Puerto RDP 3389: cambiarlo, filtrarlo y proteger un VPS Windows

El puerto RDP por defecto es el 3389, tanto en TCP como en UDP. Para cambiarlo sin quedarte fuera del servidor, abre primero el puerto nuevo en el firewall, modifica el registro, reinicia el servicio y prueba la conexión. Solo entonces cierra el 3389. Con este cambio se reduce el ruido de los escaneos, pero no basta para proteger la máquina.

Si todavía no has elegido servidor, echa un vistazo a lo que valen realmente las ofertas de VPS baratos antes de exponerlo a Internet.

En pocas palabras

• RDP escucha en el puerto 3389, por TCP (obligatorio) y por UDP (opcional, más fluido).
• El orden seguro: regla de firewall, clave de registro, reinicio del servicio, prueba y cierre del 3389.
• La medida más eficaz es filtrar por dirección IP o usar una VPN, no cambiar el puerto.
• NLA, bloqueo de cuenta, una contraseña larga y la vigilancia del evento 4625 frenan la fuerza bruta.
• El Anti-DDoS del proveedor protege la red, no la autenticación RDP.

¿Cuál es el puerto RDP por defecto?

RDP escucha en el puerto 3389, tanto en TCP como en UDP. Microsoft lista ambos protocolos para el servicio TermService (Servicios de Escritorio remoto). El transporte UDP existe desde RDP 8.0, introducido con Windows 8 y Windows Server 2012.

Protocolo	Puerto	Función
TCP	3389	Conexión y autenticación, obligatorio
UDP	3389	Transporte opcional, más fluido si hay latencia

El 3389 es el objetivo favorito de los escaneos automatizados. Un VPS Windows recién entregado recibe intentos de conexión enseguida, así que conviene blindarlo desde el primer minuto.

Cambiar el puerto RDP en Windows Server sin perder el acceso

Aviso. Ten a mano una consola de rescate antes de tocar el puerto. Comprueba en tu área de cliente si tu VPS dispone de una consola de tipo VNC o KVM. Si no, avisa al equipo por Discord antes de empezar. Si prefieres no asumir ese riesgo, la comparativa servidor con panel o VPS te ayuda a decidir.

Elegir un puerto nuevo

Evita los puertos por debajo del 1024, reservados a servicios conocidos, y los que ya usan tus juegos: el 30120 de FiveM, por ejemplo. Quédate también por debajo del 49152, porque el rango 49152-65535 corresponde a los puertos dinámicos de Windows. Aquí usaremos el 33890.

Get-NetTCPConnection -LocalPort 33890 -ErrorAction SilentlyContinue
netstat -ano | findstr :33890
netsh int ipv4 show dynamicport tcp

Si los dos primeros comandos no devuelven nada, el puerto está libre. El tercero muestra el rango dinámico.

Paso 1: abrir el puerto nuevo en el firewall

Este paso va antes que el registro. Si cambiaras primero el puerto, el firewall bloquearía la conexión nueva y te quedarías fuera.

New-NetFirewallRule -DisplayName "RDP propio TCP 33890" -Direction Inbound -Protocol TCP -LocalPort 33890 -Action Allow
New-NetFirewallRule -DisplayName "RDP propio UDP 33890" -Direction Inbound -Protocol UDP -LocalPort 33890 -Action Allow

Paso 2: modificar la clave de registro PortNumber

La documentación de Microsoft sitúa el puerto en HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, valor DWORD PortNumber. Con regedit, marca la base decimal; si no, tu valor se interpretará como hexadecimal. En PowerShell no existe esa trampa:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 33890
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber

Paso 3: reiniciar el servicio y probar

Restart-Service TermService -Force

Tu sesión RDP se cortará: es normal. Si el servicio no arranca de nuevo, Restart-Computer hace el mismo trabajo. Desde tu equipo, prueba el puerto y conéctate con la sintaxis IP:puerto.

