Port RDP 3389 : changer, filtrer et sécuriser un VPS Windows

Le port RDP par défaut est le 3389, en TCP et en UDP. Pour le changer sans vous couper l'accès, ouvrez d'abord le nouveau port dans le pare-feu, modifiez le registre, redémarrez le service, testez, puis seulement fermez 3389. Ce changement réduit le bruit des scans, mais il ne protège pas à lui seul.

Si vous n'avez pas encore choisi votre machine, regardez ce que valent les offres de VPS pas cher avant de l'exposer à Internet.

En bref

• RDP écoute sur le port 3389, en TCP (obligatoire) et en UDP (facultatif, plus fluide).
• L'ordre sûr : règle de pare-feu, clé de registre, redémarrage du service, test, fermeture de 3389.
• La mesure la plus efficace est le filtrage par adresse IP ou un VPN, pas le changement de port.
• NLA, verrouillage de compte, mot de passe long et surveillance de l'événement 4625 bloquent la force brute.
• L'Anti-DDoS de l'hébergeur protège le réseau, pas l'authentification RDP.

Quel est le port RDP par défaut ?

RDP écoute sur le port 3389, en TCP comme en UDP. Microsoft liste les deux protocoles pour le service TermService (Services Bureau à distance). Le transport UDP existe depuis RDP 8.0, introduit avec Windows 8 et Windows Server 2012.

Protocole	Port	Rôle
TCP	3389	Connexion et authentification, obligatoire
UDP	3389	Transport optionnel, plus fluide en cas de latence

Le 3389 est la cible favorite des scans automatisés. Un VPS Windows tout juste livré reçoit rapidement des tentatives de connexion : mieux vaut le verrouiller tout de suite.

Changer le port RDP sous Windows Server, sans se couper l'accès

Avertissement. Gardez une console de secours à portée de main avant de toucher au port. Vérifiez dans votre espace client si une console de type VNC ou KVM est disponible pour votre VPS. Sinon, prévenez l'équipe sur Discord avant de commencer. Si vous préférez ne pas gérer ce risque, le comparatif serveur avec panel ou VPS vous aide à trancher.

Choisir un nouveau port

Évitez les ports inférieurs à 1024, réservés à des services connus, et ceux déjà pris par vos jeux : 30120 pour FiveM, par exemple. Restez aussi sous 49152, car la plage 49152-65535 correspond aux ports dynamiques de Windows. Nous prenons ici 33890.

Get-NetTCPConnection -LocalPort 33890 -ErrorAction SilentlyContinue
netstat -ano | findstr :33890
netsh int ipv4 show dynamicport tcp

Si les deux premières commandes ne renvoient rien, le port est libre. La troisième affiche la plage dynamique.

Étape 1 : ouvrir le nouveau port dans le pare-feu

Cette étape passe avant le registre. Si vous changiez le port d'abord, le pare-feu bloquerait la nouvelle connexion et vous resteriez à la porte.

New-NetFirewallRule -DisplayName "RDP perso TCP 33890" -Direction Inbound -Protocol TCP -LocalPort 33890 -Action Allow
New-NetFirewallRule -DisplayName "RDP perso UDP 33890" -Direction Inbound -Protocol UDP -LocalPort 33890 -Action Allow

Étape 2 : modifier la clé de registre PortNumber

La documentation Microsoft situe le port dans HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, valeur DWORD PortNumber. Avec regedit, cochez la base décimale, sinon votre valeur sera lue en hexadécimal. En PowerShell, ce piège n'existe pas :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 33890
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber

Étape 3 : redémarrer le service et tester

Restart-Service TermService -Force

Votre session RDP va tomber : c'est normal. Si le service ne repart pas, Restart-Computer fait le même travail. Depuis votre poste, testez le port, puis connectez-vous avec la syntaxe IP:port.

