Как дать сотрудникам доступ к 1С через RDP, RemoteApp или VPN
Содержание
Чтобы настроить удалённый рабочий стол для 1С, поставьте на сервер с Windows Server роль «Службы удалённых рабочих столов» (RDS), установите на него платформу 1С 8.3 и подключите базы. Сотрудники заходят на сервер через RDP-клиент mstsc и работают в 1С так, будто программа стоит у них. Если рабочий стол целиком не нужен, публикуют одно окно 1С через RemoteApp.
Порт RDP при этом наружу не открывают: доступ из интернета идёт через VPN или шлюз удалённых рабочих столов. Для пяти-десяти пользователей хватит одного сервера, а базу лучше перевести в клиент-серверный режим, если людей больше десятка.
Какой способ удалённого доступа к 1С выбрать
Способов четыре, и они не взаимоисключающие. Часто RDP работает поверх VPN.
| Способ | Когда подходит | Чем платите |
|---|---|---|
| Терминальный сервер (RDP) | Офис + удалёнщики, 3–50 пользователей, одна общая база | Лицензии Windows Server и RDS CAL, сервер |
| RemoteApp | То же, но пользователю нужно только окно 1С | Те же лицензии, чуть больше настройки |
| VPN + запуск 1С у себя | Клиент-серверная база, хороший канал | Тонкий клиент и лицензия 1С на каждого |
| Веб-клиент / публикация на веб-сервере | Работа из браузера, нерегулярные заходы | Веб-сервер, настройка публикации |
| Облачная 1С (аренда) | Нет своего сервера и админа | Ежемесячная плата за пользователя |
Почему чаще всего выбирают RDP. Канал гоняет только картинку экрана и нажатия клавиш, поэтому 1С работает быстро даже на мобильном интернете. Данные не покидают сервер. Файловую базу через VPN открыть можно, но по сети она тормозит и рискует повредиться при обрыве связи.
Если у вас файловая база и 2–5 сотрудников, терминальный сервер с базой на его локальном SSD — самый дешёвый способ получить быструю удалённую работу без перевода на SQL.
Требования к серверу под удалённый рабочий стол 1С
Ориентиры для тонкого или толстого клиента 1С 8.3 в терминальных сессиях такие. Точная нагрузка зависит от конфигурации: ERP съест в разы больше, чем Бухгалтерия.
| Пользователей | Процессор | Память | Диск |
|---|---|---|---|
| до 5 | 4 ядра | 16 ГБ | SSD от 256 ГБ |
| 5–15 | 6–8 ядер | 32 ГБ | SSD/NVMe от 500 ГБ |
| 15–30 | 8–12 ядер | 64 ГБ | NVMe, база на отдельном томе |
| больше 30 | Отдельные серверы под RDS и под 1С + СУБД | от 64 ГБ на каждый | NVMe, RAID |
Расчёт памяти простой: на сессию с открытой 1С закладывайте примерно 1–1,5 ГБ, плюс 4–6 ГБ на саму Windows. Если на том же сервере крутится MS SQL или PostgreSQL, прибавьте ему отдельно не меньше 8 ГБ.
Что ещё понадобится:
- 🖥️ Windows Server 2016, 2019, 2022 или 2025. Обычная Windows 10/11 Pro пускает по RDP только одного пользователя за раз, а патчи вроде RDP Wrapper нарушают лицензию Microsoft.
- 📄 Лицензии RDS CAL — по одной на пользователя или на устройство. Без них сервер работает 120 дней льготного периода, потом новые подключения перестанут пускать.
- 🔑 Лицензии 1С на нужное число одновременных сеансов. Каждый пользователь в терминальной сессии занимает клиентскую лицензию.
- 🌐 Канал от 512 кбит/с на пользователя для комфортной работы. Для 10 человек хватит 10–20 Мбит/с с белым IP в офисе.
- 💻 На рабочих местах — встроенный клиент
mstsc, на macOS — Windows App (бывший Microsoft Remote Desktop) из App Store.
Пошаговая настройка RDP-сервера для 1С
Шаг 1. Установка роли RDS
- Откройте
Диспетчер серверов → Управление → Добавить роли и компоненты. - Выберите «Установка служб удалённых рабочих столов», затем «Быстрый запуск» и «Развёртывание рабочих столов на основе сеансов».
