Удалённая работа в 1С:Предприятии 8.3: выбираем способ доступа и настраиваем его без дыр в защите
Содержание
Подключиться к 1С удаленно можно тремя рабочими способами: через удалённый рабочий стол (RDP) на сервер, где стоит 1С, через публикацию базы на веб-сервере (браузер или тонкий клиент по HTTP) и через VPN-туннель в офисную сеть. Для бухгалтерии из 3–15 человек чаще всего выбирают терминальный сервер с RDP: проще настроить, база не уходит за пределы офиса.
Файловую базу через общую папку по VPN лучше не открывать вовсе: это медленно и опасно для данных. Если база файловая, ставьте терминальный сервер рядом с ней или публикуйте её на веб-сервере.
Какой способ удалённого подключения к 1С выбрать
Способы не исключают друг друга. Часто их комбинируют: VPN плюс RDP или веб-публикация за VPN.
| Способ | Что видит пользователь | Когда подходит | Слабые места |
|---|---|---|---|
| RDP / RemoteApp | Рабочий стол сервера или одно окно 1С | Офис с сервером, 3–30 пользователей, любые конфигурации | Нужны лицензии Microsoft RDS CAL, нагрузка на память сервера |
| Веб-клиент (браузер) | 1С в браузере | Разовый доступ, руководитель, внешний бухгалтер | Не все внешние обработки и оборудование работают, нужен веб-сервер |
| Тонкий клиент по HTTP | Обычное окно 1С | Удалёнщики с нестабильным интернетом | Та же публикация на веб-сервере, нужен HTTPS |
| VPN + прямое подключение | Обычное окно 1С, как в офисе | Клиент-серверная база, хороший канал | Файловая база по VPN тормозит и рискует повреждением |
Подключение к 1С через RDP: сервер терминалов и RemoteApp
Схема простая: 1С установлена на сервере в офисе или в аренде, пользователь заходит на сервер по протоколу удалённого рабочего стола и работает там. Данные базы по сети не передаются, идёт только картинка экрана. Поэтому скорость почти не зависит от размера базы.
Что подготовить на сервере
- Установите роль «Службы удалённых рабочих столов» (Remote Desktop Services) на Windows Server 2016 или новее. Без неё одновременно работают только два административных подключения.
- Активируйте сервер лицензирования RDS и добавьте лицензии RDS CAL — на пользователя или на устройство. Без них через пробный период в 120 дней подключения перестанут пускать.
- Установите платформу 1С:Предприятие 8.3 одной версии для всех пользователей. Конфигуратор ставьте только тем, кому он нужен.
- Создайте локальных или доменных пользователей Windows и включите их в группу
Пользователи удаленного рабочего стола(Remote Desktop Users). - Добавьте базу в список баз 1С каждому пользователю. Удобнее раздать общий файл списка баз
ibases.v8iчерез параметры запуска или групповую политику.
RemoteApp: одно окно 1С вместо целого рабочего стола
Пользователей часто путает чужой рабочий стол. RemoteApp решает это: на компьютере открывается только окно 1С, будто программа установлена локально.
Приём практика: публикуйте в RemoteApp не 1cv8.exe конкретной версии, а 1cestart.exe — стартер из папки C:\Program Files\1cv8\common\. Он сам выбирает нужную версию платформы. После обновления платформы публикацию не придётся переделывать.
Пользователю отдают файл .rdp, сформированный в диспетчере серверов, или ссылку на веб-доступ RDS.
Подключение со стороны пользователя
- 🖥️ Windows: встроенная программа
mstsc, адрес сервера и учётная запись. - 🍏 macOS, iOS, Android: приложение Windows App (бывший Microsoft Remote Desktop).
- 🖨️ Для печати включите в настройках подключения перенаправление принтеров. Для обмена файлами — перенаправление локальных дисков, но только тем, кому это нужно.
Не открывайте порт 3389 в интернет напрямую. Сервер с открытым RDP в первые же сутки получает тысячи попыток подбора пароля. Ставьте шлюз RD Gateway (доступ по HTTPS, порт 443) или пускайте RDP только через VPN.
