Работа в 1С через терминальный сервер: схема, настройка и защита

Терминальный доступ в 1С — это работа с программой, которая запущена не на вашем компьютере, а на сервере: пользователь подключается к нему по протоколу RDP и видит окно 1С, а все вычисления и обращения к базе идут на сервере. Чтобы его настроить, на Windows Server включают службы удалённых рабочих столов (RDS), ставят туда платформу 1С, кладут базу рядом и раздают пользователям ярлык подключения.

Вариантов удалённой работы с 1С три: терминальный сервер , веб-клиент и тонкий клиент через интернет . Терминал выбирают, когда база файловая, канал у сотрудников слабый, а настраивать веб-публикацию не хочется. Веб-клиент и тонкий клиент по HTTP удобнее, если пользователей много и нужен вход с любого устройства без RDP.

Что даёт терминальный доступ к 1С и когда его выбирают

Главный плюс — по сети к пользователю идёт только картинка экрана, нажатия клавиш и мыши. Сама база не «качается» по каналу. Поэтому файловая база, которая еле ворочается по сетевой папке в офисе, через терминал работает почти как локальная.

Кому подходит терминальная схема:

• 🏢 небольшой фирме с файловой базой на 3–15 пользователей и филиалом или удалёнными сотрудниками;
• 🧾 бухгалтеру на аутсорсе, который обслуживает несколько организаций и держит все базы в одном месте;
• 📶 офису со слабым интернетом у сотрудников: RDP-сеансу хватает 1–2 Мбит/с на человека;
• 🔒 компании, которой нужно, чтобы данные не покидали сервер и не оседали на ноутбуках.

Что вы теряете: зависимость от одного сервера (упал — стоят все), необходимость покупать лицензии Windows на удалённые подключения и следить за безопасностью открытого доступа.

Как устроен терминальный доступ: сервер, RDP и сеансы 1С

Схема из трёх звеньев:

1. Клиентское устройство — любой компьютер, ноутбук, планшет. На нём нет 1С, только клиент удалённого рабочего стола.
2. Канал — протокол RDP, по умолчанию порт TCP 3389 (современные версии дополнительно используют UDP 3389 для ускорения картинки). Трафик шифруется.
3. Терминальный сервер — Windows Server с ролью «Узел сеансов удалённых рабочих столов». Каждый пользователь получает свой изолированный сеанс Windows со своим профилем, принтерами и буфером обмена. В этом сеансе и запускается 1С.

База может лежать прямо на терминальном сервере (файловый вариант) или на отдельном сервере 1С:Предприятия с СУБД (клиент-серверный вариант). Во втором случае терминал работает как «толстая прослойка»: клиент 1С на нём общается с кластером по быстрой локальной сети.

Есть два способа показать 1С пользователю:

Что нужно для терминального доступа к 1С: сервер, лицензии, клиенты

Сервер

Ориентиры по железу для файловой базы или тонкого клиента к серверу 1С:

Расчёт простой: 4–6 ГБ под систему плюс 1–1,5 ГБ на каждого пользователя с 1С и браузером. Если у сотрудников открыто по две-три базы, закладывайте больше. Частота ядра для 1С важнее их количества.

Лицензии Windows

Без роли RDS сервер пускает только два одновременных подключения, и те предназначены для администрирования. Для работы сотрудников нужны:

• 🪪 сервер лицензирования удалённых рабочих столов (роль ставится на тот же сервер);
• 🎫 клиентские лицензии RDS CAL — «на пользователя» или «на устройство».

После установки роли даётся льготный период 120 дней. Когда он закончится, а лицензии не активированы, подключения перестанут работать.

Лицензии 1С

Клиентские лицензии 1С на терминальном сервере расходуются по сеансам: каждый пользователь в своём RDP-сеансе занимает отдельную лицензию. Пять человек одновременно — пять лицензий. Программные лицензии активируют прямо на терминальном сервере; аппаратный многопользовательский ключ ставят в этот сервер или в сервер с менеджером лицензий.

Однопользовательскую лицензию на терминальный сервер не ставьте — она рассчитана на одно рабочее место, а не на несколько сеансов.

Клиенты

• Windows — встроенное «Подключение к удалённому рабочему столу», команда mstsc.
• macOS, iPhone, iPad, Android — официальное приложение Microsoft для удалённого рабочего стола (в новых версиях называется Windows App).
• Linux — Remmina или xfreerdp.

Настройка терминального сервера для 1С по шагам

Ниже порядок для сервера в рабочей группе, без домена: так устроено большинство небольших офисов.

1. Установить роли RDS

1. Откройте «Диспетчер серверов» → «Добавить роли и компоненты».
2. Выберите «Установка ролей или компонентов» (не «Установка служб удалённых рабочих столов» — тот мастер требует домен).
3. Отметьте роль «Службы удалённых рабочих столов» и в ней две службы: «Узел сеансов удалённых рабочих столов» и «Лицензирование удалённых рабочих столов».
4. Перезагрузите сервер.

