Подключение к удаленному рабочему столу какой порт. Порт RDP: изменение значения по умолчанию и основные этапы настройки

01. Firewall Ну, тут все понятно. Главное правило - «запретить все». В Windows 2008 R2 встроен довольно неплохой брандмауэр, можно начать с него. Оставьте открытыми порты 80 и 443 (и, возможно, 3389 для RDP) - и все.

02. Настройка GPO. Идем в «Start - Run - secpol.msc - Security Settings - Account Policies - Account Lockout Policy». И ставим, например, «5 попыток» и «5 минут» - это заблокирует пользователя на 5 минут после 5 неудачных авторизаций.

Идем в «Start - Run -gpupdate.msc - Конфигурация ПК - Конфигурация Windows - Параметры безопасности - Локальные политики - Параметры безопасности: Параметры локальной безопасности» галку на использовать только RC4_HMAC_MD5.

03. Установите менеджер паролей . Куча моих знакомых (реально - куча) пользуются схемой «один сложный пароль - для всего». Даже знакомые программеры, админы, дизайнеры… Неглупые, в общем, люди. Одумайтесь. Даже для сервисных учетных записей (типа пользователи БД и тд) используйте только сложные сгенеренные пароли. И держите их в пасс-менеджере. Лично я пользую «LastPass» - он бесплатный, классный и доступен в виде экстеншена для Chrome.

04. Сменить порт для RDP Порт терминального сервиса (тот самый «Удаленный рабочий стол») меняется в реестре вот тут: «HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp\PortNumber» (не забудьте открыть этот порт на файрволле и перезапустить RDP-сервис).

Выбираем правило на основе порта.

Указываем номер заданного нами порта (в примере TCP 50000).

Затем указываем действие для нашего правила - разрешить подключение (Allow the connection). Здесь же при необходимости для нашего подключения можно включить шифрование.

В зависимости от того, где находится сервер - в рабочей группе, в домене или в публичном доступе указываем сетевой профиль, для которого действует правило.

Обзываем созданное правило так, чтобы его легко было опознать и жмем кнопку «Finish».

Распространённая задача: настроить удалённый доступ к компьютеру, который подключён к Интернету через роутер.

Решение: сделать перенаправление порта на роутере. Перенаправление порта ещё называют публикацией порта или пробросом порта . В английской терминологии используются термины Port Forwarding и Port Publishing .

Что такое проброс порта

Перенаправление порта — это сопоставление определённого внешнего порта шлюза (роутера, модема) с нужным портом целевого устройства в локальной сети (сервера, рабочей станции, сетевого хранилища, камеры, регистратора и т.п.)

А вот какой порт пробрасывать, зависит от того, каким способом вы хотите получать доступ к компьютеру.

Как настроить удалённый доступ через RDP (удалённый рабочий стол, терминал)

Подключения по протоколу RDP осуществляются на порт целевого 3389 компьютера. Что нужно сделать:

Шаг 1 Разрешить входящие RDP подключения на компьютере

Внимание! Осуществлять ВХОДЯЩИЕ подключение через Удалённый рабочий стол возможно к следующим редакциям ОС Windows:
Windows XP Professional;
Windows 7/8.1 Professional;
Windows 7/8.1 Ultimate;
Windows 7/8.1 Corporate.

В Windows XP Starter, Home Edition, в Windows Vista/7/8/8.1 Starter, Home Basic, Home Premium возможность входящих подключений отсутствует.

Для этого открываем Свойства системы (WIN+Break), нажимаем на ссылку Дополнительные параметры системы:

Переходим на вкладку Удалённый доступ , ставим переключатель в положение Разрешать подключения к этому компьютеру , снимаем галку Разрешать подключения только с компьютеров, на которых работает удалённый рабочий стол с проверкой подлинности на уровне сети (рекомендуется) и нажимаем ОК для применения настройки:

Шаг 2 Создать на компьютере учётную запись, под которой будет подключаться пользователь удалённого рабочего стола.