Публикация базы 1С на веб-сервере IIS или Apache
Веб-публикация даёт два способа входа сразу: из браузера (веб-клиент) и из тонкого клиента 1С по протоколу HTTP. Сервер приложений при этом может быть и файловым, и клиент-серверным.
Подготовка
- При установке платформы на сервер отметьте компонент «Модули расширения веб-сервера».
- Включите веб-сервер:
- IIS — в ролях Windows отметьте «Веб-сервер (IIS)» и в службах ролей «Расширения ISAPI» и «Фильтры ISAPI»;
- Apache — подойдёт версия 2.4, отдельно скачанная и установленная службой.
- Разрядность модуля и веб-сервера должна совпадать. На IIS при 32-битной платформе включите в пуле приложений параметр «Разрешить 32-разрядные приложения».
Публикация из конфигуратора
- Запустите Конфигуратор от имени администратора Windows — иначе публикация не сможет записать файлы в каталог веб-сервера.
- Откройте
Администрирование → Публикация на веб-сервере. - Укажите имя публикации латиницей (например,
buh), веб-сервер (IIS или Apache 2.4) и каталог. - Отметьте «Публиковать доступ для клиентских приложений» и нажмите «Опубликовать».
В каталоге публикации появится файл default.vrd с параметрами подключения. Для Linux и для автоматизации есть утилита webinst из каталога bin платформы — подробности по ключам смотрите в её справке.
Для файловой базы выдайте учётной записи веб-сервера права на изменение папки с базой. На IIS это группа IIS_IUSRS, на Apache — пользователь, от которого запущена служба. Без этого браузер покажет ошибку доступа к файлу базы.
Как пользователи входят
- 🌐 Веб-клиент: адрес вида
https://1c.example.ru/buhв браузере. Подходят Chrome, Edge, Firefox, Safari и Яндекс Браузер свежих версий. - 💻 Тонкий клиент: в списке баз нажмите «Добавить» → «Добавление в список существующей информационной базы» → тип «На веб-сервере» и введите тот же адрес.
Тонкий клиент по HTTP удобнее браузера: работают горячие клавиши, нет конфликтов с блокировщиками всплывающих окон, обычнее выглядит печать. Браузер оставьте для тех, кому нельзя ничего ставить.
VPN-туннель до офиса для работы в 1С удалённо
VPN подключает домашний компьютер к офисной сети так, будто он стоит в соседнем кабинете. Дальше 1С запускается как обычно. Сам по себе VPN — это транспорт, а не способ работы с 1С: внутри туннеля всё равно нужен RDP, веб-публикация или прямое подключение к серверу 1С.
Варианты VPN
- 🔐 WireGuard — быстрый, простой в настройке, клиенты под все системы.
- 🔐 OpenVPN — гибкий, работает через порт 443, если провайдер режет нестандартные порты.
- 🔐 IPsec/L2TP или SSTP — встроены в Windows и многие роутеры, удобно, если VPN поднимается на роутере офиса.
Прямое подключение к серверу 1С через VPN
Для клиент-серверной базы в списке баз выбирают тип «На сервере 1С:Предприятия»: кластер серверов и имя базы. Через туннель должны проходить порты:
| Порт | Назначение |
|---|---|
| 1540 | Агент сервера 1С |
| 1541 | Менеджер кластера |
| 1560–1591 | Рабочие процессы (диапазон по умолчанию, задаётся в свойствах рабочего сервера) |
Имя сервера, указанное в кластере, должно разрешаться с компьютера пользователя. Если DNS офиса через VPN недоступен, пропишите имя сервера и его адрес в файл hosts на клиенте.
Файловую базу через общую папку по VPN не открывайте. Обрыв связи посреди записи легко портит файл 1Cv8.1CD, а скорость падает в разы. Для файловой базы используйте RDP или веб-публикацию.
Если 1С тормозит при удалённой работе на медленном канале
Скорость при удалённом подключении упирается в задержку (пинг), а не в ширину канала. Проверьте: ping до сервера через туннель выше 50–70 мс уже заметен при прямом подключении к кластеру.
