Работа в 1С из дома и филиала: RDP, веб-клиент, VPN или облако

Подключить удалённый доступ к 1С можно четырьмя способами: через удалённый рабочий стол (RDP) на сервере в офисе, через веб-клиент в браузере, через тонкий клиент по VPN или по HTTP, либо перенести базу в облако. Для небольшой фирмы с файловой базой самый быстрый вариант — терминальный сервер с RDP. Если пользователей больше 10 и база клиент-серверная, чаще выбирают тонкий клиент через VPN или публикацию на веб-сервере.

Инструкции общие для платформы 1С:Предприятие 8.3 и подходят для любой типовой конфигурации: Бухгалтерии, ЗУП, УТ.

Какой способ удалённого доступа к 1С выбрать

Главный вопрос — где лежит база и сколько людей будут работать снаружи. От этого зависит и стоимость, и скорость.

Удалённый рабочий стол (RDP) для работы в 1С

Пользователь подключается к серверу, на котором установлена 1С, и видит её окно. Наружу идёт только картинка экрана, а данные остаются в офисе. Поэтому RDP работает даже на слабом канале и с файловой базой.

Подготовка терминального сервера

1. Установите Windows Server 2016 или новее. Добавьте роль Службы удалённых рабочих столов через Диспетчер серверов → Управление → Добавить роли и компоненты.
2. Выберите сценарий «Быстрый запуск» для одного сервера или «Стандартное развёртывание», если узлов несколько.
3. Установите компонент лицензирования удалённых рабочих столов и активируйте лицензии RDS CAL. Без них сервер пускает больше двух сеансов только в льготный период — 120 дней.
4. Установите платформу 1С той же версии, что на сервере 1С или у файловой базы.
5. Создайте учётные записи сотрудников и добавьте их в группу Пользователи удалённого рабочего стола.

RemoteApp: только окно 1С вместо всего рабочего стола

RemoteApp показывает пользователю одно приложение. Окно 1С открывается на его компьютере как обычная программа, без чужого рабочего стола и меню «Пуск».

1. В Диспетчере серверов откройте Службы удалённых рабочих столов → Коллекции, выберите коллекцию.
2. В блоке «Программы RemoteApp» нажмите «Опубликовать программы RemoteApp».
3. Укажите файл C:\Program Files\1cv8\common\1cestart.exe.
4. Раздайте пользователям файл .rdp или ссылку на веб-доступ к удалённым рабочим столам.

💡 Публикуйте именно 1cestart.exe, а не 1cv8.exe из папки конкретной версии. Стартер сам выбирает нужную версию платформы. После обновления 1С ярлык RemoteApp не сломается.

Лицензии 1С в терминальном режиме

Каждый сеанс пользователя расходует клиентскую лицензию 1С, как и при работе в офисе. Программные лицензии активируют на терминальном сервере, а при клиент-серверной базе их можно разместить на сервере 1С. Пять человек в RDP одновременно — это пять клиентских лицензий.

Публикация базы 1С на веб-сервере

Публикация нужна и для веб-клиента, и для подключения тонкого клиента по HTTP. Это работа для администратора, но делается за 20–30 минут.

Что установить заранее

• 🖥️ Веб-сервер: Apache 2.4 или IIS. Для IIS включите компоненты ISAPI-расширений.
• 🧩 Модули расширения веб-сервера 1С. Их отмечают при установке платформы, компонент так и называется.
• 🔢 Версия платформы на веб-сервере должна совпадать с версией сервера 1С.
• 📁 Права на чтение каталога публикации и каталога базы для учётной записи, под которой работает веб-сервер.

Публикация через Конфигуратор

1. Запустите Конфигуратор от имени администратора Windows. Без этого публикация не запишет настройки в конфигурацию Apache или IIS.
2. Откройте Администрирование → Публикация на веб-сервере.
3. Задайте имя публикации латиницей, например buh. Оно войдёт в адрес: http://server/buh.
4. Выберите тип веб-сервера и каталог публикации.
5. Оставьте флажок публикации тонкого клиента и веб-клиента. HTTP-сервисы и OData включайте, только если они нужны.
6. Нажмите «Опубликовать» и перезапустите Apache или пул IIS.

Публикация из командной строки

Утилита webinst лежит в папке bin установленной платформы. Удобна для серверов без графического интерфейса и для повторных публикаций:

cd "C:\Program Files\1cv8\8.3.25.1374\bin"
webinst -publish -apache24 -wsdir buh -dir "C:\Apache24\htdocs\buh" -connstr "Srvr=srv1c;Ref=buh;" -confpath "C:\Apache24\conf\httpd.conf"

Номер версии в пути замените на свой. Для файловой базы строка соединения выглядит так: File="D:\Bases\Buh";.

Веб-клиент: вход в 1С через браузер

После публикации база открывается по адресу вида https://1c.company.ru/buh. Ничего ставить на компьютер не нужно: подойдёт Chrome, Firefox, Edge, Safari или Яндекс Браузер свежей версии.

Что учесть перед тем, как раздавать ссылку сотрудникам:

• ⏳ Веб-клиент заметно медленнее тонкого клиента при открытии больших форм и отчётов.
• 🖨️ Печать идёт через PDF или окно печати браузера. Торговое оборудование и часть внешних компонент работают только в тонком клиенте.
• 🔐 Для работы с электронной подписью и файлами браузер попросит установить расширение для работы с 1С:Предприятием. Без него кнопки подписи и загрузки файлов не сработают.
• 🚫 Разрешите всплывающие окна для адреса публикации, иначе часть форм не откроется.

💡 Для бухгалтера, который входит раз в неделю посмотреть отчёт, веб-клиента достаточно. Для ежедневной работы с первичкой лучше тонкий клиент по тому же адресу.

