Cambiar el puerto del escritorio remoto (3389) sin quedarte fuera

El puerto 3389 lo conoce todo el mundo, y hay bots probando contraseñas en él las 24 horas. Moverlo a otro puerto no sustituye a una buena contraseña, pero reduce muchísimo ese ruido. El orden importa: primero abres el puerto nuevo, después cambias el escritorio remoto.

1. Elige un puerto

Uno alto y que no use nada más, entre 10000 y 65000. En este ejemplo, el 50000. Evita los de tus juegos (30120, 25565, 28015, 7777...).

2. Ábrelo en el cortafuegos

En PowerShell como administrador:

New-NetFirewallRule -DisplayName "Escritorio remoto TCP 50000" -Direction Inbound -Protocol TCP -LocalPort 50000 -Action Allow -Profile Any
New-NetFirewallRule -DisplayName "Escritorio remoto UDP 50000" -Direction Inbound -Protocol UDP -LocalPort 50000 -Action Allow -Profile Any

3. Cambia el puerto del escritorio remoto

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 50000
Restart-Service TermService -Force

Al reiniciar el servicio se cortará tu conexión: es normal.

4. Conéctate con el puerto nuevo

En Conexión a Escritorio remoto, escribe la IP seguida de dos puntos y el puerto: 203.0.113.10:50000.

5. Cierra el 3389 (opcional)

Cuando hayas comprobado que entras por el nuevo, deshabilita las reglas antiguas:

Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

Si te quedas fuera

Entra por la consola VNC del panel, que no depende de la red, y deshaz el cambio:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 3389
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
Restart-Service TermService -Force

Servidores en España: si tienes filtros creados a mano en la pestaña Seguridad para el escritorio remoto, añade también el puerto nuevo.

Para completar la protección, mira cómo proteger el escritorio remoto de ataques.