Администрирование · 11 мин
Как пробросить порты на сервер 1С
Как пробросить порты на сервер 1С: настройка роутера, публикация сервера 1С и веб-сервисов, порты 1540-1541, 80/443, проверка доступа и защита соединения.
Проброс портов (port forwarding) нужен, когда к серверу 1С требуется доступ извне локальной сети: сотрудники работают из дома, филиалы подключаются к центральной базе, мобильные клиенты обращаются к опубликованным веб-сервисам. Без корректного проброса внешние подключения просто не достигают сервера, потому что маршрутизатор по умолчанию блокирует входящий трафик.
Конкретный набор действий зависит от того, что именно публикуется: кластер сервера 1С:Предприятие (порты 1540–1541, 1560–1591), веб-сервер с опубликованной базой (80/443) или RDP-доступ администратора (3389). Каждый сценарий имеет свои риски и ограничения, и их важно понимать до начала настройки.
Прежде чем открывать порты наружу, оцените альтернативы: VPN-туннель, аренда сервера с белым IP у хостинг-провайдера или облачные сервисы. Прямой проброс портов — самый быстрый, но и наименее защищённый способ, особенно для RDP и веб-интерфейсов без TLS.
Какие порты использует 1С и что именно нужно пробрасывать
Сервер 1С:Предприятие по умолчанию задействует диапазон портов: 1540 (агент сервера), 1541 (менеджер кластера) и динамический диапазон 1560–1591 для рабочих процессов rphost. Если клиенты подключаются тонким клиентом по протоколу TCP, наружу нужно открывать именно эти порты.
Если база опубликована через веб-сервер (IIS или Apache), клиенты работают через веб-клиент или тонкий клиент по HTTP/HTTPS — тогда достаточно пробросить только порты веб-сервера: 80 или, что правильнее, 443. Это самый распространённый и более управляемый сценарий для доступа через интернет.
| Сценарий доступа | Порты | Протокол |
|---|---|---|
| Тонкий клиент к кластеру 1С | 1540, 1541, 1560–1591 | TCP |
| Веб-клиент / HTTP-публикация | 80, 443 | TCP |
| WEB-сервисы 1С (HTTP/SOAP) | 80, 443 | TCP |
| RDP для администрирования | 3389 | TCP |
| SQL Server (если нужен прямой доступ) | 1433 | TCP |
Подготовка: статический IP и проверка внешнего адреса
Проброс работает только на фиксированный внутренний адрес сервера. Если сервер получает IP по DHCP, после перезагрузки роутера адрес может измениться, и правило перестанет работать. Задайте серверу статический IP вручную в настройках сетевого адаптера Windows либо закрепите адрес за MAC-адресом сервера в разделе DHCP-резервирования роутера.
Второе условие — внешний IP-адрес. Узнайте у провайдера, выделен ли вам публичный (белый) IP. Если провайдер выдаёт серый адрес (за NAT провайдера), классический проброс портов работать не будет. Признак серого адреса: IP в настройках WAN роутера начинается с 10.x, 100.64–100.127 или 172.16–172.31, а на сайтах определения IP показывается другой адрес.
Как выбрать действие
Настройка проброса портов на роутере
Интерфейсы роутеров различаются, но логика везде одинакова. Нужный раздел обычно называется «Port Forwarding», «Виртуальные серверы», «Переадресация портов» или «NAT». В нём создаётся правило с четырьмя параметрами: внешний порт, внутренний IP-адрес, внутренний порт и протокол (TCP).
- 1Зайдите в веб-интерфейс роутера (обычно 192.168.0.1 или 192.168.1.1) под учётной записью администратора
- 2Откройте раздел Port Forwarding / Virtual Servers / Переадресация портов
- 3Создайте правило: внешний порт 443, внутренний IP — адрес сервера 1С (например, 192.168.1.10), внутренний порт 443, протокол TCP
- 4Для доступа тонким клиентом добавьте правила для портов 1540, 1541 и диапазона 1560–1591 на тот же внутренний IP
- 5Сохраните настройки и при необходимости перезагрузите роутер
- 6Проверьте, что правило активно и не конфликтует с встроенными сервисами роутера (веб-интерфейс управления, UPnP)
Обратите внимание на конфликт портов: если веб-интерфейс управления роутером висит на порту 80 или 443, его нужно перенести на другой порт (например, 8080) либо ограничить доступ к управлению только из локальной сети. Иначе правило проброса либо не применится, либо откроет админку роутера наружу, что недопустимо.
Если сервер стоит за двумя маршрутизаторами (двойной NAT — например, роутер провайдера плюс свой), правило придётся создавать на обоих устройствах: первый перенаправляет на второй, второй — на сервер. Либо переведите одно из устройств в режим моста (bridge mode).
Открытие портов в брандмауэре Windows Server
Даже при правильном пробросе на роутере соединение не пройдёт, если брандмауэр Windows на сервере блокирует входящие подключения. По умолчанию при установке сервера 1С нужные правила часто создаются автоматически, но проверить их стоит обязательно.
Откройте «Брандмауэр Защитника Windows» → «Дополнительные параметры» → «Правила для входящих подключений» и создайте правило для нужных портов. Либо используйте команду в PowerShell от имени администратора:
New-NetFirewallRule -DisplayName "1C Web HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
New-NetFirewallRule -DisplayName "1C Server" -Direction Inbound -Protocol TCP -LocalPort 1540,1541,1560-1591 -Action AllowВ правиле брандмауэра можно ограничить удалённые IP-адреса, с которых разрешено подключение, — если круг внешних пользователей известен и их адреса статичны. Это заметно снижает поверхность атаки по сравнению с открытым для всех портом.
