Как работать в 1С из дома и с филиалов: RDP, веб-публикация, облако и защита

Самый надёжный удалённый доступ к 1С для небольшой фирмы — терминальный сервер в офисе: база лежит рядом с сервером, а сотрудники подключаются к нему по RDP через VPN. Если нужен доступ без терминала, базу публикуют на веб-сервере и открывают тонким клиентом или в браузере. Не хочется держать своё «железо» — арендуют 1С в облаке.

Чего делать не стоит: открывать файловую базу с сетевой папки через интернет и пробрасывать порт 3389 наружу без VPN. Первое медленно и портит базу, второе — частая причина взлома и шифрования данных.

Что решить до настройки удалённого доступа к 1С

Способ выбирают не по вкусу администратора, а по трём вопросам: какая у вас база, сколько людей работает удалённо и есть ли в офисе постоянно включённый компьютер или сервер.

📌 Тип базы. Откройте список баз в окне запуска 1С и выделите свою. Внизу видна строка подключения:

• File="D:\Bases\Buh" — файловая база;
• Srvr="srv1c";Ref="buh" — клиент-серверная база на сервере 1С;
• ws="https://..." — база уже опубликована на веб-сервере.

📌 Число удалённых пользователей. Для одного-двух человек хватит терминального доступа к офисному компьютеру. От пяти и больше нужен отдельный сервер или облако.

📌 Канал связи в офисе. Для RDP хватает 1–2 Мбит/с на пользователя, но нужен постоянный внешний IP-адрес или VPN-сервис от провайдера.

📌 Лицензии. Удалённые сеансы тоже занимают клиентские лицензии 1С. Пять человек одновременно — пять лицензий, где бы они ни сидели.

Терминальный сервер: работа в 1С по RDP и RemoteApp

Схема простая. 1С и база стоят на одной машине с Windows Server. Пользователь подключается к ней «Подключением к удалённому рабочему столу» (mstsc) и работает так, будто сидит в офисе. По сети идёт только картинка экрана, поэтому скорость не зависит от размера базы.

Пошагово для Windows Server

1. Установите роль «Службы удалённых рабочих столов» через Диспетчер серверов → Управление → Добавить роли и компоненты.
2. Установите платформу 1С на сервер. Если база файловая, положите её на локальный диск сервера, а не на сетевую папку.
3. Создайте учётные записи Windows для каждого сотрудника и добавьте их в группу «Пользователи удалённого рабочего стола».
4. Активируйте лицензии 1С на сервере. Программная лицензия привязывается к этой машине, клиентские лицензии расходуются по числу одновременных сеансов.
5. На компьютере сотрудника запустите mstsc, укажите адрес сервера и войдите под своей учётной записью.

RemoteApp: только окно 1С вместо всего рабочего стола

RemoteApp показывает пользователю не чужой рабочий стол, а одно окно программы — оно выглядит как обычное приложение на его компьютере. Меньше путаницы и меньше соблазна запускать на сервере посторонние программы.

1. Создайте коллекцию сеансов: Диспетчер серверов → Службы удалённых рабочих столов → Коллекции.
2. В коллекции откройте блок «Программы RemoteApp» и выберите публикацию программы.
3. Опубликуйте 1cestart.exe из каталога C:\Program Files\1cv8\common\ — это общий запускатель. Он сам выбирает нужную версию платформы, и после обновления 1С публикацию не придётся переделывать.
4. Раздайте пользователям файл .rdp или ссылку на веб-доступ RDS.

💡 Если опубликовать 1cv8.exe из папки конкретной версии, например 8.3.24.1691\bin, то после установки новой платформы ярлык продолжит запускать старую, а базы обновлённой конфигурации начнут ругаться на версию.

VPN до офиса и файловая база по сети: когда это допустимо

VPN соединяет домашний компьютер с офисной сетью. Дальше сотрудник видит сетевые папки и может открыть базу по пути вида \\server\Bases\Buh.

Для файловой базы это худший вариант. Платформа на домашнем компьютере читает и пишет файл 1Cv8.1CD по сети блоками. На канале с задержкой 30–50 мс открытие журнала документов занимает минуты, а при обрыве связи во время записи файл базы может повредиться.

Не открывайте файловую базу через VPN на рабочей копии, с которой одновременно работают другие люди. Если иначе нельзя, делайте копию базы ежедневно и проверяйте её.

Правильное применение VPN — как защищённый туннель для других способов:

• 🔐 VPN + RDP к терминальному серверу или офисному компьютеру;
• 🔐 VPN + тонкий клиент к серверу 1С в офисе;
• 🔐 VPN + веб-публикация, доступная только внутри сети.

Для VPN подойдут WireGuard, OpenVPN или VPN-сервер на офисном роутере. Выдавайте каждому сотруднику свой ключ или учётную запись: при увольнении отключаете одного человека, а не меняете общий пароль всем.

Публикация базы на веб-сервере: доступ к 1С через браузер

Веб-публикация позволяет работать без терминала: в браузере, через тонкий клиент по HTTP или с мобильного устройства. Подходят и файловые, и клиент-серверные базы.

