Администрирование · 12 мин
Как открыть доступ к серверу 1С
Пошаговая инструкция: как открыть доступ к серверу 1С через веб-сервер, RDP и VPN. Настройка портов, прав, брандмауэра и проверка безопасности подключения.
Открыть доступ к серверу 1С — значит организовать подключение пользователей к кластеру серверов 1С:Предприятие или к опубликованной информационной базе извне: из другого офиса, из дома или с мобильного устройства. Конкретный порядок действий зависит от того, что именно требуется: доступ к серверной базе через клиентское приложение, веб-доступ через браузер, удалённый рабочий стол для администрирования или подключение к файловой базе по сети.
Главный риск при открытии доступа — превратить внутренний ресурс в публично доступный. Сервер 1С, выставленный напрямую в интернет без VPN и ограничений, становится целью для сканирования и подбора паролей, а утечка учётных данных приводит к потере коммерческой информации. Поэтому любая схема доступа должна проектироваться от безопасности: сначала канал и аутентификация, потом публикация.
Ниже разобраны основные сценарии: доступ к кластеру сервера 1С по сети, публикация базы на веб-сервере, удалённый доступ через RDP и VPN, настройка брандмауэра и прав пользователей, а также проверка результата и типичные ошибки.
Определите, какой тип доступа нужен
Прежде чем что-либо настраивать, ответьте на вопрос: кто и откуда будет подключаться. От этого зависит вся схема. Доступ внутри офисной сети к серверной базе — самая простая задача: клиентские компьютеры обращаются к серверу по имени или IP-адресу, и достаточно сетевых разрешений. Доступ сотрудников из дома или командировки требует уже защищённого канала: VPN до офисной сети или публикации базы на веб-сервере с HTTPS.
Отдельный случай — доступ администратора к самому серверу для обслуживания: установки обновлений, настройки кластера, работы с СУБД. Здесь применяется удалённый рабочий стол (RDP) или SSH, и такой доступ нужно жёстко ограничивать по адресам и учётным записям.
Как выбрать схему доступа
Открываем доступ к кластеру сервера 1С в локальной сети
Сервер 1С:Предприятие по умолчанию использует диапазон портов: 1540 — агент сервера, 1541 — менеджер кластера, 1560–1591 — рабочие процессы. Чтобы клиенты из локальной сети могли подключаться, эти порты должны быть открыты в брандмауэре Windows (или другого сетевого экрана) на сервере.
В Windows Server откройте «Брандмауэр Защитника Windows» → «Правила для входящих подключений» → «Создать правило» → «Для порта» → TCP, укажите диапазон 1540–1591, разрешите подключение и примените правило для профиля «Частный» или «Доменный». Не включайте правило для профиля «Публичный», если сервер не должен принимать подключения из недоверенных сетей.
На клиентском компьютере база добавляется через диалог запуска 1С: «Добавить» → «На сервере 1С:Предприятия» → укажите имя сервера и имя информационной базы в кластере. Если подключение не устанавливается, первым делом проверьте доступность порта командой Test-NetConnection имя_сервера -Port 1541 в PowerShell.
- 1Убедитесь, что служба «Агент сервера 1С:Предприятия» запущена на сервере
- 2Создайте в брандмауэре входящее правило для TCP-портов 1540–1591
- 3Проверьте, что компьютеры клиентов и сервер находятся в одной сети или маршрутизация настроена
- 4Добавьте базу на клиенте через диалог запуска 1С, указав имя сервера и базы
- 5Проверьте подключение под учётной записью пользователя с нужными правами
Публикация базы на веб-сервере для доступа через интернет
Веб-доступ — стандартный способ открыть базу для удалённых пользователей без установки платформы: работа идёт через браузер или тонкий клиент по протоколу HTTP/HTTPS. Публикация выполняется на веб-сервере IIS (Windows) или Apache (Windows/Linux) с помощью встроенного механизма 1С.