- Мастер поставит посредника подключений, узел сеансов и веб-доступ на этот же сервер и перезагрузит его.
- Отдельно добавьте роль «Лицензирование удалённых рабочих столов», активируйте сервер лицензирования и установите купленные CAL.
- В свойствах развёртывания укажите режим лицензирования «На пользователя» или «На устройство» — тот, под который купили CAL.
Шаг 2. Пользователи и права
Создайте учётную запись Windows каждому сотруднику. Общий логин на всех — плохая идея: не поймёте, кто что сделал, и нельзя завершить чужой сеанс точечно.
Добавьте пользователей в группу «Пользователи удалённого рабочего стола». Права администратора сервера бухгалтеру не давайте.
Шаг 3. Установка платформы 1С
Ставьте платформу один раз, от администратора, на весь компьютер. Каталог по умолчанию для 64-битной версии — C:\Program Files\1cv8\.
Чтобы каждый пользователь не добавлял базы вручную, задайте общий список. Создайте файл list.v8i с базами и пропишите путь к нему в C:\ProgramData\1C\1CEStart\1CEStart.cfg:
CommonInfoBases=C:\1C\Lists\list.v8i
После этого все пользователи сервера увидят одинаковый список информационных баз при запуске 1С.
Шаг 4. Ключи защиты и лицензии 1С
Это частый камень преткновения. USB-ключ HASP, воткнутый в компьютер сотрудника, внутри терминальной сессии не виден.
Варианты:
- 🔐 Сетевой HASP-ключ вставляют в сам терминальный сервер или в другой компьютер сети, ставят «Менеджер лицензий HASP» и раздают лицензии по сети.
- 🧾 Программные лицензии активируют прямо на терминальном сервере. Они привязываются к его оборудованию, поэтому после замены диска, процессора или переезда виртуальной машины их придётся активировать заново по резервному пин-коду.
- 🏢 В клиент-серверном варианте лицензии удобнее держать на сервере 1С — тогда их получает он, а не каждый клиент.
Шаг 5. Публикация 1С как RemoteApp
Если бухгалтеру не нужен рабочий стол сервера, опубликуйте одно приложение:
- В Диспетчере серверов откройте «Службы удалённых рабочих столов» → «Коллекции» и создайте коллекцию сеансов.
- В блоке «Программы RemoteApp» нажмите «Опубликовать программы RemoteApp».
- Если 1С нет в списке, нажмите «Добавить» и укажите
C:\Program Files\1cv8\common\1cestart.exe.
Публикуйте именно 1cestart.exe, а не 1cv8.exe из папки конкретной версии. Стартер сам выберет нужную версию платформы, и после обновления 1С ярлык у пользователей не сломается.
Готовый файл подключения .rdp раздайте сотрудникам — или дайте адрес веб-доступа https://<имя-сервера>/RDWeb.
VPN, шлюз и облачная 1С как альтернативы
VPN. Сотрудник подключается к сети офиса, а дальше работает по RDP к внутреннему адресу или запускает 1С у себя. Для небольших компаний хватает WireGuard или встроенного VPN-сервера на роутере (Keenetic, MikroTik). Подключение к базе без RDP имеет смысл только в клиент-серверном режиме и при пинге до офиса до 20–30 мс.
Шлюз удалённых рабочих столов (RD Gateway). Роль Windows Server, которая пропускает RDP внутри HTTPS на порту 443. Нужен SSL-сертификат. Сотрудникам не надо ставить VPN-клиент: в mstsc на вкладке «Дополнительно» указывается адрес шлюза.
Облако. Аренда 1С у партнёра или в сервисе фирмы 1С. Сервер, обновления и копии — на стороне провайдера. Ориентировочно 1 000–2 500 ₽ в месяц за пользователя в зависимости от конфигурации и поставщика. Минус — доработки и внешние обработки там ограничены правилами провайдера.
Проброс порта 3389 с роутера прямо на сервер — самая частая причина взлома бухгалтерских серверов и шифрования баз. Не публикуйте RDP в интернет напрямую — только через VPN или шлюз.
