VPN к серверу 1С: какой канал оставить, а какой убрать сейчас

Закрытый VPN между сотрудниками и арендованным сервером 1С остаётся законным: ограничения нацелены на сервисы обхода блокировок и их рекламу. Риск появляется, когда VPN выводят через зарубежный узел или раздают без учёта. Поднимайте его на российской площадке, с именными учётками, журналом подключений и доступом только к серверу 1С.

🔍 Что стоит за формулировкой «волчий билет на год»

В пересказах это звучит так: пользоваться VPN на сервере пока можно, а поднимать новый почти нельзя. Звучит как приговор, но у настоящей нормы есть номер, дата вступления в силу и адресат. Если пересказ их не называет, перестраивать инфраструктуру по нему рано.

Что проверяется. Закон 149-ФЗ «Об информации, информационных технологиях и о защите информации» (статья 15.8) обязывает владельцев VPN-сервисов не пропускать пользователей к заблокированным ресурсам, а реклама средств обхода блокировок запрещена. Адресат этих требований: тот, кто оказывает VPN как услугу другим людям. Компания, которая соединяет своих сотрудников со своим сервером 1С, такой услуги не оказывает. Её канал закрыт: пользователи известны по именам, а выхода в интернет через него нет, и так его стоит настраивать.

Срок «на год» из чьего-то пересказа найдите в первоисточнике: в тексте закона или в письме ведомства. Для своего случая получите у юриста подтверждение на одной странице: что за канал, кто им пользуется, к какой системе он ведёт. Эта страница пригодится и при проверке, и при вопросах банка.

Есть и техническая сторона. Часть провайдеров и мобильных операторов режет популярные VPN-протоколы, и рабочий канал на мобильном интернете то обрывается, то не поднимается вовсе. Законным он от этого быть не перестаёт, но сотрудники начинают искать обход сами.

📱 Четверг, 16:40: как главбух поставила чужой VPN

Главбух работает из дома, а платёжки нужно загрузить до конца операционного дня банка. Корпоративный VPN на мобильном интернете поднимается и через минуту рвётся. Она находит в поиске бесплатное приложение, оно подключается с первого раза, платёжки уходят.

Но у приложения выход за границей, поэтому на следующий день банк просит подтвердить вход: адрес из другой страны. Клиент-банк открыт прямо в 1С, и подтверждение приходит в самый неудобный момент, например в день зарплаты. Хуже то, чего сразу не видно. В базе лежат паспортные данные сотрудников и карточки контрагентов, а весь трафик главбуха прошёл через узел, с владельцем которого у компании нет договора. Журнала подключений нет ни у кого.

По 152-ФЗ оператор персональных данных отвечает за то, где и через кого обрабатываются данные. Показать проверяющему маршрут через бесплатное приложение невозможно. Ставка в этой истории: закрытый в банке доступ в день выплат, сорванный отчёт в последний день срока и претензии за неподконтрольную передачу персональных данных. Причина не в халатности главбуха. У неё не было запасного входа, и она взяла первый, который заработал.

🚩 Пять признаков, что неучтённый VPN у вас уже есть

Проверка займёт примерно пятнадцать минут, и начинать её лучше с сервера, а не с опроса сотрудников.

• ✓В журнале безопасности Windows на сервере есть входы по RDP с адресов из других стран, хотя вся команда работает в Москве.
• ✓Порт RDP 3389 открыт на весь интернет, и в журнале видны неудачные входы с чужих адресов, одна попытка за другой.
• ✓На ноутбуках сотрудников в трее стоят VPN-клиенты, которые не ставил сисадмин.
• ✓Банк время от времени просит подтвердить вход в клиент-банк, потому что адрес сменился.
• ✓Сотрудник говорит «у меня так быстрее» про схему, которую вы не настраивали.

Нашли хотя бы один признак: не ругайте сотрудника, а спросите, почему не сработал штатный канал. Ответ обычно простой: мобильный интернет или чужая Wi-Fi сеть в командировке. Значит, нужен запасной вход, а не запрет.

⚖️ Три рабочих канала к серверу 1С в сравнении

Рабочих способов три. Четвёртый, стороннее приложение, стоит в таблице для контраста.

Рабочая схема для небольшой компании: VPN как основной канал, шлюз по 443 как запасной. Сети, где режут VPN, почти всегда пропускают HTTPS, поэтому второй канал закрывает ровно ту ситуацию из четверга, 16:40. Веб-клиент оставьте тем, кому нужны отчёты и согласование, а не ввод документов.

