Какие порты открыть на сервере 1С

Клиентское приложение 1С не может подключиться к серверу 1С:Предприятия, если сетевые порты закрыты брандмауэром или заняты другими службами. Типичный симптом — ошибка «Ошибка соединения с сервером 1С:Предприятия» при запуске базы, хотя сам сервер работает. В большинстве случаев причина именно в закрытых портах, а не в лицензии или настройках кластера.

Минимальный набор портов зависит от архитектуры: файловый режим вообще не требует открытия портов сервера 1С, а клиент-серверный вариант использует диапазон портов агента, менеджера и рабочих процессов кластера. Дополнительно могут понадобиться порты СУБД (MS SQL, PostgreSQL), веб-сервера для публикации базы и службы лицензирования.

Ниже разобраны конкретные номера портов, их назначение, порядок настройки брандмауэра Windows и Linux, способы проверки доступности и типичные ошибки, из-за которых соединение не устанавливается даже при «открытых» портах.

Какие порты использует сервер 1С по умолчанию

Кластер серверов 1С:Предприятия работает через три логических компонента, и каждому нужен свой порт. Агент сервера (ragent) слушает порт 1540 — через него консоль администрирования и клиенты получают информацию о кластере. Менеджер кластера (rmngr) использует порт 1541 — именно к нему клиентское приложение обращается при подключении к информационной базе.

Рабочие процессы (rphost), которые непосредственно исполняют код прикладного решения, занимают диапазон портов 1560–1591. Каждому рабочему процессу назначается свой порт из этого диапазона, поэтому открывать нужно весь диапазон целиком, а не один порт. Если в кластере несколько рабочих серверов, диапазон открывается на каждом из них.

Все перечисленные порты работают по протоколу TCP. UDP для штатной работы кластера 1С не требуется. Если сервер 1С и клиенты находятся в одном сегменте локальной сети без межсетевого экрана между ними, дополнительная настройка может вообще не понадобиться — правила нужны там, где трафик фильтруется.

Порты для смежных компонентов: СУБД, веб-сервер, лицензии

Сервер 1С редко работает в одиночку. Если база размещена на MS SQL Server, между сервером 1С и сервером СУБД должен быть открыт порт 1433/TCP (стандартный экземпляр) или динамический порт именованного экземпляра — его номер смотрят в SQL Server Configuration Manager. Для PostgreSQL стандартный порт — 5432/TCP, для IBM DB2 — 50000, для Oracle Database — 1521.

При публикации информационной базы на веб-сервере (IIS или Apache) для тонкого клиента через браузер и веб-сервисов используются порты 80/TCP (HTTP) и 443/TCP (HTTPS). Для работы извне рекомендуется только HTTPS с действующим сертификатом — передавать учётные данные 1С по незашифрованному каналу недопустимо.

Если лицензии 1С раздаёт аппаратный ключ HASP на отдельной машине, нужен порт 475/TCP и UDP для менеджера лицензий Sentinel (в старых инструкциях встречается 1947 — это порт веб-интерфейса администрирования HASP, его открывать наружу не обязательно). Программные лицензии, активированные на самом сервере, сетевых портов не требуют.

Как открыть порты в брандмауэре Windows

На Windows Server правила создаются через оснастку «Брандмауэр Защитника Windows в режиме повышенной безопасности» (wf.msc). Создайте правило для входящих подключений: тип «Для порта», протокол TCP, затем укажите порты списком — 1540, 1541, 1560–1591. Действие — «Разрешить подключение», профиль — «Доменный» и «Частный» (профиль «Публичный» оставляйте закрытым).

Ту же задачу быстрее выполнить одной командой PowerShell от имени администратора. Она создаёт правило для всего нужного диапазона сервера 1С:

New-NetFirewallRule -DisplayName "1C Server" -Direction Inbound -Protocol TCP -LocalPort 1540,1541,1560-1591 -Action Allow -Profile Domain,Private

Отдельное правило создайте для порта СУБД, если SQL Server или PostgreSQL стоит на той же машине и к нему обращаются с другого сервера. Если и кластер 1С, и СУБД расположены на одном физическом сервере, трафик между ними идёт через loopback-интерфейс и брандмауэром обычно не фильтруется — правила для 1433 или 5432 в этом случае не нужны.

