Najkrócej: rdp port w Windows najczęściej oznacza 3389, czyli domyślny port zdalnego pulpitu. Ten temat warto znać nie tylko z ciekawości, ale też po to, żeby poprawnie skonfigurować dostęp z domu, szkoły albo pracowni i nie popełnić prostych błędów przy zaporze, przekierowaniu portów czy logowaniu. Poniżej wyjaśniam, jak to działa w praktyce, kiedy port można zmienić i co naprawdę ma znaczenie dla bezpieczeństwa.
Najważniejsze informacje o porcie zdalnego pulpitu
- Domyślny port RDP w Windows to 3389, a Microsoft wskazuje go jako standardowy dla połączeń zdalnych.
- W typowej konfiguracji liczą się TCP i UDP, nie tylko jeden protokół.
- Port można zmienić, ale sama zmiana numeru nie zastępuje zabezpieczeń.
- NLA, silne hasło i VPN zwykle dają większy efekt niż „ukrycie” usługi na innym porcie.
- Po zmianie portu trzeba pamiętać o zaporze Windows i o wpisaniu portu po stronie klienta, np. w formie
host:3390.
Co oznacza port RDP w Windows
Port to po prostu numer „drzwi”, przez które usługa sieciowa przyjmuje połączenie. W przypadku Pulpitu zdalnego chodzi o usługę Remote Desktop Protocol, czyli mechanizm pozwalający sterować komputerem z innego urządzenia tak, jakby siedziało się przed nim. Gdy wszystko jest ustawione domyślnie, komputer z Windows nasłuchuje na porcie 3389, a klient RDP łączy się właśnie tam.
Ja patrzę na to praktycznie: port sam w sobie nie daje dostępu, ale bez właściwego portu połączenie po prostu nie dojdzie do skutku. Dlatego ten numer jest ważny zarówno przy zwykłym łączeniu się w sieci domowej, jak i wtedy, gdy ktoś chce wejść na komputer z zewnątrz przez router.
Warto też rozróżnić sam RDP od całego ekosystemu usług zdalnego pulpitu. Gdy w grę wchodzą dodatkowe komponenty, takie jak brama lub dostęp przez przeglądarkę, pojawiają się też inne porty. I właśnie od tego zaczynają się najczęstsze nieporozumienia.
Jakie porty wykorzystuje zdalny pulpit
W prostym scenariuszu domowym interesuje Cię głównie 3389. Jeśli jednak korzystasz z bardziej rozbudowanego środowiska, dochodzą inne wartości. Microsoft Learn podaje, że standardowy port RDP to 3389, a w zależności od sposobu dostępu mogą pojawić się także porty związane z bramą RD Gateway lub dostępem webowym.
| Scenariusz | Port | Po co jest potrzebny |
|---|---|---|
| Bezpośrednie połączenie RDP do Windows | 3389 TCP / UDP | Standardowy port zdalnego pulpitu |
| RD Gateway | 443 TCP | RDP tunelowane przez HTTPS |
| RD Gateway z obsługą UDP | 3391 UDP | Przyspieszenie i stabilizacja ruchu RDP przez bramę |
| RD Web Access | 443 TCP | Dostęp przez interfejs webowy |
To zestawienie jest ważne, bo wiele osób zakłada, że „RDP = zawsze 3389 i koniec”. W praktyce to prawda tylko przy najprostszym połączeniu. Jeśli ktoś w firmie mówi o bramie, zdalnym dostępie przez portal lub połączeniu zza kilku warstw sieci, samo 3389 nie wyjaśnia już całej sytuacji. Dalej pokażę, jak zmienić port lokalnie i czego nie pomylić po drodze.
Jak sprawdzić i zmienić port zdalnego pulpitu
Najprostszy test jest banalny: jeśli łączysz się klasycznie z `nazwa-komputera` albo `adres-ip`, Windows zwykle używa 3389. Gdy port został zmieniony, trzeba dopisać go po stronie klienta, np. `komputer.lokalny:3390`. Jeśli o tym zapomnisz, połączenie będzie wyglądało na „zepsute”, mimo że usługa działa poprawnie.
W Windows port zmienia się w rejestrze albo przez PowerShell. Microsoft udostępnia oba warianty. Ja zwykle wolę PowerShell, bo łatwiej potem odtworzyć konfigurację albo zapisać ją w dokumentacji.
- Otwórz PowerShell jako administrator.
- Sprawdź obecny port poleceniem:
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name 'PortNumber' - Ustaw nowy port, podmieniając wartość na nieużywany numer:
$portValue = '3390' Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name 'PortNumber' -Value $portValue - Dodaj regułę w Zaporze Windows dla nowego portu.