Test-NetConnection 203.0.113.10 -Port 33890
mstsc /v:203.0.113.10:33890

Dès que vous voyez TcpTestSucceeded : True et qu'une session s'ouvre, vous pouvez fermer 3389. Les règles intégrées « Bureau à distance » visent encore l'ancien port. Les commandes ci-dessous les retrouvent par numéro de port, quelle que soit la langue de Windows :

Get-NetFirewallPortFilter -Protocol TCP | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Disable-NetFirewallRule
Get-NetFirewallPortFilter -Protocol UDP | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Disable-NetFirewallRule

Limiter l'accès RDP à certaines adresses IP

C'est la mesure la plus efficace : un robot qui n'atteint pas le port ne peut rien tenter. Dans le pare-feu Windows Defender avec fonctions avancées de sécurité, ouvrez la règle, onglet Étendue, section Adresses IP distantes. En PowerShell :

Set-NetFirewallRule -DisplayName "RDP perso TCP 33890" -RemoteAddress "203.0.113.25","198.51.100.0/24"
Set-NetFirewallRule -DisplayName "RDP perso UDP 33890" -RemoteAddress "203.0.113.25","198.51.100.0/24"

Vérifiez votre IP publique avant d'appliquer la règle. Gardez ensuite votre session ouverte et testez depuis une seconde fenêtre.

Le piège classique, c'est l'IP domestique dynamique. Trois solutions s'offrent à vous : autoriser la plage de votre FAI, plus large mais moins précise ; monter un VPN personnel de type WireGuard sur le VPS et n'autoriser que son sous-réseau ; ou passer par une passerelle RD Gateway sur le port 443, plus lourde à installer (rôle Windows, certificat).

Bloquer les attaques par force brute sur RDP

Voici les mesures qui comptent après le filtrage IP, classées par impact.

1. NLA activée. L'authentification a lieu avant l'ouverture de session, ce qui épargne les ressources du serveur face aux robots. Contrôle : (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp").UserAuthentication doit renvoyer 1.
2. Verrouillage de compte. Dans secpol.msc, sous Stratégies de comptes puis Stratégie de verrouillage du compte, réglez seuil, durée et réinitialisation. Le seuil par défaut dépend de la version de Windows (sur Windows Server, il est généralement de 0, soit aucun verrouillage) : lancez net accounts pour voir où vous en êtes, puis fixez-le. Exemple : net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15. Limite : un attaquant peut verrouiller votre compte exprès, d'où l'intérêt du filtrage IP.
3. Mot de passe long et unique, avec un compte Administrateur renommé (Rename-LocalUser -Name "Administrator" -NewName "votre_nom") ou désactivé au profit d'un autre compte admin.
4. Surveillance du journal Sécurité. L'ID 4625 signale un échec d'ouverture de session, le 4624 un succès. Pour compter les échecs par IP sur 24 heures :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue |
  ForEach-Object { $_.Properties[19].Value } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

1. Bannissement automatique. Une tâche planifiée déclenchée par l'ID 4625 peut ajouter les IP abusives à une règle de blocage, et des outils open source font la même chose. Excluez votre propre IP, sinon vous vous bannissez vous-même.
2. Windows Update à jour. BlueKeep (CVE-2019-0708) a touché Windows 7 et Windows Server 2008/2008 R2 : une faille RDP exploitable sans identifiants. Les versions récentes ne sont pas concernées, mais la leçon vaut toujours.

Changer le port diminue les tentatives automatisées. Il ne remplace aucune de ces mesures.

Faut-il ouvrir le port RDP en UDP en plus du TCP ?

Le TCP est indispensable. L'UDP est facultatif mais recommandé : il améliore la fluidité quand la latence ou la perte de paquets grimpent. Sans lui, le client retombe sur le TCP seul, avec une session un peu moins réactive.

