De standaard RDP-poort (3389) wijzigen op Windows Server

Kort gezegd: RDP luistert standaard op poort 3389, en elke aanvaller op internet weet dat. Om dit te wijzigen pas je in de Register-editor de waarde PortNumber aan onder HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, kies je een poort tussen 20000 en 60000, open je die poort in de firewall, herstart je de RDP-service en maak je opnieuw verbinding met IP:poort. De wijziging kost ongeveer vijf minuten en vermindert de geautomatiseerde brute-force-ruis drastisch.

Standaardpoort 3389 trekt voortdurend geautomatiseerde aanvallen aan; met een eigen poort achter de firewall verdwijn je van de lijsten van massascans.

Waarom aanvallers poort 3389 viseren

Poort 3389 is op elke Windows-server de standaardpoort voor Remote Desktop Protocol (RDP). Omdat de poort vastligt en algemeen bekend is, is het een van de meest gescande poorten op internet: geautomatiseerde bots doorzoeken de klok rond de volledige IPv4-adresruimte op zoek naar servers die op 3389 reageren. Honeypot-onderzoeken laten keer op keer zien dat de eerste inlogpogingen binnen enkele minuten binnenkomen nadat een nieuwe server online is gegaan.

Zodra een bot een open poort 3389 vindt, volgen er twee dingen. Brute-force-tools bestoken het inlogscherm met miljoenen combinaties van gebruikersnamen en wachtwoorden. En omdat de poort bekend is, is die ook een makkelijk doelwit voor DDoS-verkeer (denial-of-service) dat de server kan vertragen of offline kan halen.

Helpt het wijzigen van de RDP-poort echt?

Eerlijk antwoord: door de RDP-poort te wijzigen verdwijn je van de lijsten van geautomatiseerde massascans die op 3389 zijn gericht. Dat schakelt doorgaans het overgrote deel van de brute-force-pogingen uit, en de bijbehorende logspam. Het maakt de server niet onzichtbaar: een vastberaden aanvaller die een volledige poortscan op jouw IP-adres uitvoert, kan de nieuwe poort nog steeds vinden. Zie de poortwijziging als ruisvermindering en als één beveiligingslaag, en combineer die met een sterk wachtwoord, Network Level Authentication en firewallregels. Die behandelen we aan het einde van deze handleiding.

Voordat je begint: een checklist van 2 minuten

• Je hebt beheerderstoegang tot de server via Remote Desktop nodig.
• Kies een nieuwe poort tussen 20000 en 60000 die je makkelijk kunt noteren, bijvoorbeeld 45223. Vermijd voor de hand liggende keuzes zoals 3390 of 33890, want die controleren scanners ook.
• Controleer of niets anders de poort gebruikt: voer netstat -ano | findstr :45223 uit in CMD. Geen uitvoer betekent dat de poort vrij is.
• Noteer de nieuwe poort voordat je iets wijzigt. Je hebt hem nodig voor elke toekomstige verbinding.
• Op OMC Cloud heb je een vangnet: de console op console.omc.cloud geeft je schermtoegang tot de server, ook als RDP onbereikbaar is, dus een vergissing sluit je nooit permanent buiten.

De RDP-poort wijzigen, stap voor stap

Stap 1 — Maak verbinding met de server en open de Register-editor.
Maak verbinding via Remote Desktop, klik op Start, typ regedit en druk op Enter.

Stap 2 — Ga naar de instelling voor de RDP-poort.
Ga in de Register-editor naar: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Stap 3 — Wijzig de waarde PortNumber.
Dubbelklik op PortNumber, selecteer Decimal, vervang 3389 door je nieuwe poort (bijvoorbeeld 45223) en klik op OK.

Stap 4 — Sta de nieuwe poort toe in Windows Firewall.
Open voordat je iets herstart CMD als Administrator en voer uit: netsh advfirewall firewall add rule name="RDP Custom Port" dir=in action=allow protocol=TCP localport=45223

Stap 5 — Herstart de RDP-service.
Herstart de server (Start, daarna Restart) of herstart alleen de Remote Desktop-service vanuit een CMD met beheerdersrechten: net stop termservice && net start termservice. Je huidige RDP-sessie wordt verbroken; dat is normaal.

Stap 6 — Open de poort in de OMC Cloud-firewall.
De firewall van de server is maar de helft van het pad; de nieuwe poort moet ook open zijn in de externe firewall. Log in op de OMC Cloud-console, selecteer je server, open het tabblad Firewall en voeg een regel toe: Direction IN, Interface ANY, Protocol TCP, Port je nieuwe poort, Policy ACCEPT. Verwijder of deactiveer meteen ook de oude regel voor 3389, zodat de standaardpoort volledig dicht is.

De hele wijziging in zes stappen, daarna verbinden met IP:poort.

De snelle manier: drie PowerShell-commando's

Liever geen GUI? Voer deze commando's in deze volgorde uit in een PowerShell met verhoogde rechten en vervang 45223 door je eigen poort:

• Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 45223
• New-NetFirewallRule -DisplayName "RDP Custom Port" -Direction Inbound -Protocol TCP -LocalPort 45223 -Action Allow
• Restart-Service TermService -Force

Open daarna dezelfde poort in de OMC Cloud-firewall zoals beschreven in stap 6 hierboven.

