Администрирование · 12 мин
Как организовать удаленный доступ к 1С через интернет
Способы удаленного доступа к 1С через интернет: RDP, веб-сервер, VPN, терминальный сервер. Настройка, безопасность, типичные ошибки и ответы на вопросы.
Удаленный доступ к 1С нужен, когда сотрудники работают из дома, из филиалов или в разъездах, а база находится на офисном сервере. Существует несколько рабочих схем: публикация базы на веб-сервере, терминальный доступ по RDP, подключение через VPN и облачные сервисы. Выбор зависит от размера компании, режима работы базы (файловый или клиент-серверный) и требований к безопасности.
Главное правило: базу 1С нельзя просто «выставить в интернет» открытием портов на роутере. Прямой проброс портов к файловой базе или серверу 1С без VPN и шифрования — типичная причина взломов и шифрования данных вирусами-вымогателями. Любая схема должна включать аутентификацию, шифрование трафика и резервное копирование.
Ниже разобраны четыре основных способа с конкретными шагами настройки, критериями выбора и проверкой результата. Инструкции ориентированы на платформу 1С:Предприятие 8.3 в среде Windows, но принципы применимы и к Linux-развертываниям.
Как выбрать способ удаленного доступа
Прежде чем настраивать, определите исходные условия. Ключевые факторы: режим работы базы (файловый или клиент-серверный), число одновременных пользователей, наличие выделенного сервера и статического IP-адреса у офиса.
Файловая база на общем сетевом диске плохо переносит удаленную работу: при подключении через интернет напрямую к сетевой папке скорость падает до неприемлемой, а обрывы соединения приводят к повреждению данных. Поэтому для файлового режима нужны промежуточные решения — веб-сервер, терминальный доступ или переход на клиент-серверный режим.
Ориентировочные рекомендации: до 5 пользователей с файловой базой — публикация на веб-сервере или RDP на рабочий компьютер через VPN; от 5 до 30 пользователей — терминальный сервер (RDS); крупные внедрения с SQL-базой — клиент-серверный режим с подключением через VPN или веб-клиент.
Сравнение способов доступа
Подходит для файловых и клиент-серверных баз, работа через браузер или тонкий клиент. Ограничение: нужны настройка HTTPS и публикация, часть функционала в веб-клиенте отличается.
Простой вариант для 1–3 пользователей. Ограничение: один сеанс на обычной версии Windows, нужен VPN-сервер.
Для десятков одновременных пользователей, централизованное управление. Ограничение: нужны серверные лицензии Windows и лицензии RDS CAL.
Не требует своего сервера, доступ из коробки. Ограничение: ежемесячная оплата, зависимость от провайдера, не все конфигурации поддерживаются.
Способ 1. Публикация базы на веб-сервере
Это штатный механизм платформы 1С. База публикуется на веб-сервере IIS или Apache, после чего пользователи подключаются через браузер (веб-клиент) или через установленный тонкий клиент по адресу вида https://1c.example.com/base. Трафик шифруется сертификатом HTTPS, поэтому схема безопасна при корректной настройке.
Для файловой базы веб-сервер устанавливается на тот же компьютер, где лежит база. Для клиент-серверной — на отдельную машину или на сервер 1С. Потребуется статический IP-адрес или доменное имя, а также SSL-сертификат: бесплатный от Let's Encrypt или купленный.
- 1Установите IIS с компонентами CGI и расширениями ISAPI через «Компоненты Windows».
- 2Установите платформу 1С с компонентой «Модули расширения веб-сервера».
- 3Откройте конфигуратор от имени администратора: Администрирование → Публикация на веб-сервере.
- 4Укажите имя публикации (латиницей, например trade), выберите каталог и нажмите «Опубликовать».
- 5Настройте в IIS привязку HTTPS с сертификатом и закройте порт 80 или сделайте редирект на 443.
- 6На роутере пробросьте только порт 443 на сервер с IIS.
