外网 RDP 连不进来？防火墙与端口排查

简短答案

外网连不进 RDP，卡点几乎都在「公网 → 内网」这一段：路由器没做 3389 端口映射、映射写错内网地址、目标机防火墙没放行 3389 入站、或运营商封锁了 3389 入站。逐段测通即可定位。

安全提示：3389 长期暴露公网会持续被扫描爆破。优先做法是改非标准端口 + 限制来源 IP + 强密码/域账号，条件允许时走 VPN 或远程接入方案（以单位安全制度为准）。

排查步骤

1. 目标机侧先保证通

在目标机上 Test-NetConnection 127.0.0.1 -Port 3389 确认服务在听；防火墙入站规则放行 3389（Windows 条目里有防火墙管理路径，服务器端规则参考 Windows Server 2012-2019 条目）。

2. 路由器端口映射

进路由器做 3389 映射：外网 3389（或改 33890 等高位）→ 内网目标机 IP:3389。注意内网地址变了映射就失效，给目标机绑静态 IP 或做 DHCP 保留。

3. 逐段验证

• 外网 Test-NetConnection 公网IP -Port 3389：通 = 链路 OK，问题在目标机；不通 = 映射或防火墙；
• 内网其他机器 ping 目标机 IP 通但外网不通 = 映射缺失；
• 运营商封锁 3389 很常见，改高位端口（映射规则里对应改）重试。

4. 凭据与连接

链路通了仍拒绝，按凭据与会话问题处理（与内网 RDP 相同的排查逻辑，见 快捷入口 对应的 RDP 条目页）。

现象对照

现象	指向
外网连接直接超时	映射缺失 / 运营商封 3389
外网连上但反复断	NAT 会话超时，长期会话需保活
提示凭据错误	链路已通，转凭据排查

操作小结

1. 顺序：目标机自测 → 映射 → 外网逐段 → 凭据
2. 3389 被运营商封是高频项，直接试高位端口
3. 暴露公网必须配套限 IP + 强口令
4. 长期方案优先 VPN/接入服务，别裸奔 3389

相关链接

• Windows 条目
• 站内搜索
• 快捷入口总览
• Windows Server 2012-2019 条目