Сервер 1С: какие порты нужно открыть для работы

Клиент-серверный режим работы 1С:Предприятия подразумевает, что тонкие и толстые клиенты обращаются к кластеру серверов по сети, а кластер, в свою очередь, работает с СУБД. Каждое из этих взаимодействий идёт по определённым TCP-портам, и если они закрыты брандмауэром или сетевым экраном, пользователи получают ошибки подключения: «Ошибка соединения с сервером», «Не найден кластер серверов» и подобные.

Минимальный набор портов для работы сервера 1С — это 1540, 1541 и диапазон 1560–1591. Порт 1545 нужен для подключения консоли администрирования кластера, а порты СУБД (1433 для MS SQL Server, 5432 для PostgreSQL) должны быть доступны только с самого сервера 1С, а не со всех машин сети. Ниже разберём каждый порт, сценарии настройки и типичные ошибки.

Какие порты использует сервер 1С и зачем

Кластер серверов 1С состоит из нескольких процессов, и у каждого своя роль и свой порт. Понимание этой схемы помогает открывать только нужное, а не разрешать весь диапазон «на всякий случай».

• 1540 (TCP) — порт агента сервера (ragent). Через него клиенты получают список кластеров и информационных баз, сюда же первично обращается консоль кластера.
• 1541 (TCP) — порт менеджера кластера (rmngr). Используется для служебных соединений внутри кластера и при подключении клиентов.
• 1560–1591 (TCP) — диапазон портов рабочих процессов (rphost). Каждый рабочий процесс занимает свой порт, именно через них выполняется основная работа прикладных решений.
• 1545 (TCP) — порт агента для подключения консоли администрирования серверов 1С (оснастка «Администрирование серверов 1С Предприятия»).

Отдельно стоит порт 1542, который используется в некоторых конфигурациях для менеджера кластера при нестандартных настройках, а также порты отладки: по умолчанию серверная отладка работает в диапазоне 1560–1591 вместе с рабочими процессами, но при включении отладки по HTTP или отдельном диапазоне портов его придётся учитывать дополнительно.

Порты СУБД: кому на самом деле нужен доступ

Частая ошибка — открывать порт SQL-сервера для всей локальной сети. На практике клиенты 1С никогда не подключаются к СУБД напрямую: они общаются только с кластером 1С, а уже кластер обращается к базе данных. Поэтому доступ к порту СУБД нужен только с сервера приложений 1С.

Если сервер 1С и СУБД установлены на одной машине, внешние правила для портов СУБД вообще не нужны — трафик идёт локально. Это самый безопасный вариант с точки зрения сетевой поверхности атаки. Если же СУБД вынесена на отдельный сервер, создавайте правило брандмауэра с ограничением по IP-адресу сервера 1С.

Настройка брандмауэра Windows на сервере 1С

На сервере под управлением Windows правила создаются через оснастку «Брандмауэр Защитника Windows в режиме повышенной безопасности» (wf.msc) либо командой netsh. Проще всего создать одно правило на диапазон и два правила на отдельные порты.

1. 1
   Откройте wf.msc и выберите «Правила для входящих подключений» → «Создать правило».
2. 2
   Тип правила — «Для порта», протокол TCP, указанные локальные порты: 1540-1541, 1545, 1560-1591.
3. 3
   Действие — «Разрешить подключение», профили — «Доменный» и «Частный» (публичный не включайте без необходимости).
4. 4
   Дайте правилу понятное имя, например «1C Server Cluster», и сохраните.
5. 5
   На сервере СУБД создайте правило для порта 1433 или 5432 и в свойствах правила на вкладке «Область» укажите IP сервера 1С.

Тот же результат можно получить одной командой из командной строки, запущенной от имени администратора:

netsh advfirewall firewall add rule name="1C Server" dir=in action=allow protocol=TCP localport=1540-1541,1545,1560-1591

После добавления правила убедитесь, что оно включено и применяется к нужному сетевому профилю. Если сервер находится в домене, а правило создано только для частного профиля, оно работать не будет — это одна из самых частых причин «открытого, но неработающего» порта.

