Какие порты открыть для сервера 1С

Клиентское приложение 1С не соединяется с сервером «как-нибудь» — оно проходит чёткую цепочку сетевых подключений: сначала к агенту сервера, затем к менеджеру кластера и к рабочим процессам, а уже те обращаются к СУБД. Если на любом из этих участков закрыт порт, пользователь получает ошибку соединения, причём текст ошибки часто не указывает на реальную причину. Поэтому настройку портов нужно выполнять осознанно, а не методом «открыть всё подряд».

Базовый набор портов кластера серверов 1С фиксирован и одинаков для большинства установок: 1540, 1541 и диапазон 1560–1591. К ним добавляются порты службы RAS (1545), порты СУБД (1433 для MS SQL Server, 5432 для PostgreSQL) и порты веб-сервера (80/443), если используется публикация через веб. Отдельный вопрос — лицензии: программные лицензии HASP могут требовать сетевого взаимодействия по своим портам.

Ниже разобрано, какой порт за что отвечает, где именно открывать правила (на сервере 1С, на сервере СУБД, на межсетевом экране между ними), как проверить доступность портов и какие ошибки чаще всего мешают подключению.

Какие порты использует кластер серверов 1С

Кластер серверов 1С по умолчанию занимает стандартный набор TCP-портов. Порт 1540 — основной порт агента сервера (процесс ragent), именно к нему клиенты обращаются при первом подключении, чтобы получить список информационных баз и параметры кластера. Порт 1541 используется менеджером кластера (процесс rmngr) для внутренней координации и для подключения консоли администрирования.

Диапазон 1560–1591 зарезервирован под рабочие процессы (rphost), которые непосредственно исполняют код прикладного решения и обращаются к базе данных. Каждый рабочий процесс занимает свой порт из этого диапазона, поэтому открывать нужно весь диапазон целиком — заранее предугадать, какой именно процесс обслужит конкретного пользователя, нельзя.

Порт 1545 по умолчанию слушает служба RAS (Server Agent Administration Service) — она нужна для удалённого администрирования кластера через консоль на другой машине, для утилит RAC и для интеграционных сценариев. Если администрирование ведётся только локально на самом сервере, порт 1545 снаружи можно не открывать вовсе — это даже безопаснее.

Сводная таблица портов

Ниже собраны порты, которые встречаются в типовой клиент-серверной инфраструктуре 1С. Открывать нужно только те, что соответствуют вашей архитектуре: лишние открытые порты — это ненужная поверхность атаки.

Обратите внимание: порты кластера указаны для установки «по умолчанию». Если при установке сервера 1С или при создании кластера использовались нестандартные значения, актуальные номера смотрите в консоли администрирования кластера или в параметрах службы агента сервера.

Как открыть порты в брандмауэре Windows

На сервере под управлением Windows правила создаются в оснастке «Брандмауэр Защитника Windows в режиме повышенной безопасности» или через PowerShell. Логика одинаковая: создаётся входящее правило, разрешающее TCP-трафик на указанные порты, привязанное к нужному сетевому профилю (обычно «Доменный» или «Частный», но не «Публичный»).

1. 1
   Откройте «Брандмауэр Защитника Windows» → «Правила для входящих подключений» → «Создать правило».
2. 2
   Выберите тип «Для порта», протокол TCP, укажите порты: 1540-1541, 1545, 1560-1591.
3. 3
   Выберите действие «Разрешить подключение».
4. 4
   Оставьте только профили «Доменный» и «Частный», снимите флажок «Публичный».
5. 5
   Задайте понятное имя правила, например «1C Server Cluster», и сохраните.
6. 6
   При необходимости ограничьте правило по удалённым IP-адресам — только подсеть офиса.