2. Активировать лицензии и указать режим

1. Запустите «Диспетчер лицензирования удалённых рабочих столов», активируйте сервер и установите купленные CAL.
2. Откройте gpedit.msc и перейдите в Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Лицензирование.
3. Включите политику с указанием серверов лицензирования и впишите имя этого сервера.
4. В политике режима лицензирования выберите тот же тип, что у купленных CAL: «на пользователя» или «на устройство».

3. Установить 1С и разместить базу

1. Установите платформу 1С с правами администратора. Ставьте ту же версию, что требует конфигурация.
2. Файловую базу положите на локальный SSD сервера, например D:\Bases\Buh. Сетевая папка на другом компьютере сводит на нет весь выигрыш в скорости.
3. Активируйте лицензии 1С на этом сервере.
4. Добавьте базу в список у одного пользователя и проверьте, что она открывается.

Чтобы список баз сразу появлялся у всех, используйте общий файл списка баз (.v8i): его путь задают в настройках стартера 1С, и каждый новый пользователь увидит нужные базы без ручного добавления.

4. Завести пользователей Windows

1. Создайте каждому сотруднику свою учётную запись — не одну общую на всех.
2. Добавьте их в группу «Пользователи удалённого рабочего стола».
3. Права на папку с базой: чтение и запись для этих пользователей, без прав на смену владельца.

5. Ограничить «брошенные» сеансы

Пользователь закрыл окно RDP крестиком — сеанс Windows продолжает жить, а вместе с ним 1С и занятая лицензия. Задайте лимиты в … → Узел сеансов удалённых рабочих столов → Ограничение сеансов по времени:

• ⏳ отключённый сеанс завершать через 1–2 часа;
• 💤 бездействующий активный сеанс — через 3–4 часа;
• 🕘 при достижении лимита — завершать сеанс, а не только отключать.

6. Выдать пользователям подключение

1. На своём компьютере запустите mstsc, впишите адрес сервера, на вкладке «Локальные ресурсы» включите принтеры и буфер обмена.
2. Сохраните подключение в файл .rdp и раздайте его сотрудникам.
3. Для RemoteApp в .rdp-файле задают запуск конкретной программы — обычно C:\Program Files\1cv8\common\1cestart.exe. В домене удобнее публиковать приложение через коллекцию RDS в диспетчере серверов.

Как проверить активные RDP-сессии и завершить зависшую

Когда лицензий 1С «не хватает», хотя работают трое из пяти, почти всегда виноваты отключённые сеансы. Посмотреть их можно двумя способами.

Через диспетчер задач. Вкладка «Пользователи» показывает каждого вошедшего, его статус («Активно» или «Отключено») и процессы. Правой кнопкой по пользователю — «Выйти» завершает сеанс.

Из командной строки (от администратора):

:: список сеансов: имя, ID, состояние, время простоя
query user

:: то же самое, более подробный вид
qwinsta

:: завершить сеанс с ID 3
logoff 3

Если база клиент-серверная, загляните ещё и в сеансы самого 1С: консоль администрирования кластера или rac session list покажут, какой сеанс 1С висит и чей. Бывает, что RDP-сеанс уже завершён, а сеанс 1С ещё не отпущен — тогда лицензия освободится после его завершения в консоли.

Защита терминального сервера 1С

Сервер с открытым в интернет RDP-портом начинают перебирать по паролям в первые часы. На нём лежит бухгалтерия — значит, защищать нужно всерьёз.

Минимум, без которого сервер не стоит открывать наружу:

• 🔑 пароли от 12 символов, разные у всех, без «Buh123»;
• 🚫 переименованная или отключённая встроенная учётная запись «Администратор»;
• 🛡️ обновления Windows ставятся регулярно;
• 💾 резервная копия баз — на другом носителе или в другом месте, не на этом же диске;
• 📋 пользователи не входят в группу администраторов.

Смена порта 3389 на другой снижает шум в журналах, но от целевой атаки не защищает. Это косметика, а не защита.

Резервная копия на том же сервере не спасает от шифровальщика — он зашифрует и базу, и копию. Держите хотя бы одну копию вне сервера.

Типичные ошибки терминального доступа к 1С

Когда терминал не подходит и чем его заменить

Терминальная схема хороша до определённого размера. Признаки, что пора смотреть в сторону другого варианта: пользователей больше 30–40, сотрудники работают с телефонов, нужен вход партнёров или клиентов, лицензии RDS обходятся дороже, чем сервер.

Веб-клиент и тонкий клиент по HTTP работают только с управляемым интерфейсом. Для старых конфигураций на обычных формах терминал остаётся почти единственным удобным способом удалённой работы.

Частые вопросы