Avec des serveurs distants plus répandus que jamais, chacun cherche des moyens de sécuriser son accès RDP. Le port par défaut 3389 est la cible de presque tout le monde, et si vous le laissez ainsi, les pirates informatiques n’attendent que de l’attaquer. Changer de port RDP n’est donc pas seulement une bonne idée, c’est presque indispensable pour une certaine sécurité. Le hic, c’est que Windows ne rend pas cela évident ni simple, surtout si vous ne l’avez jamais fait auparavant. On a parfois l’impression que Windows cherche à rendre la procédure aussi confuse que possible. Mais rassurez-vous, c’est faisable, et nul besoin d’être un expert en administration Windows pour y parvenir. Une fois le port modifié, il devient plus difficile pour les pirates de simplement rechercher le port 3389 ouvert, et c’est là que vos chances d’éviter une attaque augmentent. En résumé, c’est une petite modification qui vous assure une tranquillité d’esprit, surtout si votre serveur est connecté à Internet 24h/24 et 7j/7.
Méthodes pour modifier le port RDP d’un serveur Windows
Il existe plusieurs méthodes simples pour modifier le port RDP : via le Registre ou PowerShell. Les deux fonctionnent bien, mais il faut être prudent, car manipuler le registre n’est pas toujours une partie de plaisir si l’on n’y prête pas attention. Sur une configuration, c’est super fluide, sur une autre… eh bien, c’est parfois un peu capricieux. Pensez simplement à redémarrer votre service RDP et à mettre à jour les règles du pare-feu. Cette dernière étape est source de problèmes pour beaucoup, surtout s’ils oublient les règles du pare-feu ou ne redémarrent pas correctement le service.
Méthode 1 : Modification du port RDP à l’aide de l’Éditeur du Registre
C’est la méthode classique. C’est la plus directe, mais il faut être très prudent, car modifier le registre peut entraîner des problèmes en cas d’erreur. Pourquoi cela fonctionne-t-il ? Parce que le numéro de port est stocké directement sous la clé de registre ; le modifier indique à Windows d’écouter les connexions RDP entrantes sur un autre port. Cela s’applique à chaque connexion à distance. Une fois configuré correctement, c’est comme un petit verrou numérique empêchant les scanners de rechercher le port 3389.
- Ouvrez le menu Démarrer, saisissez « Éditeur du Registre » et ouvrez-le. Si le Contrôle de compte d’utilisateur (UAC) apparaît, cliquez sur « Oui ».
- Accédez à cette adresse :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Le moyen le plus simple est de développer vos dossiers étape par étape ou de simplement le coller directement dans la barre d’adresse de l’Éditeur du Registre. - Sur le côté droit, recherchez « PortNumber » et double-cliquez dessus pour le modifier. Assurez-vous de sélectionner « Décimal » sous « Base ».
- Modifiez les données de valeur selon le numéro de port souhaité : choisissez simplement un port libre aléatoire, comme 3390 ou 50000.(Ne choisissez pas quelque chose qui est déjà utilisé.) Par exemple, entrez 3390.
- Cliquez sur OK et fermez l’Éditeur du Registre.
Cela ne fait que définir le port : il ne l’active pas et ne demande pas encore à Windows de l’autoriser à traverser le pare-feu. L’étape suivante consiste donc à vérifier que Windows écoute le nouveau port et que le pare-feu ne le bloque pas. C’est là que la plupart des gens trébuchent.
Méthode 2 : Modification du port RDP via PowerShell
Si vous êtes plus à l’aise avec la ligne de commande ou recherchez une méthode plus rapide, PowerShell est fait pour vous. C’est un peu plus moderne et moins risqué que de fouiller manuellement dans le registre, mais vous devez tout de même l’exécuter en tant qu’administrateur, car cela perturbe les paramètres système.
- Appuyez sur la Windowstouche, tapez Windows PowerShell, faites un clic droit et choisissez Exécuter en tant qu’administrateur.
- Si vous y êtes invité par le contrôle de compte d’utilisateur, cliquez sur Oui.
