Работа в 1С через терминальный сервер: устройство, настройка, безопасность

Терминальный доступ к 1С — это работа с программой, которая запущена не на вашем компьютере, а на сервере. Пользователь подключается к серверу по протоколу RDP, а 1С выполняется там: на рабочее место приходит только картинка экрана, обратно уходят нажатия клавиш и движения мыши.

Зачем это нужно: база и платформа стоят в одном месте, обновляются один раз, а сотрудники работают из офиса, из дома или из филиала с любого компьютера и даже с медленного канала. Как это устроено, что нужно серверу, какие лицензии покупать и как не открыть сервер всему интернету — по порядку.

Как устроен терминальный режим работы 1С

Схема из трёх участников:

• 🖥️ Терминальный сервер — Windows Server с ролью «Службы удалённых рабочих столов» (Remote Desktop Services, RDS). На нём установлена платформа 1С и, как правило, лежит файловая база или работает сервер 1С.
• 💻 Клиент — любое устройство с RDP-клиентом: mstsc.exe в Windows, приложение Microsoft Remote Desktop (Windows App) на macOS, iOS и Android, Remmina или xfreerdp в Linux.
• 🌐 Канал связи — локальная сеть, VPN или шлюз удалённых рабочих столов.

Каждый пользователь получает на сервере свой сеанс Windows со своим профилем. В этом сеансе он запускает 1С так же, как на обычном компьютере. Все вычисления, чтение базы и формирование отчётов идут на сервере, по сети передаётся только изображение.

Отсюда главный эффект: между 1С и базой нет медленной сети. Файловая база, которая «тормозит» по сетевой папке у пяти пользователей, на терминальном сервере читается с локального диска и работает заметно быстрее.

Подключаться можно двумя способами:

Сильные и слабые стороны терминального доступа

Плюсы

• ✅ Скорость по слабому каналу. Для RDP хватает 1–2 Мбит/с на пользователя, а файловой базе по сети нужна стабильная локальная сеть.
• ✅ Одна точка обслуживания. Платформа ставится и обновляется на одном сервере, а не на 20 ноутбуках.
• ✅ Сохранность данных. База не покидает сервер. Украли ноутбук бухгалтера — база осталась на месте.
• ✅ Любое устройство. Работать можно со старого ПК, с Mac или планшета: 1С на нём не устанавливается.
• ✅ Полная функциональность. Работают тонкий и толстый клиент, внешние обработки, Конфигуратор, выгрузка в Excel на сервере.

Минусы

• ❌ Нужен Windows Server и лицензии RDS — это отдельные расходы помимо лицензий 1С.
• ❌ Сервер — единая точка отказа. Упал сервер — не работает никто.
• ❌ Периферия. Локальные принтеры, сканеры штрихкодов, фискальные регистраторы и токены подписи приходится пробрасывать в сеанс, и не всё пробрасывается гладко.
• ❌ Открытый RDP в интернет — одна из любимых целей атак. Без VPN или шлюза это прямой риск для базы.
• ❌ Нужен администратор, который понимает и Windows Server, и 1С.

Что понадобится: сервер, лицензии, сеть

Сервер

Ориентировочный расчёт для тонкого клиента и файловой или клиент-серверной базы:

Это примерные ориентиры. Считайте так: 4–6 ГБ под систему, плюс примерно 0,5–1 ГБ на сеанс пользователя с 1С, браузером и офисными программами. Толстый клиент и тяжёлые отчёты потребляют больше. Если на том же сервере работает сервер 1С и СУБД, их память закладывайте отдельно.

Операционная система — Windows Server 2016 или новее с ролями «Узел сеансов удалённых рабочих столов» и «Лицензирование удалённых рабочих столов».

Лицензии 1С

• 🔑 Каждый пользователь, работающий в своём терминальном сеансе, занимает свою клиентскую лицензию 1С. На 10 одновременных сотрудников нужно 10 рабочих мест.
• 🔑 Программная лицензия активируется прямо на терминальном сервере или на сервере 1С.
• 🔑 Аппаратный ключ HASP: однопользовательский локальный ключ в терминальных сеансах не работает. Нужен сетевой ключ на нужное число мест и установленный менеджер лицензий HASP License Manager.

Лицензии Microsoft

Без роли RDS Windows Server разрешает только два одновременных подключения, и они предназначены для администрирования. Для работы пользователей нужны клиентские лицензии RDS CAL — «на пользователя» или «на устройство».

После установки роли сервер работает без активированных CAL пробный льготный период — 120 дней. Когда он закончится, подключения начнут отклоняться. Сервер лицензирования RDS нужно активировать и установить CAL заранее.

Сеть

• Внутри офиса — обычная локальная сеть.
• Снаружи — VPN до офиса или шлюз удалённых рабочих столов (RD Gateway), который пропускает RDP внутри HTTPS на порту 443.
• По каналу: на одного пользователя 1С обычно хватает 256 Кбит/с – 1 Мбит/с. Сильнее влияют задержки и потери пакетов, чем скорость.

