Как ограничить доступ к серверу 1С

Открытый сервер 1С — это прямой путь к утечке финансовых данных, блокировке баз шифровальщиками и нарушению учёта. Ограничение доступа строится в несколько слоёв: сетевая изоляция, аутентификация, ролевая модель внутри платформы и контроль административных интерфейсов. Чем больше независимых барьеров вы выстроите, тем меньше ущерб при компрометации одного из них.

Порядок действий зависит от архитектуры: файловый вариант базы, клиент-серверный вариант на платформе 1С:Предприятие или публикация через веб-сервер. В статье разобраны все три сценария с конкретными настройками, командами и способами проверки результата.

Перед любыми изменениями сделайте резервную копию базы и зафиксируйте текущие настройки кластера и файрвола. Ошибка в правилах доступа способна отрезать от базы всех пользователей, включая вас самих.

Определите точки входа, которые нужно закрыть

Прежде чем настраивать ограничения, составьте список всех способов попасть на сервер. В типовой инфраструктуре их несколько: сетевые порты агента сервера 1С (по умолчанию 1540, 1541 и диапазон рабочих процессов 1560–1591), RDP или SSH для администрирования ОС, веб-публикация базы через IIS или Apache, общие сетевые папки для файловых баз, а также консоль управления кластером.

Каждая точка входа требует своего механизма защиты. Универсального переключателя «закрыть всё» не существует: платформа 1С исторически рассчитана на работу внутри доверенной локальной сети, поэтому значительная часть защиты реализуется средствами ОС и сетевого оборудования, а не самой платформы.

Ограничьте сетевой доступ файрволом

Первый и самый надёжный барьер — сетевой. Порты агента сервера 1С и рабочих процессов должны быть доступны только с тех машин, где реально работают пользователи и сервер СУБД. Всё остальное закрывается.

На Windows Server используйте брандмауэр Windows: создайте входящие правила для портов 1540, 1541 и диапазона 1560–1591, в которых в области действия укажите конкретные подсети офиса, например 192.168.10.0/24. Правило по умолчанию для входящих подключений должно быть «блокировать». На Linux аналогичная задача решается через nftables или iptables.

New-NetFirewallRule -DisplayName "1C Agent LAN" -Direction Inbound -Protocol TCP -LocalPort 1540,1541,1560-1591 -RemoteAddress 192.168.10.0/24 -Action Allow

Отдельно ограничьте доступ к RDP (порт 3389) и SSH (порт 22): разрешите подключение только с машин администраторов или через jump-хост. Никогда не пробрасывайте порты кластера 1С и RDP напрямую в интернет через NAT — такие серверы находятся сканерами в течение часов.

Настройте аутентификацию и роли внутри 1С

Даже в закрытой сети доступ внутри самой базы должен быть разграничен. В конфигураторе откройте раздел «Администрирование — Пользователи» и проверьте: у каждой учётной записи задан пароль, нет «общих» пользователей вроде «Менеджер» на весь отдел, уволенные сотрудники отключены, а не просто удалены из справочника.

Роли назначайте по принципу минимально необходимых прав. Кладовщику не нужны права на закрытие месяца, а бухгалтеру — административные функции. В типовых конфигурациях используйте профили групп доступа: они уже собраны под типовые должности и снижают риск ошибки при ручной раздаче ролей.

Защита административных учётных записей

Учётная запись с полными правами должна быть одна-две, с паролем, который хранится в сейфе или менеджере паролей, а не в файле на рабочем столе. Повседневную работу администратор ведёт под обычной учётной записью. Включите в свойствах пользователя требование сложного пароля и ограничение на аутентификацию, если конфигурация это поддерживает.

Аутентификация операционной системы

Если сервер входит в домен Active Directory, включите для пользователей аутентификацию ОС: вход в базу будет происходить под доменной учётной записью без отдельного пароля 1С. Это централизует управление доступом: при увольнении сотрудника достаточно отключить одну доменную учётную запись.

1. 1
   Откройте конфигуратор, раздел «Администрирование — Пользователи»
2. 2
   Удалите или отключите неиспользуемые и общие учётные записи
3. 3
   Задайте пароли всем активным пользователям и включите требования к сложности
4. 4
   Назначьте роли или профили групп доступа по принципу минимума
5. 5
   Проверьте вход под тестовой учётной записью с ограниченными правами

Защитите кластер серверов 1С

Консоль управления кластером — критичная точка: через неё можно создать администратора базы, остановить рабочие процессы или удалить информационную базу. По умолчанию на свежей установке аутентификация администраторов кластера может отсутствовать, и это нужно исправить в первую очередь.

Откройте консоль серверов 1С, в свойствах кластера и в свойствах агента создайте администраторов с сильными паролями. После этого любое подключение консоли к кластеру потребует аутентификации. Убедитесь, что учётная запись, под которой работает служба агента сервера (по умолчанию USR1CV8), имеет минимально необходимые права в ОС и не входит в группу администраторов домена.

Дополнительно ограничьте, откуда вообще можно подключиться консолью: порт 1540 должен быть открыт только для машин администраторов. Часть административных задач выполняется и через утилиту rac из состава сервера — она подчиняется тем же правилам аутентификации кластера.

Организуйте безопасный внешний доступ

Когда сотрудникам нужна работа из дома или из филиалов, соблазн опубликовать базу напрямую в интернете велик. Это худший вариант: веб-публикация 1С без дополнительной защиты становится мишенью для перебора паролей и атак на уязвимости веб-сервера.

Правильная схема — VPN. Поднимите VPN-сервер на шлюзе или отдельной машине (WireGuard, OpenVPN, L2TP/IPsec), выдайте сотрудникам ключи, и только внутри VPN-туннеля разрешите подключение к серверу 1С. С точки зрения файрвола внешние пользователи становятся обычной внутренней подсетью.

Защитите файловые базы и резервные копии

В файловом варианте база — это файл 1Cv8.1CD в общей папке. Любой, у кого есть доступ к этой папке по сети, может скопировать базу целиком и унести все данные. Настройте NTFS-права: доступ к папке — только у группы пользователей 1С, право «Чтение» для посторонних исключено, а доступ к служебным подкаталогам ограничен.

Те же требования относятся к резервным копиям. Копии баз и дампы SQL часто лежат в открытых папках «для удобства» и содержат всё то же, что и рабочая база. Храните бэкапы в каталоге с ограниченным доступом, а при передаче на внешние носители или в облако — шифруйте.

Проверьте результат и поддерживайте защиту

После настройки убедитесь, что ограничения реально работают, а не только записаны в конфигурации. С машины вне разрешённой подсети попробуйте подключиться к порту 1540 — соединение должно отклоняться. Под тестовой учётной записью с ограниченными правами проверьте, что закрытые разделы базы недоступны. Попытка входа в консоль кластера должна требовать пароль.

Поддерживайте защиту постоянно: раз в квартал пересматривайте список пользователей и их роли, отслеживайте обновления платформы 1С и веб-сервера, анализируйте журнал регистрации на предмет неудачных попыток входа и действий администраторов. Разовая настройка без сопровождения деградирует за несколько месяцев: появляются новые сотрудники, временные доступы и забытые исключения в файрволе.

Частые вопросы