Test-NetConnection 203.0.113.10 -Port 33890
mstsc /v:203.0.113.10:33890

En cuanto veas TcpTestSucceeded : True y se abra una sesión, ya puedes cerrar el 3389. Las reglas integradas de «Escritorio remoto» siguen apuntando al puerto antiguo. Estos comandos las localizan por número de puerto, sea cual sea el idioma de Windows:

Get-NetFirewallPortFilter -Protocol TCP | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Disable-NetFirewallRule
Get-NetFirewallPortFilter -Protocol UDP | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Disable-NetFirewallRule

Limitar el acceso RDP a determinadas direcciones IP

Es la medida más eficaz: un robot que no llega al puerto no puede intentar nada. En el Firewall de Windows Defender con seguridad avanzada, abre la regla, pestaña Ámbito, sección Direcciones IP remotas. En PowerShell:

Set-NetFirewallRule -DisplayName "RDP propio TCP 33890" -RemoteAddress "203.0.113.25","198.51.100.0/24"
Set-NetFirewallRule -DisplayName "RDP propio UDP 33890" -RemoteAddress "203.0.113.25","198.51.100.0/24"

Comprueba tu IP pública antes de aplicar la regla. Después, mantén tu sesión abierta y prueba desde una segunda ventana.

La trampa clásica es la IP dinámica de casa. Tienes tres salidas: autorizar el rango de tu operador, que es más amplio pero menos preciso; montar una VPN personal tipo WireGuard en el VPS y permitir solo su subred; o pasar por una pasarela RD Gateway en el puerto 443, más pesada de instalar (rol de Windows y certificado).

Bloquear los ataques de fuerza bruta contra RDP

Estas son las medidas que cuentan después del filtrado por IP, ordenadas por impacto.

1. NLA activada. La autenticación se hace antes de abrir la sesión, lo que ahorra recursos al servidor frente a los robots. Comprobación: (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp").UserAuthentication debe devolver 1.
2. Bloqueo de cuenta. En secpol.msc, dentro de Directivas de cuenta y luego Directiva de bloqueo de cuenta, ajusta umbral, duración y restablecimiento. El umbral por defecto depende de la versión de Windows (en Windows Server suele ser 0, es decir, sin bloqueo): ejecuta net accounts para ver cómo estás y fíjalo después. Ejemplo: net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15. Limitación: un atacante puede bloquear tu cuenta a propósito, de ahí el interés del filtrado por IP.
3. Contraseña larga y única, con la cuenta de administrador renombrada o desactivada en favor de otra cuenta admin. Este comando la localiza por su SID, así que funciona también en Windows en español, donde la cuenta se llama «Administrador»: Get-LocalUser | Where-Object SID -like "*-500" | Rename-LocalUser -NewName "tu_nombre".
4. Vigilancia del registro de Seguridad. El ID 4625 indica un inicio de sesión fallido y el 4624 uno correcto. Para contar los fallos por IP en 24 horas:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue |
  ForEach-Object { $_.Properties[19].Value } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

1. Baneo automático. Una tarea programada lanzada por el ID 4625 puede añadir las IP abusivas a una regla de bloqueo, y hay herramientas de código abierto que hacen lo mismo. Excluye tu propia IP, o acabarás baneándote a ti mismo.
2. Windows Update al día. BlueKeep (CVE-2019-0708) afectó a Windows 7 y a Windows Server 2008/2008 R2: un fallo de RDP explotable sin credenciales. Las versiones recientes no están afectadas, pero la lección sigue vigente.

Cambiar el puerto reduce los intentos automatizados. No sustituye a ninguna de estas medidas.

¿Hay que abrir el puerto RDP también en UDP?

El TCP es imprescindible. El UDP es opcional pero recomendable: mejora la fluidez cuando suben la latencia o la pérdida de paquetes. Sin él, el cliente recurre solo al TCP y la sesión responde algo peor.