Настройка портов в Linux и на сетевом оборудовании

На Linux-сервере с firewalld (CentOS, RHEL, AlmaLinux) порты открываются командами firewall-cmd с последующим применением правил. Для систем с iptables или nftables синтаксис отличается, но логика та же: разрешить входящий TCP-трафик на порты 1540, 1541 и диапазон 1560–1591.

firewall-cmd --permanent --add-port=1540-1541/tcp --add-port=1560-1591/tcp && firewall-cmd --reload

Если между клиентами и сервером стоит аппаратный межсетевой экран, маршрутизатор или сегментированная сеть с VLAN, правила нужно добавить и там. Частая ситуация: на сервере всё открыто, но трафик режется на сетевом оборудовании филиала. Проверить это можно, подключившись к серверу из его же локального сегмента — если внутри сегмента соединение работает, а из другого офиса нет, проблема в промежуточном оборудовании.

При публикации 1С наружу через интернет не открывайте порты кластера (1540–1591) напрямую в публичную сеть. Правильные варианты — публикация через веб-сервер с HTTPS, VPN-туннель или шлюз удалённых рабочих столов. Открытый наружу порт агента кластера — это прямой вектор атаки на сервер.

Как проверить, что порты открыты и работают

С клиентской машины доступность порта проверяется командой Test-NetConnection в PowerShell. Например, Test-NetConnection server1c -Port 1541 — в выводе строка TcpTestSucceeded: True означает, что порт доступен. Если False — трафик блокируется на сервере, на промежуточном оборудовании или служба не запущена.

На самом сервере убедитесь, что процессы слушают нужные порты: команда netstat -an | find "1541" (Windows) или ss -tlnp | grep 1541 (Linux) покажет, какой процесс занял порт и в каком состоянии соединение. Состояние LISTENING — норма. Если порта нет в списке, проверьте, запущена ли служба «Агент сервера 1С:Предприятия».

Финальная проверка — реальное подключение клиента 1С к базе. Если список баз открывается, но при входе возникает ошибка после аутентификации, чаще всего закрыт именно диапазон рабочих процессов 1560–1591: клиент достучался до менеджера кластера, но не смог подключиться к rphost.

Типичные ошибки при настройке портов 1С

Самая распространённая ошибка — открыть только 1540 и 1541, забыв про диапазон рабочих процессов. Внешне это выглядит странно: база видна в списке, аутентификация проходит, но дальше соединение обрывается. Вторая частая проблема — правило брандмауэра создано для профиля «Доменный», а сервер по какой-то причине определил сеть как «Публичную», и правило просто не применяется.

Ещё одна группа ошибок связана с нестандартными портами. Если при установке кластера были изменены порты по умолчанию (например, для второго кластера на том же сервере используются 2540, 2541, 2560–2591), открывать нужно фактические значения — их видно в свойствах кластера в консоли администрирования. Аналогично с именованными экземплярами SQL Server, которые по умолчанию используют динамические порты.

Как выбрать схему подключения под свою инфраструктуру

Набор открываемых портов напрямую зависит от выбранной архитектуры. Для небольшого офиса, где сервер 1С, СУБД и клиенты в одной локальной сети, достаточно правил на самом сервере. Для распределённой структуры с филиалами безопаснее всего поднимать VPN между площадками и не менять схему портов вовсе.

Помните и о лицензионных ограничениях: в файловом режиме сервер 1С не используется, и вопрос портов кластера не стоит вовсе — достаточно сетевого доступа к общей папке с базой (SMB, порт 445/TCP). Переход на клиент-серверный режим потребует полной настройки, описанной выше.

Частые вопросы