- 7Проверьте вход через браузер по адресу https://ваш-домен/имя_публикации.
После публикации проверьте работу в обоих режимах: через браузер и через тонкий клиент. Тонкий клиент обычно работает быстрее и поддерживает больше функций конфигурации. Если база файловая, убедитесь, что служба веб-сервера имеет права на чтение и запись в каталог базы.
Способ 2. Подключение по RDP через VPN
Для 1–3 удаленных пользователей достаточно подключения к офисному компьютеру по протоколу удаленного рабочего стола (RDP). Но пробрасывать порт 3389 напрямую в интернет категорически нельзя: открытый RDP — одна из главных целей ботнетов, подбор пароля занимает от нескольких часов до нескольких дней. Правильная схема — сначала VPN-туннель до офисной сети, затем RDP внутри туннеля.
VPN можно поднять средствами роутера (многие модели Keenetic, MikroTik поддерживают WireGuard, OpenVPN, L2TP/IPsec) или на выделенной машине. WireGuard проще в настройке и быстрее работает. После подключения VPN пользователь получает адрес в офисной сети и подключается к рабочему ПК по внутреннему IP через стандартный клиент «Подключение к удаленному рабочему столу».
Ограничение способа: на обычных редакциях Windows (Pro, Home) возможен только один активный сеанс — при подключении удаленного пользователя локальный сеанс блокируется. Если за компьютером работает сотрудник в офисе, одновременный удаленный доступ невозможен. Для нескольких одновременных сеансов нужен терминальный сервер.
Способ 3. Терминальный сервер для нескольких пользователей
Терминальный сервер (служба Remote Desktop Services на Windows Server) позволяет десяткам пользователей одновременно работать в 1С в отдельных сеансах. Клиентская часть 1С устанавливается на терминальном сервере, пользователи подключаются по RDP внутри VPN-туннеля и видят привычный рабочий стол или только окно 1С (режим RemoteApp).
Требования: серверная лицензия Windows Server, лицензии RDS CAL на каждого пользователя или устройство, достаточные ресурсы сервера. Ориентировочно на каждый сеанс 1С закладывайте 1–2 ГБ оперативной памяти сверх потребностей самой системы и базы — точное значение зависит от конфигурации и интенсивности работы.
Доступ из интернета организуется теми же способами: VPN плюс RDP, либо шлюз удаленных рабочих столов (RD Gateway), который принимает подключения по HTTPS на 443 порту и не требует отдельного VPN. RD Gateway — штатное и относительно безопасное решение, но требует корректной настройки сертификатов и политик авторизации.
Способ 4. Облачные сервисы и аренда 1С
Если своего сервера нет и содержать инфраструктуру не хочется, базу можно разместить в облаке. Варианты: сервис 1С:Фреш (для типовых конфигураций), аренда виртуального сервера (VPS/VDS) у хостинг-провайдера с последующей настройкой любой из описанных выше схем, либо специализированные сервисы аренды 1С.
1С:Фresh подходит для типовых конфигураций без доработок: база загружается в сервис, пользователи работают через браузер, обновления и резервные копии выполняет оператор. Ограничения: не все конфигурации и расширения поддерживаются, доработки сильно ограничены.
Аренда VPS дает полный контроль: на виртуальной машине разворачивается тот же веб-сервер или терминальный сервер. Плюс — не нужен статический IP в офисе и свой сервер; минус — ежемесячная оплата и необходимость самостоятельно следить за обновлениями и резервными копиями.
Как выбрать действие
Безопасность: обязательный минимум
Любая схема удаленного доступа расширяет периметр атаки. Минимальный набор мер: сложные пароли (от 12 символов) для всех учетных записей, отключение или переименование встроенного администратора, ограничение прав пользователей внутри 1С, регулярные обновления платформы и операционной системы.
