[Emulty]

Все проще.
Одного порта 3389 достаточно. Просто в политиках файервола часто указывают ограничения на подключение по диапазону IP адресов, и указывают только диапазон IPv4, а у нас есть еще IPv6. Если IPv6 не выключен, то он используется как более приоритетный и клент RDP пытается сначала подключится с помощью IPv6, в случае неудачи использует IPv4.
*Короче, либо правило надо не ограничивать на подключение по диапазону адресов, либо не забывать о существовании IPv6.