【ITニュース解説】いまさら聞けない「RDP」と「ポート」の関係と、ポート番号の変更方法

リモートデスクトップは、遠隔地にあるコンピュータをまるで目の前にあるかのように操作できる便利な技術である。システムエンジニアを目指す上で、このリモートデスクトップを安全かつ効率的に利用するための基礎知識は非常に重要となる。特に、「RDP」と呼ばれるプロトコルと、ネットワーク通信における「ポート」という概念の理解は欠かせない。

RDPとは「Remote Desktop Protocol」の略で、マイクロソフト社が開発した通信規約である。Windowsコンピュータに標準搭載されており、このプロトコルを利用することで、離れた場所にあるWindowsコンピュータの画面表示を自分のコンピュータに転送し、キーボードやマウスの操作情報を相手のコンピュータに送り返すことで、遠隔操作を可能にする。あたかも直接コンピュータを操作しているかのような感覚で作業ができるため、システム管理やリモートワークで広く活用されている。

このRDP通信を行う上で不可欠なのが「ポート」である。ネットワーク上でコンピュータが通信する場合、データはまずIPアドレスを使って特定のコンピュータに届けられる。しかし、一台のコンピュータは同時に多くのアプリケーションやサービスを実行しているため、そのコンピュータに届いたデータが、どのアプリケーションやサービスに向けられたものなのかを識別する必要がある。この識別子として機能するのが「ポート番号」である。ポート番号は0から65535までの数値で表され、それぞれの番号が特定のサービスやアプリケーションと紐付けられている。例えば、Webサイトの閲覧に使われるHTTP通信は80番ポートを、セキュアなHTTPS通信は443番ポートを、電子メールの送受信に使われるSMTPは25番ポートを、POP3は110番ポートをといった具合である。これらのポート番号は、ネットワーク通信における特定のサービスの「窓口」のような役割を果たす。

RDPもこのポート番号を利用して通信を行う。RDP通信がデフォルトで利用するポート番号は「TCP 3389番」である。つまり、リモートデスクトップ接続を開始するコンピュータは、接続先のIPアドレスに加え、この3389番ポートを指定して接続を試みる。接続先のコンピュータでは、3389番ポートでRDPサービスが待機しており、そこからの接続要求を受け入れることで、リモートデスクトップセッションが確立されるのである。

このデフォルトの3389番ポートは広く知られているため、セキュリティ上のリスクが存在する。悪意のある攻撃者は、このデフォルトポートを狙って、自動化されたツールを用いてリモートデスクトップへの不正なアクセスを試みる場合が少なくない。このような攻撃は「ブルートフォースアタック（総当たり攻撃）」と呼ばれ、多数のパスワードを短時間に試すことで、システムへの侵入を試みる。

そこで、RDPのポート番号をデフォルトの3389番から別の番号に変更することが、セキュリティ対策の一つとして推奨される。ポート番号を変更することで、デフォルトポートを狙った自動的な攻撃の対象から外れやすくなり、攻撃者が不正アクセスを試みる際の障壁を高める効果が期待できる。これは「セキュリティの隠蔽」とも呼ばれ、完全に安全を保証するものではないものの、システムへの不正な試行回数を減らす有効な手段となる。

Windows環境でRDPのポート番号を変更する手順は、主にWindowsの設定情報を管理する「レジストリ」を編集することによって行う。具体的な手順の概要は以下の通りである。まず、管理者権限でレジストリエディターを起動する。次に、レジストリエディター内で「HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp」というパスに移動する。このパスの中にある「PortNumber」という項目が、RDPが利用するポート番号を定義している箇所である。この「PortNumber」の値を、デフォルトの3389から、他の任意の未使用のポート番号（例えば40000番台の番号など）に変更する。レジストリの変更が完了したら、システムを再起動することで、新しいポート番号がRDPサービスに適用される。

ただし、ポート番号の変更だけでは不十分である。システムには「Windows Defender ファイアウォール」というセキュリティ機能が組み込まれており、これは外部からの不正な通信を遮断する役割を担っている。デフォルトのファイアウォール設定では、RDPの通信は3389番ポートを介する場合にのみ許可されている。そのため、RDPのポート番号を変更した場合、このファイアウォールの設定も新しいポート番号を許可するように変更する必要がある。具体的には、Windows Defender ファイアウォールの「受信の規則」に、変更した新しいポート番号を許可する規則を追加する。このファイアウォール設定を忘れると、ポート番号を変更したとしても、外部からのRDP接続はファイアウォールによってブロックされ、接続できなくなるため注意が必要である。

ポート番号変更の際には、いくつかの注意点が存在する。まず、変更したポート番号を絶対に忘れてはならない。接続時に正しいポート番号を指定しないと、RDP接続は不可能となる。また、前述の通り、ファイアウォールの設定を確実に行うことが不可欠である。不適切な設定は、RDP接続を妨げるだけでなく、セキュリティホールを生み出す可能性もある。さらに、ポート番号の変更はセキュリティ対策の一つに過ぎず、RDP接続のパスワードを強力なものにする、二段階認証を設定するなど、他のセキュリティ対策も併用することが極めて重要である。変更するポート番号の選択にも注意が必要であり、すでに他の一般的なサービスで使われているポート番号は避けるべきである。一般的には、49152～65535番の範囲にある「動的ポート」または「プライベートポート」と呼ばれる未使用の番号から選ぶのが適切だが、既存のサービスと競合しないかを事前に確認することが望ましい。もし、接続先のコンピュータがルーターの背後にある場合（一般的な家庭や小規模オフィス環境など）、ルーターの「ポートフォワーディング」設定も新しいRDPポート番号に合わせて変更する必要があることも理解しておくべきである。

システムエンジニアとして安全なシステム運用を目指す上で、RDPとポートの関係を正しく理解し、適切なセキュリティ対策を講じる能力は必須である。ポート番号の変更は、不正なアクセス試行に対する有効な防御策の一つであり、ファイアウォールやルーターの設定など、関連するネットワーク知識と合わせて習得することで、より堅牢なシステム環境を構築することが可能となる。