Windows 远程桌面协议（RDP）的默认端口是 TCP 3389。在部分受支持且完成协商的连接中，RDP 也可能使用 UDP 3389。端口号回答的是“请求要交给目标设备上的哪个服务”，并不能单独说明服务是否运行、网络是否可达，或用户是否获准登录。理解这几层关系，能避免把连接故障一概归因于端口，也能减少对“开放端口”含义的误解。
搜索“remote desktop port”或“windows remote desktop port”的读者，通常想知道的正是这个默认值。简短答案是：RDP 默认使用 TCP 3389；UDP 3389也可能参与传输，是否使用取决于客户端、服务端、协商结果和网络条件。下文解释端口、协议、连接方向以及防火墙和网络地址转换之间的关系，不提供修改设置或开放端口的操作步骤。
远程桌面端口号代表什么
端口是网络通信中的逻辑编号。网络地址指出数据要到达哪台设备或哪个网络接口，端口号则帮助设备把请求交给相应服务，传输协议规定数据如何在两端交换。因此，远程连接通常要同时涉及目标地址、传输协议和端口号，而不是只输入一个数字就能确定连接结果。
可以把它想成办公楼的地址、房间号和传递规则：网络地址指向大楼，端口号指出要找哪个服务，传输协议规定信件如何送达。这个比喻只用于说明层次，真实网络还会经过路由器、防火墙、网关或虚拟专用网络。知道目标端口是 3389，并不等于确认目标正在运行远程桌面服务，也不代表请求已经穿过沿途策略。
几项常被混为一谈的概念，可以这样区分：
- 服务：在设备上等待并处理请求的软件功能，例如 Windows 远程桌面服务。
- 端口号：服务通信时使用的数字标识。RDP 的默认端口号为 3389。
- 传输协议：规定数据传送方式的网络协议。这里主要涉及 TCP 和 UDP。
- 网络地址：标识通信目标的地址。端口号不能取代网络地址，也不能单独定位一台设备。
TCP 和 UDP 是不同的传输协议。TCP 建立连接，并按顺序交付数据；UDP 采用不同的传输方式，通常不建立同类连接状态。它们不是同一个端口的两种叫法，而是在各自协议下分别标识端点。因此，“TCP 3389”和“UDP 3389”是两个不同的通信端点。数字相同，不代表可以互换，也不能由此推断两者都已启用。
RDP 是微软开发的远程桌面协议，常用于通过网络查看和操作 Windows 桌面。客户端发起会话，目标主机上的远程桌面服务接收请求。若想了解连接的一般工作方式，可阅读远程桌面原理与连接说明；若关注 Windows 远程桌面服务的组成，可查阅远程桌面服务介绍以及微软的服务概览。
RDP 默认端口是 TCP 3389
微软将 3389 列为远程桌面服务的默认侦听端口。TCP 3389 是常见 RDP 连接的主要端点；在支持相应传输并协商成功的连接中，UDP 3389也可能用于远程桌面通信。两者的作用不能简化为“必须同时开放”，也不能认为每个 Windows 版本、每种部署或每次连接都会同时使用两种协议。具体行为应以适用版本的微软文档和所在组织的网络策略为准。
| 对比项目 | TCP 3389 | UDP 3389 |
|---|---|---|
| 所属协议 | 传输控制协议 | 用户数据报协议 |
| 与 RDP 的关系 | 默认远程桌面侦听端口所用的主要端点 | 在受支持的连接中可能用于远程桌面传输 |
| 端点含义 | TCP 协议下的 3389 端点 | UDP 协议下的 3389 端点，不是 TCP 的别名 |
| 是否必然使用 | 仍须有目标服务、侦听端口和可用网络路径 | 取决于客户端、服务端、协商过程和网络环境 |
这张表用于区分概念，并不代表每个环境都会同时使用 TCP 和 UDP。某些网络允许 TCP 流量，却限制 UDP；这种情况下，连接实际采用的传输路径或使用体验可能不同。不能只看端口数字就判断 UDP 已启用，也不应把“远程桌面必须同时开放两种传输”当作普遍规则。
