Администрирование · 10 мин
Как заблокировать 1С доступ в интернет
Как заблокировать 1С доступ в интернет: настройка брандмауэра Windows, hosts-файла, прокси и групповых политик. Проверка результата и типичные ошибки.
Запретить программе 1С выход в интернет требуется в нескольких типовых ситуациях: когда обновления и сервисы ломают отлаженную конфигурацию, когда лицензионная политика компании требует изоляции рабочих баз, когда нужно остановить отправку данных в облачные сервисы или когда корпоративная безопасность предписывает закрыть весь внешний трафик бухгалтерских машин. Задача решается на нескольких уровнях — от настроек самой платформы до сетевого оборудования, и выбор зависит от того, что именно должно продолжать работать.
Важно понимать, что «доступ 1С в интернет» — это не одно действие, а набор разных обращений: проверка обновлений, интернет-поддержка (сервисы 1С:Линк, 1С-Отчетность, ЭДО), обмен с сайтом, проверка лицензионных ключей через сервер лицензирования, фоновые задания обмена данными. Блокировка «в лоб» может отключить 1С-Отчетность или обмен с банком, поэтому сначала определите, какие сервисы должны остаться доступными.
Ниже разобраны основные способы: от самого простого (настройки внутри 1С) до самого надёжного (фильтрация на шлюзе), с указанием ограничений каждого и способов проверить результат.
Определите, что именно нужно заблокировать
Перед настройкой составьте список реально используемых онлайн-функций. Откройте раздел администрирования в типовой конфигурации и проверьте подключённые сервисы: 1С-Отчетность, обмен электронными документами, 1С:Контрагент, автоматическая проверка обновлений, синхронизация с сайтом или мобильным приложением. Каждый из этих сервисов обращается к своим адресам, и полная блокировка их остановит.
Разделите сценарии на три группы. Первая — полная изоляция: база работает только в локальной сети, никакого внешнего трафика. Вторая — частичная блокировка: запрещены обновления и телеметрия, но работают ЭДО и отчетность. Третья — ограничение только для отдельных пользователей или компьютеров. От группы зависит выбор инструмента.
Как выбрать действие
Отключите интернет-функции внутри самой 1С
Первый шаг — убрать обращения к интернету на уровне приложения. В типовых конфигурациях (Бухгалтерия, Управление торговлей, ERP) откройте раздел «Администрирование» и найдите настройки интернет-поддержки и сервисов. Отключите автоматическую проверку обновлений программы, отсоедините учётную запись портала 1С:ИТС, если она не нужна, выключите фоновые задания синхронизации.
Проверьте регламентные и фоновые задания: «Администрирование» → «Обслуживание» → «Регламентные и фоновые задания». Задания вроде обмена с банками, загрузки курсов валют, проверки контрагентов, обновления классификаторов периодически обращаются к внешним ресурсам. Отключите те, что не используются, — это снизит трафик ещё до настройки сетевых блокировок.
Учтите ограничение этого метода: настройки конфигурации может изменить любой пользователь с правами администратора, а сама платформа 1С всё равно способна инициировать соединения (например, при проверке лицензии). Поэтому внутренние настройки — это гигиена, а не надёжный барьер.
Заблокируйте 1С через брандмауэр Windows
На отдельном компьютере самый контролируемый способ — правила брандмауэра Windows для исполняемых файлов платформы. Для тонкого клиента это 1cv8.exe, для серверного агента — rphost.exe, rmngr.exe и ragent.exe. Правило создаётся для исходящих подключений с действием «Блокировать».
Порядок настройки: откройте «Брандмауэр Защитника Windows» → «Дополнительные параметры» → «Правила для исходящего подключения» → «Создать правило». Тип — «Для программы», укажите путь к 1cv8.exe из каталога установленной версии платформы (например, C:\Program Files\1cv8\<версия>\bin\1cv8.exe), действие — «Блокировать подключение», профили — все три. Дайте правилу понятное имя.
- 1Определите каталог установки платформы и путь к 1cv8.exe
- 2Откройте брандмауэр Windows в режиме повышенной безопасности
- 3Создайте правило для исходящих подключений, тип «Для программы»
- 4Укажите путь к 1cv8.exe и выберите «Блокировать подключение»
- 5Повторите для rphost.exe на сервере 1С, если база клиент-серверная
- 6Проверьте: 1С запускается, база открывается, внешние сервисы недоступны
Ту же задачу можно выполнить командой в PowerShell от имени администратора:
New-NetFirewallRule -DisplayName "Block 1C Internet" -Direction Outbound -Program "C:\Program Files\1cv8\8.3.22.1750\bin\1cv8.exe" -Action BlockГлавное ограничение метода — при обновлении платформы путь к исполняемому файлу меняется, и правило перестаёт действовать на новую версию. Либо обновляйте правила после каждого обновления платформы, либо блокируйте по всему каталогу через правила на уровне шлюза.
