Работа в 1С через удалённый рабочий стол: от сервера до первого входа

RDP доступ к 1С — это когда программа 1С:Предприятие и база стоят на сервере в офисе или в облаке, а пользователь подключается к этому серверу по протоколу удалённого рабочего стола (RDP, порт 3389) и работает в 1С так, будто она открыта на его компьютере. На рабочее место передаётся только картинка экрана, клавиатура и мышь — данные базы по сети не гоняются. Чтобы настроить такой доступ для нескольких человек, нужен Windows Server с ролью «Службы удалённых рабочих столов», клиентские лицензии Microsoft (RDS CAL) и лицензии 1С на каждый одновременный сеанс.

Схему выбирают, когда бухгалтер работает из дома, филиал сидит в другом городе или файловая база тормозит по сети. Сама 1С при этом не меняется: это та же платформа 8.3 и та же база, только запущенные на сервере.

Что такое RDP и чем он отличается от терминального сервера

RDP — это протокол, а терминальный сервер — это роль Windows Server, которая разрешает многим людям одновременно работать по этому протоколу. Путают их постоянно, потому что «подключиться по RDP» и «работать на терминале» в быту означают одно и то же.

Разница видна в ограничениях:

Отдельно от RDP существует веб-клиент 1С и тонкий клиент через публикацию на веб-сервере. Там пользователь запускает 1С у себя, а с сервером обменивается по HTTP. Это другой способ удалённой работы, без терминала, со своими требованиями к публикации базы.

Зачем удалённый доступ к 1С через RDP: типичные сценарии

• 🏠 Сотрудник на удалёнке. Подключается к офисному серверу из дома, база не покидает периметр компании.
• 🏢 Филиалы. Несколько офисов работают в одной базе. С файловой базой по VPN это мучение, по RDP — нормальная скорость даже на канале 5–10 Мбит/с.
• 🐢 Медленная файловая база. Когда 5–8 человек открывают файловую базу по сетевой папке, всё тормозит и бьются блокировки. На терминальном сервере база лежит на локальном диске сервера, и обращения к ней идут без сети.
• 💻 Слабые рабочие места. Ноутбуку бухгалтера достаточно запускать клиент удалённого рабочего стола, вся нагрузка на сервере.
• 🔐 Контроль данных. Базу нельзя скопировать «на флешку» с рабочего места, если запрещено перенаправление дисков.
• 👨‍💼 Приходящий бухгалтер или аудитор. Временная учётная запись, доступ только к нужной базе, по окончании работы её отключают.

Минус схемы — всё держится на одном сервере. Если он упал, не работает никто, поэтому резервное копирование базы и самого сервера обязательно.

Требования к серверу и подготовка к RDP доступу к 1С

Перед установкой ролей проверьте четыре вещи: железо, Windows, лицензии и сеть.

Железо (ориентировочно, для типовых конфигураций БП, ЗУП, УТ):

• 🧠 Оперативная память: 4 ГБ на саму систему плюс примерно 0,5–1 ГБ на каждого пользователя 1С. На 10 человек — от 12–16 ГБ.
• ⚙️ Процессор: на 10–15 пользователей обычно хватает 4–6 ядер с высокой частотой. 1С больше любит частоту ядра, чем их количество.
• 💾 Диск: только SSD. Медленный диск — главная причина жалоб «на терминале 1С тормозит».

Программная часть:

• Windows Server 2016, 2019, 2022 или 2025.
• Сервер в домене или в рабочей группе. В рабочей группе роль ставится сложнее: мастер быстрой установки RDS требует домен, без него компоненты добавляют по отдельности и настраивают лицензирование через групповую политику.
• Платформа 1С:Предприятие 8.3 на сервере, установленная один раз для всех пользователей.

