Удалённая работа в 1С: как пустить пользователей к серверу из любой точки

Подключиться к серверу 1С через интернет можно так: тонкий клиент через VPN, удалённый рабочий стол (RDP или RemoteApp), веб-публикация базы на IIS или Apache и связка тонкого клиента с той же веб-публикацией по HTTPS. Порты сервера 1С 1540, 1541 и 1560–1591 напрямую в интернет не открывают: для прямого доступа нужен VPN, для остальных вариантов хватает одного порта 443.

Выбор зависит от трёх вещей: сколько удалённых пользователей, какая скорость канала у них дома и есть ли у вас администратор, который будет сопровождать сервер. Для 2–5 человек обычно хватает RDP, для филиалов и больших команд удобнее публикация с тонким клиентом.

С чего начать: сравнение способов удалённого доступа к 1С

Перед настройкой ответьте себе на вопросы: база файловая или клиент-серверная, есть ли у офиса белый статический IP-адрес и кто будет следить за обновлениями. От ответов зависит, какой путь проще.

Не публикуйте в интернет порт 3389 и порты кластера 1С без VPN. Открытый RDP находят сканеры за считанные часы и начинают перебирать пароли.

Прямое подключение тонким клиентом к кластеру через VPN

Это тот же режим, в котором 1С работает в офисной сети. Клиент обращается к агенту сервера на порту 1540, затем к менеджеру кластера на 1541, а данные идут через рабочие процессы. Их диапазон по умолчанию 1560–1591, он задаётся в свойствах рабочего сервера в консоли кластера.

Через интернет этот трафик пускают только внутри туннеля. Подойдут WireGuard, OpenVPN, IPsec или VPN-функции роутера. После поднятия туннеля удалённый ПК оказывается «как будто в офисе».

Пошаговая настройка

1. Настройте VPN-сервер на роутере или отдельной машине в офисе. Проверьте, что с удалённого ПК проходит ping до сервера 1С по внутреннему адресу.
2. Установите на удалённый ПК тонкий клиент той же версии платформы, что и сервер (подробнее ниже).
3. Откройте окно запуска 1С, нажмите Добавить → Добавление в список существующей информационной базы.
4. Выберите тип расположения На сервере 1С:Предприятия.
5. Укажите кластер серверов (имя или IP сервера) и имя базы, как оно записано в кластере.
6. Проверьте порты с клиента командой PowerShell:

Test-NetConnection 192.168.10.5 -Port 1541
Test-NetConnection 192.168.10.5 -Port 1560

Если TcpTestSucceeded : True — порт доступен, и проблема уже не в сети.

Ловушка с именем сервера

Самая частая причина «VPN работает, а 1С не подключается». Кластер возвращает клиенту адрес рабочего процесса в виде имени компьютера сервера, например SRV1C. Удалённый ПК не знает такого имени, если VPN не передаёт внутренний DNS.

Решения:

• 🔹 настроить в VPN раздачу офисного DNS-сервера;
• 🔹 прописать сервер в файл C:\Windows\System32\drivers\etc\hosts на клиенте:

192.168.10.5    SRV1C

Шифрование трафика

У кластера есть свойство Уровень безопасности: небезопасное соединение, защищённое при соединении или постоянно защищённое. Внутри VPN трафик уже зашифрован туннелем, поэтому этот параметр обычно не трогают. Без VPN он не заменяет туннель: порты всё равно будут открыты всему интернету.

Удалённый рабочий стол (RDP) и публикация RemoteApp

При RDP пользователь видит только картинку с терминального сервера, а 1С работает рядом с сервером базы в локальной сети. Отсюда главный плюс: даже на канале 2–5 Мбит/с отчёты формируются так же быстро, как в офисе.

Что подготовить на сервере

• 🖥️ Windows Server 2016 или новее с ролью служб удалённых рабочих столов.
• 🔑 Лицензии RDS CAL: без них сервер даёт только два одновременных административных подключения.
• 🧾 Клиентские лицензии 1С на нужное число одновременных сеансов. Каждый пользователь в терминале занимает лицензию так же, как на локальном ПК.
• 💾 Оперативная память: ориентир 300–500 МБ на один сеанс тонкого клиента, толстый клиент требует больше.

RemoteApp вместо всего рабочего стола

Пользователю неудобно работать во «втором Windows». RemoteApp показывает только окно 1С, будто программа запущена локально.

1. В диспетчере серверов откройте коллекцию сеансов служб удалённых рабочих столов.
2. В разделе программ RemoteApp добавьте 1cestart.exe из каталога C:\Program Files\1cv8\common\. Публикуют именно его, а не 1cv8c.exe конкретной версии: тогда после обновления платформы ярлык не сломается.
3. Раздайте пользователям RDP-файл или настройте веб-доступ RD Web Access.

Как выпустить RDP в интернет безопасно

Варианта два. Первый — VPN до офиса и RDP по внутреннему адресу. Второй — роль шлюза удалённых рабочих столов (RD Gateway): он принимает подключения на 443 по HTTPS и пускает внутрь только тех, кто прошёл проверку.

