必须修改windows远程桌面默认端口3389以提升安全性，方法包括：一、注册表编辑器修改两个portnumber值并重启termservice；二、powershell命令同步设置两处端口并强制重启服务；三、防火墙新建入站规则放行新端口并禁用3389规则；四、用netstat验证监听状态及mstsc测试连接。
如果您希望提升 Windows 系统远程桌面（RDP）的安全性，防止因使用默认端口 3389 而遭受自动化扫描与暴力破解攻击，则必须修改其侦听端口号。以下是多种可靠、可操作的配置方法：
一、通过注册表编辑器图形化修改端口
该方法直接编辑系统核心配置项，适用于所有 Windows 版本（含 Server 2008 至 Windows 11），需同时修改两个注册表路径以确保服务与监听组件一致生效。
1、按 Win + R 打开运行窗口，输入 regedit 并回车，以管理员身份运行注册表编辑器。
2、在左侧导航栏中，依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp。
3、在右侧找到名为 PortNumber 的 DWORD 值，双击打开，将“基数”设为“十进制”，在“数值数据”中填入目标端口号（如 54321），点击“确定”。
4、再次在左侧导航栏中，依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp。
5、同样双击右侧的 PortNumber，设置为相同十进制端口号（如 54321），点击“确定”。
6、关闭注册表编辑器，以管理员身份打开命令提示符或 PowerShell，执行：net stop TermService && net start TermService，强制重启远程桌面服务。
二、使用 PowerShell 命令行一键修改端口
该方式避免手动导航注册表路径出错，支持脚本化批量部署，且能即时验证端口变更结果，适合运维人员快速执行。
1、右键“开始”按钮，选择“Windows PowerShell（管理员）”或“终端（管理员）”。
2、执行以下命令查看当前端口：Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'。
3、执行命令设置新端口（示例端口为 48273）：$newPort = 48273; Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $newPort。
4、同步更新 Wds\rdpwd\Tds\tcp 路径下的 PortNumber：Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp' -Name 'PortNumber' -Value $newPort。
5、立即重启服务使配置生效：Restart-Service TermService -Force。
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
三、配置 Windows 防火墙放行新端口并禁用旧规则
仅修改注册表无法对外生效，若防火墙未放行新端口或仍开放 3389，攻击面未实质缩小。必须同步调整入站规则。
1、按 Win + R 输入 wf.msc，打开“高级安全 Windows Defender 防火墙”。
2、在左侧面板点击“入站规则”，右键空白处选择“新建规则…”。
3、规则类型选择“端口”，点击“下一步”。
4、协议选择“TCP”，在“特定本地端口”中输入新端口号（如 54321），点击“下一步”。
5、操作选择“允许连接”，点击“下一步”。
6、配置配置文件：勾选“域”、“专用”、“公用”（根据实际网络环境可酌情取消公用），点击“下一步”。
7、名称填写为 Allow RDP (54321)，描述可选填，点击“完成”。
8、在入站规则列表中，找到原规则“远程桌面(TCP-In)”或名称含 3389 的条目，右键选择“禁用规则”。
四、验证端口修改是否成功
修改后必须确认服务实际监听新端口且旧端口已停止响应，避免配置遗漏导致远程连接中断或防护失效。
1、以管理员身份运行 PowerShell，执行：netstat -an -p tcp | findstr :54321（将 54321 替换为您的端口号）。
2、若输出中包含 LISTENING 状态且本地地址为 0.0.0.0:54321 或 [::]:54321，表示监听成功。
3、执行：netstat -an -p tcp | findstr :3389，确认无任何 LISTENING 输出。
4、从另一台设备使用 mstsc.exe 连接：目标IP:54321，测试登录是否正常。