Лицензии — их два комплекта, и это главный подводный камень:

1. RDS CAL от Microsoft. На каждого пользователя или каждое устройство, которое подключается. Без них сервер работает в пробном периоде 120 дней, затем перестаёт пускать пользователей.
2. Лицензии 1С. Клиентская лицензия 1С расходуется на каждый сеанс работы с базой. Если на сервере одновременно сидят 8 человек, нужно 8 клиентских лицензий: программные лицензии, активированные на сервере, или многопользовательский аппаратный ключ, раздаваемый через менеджер лицензий HASP.

Сеть: у сервера должен быть постоянный IP-адрес. Если пользователи подключаются из интернета, не открывайте порт 3389 наружу напрямую — схемы безопасного доступа разобраны ниже.

Пошаговая настройка RDP доступа к 1С на сервере

Порядок для Windows Server 2016 и новее в домене. Для одного-двух администраторов достаточно первых двух шагов, для работы бухгалтерии нужны все.

Шаг 1. Включите удалённый рабочий стол

1. Откройте Диспетчер серверов → Локальный сервер.
2. В строке «Удалённый рабочий стол» щёлкните по значению «Отключено».
3. Выберите «Разрешить удалённые подключения к этому компьютеру» и оставьте галочку проверки подлинности на уровне сети (NLA).

То же самое из PowerShell:

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

Если в системе русская локализация и правило не находится, посмотрите название группы командой Get-NetFirewallRule | Where-Object DisplayGroup -like '*удал*'.

Шаг 2. Установите роль служб удалённых рабочих столов

1. Диспетчер серверов → Управление → Добавить роли и компоненты.
2. Тип установки — «Установка служб удалённых рабочих столов».
3. Для одного сервера выберите «Быстрый запуск» и «Развёртывание виртуальных рабочих столов на основе сеансов».
4. Мастер поставит посредника подключений, веб-доступ и узел сеансов на этот же сервер. Сервер перезагрузится.

Шаг 3. Настройте лицензирование RDS

1. Добавьте компонент «Лицензирование удалённых рабочих столов» через тот же мастер ролей.
2. Активируйте сервер лицензирования в «Диспетчере лицензирования удалённых рабочих столов» и установите купленные RDS CAL.
3. В свойствах развёртывания укажите режим (на пользователя или на устройство) и имя сервера лицензий.

Режим должен совпадать с типом купленных лицензий. Несовпадение — частая причина того, что через 120 дней всё внезапно перестаёт работать.

Шаг 4. Заведите пользователей и права

• Создайте каждому сотруднику свою учётную запись. Одну общую «buh» на троих не делайте: сеансы будут выбивать друг друга, а в журнале регистрации 1С не разобрать, кто что провёл.
• Добавьте пользователей в группу «Пользователи удалённого рабочего стола» (или в группу, указанную в коллекции сеансов).
• Дайте права на папку с файловой базой только тем, кому она нужна.

Шаг 5. Подготовьте 1С для всех пользователей

1. Установите платформу 8.3 один раз. Каталог по умолчанию — C:\Program Files\1cv8\.
2. Активируйте программные лицензии на сервере или настройте получение лицензий с сетевого ключа.
3. Чтобы не добавлять базы в список каждому вручную, сделайте общий файл списка баз .v8i и подключите его через 1cestart.cfg:

CommonInfoBases=C:\1C\Bases\common.v8i

Файл 1cestart.cfg для всех пользователей лежит в C:\ProgramData\1C\1CEStart\. После этого каждый, кто запустит 1С на сервере, увидит базы из общего списка.

Шаг 6. Опубликуйте 1С как RemoteApp (по желанию)

RemoteApp показывает пользователю не весь рабочий стол сервера, а только окно 1С. Выглядит как обычная программа на его компьютере, и пользователь не бродит по серверу.

1. В Диспетчер серверов → Службы удалённых рабочих столов → Коллекции откройте коллекцию сеансов.
2. В блоке «Программы RemoteApp» выберите «Опубликовать программы RemoteApp».
3. Укажите C:\Program Files\1cv8\common\1cestart.exe. Публикуйте именно стартер, а не 1cv8.exe конкретной версии: после обновления платформы ярлык продолжит работать.

