3389端口是干什么用的
在日常运维中，3389端口最常见于Windows服务器的远程桌面连接（Remote Desktop Protocol，简称RDP）。简单来说，它就像一把电子钥匙，允许管理员从本地电脑直接登录到远在机房或云平台的Windows服务器上，进行系统配置、软件安装、故障排查等操作。
比如你在公司办公室，想访问部署在阿里云上的一台Windows Server 2019服务器，只要网络通、账户有权限，并且目标服务器开启了远程桌面服务，默认就会通过3389端口建立连接。
默认开启？不一定安全
很多新装的Windows服务器默认会启用远程桌面功能，也就意味着3389端口自动开放。这虽然方便了管理，但也成了黑客重点“关照”的对象。公网暴露的3389端口，常常成为暴力破解密码的入口。一旦被攻破，轻则数据泄露，重则服务器被植入木马，甚至变成挖矿机。
实际工作中见过不少案例：某企业一台公网服务器没改默认端口，也没设置强密码，几天内就被扫出并控制，日志里全是来自不同IP的登录尝试。
如何安全使用3389端口
完全关闭3389不现实，毕竟维护需要。更合理的做法是加强防护。例如：
- 修改默认端口号，避开常规扫描
- 配合防火墙策略，只允许可信IP访问
- 启用网络级身份验证（NLA），提升登录门槛
- 定期更新系统补丁，防止已知漏洞被利用
修改注册表更改端口号的方法如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:0000ce43上面这个例子把端口从3389改成53283（十六进制ce43），改完后记得在防火墙放行新端口，并重启远程桌面服务。
云服务器上的特殊处理
像阿里云、腾讯云这类平台，默认安全组通常不会放行3389端口。你需要手动添加规则，指定源IP和协议类型。建议不要对0.0.0.0/0开放，而是绑定办公网络的固定IP，减少暴露面。
另外可以结合跳板机（堡垒机）使用，所有远程请求先连跳板机，再由它转发到目标服务器。这样即使3389开着，外网也无法直接触达，多了一层隔离。