一句话记忆：3389 是端口号，TCP 和 UDP 是传输协议，RDP 是远程桌面协议。三者描述不同层面，组合起来才表达“哪项服务通过哪种传输方式使用哪个端口”。
3389 以外的端口号不一定是远程桌面
其他数字可能来自管理员设置的自定义端口，也可能属于另一项网络服务。仅凭端口号，不能断定服务身份。Windows 远程桌面服务若采用非默认端口，客户端、主机防火墙以及沿途网络路径都要与实际部署相符。修改端口属于独立配置事项；只改数字不会自动解决身份验证、账户权限或网络边界问题。
3390 不是 Windows RDP 的默认端口。管理员可能在某个环境中将它指定给远程桌面，也可能由其他程序使用，实际服务应以设备配置为准。5985 常与 Windows 远程管理的网页服务管理（WinRM）有关，不应误认为 RDP 默认端口。端口数字只能作为排查线索，不能替代服务配置核验。
搜索词“remote desktop port change”常指更改远程桌面端口的操作。但端口可配置，不代表适合在不了解依赖关系时自行调整。更改后，客户端连接信息、主机防火墙和网络路径都可能需要与新设置一致。本文只解释概念，不提供注册表、脚本或防火墙规则的修改步骤；实际变更应参考适用于目标系统版本的单独指南，并由了解网络拓扑的管理员处理。
连接方向：客户端出站，目标主机入站
假设有人在家用笔记本访问办公室电脑。笔记本是客户端，办公室电脑是目标主机。客户端将请求发往目标地址和 RDP 服务端口；数据随后要经过本地网络、互联网或企业专网、网络边界设备，以及目标设备自身的防火墙。虚拟专用网络、远程桌面网关和企业路由设计也可能改变实际路径。
RDP 客户端 → 发起侧网络 → 互联网或企业专网 → 边界防火墙或网络地址转换设备 → 目标 Windows 主机的 RDP 服务
箭头表示请求由客户端发往目标，并不表示所有环境都只有一条直线路径。企业可能要求用户先接入虚拟专用网络，或通过远程桌面网关转送会话。用户看到的也许只是一个桌面窗口，底层通信却可能经过多层网络设备。
“入站”和“出站”必须说明参照对象。对目标 Windows 主机而言，远程客户端发来的 RDP 请求属于入站流量；对客户端而言，同一请求属于出站流量。只说“我已经允许出站连接”，并不能证明目标端也允许接收请求。把设备和方向说清楚，能避免讨论防火墙规则时各自指向不同的网络边界。
客户端侧：发起出站请求 ─────────────→ 目标侧：接收入站请求
TCP 3389（RDP 默认端口）
两台设备位于同一受控内网时，网络路径可能较直接。如果目标主机位于家用路由器后方，外部客户端要访问内网设备，还会涉及网络地址转换（NAT）和边界策略。企业则可能把访问限制在虚拟专用网络或远程桌面网关之后。网关是另一种会话入口，不能与客户端直接访问目标主机的路径混为一谈。
防火墙、网络地址转换与端口转发各管什么
防火墙依据策略允许或阻止流量；网络地址转换会在不同地址空间之间改写网络地址或端口信息；端口转发通常指边界设备把特定外部流量映射到内部目标。设备可能同时承担多种功能，但这些概念的作用并不相同。
主机防火墙管理目标设备自身的流量策略，网络边界防火墙管理网络区域之间的流量，路由器上的端口转发则可能把到达某个外部地址和端口的请求映射到内部设备。规则允许请求通过某个控制点，不代表目标服务已经接收请求。服务没有侦听、目标主机不可达、路由错误或身份验证失败，都可能让会话无法完成。
NAT 后的内部主机通常使用私有地址，外部客户端不能仅凭该地址直接找到它。若管理员规划了访问路径，目的地址、映射关系、协议、端口和主机服务必须彼此一致。缺少合适路由或映射时，外部请求可能无法抵达目标。NAT 本身既不等于防火墙，也不能单独保证流量会被允许或阻止；结果取决于设备策略和网络拓扑。