Для IIS установите компоненты веб-сервера, включая расширения ISAPI, затем запустите конфигуратор 1С от имени администратора: «Администрирование» → «Публикация на веб-сервере». Укажите имя публикации (латиницей, без пробелов), каталог, тип веб-сервера и отметьте нужные варианты доступа — тонкий клиент, веб-клиент, веб-сервисы. После публикации база будет доступна по адресу вида https://имя_сервера/имя_публикации.
Если база будет доступна из интернета, обязательно настройте HTTPS с действующим сертификатом (например, от Let's Encrypt или внутреннего центра сертификации) и перенаправление с HTTP на HTTPS. Передача логинов и данных в открытом виде по HTTP недопустима.
Удалённый доступ через VPN и RDP
VPN — наиболее универсальный вариант: удалённый сотрудник подключается к офисной сети как будто находится в ней, и дальше работают все внутренние механизмы — доступ к кластеру 1С, веб-публикации, файловым ресурсам. VPN поднимается на роутере (многие модели Keenetic, MikroTik и другие это поддерживают), на выделенном сервере (OpenVPN, WireGuard) или через Windows Server с ролью «Удалённый доступ».
RDP (порт 3389) применяют, когда пользователю нужен полноценный рабочий стол на терминальном сервере с установленной 1С, либо администратору — доступ к серверу для обслуживания. Правило безопасности то же: RDP не должен быть доступен напрямую из интернета. Открывайте его только внутри VPN или ограничивайте входящие подключения списком доверенных IP-адресов в брандмауэре.
Для терминального сценария учитывайте лицензирование: каждому одновременно работающему пользователю нужны клиентские лицензии 1С и лицензии на службы удалённых рабочих столов Windows (RDS CAL), если используется сервер терминалов Windows.
Сравнение способов удалённого доступа
Подходит для работы пользователей через браузер и тонкий клиент; не требует установки платформы, но требует корректной настройки веб-сервера и сертификата
Универсально и безопасно; требует настройки VPN-сервера и установки клиента 1С на устройства сотрудников
Подходит для слабых клиентских устройств и медленных каналов; требует дополнительных лицензий и мощного сервера
Не рекомендуется: открывает кластер для атак из интернета без достаточной защиты
Настройка прав пользователей и аутентификации
Сетевой доступ — только половина задачи. Каждый пользователь должен существовать в списке пользователей информационной базы и иметь роли, достаточные для его работы. Добавление выполняется в конфигураторе («Администрирование» → «Пользователи») или в режиме 1С:Предприятие через раздел администрирования пользователей, если конфигурация это поддерживает.
Для веб-доступа выберите тип аутентификации: парольная (логин и пароль пользователя 1С) или аутентификация операционной системы. При публикации в интернете используйте сложные пароли, включите блокировку после нескольких неудачных попыток входа, если она предусмотрена, и не создавайте пользователей с полными правами для повседневной работы.
Полезно разделить роли: администратор кластера и администратор СУБД — не то же самое, что администратор информационной базы. Учётную запись администратора кластера задайте сразу после установки сервера 1С: пустой пароль администратора кластера — распространённая уязвимость.
Проверка результата и диагностика проблем
После настройки проверьте доступ с типичного клиентского устройства, а не только с самого сервера. Для локального доступа: запуск клиента, выбор базы, вход под рабочей учётной записью, открытие нескольких типовых документов. Для веб-доступа: открытие адреса публикации в браузере с внешнего устройства (например, со смартфона через мобильный интернет — это гарантированно внешняя сеть).
Если подключение не работает, диагностируйте по цепочке: доступность сервера по сети (ping), доступность порта (Test-NetConnection), работа службы агента сервера 1С, корректность имени базы, права пользователя. Ошибка «Информационная база не обнаружена» обычно означает неверное имя базы в кластере, а тайм-аут соединения — проблему с сетью или брандмауэром.
