Как добавить процессы 1С в исключения брандмауэра Windows

При работе 1С в клиент-серверном режиме или при подключении к базе по сети брандмауэр Windows часто блокирует трафик между компонентами платформы. Результат — ошибки вида «Сервер 1С:Предприятия не обнаружен», «Ошибка соединения с сервером» или долгое ожидание при запуске клиента. Причина почти всегда одна: процессы 1С не добавлены в исключения, либо нужные порты закрыты.

Добавить исключения можно тремя способами: через графический интерфейс «Брандмауэр Защитника Windows», через PowerShell и через командную строку netsh. Графический способ подходит для разовой настройки одного компьютера, а команды удобны для автоматизации на нескольких машинах или при развёртывании сервера.

Важно понимать, какие именно процессы нужно разрешить. На рабочем месте пользователя это 1cv8.exe (толстый клиент) и 1cv8c.exe (тонкий клиент). На сервере 1С — агент ragent.exe, рабочие процессы rphost.exe и менеджер кластера rmngr.exe. Блокировка любого из них разрывает цепочку обмена данными.

Какие процессы и порты 1С нужно разрешить

Платформа 1С:Предприятие 8 использует стандартный набор сетевых портов. Агент сервера (ragent) по умолчанию слушает порт 1540, менеджер кластера (rmngr) — порт 1541, а рабочие процессы (rphost) занимают динамический диапазон 1560–1591. Если при установке сервера порты менялись, точные значения можно посмотреть в оснастке «Администрирование серверов 1С» в свойствах кластера.

Для файлового режима работы по сети (когда база лежит в общей папке) исключения для процессов 1С не помогут — там нужен доступ к службе файлового доступа Windows (SMB, порты 445 и 139). Это отдельная настройка, и её часто путают с исключениями для клиент-серверного режима.

Проверка: действительно ли проблема в брандмауэре

Прежде чем менять правила, убедитесь, что причина ошибки именно в фильтрации трафика. Самый быстрый тест — временно отключить брандмауэр на сервере (через панель управления или командой netsh advfirewall set allprofiles state off) и повторить подключение с клиента. Если 1С запустилась — причина подтверждена, брандмауэр нужно сразу включить обратно и настроить правила.

Дополнительно проверьте, что служба «Агент сервера 1С:Предприятия» запущена, а порт 1540 действительно прослушивается: команда netstat -ano | findstr 1540 должна показать строку со статусом LISTENING. Если порт не слушается, проблема не в брандмауэре, а в незапущенном агенте.

Способ 1: добавление исключений через графический интерфейс

Откройте «Панель управления» → «Система и безопасность» → «Брандмауэр Защитника Windows» → слева «Дополнительные параметры». Откроется оснастка «Брандмауэр Windows в режиме повышенной безопасности». Выберите раздел «Правила для входящих подключений» и нажмите «Создать правило».

В мастере выберите тип правила «Для программы», укажите путь к исполняемому файлу, например C:\Program Files\1cv8\<версия>\bin\ragent.exe. На шаге действия выберите «Разрешить подключение», профили оставьте по ситуации (для доменной сети обычно достаточно профиля «Доменный»), задайте понятное имя правила, например «1С: агент сервера». Повторите для rmngr.exe и rphost.exe.

Альтернатива — правило «Для порта»: тип TCP, конкретные порты «1540-1541, 1560-1591». Правило по портам устойчиво к обновлению платформы, потому что путь к исполняемому файлу меняется с каждой новой версией 1С, а порты остаются прежними.

1. 1
   Откройте «Брандмауэр Защитника Windows» → «Дополнительные параметры»
2. 2
   Перейдите в «Правила для входящих подключений» → «Создать правило»
3. 3
   Выберите «Для программы» и укажите путь к ragent.exe (или «Для порта» с портами 1540-1541, 1560-1591)
4. 4
   Выберите «Разрешить подключение», укажите профиль сети
5. 5
   Задайте имя правила и повторите для остальных процессов 1С
6. 6
   Проверьте подключение клиента к серверу

Способ 2: добавление исключений через PowerShell

PowerShell позволяет создать все правила за несколько секунд. Запустите консоль от имени администратора и выполните командлеты New-NetFirewallRule. Пример ниже создаёт правила по портам — самый практичный вариант для сервера 1С.

New-NetFirewallRule -DisplayName "1C Agent (1540)" -Direction Inbound -Protocol TCP -LocalPort 1540 -Action Allow
New-NetFirewallRule -DisplayName "1C Cluster Manager (1541)" -Direction Inbound -Protocol TCP -LocalPort 1541 -Action Allow
New-NetFirewallRule -DisplayName "1C Working Processes" -Direction Inbound -Protocol TCP -LocalPort 1560-1591 -Action Allow

Если предпочитаете правила по программе, используйте параметр -Program с полным путём: New-NetFirewallRule -DisplayName "1C rphost" -Direction Inbound -Program "C:\Program Files\1cv8\8.3.22.1750\bin\rphost.exe" -Action Allow. Учтите, что после обновления платформы на новый релиз правило перестанет работать — путь изменится.

Проверить созданные правила можно командой Get-NetFirewallRule -DisplayName "1C*". Удалить ошибочное правило — Remove-NetFirewallRule -DisplayName "имя".

Способ 3: настройка через netsh и особенности тонких клиентов

Классическая утилита netsh работает везде, где доступна командная строка: netsh advfirewall firewall add rule name="1C Server" dir=in action=allow protocol=TCP localport=1540-1541,1560-1591. Синтаксис компактнее PowerShell, но возможности фильтрации скромнее.

На рабочих местах пользователей, как правило, ничего настраивать не нужно: исходящие подключения в брандмауэре Windows по умолчанию разрешены, поэтому 1cv8.exe и 1cv8c.exe свободно обращаются к серверу. Исключения на клиенте требуются только если администратор изменил политику исходящего трафика на «блокировать по умолчанию» — тогда создайте правила для исходящих подключений (Direction Outbound) для клиентских процессов.

Если используется веб-сервер (публикация базы через IIS или Apache), добавьте в исключения процессы веб-сервера и порт 80/443, а не процессы 1С — клиент в этом случае общается с веб-сервером, а тот уже передаёт запросы кластеру.

Проверка результата и типичные ошибки

После создания правил перезапускать брандмауэр не требуется — они применяются мгновенно. Проверьте подключение: запустите клиент 1С и откройте базу. Дополнительно можно выполнить с клиентского компьютера Test-NetConnection имя_сервера -Port 1541 — результат TcpTestSucceeded: True означает, что путь открыт.

Самые частые ошибки: правило создано для профиля «Частный», а сервер работает в доменном профиле; правило создано на клиенте вместо сервера; забыт динамический диапазон rphost (1560–1591) — агент отвечает, но рабочий процесс недоступен; на пути стоит ещё и антивирус со своим сетевым экраном, который блокирует трафик независимо от брандмауэра Windows.

Часто задаваемые вопросы