端口号标识服务端点，转发规则则说明符合条件的流量应被送往何处。若规则指向错误设备、错误端口或错误传输协议，预期会话仍无法建立。主机防火墙与边界防火墙也可能分别作出不同决定，所以排查时应按实际路径逐段确认，而不是只检查路由器。
端口开放不等于已经获得访问权限
“端口开放”或“端口可达”通常表示，在某条特定网络路径上，连接尝试可以到达某个服务端点。这不等于远程会话已经建立，更不等于访问者有权操作设备。至少要把四件事分开：网络能否到达目标、服务是否在侦听、会话是否通过身份验证，以及账户是否具备所需权限。端口扫描结果或单次连通性提示，都不能替代完整的访问判断。
同样，端口可达也不证明目标一定运行 RDP。某个端口可能由其他服务使用，也可能只是网络设备允许请求继续传递。只有结合目标设备、服务配置、传输协议和认证结果，才能判断连接停在哪一层。连接失败可能来自路由、策略、服务状态、客户端配置或账户认证；将所有原因归结为“3389 没开”会让排查走偏。
更改 RDP 端口不会自动消除安全风险。它改变的是服务入口所用的数字，不会自行改变身份验证方式、账户权限或网络边界条件。微软关于远程桌面侦听端口的资料说明默认端口和自定义端口之间的关系；安全部署还要结合系统版本、组织策略和可信的安全文档。更换端口不能代替完整的访问控制。
讨论“远程桌面端口放行”时，先确认问题指的是主机防火墙、网络边界策略，还是路由器上的端口转发。它们作用的位置和配置对象各不相同。若需要修改 RDP 端口或防火墙策略，应由熟悉该网络拓扑的管理员依据对应系统和设备文档处理，而不是照搬其他环境的规则。尤其在企业网络中，先确认组织规定的访问入口和允许范围，再讨论端口策略。
RDP 与 AnyDesk 的网络路径不同
RDP 和 AnyDesk 都可用于远程访问，但连接架构不一样。典型 RDP 连接由客户端访问目标 Windows 主机上的 RDP 服务，目标侧需要有适合当前部署的服务访问路径。AnyDesk 客户端则通常从各自网络向外建立连接，并尝试直接建立会话；在无法直接连接的适用情形下，也可能通过 AnyDesk 中继服务转送会话数据。
AnyDesk 官方的防火墙与网络要求说明了客户端与 AnyDesk 网络服务之间的连接要求。中继服务转送会话数据，并不是目标设备上另一个 RDP 侦听端口的别称。此类架构在某些环境中可以减少对目标侧外部入站连接的依赖，但不能据此断言 AnyDesk 在所有网络中都不需要入站流量，也不能保证任何防火墙策略下都能连接。代理服务器、严格的出站策略、网络隔离和本地规则都可能影响结果。
| 对比角度 | 典型 RDP 连接 | AnyDesk 连接 |
|---|---|---|
| 发起方式 | 客户端访问目标 Windows 主机上的服务 | 两端客户端通常向外连接，并尝试建立会话 |
| 目标侧路径 | 需要符合部署设计的目标服务访问路径 | 在适用条件下可经中继，减少对目标侧外部入站连接的依赖 |
| 网络条件 | 受目标地址、路由、防火墙和网关设计影响 | 受出站策略、产品网络要求及直连或中继条件影响 |
| 中继方式 | 可通过远程桌面网关等架构转送，取决于部署 | 无法直接建立会话时，可能由 AnyDesk 中继服务转送 |
| 核对资料 | 微软文档和组织网络设计 | AnyDesk 官方网络文档 |
我会先问一个实际问题：连接从哪一侧发起，目标侧是否允许这条访问路径？若组织已管理 Windows 主机和相应网络路径，RDP 可能适合现有工作方式；若要通过远程访问软件建立会话，则应依据 AnyDesk 当前的官方网络要求评估。两者不是只靠比较端口数字就能决定的同类配置项。需要了解产品专属端口和防火墙要求，可参阅AnyDesk 端口与防火墙说明。该资料针对 AnyDesk 产品网络要求，不能直接套用到 RDP。
排查连接问题时，按路径逐项确认
反复尝试不同端口数字，通常不如先拆开目标服务、传输协议和网络路径。下面的顺序用于整理应核对的概念，并非命令清单或配置教程：