Требование №1. Эта учётная запись обязательно должна иметь пароль . Согласно настроек по умолчанию локальной политики безопасности, учётным записям без пароля подключение по RDP запрещено. Разрешать удалённый доступ незапароленным учётным записям в политиках безопасности не рекомендуется. Это создаст угрозу несанкционированного доступа со стороны злоумышленников.

Требование №2. Если пользователь НЕ является администратором на локальном компьютере, его необходимо добавить в группу . Это можно сделать двумя способами.

Как разрешить пользователю без административных привилегий подключаться к удалённому рабочему столу

Способ первый.

Нажмите правой кнопкой по системному ярлыку Этот компьютер и выберите Управление :

В окне Управление компьютером выберите Локальные пользователи и группы => Пользователи :

В списке найдите нужного пользователя и двойным щелчком вызовите его свойства:

Перейдите на вкладку Членство в группах и нажмите кнопку Добавить :

Нажмите кнопку Дополнительно :

Затем, кнопку Поиск :

Выделите в списке группу Пользователи удалённого рабочего стола и нажмите OK :

В окнах Выбор группы и Свойства: <пользователь> нажмите OK:

Способ второй.

Вызовите свойства системы (Win+Break) , нажмите Дополнительные параметры:

Зайдите на вкладку Удалённый доступ и нажимаем кнопку Выбрать пользователей :

Нажмите кнопку Добавить :

Нажмите Дополнительно :

и Поиск :

В списке выберите учётную запись пользователя, которому хотите предоставить права для удалённого доступа, и нажмите OK :

Теперь нажмите OK в двух следующих окнах:

Шаг 3 Создать на роутере правило проброса, согласно которому при запросе на заданный порт подключение будет перенаправляться на порт 3389 нужного компьютера.

В роутерах D-Link нужный раздел может называться Virtual Server , как в D-Link DIR-615:

Также, он может называться Port Forwarding , как, например, в DIR-300:

Суть одна и та же:

1. Даём произвольное имя правилу;
2. Открываем НЕстандартный порт на роутере, который не занят (поле Public Port );
3. Указываем IP-адрес целевого компьютера в сети, куда должен попадать удалённый пользователь (поле IP-Address );
4. Указываем номер порта, через который работает приложение или служба на компьютере. В нашем случае, для службы сервера удалённых рабочий столов это порт 3389 (поле Private Port ).

Если ваш провайдер выдаёт вашему роутеру динамический адрес, вам удобно воспользоваться службой Dynamic DNS. У компании D-Link есть свой сервис, где можно бесплатно зарегистрировать Интернет-адрес (т.е. домен) и настроить доступ к вашему роутеру и локальной сети через него.

Для настройки Dynamic DNS зайдите в раздел MAINTENANCE , выберите подраздел DDNS Settings и нажмите на ссылку Sign up … для перехода на сайт и регистрации домена. Затем настройте синхронизацию домена с IP-адресом роутера в области DYNAMIC DNS SETTINGS и сохраните настройки кнопкой Save Settings :

После этого можно будет подключаться не по IP-адресу, а по адресу вида vash-adres.dlinkddns.com:port

Проверка подключения к компьютеру через удалённый рабочий стол

Запустите клиент сервера удалённых рабочих столов:

В поле Компьютер введите адрес и порт через двоеточие. В поле Пользователь введите имя пользователя и нажмите кнопку Подключить :

Это удалённое подключение может нанести вред локальному или удалённому компьютеру. Перед подключением убедитесь, что удалённый компьютер надёжен.

Установите галку и нажмите кнопку Подключить :

Теперь введите пароль пользователя, установите галку Запомнить учётные данные , если не хотите вводить пароль каждый раз, и нажмите OK :

После этого может появиться сообщение:

Не удаётся проверить подлинность удалённого компьютера. Вы хотите установить подключение в любом случае?

