端口 3389 — RDP (TCP)
什么是端口 3389？
远程桌面协议
这是注册端口（1024–49151），常分配给 RDP 等服务。 · No formal RFC; Microsoft RDP protocol
什么情况下需要开放端口 3389？
Open if you need graphical Remote Desktop access to a Windows machine over the network. Highly targeted by automated brute-force attacks — restrict access to known IP addresses or route through a VPN rather than exposing RDP publicly.
常见用途与软件
- Windows Remote Desktop Client (mstsc.exe)
- Microsoft Remote Desktop (macOS / iOS / Android)
- FreeRDP
- Remmina (Linux)
- Royal TSX
安全
Exposed RDP is a leading ransomware attack vector. Never expose port 3389 directly to the internet. Use a VPN and connect to RDP through the VPN only. Enable Network Level Authentication (NLA). Apply Windows Updates to patch known RDP vulnerabilities (BlueKeep CVE-2019-0708, DejaBlue). Consider moving to a non-standard port as a minor deterrent against automated scanners.
端口 3389 安全吗？
开放端口会增加攻击面。安全性取决于 RDP 的配置。
此端口是自动化攻击的活跃目标。除非需要 RDP，否则保持关闭，并在防火墙中将访问限制为已知的 IP 地址段。
测试任意主机的端口 3389 连通性。
开放端口 3389
要允许到端口 3389 (RDP) 的入站连接，请配置防火墙并在路由器上添加端口转发规则，指向设备的本地 IP 地址。
打开 Windows Defender 防火墙 → 高级设置 → 入站规则 → 新建规则 → 端口 → TCP → 特定本地端口: 3389 → 允许连接 → 命名并保存规则。
netsh advfirewall firewall add rule name="Open Port 3389" dir=in action=allow protocol=tcp localport=3389sudo ufw allow 3389/tcpsudo iptables -A INPUT -p tcp --dport 3389 -j ACCEPT登录路由器（192.168.1.1 或 192.168.0.1）→ 端口转发 → 添加新规则: 协议 TCP, 外部端口 3389, 内部 IP: 设备的本地 IP, 内部端口 3389 → 保存。
如何关闭端口 3389
若不需要 RDP，请在防火墙或路由器中阻止该端口。
要在 Windows 上屏蔽端口 3389，请以管理员身份在 PowerShell 或命令提示符中运行以下命令：
netsh advfirewall firewall add rule name="Block Port 3389" dir=in action=block protocol=tcp localport=3389执行：sudo ufw deny 3389/tcpsudo iptables -A INPUT -p tcp --dport 3389 -j DROP删除或禁用端口 3389 的端口转发规则。
常见问题
端口 3389 用于什么？▾
3389 端口是 RDP 的标准 TCP 端口。它被需要接受该服务入站连接的服务器和应用程序所使用。是否需要开放取决于您是否在运行 RDP 服务器——如果没有，应保持关闭。
保持端口 3389 打开安全吗？▾
开放的 3389 端口会扩大攻击面。如果您没有主动运行 RDP，请在防火墙中关闭此端口并删除端口转发规则。如果 RDP 需要可访问，请将访问限制为已知 IP 地址并保持软件更新。