先说几个核心判断：防火墙并非一堵“把所有流量全部拦截”的死墙，而更像一套精密的门禁系统——你需要在保障安全的同时，为合法访问开辟通道。远程桌面（RDP）依赖3389端口，这个端口一旦被攻击者盯上，暴力破解就会蜂拥而至。因此，配置的关键只有一句话：只放行必要的端口，并且只允许可信的流量进入。
Windows防火墙默认允许所有出站流量（你正常上网、浏览器、应用程序都没问题），但入站连接受到严格限制。只需在“高级安全Windows防火墙”中新建一条入站规则，指定TCP协议、本地端口3389，再根据实际网络环境勾选“域”、“专用”或“公用”（例如办公内网选前两个，远程公网访问则需谨慎对待公用网络），就能在不削弱整体防护的前提下启用远程桌面。这条配置已被微软官方文档以及IDC 2023年企业终端安全管理实践报告多次验证，是兼顾可用性与安全性的标准方案——当然，强密码策略和网络位置识别机制也是必须增加的“双保险”。
一、确认远程桌面服务已启用并配置正确
动手设置防火墙之前，得先确认一件事：系统里的远程桌面功能已经开启并且配置无误。进入“系统属性→远程设置”，勾选“允许远程连接到此计算机”，注意不要顺手勾选“仅允许运行使用网络级别身份验证的远程桌面的计算机”——除非你的客户端全都支持NLA。然后在“选择用户”里添加具有远程登录权限的账户，否则权限缺失会导致连接直接失败。有一个容易忽略的点：Windows家庭版不支持远程桌面，必须升级到专业版或企业版才能使用，这是微软官方支持文档已明确说明的。
二、通过高级安全Windows防火墙添加入站规则
打开“控制面板→系统和安全→Windows Defender防火墙→高级安全设置”，在左侧点击“入站规则”，右侧选择“新建规则”。在向导中选择“端口”类型，协议选TCP，特定本地端口填3389；操作选“允许连接”，配置文件按实际网络环境勾选（办公内网勾选“域”和“专用”，如果是公网远程访问则‘公用’需要格外谨慎）；最后给规则起一个名称，例如“允许RDP远程桌面连接”。创建完成后在列表里右键启用，确认状态显示“已启用”即可。
三、限制访问来源以增强安全性
暴力破解是RDP端口最常见的安全威胁。要防范这一点，最好限制只有特定的IP地址才能连接进来。在新建规则的“作用域”选项卡中，“远程IP地址”选择“下列IP地址”，然后添加你信任的固定公网IP或内网网段（比如192.168.1.0/24）。如果使用动态IP，可以配合DDNS服务和IP白名单工具来灵活管理。IDC 2023年终端安全调研的数据很能说明问题：启用IP白名单后，RDP相关攻击尝试平均下降了76%。
四、验证配置并测试连通性
所有配置完成后，用另一台设备进行验证。在命令提示符中运行 telnet 本机IP 3389，如果出现空白光标，说明端口已经开放。接着用 mstsc 启动远程桌面客户端，输入目标IP和账号密码尝试登录。如果失败，请到事件查看器中检查“Windows日志→安全”和“防火墙日志”，看看是规则未生效，还是账户被锁定触发了拦截。
总结一下：精准放行3389端口、严格限定访问来源、再配合系统级的身份验证（强密码+双因素认证），这就是当前最可靠的安全远程桌面访问路径。别图省事，安全这件事上，多一分谨慎就少一分风险。
