Quels ports configurer pour le Bureau à distance Windows ?

Les ports RDP Windows sont au coeur de toute connexion distante vers un serveur Windows, et leur configuration determine autant l'accessibilite que la surface d'attaque exposee. Le protocole RDP (Remote Desktop Protocol) repose sur un port par defaut bien connu, ce qui en fait une cible frequente de scans automatises. Ce guide 2026 detaille quels ports configurer, comment les securiser et quelles pratiques appliquer en production.

Ports RDP Windows : quel port utiliser par defaut ?

Le protocole RDP fonctionne historiquement sur un port unique, mais il est utile de comprendre la mecanique complete avant de modifier quoi que ce soit. Une configuration erronee peut vous couper l'acces a un serveur distant, en particulier sur un VPS ou vous ne disposez pas d'un acces physique classique.

Le port RDP standard : 3389

Par defaut, RDP ecoute sur le port TCP 3389. Le meme numero de port est egalement utilise en UDP 3389 pour ameliorer la fluidite des sessions graphiques (transport UDP optionnel introduit avec RDP 8+). Retenez donc :

Port	Protocole	Role
3389	TCP	Canal principal RDP (obligatoire)
3389	UDP	Transport optionnel, meilleure reactivite graphique

Si vous ouvrez uniquement le port TCP, RDP fonctionne parfaitement. L'UDP apporte un confort supplementaire sur les sessions distantes chargees (bureau graphique, applications lourdes), mais reste facultatif.

Verifier le port RDP configure

Sur un serveur Windows, le port RDP est stocke dans le registre. Vous pouvez le lire rapidement en PowerShell :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber

Pour verifier que le service ecoute effectivement :

Get-NetTCPConnection -LocalPort 3389 -State Listen
Get-Service -Name TermService

Le service responsable de RDP est TermService (Services Bureau a distance). S'il n'est pas demarre, aucune connexion ne sera possible, quel que soit le port.

Faut-il changer le port RDP par defaut ?

C'est une question recurrente, et la reponse est nuancee. Changer le port RDP ne constitue pas une mesure de securite reelle : c'est de la securite par l'obscurite. Un scanner de ports moderne detecte un service RDP en quelques secondes, quel que soit le numero de port. En revanche, cette modification presente un interet marginal.

Ce que le changement de port apporte reellement

• Reduction du bruit des scans automatises ciblant specifiquement 3389.
• Moins d'entrees parasites dans les journaux d'evenements.
• Aucune protection contre un attaquant motive ou un scan complet.

Ce que le changement de port n'apporte PAS

• Aucune protection contre le brute-force si RDP reste expose publiquement.
• Aucune resistance a une vulnerabilite du protocole RDP lui-meme.
• Aucune substitution a un pare-feu ou a un filtrage par IP.

La vraie securite RDP ne repose pas sur le numero de port, mais sur le filtrage reseau, l'authentification forte et la limitation d'exposition.

Changer le port RDP proprement

Si vous decidez malgre tout de modifier le port (par exemple pour reduire le bruit), procedez methodiquement. Modifiez d'abord le registre :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 33890

Ensuite, ouvrez le nouveau port dans le pare-feu Windows AVANT de redemarrer le service, sinon vous risquez de perdre l'acces :

New-NetFirewallRule -DisplayName "RDP-Custom-TCP" -Direction Inbound -Protocol TCP -LocalPort 33890 -Action Allow
New-NetFirewallRule -DisplayName "RDP-Custom-UDP" -Direction Inbound -Protocol UDP -LocalPort 33890 -Action Allow

Redemarrez ensuite le service RDP :

Restart-Service -Name TermService -Force

Attention : gardez toujours une session active en parallele lors de ce type de manipulation, ou disposez d'un acces console independant. Sur un VPS Windows, la console KVM du panel OmegaCloud permet de reprendre la main meme si RDP devient inaccessible, ce qui evite le scenario classique du serveur verrouille a distance.

Securiser l'acces RDP : le vrai sujet

Configurer correctement les ports RDP Windows n'a de sens que dans une strategie de securisation globale. RDP expose directement l'authentification Windows sur Internet, ce qui en fait une cible privilegiee du brute-force et des tentatives d'exploitation. Voici les mesures qui comptent vraiment.

1. Ne jamais exposer RDP en 0.0.0.0

La regle numero un : ne laissez pas le port RDP ouvert a tout Internet. Restreignez l'acces a vos IP de confiance via le pare-feu Windows. Exemple avec une plage autorisee :

New-NetFirewallRule -DisplayName "RDP-Restricted" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress "203.0.113.10","198.51.100.0/24" -Action Allow

Bloquez ensuite toute autre source en supprimant les regles RDP trop permissives. Le filtrage par IP source est de loin la mesure la plus efficace pour reduire la surface d'attaque.

2. Activer NLA (Network Level Authentication)

Le NLA exige une authentification avant meme l'ouverture de la session graphique, ce qui limite considerablement l'exposition. Il est active par defaut sur les versions recentes de Windows Server, mais verifiez-le :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

3. Passer par un VPN ou un bastion

La meilleure approche consiste a ne pas exposer RDP du tout. Placez le serveur derriere un VPN (WireGuard, IPsec) ou un hote bastion, et n'autorisez RDP que depuis le reseau interne. Cette architecture reduit la surface d'attaque a un seul point d'entree controle.