🛠 Шесть настроек, с которыми VPN на сервере не вызывает вопросов

Эти настройки одинаково нужны и для VPN, и для шлюза по 443.

1. ✓Сервер 1С и точку входа VPN держите на одной российской площадке, без промежуточных узлов за границей. Юрлицо и адрес площадки должны быть указаны в договоре аренды.
2. ✓У каждого сотрудника своя учётная запись и свой ключ. Общих логинов вроде «buh» нет, а при увольнении ключ отзывают в тот же день.
3. ✓Из VPN-сети открыты только порты, которые нужны 1С. Для тонкого клиента это агент сервера 1540, менеджер кластера 1541 и диапазон рабочих процессов 1560–1591. Порт СУБД, 1433 у MS SQL или 5432 у PostgreSQL, клиентам не нужен: к нему обращается только сервер 1С.
4. ✓Журнал подключений включён и хранится: кто, когда и с какого адреса заходил. Его читают раз в месяц, иначе он нужен только после инцидента.
5. ✓Права администратора на рабочих компьютерах есть только у сисадмина. Сотрудник не поставит сторонний VPN-клиент, даже если очень захочет.
6. ✓Есть запасной вход по 443 и памятка на одну страницу: что делать, если VPN не поднимается. Она отвечает на вопрос, который главбух в четверг задала себе сама.

Седьмое действие не техническое. Впишите в политику безопасности, что VPN является технологической сетью компании для доступа к её информационной системе, и назначьте ответственного. Это и есть та страница для юриста из первого раздела.

💰 Сколько стоит правильный канал

Отдельной статьи расходов на VPN у арендованного сервера нет: канал настраивают на самом сервере. Сам сервер для 1С в нашей аренде сервера 1С стоит от 1 100 ₽/мес за пользователя, для десяти человек это от 11 000 ₽/мес. Работы по VPN, шлюзу и правам доступа делает сисадмин, час его работы стоит 3800 ₽. Сколько часов потребуется, зависит от числа рабочих мест и устройств, поэтому оценку удобно запросить до начала работ. Состав типовой настройки описан на странице настройка сервера 1С.

Если бухгалтерия небольшая, обычно начинают с виртуального сервера для 1С. Если база большая и растёт, имеет смысл посмотреть выделенный сервер в аренду: на отдельном железе VPN-шлюз и база не делят ресурсы с чужими нагрузками.

Разница с самостоятельной сборкой в другом. Серверная часть и настройка доступа у одного исполнителя, поэтому не бывает ситуации, когда хостер отвечает «это на стороне 1С», а подрядчик по 1С «это на стороне хостера». Пока вы выясняете, чья это зона, бухгалтерия сидит без входа в базу.

❓ Частые вопросы

Можно ли в России использовать VPN для доступа к серверу 1С?

Да, закрытый корпоративный VPN между сотрудниками и сервером компании не нарушает запретов: они касаются сервисов обхода блокировок и их рекламы. Условия простые: каналом пользуются известные сотрудники, он ведёт только к вашей информационной системе, есть журнал подключений. Для своего случая подтверждение лучше получить у юриста письменно.

Чем корпоративный VPN отличается от сервиса обхода блокировок?

Сервис продаётся неопределённому кругу людей и открывает выход в интернет, в том числе к заблокированным сайтам. Корпоративный канал соединяет известных сотрудников с одной системой, выхода наружу не даёт и управляется самой компанией. Требования о блокировках адресованы тем, кто оказывает VPN как услугу.

Можно ли ставить на рабочие компьютеры бесплатные VPN-приложения?

Лучше запретить. У приложения нет договора с компанией, ключи и точка выхода у третьей стороны, адрес входа в банк и 1С постоянно меняется. Для оператора персональных данных это неподконтрольный маршрут. Дайте сотрудникам запасной вход по HTTPS и закройте права на установку программ.

Какие порты 1С нужно открывать для клиентов VPN?

Для тонкого клиента нужны порт агента сервера 1540, менеджера кластера 1541 и диапазон рабочих процессов 1560–1591. Порт СУБД клиентам открывать не нужно: к нему обращается только сервер 1С. При подключении через шлюз удалённых рабочих столов или веб-клиент наружу достаточно порта 443.

Сколько стоит аренда сервера 1С с настройкой удалённого доступа?

Сервер 1С стоит от 1 100 ₽/мес за пользователя: для десяти человек от 11 000 ₽/мес. Настройка VPN, шлюза и прав доступа идёт как работа сисадмина по ставке 3800 ₽/час. Сколько часов понадобится, зависит от числа рабочих мест и устройств, оценку можно запросить до начала работ.