Здесь можно установить галку Больше не выводить запрос о подключениях к этому компьютеру и нажать Да :

Изменение прослушиваемого порта для RDP в реестре операционной системы Microsoft Windows 10

• Запустить редактор реестра от имени администратора
  • в окне Выполнить ввести regedit
• перейти в раздел реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp

Рис.1 Изменение порта для RDP в редакторе реестра

• Выбрать параметр PortNumber
• Переключиться в десятичный формат (изначально указан порт 3389), задать порт, например, 50000

Рис.2 Изменение порта для RDP в редакторе реестра

При указании порта, следует обратить внимание на то, что есть несколько категорий портов, которые отличаются друг от друга по номерам и использованию:

• 0 - 1023 – системные известные порты (в основном задействованы операционной системой)
• 1024 - 49151 – зарегистрированные и используемые порты
• 49152 - 65535 - динамические (приватные) порты, которые могут использоваться любыми приложениями для решения различных задач.
• Закрыть редактор реестра.

Изменения вступят в силу после перезагрузки.

Открытие прослушиваемого порта для RDP в брандмауэре Windows

Первый способ (через графический интерфейс)

• Открыть Брандмауэр Защитника Windows . Для того, чтобы открыть окно брандмауэра можно воспользоваться одним из следующих вариантов:
  • Открыть Параметры > Обновление и безопасность > Защитник Windows > открыть Центр безопасности Защитника Windows > Брандмауэр и безопасность сети
  • Открыть Панель управления (категория Мелкие значки) > Брандмауэр Защитника Windows
  • Открыть > Центр управления сетями и общим доступом > Брандмауэр Windows
  • В окне Выполнить ввести команду firewall.cpl
  • В окне поиска ввести: Брандмауэр Windows
• Выбрать Дополнительные параметры

Рис.3 Запуск дополнительных параметров в брандмауэре Защитника Windows

Рис.4 Запуск дополнительных параметров в брандмауэре Защитника Windows

• В разделе правил выбрать Правила для входящий подключений
• В меню Действия выбрать Создать правило

Рис.5 Монитор брандмауэра Защитника Windows в режиме повышенной безопасности

• В открывшемся мастере создания правила для нового входящего подключения установить радиокнопку Для порта

Рис.6 Создание правила для входящий подключений

• В следующем диалоговом окне оставить по умолчанию радиокнопку Протокол TCP и в поле Определенные локальные порты указать порт, который будет использоваться, в данном примере 50000

Рис.7 Создание правила для входящий подключений

• На следующем шаге мастера необходимо выбрать тип действия, которое описывает правило. В данном случае нужно разрешить подключение с использованием указанного порта. Оставить радиокнопку по умолчанию Разрешить подключение и нажать кнопку Далее .

Рис.8 Создание правила для входящий подключений

• На следующем этапе мастера необходимо указать область действия правила, в зависимости от того, какой сетевой профиль используется и нажать кнопку Далее .

Рис.9 Создание правила для входящий подключений

• Создать имя для правила (рекомендуется создавать смысловые имена для правил, чтобы их легко впоследствии идентифицировать). Например, указать имя - Правило для порта 50000 , описание - Открытие порта прослушивания 50000 для RDP и нажать кнопку Готово.

Рис.10 Создание правила для входящий подключений

• Открыть свойства созданного правила

Рис.11 Редактирование правила

• В окне Свойства перейти на вкладку Программы и службы
• Выбрать раздел Службы и нажать кнопку Параметры

Рис.12 Редактирование правила

• Установить радиокнопку Применить к службе , выбрать Службы удаленных рабочих столов и нажать ОК .

Рис.13 Редактирование правила

1. Нажать кнопку ОК в окне свойств и закрыть настройки брандмауэра.

Второй способ (с использованием командной строки)

• Запустить командную строку от имени администратора

Для выполнения настройки брандмауэра Windows с помощью командной строки, необходимо использовать команду Netsh . Утилита Netsh является мощным инструментом для администраторов Windows.

Команды утилиты Netsh для брандмауэра Windows в режиме повышенной безопасности предоставляют командной строке альтернативные возможности управления брандмауэром. При помощи команд Netsh можно настраивать и просматривать правила, исключения и конфигурацию брандмауэра.

Просмотреть справочную информацию по команде netsh можно введя в окне командной строки netsh /?

