Buenas Carlos_eixo1
Esto debería de ser casi obligado para cualquiera. Jamás se debe de exponer un servicio conocido a internet en su puerto por defecto. En el caso de Escritorio Remoto de Windows, efectivamente, el 3389. Por cierto, es mejor usar un puerto alto, no cercano al puerto por defecto.
Hay dos formas de hacer esto.
A) Cambiar el puerto de escucha de Escritorio Remoto en el equipo que lo usa. Por defecto usa el 3389, pero esto no es obligado. Para esto se puede modificar en el registro de Windows el puerto a usar, por el que se quiera:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp -> PortNumber
Terminado esto, se crea un mapeo de puertos que fuese 53389 -> 53389 (por ejemplo).
B) Realizar la redirección. Cuando "abrimos un puerto" en el Router, realmente lo que hacemos es una redirección de puertos, y precisamente se llama así porque redirigimos tráfico de un puerto a otro. El puerto externo (el que se ve desde Internet) no tiene porqué ser el mismo que se use de forma interna. O dicho de otro modo, tu puedes en el Router a la hora de crear un mapeo de puertos especificar el puerto externo que te de la gana, y enviarlo al puerto interno que necesites. Lo que se ve desde Internet es el puerto Externo.
Solo tienes que acceder al Router a su interfaz Web Avanzada, y crear la redirección como cualquier otra, usando el puerto externo que se quiera.
Saludos.