Windows Server RDP Portu Değiştirme (3389) Adım Adım

Windows Server üzerinde varsayılan uzak masaüstü portunu değiştirmek, internete açık sunuculara yönelik otomatik bağlantı denemelerini azaltmanın temel adımlarındandır. Bu işlem sayesinde doğrudan 3389 portunu tarayan botların uzak masaüstü hizmetine erişmesini zorlaştırabilirsiniz. Güvenli bir Windows VDS altyapısı yapılandırırken rdp port değiştirme adımlarını uygulayarak erişim güvenliğini ilk aşamada destekleyebilirsiniz.

Kısa cevap:

• Kayıt defterinde PortNumber değerini dinamik port havuzu dışındaki yeni TCP portuyla değiştirin.
• Windows Defender Güvenlik Duvarı üzerinde yeni bağlantı noktasına izin veren gelen kuralı oluşturun.
• Panel konsolunu hazırda tutarak Uzak Masaüstü Hizmetlerini (TermService) yeniden başlatın.
• İstemcide sunucu adresinin sonuna iki nokta ve yeni port numarasını ekleyerek bağlanın.

RDP portu neden değiştirilir?

Uzak Masaüstü Protokolü (Remote Desktop Protocol - RDP), Windows sistemlerine uzaktan grafik arayüz ile erişmek için standart olarak 3389 numaralı TCP portunu kullanır. İnternet üzerindeki otomatik botlar, IP bloklarını sürekli tarayarak açık 3389 portu arar. Açık bir port bulduklarında deneme yanılma (brute-force) yöntemleriyle yönetici parolalarını ele geçirmeye çalışırlar. Bu durum sunucu güvenliğini tehdit ederken işlemci ve bellek kaynaklarının gereksiz yere tüketilmesine de yol açar.

Varsayılan portu değiştirmek tek başına eksiksiz bir güvenlik çözümü sunmasa da gizlilik yoluyla güvenlik (security through obscurity) yaklaşımını destekler. Port değişikliği, hedefsiz botların doğrudan sunucunuza odaklanmasını zorlaştırır. Bu yapılandırma, sistem olay günlüklerinde (Event Viewer) biriken başarısız oturum açma kayıtlarını ve gereksiz işlem yükünü azaltır. İlk kurulum aşamalarında VDS'te Windows Server kurulumu tamamlandıktan hemen sonra bu yapılandırmayı uygulamak erişim düzeni açısından önerilir.

Varsayılan portun kapalı görünmesi, doğrudan 3389 portunu hedefleyen otomatik taramaları azaltabilir; ancak geniş port aralıklarını tarayan araçları engellemez. Dolayısıyla bu adım, sunucu yönetiminde ilk savunma hatlarından biri kabul edilir.

Kayıt defterinden port değiştirme

Windows Server işletim sistemlerinde RDP portunu değiştirmek için Kayıt Defteri Düzenleyicisi (Regedit) veya PowerShell kullanılır. Port seçimi yaparken 1024 ile 49151 arasındaki kullanıcı kayıtlı boş bir TCP portunu tercih etmeniz gerekir. Windows sistemlerinin dinamik port aralığı olan 49152 ile 65535 arasındaki portlardan ve bilinen servis portlarından kaçınmalısınız.

PowerShell ile yönetici olarak tek bir komut çalıştırmak işlemi hızlandırır ve yazım hatası riskini azaltır. Port numarasını 38443 olarak değiştirmek için şu komutu kullanabilirsiniz:

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value 38443

Kayıt defteri arayüzünü tercih ediyorsanız şu adımları izleyin:

1. Win + R tuşlarına basıp regedit yazarak Kayıt Defteri Düzenleyicisi uygulamasını açın.
2. HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp yoluna gidin.
3. Sağ panelde yer alan PortNumber girdisine çift tıklayın.
4. Taban kısmını "Ondalık" (Decimal) olarak seçin, yeni port numarasını girip Tamam butonuna basın.

