1С: какие порты должны быть открыты в брандмауэре

Когда 1С работает в клиент-серверном режиме или публикуется на веб-сервере, брандмауэр становится одной из самых частых причин ошибок подключения. Типичная картина: база на сервере жива, служба агента запущена, а клиенты получают сообщение «Ошибка соединения с сервером 1С:Предприятия». В большинстве таких случаев проблема решается открытием нужных портов в правилах межсетевого экрана.

Платформа 1С использует фиксированный набор сетевых портов для взаимодействия компонентов кластера: агента сервера, менеджера кластера и рабочих процессов. Дополнительно нужны порты СУБД (MS SQL Server или PostgreSQL), веб-сервера при публикации через HTTP, а также служебные порты Windows для файловых баз и лицензирования. Если хотя бы один из них заблокирован, соединение либо не установится вообще, либо будет работать нестабильно.

Ниже разобраны конкретные порты для каждого компонента, порядок их открытия в брандмауэре Windows и в аппаратных межсетевых экранах, способы проверки результата и типичные ошибки, которые приводят к повторным обращениям администраторов.

Какие порты использует сервер 1С:Предприятия

Кластер серверов 1С состоит из трёх типов процессов, и у каждого своя роль и свой порт. Агент сервера (ragent) принимает первичные подключения клиентов и слушает TCP-порт 1540. Менеджер кластера (rmngr) управляет списком информационных баз и сеансами — ему нужен порт 1541. Рабочие процессы (rphost), которые непосредственно исполняют прикладной код, занимают диапазон 1560–1591.

Диапазон рабочих процессов важен целиком: клиент сначала обращается к агенту на 1540, получает адрес и порт конкретного рабочего процесса, а затем подключается уже напрямую к rphost. Если открыть только 1540 и 1541, первичное соединение установится, но дальше клиент «зависнет» или получит ошибку, потому что порт рабочего процесса закрыт.

Эти порты — значения по умолчанию. Их можно изменить при установке сервера 1С или в настройках кластера, поэтому если инфраструктура настраивалась не вами, сначала проверьте фактические порты в консоли кластера серверов, а не полагайтесь на стандартные значения.

Порты для СУБД: MS SQL Server и PostgreSQL

Сервер 1С не хранит данные сам — он обращается к СУБД, и это отдельное сетевое взаимодействие со своими портами. Для MS SQL Server стандартный порт — TCP 1433. Если используется именованный экземпляр, дополнительно нужен службный UDP-порт 1434 (SQL Server Browser), либо экземпляру следует назначить статический порт в настройках сетевой конфигурации SQL Server.

Для PostgreSQL стандартный порт — TCP 5432. Важный нюанс: порт должен быть открыт не только в брандмауэре, но и разрешён в конфигурации самой СУБД. В PostgreSQL за это отвечают параметр listen_addresses в postgresql.conf и правила в pg_hba.conf. Открытый порт в брандмауэре не поможет, если СУБД слушает только localhost.

Правило безопасности здесь строгое: порт СУБД должен быть доступен только с сервера 1С, а не всей локальной сети и тем более не из интернета. Пользователи подключаются к кластеру 1С, а кластер уже ходит в базу — прямой доступ клиентских машин к СУБД не нужен и создаёт лишний риск.

Порты для веб-доступа, файловых баз и лицензирования

Если база публикуется на веб-сервере (IIS или Apache), клиенты подключаются по HTTP/HTTPS, и нужны порты 80 и 443 соответственно. При этом между веб-сервером и кластером 1С всё равно ходит трафик по портам 1540–1591, если это разные машины. Для работы через браузер или тонкий клиент по HTTPS настоятельно рекомендуется использовать именно 443 с действующим сертификатом.

Для файловых баз в сетевом режиме используется общий сетевой ресурс Windows — это протокол SMB, порты TCP 445 (а в старых системах также 137–139). Открывать их нужно только внутри локальной сети. Файловый режим по сети вообще чувствителен к сбоям: обрыв SMB-сессии во время записи может повредить базу, поэтому для многопользовательской работы предпочтителен клиент-серверный вариант.

Отдельный случай — сервер лицензирования и программные лицензии HASP. Если используется аппаратный ключ HASP с сетевым менеджером лицензий, требуется UDP/TCP-порт 475 (и широковещательный трафик 1947 в некоторых конфигурациях Sentinel). Без него клиенты не увидят ключ и получат ошибку «Не найдена лицензия».

Как открыть порты в брандмауэре Windows

На сервере с Windows правила создаются через оснастку «Брандмауэр Защитника Windows в режиме повышенной безопасности» (wf.msc) или командой netsh. Ниже порядок действий для стандартной ситуации: кластер 1С и SQL Server на разных или на одной машине.

То же самое можно сделать одной командой в PowerShell от имени администратора:

New-NetFirewallRule -DisplayName "1C Server" -Direction Inbound -Protocol TCP -LocalPort 1540-1541,1560-1591 -Action Allow -Profile Domain,Private

Проверка результата — обязательный шаг. С клиентского компьютера выполните Test-NetConnection -ComputerName имя_сервера -Port 1540. Значение TcpTestSucceeded: True означает, что порт доступен. Проверьте так каждый порт из списка, включая хотя бы один порт из диапазона рабочих процессов.

Настройка аппаратного и сетевого брандмауэра

Если сервер 1С находится в другом сегменте сети, застроенном маршрутизатором или аппаратным межсетевым экраном, правила нужны и там. Логика та же: разрешить TCP-трафик от подсетей пользователей к адресу сервера 1С на порты 1540, 1541, 1560–1591, а от сервера 1С к серверу СУБД — на порт базы данных.

Частая ситуация — работа через VPN или из филиала. В этом случае убедитесь, что правила пропускают трафик в обе стороны и что нет фильтрации на промежуточных устройствах. Для тонкого клиента и веб-доступа через интернет правильная архитектура — публикация только HTTPS (443) через веб-сервер или шлюз, а не проброс портов кластера наружу.

Проверка результата и типичные ошибки

После настройки проверьте весь путь соединения, а не только первый порт. Успешный вход в базу через толстый или тонкий клиент — главный признак, что всё открыто правильно. Если клиент подключается, но медленно или с обрывами, проверьте, не режет ли трафик антивирус с сетевым экраном — многие антивирусы имеют собственный фильтр поверх брандмауэра Windows.

Ещё одна неочевидная проблема — конфликт портов. Если на сервере установлено несколько версий платформы 1С или другой софт занял порт 1540, агент кластера может не запуститься. Проверить, какой процесс слушает порт, можно командой netstat -ano | findstr :1540 и далее по PID в диспетчере задач.

Ограничения и безопасная практика

Главный принцип — минимально необходимый доступ. Каждое правило брандмауэра должно иметь ограничение по источнику: подсеть офиса для портов кластера, адрес сервера 1С для порта СУБД. Правила «разрешить всем» на сервере с финансовыми и кадровыми данными недопустимы.

Документируйте созданные правила: какие порты открыты, для кого и зачем. При смене подсетей, переезде сервера или обновлении инфраструктуры забытые правила становятся либо дырами в безопасности, либо причиной многочасовой диагностики. Перед изменениями на боевом сервере экспортируйте текущие правила брандмауэра (команда netsh advfirewall export), чтобы была возможность отката.

Частые вопросы