1С через RemoteApp: публикуем программу на терминальном сервере

RemoteApp — это технология служб удалённых рабочих столов Windows Server. Сервер запускает 1С у себя, а на компьютер пользователя приходит только окно программы. Рабочий стол сервера не виден, окно 1С стоит на панели задач рядом с остальными приложениями.

Чтобы настроить 1С RemoteApp, нужны Windows Server с ролью узла сеансов, лицензии доступа RDS CAL, установленная платформа 1С и опубликованный файл 1cv8.exe. Дальше пользователь подключается через ярлык, файл .rdp или веб-страницу RD Web Access. Ниже порядок действий и места, где обычно спотыкаются.

Когда RemoteApp подходит, а когда лучше другой вариант

Схему выбирают, когда базу нужно держать в одном месте, а работать с ней из дома, филиала или со слабого ноутбука.

✅ Плюсы:

• база и платформа лежат рядом с сервером, по сети идёт только картинка, а не тысячи запросов;
• на клиенте не нужна установка 1С и её обновление;
• пользователь видит одно окно, а не чужой рабочий стол;
• права на сервере ограничены: можно запретить запуск всего, кроме 1С.

⚠️ Минусы:

• нужны лицензии Windows (RDS CAL) в дополнение к лицензиям 1С;
• сервер становится единой точкой отказа;
• печать, сканеры и USB-ключи требуют отдельной настройки.

Если пользователей один-два и им нужен привычный рабочий стол, проще обычное подключение к удалённому столу. Если людей больше десятка и база клиент-серверная, сравните RemoteApp с тонким клиентом через VPN: при хорошем канале он иногда обходится без терминального сервера.

Что подготовить до установки ролей

Перед настройкой проверьте четыре вещи.

Сервер и ресурсы

Операционная система — Windows Server в поддерживаемой редакции. Служба удалённых рабочих столов работает на всех актуальных серверных выпусках, а пользовательские клиентские системы (Windows 10, 11) в роли сервера сеансов не применяются.

Ориентиры для расчёта, если база небольшая:

• на каждого одновременного пользователя заложите примерно 0,5–1 ГБ оперативной памяти;
• процессор считайте так: на 8–10 пользователей примерно 4 ядра, но для тяжёлых отчётов запас нужен больше;
• диск под профили и временные файлы — SSD, на пользователя ориентировочно 1–2 ГБ.

Пример: 15 бухгалтеров по 1 ГБ — это 15 ГБ памяти только на сеансы, плюс 4–6 ГБ самой системе. Разумный выбор — сервер на 24–32 ГБ. Если база размещена на том же сервере в PostgreSQL или MS SQL, память для СУБД считайте отдельно, это обычно самое большое значение.

Лицензии

Нужны два вида лицензий, и они не заменяют друг друга:

1. RDS CAL — клиентские лицензии доступа к серверу сеансов. Бывают на пользователя и на устройство. Без них сервер даёт ограниченный пробный период, после которого подключения прекращаются.
2. Лицензии 1С — на каждое одновременно подключённое рабочее место. Платформа считает сеансы, а не компьютеры, с которых зашли.

Установите на сервер роль лицензирования удалённых рабочих столов, активируйте её и внесите приобретённые ключи. Это отдельная служба: пока её нет, подключения идут по пробному периоду.

Сеть и имена

• Серверу нужен постоянный адрес и имя, которое резолвится у клиентов.
• Для внешнего доступа понадобится сертификат на доменное имя: самоподписанный вызывает предупреждения на каждом подключении.
• Домен Active Directory желателен, но для небольшой схемы можно обойтись рабочей группой с локальными учётными записями.

Платформа 1С

Установите на сервер ту же версию платформы, что и в базе. Тонкий клиент ставится вместе с платформой. Если на сервере уже стоит несколько версий, запомните точный путь нужной: он понадобится при публикации. Обычно это папка вида C:\Program Files\1cv8\8.3.x.xxxx\bin\, где x — номер вашего релиза.

Установка роли и публикация 1С: пошагово

Порядок для Windows Server со стандартной схемой «все роли на одном сервере». Названия пунктов приведены по русскоязычному интерфейсу, в английском они соответствуют Remote Desktop Services.