- 确认目标设备：判断连接对象是正确的 Windows 主机、远程桌面网关，还是其他远程访问服务。地址写错时，端口正确也无济于事。
- 核对服务与端口：确认目标服务是否运行，以及实际侦听的是默认端口还是管理员配置的其他端口。
- 分清传输协议：确认讨论的是 TCP 还是 UDP。相同数字下的不同协议端点不可混为一谈。
- 标明连接方向：说明请求从哪台设备或网络区域发起、要由哪里接收。客户端出站与目标主机入站描述的是同一流量的两面。
- 识别中间路径：找出主机防火墙、边界防火墙、NAT、端口转发、虚拟专用网络或远程桌面网关是否位于路径中。
- 区分产品架构：RDP 目标服务访问与 AnyDesk 的出站会话及可能的中继路径不同，不能把一种产品的网络要求套到另一种产品上。
连接失败时，先判断请求能否抵达预期设备，再确认目标服务是否接受相应协议和端口，之后区分网络拒绝、服务无响应与身份验证失败。这样的顺序有助于避免把每个问题都归因于 3389，也能避免把端口可达误判为账户权限问题。
有些部署使用远程桌面网关。此时客户端先访问网关，再由网关按组织设计连接内部资源，路径与客户端直连目标主机不同。在受管理的企业网络中，应先向管理员确认入口位置、允许的访问范围和适用的传输方式。家庭网络也要先弄清服务所在设备及路由边界；本文不提供将服务暴露到公网或配置路由器的步骤。
需要 AnyDesk 专属网络说明时，可查看端口与防火墙专题并对照官方文档。若要了解 AnyDesk 的远程访问产品，可访问AnyDesk 官方网站。RDP 端口变更、启用 Windows 远程桌面和防火墙规则设置都是独立操作主题，应参照适用的系统管理资料。
常见问题
RDP 默认端口是什么？
Windows 远程桌面协议默认使用 TCP 3389。UDP 3389也可能用于远程桌面传输，是否使用取决于系统版本、客户端、协商过程和网络条件。可参阅微软远程桌面侦听端口说明。
RDP 使用 TCP 还是 UDP？
不能简单二选一。TCP 3389 是默认远程桌面侦听端口；受支持的连接也可能使用 UDP 传输。应结合适用的 Windows 版本、客户端和网络策略判断，不能只凭端口数字推断实际传输方式。
3389 端口代表什么？
3389 是 RDP 默认使用的端口号，不是协议名称，也不是访问权限。TCP 3389 与 UDP 3389属于不同传输协议下的端点；实际部署也可能采用自定义端口。
NAT 会影响远程桌面连接吗？
会影响网络路径。NAT 可能使内部设备使用的地址无法从外部直接寻址；连接是否可行，取决于地址转换、路由、防火墙规则和部署方式。NAT 不是远程桌面服务，也不能单独说明连接一定可用或不可用。
3390 是 RDP 默认端口吗？
不是。默认端口是 3389。3390 可能由管理员指定给 RDP，也可能属于其他服务，应以目标设备上的实际配置为准。
AnyDesk 与 RDP 的连接方向相同吗？
不完全相同。典型 RDP 连接由客户端访问目标 Windows 主机上的服务；AnyDesk 客户端通常向外连接，并在适用时通过中继服务传送会话。实际结果仍受防火墙、代理和产品设置影响。
更改 RDP 端口就能提升安全性吗？
更改端口只会改变服务使用的入口数字，不会自动改变身份验证、账户权限或网络边界策略。端口调整应结合系统版本和组织安全要求评估，不能视为完整防护措施。
技术复核日期：2026年10月31日。 端口和产品网络行为可能随系统版本、部署方式及官方文档更新而变化。实际管理时，应以适用版本的官方资料和所在组织的网络策略为准。
来源
- 远程桌面侦听端口说明，微软支持
- 远程桌面服务概览，微软学习
- 防火墙与网络要求，AnyDesk 帮助中心
- 传输控制协议，维基百科
Related: AnyDesk 远程桌面, 如何允许远程桌面连接, 修改远程桌面端口的方法