Тонкий клиент по адресу публикации

1. В окне запуска 1С нажмите «Добавить».
2. Выберите «Добавление в список существующей информационной базы».
3. Тип расположения — «На веб-сервере». Укажите адрес https://1c.company.ru/buh.
4. Завершите мастер и войдите под своим пользователем 1С.

Так клиент работает через интернет без VPN, но с полной функциональностью тонкого клиента.

Тонкий клиент и VPN: схема для компании с филиалами

VPN соединяет компьютер сотрудника с офисной сетью. После этого тонкий клиент подключается к серверу 1С так же, как в офисе: в списке баз выбирают тип «На сервере 1С:Предприятия» и указывают имя сервера и базы.

Какие порты должны быть доступны через VPN

Клиент сначала обращается к агенту сервера, затем к менеджеру кластера и рабочим процессам:

Наружу из интернета эти порты не открывают. Они должны быть доступны только из подсети VPN.

Порядок настройки

1. Поднимите VPN-сервер: на маршрутизаторе офиса, на отдельном сервере или в составе межсетевого экрана. Распространены WireGuard, OpenVPN и IPsec.
2. Выдайте каждому сотруднику свой профиль или ключ. Общий профиль на всех потом не отозвать при увольнении.
3. Проверьте, что имя сервера 1С разрешается с компьютера сотрудника. Если DNS офиса через VPN не передаётся, добавьте запись в C:\Windows\System32\drivers\etc\hosts.
4. Откройте в брандмауэре сервера 1С порты из таблицы для подсети VPN.
5. Добавьте базу в список у сотрудника и проверьте вход.

Если подключение висит или выдаёт ошибку соединения с сервером, проверьте доступность порта командой PowerShell:

Test-NetConnection srv1c -Port 1541

TcpTestSucceeded : True значит, что порт открыт. Затем проверьте так же один из портов рабочих процессов, например 1560.

Облачная 1С: аренда вместо своего сервера

Если сервера нет, а администратор приходит раз в месяц, базу проще отдать в облако. Варианты бывают двух типов.

• ☁️ Сервис по модели SaaS, например 1С:Фреш. Типовая конфигурация работает у провайдера, обновления ставятся без вас. Доработки ограничены расширениями, которые проходят проверку сервиса.
• 🖥️ Аренда сервера или терминала у партнёра 1С или хостинга. По сути это тот же RDP, только сервер не ваш. Можно ставить доработанные конфигурации и внешние обработки.

Ориентиры по стоимости — примерно от нескольких сотен рублей до 2–3 тыс. руб. в месяц за одного пользователя. Цена зависит от конфигурации, числа баз и того, входят ли лицензии 1С в тариф.

Перед переездом в облако выясните три вещи:

1. Как выгрузить базу обратно в файл .dt, если решите уйти от провайдера.
2. Где хранятся резервные копии и сколько дней.
3. Работает ли нужное вам: обмен с банком, ЭДО, торговое оборудование, внешние печатные формы.

Требования к серверу и интернету для удалённой работы

Цифры ниже — ориентировочные. Тяжёлые конфигурации вроде ERP и большие отчёты требуют больше.

Терминальный сервер

На один сеанс RDP с 1С закладывают примерно 0,5–1 ГБ памяти плюс ресурсы под саму Windows. Если база файловая и лежит на этом же сервере, диск влияет на скорость сильнее процессора.

Канал связи

• 📶 RDP: обычно хватает 1–2 Мбит/с на пользователя. Задержка важнее ширины: при пинге больше 100–150 мс ввод начинает «тормозить».
• 🌐 Тонкий клиент и веб-клиент через интернет: канал нужен шире, чем для RDP, особенно при открытии больших списков.
• 🏢 Исходящий канал офиса делится на всех удалённых пользователей. На 10 человек по RDP — не меньше 15–20 Мбит/с.
• 🔁 Для VPN и публикации нужен статический внешний IP или сервис динамического DNS.

Защита удалённого подключения к 1С

Сервер 1С с открытым RDP в интернет находят сканеры за считаные часы и начинают перебирать пароли. Большая часть взломов баз 1С с последующим шифрованием начинается именно так.

Ограничение доступа по IP-адресу

Самая дешёвая и действенная мера — разрешить подключение только с известных адресов: офиса филиала, подсети VPN, статического IP директора. В примерах ниже замените 192.168.1.0/24 на свою подсеть.

Брандмауэр Windows для RDP (команда из командной строки администратора):

netsh advfirewall firewall add rule name="RDP only office" dir=in action=allow protocol=TCP localport=3389 remoteip=192.168.1.0/24

После этого отключите стандартное правило «Удалённый рабочий стол», иначе оно продолжит пускать всех.

Порты сервера 1С через PowerShell:

New-NetFirewallRule -DisplayName "1C cluster VPN only" -Direction Inbound -Protocol TCP -LocalPort 1540-1541,1560-1591 -RemoteAddress 192.168.1.0/24 -Action Allow

Публикация на Apache 2.4. В httpd.conf найдите блок <Directory> с каталогом публикации, который добавил Конфигуратор, и допишите ограничение:

<Directory "C:/Apache24/htdocs/buh/">
    AllowOverride All
    Options None
    Require ip 192.168.1.0/24
</Directory>

Если в блоке уже есть Require all granted, замените её на Require ip. Несколько адресов перечисляют через пробел. После правки перезапустите Apache.

Публикация на IIS. Установите компонент «Ограничения IP-адресов и доменов». В диспетчере IIS выберите сайт публикации, откройте этот компонент, добавьте разрешающее правило для подсети. Затем в «Изменить параметры компонента» задайте запрет для всех остальных клиентов.

Частые вопросы