Puerto 3389 — RDP (TCP)
¿Qué es el puerto 3389?
Protocolo de Escritorio remoto de Windows. Objetivo frecuente de fuerza bruta.
Este es un puerto registrado (1024–49151), a menudo asignado a servicios como RDP. · No formal RFC; Microsoft RDP protocol
¿Cuándo necesitas el puerto 3389 abierto?
Open if you need graphical Remote Desktop access to a Windows machine over the network. Highly targeted by automated brute-force attacks — restrict access to known IP addresses or route through a VPN rather than exposing RDP publicly.
Usos comunes y software
- Windows Remote Desktop Client (mstsc.exe)
- Microsoft Remote Desktop (macOS / iOS / Android)
- FreeRDP
- Remmina (Linux)
- Royal TSX
Seguridad
Exposed RDP is a leading ransomware attack vector. Never expose port 3389 directly to the internet. Use a VPN and connect to RDP through the VPN only. Enable Network Level Authentication (NLA). Apply Windows Updates to patch known RDP vulnerabilities (BlueKeep CVE-2019-0708, DejaBlue). Consider moving to a non-standard port as a minor deterrent against automated scanners.
¿Es seguro el puerto 3389?
Un puerto abierto aumenta la superficie de ataque. La seguridad depende de cómo esté configurado RDP.
Este puerto es un objetivo activo de ataques automatizados. Mantenlo cerrado a menos que RDP sea activamente necesario y restringe el acceso a rangos IP conocidos en tu firewall.
Prueba la conectividad del puerto 3389 en cualquier host.
Abrir el puerto 3389
Para permitir conexiones entrantes al puerto 3389 (RDP), configura tu firewall y añade una regla de reenvío de puertos en tu router hacia la IP local de tu dispositivo.
Abre el Firewall de Windows Defender → Configuración avanzada → Reglas de entrada → Nueva regla → Puerto → TCP → Puertos locales específicos: 3389 → Permitir la conexión → Asigna nombre y guarda la regla.
netsh advfirewall firewall add rule name="Open Port 3389" dir=in action=allow protocol=tcp localport=3389sudo ufw allow 3389/tcpsudo iptables -A INPUT -p tcp --dport 3389 -j ACCEPTAccede a tu router (192.168.1.1 o 192.168.0.1) → Reenvío de puertos → Añade una nueva regla: Protocolo TCP, Puerto externo 3389, IP interna: IP local de tu dispositivo, Puerto interno 3389 → Guardar.
Cómo cerrar el puerto 3389
Si no necesitas RDP, bloquea este puerto en el firewall o en el router.
Para bloquear el puerto 3389 en Windows, ejecuta el siguiente comando en PowerShell o Símbolo del sistema (como administrador):
netsh advfirewall firewall add rule name="Block Port 3389" dir=in action=block protocol=tcp localport=3389Ejecuta: sudo ufw deny 3389/tcpsudo iptables -A INPUT -p tcp --dport 3389 -j DROPElimina o desactiva la regla de redirección del puerto 3389.
Preguntas frecuentes
¿Para qué se usa el puerto 3389?▾
El puerto 3389 es el puerto TCP estándar para RDP. Lo utilizan servidores y aplicaciones que necesitan aceptar conexiones entrantes para este servicio. Si debes mantenerlo abierto depende de si ejecutas activamente un servidor RDP; de lo contrario, debe permanecer cerrado.
¿Es seguro mantener abierto el puerto 3389?▾
Un puerto 3389 abierto amplía tu superficie de ataque. Si no ejecutas RDP activamente, cierra el puerto en tu firewall y elimina reglas de reenvío de puertos. Si RDP debe ser accesible, restringe el acceso a IPs conocidas y mantén el software actualizado.