Настройка firewall на Linux

На Linux-сервере агент 1С использует те же порты. В зависимости от дистрибутива применяется firewalld (RHEL, CentOS, AlmaLinux) или ufw (Debian, Ubuntu), либо правила iptables напрямую.

Для firewalld добавьте порты в постоянную конфигурацию зоны и перечитайте правила. Для ufw используется команда allow с указанием протокола tcp. В обоих случаях после изменения конфигурации проверьте, что правила реально применились, — команда вывода активных правил покажет итоговое состояние.

firewall-cmd --permanent --add-port=1540-1541/tcp --add-port=1545/tcp --add-port=1560-1591/tcp && firewall-cmd --reload

Если между клиентами и сервером есть промежуточное сетевое оборудование — маршрутизаторы, аппаратные файрволы, VPN-шлюзы, — порты должны быть разрешены и там. Настройка только локального брандмауэра при фильтрующем коммутаторе между подсетями результата не даст.

Проверка: открыт ли порт и кто виноват в ошибке

Диагностику стоит вести последовательно, от клиента к серверу. Сначала проверьте, что процессы кластера вообще запущены и слушают порты: на Windows это видно командой netstat -ano с фильтрацией по номеру порта, на Linux — ss -tlnp. Если процесс rphost не запущен, никакие правила брандмауэра не помогут.

С клиентской машины удобно использовать командлет PowerShell Test-NetConnection с указанием сервера и порта — он показывает доступность конкретного TCP-порта. Проверяйте по очереди 1540, 1541 и несколько портов из диапазона 1560–1591: бывает, что 1540 открыт, клиент получает список баз, а при запуске соединение обрывается, потому что закрыты порты рабочих процессов.

Ещё один источник проблем — разрешение имён. Клиент обращается к серверу по имени, и если DNS возвращает неверный адрес или имя не резолвится, симптомы похожи на закрытый порт. Проверяйте подключение и по имени, и по IP-адресу, чтобы отделить сетевую проблему от проблемы DNS.

Особые сценарии: веб-доступ, лицензии, несколько кластеров

Веб-сервер и тонкий клиент через HTTP

Если база опубликована на веб-сервере (IIS или Apache), клиенты подключаются по портам 80 (HTTP) или 443 (HTTPS) к веб-серверу, а уже веб-сервер обращается к кластеру 1С по стандартным портам 1540–1591. В этом случае клиентским машинам порты кластера открывать не нужно вообще — достаточно доступа к веб-серверу.

Сервер лицензий

Если программные лицензии раздаёт отдельный сервер 1С или служба лицензирования, клиентам нужен доступ к нему по тем же портам кластера (1540–1591). При использовании аппаратных ключей HASP сетевой драйвер ключа работает по портам UDP/TCP 475 — их тоже нужно разрешить между клиентами и сервером ключа.

Несколько кластеров на одном сервере

При запуске второго кластера на той же машине ему назначаются другие порты: обычно 2540, 2541, 2560–2591 и так далее с шагом 1000. Каждый дополнительный кластер требует своего набора правил в брандмауэре. Точные номера смотрите в свойствах кластера в консоли администрирования.

Безопасность: что открывать не стоит

Порты кластера 1С не имеют встроенного шифрования трафика по умолчанию, поэтому их нельзя публиковать в интернет напрямую. Для удалённого доступа используйте VPN, публикацию через веб-сервер с HTTPS или терминальный доступ. Прямой проброс портов 1540–1591 на внешний интерфейс — серьёзная уязвимость.

Минимальный безопасный контур выглядит так: клиенты локальной сети имеют доступ к портам кластера, сервер 1С имеет доступ к порту СУБД, наружу не открыто ничего. Всё, что сверх этого, должно быть осознанным решением с ограничением по IP-адресам и, желательно, зафиксированным в документации по инфраструктуре.

Частые вопросы