Шаг 1. Развернуть службы удалённых рабочих столов

1. Откройте Диспетчер серверов и выберите Управление → Добавить роли и компоненты.
2. Тип установки — Установка служб удалённых рабочих столов.
3. Сценарий развёртывания — Быстрый запуск, затем Развёртывание рабочих столов на основе сеансов.
4. Укажите свой сервер и подтвердите установку. Система поставит узел сеансов, посредник подключений и веб-доступ. После установки сервер перезагрузится.

Перезагрузка оборвёт все активные сеансы, поэтому делайте это вне рабочего времени.

Шаг 2. Настроить сборник сеансов

После перезагрузки в диспетчере появится раздел Службы удалённых рабочих столов. Откройте Сборники: быстрый запуск уже создал сборник по умолчанию. Его можно переименовать или создать новый для 1С.

В свойствах сборника задайте группу пользователей, которым разрешён вход. Не оставляйте «Пользователи домена» без необходимости: лучше завести отдельную группу, например Users1C, и добавить в неё только тех, кому нужна 1С.

Шаг 3. Опубликовать 1cv8.exe

1. Выберите сборник и в блоке Программы RemoteApp нажмите Задачи → Публикация программ RemoteApp.
2. В списке будут только программы из меню «Пуск». Если 1С там нет, нажмите Добавить и укажите файл 1cv8.exe вручную.
3. В свойствах опубликованной программы откройте Параметры и найдите настройку командной строки.

Командная строка определяет, что откроется. Три варианта:

• Запрещать параметры — запустится окно выбора баз, пользователь сам выберет из списка. Самый простой вариант для начала.
• Разрешать любые параметры — подойдёт, если вы делаете ярлыки с разными параметрами запуска.
• Всегда использовать заданные параметры — для жёсткой привязки к одной базе. Например, для серверной базы ENTERPRISE /S "сервер1С\имя_базы", для файловой — ENTERPRISE /F "D:\Bases\Buh".

Для каждой базы можно опубликовать отдельную программу с нужными параметрами. Так пользователь видит в списке «1С Бухгалтерия» и «1С Зарплата», а не общий запуск.

Шаг 4. Проверить права на папки

Пользователь запускает 1cv8.exe под своей учётной записью. Ему нужны:

• чтение каталога платформы;
• запись в каталоги профиля, где 1С хранит списки баз и кэш;
• доступ к каталогу файловой базы, если она не серверная.

Самая частая причина сбоя на этом шаге — база лежит в папке, куда у пользователя нет записи. Проверьте это до того, как раздавать ярлыки.

Подключение пользователей: файл RDP, веб-доступ и ярлыки

Есть три способа дать пользователю запуск. Выберите один и не смешивайте.

Через веб-страницу RD Web Access

Адрес по умолчанию — https://имя-сервера/RDWeb. Пользователь входит под своей учётной записью и видит значки опубликованных программ. Клик по значку скачивает файл .rdp и запускает окно 1С.

Это удобно для внешних сотрудников: ничего настраивать на клиенте не нужно. Для надёжной работы страница должна открываться по HTTPS с нормальным сертификатом.

Через файл .rdp

В Windows Server 2012 и новее файл .rdp берут не из свойств программы, а через веб-доступ к удалённым рабочим столам (RD Web Access): пользователь открывает страницу, нажимает на значок программы и получает .rdp. Такой файл можно положить на сетевую папку, прислать по почте или поместить на рабочий стол. Двойной клик запускает 1С.

Плюс — нет промежуточной страницы. Минус: при смене сервера или сертификата файл придётся раздавать заново.

Через «Подключения к удалённым рабочим столам»

В панели управления клиента Windows есть компонент Подключения к RemoteApp и рабочим столам. Вы вводите адрес веб-доступа, и программы появляются прямо в меню «Пуск» клиента. Выглядит как обычная установленная 1С.

Что нужно проверить на клиенте:

• версия клиента удалённых рабочих столов не слишком старая: на устаревших системах не поддерживаются современные режимы шифрования;
• время и дата точные: расхождение с сервером мешает проверке сертификата;
• сервер в списке доверенных, если используете самоподписанный сертификат.

