服务器远程连接的默认端口是22（Linux/SSH协议）和3389（Windows/远程桌面协议）。 不同操作系统和远程工具使用的端口号不同,实际运维中经常需要根据场景修改默认端口以提升安全性。
服务器远程端口到底怎么区分
很多新手容易把服务器远程端口和网站端口搞混，网站访问走的是80（HTTP）和443（HTTPS），而远程管理走的是另外一套端口，搞清楚这一点,能少走不少弯路。
远程桌面（Windows）默认端口
Windows服务器最常用的远程方式是微软远程桌面协议（RDP），默认监听3389端口，在本地电脑按Win+R，输入mstsc，在“计算机”栏填IP:3389就可以连接，国内绝大多数云服务器Windows镜像，比如简米云、酷番云,开箱即用的是这个端口。
SSH远程（Linux）默认端口
Linux服务器使用SSH协议进行远程管理。默认端口是22，通过终端工具（如Xshell、Putty）连接时，填IP:22即可，对于没有图形界面的云服务器,这是唯一可靠的远程通道。
其他常见远程端口
部分服务商或自建环境会用到其他端口：
- 5900：VNC远程桌面默认端口，多用于图形化Linux环境
- 5632：pcAnywhere（老牌远程工具）
- 3380：部分国产远程软件自定义端口
- 443：HTTPS封装远程桌面，用于穿透防火墙
服务器远程端口怎么改成非默认值
默认端口最大的问题是暴露面太大，公网扫描工具一秒钟就能扫出大量开着3389的Windows机器，暴力破解脚本无差别攻击,把端口改掉是安全加固的第一步。
Windows服务器修改3389端口实操
这里给出一套经过验证的操作路径：
- 打开注册表编辑器（
Win+R，输入regedit） - 定位到
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp
- 找到右侧的PortNumber项，双击选择“十进制”
- 将3389改成自定义端口（建议50000-60000之间的五位数,避开常见服务端口）
- 点击确定，重启服务器生效
重启后，本地连接时在IP后面加冒号和端口号，例如45.67.89:52345。
两个容易踩的坑：一是改完必须在云服务商的安全组/防火墙里放行新端口，否则外部连不上；二是Windows防火墙本身也要添加新端口的入站规则,命令如下：
netsh advfirewall firewall add rule name="NewRDP" dir=in action=allow protocol=TCP localport=52345
Linux服务器修改22端口实操
在CentOS/RHEL系发行版上,操作如下：
- 编辑SSH配置文件：
vi /etc/ssh/sshd_config - 找到
#Port 22这一行，去掉注释，修改为Port 52345 - 如果防火墙开着，执行
firewall-cmd --permanent --add-port=52345/tcp && firewall-cmd --reload - 重启SSH服务：
systemctl restart sshd
注意顺序：一定要先放行新端口，再重启服务，顺序搞反了，SSH直接断连,只能去控制台VNC救场。
Ubuntu/Debian系的防火墙用的是ufw,执行：
ufw allow 52345/tcp ufw reload
云服务器远程端口怎么查看是否生效
改完端口心里没底,需要验证监听状态和连通性。
本机查看监听端口
Windows服务器在CMD中执行：
netstat -ano | findstr 52345
Linux服务器执行：
ss -tlnp | grep 52345
看到LISTEN状态说明服务已经在监听新端口，如果看不到任何输出,说明服务可能没起来或配置有误。
外部连通性测试
本地电脑用telnet测试：
telnet 123.45.67.89 52345
出现黑屏或光标闪烁说明端口通，如果提示“无法打开到主机的连接”,检查三步：
- 云控制台安全组是否放行新端口
- 服务器系统防火墙是否放行
- 服务是否在监听该端口
不同云服务商远程端口配置差异
国内主流云厂商的安全组策略大同小异,但入口位置和名词不一样。
简米云
控制台→实例→安全组→配置规则→入方向，默认只放行22、3389、80、443。新增端口时注意授权对象填0.0.0/0,否则限制源IP会导致连接失败。
酷番云
防火墙规则在“安全组”模块，支持一键放通全部端口，修改远程端口后，规则里旧的22/3389建议删掉,只保留新端口和业务端口。
华为云
安全组入门规则与简米云类似，但默认有“仅允许特定IP”的选项，IP地址段写法是CIDR格式，比如2.3.4/32代表只允许单个IP访问。
服务器远程连接端口被扫怎么办
日志里全是暴力破解尝试，这是公网服务器的常态，除了修改非默认端口,还有几层防护手段。
端口敲门（Port Knocking）
这个方案比较硬核，服务端配置为默认不开放远程端口，只有按特定顺序发送一系列连接请求后，防火墙才临时放行，具体实现需要用到knockd工具,适合对安全性有极致要求的场景。
白名单IP限制
现在主流云服务商的控制台都支持“安全组绑定IP”，设置后只允许公司出口IP连接远程端口，即便是默认的3389，绑定了IP白名单后被爆破的风险大幅降低，个人服务器如果IP固定,强烈建议这么做。
多因素认证
微软官方的RDG网关或第三方工具（如JumpServer）可以给远程登录套一层动态令牌，业界不少安全公司（如奇安信）的基线检查标准中，也把“服务器远程端口是否已修改”列为高危项。
常见远程端口迷思澄清
改端口能彻底防止入侵吗
不能，端口混淆只是提高了攻击成本，并非安全免疫，对于确定存在的高危漏洞，比如Windows旧版远程桌面服务漏洞（蓝屏漏洞），无论端口改成多少，只要服务暴露在公网，都可能被扫描和利用，所以改端口必须配合补丁更新和强密码，业内专家指出，远程端口修改是安全基线的起点,而不是终点。
远程管理端口和数据库端口会冲突吗
会，常见数据库端口3306（MySQL）、5432（PostgreSQL）在修改远程端口时应避开，建议在新端口选择时用一个规则：不使用1-1024的知名端口，不使用3306、6379、27017等数据库默认端口，尽量选49200-65535之间的高位端口。
服务器远程端口相关Q&A
服务器远程连接老是被拒绝，怎么排查端口问题
先确认IP和端口填写是否正确，再看云控制台安全组有没有放行，如果安全组没问题，在服务器本地执行netstat -ano | findstr 端口号查看监听状态，本地都查不到监听,多半是服务没启动或者配置被改坏了。
服务器远程端口被恶意扫描频繁，要不要马上改端口
要，但别急着重启服务器，先通过控制台VNC登录，把端口改掉，同步更新安全组和防火墙规则，最后重启服务，改完后把系统日志里的异常IP拉黑，观察几天看扫描频率是否下降,一次性改完省得折腾。
修改远程端口后，原来保存的远程连接配置怎么办
之前的快捷方式或客户端配置会失效，需要手动编辑连接配置，把端口改成新值，Windows自带的远程桌面客户端在“计算机”一栏填IP:新端口，Linux的SSH客户端用-p 新端口参数，配置改了之后建议测试连通,确认无误再删除旧配置。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/884992.html
