Come cambiare la porta RDP predefinita (3389) su Windows Server

In breve: RDP è in ascolto per impostazione predefinita sulla porta 3389, e ogni attaccante su internet lo sa. Per cambiarla, modifica il valore PortNumber in HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp nell'Editor del Registro di sistema, scegli una porta tra 20000 e 60000, apri quella porta nel firewall, riavvia il servizio RDP e riconnettiti usando IP:porta. La modifica richiede circa cinque minuti e riduce drasticamente il rumore dei brute-force automatici.

La porta predefinita 3389 attira attacchi automatici continui; una porta personalizzata dietro il firewall ti toglie dalle liste delle scansioni di massa.

Perché gli attaccanti prendono di mira la porta 3389

La porta 3389 è la porta predefinita del Remote Desktop Protocol (RDP) su ogni server Windows. Poiché è fissa e nota a tutti, è una delle porte più scansionate di internet: bot automatici setacciano l'intero spazio di indirizzi IPv4 giorno e notte, in cerca di server che rispondono sulla 3389. Gli studi con honeypot mostrano regolarmente i primi tentativi di accesso entro pochi minuti dalla messa online di un nuovo server.

Quando un bot trova una 3389 aperta, succedono due cose. Gli strumenti di brute-force iniziano a bombardare la schermata di accesso con milioni di combinazioni di nome utente e password. E poiché la porta è nota, è anche un bersaglio facile per il traffico di denial-of-service (DDoS), che può rallentare il server o metterlo offline.

Cambiare la porta RDP serve davvero?

Risposta onesta: cambiare la porta RDP ti toglie dalle liste delle scansioni automatiche di massa che puntano alla 3389, e questo in genere elimina la stragrande maggioranza dei tentativi di brute-force e lo spam nei log che ne deriva. Non rende il server invisibile: un attaccante determinato che esegue una scansione completa delle porte sul tuo IP specifico può comunque trovare la nuova porta. Considera il cambio di porta come una riduzione del rumore e un livello di difesa, e abbinalo a una password robusta, alla Network Level Authentication e a regole firewall. Ne parliamo alla fine di questa guida.

Prima di iniziare: una checklist di 2 minuti

• Ti serve l'accesso da amministratore al server tramite Desktop remoto.
• Scegli una nuova porta tra 20000 e 60000 facile da annotare, ad esempio 45223. Evita scelte ovvie come 3390 o 33890, che gli scanner controllano anch'esse.
• Assicurati che la porta non sia usata da altro: esegui netstat -ano | findstr :45223 in CMD. Nessun output significa che la porta è libera.
• Annota la nuova porta prima di cambiare qualsiasi cosa. Ti servirà per ogni connessione futura.
• Su OMC Cloud hai una rete di sicurezza: la console su console.omc.cloud ti dà accesso allo schermo del server anche se RDP non è raggiungibile, quindi un errore non ti chiude mai fuori in modo definitivo.

Come cambiare la porta RDP, passo dopo passo

Passo 1 — Connettiti al server e apri l'Editor del Registro di sistema.
Connettiti tramite Desktop remoto, fai clic su Start, digita regedit e premi Invio.

Passo 2 — Vai all'impostazione della porta RDP.
Nell'Editor del Registro di sistema, vai a: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Passo 3 — Modifica il valore PortNumber.
Fai doppio clic su PortNumber, seleziona Decimal, sostituisci 3389 con la nuova porta (ad esempio 45223) e fai clic su OK.

Passo 4 — Consenti la nuova porta in Windows Firewall.
Prima di riavviare qualsiasi cosa, apri CMD come amministratore ed esegui: netsh advfirewall firewall add rule name="RDP Custom Port" dir=in action=allow protocol=TCP localport=45223

Passo 5 — Riavvia il servizio RDP.
Riavvia il server (Start, poi Restart) oppure riavvia solo il servizio Desktop remoto da un CMD come amministratore: net stop termservice && net start termservice. La sessione RDP corrente si disconnetterà; è normale.

Passo 6 — Apri la porta nel firewall di OMC Cloud.
Il firewall del server è solo metà del percorso: la nuova porta deve essere aperta anche nel firewall esterno. Accedi alla console di OMC Cloud, seleziona il tuo server, apri la scheda Firewall e aggiungi una regola: Direction IN, Interface ANY, Protocol TCP, Port la tua nuova porta, Policy ACCEPT. Già che ci sei, elimina o disattiva la vecchia regola per la 3389, così la porta predefinita è completamente chiusa.

L'intera modifica in sei passaggi, poi connettiti con IP:porta.

Il metodo rapido: tre comandi PowerShell

Preferisci evitare l'interfaccia grafica? Esegui questi comandi in un PowerShell con privilegi elevati, in quest'ordine, sostituendo 45223 con la tua porta:

• Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 45223
• New-NetFirewallRule -DisplayName "RDP Custom Port" -Direction Inbound -Protocol TCP -LocalPort 45223 -Action Allow
• Restart-Service TermService -Force

Poi apri la stessa porta nel firewall di OMC Cloud come descritto nel Passo 6 qui sopra.