Verbinden met de nieuwe poort

Voeg voortaan de poort toe aan het adres in de Remote Desktop-client. Typ in het veld Computer het IP-adres van de server, een dubbele punt en de poort, bijvoorbeeld: 203.0.113.5:45223. Opgeslagen .rdp-bestanden en verbindingsbeheerders hebben dezelfde aanpassing nodig. Verder blijft alles aan de verbinding precies hetzelfde.

Problemen oplossen: buitengesloten of geen verbinding?

• Time-out bij verbinden. In bijna alle gevallen ontbreekt de nieuwe regel in een van de twee firewalls. Controleer of zowel de regel in Windows Firewall als de regel in de OMC Cloud-firewall je exacte poort en TCP vermelden.
• Je bent de nieuwe poort vergeten. Open de server via de OMC-console (geen RDP nodig), start PowerShell en voer uit: (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber
• Je moet terugdraaien. Zet via de console PortNumber terug op 3389 met hetzelfde commando uit het PowerShell-gedeelte, herstart TermService en activeer de firewallregels voor 3389 weer.
• Kom je er nog steeds niet uit? OMC-support is 24/7 bereikbaar per telefoon, e-mail of via een ticket in de console, en helpt je de toegang terug te krijgen.

Meer dan de poortwijziging: RDP goed beveiligen

Een eigen poort vermindert de ruis; deze maatregelen houden de aanvallen tegen die overblijven:

• Beperk op bron-IP. De sterkste afzonderlijke maatregel: sta in de OMC Cloud-firewall de RDP-poort alleen toe vanaf de IP-adressen van je kantoor of thuis. Bots kunnen geen brute-force uitvoeren op een poort die ze niet kunnen bereiken.
• Laat Network Level Authentication (NLA) aan staan. NLA vraagt om inloggegevens nog voordat er een sessie wordt aangemaakt, wat veel geautomatiseerde aanvallen en bekende RDP-exploits blokkeert.
• Gebruik een lang, uniek wachtwoord voor elk account met RDP-rechten, en hernoem of deactiveer waar mogelijk het standaard Administrator-account.
• Stel een accountvergrendelingsbeleid in (bijvoorbeeld: na 10 mislukte pogingen wordt het account 15 minuten vergrendeld), zodat brute-force-pogingen tegen een muur lopen.
• Overweeg een VPN. Door RDP achter een VPN of privénetwerk te plaatsen, haal je het volledig van het openbare internet; combineer dit met het privé-LAN van OMC tussen je servers.
• Houd de logs in de gaten. Windows Logboeken, Security-log, gebeurtenis-ID 4625 toont mislukte aanmeldingen. Na het verlaten van 3389 is het verschil meestal enorm.

Veelgestelde vragen

Houdt het wijzigen van de RDP-poort brute-force-aanvallen tegen?
Het houdt de geautomatiseerde massascans tegen die op poort 3389 zijn gericht, en dat is het overgrote deel van de pogingen. Een gerichte aanvaller kan de nieuwe poort nog steeds vinden met een volledige poortscan, dus combineer de wijziging met een sterk wachtwoord, NLA en firewallregels.

Welke poort moet ik voor RDP gebruiken?
Elke vrije poort tussen 20000 en 60000 werkt goed. Vermijd voorspelbare varianten zoals 3390, 33890 of 13389, want die proberen scanners ook.

Hoe controleer ik welke poort RDP momenteel gebruikt?
Voer (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber uit in PowerShell. De waarde die wordt teruggegeven, is de actieve RDP-poort.

Moet ik de server herstarten na het wijzigen van de RDP-poort?
Een volledige herstart is niet nodig. Door de Remote Desktop-service te herstarten met net stop termservice && net start termservice wordt de wijziging direct toegepast.

Ik heb de RDP-poort gewijzigd en kan nu geen verbinding maken. Wat moet ik doen?
Controleer of de nieuwe poort is toegestaan in zowel Windows Firewall als de OMC Cloud-firewall, en of je IP:poort hebt ingevuld in de RDP-client. Ben je nog steeds buitengesloten, open de server dan via de OMC-console, die zonder RDP werkt, en herstel de instelling of draai die terug.

Is het wijzigen van de RDP-poort genoeg om een server te beveiligen?
Nee. Het is een effectieve laag voor ruisvermindering, geen volledige bescherming. Combineer het met firewallregels op bron-IP, NLA, sterke wachtwoorden en een accountvergrendelingsbeleid voor echte beveiliging.

Beschermt het wijzigen van de poort tegen DDoS?
Het helpt tegen opportunistische floods die op bekende poorten zijn gericht, maar een gerichte DDoS-aanval op je IP-adres wordt er niet door beïnvloed. DDoS-bestendigheid komt van de netwerklaag, die de datacenters van OMC upstream afhandelen.

Hoe maak ik verbinding met RDP op een eigen poort?
Typ in de Remote Desktop-client het adres als IP:poort, bijvoorbeeld 203.0.113.5:45223, en maak zoals gewoonlijk verbinding.

Conclusie

Elke Windows-server van OMC Cloud wordt geleverd met een externe firewall per server, schermtoegang via de console die ook werkt als RDP dat niet doet, dagelijkse back-upopties en een menselijk supportteam dat 24/7 klaarstaat. Start binnen enkele seconden een Windows-VPS en pas deze handleiding vanaf de eerste minuut toe.