Как проверить результат
База открывается, список пользователей запрашивает логин и пароль
Ошибка соединения или тайм-аут — проверяйте порты и брандмауэр
Страница входа открывается по HTTPS, замок сертификата без предупреждений
Предупреждение о сертификате или недоступность страницы — проверяйте публикацию и DNS
Пользователь видит только свои разделы и выполняет свои операции
Нет доступа к нужным документам или, наоборот, видны лишние разделы — пересмотрите роли
Порт 1541 снаружи закрыт (проверка внешним сканером портов)
Порт открыт — немедленно уберите проброс на роутере
Границы самостоятельной работы и обслуживание
Открытие доступа в локальной сети и базовая публикация на веб-сервере — задачи, которые выполняет системный администратор или уверенный пользователь по инструкции. Но есть зоны, где ошибка дорого обходится: настройка кластера с несколькими рабочими серверами, интеграция с MS SQL Server или PostgreSQL, выдача и продление сертификатов, настройка отказоустойчивости. Здесь разумно привлекать специалиста по администрированию 1С.
После запуска доступа поддерживайте его безопасность: регулярно обновляйте платформу 1С и операционную систему, пересматривайте список пользователей (уволенные сотрудники должны терять доступ в день увольнения), следите за журналом регистрации на предмет неудачных попыток входа и делайте резервные копии баз независимо от способа доступа.
Что важно запомнить
Внутри локальной сети достаточно открыть порты 1540–1591 и настроить права. Для доступа из интернета используйте веб-публикацию с HTTPS или VPN. Никогда не открывайте кластер 1С и RDP напрямую в интернет, задайте пароль администратору кластера и проверяйте результат с реального клиентского устройства.
Частые вопросы
Какие порты использует сервер 1С и нужно ли их открывать в интернет?
Стандартные порты: 1540 — агент сервера, 1541 — менеджер кластера, 1560–1591 — рабочие процессы. Открывать их нужно только внутри локальной сети или VPN. В интернет эти порты выставлять нельзя — для внешнего доступа используйте веб-сервер с HTTPS (порт 443) или VPN-шлюз.
Можно ли открыть доступ к файловой базе 1С по сети?
Да, через общий сетевой ресурс (SMB): папка с базой публикуется на файл-сервере, пользователям выдаются права на чтение и запись, а на клиентах база добавляется по сетевому пути. Учтите ограничения: при числе одновременных пользователей более нескольких человек файловый режим заметно замедляется и повышается риск повреждения базы — в этом случае лучше перейти на клиент-серверный вариант.
Почему клиент не видит сервер 1С, хотя ping проходит?
Ping проверяет только доступность хоста, а не портов. Чаще всего причина в закрытых портах 1540–1591 на брандмауэре сервера, остановленной службе агента сервера 1С или неверном имени базы. Проверьте порт командой Test-NetConnection и состояние службы в оснастке «Службы».
Нужен ли статический IP-адрес для доступа из интернета?
Желателен, но не обязателен. При динамическом адресе используйте службы динамического DNS (DDNS), которые привязывают постоянное доменное имя к меняющемуся IP. Для HTTPS-сертификата и стабильной работы VPN статический адрес или доменное имя всё равно потребуется.
Как ограничить доступ к веб-публикации только для своих сотрудников?
Комбинируйте меры: сложные пароли и блокировка при подборе, ограничение доступа к веб-серверу по диапазону IP-адресов (если у сотрудников они постоянные), размещение публикации только внутри VPN, а также отключение публикации веб-сервисов, которые не используются. Каждый дополнительный барьер снижает риск несанкционированного входа.
Что делать, если доступ уже был открыт напрямую в интернет?
Немедленно закройте проброс портов на роутере, смените пароли администратора кластера и всех пользователей, проверьте журнал регистрации на подозрительные сеансы и убедитесь в наличии актуальной резервной копии. Затем внедрите безопасную схему — VPN или веб-публикацию с HTTPS.