- Utilisez cette commande en remplaçant [Numéro de port] par votre port personnalisé, comme 3390 :
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value 3390
Après avoir exécuté ceci, n’oubliez pas : vous devez toujours mettre à jour vos règles de pare-feu.
Comment implémenter les modifications dans le port RDP
Changer le port seul ne suffit pas : vous devez indiquer à Windows d’autoriser le trafic sur ce nouveau port. Sinon, votre connexion à distance sera bloquée. Voici la marche à suivre :
- Ouvrez le Pare-feu Windows Defender avec sécurité avancée. Pour ce faire, appuyez sur Windows + R, saisissez
firewall.cplou recherchez « Pare-feu Windows Defender », puis appuyez sur Entrée. - Cliquez sur Règles entrantes, puis sélectionnez Nouvelle règle.
- Choisissez Port comme type de règle et cliquez sur Suivant. Comme il s’agit de trafic TCP/UDP, sélectionnez TCP. Sélectionnez ensuite « Ports locaux spécifiques » et saisissez votre nouveau numéro de port.
- Cliquez sur Suivant, puis sélectionnez « Autoriser la connexion ». Déterminez si cette règle s’applique aux réseaux de domaine, privés ou publics. En général, « Privé » suffit si vous êtes connecté à un réseau local, mais si vous êtes distant, vous pourriez en avoir besoin pour les trois.
- Nommez-le par exemple « Port personnalisé RDP » et cliquez sur Terminer. Répétez les étapes, mais choisissez UDP si nécessaire, surtout si votre configuration utilise UDP pour RDP.
- Enfin, redémarrez le service Services Bureau à distance : appuyez sur Windows + R, tapez
services.msc, appuyez sur Entrée, recherchez Services Bureau à distance, faites un clic droit et choisissez Redémarrer.
Oui, c’est un peu long. Mais sur une de mes configurations, ça a fonctionné après tout ça ; sur une autre, j’ai dû redémarrer deux fois, car Windows peut être récalcitrant. L’essentiel est de vérifier que votre nouveau port est autorisé à traverser le pare-feu et que le service est redémarré. De plus, vérifiez votre port après chaque modification, car Windows n’est pas toujours clair sur le nouveau port d’écoute.
Comment vérifier le port RDP sur Windows Server
Après tout ce travail, il est bon de vérifier vos modifications. Voici la méthode la plus rapide : exécutez PowerShell en tant qu’administrateur et exécutez :
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber"
Cela vous indiquera le numéro de port actuellement écouté par Windows. Assurez-vous qu’il correspond à celui que vous avez défini. Sinon, cela peut signifier que les modifications du registre n’ont pas été prises en compte ou qu’une autre stratégie le remplace.
Derniers mots
Une fois toutes ces étapes effectuées, votre port RDP sera modifié, passant de son port par défaut à un port plus discret. Gardez simplement à l’esprit que le port doit être ouvert dans le pare-feu et les services redémarrés, sinon vos sessions à distance refuseront de fonctionner. Je ne sais pas pourquoi, mais sur certains serveurs, il faut quelques redémarrages avant que tout soit stable. Mais globalement, ce petit ajustement peut sérieusement améliorer votre sécurité.
Résumé
- Registre modifié ou PowerShell utilisé pour définir un nouveau port
- Règles de pare-feu mises à jour pour autoriser le trafic sur le nouveau port
- Redémarrage des services de bureau à distance pour appliquer les modifications
- Vérifié le nouveau port avec les commandes PowerShell
Conclure
Croisons les doigts, cela aidera quelqu’un à rendre sa configuration à distance un peu plus privée. Ce n’est pas une sécurité infaillible, mais c’est certainement une bonne solution si vous souhaitez rendre la tâche un peu plus difficile pour le scanner ou le scripteur lambda. Pensez simplement à surveiller votre port personnalisé et à mettre à jour vos règles de pare-feu à chaque modification. Bonne chance, et j’espère que cela fonctionnera sur votre machine ; ça a fonctionné pour moi, en tout cas !