Сетевые доступы для обновления 1С:Предприятия 8.3: сервер, клиенты, интернет

Чтобы скачать обновления через интернет -поддержку, нужен исходящий TCP 443 (HTTPS) к серверам 1С. Входящие порты для этого не открывают. А чтобы обновить конфигурацию базы в клиент-серверном варианте, рабочее место администратора должно доходить до сервера 1С по TCP 1540, 1541 и диапазону 1560–1591, а сервер 1С — до СУБД (MS SQL — 1433, PostgreSQL — 5432).

Для файловой базы список короче: доступ к сетевой папке по SMB (TCP 445) и тот же исходящий 443 для загрузки обновлений. Ниже — что именно открывать на каждом узле, команды для брандмауэра Windows и Linux и как найти, какой порт закрыт.

Как ходит трафик при обновлении платформы и конфигурации

Обновление в 1С — это не одно соединение, а несколько разных. Удобнее разложить их по участкам сети.

Обновление платформы само по себе в сети почти не нуждается. Дистрибутив скачивают по HTTPS, потом ставят локально. Сетевые вопросы появляются, когда новую версию надо раздать на десятки рабочих мест или когда после установки клиенты перестают видеть сервер.

Обновление конфигурации нагружает больше участков. Конфигуратор подключается к кластеру, кластер обращается к СУБД, а сама загрузка файла обновления идёт через интернет.

Какие порты нужны сервису обновлений конфигураций

Встроенный помощник обновления в типовых конфигурациях (БП 3.0, ЗУП 3.1, УТ 11) открывается из раздела Администрирование → Интернет-поддержка и сервисы. Он подключается к интернет-поддержке, проверяет логин и пароль портала, ищет подходящие обновления и скачивает их.

Весь этот обмен идёт по HTTPS:

• 🌐 Исходящий TCP 443 — основной и единственный обязательный порт;
• 🔍 DNS (UDP/TCP 53) — к своему DNS-серверу, иначе имена серверов 1С не разрешатся;
• 🔐 доступ к серверам авторизации портала login.1c.ru и к серверам выдачи обновлений (update-api.1c.ru, releases.1c.ru).

Если в организации интернет открыт по белому списку, первым делом добавьте в него эти три домена. Список адресов фирма 1С может расширять, поэтому правило по домену надёжнее правила по IP-адресу.

Отдельный момент — с какого компьютера идёт запрос. В файловом варианте всё очевидно: с того, где открыта база. В клиент-серверном часть операций выполняется на сервере 1С, а часть — на клиенте. Поэтому исходящий 443 нужен и на рабочем месте администратора, и на самом сервере 1С. Это дешевле, чем потом выяснять, какой именно вызов упёрся в брандмауэр.

Загрузка обновлений вручную

Если исходящий интернет на сервере запрещён политикой безопасности, обходной путь простой. Файлы обновлений .cfu и дистрибутивы платформы скачивают на компьютере с доступом в интернет, переносят на сервер и обновляют из Конфигуратора командой обновления из файла. Тогда порт 443 серверу не нужен совсем.

Порты сервера 1С:Предприятия и кластера

Здесь чаще всего и возникают проблемы. Схема подключения клиента такая:

1. Клиент обращается к агенту сервера на порт 1540.
2. Агент отдаёт адрес менеджера кластера — порт 1541.
3. Менеджер назначает рабочий процесс из диапазона 1560–1591, и дальше клиент работает напрямую с ним.

Если открыть только 1540 и 1541, подключение «почти» получится: сервер найдётся, а сеанс не откроется. Диапазон рабочих процессов обязателен.

Полный перечень портов, которые встречаются на сервере 1С:

Номера по умолчанию можно поменять. Порт агента задают при установке службы, диапазон рабочих процессов — в свойствах рабочего сервера в консоли администрирования кластера. Если в организации диапазон сдвинут, например на 2560–2591, правила брандмауэра пишут под фактические значения.

Порты СУБД при обновлении конфигурации

При обновлении конфигурации базы данных идёт реструктуризация: платформа меняет таблицы в СУБД. Соединение с СУБД держит сервер 1С, а не рабочее место администратора.

• 🗄️ MS SQL Server — TCP 1433 (именованный экземпляр может слушать динамический порт; тогда понадобится ещё служба SQL Browser на UDP 1434 или фиксированный порт экземпляра).
• 🐘 PostgreSQL — TCP 5432.

Если СУБД стоит на той же машине, что и сервер 1С, ничего открывать не нужно.

Сетевой ключ защиты

После обновления платформы база не запустится без лицензии. Программные лицензии проверяются средствами самой платформы и отдельного порта не требуют. Аппаратный сетевой ключ HASP работает через менеджер лицензий на порту 475 (TCP и UDP), и клиенты должны до него доходить.

Настройка брандмауэра Windows для 1С

Правила создают на сервере 1С, в режиме администратора. Удобнее командной строкой: так их легко повторить на другом сервере.

