Терминальный доступ к 1С на Windows Server: железо, роли RDS, лицензии и защита

Чтобы сделать терминальный сервер 1С, нужны три вещи: Windows Server с ролями «Узел сеансов удалённых рабочих столов» и «Лицензирование удалённых рабочих столов», клиентские лицензии RDS CAL на каждого пользователя и лицензии 1С на каждый одновременный сеанс. Дальше на сервер ставится платформа 1С, пользователи подключаются по RDP и работают с базой так, будто она стоит у них на компьютере.

Типичная боль, с которой приходят к терминалу: файловая база по сети тормозит, удалённые сотрудники не могут подключиться, а обновлять 1С на десяти рабочих местах надоело. Правильно собранный терминал закрывает все три проблемы — и при этом не держит порт 3389 открытым в интернет.

Зачем 1С терминальный сервер и когда он оправдан

Терминальный сервер — это Windows-машина, на которой одновременно работает много пользовательских сеансов. Пользователь видит только картинку рабочего стола или окна 1С. Вычисления, обращения к базе и печать идут на сервере.

Что это даёт 1С:

• 🚀 Скорость файловой базы. Файл 1Cv8.1CD лежит на локальном диске сервера, а не читается по сети через общую папку. Для файловой базы на 5–15 пользователей это самый дешёвый способ убрать тормоза.
• 🌍 Удалённая работа. Достаточно RDP-клиента и VPN; на слабом ноутбуке или даже планшете 1С работает так же, как в офисе.
• 🔧 Одна точка обслуживания. Платформа обновляется один раз на сервере, а не на каждом компьютере.
• 🔒 Данные не уходят на рабочие места. Базы и выгрузки остаются в серверной.

Когда терминал не спасёт: если база файловая и пользователей больше 15–20, упор будет в саму файловую СУБД. Тогда терминальный сервер ставят в паре с клиент-серверным вариантом 1С (сервер 1С + PostgreSQL или MS SQL), а пользователи по-прежнему заходят по RDP.

Требования к железу и софту для терминального сервера 1С

Процессор, память, диски

Для 1С важнее частота ядра, чем их число: многие операции (проведение, закрытие месяца ) выполняются в одном потоке. Выбирайте процессор с высокой частотой, а не 32 медленных ядра.

Ориентировочные цифры для расчёта:

Пример: 10 бухгалтеров с тонким клиентом и браузером в сеансе — 4 + 10 × 1 = 14 ГБ, берите 16 ГБ. Процессор — 4 ядра с высокой частотой.

Операционная система и лицензии

• 🖥️ Windows Server 2016, 2019, 2022 или 2025 редакции Standard. Обычная Windows 10/11 для терминала не подходит: её лицензия не разрешает многопользовательский доступ, а «патчи» на снятие ограничения — нарушение лицензии.
• 📄 RDS CAL — клиентская лицензия служб удалённых рабочих столов. Бывает «на пользователя» (per User) и «на устройство» (per Device). Для 1С обычно берут per User: сотрудник может заходить с любого компьютера.
• 🔑 Лицензии 1С. Каждый сеанс 1С на терминальном сервере занимает отдельную клиентскую лицензию. Подходят программные лицензии, активированные на сервере, или многопользовательский аппаратный ключ (локальный на сервере или сетевой через менеджер лицензий). Однопользовательский USB-ключ на терминале обслужит только один сеанс.

Шаг 1. Установка ролей RDS на Windows Server

Порядок отличается в зависимости от того, есть ли у вас домен Active Directory.

Сервер в домене

1. Откройте Диспетчер серверов → Управление → Добавить роли и компоненты.
2. Выберите тип «Установка служб удалённых рабочих столов», затем «Стандартное развёртывание» (или «Быстрый запуск», если всё на одном сервере).
3. Укажите вариант «Развёртывание рабочих столов на основе сеансов».
4. Назначьте на этот сервер роли посредника подключений, веб-доступа и узла сеансов.
5. После перезагрузки в разделе Службы удалённых рабочих столов → Общие сведения добавьте сервер лицензирования и задайте режим лицензирования.

