Le 3389 est sufisant dans les deux sens.
Je ne vois qu'un souci du côté du firewall du routeur.
Par défaut, le remote desktop n'est pas capable de n'autoriser que les IP locales, par exemple. De ce côté là, ca fonctionne ou pas, il n'y a pas de demi-mesure.