必须将Windows 10远程桌面端口改为10000–65535内非常规端口，并同步修改注册表两处PortNumber值（完全一致）、添加防火墙入站规则、重启Remote Desktop Services服务，最后用netstat验证监听。

为防止全网扫描工具对 Windows 10 远程桌面默认端口 3389 的暴力爆破攻击，必须将监听端口更改为 10000–65535 范围内非常规端口号，并同步更新防火墙规则与服务配置，否则远程连接将彻底失效或仍暴露于风险中。

修改注册表中的两个 PortNumber 值

远程桌面服务依赖两处注册表键值协同工作，缺一不可：一处控制 RDP 协议底层监听，另一处控制会话主机绑定。二者端口号【必须完全一致】，否则服务启动后无法建立有效连接。

第一步：按 Win + R 输入 regedit → 回车，以管理员身份运行注册表编辑器。

第二步：导航至路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
右侧双击 PortNumber → 基数选“十进制” → 数值数据填入新端口（如 57321）→ 确定。

第三步：再导航至路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
同样双击 PortNumber → 十进制 → 输入与上一步【完全相同的数值 57321】 → 确定。

添加防火墙入站规则放行新端口

Windows 防火墙不会自动识别注册表变更，它仍只允许 3389 流量通过。若跳过此步，外部设备发起连接时会被静默拦截，表现为“连接已超时”或“远程计算机拒绝连接”。

方法一：图形向导方式

按 Win + S 搜索“高级安全 Windows Defender 防火墙” → 打开 → 左侧点“入站规则” → 右侧点“新建规则…” → 选择“端口” → 下一步 → TCP、特定本地端口填 57321 → 下一步 → “允许连接” → 下一步 → 勾选“域”“专用”“公用”三项 → 下一步 → 规则名称填“RDP-57321” → 完成。

方法二：禁用旧规则（可选）

在“入站规则”列表中，找到名称含“远程桌面（TCP-In）”和“远程桌面（UDP-In）”的两条预定义规则 → 右键 → “禁用规则”。这能避免混淆，但非强制步骤。

重启 Remote Desktop Services 服务

注册表改完不重启服务，改动不会加载进内存；直接重启电脑虽可行，但耗时且影响其他运行中服务。精准重启 TermService 即可生效。

按 Win + R 输入 services.msc → 回车 → 在服务列表中找到 Remote Desktop Services → 右键 → “重新启动”。

注意：若右键菜单中“重新启动”为灰色，说明该服务当前未运行，请先右键选择“启动”，再执行重启操作。

验证端口是否真正监听

服务重启后必须确认系统确实在新端口上监听，否则所有前置操作均无效。仅靠远程连接测试容易误判网络中间设备拦截，应优先在本机验证。

以管理员身份打开 PowerShell → 输入命令：
netstat -ano | findstr :57321

若返回一行含 TCP 0.0.0.0:57321 及 PID 数字的结果，说明监听成功；若无任何输出，说明注册表未生效或服务未正确加载。

此时需检查：是否两个 PortNumber 值一致？是否用了十进制？服务是否真的重启了？防火墙是否阻止了 PowerShell 查询？