Проброс сервера 1С наружу: клиент подключился, но база виснет

Сервер 1С выводят наружу двумя безопасными способами: через VPN или через веб-публикацию по HTTPS на порту 443. Прямой проброс портов кластера (1540, 1541, 1560–1591) возможен, но только с ограничением по IP. RDP 3389, SMB 445 и порты СУБД в интернет не открывают никогда. Если белого IP и администратора нет, базу проще перенести на арендованный сервер.

🔌 Почему возникает сбой, когда сервер 1С выводят наружу

Пятница, 18:20. Директор уезжает за город и просит открыть базу из дома. Админ заходит в роутер, пробрасывает порт 1540 и заодно 3389 для удалённого рабочего стола. Дома тонкий клиент подключается, список баз появляется, но первая же форма контрагента замирает, а через минуту выдаёт ошибку соединения.

Дело в устройстве кластера. Порт 1540 держит центральный агент, но он лишь направляет клиента дальше: к менеджеру кластера на 1541, а затем к рабочим процессам rphost на портах из диапазона 1560–1591. Эти порты остались закрытыми, поэтому соединение устанавливается, а данные не идут.

Бывают и другие причины:

• ✓провайдер выдаёт серый IP за общим NAT, и ваш роутер из интернета не виден;
• ✓за роутером провайдера стоит ещё один, и правило проброса срабатывает на неправильном устройстве;
• ✓адрес офиса динамический: вчера он был один, сегодня другой, а в настройках у клиентов старый;
• ✓брандмауэр Windows на сервере пропускает эти порты только из локальной подсети;
• ✓сервер сообщает клиентам внутреннее имя, которое за пределами офиса не разрешается.

Есть и обратная крайность. Не получив результата, админ открывает «всё подряд», включая RDP. Открытый 3389 сканеры находят быстро, и журнал безопасности Windows заполняется неудачными входами под именами вроде administrator и admin. Злоумышленнику достаточно одной удачной попытки.

Дальше всё предсказуемо: шифровальщик зашифровывает файлы баз и копии, которые лежат на том же сервере. Бухгалтерия стоит, отчётность уходит с опозданием, а если в базе кадры и зарплата, к простою добавляется утечка персональных данных. За неё отвечает оператор по 152-ФЗ.

🛠️ Как исправить: три способа открыть 1С снаружи

Способ выбирают по тому, кто и с какого устройства работает.

VPN до офисной сети

Наружу торчит один порт VPN-шлюза, а внутри всё работает как в офисе: тонкий клиент, консоль кластера, файловая база по сетевому пути. Сотрудник входит с паролем и вторым фактором, а порты 1С не видит никто, кроме него. VPN-клиент ставят на корпоративные ноутбуки, личные компьютеры в сеть не пускают. Минус один: VPN нужно развернуть, раздать и поддерживать.

Веб-публикация по HTTPS

Базу публикуют на веб-сервере (Apache или IIS) с модулем расширения веб-сервера 1С и файлом публикации default.vrd. Наружу открыт только порт 443 с действующим сертификатом. Пользователю хватает браузера. Публикуют конкретные базы, а не весь кластер, и лучше через обратный прокси, который отсекает лишние запросы. Для подрядчиков и обмена с сайтом это самый чистый вариант, но на тяжёлых формах веб-клиент уступает тонкому, поэтому проверьте его на своей конфигурации.

Прямой проброс портов кластера

Последний вариант, когда нет ни VPN, ни веб-публикации. Пробрасывают 1540, 1541 и диапазон рабочих процессов 1560–1591. Диапазон лучше сузить в настройках кластера до реально нужного, а на роутере разрешить входящие подключения только с известных адресов. Схема держится, пока внешний адрес офиса не меняется. Порты СУБД (5432 у PostgreSQL, 1433 у MS SQL) и SMB 445 наружу не выставляют вообще, а для удалённого рабочего стола вместо проброса 3389 берут VPN или шлюз RD Gateway.

Все способы рядом, вместе с арендой сервера:

Что делать, если ошибка повторяется

Если после проброса клиент всё равно не заходит или виснет, проверяйте по порядку.

1. ✓Сравните внешний адрес в настройках роутера с тем, что покажет сервис определения IP на компьютере в офисе. Не совпадают? У провайдера серый адрес, и без заказа белого IP никакой проброс не заработает.
2. ✓С компьютера вне офисной сети выполните в PowerShell команду Test-NetConnection с адресом офиса и портом 1540, затем 1541 и 1560.
3. ✓Если 1540 отвечает, а 1560 нет, рабочие процессы слушают порты, которые не проброшены. Откройте консоль кластера и посмотрите, где реально работают rphost.
4. ✓Проверьте, какое имя сервера получает клиент. Если внутреннее, пропишите на тестовом компьютере запись в файле hosts и посмотрите, исчезнет ли ошибка.
5. ✓Откройте брандмауэр Windows на самом сервере: правила для 1540, 1541 и диапазона 1560–1591 должны действовать для сетевого профиля, на котором работает карта.
6. ✓Загляните в журнал регистрации 1С и системный журнал. Если rphost перезапускается каждые несколько минут, пользователь видит «зависание», хотя сеть ни при чём.

