Какие порты открыть для клиента 1С

Когда клиент 1С не подключается к серверу, чаще всего причина — закрытые порты на брандмауэре. Набор портов зависит от архитектуры: клиент-серверный вариант с сервером 1С:Предприятия, файловая база по сети, веб-клиент через веб-сервер или прямое подключение к СУБД. Ниже разобраны все сценарии с конкретными номерами портов и способами проверки.

Ключевой принцип: открывать нужно только те порты, которые реально используются в вашей схеме. Каждый лишний открытый порт — это потенциальная точка входа для атаки, поэтому универсальное правило «открыть всё» здесь не работает и вредит безопасности.

Порты сервера 1С:Предприятия (клиент-серверный режим)

В классической трёхзвенной архитектуре тонкий или толстый клиент подключается к агенту сервера 1С:Предприятия. По умолчанию используются три группы портов:

• 1540/tcp — агент кластера серверов (ragent). Через него клиент получает список рабочих процессов и подключается к кластеру.
• 1541/tcp — менеджер кластера (rmngr). Используется для управления кластером, в том числе консолью администрирования.
• 1560–1591/tcp — диапазон рабочих процессов (rphost). Клиент устанавливает соединение с одним из рабочих процессов, который и обслуживает сеанс.

Важный нюанс: клиент сначала обращается к агенту на порт 1540, получает адрес и порт рабочего процесса, а затем подключается к rphost напрямую. Если открыть только 1540, подключение «зависнет» на этапе сеанса — это одна из самых частых ошибок настройки.

Если порт агента в кластере изменён (например, кластер поднят на 2540), то и диапазон рабочих процессов смещается: он начинается с порта агента + 20. Проверить фактические порты можно в консоли администрирования серверов 1С в свойствах кластера и рабочих процессов.

Порты для файловой базы по сети

В файловом варианте клиент 1С обращается к файлу базы (1Cv8.1CD) через общую сетевую папку. Здесь используются стандартные порты протокола SMB:

• 445/tcp — SMB поверх TCP, основной порт для современных версий Windows;
• 139/tcp — SMB поверх NetBIOS, нужен для старых клиентов;
• 137–138/udp — NetBIOS, требуется для разрешения имён в старых сетях без DNS.

На практике достаточно открыть 445/tcp на машине, где лежит база. Если клиенты работают на актуальных версиях Windows, порты 137–139 можно не открывать — это сократит поверхность атаки. Убедитесь также, что на файловом сервере включено сетевое обнаружение и общий доступ к файлам, а у пользователей есть права на чтение и запись в папку базы.

Порты для веб-клиента и публикации через веб-сервер

При работе через веб-клиент браузер обращается к веб-серверу (IIS или Apache), а тот уже взаимодействует с сервером 1С. Со стороны пользователя нужны только стандартные веб-порты:

• 80/tcp — HTTP, если публикация работает без шифрования;
• 443/tcp — HTTPS, рекомендуемый вариант, особенно при доступе извне.

Между веб-сервером и сервером 1С, если они разнесены на разные машины, должны быть открыты те же порты кластера: 1540 и диапазон рабочих процессов. Если веб-сервер и сервер 1С стоят на одной машине, дополнительных правил на внешнем firewall не требуется.

Для доступа из интернета открывайте наружу только 443 с действующим TLS-сертификатом. Публикация базы по HTTP без шифрования передаёт логины и данные в открытом виде.

Порты СУБД: кому они нужны на самом деле

Распространённое заблуждение — открывать порт SQL-сервера для клиентов 1С. Клиентское приложение никогда не обращается к СУБД напрямую: с базой данных работает только сервер 1С:Предприятия. Поэтому порты СУБД нужно открывать исключительно между сервером 1С и сервером баз данных.

Если сервер 1С и СУБД установлены на одной машине, внешние правила для портов базы данных вообще не нужны — соединение идёт локально. Открывать 1433 или 5432 для всей локальной сети — типичная ошибка, создающая лишний риск.

Настройка брандмауэра Windows: пошагово

На сервере с Windows проще всего создать входящие правила через оснастку «Брандмауэр Windows в режиме повышенной безопасности» (wf.msc) или командой netsh. Пример для стандартного кластера 1С:

netsh advfirewall firewall add rule name="1C Agent 1540" dir=in action=allow protocol=TCP localport=1540
netsh advfirewall firewall add rule name="1C Manager 1541" dir=in action=allow protocol=TCP localport=1541
netsh advfirewall firewall add rule name="1C rphost 1560-1591" dir=in action=allow protocol=TCP localport=1560-1591

1. 1
   Определите архитектуру: клиент-сервер, файловая база или веб-клиент.
2. 2
   Уточните фактические порты в консоли администрирования кластера 1С.
3. 3
   Создайте входящие правила на сервере только для нужных портов.
4. 4
   Если между клиентом и сервером есть сетевой firewall, продублируйте разрешения на нём.
5. 5
   Проверьте подключение с клиентской машины и запустите сеанс 1С.

Для правил на сервере рекомендуется ограничивать область действия: укажите в правиле подсеть офиса вместо «Любой IP-адрес». Это особенно важно, если сервер имеет несколько сетевых интерфейсов.

Проверка доступности портов и типичные ошибки

Проверить, открыт ли порт, можно с клиентской машины командой Test-NetConnection в PowerShell:

Test-NetConnection -ComputerName srv1c -Port 1540

Значение TcpTestSucceeded: True означает, что порт доступен. Если False — проверяйте правила брандмауэра на сервере, промежуточное сетевое оборудование и то, что служба агента сервера 1С вообще запущена.

FAQ