Какие порты нужны для обновления 1С

Для загрузки обновлений конфигураций и платформы 1С программе нужен доступ к интернет-сервисам фирмы «1С». В подавляющем большинстве случаев достаточно одного порта — 443 (HTTPS), поскольку все сервисы обновления работают по защищённому протоколу. Однако на практике проблемы возникают не из-за самого порта, а из-за закрытых адресов, прокси-серверов, антивирусной фильтрации трафика и особенностей файрвола.

Путаница возникает ещё и потому, что в 1С есть два разных набора портов: одни используются для обновления через интернет, другие — для работы сервера 1С и кластера внутри локальной сети (диапазон 1560–1591, порты агента 1540–1541). Эти диапазоны не имеют отношения к загрузке обновлений, но их часто ошибочно открывают наружу, что создаёт угрозу безопасности.

Ниже разобрано, какие именно адреса и порты участвуют в обновлении, как проверить их доступность, как настроить прокси и что делать, если обновление не скачивается.

Какие порты и адреса используются при обновлении 1С

Обновление конфигурации через интернет (функция «Обновление версии программы» в типовых конфигурациях) и ручная загрузка дистрибутивов работают по протоколу HTTPS. Это означает: исходящие TCP-подключения на порт 443 с компьютера, где выполняется обновление. Входящие подключения не нужны — файрвол должен пропускать только ответы на установленные сессии, что стандартно для любого сетевого экрана.

Основные адреса, к которым обращается программа:

• portal.1c.ru — портал ИТС, авторизация по логину и паролю, проверка доступности обновлений;
• downloads.1c.ru — загрузка дистрибутивов обновлений и платформы;
• releases.1c.ru — получение информации о версиях конфигураций;
• update.1c.ru — сервис автоматического обновления;
• 1c.ru, its.1c.ru — сопутствующие ресурсы, желательно не блокировать.

Указанные домены могут разрешаться в разные IP-адреса, и адреса могут меняться. Поэтому правила файрвола корректнее строить по доменным именам, а не по фиксированным IP. Если ваш сетевой экран не поддерживает правила по DNS-именам, придётся периодически актуализировать список адресов или разрешить исходящий HTTPS-трафик целиком.

Порты сервера 1С: почему их не нужно открывать для обновления

В документации и на форумах часто встречаются диапазоны портов 1540, 1541, 1545 и 1560–1591. Это порты кластера серверов 1С: агент сервера (1540), менеджер кластера (1541), рабочие процессы (1560–1591), а также порт сервера баз данных (например, 1433 для MS SQL или 5432 для PostgreSQL). Они используются для связи клиентов с сервером 1С внутри локальной сети.

К обновлению через интернет эти порты отношения не имеют. Более того, открывать их в сторону интернета категорически нельзя: доступ к агенту сервера 1С извне — это прямой путь к компрометации кластера и данных информационных баз.

Как проверить доступность сервисов обновления

Прежде чем менять настройки сети, стоит убедиться, что проблема действительно в доступе. Самый простой способ — открыть в браузере на проблемном компьютере адрес https://portal.1c.ru и https://downloads.1c.ru. Если страницы открываются и не появляется ошибок сертификата, сетевой путь, скорее всего, в порядке.

Для более точной диагностики используйте командную строку. Проверка TCP-подключения к порту 443 выполняется так:

Test-NetConnection portal.1c.ru -Port 443

В результате важно поле TcpTestSucceeded: значение True означает, что порт доступен. Если значение False — соединение блокируется файрволом, прокси или провайдером. Дополнительно можно проверить разрешение имени командой nslookup portal.1c.ru: ошибка DNS тоже приведёт к невозможности обновления.

Настройка файрвола и антивируса

На уровне сетевого экрана достаточно разрешить исходящие TCP-подключения на порт 443 для компьютеров, с которых выполняется обновление. Если политика безопасности требует ограничить адресатов, добавьте в белый список домены portal.1c.ru, downloads.1c.ru, releases.1c.ru и update.1c.ru.

Отдельное внимание — антивирусам и системам фильтрации трафика с функцией проверки HTTPS (SSL-инспекция). Такие решения подменяют сертификат сервера, и 1С может отказаться устанавливать соединение, считая его небезопасным. Признаки: обновление не скачивается, хотя браузер открывает сайт нормально; в журналах — ошибки проверки сертификата.

В этом случае добавьте домены сервисов 1С в исключения HTTPS-фильтрации антивируса или шлюза. Полностью отключать проверку трафика ради обновления не стоит — точечные исключения для конкретных доменов безопаснее.

1. 1
   Проверьте доступность portal.1c.ru и downloads.1c.ru через браузер и Test-NetConnection
2. 2
   Разрешите исходящий TCP 443 к доменам сервисов 1С на файрволе
3. 3
   Добавьте домены 1С в исключения HTTPS-фильтрации антивируса
4. 4
   Если используется прокси — пропишите его в настройках интернет-поддержки 1С
5. 5
   Повторите обновление и проверьте журнал ошибок при неудаче

Обновление через прокси-сервер

В организациях с выходом в интернет через прокси 1С должна знать его адрес. В типовых конфигурациях параметры прокси задаются в разделе настроек интернет-поддержки (обычно «Администрирование» → «Интернет-поддержка и сервисы» → «Настройки прокси-сервера»). Там указывают адрес, порт прокси и, при необходимости, учётные данные.

Если прокси требует авторизацию, а логин и пароль не указаны или устарели, обновление будет завершаться ошибкой доступа, хотя сам порт 443 формально открыт. Проверьте, действительна ли учётная запись прокси, и не истёк ли пароль.

Альтернативный вариант — настроить прозрачное проксирование на шлюзе, тогда настройки на стороне 1С не потребуются. Но и здесь важно, чтобы прокси не вмешивался в TLS-соединение с серверами 1С.

Если доступ в интернет закрыт полностью

На изолированных машинах обновление через интернет невозможно в принципе, и никакие порты этого не изменят. В такой ситуации дистрибутивы обновлений скачивают на отдельном компьютере с доступом к порталу portal.1c.ru, а затем переносят на целевую машину на съёмном носителе и устанавливают вручную через конфигуратор («Конфигурация» → «Поддержка» → «Обновить конфигурацию» → выбор файла поставки).

При переносе файлов соблюдайте осторожность: скачивайте дистрибутивы только с официального портала и проверяйте целостность файлов. Носитель, перемещаемый между изолированным контуром и интернетом, — классический канал заражения, поэтому его стоит проверять антивирусом.

Частые вопросы