Плюс домена — можно публиковать 1С как RemoteApp: пользователь видит не рабочий стол сервера, а только окно 1С.

Сервер в рабочей группе

Мастер развёртывания RDS без домена не работает , поэтому роли ставят по одной:

1. Добавить роли и компоненты → Установка ролей или компонентов.
2. В списке ролей отметьте «Службы удалённых рабочих столов», затем службы «Узел сеансов удалённых рабочих столов» и «Лицензирование удалённых рабочих столов».
3. Перезагрузите сервер.
4. Запустите licmgr.exe (Диспетчер лицензирования), активируйте сервер и установите пакет CAL.
5. Режим лицензирования задайте через gpedit.msc.

Путь в редакторе групповой политики:

Конфигурация компьютера → Административные шаблоны → Компоненты Windows →
Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Лицензирование

Включите две политики: «Использовать указанные серверы лицензирования удалённых рабочих столов» (впишите имя этого же сервера) и «Задать режим лицензирования удалённых рабочих столов» (на пользователя или на устройство — как купили CAL).

Проверить результат можно утилитой lsdiag.msc — «Диагностика лицензирования удалённых рабочих столов». Она прямо показывает, видит ли узел сеансов сервер лицензий и сколько CAL доступно.

Шаг 2. Установка 1С:Предприятия на терминальном сервере

Режим установки

На сервере с ролью узла сеансов программы ставят в режиме установки. Если запускаете setup.exe из Программы и компоненты, Windows переключает режим сама. Если запускаете дистрибутив напрямую, сделайте это вручную в командной строке от администратора:

change user /install
rem здесь запустите setup.exe дистрибутива платформы 1С
change user /execute

Какие компоненты выбрать

В мастере установки платформы отметьте:

• ✅ 1С:Предприятие — толстый клиент и конфигуратор (нужен администратору);
• ✅ 1С:Предприятие — тонкий клиент — основной вариант для пользователей, он легче по памяти;
• ✅ Интерфейсы на русском языке ;
• ⬜ Сервер 1С:Предприятия — только если сервер 1С будет стоять на этой же машине;
• ⬜ Модули расширения веб-сервера — только если планируете веб-публикацию.

После установки активируйте лицензии 1С или убедитесь, что сервер видит сетевой ключ.

Общий список баз для всех пользователей

Добавлять базы каждому пользователю вручную незачем. Создайте файл со списком баз, например C:\1C\ibases.v8i, а затем пропишите его в общем конфигурационном файле стартера C:\ProgramData\1C\1CEStart\1cestart.cfg:

CommonInfoBases=C:\1C\ibases.v8i

Проще всего получить ibases.v8i: настройте список баз в своём сеансе и скопируйте файл %APPDATA%\1C\1CEStart\ibases.v8i. Каждый новый пользователь при первом запуске 1С увидит общий список.

Где держать базы

Каталоги файловых баз размещайте на локальном SSD сервера, например D:\Bases\. Дайте группе пользователей 1С права на изменение этого каталога, а остальным закройте доступ. Общую сетевую папку для базы на самом терминале не используйте — теряется весь смысл схемы.

Шаг 3. Подключение пользователей по RDP

1. Создайте учётные записи пользователей (локальные или доменные).
2. Добавьте их в группу «Пользователи удалённого рабочего стола»: lusrmgr.msc → Группы.
3. Подготовьте для каждого RDP-файл: в «Подключении к удалённому рабочему столу» (mstsc) укажите адрес сервера, на вкладке «Локальные ресурсы» включите принтеры и буфер обмена, затем «Сохранить как».
4. Разошлите файл пользователям вместе с инструкцией по VPN.