Шаг 7. Ограничьте время отключённых сеансов

Пользователь закрыл окно крестиком — сеанс Windows остался висеть, а вместе с ним открытая 1С и занятая лицензия. Через неделю лицензий «не хватает», хотя работают трое.

Настройте завершение отключённых сеансов: в свойствах коллекции на вкладке «Сеанс» или в групповой политике Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Ограничение сеансов по времени. Разумное значение — завершать отключённый сеанс через 1–2 часа.

Как подключиться к 1С через RDP и работать в сеансе

Windows. Встроенная программа «Подключение к удалённому рабочему столу» (mstsc). Нажмите Win+R и введите:

mstsc /v:192.168.1.10

Если порт нестандартный, укажите его через двоеточие: mstsc /v:srv.company.ru:3390. Для RemoteApp пользователь получает готовый .rdp-файл или ярлык через веб-доступ RDS.

macOS, iPad, Android. Клиент Microsoft для удалённого рабочего стола (на macOS он сейчас называется Windows App) из магазина приложений.

Что настроить в клиенте перед первым входом (вкладка «Локальные ресурсы»):

• 🖨️ Принтеры — чтобы счета и акты печатались на домашний принтер. Windows Server подхватывает их через Easy Print без установки драйверов на сервер.
• 📁 Диски — нужны, чтобы выгрузить платёжки для банк-клиента или загрузить выписку. На сервере диск пользователя виден как \\tsclient\C.
• 📋 Буфер обмена — копирование между своим компьютером и 1С на сервере.
• 🔑 Смарт-карты — для подписи отчётности токеном, если это разрешено на сервере.

Как работать в сеансе: не открывайте одну и ту же базу дважды, это вторая лицензия. Выходите из сеанса через Пуск → Выход. Если связь оборвалась — просто подключитесь снова: вы вернётесь в тот же сеанс, 1С останется открытой на том же документе.

Безопасность RDP доступа к 1С

RDP-порт, открытый в интернет, находят сканеры в первые часы. Дальше идёт перебор паролей и, при удаче, шифровальщик, который зашифрует базы 1С вместе с резервными копиями на том же сервере. Базовые меры:

1. 🛡️ VPN или шлюз RDS. Пользователь сначала поднимает VPN до офиса, потом подключается по внутреннему адресу. Альтернатива — роль «Шлюз удалённых рабочих столов»: подключение идёт по HTTPS-порту 443 с сертификатом.
2. 🔒 Проверка подлинности на уровне сети (NLA). Не отключайте её, даже если старый клиент ругается — обновите клиент.
3. 🔑 Длинные пароли и блокировка учётной записи. В локальной или доменной политике задайте блокировку после 5–10 неудачных попыток.
4. 🚫 Учётная запись «Администратор». Переименуйте или запретите ей вход по RDP, ведь её имя подбирают первым.
5. 💾 Резервные копии вне сервера. Выгрузка .dt или копия каталога базы — на другой компьютер или в облако, куда с терминального сервера нельзя записать произвольно.
6. 🔄 Обновления Windows. Уязвимости RDP закрываются именно ими.

Смена порта 3389 на нестандартный уменьшает шум от сканеров, но защитой не является. Если всё же меняете, это параметр PortNumber в ветке реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

После смены откройте новый порт в брандмауэре и только потом перезагрузите службу удалённых рабочих столов. Если сделать наоборот, на удалённом сервере вы потеряете доступ к нему до приезда на место. Перезапуск службы также разорвёт все текущие сеансы пользователей — делайте это вне рабочего времени.

Частые проблемы при RDP подключении к 1С

Ошибки делятся на две группы: не пускает Windows или не запускается 1С внутри сеанса.

Чтобы найти и завершить зависший сеанс конкретного пользователя:

quser
logoff 3

Где 3 — идентификатор сеанса из столбца «ID» вывода quser. Несохранённые данные пользователя в 1С при этом пропадут, поэтому сначала уточните у него, можно ли.

Частые вопросы