必须同步修改注册表两处PortNumber值并放行防火墙，否则RDP连接失败；先用PowerShell命令一键写入端口57321并重启TermService服务，再在高级安全防火墙中新建TCP/UDP入站规则，最后以“IP:57321”格式连接验证。
为防止自动化扫描工具持续探测并尝试暴力破解，必须将Windows远程桌面默认的3389端口更换为高位非标准端口；若只改注册表一处、不放行防火墙或未同步更新双路径PortNumber值，远程连接将直接失败，且无法回退到原端口自动重连。
同步修改注册表两处PortNumber值
按下 Win + R，输入 regedit 回车，确认UAC提示后进入注册表编辑器。
在地址栏粘贴路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp → 回车 → 找到右侧 PortNumber → 双击 → 勾选“十进制” → 输入新端口号（如 57321）→ 确定。
再次在地址栏粘贴路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp → 回车 → 同样找到 PortNumber → 双击 → 十进制 → 输入完全相同的数值 57321 → 确定。
⚠️ 这两处值必须严格一致，差一位数字都会导致RDP服务启动后拒绝所有连接请求，且错误日志不提示具体原因。
用PowerShell命令一键完成（推荐）
右键“开始”按钮 → 选择“Windows PowerShell（管理员）” → 粘贴执行：
$p = 57321; Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $p; Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp' -Name 'PortNumber' -Value $p
执行后无报错即写入成功。接着运行：Restart-Service TermService -Force → 强制重启远程桌面服务，无需重启整机。
这一步跳过了手动导航注册表路径可能产生的拼写错误（比如把 rdpwd 打成 rdprwd），也规避了因误点其他键值引发的系统异常。
配置Windows防火墙放行新端口
第一步：按 Win + R → 输入 firewall.cpl → 回车 → 点击左侧“高级设置”。
第二步：在左侧面板点击“入站规则” → 右侧点击“新建规则…” → 选择“端口” → 下一步。
第三步：选择“TCP”，在“特定本地端口”中填入你设定的新端口号（例如 57321）→ 下一步。
第四步：“允许连接” → 下一步 → 勾选“域”“专用”“公用”三项 → 下一步。
第五步：规则名称填“RDP-57321” → 完成。
⚠️ 必须同时放行TCP和UDP协议——新版RDP启用UDP加速时，仅开TCP会导致连接卡在“正在配置远程会话”界面长达30秒以上。
云服务器额外操作：安全组放行
方法一（阿里云/腾讯云）：进入ECS控制台 → 实例详情页 → 安全组 → 添加入方向规则 → 协议类型选“自定义TCP/UDP” → 端口范围填“57321/57321” → 授权对象设为你的IP段或0.0.0.0/0（测试期）→ 保存。
方法二（华为云）：进入“网络与安全” → “安全组” → 选择对应安全组 → “入方向规则” → 新建 → 协议选“全部” → 源端口范围留空 → 目标端口范围填“57321” → 确认。
注意：云平台安全组规则生效无需重启实例，但旧的3389规则建议暂不删除，待新端口验证成功后再移除。
验证连接并应用新端口
在本地电脑打开“远程桌面连接”（mstsc）→ 计算机栏输入格式为：服务器IP:57321（例如 118.31.243.100:57321）→ 点击连接 → 输入账号密码登录。
若弹出“出现身份验证错误”提示，说明远程主机尚未启用NLA（网络级别身份验证），需返回服务器：系统属性 → 远程 → 勾选“仅允许运行使用网络级别身份验证的远程桌面的计算机连接” → 再试。
连接成功后，立即在服务器上执行命令：netstat -ano | findstr :57321 → 若返回包含 LISTENING 的行，且PID对应 svchost.exe 或 TermService，表示端口监听已生效。