• Ввести следующую команду

netsh advfirewall firewall add rule name="Open Port 50000" dir=in action=allow protocol=TCP localport=50000

add rule - добавить правило. Параметр Add предназначен для создания правил входящих и исходящих подключений.

name=ИмяПравила . При помощи данного параметра можно указать имя нового правила для входящего или исходящего подключения.

dir {in | out} . При помощи данного параметра можно указать, будет ли правило создаваться для входящего или исходящего трафика. У этого параметра может быть два значения:

• in – правило создается только для входящего трафика. В оснастке его можно найти в узле Правила для входящих подключений .
• out – правило создается только для исходящего трафика. В оснастке Монитор брандмауэра Защитника Windows в режиме повышенной безопасности его можно найти в узле Правила для исходящих подключений .

action = { allow | block | bypass } . Данный параметр позволяет указать действие, которое будет выполнять сетевой фильтр с пакетами, которые указаны в текущем правиле. Этот параметр эквивалентен странице Действия мастера создания правила нового входящего (исходящего) подключения оснастки Монитор брандмауэра Защитника Windows в режиме повышенной безопасности . Для этого параметра существуют три параметра:

• allow – разрешает сетевые пакеты, которые отвечают всем условиям в правиле брандмауэра.
• bypass – разрешает подключения с проверкой подлинности с помощью IPSec.
• block – запрещает любой сетевой пакет, который отвечает условиям правила брандмауэра.

Рис.14 Создание правила в командной строке

• Перезагрузить операционную систему, чтобы изменения вступили в силу.

Подключение к удаленному компьютеру с указанием нового порта

• Запустить средство
• В открывшемся окне Подключение к удаленному столу ввести IP адрес удаленного компьютера и порт через двоеточие, например, 192.168.213.135:50000

Рис.15 Подключение к удаленному рабочему столу

Нашли опечатку? Нажмите Ctrl + Enter

Для изменения порта, используемого по умолчанию для всех создаваемых сервером терминалов новых подключений, выполните следующие действия.

1. Запустите программу Regedt32 и откройте следующий раздел реестра:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
   Примечание. Приведенный путь к разделу реестра является одной строкой, которая была разбита на две для удобства восприятия.
2. Найдите в подразделе «PortNumber» значение 00000D3D (3389 в шестнадцатеричном формате). Измените номер порта в шестнадцатеричном формате и сохраните новое значение.
3. Чтобы изменить порт для определенного подключения на сервере терминалов, выполните следующие действия.
   Запустите программу Regedt32 и откройте следующий раздел реестра:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\подключение

ПРИМЕЧАНИЕ. Приведенный путь к разделу реестра является одной строкой, которая была разбита на две для удобства восприятия.
Найдите в подразделе «PortNumber» значение 00000D3D (3389 в шестнадцатеричном формате). Измените номер порта в шестнадцатеричном формате и сохраните новое значение.
Примечание. Так как в Terminal Server 4.0 использование альтернативных портов поддерживается не полностью, изменения будут вступать в силу только по возможности. В случае возникновения конфликтов необходимо установить прежнее значение 3389.

Чтобы изменить порт на стороне клиента, выполните следующие действия.

1. Запустите мастер клиентских подключений.
2. В меню File выберите пункт New Connection и создайте новое подключение. После этого новое подключение должно появиться в списке.
3. Выделите новое подключение и выберите в меню File команду Export . Сохраните его как имя.cns.
4. Отредактируйте файл.cns в «Блокноте», изменив «Server Port=3389″ на «Server Port= xxxx «, где xxxx – новый порт, указанный на сервере терминалов.
5. Импортируйте файл в мастер клиентских подключений. Если текущий файл имеет такое же имя, последует запрос на его перезапись. Подтвердите перезапись файла. Теперь конфигурация порта клиента соответствует измененным значениям на сервере терминалов.

Примечание. ActiveX клиент сервера терминалов Windows 2000 всегда подключается только к TCP-порту 3389, и это нельзя изменить. В ActiveX клиенте сервера терминалов в Microsoft Windows XP и Microsoft Windows Server 2003 поддерживается возможность изменения настроек порта. Дополнительные сведения см. в следующей статье базы знаний Майкрософт:

326945 Как переназначить слушающий порт сервера терминалов в клиенте сервера терминалов Windows (Эта ссылка может указывать на содержимое полностью или частично на английском языке.)