Публикация базы через веб-сервер
Для доступа через интернет чаще всего публикуют базу на веб-сервере. В составе платформы 1С есть утилита публикации webinst, либо публикация выполняется вручную через конфигуратор: «Администрирование» → «Публикация на веб-сервере». Указывается имя публикации, каталог и тип веб-сервера (IIS или Apache).
После публикации база доступна по адресу вида https://ваш-домен/ИмяБазы. Тонкий клиент умеет работать по этому же адресу — достаточно указать его в строке подключения вместо имени сервера кластера. Это позволяет открыть наружу только порт 443 и не публиковать порты кластера вовсе.
Проверка доступа и диагностика проблем
Проверять проброс нужно именно из внешней сети — например, с телефона через мобильный интернет. Из локальной сети проверка по внешнему адресу может не работать из-за отсутствия NAT loopback (hairpin NAT) на роутере, и это не означает, что проброс неисправен.
Как проверить результат
Порт открыт, соединение устанавливается
Порт закрыт или время ожидания истекло
Открывается форма авторизации 1С
Ошибка соединения, таймаут или страница роутера
Клиент запрашивает логин и входит в базу
Ошибка сертификата или «сервер недоступен»
Адреса совпадают — IP белый
Адреса различаются — серый IP, проброс не сработает
Если порт закрыт, проверяйте цепочку последовательно: слушает ли порт сам сервер (команда netstat -an | find "443"), открыт ли порт в брандмауэре, правильно ли указан внутренний IP в правиле роутера, не блокирует ли провайдер входящие соединения на этом порту. Некоторые провайдеры блокируют порты 80 и 25 на домашних тарифах.
Безопасность и альтернативы прямому пробросу
Любой открытый порт — это потенциальная точка входа. Минимальный набор мер: открывать только реально нужные порты, использовать HTTPS с валидным сертификатом, держать платформу 1С и операционную систему обновлёнными, применять сложные пароли и, где возможно, ограничение по IP.
Для доступа сотрудников к базе надёжнее поднять VPN-сервер (WireGuard, OpenVPN или встроенный в роутер): пользователи подключаются к VPN и работают с 1С так, будто находятся в офисной сети, а наружу открыт только один порт VPN. Это промышленный стандарт для удалённого доступа к внутренним ресурсам.
Сравнение вариантов
Быстро настраивается, подходит для веб-публикации по HTTPS. Минус — открытый порт виден всему интернету
Максимальная защита для доступа сотрудников, закрыты все порты кроме VPN. Требует настройки клиентов на каждом устройстве
База размещается у провайдера, проброс не нужен вовсе. Подходит при нестабильном канале или сером IP
Работают даже за CG-NAT без белого IP. Зависимость от стороннего сервиса и возможные ограничения скорости
Что важно запомнить
Проброс строится по цепочке: статический IP сервера → правило на роутере → разрешение в брандмауэре → проверка извне. Для 1С предпочтителен сценарий веб-публикации по HTTPS с открытым только портом 443, а для администрирования и доступа сотрудников — VPN вместо открытых портов RDP и кластера.
Частые вопросы
Какие порты нужно открыть для тонкого клиента 1С через интернет?
Если клиент подключается напрямую к кластеру — 1540, 1541 и диапазон 1560–1591. Но практичнее опубликовать базу на веб-сервере и подключать тонкий клиент по HTTPS-адресу: тогда наружу достаточно открыть только порт 443.
Проброс настроен, но порт всё равно закрыт. Что проверять?
По порядку: слушает ли порт сам сервер (netstat), разрешён ли порт в брандмауэре Windows, совпадает ли внутренний IP в правиле с текущим адресом сервера, белый ли у вас внешний IP и не блокирует ли провайдер этот порт. Проверку выполняйте из внешней сети, например через мобильный интернет.
Можно ли пробросить порты, если провайдер выдаёт серый IP?
Классический проброс не сработает, так как входящие соединения не доходят до вашего роутера. Варианты: заказать у провайдера статический белый IP, использовать VPN с выделенным адресом, туннельные сервисы или перенести базу на облачный сервер.
Безопасно ли открывать порт 3389 (RDP) для управления сервером 1С?
Нет, открытый RDP постоянно сканируется и подвергается перебору паролей. Используйте VPN для доступа к серверу, а RDP оставьте доступным только внутри локальной сети или через VPN-туннель.
Нужен ли домен и сертификат для работы 1С через интернет?
Для работы по HTTP достаточно IP-адреса, но передача данных будет незашифрованной. Для HTTPS нужны доменное имя (можно через DDNS при динамическом IP) и TLS-сертификат, например бесплатный Let's Encrypt. Без них браузеры и клиенты будут выдавать предупреждения о небезопасном соединении.
Почему из офиса по внешнему адресу база не открывается, а из дома работает?
Это признак отсутствия NAT loopback (hairpin NAT) на роутере: он не умеет обрабатывать обращения из локальной сети к собственному внешнему адресу. Решения: включить hairpin NAT, если роутер поддерживает, или использовать внутри сети локальный адрес сервера, а внешний — только для удалённых подключений.