Дополнительные методы: hosts-файл и прокси
Файл C:\Windows\System32\drivers\etc\hosts позволяет перенаправить обращения к серверам 1С на локальный адрес. Добавьте строки вида 127.0.0.1 updates.1c.ru для адресов, которые нужно заглушить. Метод прост, но ненадёжен: он работает только для обращений по доменным именам, не блокирует прямые подключения по IP и легко отключается любым пользователем с правами администратора. Используйте его как дополнение к брандмауэру, а не как основную меру.
Более управляемый вариант — вывести весь трафик через корпоративный прокси и на нём задать белый список разрешённых адресов. Тогда 1С сможет достучаться только до явно разрешённых сервисов (например, серверов ЭДО), а всё остальное будет отклонено. Это требует настройки прокси-сервера и корректного указания прокси в настройках 1С или системы.
Сравнение вариантов
Просто и безопасно, но любой администратор базы может вернуть всё обратно; платформа всё равно может выходить в сеть
Надёжно для отдельных ПК, но правила привязаны к пути и версии платформы — требуют обслуживания при обновлениях
Быстро, но блокирует только доменные имена и легко обходится; годится как дополнение
Самый управляемый вариант для сети, но требует отдельного оборудования или сервиса и навыков сетевого администрирования
Блокировка на уровне сети и домена
Если изолировать нужно несколько компьютеров или сервер 1С, централизованные методы предпочтительнее. На маршрутизаторе или межсетевом экране создайте правило, запрещающее исходящий трафик с IP-адреса сервера 1С во внешние сети, либо разрешающее только конкретные адреса сервисов. Такое правило не зависит от версии платформы и не может быть отключено с рабочего места.
В домене Active Directory правила брандмауэра распространяются через групповые политики: «Конфигурация компьютера» → «Параметры Windows» → «Параметры безопасности» → «Брандмауэр Windows в режиме повышенной безопасности». Создайте блокирующие правила для программ 1С и примените политику к нужной группе компьютеров. Это решает проблему массового развёртывания, но вопрос смены путей при обновлении платформы остаётся.
Проверка результата и типичные ошибки
После настройки проверьте результат практически. Запустите 1С, откройте базу — она должна работать в штатном режиме. Попытайтесь выполнить действие, требующее интернета: проверку обновлений, подключение интернет-поддержки — должна появиться ошибка соединения. Одновременно убедитесь, что разрешённые сервисы (если они остались) работают: отправьте тестовый документ через ЭДО или проверьте соединение с оператором отчетности.
Дополнительно посмотрите журналы брандмауэра: включённое логирование отброшенных пакетов покажет, какие именно соединения блокируются, и поможет обнаружить пропущенные процессы. На сервере проверьте, что правила действуют на все процессы кластера, а не только на rphost.
Частые вопросы
Заблокирует ли запрет в брандмауэре работу локальной базы 1С?
Нет, если правило создано только для исходящих подключений во внешнюю сеть. Файловая база на локальном диске и клиент-серверная база внутри локальной сети продолжат работать. Убедитесь, что правило не блокирует трафик внутри подсети — для серверных баз оставьте доступ к порту сервера 1С и СУБД.
Что будет с программной лицензией 1С при полной изоляции от интернета?
Программные лицензии 1С не требуют постоянного подключения к интернету и работают автономно. Однако при изменении аппаратной конфигурации или восстановлении из копии может понадобиться повторная активация через сервер лицензирования — для этого временно откройте доступ или используйте активацию по телефону/файлу ответа.
Как оставить работающей 1С-Отчетность, но заблокировать всё остальное?
Полной блокировкой на компьютере это не решить — нужен фильтр по адресам назначения. Настройте на шлюзе или прокси белый список, в который войдут адреса оператора отчетности и необходимых сервисов, а остальной внешний трафик с машин 1С запретите. Точный перечень адресов уточните у оператора ЭДО.
Почему после обновления платформы блокировка перестала работать?
Каждая версия платформы устанавливается в отдельный каталог, и правило брандмауэра, привязанное к конкретному пути, не действует на новый файл. После каждого обновления создайте правило для нового каталога или перенесите блокировку на сетевой уровень — по IP-адресу компьютера или сервера.
Можно ли заблокировать интернет только для одного пользователя 1С?
Да. В брандмауэре Windows при создании правила можно ограничить его действие конкретной учётной записью, а в домене — применить групповую политику к подразделению с нужными пользователями. Учтите, что если пользователь работает через терминальный сервер, блокировка затронет процессы на сервере, и разграничение делается уже политиками на нём.
Что важно запомнить
Начните с отключения интернет-сервисов и фоновых заданий внутри 1С, затем закройте внешний трафик брандмауэром Windows для 1cv8.exe и rphost.exe или на сетевом шлюзе. Hosts-файл — только дополнение. Перед полной блокировкой проверьте зависимые сервисы (отчетность, ЭДО, банки), после настройки — проверьте результат практически, а при обновлениях платформы актуализируйте правила.