- Uruchom komputer ponownie i przetestuj połączenie z klienta RDP.
Możesz to zrobić też ręcznie w Edytorze rejestru, ale zasada jest ta sama: zmieniasz wpis PortNumber, potem aktualizujesz zaporę i restartujesz system. Bez tego nowy port będzie ustawiony tylko „na papierze”, a nie w realnym ruchu sieciowym.
Bezpieczeństwo zaczyna się wcześniej niż od zmiany numeru
Najczęstszy błąd, który widzę, brzmi tak: ktoś zmienia port 3389 na inny, a potem zakłada, że problem bezpieczeństwa zniknął. To nie działa w ten sposób. Zmiana portu może ograniczyć przypadkowe skanowanie i część automatycznych prób, ale nie chroni przed atakiem celowanym ani przed słabym hasłem.
Microsoft Learn rekomenduje włączenie Network Level Authentication, bo dzięki temu uwierzytelnienie następuje zanim powstanie pełna sesja zdalna. To ważne, bo odcina część ryzyk jeszcze przed właściwym logowaniem. Gdybym miał wskazać trzy rzeczy, które naprawdę robią różnicę, byłyby to: NLA, silne hasło oraz VPN.
- NLA - lepiej włączyć, jeśli tylko używany klient to obsługuje.
- VPN - zwykle bezpieczniejszy niż wystawianie RDP bezpośrednio do internetu.
- Zapora - musi przepuszczać dokładnie ten port, z którego faktycznie korzystasz.
- Ograniczenie źródeł - jeśli się da, pozwól na połączenia tylko z konkretnych adresów IP.
Jeśli musisz udostępnić pulpit przez internet, Microsoft wyraźnie ostrzega, że nie jest to zalecane bez dodatkowych zabezpieczeń. To rozsądne podejście: sam numer portu nie buduje ochrony, on tylko wskazuje, gdzie usługa czeka na połączenie. Dalej liczy się cała reszta konfiguracji.
Najczęstsze problemy przy łączeniu i co z nich wynika
Gdy połączenie nie działa, zwykle da się dość szybko zawęzić źródło problemu. Ja zaczynam od pytania: czy problem występuje w sieci lokalnej, czy dopiero z zewnątrz? Ta różnica oszczędza mnóstwo czasu, bo prowadzi do zupełnie innych przyczyn.
- Połączenie działa w domu, ale nie z internetu - sprawdź przekierowanie portu na routerze i to, czy masz publiczny adres IP.
- Po zmianie portu nic się nie łączy - klient może nadal próbować wejść na 3389 zamiast na nowy port.
- Windows odrzuca ruch - zapora nie dostała nowej reguły dla TCP i UDP.
- Sesja zatrzymuje się na etapie uwierzytelniania - możliwy konflikt z NLA albo polityką konta.
- Router jest poprawny, ale nadal brak dostępu - u części operatorów sam publiczny dostęp bywa ograniczony lub ukryty za NAT-em.
W praktyce testuję to w kolejności: najpierw usługa w Windows, potem zapora, potem router, na końcu adres publiczny. Taka kolejność jest po prostu szybsza niż szukanie błędu „na ślepo”. Jeśli masz własny port, zawsze zapisuj go razem z adresem komputera, bo po kilku dniach bardzo łatwo o zwykłe przeoczenie.
Kiedy zostawić 3389, a kiedy naprawdę go zmienić
Jeżeli łączysz się tylko w sieci lokalnej albo przez VPN, często nie ma sensu kombinować z numerem portu. Standardowa konfiguracja jest wtedy prostsza do utrzymania, łatwiejsza do opisania i mniej podatna na bałagan po aktualizacjach czy zmianach sprzętu. W małych środowiskach prostota zwykle wygrywa z „oryginalnością” konfiguracji.
Port warto zmienić wtedy, gdy masz konkretny powód: politykę bezpieczeństwa, kilka równolegle działających usług, środowisko testowe albo potrzebę rozdzielenia dostępu między różne maszyny. Samo „bo ktoś tak polecił” to za mało. Jeśli nie umiesz od razu odpowiedzieć, co ma się poprawić po zmianie, to najpewniej nie potrzebujesz tej zmiany.
Ja traktuję 3389 jako punkt startowy, a nie problem do ukrycia. Jeśli RDP ma działać stabilnie, ważniejsze są: poprawna zapora, sprawny klient, aktualny system, NLA i sensowny sposób wystawienia usługi. Gdy te elementy są poukładane, numer portu staje się tylko jednym z wielu parametrów, a nie głównym tematem całej konfiguracji.