Примечание. Для активации нового слушающего порта необходимо перезапустить сервер терминалов или в конфигурации служб терминалов заново создать RDP-прослушиватель.

Примечание. ActiveX клиент сервера терминалов Windows 2000 всегда подключается только к TCP-порту 3389, и это нельзя изменить. В ActiveX клиенте сервера терминалов в Microsoft Windows XP и Microsoft Windows Server 2003 поддерживается возможность изменения настроек порта. Дополнительные сведения см. в следующей статье базы знаний Майкрософт:326945 Как переназначить слушающий порт сервера терминалов в клиенте сервера терминалов Windows (Эта ссылка может указывать на содержимое полностью или частично на английском языке.)
Примечание. Для активации нового слушающего порта необходимо перезапустить сервер терминалов или в конфигурации служб терминалов заново создать RDP-прослушиватель.

Привет всем читателям моего блога, сегодня я буду рассказывать как сменить RDP порт.

Смена RDP порта делается для повышении безопасности операционной системы, а так же если в сети используются несколько серверов терминалов. Сервер терминалов можно развернуть на серверных операционных системах, а так же даже и на Windows XP и Windows 7. Для того что бы изменить RDP порт на Windows Sever 2008 или 2003 следуйте следующей инструкции.

RDP (или Remote Desktop Protocol) — это протокол удаленного рабочего стола, который активно используется во всем мире для обеспечения удаленного доступа к серверам и рабочим станциям Windows. Изначально он не требует настройки, так как сама операционная система по умолчанию для подключения использует TCP 3389. Правильная настройка RDP порта под свои нужды может в значительной мере расширить функционал рабочей машины, а также повысить скорость доступа к терминальным серверам. Однако в этой статье я начну с малого: покажу как поменять стандартно назначенный RDP порт на тот, что требуется конкретно вам. Я буду показывать весь процесс на примере Windows 7, так же данная инструкция работает на Windows Server 2003, 2008, 2012.

Подробная инструкция

Для того, чтобы это сделать, нам придется поработать напрямую с реестром Windows. Для начала мы открываем Командную строку, используя сочетание клавиш Win+R. В открывшемся окне вводим команду regedit и нажимаем Ок.

Нам откроется окно Редактора реестра, в левой части которого нам необходимо найти ветку HKEY_LOCAL_MACHINE, раскрываем ее щелчком мыши.

В дереве папок находим SYSTEM, тоже раскрываем ее.

Затем нам нужно открыть и ее, для этого нажимаем мышью на строчку один раз. Там нужно найти и выбрать строчку CurrentControlSet и тоже ее раскрыть.

Далее в раскрывшейся ветке ищем папку Control и тоже ее раскрываем.

После этого, примерно в середине списка ищем позицию Terminal Server, тоже раскрываем ее.

В самом низу ветви ищем WinStations, открываем и ее.

В открывшемся списке нам требуется папка RDP-Tcp, находим ее и открываем двойным щелчком мыши.

После этого правая часть экрана обновится, и там нам потребуется строка PortNumber. Щелкаем на нее два раза.

Откроется диалоговое окно, где мы можем поменять номер порта. Нужно обратить внимание, чтобы система исчисления стояла десятеричная, а в левой части вы можете установить желаемый порт.

Для вступления изменения в силу в конце нажимаем Ок.

В самом конце, чтобы изменения были приняты системой в работу, необходимо перезагрузить ваш компьютер. После перезагрузки порт может быть невиден в силу того, что что ваш брандмауэр или фаервол будет блокировать все соединения. Для того, чтобы все заработало нужно будет отдельно создать правило для вновь назначенного RDP-порта.

Зная как заменить порт на другой, хоть и не значительно, но увеличится безопасность операционной системы Windows. Злоумышленники используют программы которые работают по стандартному порту, а если Ваш RDP порт будет изменен на другой, то это обезопасит Ваш сервер.

Важная информация