RDP Port Değiştirme: Adım Adım Ayar ve Uzak Masaüstü Güvenliği

RDP port değiştirme, Windows’un uzak masaüstü hizmetinin dinlediği varsayılan TCP 3389 portunu, kayıt defterindeki PortNumber değerini güncelleyerek başka bir numaraya taşımaktır. İşlemin kendisi birkaç dakika sürer; asıl önemli olan sıradır: yeni portu güvenlik duvarında açmadan hizmeti yeniden başlatırsanız sunucuyla bağlantınız kesilir ve ağ üzerinden geri dönemezsiniz.

Port değişikliği, 3389’u sürekli yoklayan otomatik tarayıcıların güvenlik günlüklerinizi doldurmasını azaltır; hedefli bir saldırganı ise durdurmaz. Aşağıdaki adımlar LIONFIN RDP sunucu paketlerinde ve Windows kurulu herhangi bir VPS sunucu üzerinde aynen uygulanır; port taşımanın güvenli sırası ile gerçekten koruma sağlayan ayarlar birlikte ele alınıyor.

RDP portunu değiştirmek ne işe yarar, ne işe yaramaz?

Port değiştirmek, RDP’yi internet genelinde 3389’u tarayan otomatik botların görüş alanından büyük ölçüde çıkarır; ancak tüm portları tarayan biri hizmeti yeni numarada da kısa sürede bulur. Yani bu adım bir gürültü azaltma önlemidir, kimlik doğrulamanın yerini tutmaz.

Yeni port olarak 1024–49151 aralığından, sunucuda başka bir hizmetin kullanmadığı bir numara seçin. 49152–65535 aralığı Windows’un geçici (dinamik) port aralığıdır; çakışma ihtimalini baştan önlemek için bu aralığın dışında kalmak daha temizdir. Bu rehberdeki örneklerde 40123 kullanılıyor.

Başlamadan önce geri dönüş yolunu hazırlayın

Port değişikliğindeki tek gerçek risk, sunucuya ağ üzerinden erişimi kaybetmektir; bu yüzden işe başlamadan önce şu kontrolleri yapın:

1. Yeni portun boş olduğunu doğrulayın: Get-NetTCPConnection -LocalPort 40123 -ErrorAction SilentlyContinue komutu hiçbir satır döndürmüyorsa port kullanılmıyordur.
2. Sağlayıcı tarafındaki güvenlik duvarını kontrol edin: Sunucunun önünde bir ağ güvenlik duvarı ya da erişim listesi varsa yeni portu orada da açın; Windows kuralı tek başına yetmez.
3. Güncel bir yedek ya da anlık görüntü alın: Kayıt defterinde yanlış değeri değiştirmek gibi hatalarda en hızlı dönüş yolu budur.
4. Kurtarma kanalını bilin: Ağ erişimi tamamen kesilirse düzeltme ancak sunucunun konsolundan yapılabilir; LIONFIN’de böyle bir durumda müşteri paneli → Destek üzerinden talep açın.

RDP port değiştirme adım adım: PowerShell yöntemi

En hızlı ve hataya en az açık yöntem, yönetici olarak açılmış bir PowerShell penceresinde aşağıdaki komutları sırayla çalıştırmaktır. Güvenlik duvarı kuralları, port değiştirilmeden önce oluşturulur:

# 1) Mevcut portu görün (varsayılan: 3389)
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

# 2) Yeni port için gelen kuralları ÖNCE oluşturun
New-NetFirewallRule -DisplayName 'RDP 40123 TCP' -Direction Inbound -Protocol TCP -LocalPort 40123 -Action Allow
New-NetFirewallRule -DisplayName 'RDP 40123 UDP' -Direction Inbound -Protocol UDP -LocalPort 40123 -Action Allow

# 3) Dinlenen portu değiştirin
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 40123

# 4) Hizmeti yeniden başlatın (açık RDP oturumları kopar)
Restart-Service -Name TermService -Force

-Force olmadan son komut, TermService’e bağımlı bir hizmet (UmRdpService) bulunduğu için durdurmayı reddeder. Dördüncü adımdan sonra oturumunuz kapanır; yeniden bağlanırken artık yeni portu kullanırsınız. Hizmet yerine sunucuyu Restart-Computer ile yeniden başlatmak da aynı sonucu verir.