Если все шесть пунктов пройдены, а доступ всё равно нестабилен, проблема в самой схеме. Офисный сервер зависит от роутера, одного провайдера, розетки в серверной и одного человека, который помнит, что куда проброшено. Настройку можно поручить сисадмину: настройка сервера 1С идёт по ставке 3800 руб/час. Но тогда вы заплатите за проброс, который придётся чинить снова при смене провайдера или роутера.

🔒 Как предотвратить взлом и сбои после проброса

Минимальный набор правил для любой схемы:

• ✓RDP 3389, SMB 445, PostgreSQL 5432 и MS SQL 1433 закрыты для интернета. Проверяйте это сканированием с внешнего адреса после каждой смены роутера или провайдера.
• ✓У каждого сотрудника своя учётная запись и только нужные роли. Общий логин «buh» на пятерых превращает любой разбор инцидента в гадание.
• ✓Уволенный сотрудник теряет доступ в день увольнения, а не через месяц, когда о нём вспомнят.
• ✓Платформу 1С и Windows обновляют по графику, а не после первой аварии.
• ✓Резервные копии лежат на другом сервере или в хранилище, куда рабочий сервер может только записывать. Шифровальщик добирается до всего, что видит по сети.
• ✓Пароль администратора кластера и пользователь СУБД не совпадают с паролями, которыми пользуются сотрудники.

Отдельно проверьте, что железо выдержит удалённую работу. Сеть добавляет задержку, поэтому слабый сервер, который в офисе терпели, у удалённых пользователей проявляется сильнее: пик в 9 утра и закрытие месяца ощущаются заметнее. Ориентиры по ресурсам для числа пользователей и типа базы есть в системных требованиях 1С.

Когда лучше не пробрасывать, а арендовать сервер 1С

Проброс оправдан, пока база небольшая и в штате есть человек, который отвечает за роутер, обновления и копии. Без него доступ держится на подрядчике и одном правиле в роутере. Сменился провайдер, перезагрузился роутер, обновился Windows, и в пятницу вечером директор снова не может открыть базу.

При аренде вся эта цепочка уезжает с вашего роутера на площадку. База и кластер 1С работают на сервере в дата-центре, питание, канал и железо остаются заботой площадки, а не вашей серверной. Порты кластера и СУБД мы наружу не публикуем. Схему доступа настраиваем под ваш случай: бухгалтеры через удалённый рабочий стол, руководитель из браузера, филиал по VPN.

Аренда сервера 1С стоит от 1 100 руб в месяц за пользователя: десять человек обойдутся от 11 000 руб в месяц. Для сравнения, час сисадмина стоит 3800 руб, и три часа на очередной разбор сбоя проброса (11 400 руб) почти равны месячной аренде на десять пользователей.

Конфигурацию выбирают по базе. Небольшой базе хватает виртуального сервера для 1С. Если закрытие месяца заметно тормозит или в базе одновременно работает много людей, берут выделенный сервер в аренду: его ресурсы не делятся с соседями. Перенос базы планируют на нерабочие часы: выгрузка, проверка на новом сервере, переключение пользователей.

Напишите нам число пользователей и тип базы, файловая она или клиент-серверная, и мы назовём конфигурацию и стоимость.

❓ Частые вопросы

Какие порты нужно пробросить для подключения к серверу 1С снаружи?

Для тонкого клиента в режиме клиент-серверной базы открывают порт агента 1540, порт менеджера кластера 1541 и диапазон рабочих процессов 1560–1591. Для веб-клиента нужен только порт 443 с сертификатом. Безопаснее всего подключаться через VPN, а при прямом пробросе ограничивать входящие подключения списком известных IP-адресов.

Можно ли открыть RDP на сервере 1С напрямую в интернет?

Нет. Открытый порт 3389 находят автоматические сканеры, а затем подбирают пароли к учётным записям. Для удалённой работы на сервере используйте VPN или шлюз удалённых рабочих столов с двухфакторной проверкой. Порты СУБД, 5432 у PostgreSQL и 1433 у MS SQL, а также SMB 445 тоже должны быть закрыты снаружи.

Почему тонкий клиент подключается к серверу 1С снаружи, но зависает?

Чаще всего закрыты порты рабочих процессов rphost, диапазон 1560–1591. Агент на 1540 отвечает, список баз виден, но данные идут через рабочие процессы, и без доступа к ним форма не открывается. Проверьте порты командой Test-NetConnection с компьютера вне офиса и откройте недостающие в роутере и брандмауэре Windows.

Что делать, если у провайдера серый IP и пробросить порты нельзя?

Серый адрес значит, что роутер провайдера делит один внешний IP на многих клиентов, и входящие подключения до вас не доходят. Решений три: заказать у провайдера белый IP, поднять VPN через внешний шлюз или перенести базу на арендованный сервер, где вопрос адреса и канала решается на стороне площадки.

Сколько стоит перенести 1С на арендованный сервер вместо проброса?

Аренда сервера 1С стоит от 1 100 руб в месяц за пользователя, десять человек обойдутся от 11 000 руб в месяц. Если схему доступа нужно собрать на вашем оборудовании, час работы сисадмина стоит 3800 руб. Точную конфигурацию и цену назовём после уточнения числа пользователей и типа базы.