Через netsh:

netsh advfirewall firewall add rule name="1C Agent and Manager" dir=in action=allow protocol=TCP localport=1540-1541
netsh advfirewall firewall add rule name="1C Worker Processes" dir=in action=allow protocol=TCP localport=1560-1591

То же через PowerShell, с ограничением по подсети:

New-NetFirewallRule -DisplayName "1C Server" -Direction Inbound -Protocol TCP `
  -LocalPort 1540,1541,1560-1591 -RemoteAddress 192.168.10.0/24 -Action Allow

Если на сервере стоит и сетевой ключ HASP, добавьте 475:

netsh advfirewall firewall add rule name="HASP License Manager TCP" dir=in action=allow protocol=TCP localport=475
netsh advfirewall firewall add rule name="HASP License Manager UDP" dir=in action=allow protocol=UDP localport=475

Правила по портам удобнее правил по программам. Исполняемые файлы ragent.exe, rmngr.exe и rphost.exe лежат в папке конкретной версии платформы, например C:\Program Files\1cv8\8.3.24.1548\bin\. После обновления платформы путь меняется, и правило по программе перестаёт работать. Правило по порту переживает любое обновление.

Сервер 1С на Linux

На Linux порты те же, меняется только инструмент.

Для ufw (Ubuntu, Debian):

sudo ufw allow from 192.168.10.0/24 to any port 1540:1541 proto tcp
sudo ufw allow from 192.168.10.0/24 to any port 1560:1591 proto tcp

Для firewalld (РЕД ОС, Astra, CentOS-подобные):

sudo firewall-cmd --permanent --add-port=1540-1541/tcp
sudo firewall-cmd --permanent --add-port=1560-1591/tcp
sudo firewall-cmd --reload

Диагностика проблем с подключением к серверу

Если после обновления клиенты не подключаются или Конфигуратор не видит базу, проверяйте по цепочке: имя → порт агента → порты процессов.

1. Разрешается ли имя сервера. Кластер сообщает клиенту имя сервера, а не IP-адрес. Клиент должен уметь его разрешить. Если DNS в сети нет, имя прописывают в C:\Windows\System32\drivers\etc\hosts на каждом клиенте.

ping srv-1c
nslookup srv-1c

2. Слушает ли сервер нужные порты. Выполните на самом сервере:

netstat -ano | findstr ":1540 :1541 :156"

Если 1540 в списке нет, служба агента не запущена или работает на другом порту.

3. Доходит ли клиент до порта. Выполните на рабочем месте:

Test-NetConnection srv-1c -Port 1540
Test-NetConnection srv-1c -Port 1541
Test-NetConnection srv-1c -Port 1560

В выводе смотрите строку TcpTestSucceeded. True — порт доступен, False — соединение режется по дороге: брандмауэр сервера, межсетевой экран между сегментами или антивирус.

4. Проверьте выход в интернет для обновлений.

Test-NetConnection update-api.1c.ru -Port 443

False здесь означает, что обновления через интернет-поддержку не скачаются. Решение — правило в межсетевом экране, настройка прокси или ручная загрузка файлов.

Как ограничить доступ и не открыть лишнего

Порты 1С не рассчитаны на работу напрямую из интернета. Набор правил для безопасной схемы:

• 🔒 1540, 1541, 1560–1591 — только из подсети рабочих мест и из VPN, никогда не на внешний интерфейс;
• 🛡️ 1545 (RAS) — только с компьютеров администраторов; через него можно управлять кластером и завершать сеансы;
• 🗄️ 1433 / 5432 — только с сервера 1С; пользователям прямой доступ к СУБД не нужен;
• 🌐 443 наружу — по белому списку доменов 1С, если политика компании запрещает свободный интернет на серверах;
• 🔑 задайте пароль администратора кластера и администратора центрального сервера в консоли кластера;
• 📡 удалённых сотрудников подключайте через VPN, RDP-шлюз или веб-публикацию по HTTPS, а не пробросом 1540 на роутере.

Проброс портов 1540–1591 на внешний IP — частая причина взлома и шифрования баз. Если нужен доступ из дома, поднимите VPN или публикацию на веб-сервере с HTTPS и авторизацией.

Обновлять конфигурацию удобнее с самого сервера или из того же сегмента сети. Тогда не придётся открывать кластерные порты в межсетевом экране между офисами.

Частые ошибки при настройке портов

• ❌ Открыт только 1540. Самая частая ошибка. Нужны все три участка: агент, менеджер, рабочие процессы.
• ❌ Правило создано на клиенте, а не на сервере. Входящие правила для кластера нужны на сервере 1С. Исходящие соединения брандмауэр Windows по умолчанию не блокирует.
• ❌ Забыт межсетевой экран между сегментами. На сервере всё открыто, а между офисной сетью и серверной стоит отдельный шлюз со своими правилами.
• ❌ Разные кластеры на одних портах. Две версии платформы не могут работать с одним портом агента. Вторая служба просто не стартует.
• ❌ Открыт весь диапазон 1024–65535. Так делают «чтобы заработало», и сервер оказывается открыт для всего подряд. Достаточно конкретных портов.