Как ускорить 1С на удалённом рабочем столе
Медленная 1С в терминале почти всегда упирается в одно из четырёх мест.
1. Режим базы. Файловая база по сетевой папке — главный тормоз. Если база файловая, положите её на локальный SSD терминального сервера. При 10+ одновременных пользователях переходите на клиент-серверный вариант с MS SQL или PostgreSQL.
2. Графика RDP. В mstsc на вкладке «Взаимодействие» выберите скорость соединения вручную, отключите фон рабочего стола и сглаживание шрифтов. Глубину цвета на вкладке «Экран» снизьте до 16 бит при медленном канале.
3. Кэш 1С. Профили пользователей хранят кэш в %APPDATA%\1C\1cv8 и %LOCALAPPDATA%\1C\1cv8. Когда он раздувается, формы открываются медленно и появляются странные ошибки. Запуск с параметром /ClearCache очищает кэш для одной базы.
4. Профили и антивирус. Добавьте в исключения антивируса каталог баз, C:\Program Files\1cv8\ и временные файлы 1С. Проверка файлов базы при каждом чтении замедляет 1С в разы.
Печать — отдельная боль. Включите на сервере перенаправление принтеров с драйвером Easy Print: тогда не придётся ставить драйвер каждого принтера сотрудников на сервер.
Защита удалённого доступа к 1С
Терминальный сервер с бухгалтерией — лакомая цель. Минимальный набор мер:
- 🔒 Проверка подлинности на уровне сети (NLA) включена. Это галочка в свойствах удалённого рабочего стола.
- 🔑 Пароли от 12 символов, разные у всех пользователей. Встроенную учётку
Administratorпереименуйте или отключите. - 🚫 Политика блокировки после 5–10 неудачных попыток входа:
secpol.msc → Политики учётных записей → Политика блокировки учётной записи. - 🌐 Доступ только через VPN или RD Gateway. В брандмауэре Windows разрешите RDP только с адресов VPN-подсети.
- 🛡️ Двухфакторная аутентификация, если позволяет бюджет.
- 💾 Резервные копии баз хранятся не на том же сервере и не на диске, доступном пользователям по сети. Иначе шифровальщик зашифрует и копии.
- 👤 Пользователи 1С с паролями и ограниченными ролями — терминальный вход не заменяет авторизацию в самой программе.
Смена порта RDP с 3389 на другой снижает шум от сканеров, но защитой не является. Если всё же меняете, номер задаётся параметром PortNumber в ветке реестра HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Перед перезагрузкой откройте новый порт в брандмауэре, иначе потеряете доступ к серверу.
Ошибки подключения к 1С через удалённый рабочий стол
Завершение сеанса командой logoff или через Диспетчер задач закрывает 1С без сохранения: несохранённый документ пропадёт. Предупредите сотрудника, а сброс массово делайте вне рабочего времени.
Автоматизация и контроль сеансов
Ручной разбор зависших сессий быстро надоедает. Большую часть закрывают групповые политики и пара команд.
Лимиты сеансов. В gpedit.msc откройте Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Ограничение сеансов по времени. Задайте завершение отключённых сеансов через 1–2 часа. Это вернёт лицензии 1С, которые держат брошенные окна.
Кто сейчас на сервере. Команда показывает все сеансы, их номера и состояние:
quser
Завершить конкретный сеанс по номеру из списка:
logoff 3
Сеансы 1С. В клиент-серверном режиме смотрите консоль администрирования серверов 1С: там видно, какой пользователь держит лицензию и с какого компьютера. В файловом режиме список активных пользователей открывается в самой 1С: в типовых конфигурациях команда «Активные пользователи» есть в разделе Администрирование → Обслуживание.
Журналы Windows. Неудачные входы ищите в журнале «Безопасность» по коду события 4625. Если их сотни в час с чужих адресов — RDP торчит в интернет, и это нужно закрыть немедленно.
Обновления платформы. Ставите новую версию 1С — ставьте её на сервер вне рабочего времени, когда все вышли. Благодаря стартеру 1cestart.exe ярлыки и RemoteApp продолжат работать.