Настройка терминального доступа к 1С по шагам

Шаг 1. Роли сервера

1. Откройте Диспетчер серверов → Управление → Добавить роли и компоненты.
2. Выберите «Установка служб удалённых рабочих столов» и стандартное развёртывание, если планируете RemoteApp. Для одного сервера подходит и быстрый запуск.
3. Отметьте посредника подключений, веб-доступ и узел сеансов. После установки добавьте роль лицензирования.
4. Активируйте сервер лицензирования в «Диспетчере лицензирования удалённых рабочих столов» и установите CAL.
5. В свойствах развёртывания укажите сервер лицензирования и режим: «на пользователя» или «на устройство», в соответствии с купленными CAL.

Шаг 2. Платформа 1С

1. Установите платформу на сервер обычным дистрибутивом, для всех пользователей.
2. Поставьте нужные компоненты: клиент 1С, при необходимости — Конфигуратор и модули для других языков.
3. Для аппаратной защиты установите драйвер HASP и HASP License Manager, вставьте сетевой ключ. Для программной — активируйте лицензию при первом запуске.

Шаг 3. База и общий список баз

Положите файловую базу на локальный диск сервера, например D:\Bases\Buh. Выдайте группе пользователей права на изменение этой папки — без них 1С не сможет создать файлы блокировок.

Чтобы у всех пользователей был одинаковый список баз и никто не добавлял базы вручную, используйте общий список:

; C:\ProgramData\1C\1CEStart\1cestart.cfg
CommonInfoBases=D:\Bases\ibases.v8i

Файл ibases.v8i создайте у одного пользователя через окно запуска 1С, проверьте и перенесите в указанное место.

Шаг 4. Пользователи

1. Создайте группу, например «Пользователи 1С», и добавьте в неё сотрудников.
2. Добавьте эту группу в разрешённые для подключения: в свойствах коллекции сеансов или в локальную группу «Пользователи удалённого рабочего стола».
3. Права администратора сервера пользователям не давайте.

Шаг 5. Публикация RemoteApp

1. В Диспетчер серверов → Службы удалённых рабочих столов → Коллекции создайте коллекцию сеансов и включите в неё сервер.
2. В разделе «Программы RemoteApp» нажмите публикацию и добавьте C:\Program Files\1cv8\common\1cestart.exe.
3. Публикуйте именно 1cestart.exe, а не исполняемый файл конкретной версии из папки bin. Стартер сам запустит нужную версию платформы, и после обновления ярлыки не придётся перенастраивать.
4. Раздайте пользователям RDP-файл программы или ссылку на веб-доступ.

Шаг 6. Проверка с рабочего места

Подключитесь под учётной записью обычного пользователя, не администратора. Проверьте: запуск базы, печать документа, выгрузку отчёта в файл, работу с буфером обмена. Ошибки прав доступа обычно всплывают именно на этом шаге.

Терминал, веб-клиент или облако: что выбрать

У 1С три популярных способа удалённой работы. Каждый решает свою задачу.

Короткие ориентиры:

• 🏢 Терминальный сервер выбирают, когда база доработана, в ней есть обычные формы или внешние обработки, а в компании есть администратор.
• 🌍 Веб-клиент удобен для конфигураций на управляемых формах, когда сотрудникам нужен доступ из браузера без установки программ.
• ☁️ Облако подходит маленьким компаниям на типовых конфигурациях, где нет своего сервера и администратора. Ориентировочно аренда стоит от 1 000–2 000 рублей в месяц на пользователя, цена зависит от провайдера и тарифа.

Защита терминального сервера и его обслуживание

Безопасность

Открытый в интернет порт 3389 начинают перебирать ботами в первые часы. Утечка пароля одного бухгалтера даёт доступ к базе, а заражение шифровальщиком — к потере всех данных на сервере.

Не публикуйте RDP-порт напрямую в интернет, даже на нестандартном номере порта.

• 🔒 Подключение снаружи — только через VPN или шлюз удалённых рабочих столов с HTTPS.
• 🔒 Включите проверку подлинности на уровне сети (NLA) в свойствах подключения.
• 🔒 Настройте политику блокировки учётной записи после нескольких неудачных попыток входа.
• 🔒 Сложные пароли и, если позволяет инфраструктура, двухфакторная проверка на шлюзе или VPN.
• 🔒 Отключите перенаправление дисков клиента, если оно не нужно для работы. Так с зараженного домашнего компьютера ничего не попадёт на сервер.
• 🔒 Резервные копии баз храните не на этом же сервере и не на диске, который к нему подключён постоянно.

Обслуживание

• 🧹 Кеш 1С у каждого пользователя свой, в его профиле: %APPDATA%\1C\1cv8 и %LOCALAPPDATA%\1C\1cv8. Если у одного сотрудника странные ошибки интерфейса, чистят кеш именно в его профиле, когда он вышел из 1С.
• ⏱️ Отключённые сеансы. Пользователь закрыл окно крестиком — сеанс остался висеть и держит лицензию 1С. Ограничьте время отключённого сеанса групповой политикой, например 1–2 часа.
• 🖨️ Печать. Включите «Простую печать» (Easy Print): принтеры пользователей пробросятся в сеанс без установки драйверов на сервер.
• 🔄 Обновление платформы . Новую версию ставят, когда в 1С никто не работает. Перед этим запретите новые входы командой chglogon /drain, дождитесь выхода пользователей, после обновления верните вход командой chglogon /enable.

Частые вопросы