[Busla]

Я понимаю, что можно закрыть этот порт <..> аппаратно на роутере, но это какой-то топорный вариант. »

на роутере должно быть по умолчанию всё закрыто. Это открывать порт нужно специально.
Если порт больше не нужен - закройте его обратно.

Как запретить подключаться к удалённому рабочему столу посредством обычного RDP по порту 3389 ? »

вдумайтесь в слово Gateway
по сути это middleware, которое транслирует один протокол в другой