4. Politique de mots de passe et verrouillage de comptes

Configurez un verrouillage de compte apres plusieurs echecs pour ralentir le brute-force :

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

Combinez cela avec des mots de passe longs et uniques pour chaque compte administrateur. Evitez le compte Administrator par defaut : renommez-le ou creez un compte dedie.

5. Surveiller les tentatives de connexion

Les evenements de securite RDP sont journalises. Filtrez les echecs d'authentification (event ID 4625) pour detecter les campagnes de brute-force :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50 |
  Select-Object TimeCreated, @{N='IP';E={$_.Properties[19].Value}}

Comparaison des approches de securisation RDP

Mesure	Efficacite	Complexite
Changement de port	Faible	Faible
Filtrage IP source	Elevee	Faible
NLA active	Moyenne a elevee	Faible
VPN / bastion	Tres elevee	Moyenne
Verrouillage de comptes	Moyenne	Faible

Pour les references officielles sur la configuration de RDP et de NLA, consultez la documentation Microsoft : Source.

Ports RDP et infrastructure : le contexte VPS

La configuration des ports RDP Windows ne se limite pas au serveur : elle depend aussi de l'infrastructure sous-jacente. Sur un VPS Windows, plusieurs couches interviennent entre Internet et votre service RDP, et il faut les comprendre pour eviter les mauvaises surprises.

Pare-feu Windows vs filtrage reseau

Le pare-feu Windows agit au niveau de l'OS. Sur une infrastructure serieuse, une couche de protection reseau intervient en amont. C'est notamment le cas de la mitigation volumetrique : l'anti-DDoS avance est inclus par defaut sur les services VPS Windows OmegaCloud, avec une mitigation kernel-level transparente. Vous n'avez donc pas a gerer les attaques volumetriques manuellement : elles sont absorbees cote infrastructure avant d'atteindre votre port RDP.

Ce que vous devez gerer vous-meme

• Le filtrage applicatif par IP (pare-feu Windows).
• L'authentification et les comptes utilisateurs.
• L'activation de NLA et le durcissement RDP.
• La journalisation et la surveillance des tentatives.

Ce qui est gere cote infrastructure

• La mitigation DDoS volumetrique (kernel-level).
• Le reseau redondant et l'uplink haute disponibilite.
• La reprise d'acces via console KVM en cas de blocage RDP.

Bonnes pratiques d'exposition sur VPS

Sur un VPS accessible publiquement, appliquez le principe du moindre privilege reseau. Ouvrez uniquement les ports strictement necessaires. Une configuration type pour un serveur Windows minimal :

Service	Port	Exposition recommandee
RDP	3389/TCP	IP de confiance uniquement
HTTP	80/TCP	Public si serveur web
HTTPS	443/TCP	Public si serveur web
WinRM	5985/5986	Reseau interne / VPN

Automatiser la configuration

Pour les environnements gerant plusieurs serveurs, scriptez le durcissement. Un exemple de script PowerShell idempotent permettant de figer la configuration RDP :

$rdpPath = "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"
Set-ItemProperty -Path $rdpPath -Name UserAuthentication -Value 1
Set-ItemProperty -Path $rdpPath -Name PortNumber -Value 3389

Remove-NetFirewallRule -DisplayName "RDP-Open-Any" -ErrorAction SilentlyContinue
New-NetFirewallRule -DisplayName "RDP-Trusted" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress "203.0.113.10" -Action Allow

Restart-Service -Name TermService -Force

Ce type de script peut etre integre dans un pipeline de provisioning via l'API et les integrations OmegaCloud, ce qui garantit une configuration coherente entre tous vos serveurs Windows. Le principe reste identique quelle que soit l'echelle : port maitrise, filtrage strict, authentification forte.

Pour comparer les approches Linux et Windows en matiere d'acces distant securise, l'offre VPS Linux OmegaCloud repose sur SSH par cles plutot que RDP, un modele souvent plus simple a durcir lorsque le besoin graphique n'est pas requis. Vous retrouverez d'autres guides d'administration sur le blog OmegaCloud.

Conclusion

Les ports RDP Windows se resument a un port principal, le 3389, en TCP et optionnellement en UDP. L'essentiel n'est pas le numero mais la maniere dont vous exposez et filtrez ce service. Filtrage par IP, NLA, VPN et surveillance des journaux constituent la base d'une configuration RDP saine. Le port par defaut suffit lorsqu'il est correctement protege.

FAQ

Quel est le port RDP par defaut sur Windows Server ?

Le port RDP par defaut est le 3389 en TCP, avec un canal UDP 3389 optionnel pour ameliorer la fluidite graphique. Le port TCP suffit pour etablir une connexion fonctionnelle. Vous pouvez le verifier dans le registre a la cle RDP-Tcp ou via Get-NetTCPConnection -LocalPort 3389.

Changer le port RDP ameliore-t-il vraiment la securite ?

Marginalement. Cela reduit le bruit des scans automatises ciblant le 3389, mais ne protege pas contre un scan complet ni contre le brute-force. Privilegiez le filtrage par IP source, l'activation de NLA et un acces via VPN ou bastion, qui offrent une securite reelle plutot que de l'obscurite.

Comment eviter de perdre l'acces RDP en modifiant le port ?

Ouvrez toujours le nouveau port dans le pare-feu Windows avant de redemarrer le service TermService, et gardez une session active en parallele. Sur un VPS, disposez d'un acces de secours comme une console KVM pour reprendre la main si RDP devient inaccessible apres la modification.