Работа в 1С из дома и с выезда: RDP, веб-клиент, VPN или облако

Управлять 1С удалённо можно пятью способами: через удалённый рабочий стол (RDP или RemoteApp), через веб-клиент в браузере, тонким клиентом по HTTP, по VPN-каналу до офисного сервера или в облаке (1С:Fresh, аренда сервера). Для офиса на 3–15 человек чаще всего выбирают терминальный сервер с RemoteApp и шлюзом RDP. Для разовой работы бухгалтера из дома хватает публикации базы на веб-сервере.

Главное правило любого удалённого доступа к 1С — не открывать в интернет порты 3389 (RDP) и 1540–1541, 1560–1591 (кластер 1С) напрямую. Наружу смотрит либо шлюз, либо VPN, либо веб-сервер с HTTPS. Остальное — вопрос удобства, скорости и цены.

Пять способов удалённого доступа к 1С: сравнение

Способы отличаются тем, где выполняется 1С и что передаётся по сети. В RDP по сети идёт картинка экрана, сама программа работает на сервере. В веб-клиенте и тонком клиенте по HTTP идут данные форм. По VPN удалённый компьютер становится «как будто в офисе».

Отдельно стоят программы удалённого помощника — RustDesk, AnyDesk, «Ассистент» и подобные. Ими подключаются к конкретному компьютеру, чтобы помочь человеку на месте. Для постоянной работы сотрудника это неудобно: занят чужой компьютер, а при его выключении доступ пропадает.

Настройка удалённого рабочего стола (RDP) для работы в 1С

Терминальный сервер — самый надёжный способ удалённо управлять 1С. Программа запускается рядом с базой, поэтому файловая база не повреждается от обрыва связи, а тяжёлые отчёты формируются так же быстро, как в офисе.

Подготовка сервера

1. Установите Windows Server 2016 или новее. На обычной Windows 10/11 одновременно может работать только один пользователь — для офиса она не годится.
2. В «Диспетчере серверов» добавьте роль Службы удалённых рабочих столов (Remote Desktop Services) с компонентами «Узел сеансов» и «Лицензирование».
3. Установите платформу 1С той же версии, что и на сервере 1С, или ту, с которой работает файловая база.
4. Создайте пользователей Windows для каждого сотрудника и добавьте их в группу Пользователи удаленного рабочего стола.
5. Активируйте сервер лицензирования RDS и установите клиентские лицензии (RDS CAL) — на пользователя или на устройство.

RemoteApp: только окно 1С вместо целого рабочего стола

Пользователю не нужен весь рабочий стол сервера. Через RemoteApp 1С открывается в отдельном окне, как будто установлена на его компьютере.

1. В Диспетчер серверов → Службы удалённых рабочих столов → Коллекции создайте коллекцию сеансов.
2. В блоке «Программы RemoteApp» нажмите «Опубликовать программы RemoteApp».
3. Укажите файл C:\Program Files\1cv8\common\1cestart.exe — это стартер 1С, он показывает список баз и сам выбирает нужную версию платформы.
4. Раздайте пользователям файл .rdp или ярлык из веб-доступа RDS.

💡 Публикуйте именно 1cestart.exe, а не 1cv8.exe конкретной версии. После обновления платформы путь к 1cv8.exe меняется (в нём номер версии), и ярлыки у всех пользователей ломаются. Стартер этого не боится.

Шлюз удалённых рабочих столов вместо открытого порта 3389

Компонент «Шлюз удалённых рабочих столов» (RD Gateway) принимает подключения по HTTPS на порт 443. Внутрь сети он пропускает только тех, кто прошёл проверку. Порт 3389 при этом закрыт снаружи.

Для шлюза нужен SSL-сертификат на внешнее имя сервера. Подойдёт и бесплатный сертификат Let’s Encrypt, но его придётся продлевать каждые 90 дней.

Веб-клиент 1С: удалённая работа через браузер

Веб-клиент не требует установки 1С на компьютер пользователя. Достаточно браузера: Chrome, Яндекс Браузер, Firefox, Edge или Safari. Работает и на Mac, и на Linux, и на планшете.

Публикация базы на веб-сервере

1. Установите веб-сервер: Apache 2.4 или IIS (в Windows он включается через компоненты системы).
2. При установке платформы 1С отметьте компонент «Модули расширения веб-сервера».
3. Запустите Конфигуратор от имени администратора Windows.
4. Откройте Администрирование → Публикация на веб-сервере.
5. Задайте имя публикации латиницей (например, buh), выберите тип веб-сервера и каталог.
6. Нажмите «Опубликовать» и перезапустите веб-сервер.

Адрес базы будет вида http://имя-сервера/buh. Платформа создаст в каталоге публикации файл default.vrd, а в конфигурацию Apache допишет строку подключения модуля wsap24.dll.

То же самое можно сделать из командной строки утилитой webinst — удобно для скриптов и сервера без графического интерфейса:

cd "C:\Program Files\1cv8\8.3.25.1445\bin"
webinst -publish -apache24 -wsdir buh -dir "C:\Apache24\htdocs\buh" -connstr "Srvr=srv1c;Ref=buh;" -confpath "C:\Apache24\conf\httpd.conf"

Номер версии в пути замените на свой. Для файловой базы строка подключения выглядит как File="D:\Bases\Buh";. В этом случае учётной записи, под которой работает веб-сервер, нужны права на изменение каталога базы.

