Как пробросить порты для 1С: настройка доступа извне

Проброс портов (port forwarding) нужен, когда к серверу 1С требуется подключаться извне локальной сети — например, сотрудникам из дома или филиала. Роутер принимает входящее соединение на внешний порт и перенаправляет его на конкретный компьютер внутри сети, где работает сервер 1С:Предприятия или веб-сервер с опубликованной базой.

Прежде чем открывать порты наружу, важно понимать: прямой проброс портов сервера 1С в интернет — не самый безопасный вариант. Для постоянной работы удалённых сотрудников надёжнее использовать VPN, а проброс портов оставить как временное решение или для публикации веб-клиента с корректной настройкой аутентификации.

Какие порты использует 1С и что именно пробрасывать

Набор портов зависит от архитектуры вашего решения. В файловом варианте с прямым сетевым доступом проброс вообще не применяется — файловую базу нельзя безопасно открыть в интернет через проброс портов. Проброс имеет смысл для клиент-серверного варианта и для веб-публикации.

Типовые порты в клиент-серверной архитектуре: агент сервера 1С слушает порт 1540, рабочие процессы — диапазон 1560–1591, сервер СУБД (MS SQL — 1433, PostgreSQL — 5432). При веб-публикации через Apache или IIS используются стандартные порты 80 (HTTP) и 443 (HTTPS).

На практике чаще всего пробрасывают либо порты сервера 1С (1540–1541 и диапазон рабочих процессов), либо только 443-й порт на веб-сервер с опубликованной базой. Второй вариант предпочтительнее: трафик шифруется, а настройка проще.

Подготовка: статический IP и проверка исходных условий

Проброс портов работает на конкретный внутренний адрес, поэтому у сервера 1С он не должен меняться. Есть два способа: прописать статический IP в настройках сетевого адаптера сервера или зарезервировать адрес в DHCP роутера (функция обычно называется Address Reservation или Static DHCP). Второй способ удобнее — конфигурация остаётся централизованной на роутере.

Также проверьте, какой IP-адрес выдаёт провайдер на внешний интерфейс роутера. Если адрес из «серых» диапазонов (10.x.x.x, 100.64.x.x, 172.16–31.x.x, 192.168.x.x), значит, вы за NAT провайдера, и проброс портов не заработает без дополнительных действий. В этом случае нужно заказать у провайдера статический или динамический «белый» IP либо использовать VPN-туннель.

Настройка правила проброса на роутере

Раздел настройки называется Port Forwarding, Virtual Servers, NAT или Перенаправление портов — зависит от производителя. Логика везде одинаковая: указываете внешний порт, внутренний IP сервера и внутренний порт, а также протокол (TCP).

1. 1
   Войдите в веб-интерфейс роутера (обычно 192.168.0.1 или 192.168.1.1) и авторизуйтесь
2. 2
   Найдите раздел Port Forwarding / Virtual Servers / Перенаправление портов
3. 3
   Создайте правило: внешний порт 1540, внутренний IP — адрес сервера 1С, внутренний порт 1540, протокол TCP
4. 4
   Добавьте аналогичные правила для портов 1541 и диапазона 1560–1591, если клиенты подключаются напрямую к серверу 1С
5. 5
   Для веб-доступа создайте правило: внешний 443 → внутренний IP веб-сервера, порт 443
6. 6
   Сохраните настройки и при необходимости перезагрузите роутер

Внешний порт не обязан совпадать с внутренним. Например, можно принимать подключения на внешний порт 51541 и перенаправлять на внутренний 1541 — это немного снижает количество автоматических сканирований, хотя не заменяет нормальную защиту. Учтите, что в строке подключения клиента 1С тогда придётся явно указывать нестандартный порт.

Если на роутере есть функция UPnP, не полагайтесь на автоматический проброс: для серверных служб правила должны быть заданы вручную и задокументированы, иначе при сбое будет сложно восстановить конфигурацию.

Открытие портов в брандмауэре Windows на сервере

Даже при правильном пробросе на роутере подключение не пройдёт, если брандмауэр Windows на сервере блокирует входящие соединения. Для сервера 1С нужны правила, разрешающие входящий трафик TCP на порты 1540–1541 и 1560–1591, либо правило для исполняемых файлов ragent.exe, rmngr.exe и rphost.exe.

New-NetFirewallRule -DisplayName "1C Server Agent" -Direction Inbound -Protocol TCP -LocalPort 1540-1541,1560-1591 -Action Allow

Для веб-сценария откройте порты 80 и 443 на машине с веб-сервером. Проверить, слушает ли сервер нужный порт, можно командой netstat -an | find \"1540\" — в выводе должна быть строка со состоянием LISTENING.

Проверка доступа извне

Проверять нужно именно из внешней сети — например, с телефона через мобильный интернет, а не из локальной сети офиса. Многие роутеры не поддерживают NAT loopback (hairpin NAT), поэтому обращение по внешнему адресу изнутри может не работать даже при корректной настройке.

Для проверки доступности порта используйте онлайн-сервисы проверки открытых портов или команду Test-NetConnection ваш_внешний_IP -Port 1541 в PowerShell с внешней машины. Результат TcpTestSucceeded: True означает, что порт доступен. Затем настройте подключение в клиенте 1С: в параметрах информационной базы укажите внешний IP (или доменное имя через DDNS) и при необходимости нестандартный порт.

Безопасность и альтернативы прямому пробросу

Открытый наружу порт сервера 1С виден автоматическим сканерам уже через несколько часов после проброса. Минимальный набор мер: сложные пароли пользователей, отключённая учётная запись администратора по умолчанию, регулярные обновления платформы, ограничение доступа по списку IP-адресов на роутере, если у удалённых сотрудников статические адреса.

Если сомневаетесь в выборе, ориентируйтесь на простое правило: для постоянной работы нескольких удалённых сотрудников настраивайте VPN, для разовых задач или доступа через браузер — веб-публикацию с HTTPS. Прямой проброс портов сервера 1С оставляйте как временную меру с последующим переходом на защищённую схему.

FAQ