Porta RDP 3389: como mudar, filtrar e proteger uma VPS Windows

A porta RDP padrão é a 3389, em TCP e em UDP. Para trocá-la sem perder o acesso, abra primeiro a nova porta no firewall, altere o registro, reinicie o serviço, teste e só então feche a 3389. A troca reduz o ruído dos scans, mas sozinha não protege nada.

Se você ainda não escolheu a máquina, veja o que entregam as ofertas de VPS barato antes de expô-la à internet.

Em resumo

• O RDP escuta na porta 3389, em TCP (obrigatório) e em UDP (opcional, mais fluido).
• A ordem segura: regra de firewall, chave de registro, reinício do serviço, teste, fechamento da 3389.
• A medida mais eficaz é filtrar por endereço IP ou usar uma VPN, não trocar a porta.
• NLA, bloqueio de conta, senha longa e monitoramento do evento 4625 barram a força bruta.
• O Anti-DDoS da hospedagem protege a rede, não a autenticação do RDP.

Qual é a porta RDP padrão?

O RDP escuta na porta 3389, tanto em TCP quanto em UDP. A Microsoft lista os dois protocolos para o serviço TermService (Serviços de Área de Trabalho Remota). O transporte UDP existe desde o RDP 8.0, introduzido com o Windows 8 e o Windows Server 2012.

Protocolo	Porta	Função
TCP	3389	Conexão e autenticação, obrigatório
UDP	3389	Transporte opcional, mais fluido quando a latência é alta

A 3389 é o alvo favorito dos scans automatizados. Uma VPS Windows recém-entregue recebe tentativas de login logo nos primeiros minutos, então o ideal é blindá-la de imediato.

Como mudar a porta RDP no Windows Server sem perder o acesso

Aviso. Deixe um console de emergência à mão antes de mexer na porta. Verifique na sua área do cliente se há um console do tipo VNC ou KVM disponível para a sua VPS. Se não houver, avise a equipe pelo Discord antes de começar. Se prefere não assumir esse risco, a comparação entre servidor com painel ou VPS ajuda a decidir.

Escolha uma nova porta

Evite as portas abaixo de 1024, reservadas a serviços conhecidos, e as que já são usadas pelos seus jogos: 30120 no FiveM, por exemplo. Fique também abaixo de 49152, porque a faixa 49152-65535 corresponde às portas dinâmicas do Windows. Aqui, usaremos a 33890.

Get-NetTCPConnection -LocalPort 33890 -ErrorAction SilentlyContinue
netstat -ano | findstr :33890
netsh int ipv4 show dynamicport tcp

Se os dois primeiros comandos não retornarem nada, a porta está livre. O terceiro mostra a faixa dinâmica.

Etapa 1: abrir a nova porta no firewall

Esta etapa vem antes do registro. Se você trocasse a porta primeiro, o firewall bloquearia a nova conexão e você ficaria do lado de fora.

New-NetFirewallRule -DisplayName "RDP perso TCP 33890" -Direction Inbound -Protocol TCP -LocalPort 33890 -Action Allow
New-NetFirewallRule -DisplayName "RDP perso UDP 33890" -Direction Inbound -Protocol UDP -LocalPort 33890 -Action Allow

Etapa 2: alterar a chave de registro PortNumber

A documentação da Microsoft situa a porta em HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, no valor DWORD PortNumber. No regedit, marque a base decimal, senão o valor será lido em hexadecimal. No PowerShell, essa armadilha não existe:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 33890
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber

Etapa 3: reiniciar o serviço e testar

Restart-Service TermService -Force

Sua sessão RDP vai cair, e isso é normal. Se o serviço não voltar, Restart-Computer resolve do mesmo jeito. A partir do seu computador, teste a porta e depois conecte-se com a sintaxe IP:porta.

Test-NetConnection 203.0.113.10 -Port 33890
mstsc /v:203.0.113.10:33890

Quando aparecer TcpTestSucceeded : True e uma sessão abrir, você pode fechar a 3389. As regras internas de "Área de Trabalho Remota" ainda apontam para a porta antiga. Os comandos abaixo as localizam pelo número da porta, seja qual for o idioma do Windows:

Get-NetFirewallPortFilter -Protocol TCP | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Disable-NetFirewallRule
Get-NetFirewallPortFilter -Protocol UDP | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Disable-NetFirewallRule

Como limitar o acesso RDP a determinados endereços IP

É a medida mais eficaz: um robô que não alcança a porta não consegue tentar nada. No Firewall do Windows Defender com Segurança Avançada, abra a regra, vá até a aba Escopo e localize a seção Endereços IP remotos. No PowerShell:

Set-NetFirewallRule -DisplayName "RDP perso TCP 33890" -RemoteAddress "203.0.113.25","198.51.100.0/24"
Set-NetFirewallRule -DisplayName "RDP perso UDP 33890" -RemoteAddress "203.0.113.25","198.51.100.0/24"

Confira o seu IP público antes de aplicar a regra. Depois, mantenha a sessão aberta e teste a partir de uma segunda janela.

A armadilha clássica é o IP residencial dinâmico, comum em planos domésticos de operadoras brasileiras. Você tem três saídas: liberar a faixa do seu provedor de internet, que é mais ampla e menos precisa; montar uma VPN pessoal do tipo WireGuard na VPS e autorizar só a sub-rede dela; ou passar por um gateway RD Gateway na porta 443, mais pesado de instalar (função do Windows e certificado).

Como bloquear ataques de força bruta no RDP

Estas são as medidas que contam depois do filtro de IP, em ordem de impacto.