Тонкий клиент по HTTP

Та же публикация подходит и для тонкого клиента. При добавлении базы в список выберите вариант «На веб-сервере» и укажите адрес https://office.example.ru/buh. Интерфейс отрисовывается программой на компьютере, а не браузером: работает быстрее веб-клиента, привычнее для бухгалтера, нет проблем с блокировкой всплывающих окон.

VPN: удалённый доступ к 1С без открытых портов

VPN соединяет домашний ноутбук с офисной сетью защищённым каналом. Снаружи открыт только порт VPN, а 1С, RDP и общие папки доступны лишь тем, у кого есть ключ.

Варианты по сложности:

• 📡 VPN на роутере — MikroTik, Keenetic и многие другие модели поднимают WireGuard, OpenVPN или IPsec без отдельного сервера.
• 🖧 Отдельный VPN-сервер — небольшая виртуальная машина с WireGuard. Гибче в настройке, проще отзывать доступ у уволенных.
• 🏢 Связка офисов (site-to-site) — роутеры двух офисов держат постоянный туннель, сотрудникам ничего настраивать не нужно.

Чем работать поверх VPN

VPN — это только канал. Внутри него всё равно нужен один из способов выше:

• RDP или RemoteApp поверх VPN — двойная защита, лучший вариант для удалённого сотрудника;
• тонкий клиент к клиент-серверной базе — работает, если задержка до офиса до 30–50 мс;
• веб-публикация, доступная только из VPN — не нужен публичный сертификат.

Не открывайте файловую базу 1С по VPN через общую папку. Файл 1Cv8.1CD читается по сети кусками, на канале 30–100 Мбит/с база открывается минутами, а обрыв связи во время записи может повредить файл. Файловую базу через интернет — только через RDP или веб-публикацию.

Облачная 1С: 1С:Fresh и аренда сервера

Облако снимает с вас сервер, резервные копии и обновления. Вы платите абонентскую плату и работаете через браузер, тонкий клиент или RDP провайдера.

1С:Fresh

Сервис фирмы 1С, где типовые конфигурации (Бухгалтерия, ЗУП, УНФ и другие) работают в режиме разделения данных. Ориентировочно — от 1 000–1 500 ₽ в месяц за пользователя в зависимости от тарифа и набора программ.

Ограничения: доработать конфигурацию нельзя, допустимы только расширения, прошедшие проверку сервиса. Нетиповую базу туда не перенести.

Аренда терминального сервера или выделенного сервера

Хостинг-провайдеры сдают «1С в аренду» — по сути готовый терминальный сервер с вашей базой. Ориентировочно 800–2 500 ₽ в месяц за пользователя. Свою доработанную базу и свои лицензии 1С переносить можно, но условия по лицензиям уточняйте у провайдера.

Альтернатива — арендовать виртуальный сервер (VPS) целиком и настроить на нём RDS или веб-публикацию самому. Дешевле при 5+ пользователях, но всё администрирование на вас.

Защита удалённого доступа к 1С от взлома

Открытый RDP подбирают ботами круглосуточно, а шифровальщики в бухгалтериях попадают внутрь именно так. Сама 1С защищена паролями пользователей, но они бесполезны, если злоумышленник уже сидит на сервере под учётной записью Windows.

Минимальный набор мер:

• 🔐 Сетевая проверка подлинности (NLA) для RDP — включена по умолчанию на новых серверах, не отключайте её.
• 🚫 Блокировка учётной записи после 5–10 неудачных попыток входа — в локальной политике безопасности сервера.
• 📱 Второй фактор на шлюзе или VPN — одноразовый код в приложении.
• 👤 Отдельные учётные записи на каждого сотрудника, без общего пользователя «buh» на всех.
• 🧾 Права в 1С по ролям: удалённому сотруднику — только нужные разделы, без права администрирования.
• 💾 Резервные копии вне сервера — на другом компьютере или в хранилище, куда сервер не может удалить файлы.

Если в базе есть кадровые и зарплатные данные, это персональные данные сотрудников. Их защита — обязанность работодателя по закону о персональных данных, и открытая наружу база без шифрования канала этим требованиям не отвечает.

Ошибки при настройке удалённой работы в 1С

• ❌ Проброс 3389 на роутере «на время». Временное остаётся навсегда, а первые попытки подбора пароля начинаются в течение суток.
• ❌ Проброс портов кластера 1С наружу, чтобы тонкий клиент подключался напрямую к Srvr=. Кроме 1540 и 1541 придётся открыть весь диапазон рабочих процессов, а протокол не рассчитан на интернет. Для этого есть веб-публикация.
• ❌ Терминальный сервер на рабочей станции. Неофициальные «патчи» для многопользовательского RDP на Windows 10/11 нарушают лицензию Microsoft и ломаются после обновлений системы.
• ❌ Одна лицензия 1С на всех. Каждый одновременно работающий пользователь занимает клиентскую лицензию 1С, через какой бы способ он ни подключался. Лицензии RDS CAL — отдельная история, они 1С не заменяют.
• ❌ Разные версии платформы на сервере 1С и на терминальном сервере. Клиент не подключится к кластеру другой версии. Обновляйте их вместе.
• ❌ Публикация под учётной записью администратора. Веб-сервер должен работать под пользователем с минимальными правами: только на каталог публикации и каталог файловой базы.

Как выбрать способ удалённого управления 1С

Выбор зависит от трёх вещей: сколько людей работает удалённо, есть ли свой сервер и администратор, доработана ли конфигурация.

Частые вопросы