议选「TCP」→ 特定本地端口填你的新端口（如27419）
- 操作选「允许连接」→ 配置文件勾选「域」「专用」「公用」（云服务器通常全选）
- 名称建议写清楚，例如「RDP-27419-TCP-Allow」，便于后续管理
重启服务比重启整机更高效
改完注册表和防火墙后，无需重启整个云服务器。以管理员身份运行PowerShell，执行：
- Restart-Service TermService -Force
- 再执行 Get-NetTCPConnection -State Listen | Where-Object {$_.LocalPort -eq 27419} 确认端口已在监听
- 客户端连接时，在IP后加冒号和端口，例如：192.168.1.100:27419