Как ускорить работу 1С в RemoteApp

Тормоза в терминальной схеме чаще всего вызваны не сетью, а ресурсами сервера или локальной настройкой сеанса.

Что смотреть в первую очередь

1. Память. Если сервер уходит в подкачку, всё работает рывками. Откройте диспетчер задач и посмотрите занятую память при максимальной нагрузке.
2. Процессор. Один тяжёлый отчёт или закрытие месяца у одного пользователя загружает ядро и задерживает остальных.
3. Диск. Файловая база на HDD при десяти пользователях почти всегда тормозит. SSD снимает проблему.
4. Канал. Для передачи картинки обычно хватает 1–2 Мбит/с на сеанс, но при активной прокрутке больших таблиц нужно больше.

Настройки сеанса

В параметрах файла .rdp или групповых политиках можно сократить объём передаваемой картинки:

• уменьшить глубину цвета до 16 бит, если качество не важно;
• отключить фоновый рисунок и анимацию окон;
• выключить перенаправление ненужных устройств;
• отключить сглаживание шрифтов, если пользователям это не мешает.

Эти изменения заметны на медленных каналах, на быстрой локальной сети почти ничего не дадут.

Принтеры, диски и буфер обмена

Перенаправление локальных принтеров удобно, но каждый принтер добавляет нагрузку при входе: сервер подгружает драйверы. Если принтеров много, вход занимает по минуте. Разрешайте перенаправление только тем, кому оно нужно, и по возможности используйте универсальный драйвер.

Перенаправление дисков нужно для выгрузки отчётов на свой компьютер. Если оно закрыто, пользователь не сможет сохранить файл локально. Решение — общая папка на сервере с доступом только к своим файлам.

Кэш и временные файлы

Кэш тонкого клиента копится в профиле пользователя. Очистка нужна, если 1С после обновления показывает старые формы или странно себя ведёт. Перед этим предупредите человека: запуск с параметром /ClearCache выполняют после закрытия программы, а не во время работы.

Защита данных при удалённом доступе

Открытый наружу порт 3389 — одна из самых частых причин взлома серверов. Сканеры находят его за часы, а подбор паролей идёт постоянно.

Не открывайте RDP в интернет напрямую

Правильный набор для внешнего доступа:

1. Шлюз удалённых рабочих столов (RD Gateway). Принимает подключения по HTTPS на порт 443, наружу порт 3389 не открывается.
2. Нормальный сертификат на имя шлюза, а не самоподписанный.
3. Двухфакторная аутентификация, если есть возможность её подключить.
4. VPN как альтернатива шлюзу: сначала туннель, потом RemoteApp внутри локальной сети.

Учётные записи и права

• Каждый сотрудник входит под своей учётной записью. Общий логин «buh» лишает вас возможности понять, кто что сделал.
• Пароли длинные, блокировка после нескольких неверных попыток включена.
• Администраторские учётные записи не используются для обычной работы в 1С.
• Включите проверку подлинности на уровне сети (NLA): она отсекает подключения до показа экрана входа.

Что запретить пользователю

В RemoteApp пользователь может запустить только опубликованную программу, но это не абсолютная защита. Дополнительно:

• закройте доступ к командной строке, проводнику и диспетчеру задач групповыми политиками;
• отключите перенаправление дисков для тех, кому оно не нужно, чтобы данные не уходили на личные компьютеры;
• ограничьте время бездействия: сеанс без активности через 30–60 минут отключается, а затем завершается.

Здесь есть оговорка: принудительное завершение сеанса закрывает 1С без сохранения. Предупредите пользователей, что несохранённые документы пропадут.

Резервное копирование

Защита доступа не заменяет копий. Настройте регулярную выгрузку базы и копирование образа сервера. Перед обновлением платформы или конфигурации на сервере делайте копию и согласуйте работы с регламентом организации.

Если RemoteApp не запускается или ведёт себя странно

После любой смены настроек публикации пользователям нужно закрыть сеанс и войти заново. Старые ярлыки продолжат работать по прежним параметрам, пока их не заменят.

Частые вопросы