Резервное копирование — обязательное условие. Настройте ежедневное копирование базы (выгрузка в dt для файловых баз, штатные средства СУБД для клиент-серверных) с хранением копий вне основного сервера: на другом диске, в облачном хранилище или на сетевом накопителе. Периодически проверяйте, что копия реально восстанавливается.
Полезно ограничить доступ по IP-адресам, если у удаленных пользователей статические адреса, и включить двухфакторную аутентификацию там, где она поддерживается (в VPN-решениях и RD Gateway через дополнительные средства). Журналы входов стоит просматривать регулярно: массовые неудачные попытки входа — признак подбора пароля.
Проверка результата и диагностика проблем
После настройки проверьте доступ с внешней сети, например с телефона через мобильный интернет (не через офисный Wi-Fi). Успешный вход, открытие документов и проведение тестового документа подтверждают работоспособность схемы.
Типичные проблемы и их признаки: страница публикации не открывается — проверьте проброс порта 443, работу службы веб-сервера и firewall; «Ошибка соединения с сервером» в тонком клиенте — неверный адрес публикации или истекший сертификат; медленная работа через веб-клиент — недостаточная ширина канала на стороне сервера, проверьте исходящую скорость офисного интернета.
Как проверить результат
Вход выполняется с мобильного интернета, документы открываются и записываются
Страница не открывается или ошибка сертификата — проверьте проброс порта и SSL
В браузере замок и протокол https, сертификат действителен
Подключение по http или предупреждение о недоверенном сертификате
Снаружи доступен только 443 (или порт VPN)
Сканер показывает открытые 3389, 1541, 1433 — закройте пробросы
Копия создается ежедневно и тестово восстанавливается
Копий нет или восстановление не проверялось
Что важно запомнить
Оптимальная схема для большинства — публикация базы на веб-сервере с HTTPS или RDP внутри VPN-туннеля. Никогда не открывайте порты 1С, RDP и СУБД напрямую в интернет. Настройте ежедневное резервное копирование до подключения первого удаленного пользователя.
Частые вопросы
Можно ли работать с файловой базой через интернет без сервера?
Да, через публикацию на веб-сервере, установленном на том же компьютере, где лежит база, либо через RDP-доступ к этому компьютеру внутри VPN. Напрямую подключаться к сетевой папке через интернет нельзя — это медленно и опасно для целостности данных.
Что быстрее: веб-клиент или тонкий клиент?
Обычно тонкий клиент работает заметно быстрее, так как передает меньше данных и не зависит от скорости браузера. Веб-клиент удобен тем, что не требует установки — достаточно браузера. Для постоянной удаленной работы лучше тонкий клиент, для эпизодического доступа — веб-клиент.
Нужен ли статический IP-адрес?
Желателен, но не обязателен. При динамическом адресе используйте службы динамического DNS (DDNS), которые привязывают доменное имя к меняющемуся IP. Многие роутеры поддерживают DDNS из коробки. Альтернатива — облачный VPS со статическим адресом.
Безопасен ли доступ через TeamViewer или AnyDesk?
Для разового доступа — допустимо, для постоянной работы нескольких пользователей — неудобно и дорого (коммерческое использование требует лицензии). Кроме того, это доступ к чужому рабочему столу, а не к самой базе: одновременно работать могут только те, кто делит сеанс. Для регулярной работы лучше веб-сервер или терминальный сервер.
Сколько пользователей выдержит публикация файловой базы?
Файловый режим комфортно работает примерно до 5–10 одновременных пользователей в зависимости от интенсивности записи. При росте числа пользователей и объема базы появляются блокировки и замедления — это сигнал к переходу на клиент-серверный режим с PostgreSQL или MS SQL.
Что делать, если базу уже зашифровал вирус?
Отключите сервер от сети, не платите выкуп и не переустанавливайте систему до анализа. Проверьте наличие резервных копий вне сервера — восстановление из копии обычно единственный надежный путь. После восстановления закройте все прямые пробросы портов, смените пароли и внедрите схему доступа через VPN или веб-сервер с HTTPS.