Альтернатива графической оснастке — команда PowerShell, которую удобно использовать при настройке нескольких серверов:

New-NetFirewallRule -DisplayName "1C Server Cluster" -Direction Inbound -Protocol TCP -LocalPort 1540-1541,1545,1560-1591 -Action Allow -Profile Domain,Private

На Linux-сервере аналогичные правила добавляются через firewalld или iptables. Для firewalld это выглядит как firewall-cmd --permanent --add-port=1540-1541/tcp --add-port=1560-1591/tcp с последующей командой firewall-cmd --reload.

Порты на стороне СУБД и веб-сервера

Частая ситуация: порты кластера открыты, клиент «видит» сервер 1С, но информационная база не запускается, потому что рабочие процессы не могут достучаться до СУБД. Сервер 1С и сервер баз данных — это разные точки сети, и правила нужны на обеих. На сервере MS SQL должен быть открыт TCP 1433 (либо нестандартный порт именованного экземпляра, который задаётся в SQL Server Configuration Manager), на PostgreSQL — TCP 5432, при этом в файле pg_hba.conf должны быть разрешены подключения с адреса сервера 1С.

Если доступ к 1С организован через веб-клиент или мобильный клиент, публикация выполняется на веб-сервере (IIS или Apache), и тогда снаружи должны быть открыты только порты 80 и/или 443. Порты кластера (1540 и далее) при этом должны быть доступны только самому веб-серверу, а не конечным пользователям — веб-сервер выступает посредником. Это самый безопасный вариант для доступа извне: наружу торчит только HTTPS.

Для HTTPS потребуется действующий TLS-сертификат. Самоподписанный сертификат технически работает, но вызывает предупреждения в браузере и проблемы в мобильном клиенте, поэтому для постоянной эксплуатации лучше использовать сертификат от доверенного центра или от внутреннего корпоративного УЦ с распространением корня на клиентские машины.

Порты для лицензий и сопутствующих служб

При использовании аппаратных или программных сетевых лицензий HASP менеджер лицензий (HASP License Manager) обменивается данными по порту 475 (UDP и TCP). Если клиенты не видят лицензии при корректно работающем кластере, проверьте, что порт 475 открыт на машине с менеджером лицензий и что сама служба запущена.

Если сервер лицензирования 1С используется в составе кластера (программные лицензии выдаёт сам сервер 1С), отдельных портов открывать не требуется — выдача идёт по уже открытым портам кластера. Зато потребуется доступ к интернету для активации и обновления программных лицензий через сервис лицензирования, если активация выполняется автоматически.

Как проверить, что порты открыты и работают

После настройки правил проверку выполняйте с клиентской машины, а не с самого сервера — локальное подключение не доказывает доступность из сети. Самый быстрый способ в Windows — командлет Test-NetConnection в PowerShell: он показывает, проходит ли TCP-подключение до конкретного порта.

Test-NetConnection srv1c -Port 1540
Test-NetConnection srv1c -Port 1541
Test-NetConnection srvsql -Port 1433

Результат TcpTestSucceeded : True означает, что порт доступен. Если False — проверяйте по цепочке: запущена ли служба агента сервера 1С, слушает ли процесс порт (команда netstat -ano | findstr 1540 на сервере), не блокирует ли трафик промежуточный сетевой экран, антивирус с сетевым экраном или сегментация VLAN.

Типичные ошибки при настройке портов

Больше всего проблем доставляет не сам факт открытия портов, а нюансы конфигурации. Одна из классических ошибок — клиент подключается к серверу по имени, которое разрешается в «не тот» IP-адрес, или сервер имеет несколько сетевых интерфейсов, и кластер зарегистрирован на адресе, недоступном клиентам. В таком случае порты формально открыты, но соединение устанавливается на неверный интерфейс.

Ещё одна группа проблем — конфликт портов. Если на той же машине развёрнуто несколько кластеров разных версий платформы, второму кластеру назначаются другие порты (например, 2540, 2541, 2560–2591). Правила брандмауэра должны учитывать все используемые диапазоны, иначе после установки второй платформы «отвалится» одна из групп баз.

FAQ