İşlemi Windows Server 2022 kurulumu ya da önceki sürümlerde aynı kayıt defteri yolu üzerinden uygulayabilirsiniz. Bu aşamada servis henüz yeniden başlatılmadığı için mevcut oturumunuz kapanmaz.

Güvenlik duvarında yeni portu açma

Kayıt defterini güncelledikten sonra Uzak Masaüstü servisini yeniden başlatmadan önce Windows Defender Güvenlik Duvarı üzerinden yeni porta izin vermelisiniz. Aksi takdirde sunucu yeni porta geçer fakat gelen paketler engellenir ve sunucuya erişiminiz kesilir.

PowerShell üzerinden yeni port için gelen kuralı şu komutla oluşturabilirsiniz:

New-NetFirewallRule -DisplayName "RDP-Yeni-Port" -Direction Inbound -LocalPort 38443 -Protocol TCP -Action Allow

Grafik arayüz üzerinden kural tanımlamak için şu adımları uygulayabilirsiniz:

Adım	İşlem Alanı	Yapılacak Yapılandırma
1	Gelişmiş Güvenlik Duvarı	Gelen Kuralları sekmesine girip Yeni Kural seçeneğine tıklayın.
2	Kural Türü	"Bağlantı Noktası" seçeneğini işaretleyip ilerleyin.
3	Protokol ve Portlar	TCP protokolünü seçin, belirli yerel bağlantı noktasına yeni portu yazın.
4	Eylem ve Profil	"Bağlantıya izin ver" seçeneğini belirleyin ve tüm ağ profillerini işaretleyin.
5	Adlandırma	Kurala ayırt edici bir isim vererek işlemi tamamlayın.

Kuralı tanımladıktan sonra Uzak Masaüstü Hizmetini yeniden başlatmanız gerekir. Bu komut çalıştırıldığında mevcut aktif RDP oturumunuz hemen sonlanır. PowerShell üzerinden Restart-Service -Name TermService -Force komutunu vererek servisi yeniden başlatabilirsiniz.

Yeni portla bağlanma

Port değişikliği tamamlandıktan sonra Uzak Masaüstü Bağlantısı (mstsc.exe) istemcisinde bağlantı adresini yeni biçimde girmeniz gerekir. Standart kullanımda yalnızca IP adresi yeterliyken, yeni yapılandırmada portu açıkça belirtmelisiniz.

İstemci penceresindeki "Bilgisayar" alanına sunucu IP adresinizin yanına iki nokta üst üste ekleyerek yeni portu yazın. Örneğin:

192.0.2.10:38443

Bağlan butonuna tıkladığınızda kimlik doğrulama penceresi açılır. Kullanıcı adı ve şifrenizi girerek oturum açabilirsiniz. Sunucu adı veya alan adı kullanıyorsanız format sunucu.alanadi.com:38443 şeklinde olmalıdır. Bu mantık, Linux ortamında uygulanan Linux SSH port değiştirme prosedürüyle benzer prensipte çalışır ve istemciye hedef dinleme noktasını bildirir.

Port numarasını yazmadığınızda istemci varsayılan olarak 3389 portuna bağlanmayı dener ve sunucu bu portu dinlemediği için bağlantı zaman aşımına uğrar.

Bağlantı koptuysa: VDS konsolundan geri alma

Port değiştirme sırasında güvenlik duvarı kuralını unutmak veya kayıt defterine hatalı bir değer girmek erişimin kopmasına neden olabilir. Bu durumda ağ üzerinden standart RDP bağlantısı kurulamaz.

Erişim koptuğunda hosting yönetim panelinizdeki VNC veya web konsolu özelliğini kullanmanız gerekir. Konsol bağlantısı doğrudan sanallaştırma katmanından ekran görüntüsü sunduğu için ağ portlarına bağımlı değildir:

1. Müşteri panelinden ilgili sanal sunucunun yönetim ekranına gidin.
2. Web Konsol veya VNC Konsol butonuna tıklayarak sunucu masaüstünü açın.
3. Yönetici hesabınızla oturum açtıktan sonra güvenlik duvarı ayarlarını kontrol edin.
4. Eksik kural varsa ekleyin ya da portu geçici olarak tekrar 3389 yapın.