El cambio de PortNumber también se aplica al escuchador UDP, como constata este administrador: el puerto UDP sigue al TCP. Compruébalo en tu servidor:

Get-NetUDPEndpoint -LocalPort 33890

Para imponer o prohibir el UDP, la directiva de grupo se llama «Seleccionar los protocolos de transporte RDP». La encontrarás en Configuración del equipo, Plantillas administrativas, Componentes de Windows, Servicios de Escritorio remoto, Host de sesión de Escritorio remoto, Conexiones. En el cliente, haz clic en el indicador de señal de la parte superior de la ventana de mstsc: te dice si la sesión va por UDP.

¿No necesitas Windows? Un VPS Linux se gestiona por SSH y te ahorra toda esta superficie de RDP.

Anti-DDoS y seguridad RDP: quién protege qué

El Anti-DDoS del proveedor absorbe los ataques volumétricos antes de que lleguen a tu máquina, a nivel de red: 2 Tbit/s incluidos en los VPS de Fly-Serv. En cambio, no frena a un robot que prueba una contraseña cada diez segundos, porque ese tráfico parece una conexión normal. Las dos capas se complementan: el Anti-DDoS mantiene la máquina accesible y tu configuración de Windows mantiene la puerta cerrada.

Lista de comprobación final:

• Puerto nuevo abierto, 3389 cerrado y prueba superada.
• Acceso limitado por IP, VPN o RD Gateway.
• NLA activada.
• Bloqueo de cuenta configurado.
• Contraseña larga y cuenta de administrador renombrada.
• Evento 4625 vigilado y Windows actualizado.

Desplegar un VPS Windows con el RDP blindado desde el primer día

Haz el procedimiento en una máquina nueva, antes de instalar tus juegos. Partes de una configuración limpia y con una consola de rescate a mano por si un paso sale mal. En cuanto al hardware, tu VPS Windows se entrega en menos de 60 segundos. La gama Premium usa Ryzen 9 7950X3D, DDR5 y NVMe, sin permanencia y con un equipo francófono al que puedes escribir por Discord. Los descuentos llegan al 20 % con 12 meses de contrato y se detallan en la página de precios de Fly-Serv.

Preguntas frecuentes

¿Cuál es el puerto RDP por defecto?

El puerto por defecto es el 3389, en TCP y en UDP. El TCP se encarga de la conexión y la autenticación. El UDP es un transporte opcional que hace la sesión más fluida.

¿Cómo cambiar el puerto RDP en Windows Server 2022?

Abre el puerto nuevo en el firewall con New-NetFirewallRule. Después modifica PortNumber (en decimal) en HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Reinicia TermService, prueba con Test-NetConnection y cierra el 3389.

¿Cómo conectarse por RDP a un puerto distinto del 3389?

En mstsc, escribe la dirección seguida de dos puntos y el puerto, por ejemplo 203.0.113.10:33890. Desde la línea de comandos: mstsc /v:203.0.113.10:33890. El firewall del servidor debe permitir ese puerto.

¿Basta con cambiar el puerto RDP para proteger mi servidor?

No. Un escaneo completo acaba encontrando el puerto nuevo. El cambio reduce el ruido de los intentos automatizados, pero la protección real viene del filtrado por IP o la VPN, la NLA, el bloqueo de cuenta y las contraseñas robustas.

¿Hay que abrir el puerto 3389 en UDP?

No es obligatorio. Sin UDP, RDP funciona solo con TCP, con algo más de latencia percibida. Si lo abres, restríngelo a las mismas direcciones IP que el TCP. Si no lo usas, desactívalo con la directiva «Seleccionar los protocolos de transporte RDP» en el valor «Use only TCP» (solo TCP).

¿Qué hago si ya no puedo conectarme por RDP después de cambiar el puerto?

Abre la consola de rescate de tu área de cliente y revisa tres cosas: el valor de PortNumber (en decimal), la regla de firewall del puerto nuevo y el estado de TermService. Si hace falta, reactiva temporalmente la regla del 3389 y corrige después.