Что понадобится

• 🧩 веб-сервер Apache 2.4 или IIS на компьютере, где доступна база;
• 🧩 компонент «Модули расширения веб-сервера» — отмечается при установке платформы 1С;
• 🧩 права службы веб-сервера на каталог файловой базы (чтение и запись).

Публикация из Конфигуратора

1. Запустите 1С в режиме Конфигуратора от имени администратора Windows.
2. Откройте Администрирование → Публикация на веб-сервере.
3. Укажите имя публикации латиницей, например buh, выберите тип веб-сервера и каталог.
4. Нажмите «Опубликовать» и согласитесь на перезапуск веб-сервера.

Конфигуратор создаст в каталоге файл default.vrd, а в настройках Apache — строки подключения модуля 1С. После этого база откроется по адресу http://имя-сервера/buh.

То же из командной строки

Для сервера без графической оболочки или для повторной публикации удобна утилита webinst из папки bin платформы:

cd "C:\Program Files\1cv8\8.3.24.1691\bin"
webinst -publish -apache24 -wsdir buh -dir "C:\Apache24\htdocs\buh" -connstr "File=""D:\Bases\Buh"";" -confpath "C:\Apache24\conf\httpd.conf"

Номер версии в пути замените на свой. Для клиент-серверной базы строка подключения выглядит как Srvr=""srv1c"";Ref=""buh"";.

Кое-что в браузере работает иначе, чем в обычном клиенте: часть внешних обработок и торгового оборудования требует установленного на компьютере расширения или тонкого клиента . Если сотрудник печатает чеки или работает со сканером штрихкодов, браузера ему не хватит.

Аренда 1С в облаке вместо своего сервера

Облачная 1С снимает вопросы сервера, резервного копирования и обновлений. Вы платите абонентскую плату, а доступ получаете через браузер или тонкий клиент.

Варианты:

• ☁️ 1С:Фреш (1cfresh.com) — сервис фирмы 1С на типовых конфигурациях: БП, ЗУП, УНФ и другие;
• ☁️ аренда у партнёров и хостеров — обычно терминальный сервер или веб-публикация на их оборудовании, можно загрузить свою доработанную конфигурацию;
• ☁️ своя виртуальная машина в дата-центре — тот же терминальный сервер, только не в офисе.

Ориентир по стоимости: примерно от 1 000 до 3 000 рублей в месяц за пользователя, в зависимости от конфигурации и тарифа. Лицензии 1С обычно уже включены в аренду.

💡 До переезда выгрузите базу в файл .dt (Конфигуратор → Администрирование → Выгрузить информационную базу) и попросите провайдера сначала развернуть тестовую копию. Так вы проверите, работают ли ваши обработки и обмены, ещё до отключения офисной базы.

Тонкий клиент к серверу 1С: через терминал и через HTTP

Тонкий клиент (1cv8c.exe) не обрабатывает данные сам: он только показывает формы, а вся работа идёт на сервере. Поэтому ему достаточно небольшого канала. Есть два рабочих сочетания.

Тонкий клиент на терминальном сервере

Если база клиент-серверная, на терминальный сервер ставят только клиентскую часть 1С. Пользователь заходит по RDP, а тонкий клиент внутри сеанса подключается к серверу 1С по локальной сети: Srvr="srv1c";Ref="buh".

Сервер 1С при этом может стоять на отдельной машине. Терминальный сервер не нагружается расчётами, а сервер 1С не виден из интернета.

Тонкий клиент через веб-публикацию

Сотрудник ставит тонкий клиент на свой компьютер и добавляет базу в список:

1. В окне запуска нажмите «Добавить» и выберите добавление существующей базы.
2. Тип расположения — «На веб-сервере».
3. Введите адрес публикации, например https://1c.example.ru/buh.

Как защитить удалённый доступ к 1С

Удалённый доступ — главная дверь для шифровальщиков в бухгалтерию. Типичный сценарий взлома: открыт порт RDP, простой пароль, перебор за ночь, утром все базы зашифрованы. Семь мер ниже закрывают этот сценарий.

1. 🔒 Порт RDP 3389 и веб-публикация без HTTPS не смотрят в интернет. Сначала VPN, потом подключение.
2. 🔒 Включена проверка подлинности на уровне сети (NLA) в свойствах удалённого рабочего стола сервера.
3. 🔒 Политика блокировки учётной записи: например, блокировка на 30 минут после 5 неверных паролей (secpol.msc → Политики учётных записей → Политика блокировки учётной записи).
4. 🔒 У каждого сотрудника своя учётная запись Windows и свой пользователь 1С с паролем. Без пользователей с пустым паролем и общего «buh/buh».
5. 🔒 Права в 1С по ролям: удалённому сотруднику не нужны «Полные права».
6. 🔒 Резервные копии хранятся отдельно от сервера: на другом диске, в другом месте или в облачном хранилище без постоянного подключения. Копию, до которой шифровальщик дотянется с сервера, он тоже зашифрует.
7. 🔒 Обновления Windows ставятся регулярно, уволенным сотрудникам доступ отключается в день увольнения — и в VPN, и в Windows, и в 1С.

Смена порта RDP с 3389 на другой снижает число автоматических переборов, но защитой не является: сканеры находят нестандартный порт за минуты.

Ошибки при удалённом подключении к 1С

Частые вопросы