Веб-клиент и публикация базы на IIS или Apache

Веб-публикация превращает базу в адрес вида https://1c.company.ru/buh. В браузере открывается веб-клиент, а тонкий клиент подключается по тому же адресу через HTTP-соединение, без портов кластера.

Подготовка веб-сервера

IIS. В компонентах Windows включите IIS и в разделе разработки приложений — Расширения ISAPI и Фильтры ISAPI. Без них публикация создастся, но страница вернёт ошибку.

Apache. Поддерживаются версии 2.2 и 2.4. Удобен на Linux-серверах.

Затем установите из дистрибутива платформы компонент Модули расширения веб-сервера той же версии, что и сервер 1С. Разрядность модуля должна совпадать с разрядностью веб-сервера.

Публикация из Конфигуратора

1. Запустите Конфигуратор от имени администратора Windows.
2. Откройте меню Администрирование → Публикация на веб-сервере.
3. Задайте имя публикации латиницей, например buh, выберите веб-сервер и каталог.
4. Оставьте включённой публикацию доступа для тонкого клиента и веб-клиента (флажки в верхней части окна).
5. Нажмите Опубликовать и согласитесь на перезапуск веб-сервера.

Публикация создаёт в каталоге файл default.vrd, где указана строка подключения к базе. Для клиент-серверной базы она выглядит так:

<point xmlns="http://v8.1c.ru/8.2/virtual-resource-system"
       base="/buh"
       ib="Srvr=&quot;SRV1C&quot;;Ref=&quot;buh&quot;;">
</point>

HTTPS обязателен

По HTTP логин и пароль 1С идут открытым текстом. Получите сертификат: бесплатный от Let’s Encrypt (на IIS удобно через утилиту win-acme, на Apache — через certbot) или платный. Привяжите его к сайту на порту 443, а на роутере пробросьте 443 на веб-сервер.

Подключение пользователей

• 🌐 В браузере: откройте адрес публикации, введите логин и пароль пользователя 1С.
• 💻 В тонком клиенте: Добавить → Добавление в список существующей информационной базы → На веб-сервере → вставьте адрес https://1c.company.ru/buh.

Порты, проброс на роутере и сетевой экран

Набор портов зависит от сценария. Входящие правила создают на межсетевом экране Windows Server и на офисном роутере.

Правило для Windows Firewall на сервере 1С можно создать одной командой PowerShell:

New-NetFirewallRule -DisplayName "1C Server" -Direction Inbound `
  -Protocol TCP -LocalPort 1540,1541,1560-1591 -Action Allow

Если на сервере несколько кластеров или вы меняли диапазон рабочих процессов, сверьте порты в консоли кластера в свойствах рабочего сервера. Для просмотра кластеров из командной строки подойдёт rac cluster list, остальные команды смотрите в справке rac help.

Что делать без белого IP

Если провайдер выдаёт «серый» адрес, проброс портов не сработает: подключение до роутера просто не дойдёт. Варианты:

• 🔸 заказать у провайдера статический белый IP (обычно 150–300 ₽ в месяц, ориентировочно);
• 🔸 разместить сервер 1С или веб-сервер у хостинг-провайдера или в облаке;
• 🔸 поднять VPN-сервер на арендованной виртуальной машине и подключить к нему и офис, и сотрудников.

Версии платформы клиента и сервера: что должно совпадать

При прямом подключении к кластеру номер версии тонкого клиента должен полностью совпадать с версией сервера, вплоть до последней цифры. Если на сервере 8.3.24.1548, клиент той же сборки. Иначе появится ошибка Различаются версии клиента и сервера.

При подключении через веб-публикацию требование то же: модуль веб-сервера, сервер 1С и тонкий клиент — одной версии. Веб-клиенту в браузере ставить ничего не нужно, он загружается с сервера.

Как упростить жизнь при обновлении платформы

• ✅ Обновляйте сервер и клиентов одновременно, в нерабочее время.
• ✅ В свойствах базы в окне запуска можно указать нужную версию в поле Версия 1С:Предприятия. Тогда 1cestart.exe подберёт её из установленных.
• ✅ Для пользователей на веб-публикации выложите дистрибутив тонкого клиента в общий доступ, чтобы они ставили нужную сборку сами.
• ✅ На терминальном сервере держите одну актуальную версию: несколько параллельных сборок путают пользователей.

Браузеры и операционные системы

Веб-клиент работает в актуальных Chrome, Edge, Firefox, Яндекс Браузере и Safari. Блокировщик всплывающих окон для адреса публикации отключают, иначе часть форм не откроется.

Тонкий клиент есть для Windows, Linux и macOS. На Mac и Linux при прямом подключении действует то же правило совпадения версии.

Ошибки при удалённом подключении к 1С и что с ними делать

Сетевые ошибки 1С выводит с кодом Windows. По коду сразу понятно, на каком шаге оборвалась связь.

Частые вопросы об удалённом доступе к 1С