Connettersi con la nuova porta

D'ora in poi, aggiungi la porta all'indirizzo nel client Desktop remoto. Nel campo Computer digita l'IP del server, i due punti e la porta, ad esempio: 203.0.113.5:45223. Anche i file .rdp salvati e i connection manager vanno aggiornati allo stesso modo. Tutto il resto della connessione rimane esattamente uguale.

Risoluzione dei problemi: sei rimasto chiuso fuori o non riesci a connetterti?

• La connessione va in timeout. Quasi sempre in uno dei due firewall manca la nuova regola. Verifica che sia la regola di Windows Firewall sia quella del firewall di OMC Cloud indichino esattamente la tua porta e TCP.
• Hai dimenticato la nuova porta. Apri il server dalla console OMC (non serve RDP), avvia PowerShell ed esegui: (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber
• Devi tornare indietro. Dalla console, reimposta PortNumber su 3389 con lo stesso comando della sezione PowerShell, riavvia TermService e riattiva le regole firewall per la 3389.
• Ancora bloccato? Il supporto OMC è disponibile 24/7 per telefono, email o ticket dalla console, e può aiutarti a recuperare l'accesso.

Oltre al cambio di porta: proteggi RDP come si deve

Una porta personalizzata riduce il rumore; queste misure fermano gli attacchi che restano:

• Limita per IP di origine. La singola mossa più efficace: nel firewall di OMC Cloud, consenti la porta RDP solo dagli indirizzi IP del tuo ufficio o di casa. I bot non possono fare brute-force su una porta che non riescono a raggiungere.
• Mantieni attiva la Network Level Authentication (NLA). La NLA richiede le credenziali prima ancora che venga creata una sessione, bloccando molti attacchi automatici ed exploit RDP noti.
• Usa una password lunga e unica per ogni account con diritti RDP e, dove possibile, rinomina o disattiva l'account Administrator predefinito.
• Imposta una policy di blocco degli account (ad esempio, 10 tentativi falliti bloccano l'account per 15 minuti) così i tentativi di brute-force si scontrano con un muro.
• Valuta una VPN. Mettere RDP dietro una VPN o una rete privata lo toglie completamente da internet; abbinalo alla LAN privata di OMC tra i tuoi server.
• Controlla i log. In Visualizzatore eventi di Windows, registro Sicurezza, l'evento ID 4625 mostra gli accessi falliti. Dopo aver lasciato la 3389, la differenza è di solito notevole.

Domande frequenti

Cambiare la porta RDP ferma gli attacchi brute-force?
Ferma le scansioni automatiche di massa che puntano alla porta 3389, che sono la stragrande maggioranza dei tentativi. Un attaccante mirato può comunque trovare la nuova porta con una scansione completa, quindi abbina il cambio a una password robusta, alla NLA e a regole firewall.

Quale porta dovrei usare per RDP?
Qualsiasi porta libera tra 20000 e 60000 va bene. Evita varianti prevedibili come 3390, 33890 o 13389, perché gli scanner provano anche quelle.

Come verifico quale porta sta usando RDP?
Esegui (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber in PowerShell. Il valore restituito è la porta RDP attiva.

Devo riavviare il server dopo aver cambiato la porta RDP?
Non serve un riavvio completo. Riavviare il servizio Desktop remoto con net stop termservice && net start termservice applica subito la modifica.

Ho cambiato la porta RDP e ora non riesco a connettermi. Cosa faccio?
Verifica che la nuova porta sia consentita sia in Windows Firewall sia nel firewall di OMC Cloud, e di aver digitato IP:porta nel client RDP. Se resti chiuso fuori, apri il server dalla console OMC, che funziona senza RDP, e correggi o ripristina l'impostazione.

Cambiare la porta RDP basta a proteggere un server?
No. È un livello efficace di riduzione del rumore, non una protezione completa. Per una sicurezza reale, abbinalo a regole firewall per IP di origine, NLA, password robuste e una policy di blocco degli account.

Cambiare la porta protegge dai DDoS?
Aiuta contro i flood opportunistici rivolti alle porte più note, ma un DDoS mirato al tuo indirizzo IP non ne è influenzato. La resilienza ai DDoS viene dal livello di rete, che i data center OMC gestiscono a monte.

Come mi connetto a RDP su una porta personalizzata?
Nel client Desktop remoto, digita l'indirizzo come IP:porta, ad esempio 203.0.113.5:45223, e connettiti come al solito.

Conclusione

Ogni server Windows di OMC Cloud include un firewall esterno per singolo server, l'accesso allo schermo dalla console che funziona anche quando RDP non va, opzioni di backup giornaliero e un team di supporto umano 24/7. Attiva un VPS Windows in pochi secondi e applica questa guida fin dal primo minuto.