Kayıt Defteri Düzenleyicisi ile port değiştirme

Grafik arayüzü tercih ederseniz aynı işlem gelişmiş güvenlik duvarı konsolu ve Kayıt Defteri Düzenleyicisi ile yapılır:

1. Win + R → wf.msc ile gelişmiş güvenlik duvarı konsolunu açın; Inbound Rules (Gelen Kuralları) → New Rule yolunu izleyip Port türünde, TCP 40123 için Allow the connection seçeneğiyle bir kural oluşturun.
2. regedit ile Kayıt Defteri Düzenleyicisi’ni açıp HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp anahtarına gidin.
3. PortNumber değerini bulun; listede 0x00000d3d (3389) olarak görünür. Çift tıklayın.
4. Taban bölümünde Ondalık seçeneğini işaretleyin, 40123 yazıp Tamam’a tıklayın.
5. Sunucuyu yeniden başlatın ya da services.msc ekranından Remote Desktop Services (Uzak Masaüstü Hizmetleri) hizmetini yeniden başlatın.

Ondalık seçilmeden yazılan değer onaltılık yorumlanır ve bambaşka bir sayıya karşılık gelir; port değişikliğinden sonra bağlanamama sorunlarının en sık nedenlerinden biri budur.

Yeni porttan bağlanma ve eski kuralı kapatma

Hizmet yeniden başladıktan sonra istemcide adresin sonuna iki nokta ve yeni portu ekleyerek bağlanın: 203.0.113.10:40123. İstemci tarafındaki ayarlar uzak masaüstü bağlantısı rehberinde anlatılır. Bağlantı kurulamazsa önce kendi bilgisayarınızdan portun erişilebilir olduğunu test edin:

Test-NetConnection 203.0.113.10 -Port 40123

Çıktıda TcpTestSucceeded : True görüyorsanız ağ yolu açıktır ve sorun kimlik bilgilerindedir. False ise güvenlik duvarı kuralını, sağlayıcı tarafındaki erişim listesini ve kayıt defterindeki değerin ondalık girildiğini kontrol edin. Sunucuda hizmetin yeni portu dinlediğini Get-NetTCPConnection -LocalPort 40123 -State Listen ile görebilirsiniz.

Yeni porttan sorunsuz bağlandıktan sonra 3389 için açık kalan kuralları kapatın. Önce bu portu kullanan kuralları listeleyin, ardından varsayılan uzak masaüstü kurallarını devre dışı bırakın:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Select-Object Name, DisplayName, Enabled
Disable-NetFirewallRule -Name 'RemoteDesktop-UserMode-In-TCP', 'RemoteDesktop-UserMode-In-UDP'

Port değiştirmekten daha etkili RDP güvenlik önlemleri

Uzak masaüstünü gerçekten koruyan, kimin bağlanabileceğini ve kaç kez deneyebileceğini sınırlayan ayarlardır. Öncelik sırasına göre:

Linux sunuculardaki karşılığı merak ediyorsanız aynı mantık SSH için Fail2ban kurulumu rehberinde uygulanır: başarısız denemeleri sayıp kaynağı engellemek.

Varsayılan Administrator hesabını yeniden adlandırma ya da kapatma

Otomatik saldırı araçları kullanıcı adı olarak çoğunlukla önce Administrator dener; bu hesabı yeniden adlandırmak ya da devre dışı bırakmak, parola denemelerinin hedefini ortadan kaldırır. Sürüme ve ayarlara bağlı olarak yerleşik Administrator hesabı hesap kilitleme ilkesinden muaf olabildiği için bu adım ayrıca önemlidir. Güvenli sıra şöyledir:

1. Kendinize ait yeni bir yönetici hesabı açıp Administrators (Türkçe sistemde Yöneticiler) grubuna ekleyin; hesap açma ve grup üyeliği komutları Windows Server kullanıcı ekleme rehberinde yer alır.
2. Yeni hesapla ayrı bir uzak masaüstü oturumu açarak yönetici işlemleri yapabildiğinizi doğrulayın.
3. Administrator hesabıyla çalışan zamanlanmış görev ya da hizmet varsa bunları yeni hesaba taşıyın.
4. Hesabı yeniden adlandırın, kullanmayacaksanız kapatın:

Rename-LocalUser -Name 'Administrator' -NewName 'srv-yonetim'
Disable-LocalUser -Name 'srv-yonetim'

Kapatılmış bir hesabın parolası sızsa bile o hesapla oturum açılamaz.