Только окно 1С вместо рабочего стола

Два рабочих способа:

• RemoteApp (нужен домен и коллекция RDS). В коллекции сеансов опубликуйте 1cestart.exe из каталога C:\Program Files\1cv8\common\. Публикуйте именно стартер, а не 1cv8c.exe конкретной версии: после обновления платформы путь к исполняемому файлу меняется, а стартер сам запустит нужную версию.
• Запуск программы при входе (подходит для рабочей группы). Политика «Запускать программу при подключении» в разделе Узел сеансов удалённых рабочих столов → Среда удалённых сеансов. Укажите путь к 1cestart.exe — при закрытии 1С сеанс завершится.

Принтеры и обмен файлами

С принтерами помогает «Простая печать» (Easy Print): локальный принтер пользователя пробрасывается в сеанс без установки драйвера на сервер. Если принтер печатает криво или не появляется, установите на сервер его драйвер, совместимый с серверной ОС.

Для загрузки выписок и выгрузки отчётов включите в RDP-файле подключение локальных дисков. Пользователь увидит свои диски в 1С при выборе файла.

Оптимизация производительности сервера под 1С

Порядок действий — от безопасного к более глубокому:

1. Схема электропитания «Высокая производительность»: powercfg.cpl. На некоторых серверах режим «Сбалансированный» заметно режет частоту процессора.
2. Тонкий клиент вместо толстого для всех, кроме администратора. Экономия памяти ощутимая.
3. Ограничение отключённых сеансов. Пользователь закрыл крестиком окно RDP — сеанс висит, держит память и лицензию 1С. В разделе Узел сеансов удалённых рабочих столов → Ограничение сеансов по времени задайте «Ограничение по времени для отключённых сеансов», например 2 часа.
4. Исключения антивируса. Добавьте в исключения каталоги баз и кэш 1С: %APPDATA%\1C\1cv8 и %LOCALAPPDATA%\1C\1cv8. Сканирование каждого обращения к 1Cv8.1CD даёт сильные тормоза.
5. Визуальные эффекты. В свойствах системы выберите «Обеспечить наилучшее быстродействие»; в RDP-файле можно снизить глубину цвета.
6. Профили пользователей на SSD. Кэш 1С у каждого пользователя занимает сотни мегабайт и пишется постоянно.

Если после всех шагов проведение документов всё равно медленное, а в диспетчере задач процессор и диск свободны, упор в файловую базу . Следующий шаг — перевод на клиент-серверный вариант, а не наращивание железа терминала.

Ошибки терминального сервера 1С и как их снять

Отдельно о льготном периоде. Если сервер лицензирования так и не активировали, через 120 дней подключиться смогут только администраторы через mstsc /admin. Это способ попасть на сервер и исправить настройку, а не обходной путь для работы.

Защита терминального сервера от взлома и утечек

Терминальный сервер с 1С — лакомая цель: на нём вся бухгалтерия компании. Основная атака — перебор паролей по RDP и шифровальщики.

Минимальный набор защиты:

• 🚫 Не открывайте порт 3389 в интернет. Удалённые сотрудники заходят через VPN или через шлюз удалённых рабочих столов (RD Gateway) по HTTPS. Смена порта на нестандартный от перебора не защищает — сканеры находят RDP на любом порту.
• 🔐 Проверка подлинности на уровне сети (NLA) — включена по умолчанию, не отключайте.
• 🔁 Блокировка учётных записей после 5–10 неудачных попыток: secpol.msc → Политики учётных записей → Политика блокировки учётной записи.
• 👤 Отдельная учётка администратора с длинным паролем; у бухгалтеров — без прав администратора.
• 📁 Права на каталоги баз — только группе пользователей 1С. Запретите в сеансах подключение USB-накопителей, если сотрудникам не нужно выносить файлы.
• 💾 Резервные копии баз — на отдельный носитель или в другое место, недоступное с терминала. Шифровальщик, получивший права пользователя, зашифрует всё, что видит по сети.
• 🔄 Обновления Windows — ставьте регулярно, в нерабочее время с перезагрузкой.

Частые вопросы