Что помогает по каждому способу:
- 🐢 Тонкий клиент по HTTP или к серверу: в настройках базы в списке баз установите «Скорость соединения: Низкая» либо запускайте с параметром
/O Low. Клиент реже обращается к серверу и сжимает трафик. - 🖥️ RDP: уменьшите глубину цвета до 16 бит, отключите фон рабочего стола и сглаживание шрифтов в параметрах подключения. Включите протокол UDP для RDP — он лучше держит потери пакетов.
- 🌐 Веб-клиент: держите открытой одну вкладку с 1С. Несколько вкладок с одной базой занимают несколько сеансов и лицензий.
- 🗂️ Общее: большие отчёты без отбора выводят по сети десятки тысяч строк. Ставьте отбор по периоду и организации.
Если пинг стабильно выше 100 мс или связь рвётся, RDP переносит это лучше всех: при обрыве сеанс на сервере продолжает жить, и пользователь возвращается в то же окно.
Безопасность и права при удалённом доступе к 1С
Удалённый доступ открывает базу наружу. Защищать надо три уровня: вход в сеть, вход в Windows или на веб-сервер, вход в саму 1С.
Вход в сеть
- Порт 3389 закрыт снаружи; доступ только через VPN или RD Gateway.
- Веб-публикация — только по HTTPS с действующим сертификатом. Бесплатный сертификат Let’s Encrypt подходит.
- На сервере включена блокировка учётной записи после 5–10 неверных паролей (локальная или доменная политика).
- Включена проверка подлинности на уровне сети (NLA) для RDP.
Пользователи 1С
- У каждого человека своя учётная запись в 1С, без общих «Бухгалтер1».
- Пароль задан у всех, включая администратора. Пустой пароль администратора при опубликованной базе — открытая дверь.
- В карточке пользователя снимите флажок «Показывать в списке выбора» — тогда на форме входа не будет готового списка логинов.
- Права выдаются через профили групп доступа: в БП 3.0 и ЗУП 3.1 это
Администрирование → Настройки пользователей и прав. Удалённому внешнему бухгалтеру хватает профиля без административных прав. - Если в домене включена аутентификация операционной системы, сотрудник входит в 1С без отдельного пароля — удобно для RDP, но для веб-публикации снаружи надёжнее пароль 1С поверх HTTPS.
Учётная запись Windows
На терминальном сервере пользователи не должны быть локальными администраторами. Иначе любой может остановить службу сервера 1С, удалить чужие файлы или поставить что угодно.
Права доступа к папке файловой базы выдавайте только тем, кто в ней работает. Пользователь с правом записи в папку может скопировать базу целиком, минуя все роли 1С.
Лицензии 1С и Windows при удалённой работе
Удалённое подключение не отменяет лицензирование, и это главный подводный камень при переезде «на удалёнку».
- 🔑 Клиентские лицензии 1С расходуются на каждый одновременный сеанс — неважно, через RDP, веб-клиент или тонкий клиент. Десять бухгалтеров одновременно — десять лицензий.
- 🔑 На терминальном сервере программные лицензии 1С ставятся на сам сервер. USB-ключ HASP для терминала нужен многопользовательский, однопользовательский ключ там не годится.
- 🔑 Для серверной базы отдельно нужна лицензия на сервер 1С:Предприятия.
- 🪪 Microsoft требует лицензию RDS CAL на каждого пользователя или устройство, которое подключается к терминальному серверу. Это отдельная покупка от лицензии Windows Server.
Ориентировочно лицензия RDS CAL на пользователя стоит от 10–15 тыс. руб., клиентская лицензия 1С на 5 рабочих мест — около 25–30 тыс. руб. Цены зависят от продавца и формы поставки.
Вкладка браузера, закрытая без выхода из 1С, держит сеанс и лицензию до истечения тайм-аута. Если лицензий впритык, настройте в публикации время бездействия сеанса и объясните пользователям, что 1С закрывают через меню, а не крестиком браузера.