Le changement de PortNumber s'applique aussi à l'écouteur UDP, comme le constate cet administrateur : le port UDP suit le port TCP. Contrôlez-le chez vous :

Get-NetUDPEndpoint -LocalPort 33890

Pour imposer ou interdire l'UDP, la stratégie de groupe s'appelle « Sélectionner les protocoles de transport RDP ». Vous la trouverez sous Configuration ordinateur, Modèles d'administration, Composants Windows, Services Bureau à distance, Hôte de session Bureau à distance, Connexions. Côté client, cliquez sur l'indicateur de signal en haut de la fenêtre mstsc : il vous dit si la session passe en UDP.

Vous n'avez pas besoin de Windows ? Un VPS Linux se gère en SSH et vous évite toute cette surface RDP.

Anti-DDoS et sécurité RDP : qui protège quoi ?

L'Anti-DDoS de l'hébergeur absorbe les attaques volumétriques en amont, au niveau du réseau : 2 Tbit/s inclus sur les VPS Fly-Serv. En revanche, il ne bloque pas un robot qui teste un mot de passe toutes les dix secondes, parce que ce trafic ressemble à une connexion normale. Les deux couches se complètent : l'Anti-DDoS garde la machine joignable, votre configuration Windows garde la porte fermée.

Checklist récapitulative :

• Nouveau port ouvert, ancien 3389 fermé, test réussi.
• Accès limité par IP, VPN ou RD Gateway.
• NLA activée.
• Verrouillage de compte configuré.
• Mot de passe long, compte Administrateur renommé.
• Événement 4625 surveillé, Windows à jour.

Déployer un VPS Windows avec un RDP verrouillé dès le départ

Faites la procédure sur une machine neuve, avant d'y installer vos jeux. Vous partez d'une configuration propre, avec une console de secours sous la main si une étape tourne mal. Côté matériel, votre VPS Windows est livré en moins de 60 secondes. La gamme Premium repose sur du Ryzen 9 7950X3D, de la DDR5 et du NVMe, sans engagement, avec un support francophone sur Discord. Les remises montent jusqu'à -20 % sur 12 mois, détaillées sur la page des tarifs des VPS Fly-Serv.

Questions fréquentes

Quel est le port RDP par défaut ?

Le port par défaut est le 3389, en TCP et en UDP. Le TCP assure la connexion et l'authentification. L'UDP est un transport optionnel qui fluidifie la session.

Comment changer le port RDP sous Windows Server 2022 ?

Ouvrez le nouveau port dans le pare-feu avec New-NetFirewallRule. Modifiez ensuite PortNumber (en décimal) sous HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Redémarrez TermService, testez avec Test-NetConnection, puis fermez 3389.

Comment se connecter en RDP sur un autre port que 3389 ?

Dans mstsc, saisissez l'adresse suivie de deux-points et du port, par exemple 203.0.113.10:33890. En ligne de commande : mstsc /v:203.0.113.10:33890. Le pare-feu doit autoriser ce port côté serveur.

Changer le port RDP suffit-il à sécuriser mon serveur ?

Non. Un scan complet finit par retrouver le nouveau port. Le changement réduit le bruit des tentatives automatisées, mais la protection vient du filtrage IP ou du VPN, de la NLA, du verrouillage de compte et de mots de passe solides.

Faut-il ouvrir le port 3389 en UDP ?

Pas obligatoirement. Sans UDP, RDP fonctionne en TCP seul, avec un peu plus de latence ressentie. Si vous l'ouvrez, restreignez-le aux mêmes adresses IP que le TCP. Si vous ne l'utilisez pas, désactivez-le avec la stratégie « Sélectionner les protocoles de transport RDP ».

Que faire si je n'arrive plus à me connecter en RDP après avoir changé le port ?

Ouvrez la console de secours de votre espace client, puis vérifiez trois points : la valeur de PortNumber (en décimal), la règle de pare-feu sur le nouveau port et l'état de TermService. Au besoin, réactivez temporairement la règle du 3389, puis corrigez.