Kayıt defterini varsayılana döndürmek için konsol ekranında şu komutları çalıştırabilirsiniz:

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value 3389
Restart-Service -Name TermService -Force

Bu adımla standart uzak masaüstü bağlantısı yeniden sağlanır. Güvenlik duvarı kurallarını düzelttikten sonra port değiştirme adımlarını tekrar planlayabilirsiniz.

Port değiştirmek yeterli mi? Ek önlemler

RDP portunu değiştirmek yalnızca temel düzeyde gizleme sağlar. Gelişmiş port tarama araçları sistemde açık olan portları bulabilir. Kapsamlı bir savunma için ek güvenlik katmanlarını devreye almanız gerekir:

• Güçlü parola politikaları belirleyin. Gerektiğinde Windows Server kullanıcı şifresi değiştirme adımlarını uygulayarak parolaları periyodik olarak güncelleyin.
• Ağ Düzeyinde Kimlik Doğrulama (Network Level Authentication - NLA) özelliğini aktif tutun. Bu özellik oturum ekranı açılmadan önce kimlik kontrolü yapar.
• Güvenlik duvarı kuralını yalnızca kendi sabit IP adresinize izin verecek şekilde daraltın.
• Başarısız oturum denemelerinde hesabı kilitleyen hesap kilitleme ilkelerini devreye alın.

Sunucu ortamınızı yetkisiz erişimlere karşı güçlendirdikten sonra, altyapı standartlarınızı geliştirmek adına sanal sunucu paketleri üzerindeki kaynak ve yedekleme yapılandırmalarını inceleyebilirsiniz. Bir sonraki adımda düzenli yedekleme planı oluşturup işletim sistemi güncellemelerini takip ederek sistem bütünlüğünü uzun vadeli biçimde koruyabilirsiniz.

Sık Sorulan Sorular

RDP portu için hangi numaraları seçmeliyim?

1024 ile 49151 arasındaki kullanıcı kayıtlı port numaralarını seçebilirsiniz. Web veya veritabanı servislerinin kullandığı 80, 443 gibi yaygın portlardan kaçınmalısınız. Ayrıca Windows Server işletim sisteminin dinamik port aralığı olan 49152-65535 havuzunu ve sunucuda çalışan diğer özel uygulamaların portlarını tercih etmemeniz önerilir.

RDP portunu değiştirmek sunucu hızını veya performansını etkiler mi?

Port numarası yalnızca ağ paketlerinin hangi servis tarafından dinleneceğini belirler. Port değiştirmek sunucunun ağ aktarım hızını veya donanım performansını doğrudan etkilemez. Ancak 3389 portunu hedefleyen otomatik bot isteklerini azaltarak arka plandaki gereksiz oturum açma trafiğini ve işlemci tüketimini hafifletir.

Portu değiştirdikten sonra sunucuyu yeniden başlatmak şart mı?

Sunucuyu tamamen yeniden başlatmak zorunlu değildir. Uzak Masaüstü Hizmetlerini (TermService) yeniden başlatmak yeni portun devreye girmesi için yeterlidir. Ancak servis yeniden başlatıldığında mevcut RDP bağlantınız anında kesileceğinden, işlem öncesinde güvenlik duvarı kuralının doğru tanımlandığından ve panel konsol erişiminin çalıştığından emin olmalısınız.

Port değiştirmeme rağmen uzaktan bağlanamıyorum, sebebi ne olabilir?

Güvenlik duvarında yeni TCP portu için gelen kuralı tanımlanmamış olabilir veya hosting panelindeki harici güvenlik duvarı bu portu engelliyor olabilir. Ayrıca istemci tarafında sunucu IP adresinin sonuna iki nokta ve yeni port numarasını eksiksiz girdiğinizi kontrol etmeniz gerekir.