1. NLA ativada. A autenticação acontece antes da abertura da sessão, o que poupa recursos do servidor diante dos robôs. Para conferir: (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp").UserAuthentication deve retornar 1.
2. Bloqueio de conta. No secpol.msc, em Políticas de Conta e depois Política de Bloqueio de Conta, ajuste limite, duração e redefinição. O limite padrão depende da versão do Windows (no Windows Server, costuma ser 0, ou seja, nenhum bloqueio): rode net accounts para ver como está e depois defina o valor. Exemplo: net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15. O limite dessa medida: um atacante pode bloquear a sua conta de propósito, e por isso o filtro de IP continua importante.
3. Senha longa e única, com a conta Administrador renomeada (Rename-LocalUser -Name "Administrator" -NewName "seu_nome") ou desativada em favor de outra conta de administrador. Em um Windows em português, o nome original da conta pode ser "Administrador", então confira com Get-LocalUser antes de renomear.
4. Monitoramento do log de Segurança. O ID 4625 indica uma falha de logon, e o 4624, um sucesso. Para contar as falhas por IP nas últimas 24 horas:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue |
  ForEach-Object { $_.Properties[19].Value } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

1. Banimento automático. Uma tarefa agendada disparada pelo ID 4625 pode adicionar os IPs abusivos a uma regra de bloqueio, e há ferramentas open source que fazem o mesmo. Exclua o seu próprio IP, senão você se bane sozinho.
2. Windows Update em dia. O BlueKeep (CVE-2019-0708) atingiu o Windows 7 e o Windows Server 2008/2008 R2: uma falha no RDP explorável sem credenciais. As versões recentes não são afetadas, mas a lição continua valendo.

Trocar a porta diminui as tentativas automatizadas. Não substitui nenhuma dessas medidas.

Vale abrir a porta RDP também em UDP, além do TCP?

O TCP é indispensável. O UDP é opcional, mas recomendado: melhora a fluidez quando a latência ou a perda de pacotes aumentam. Sem ele, o cliente volta para o TCP puro, com uma sessão um pouco menos responsiva.

A alteração de PortNumber vale também para o listener UDP, como constata este administrador: a porta UDP acompanha a porta TCP. Confira na sua máquina:

Get-NetUDPEndpoint -LocalPort 33890

Para impor ou proibir o UDP, a política de grupo se chama "Selecionar protocolos de transporte RDP". Você a encontra em Configuração do Computador, Modelos Administrativos, Componentes do Windows, Serviços de Área de Trabalho Remota, Host da Sessão da Área de Trabalho Remota, Conexões. No cliente, clique no indicador de sinal no topo da janela do mstsc: ele mostra se a sessão está rodando em UDP.

Não precisa de Windows? Uma VPS Linux é gerenciada por SSH e dispensa toda essa superfície de RDP.

Anti-DDoS e segurança do RDP: quem protege o quê?

O Anti-DDoS da hospedagem absorve os ataques volumétricos a montante, no nível da rede: 2 Tbit/s incluídos nas VPS da Fly-Serv. Em compensação, ele não barra um robô que testa uma senha a cada dez segundos, porque esse tráfego se parece com uma conexão normal. As duas camadas se complementam: o Anti-DDoS mantém a máquina acessível, e a sua configuração do Windows mantém a porta fechada.

Checklist de revisão:

• Nova porta aberta, antiga 3389 fechada, teste bem-sucedido.
• Acesso limitado por IP, VPN ou RD Gateway.
• NLA ativada.
• Bloqueio de conta configurado.
• Senha longa, conta Administrador renomeada.
• Evento 4625 monitorado, Windows atualizado.

Implantar uma VPS Windows com o RDP protegido desde o início

Faça o procedimento em uma máquina nova, antes de instalar os seus jogos. Você parte de uma configuração limpa, com um console de emergência à mão caso alguma etapa dê errado. Quanto ao hardware, a sua VPS Windows é entregue em menos de 60 segundos. A linha Premium roda em Ryzen 9 7950X3D, DDR5 e NVMe, sem fidelidade, com suporte pelo Discord. Os descontos chegam a 20% em 12 meses, detalhados na página de preços da Fly-Serv.

Questões frequentes

Qual é a porta RDP padrão?

A porta padrão é a 3389, em TCP e em UDP. O TCP cuida da conexão e da autenticação. O UDP é um transporte opcional que deixa a sessão mais fluida.

Como mudar a porta RDP no Windows Server 2022?

Abra a nova porta no firewall com New-NetFirewallRule. Depois, altere PortNumber (em decimal) em HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Reinicie o TermService, teste com Test-NetConnection e então feche a 3389.

Como me conectar por RDP em uma porta diferente da 3389?

No mstsc, digite o endereço seguido de dois-pontos e da porta, por exemplo 203.0.113.10:33890. Na linha de comando: mstsc /v:203.0.113.10:33890. O firewall precisa autorizar essa porta no servidor.

Mudar a porta RDP basta para proteger meu servidor?

Não. Um scan completo acaba encontrando a nova porta. A troca reduz o ruído das tentativas automatizadas, mas a proteção vem do filtro de IP ou da VPN, da NLA, do bloqueio de conta e de senhas fortes.

Preciso abrir a porta 3389 em UDP?

Não necessariamente. Sem UDP, o RDP funciona só em TCP, com um pouco mais de latência percebida. Se você abrir, restrinja o UDP aos mesmos endereços IP do TCP. Se não for usá-lo, desative-o com a política "Selecionar protocolos de transporte RDP".

O que fazer se eu não conseguir mais me conectar por RDP depois de trocar a porta?

Abra o console de emergência na sua área do cliente e verifique três pontos: o valor de PortNumber (em decimal), a regra de firewall na nova porta e o estado do TermService. Se for preciso, reative temporariamente a regra da 3389 e depois corrija.