Как организовать безопасное удаленное подключение к 1С через интернет без использования VPN и RDP

В современных реалиях бизнеса организация защищенной IT-инфраструктуры и удаленная работа становятся стандартом. Однако часто системные администраторы и разработчики сталкиваются с жесткими ограничениями: запрет на использование VPN из-за сложности настройки на стороне клиента или нежелание использовать RDP из-за нагрузки на сервер. В данной статье мы разберем, как организовать доступ к 1С в режиме клиент-сервер, используя штатные возможности платформы 1С:Предприятие 8.3, обеспечив при этом высокую скорость работы и должный уровень безопасности.

Анализ основных режимов удаленного подключения

Прежде всего, проанализируем три базовых сценария, которые предоставляет платформа для работы через интернет. Выбор правильного режима напрямую влияет на стабильность системы и удобство пользователей.

1. Тонкий клиент с прямым подключением к серверу 1С: В этом режиме приложение обращается напрямую к кластеру серверов. Это требует открытия портов (по умолчанию 1540, 1541, 1560-1591). Несмотря на наличие встроенного шифрования, этот метод считается наименее защищенным, так как внутренние службы 1С оказываются открыты для внешнего мира.
2. Тонкий клиент через веб-сервер (HTTPS): Это «золотая середина» (для удобства подключения подойдет лаунчер для 1C). Пользователь работает в привычном интерфейсе программы 1С, но передача данных идет через веб-сервер (IIS или Apache) по защищенному протоколу HTTPS. Это быстрее, чем работа в браузере, так как часть кода исполняется локально.
3. Веб-клиент (браузер): Работа через Chrome, Firefox или Safari. Не требует установки 1С на компьютер пользователя. Удобно для разовых задач или работы с мобильных устройств, но может иметь ограничения в функционале (например, при работе с торговым оборудованием или сложными отчетами).

Разбор прямого подключения и уровни шифрования 1С

Рассмотрим подробнее ситуацию, когда планируется использовать прямое подключение тонкого клиента к серверу. Многие ошибочно полагают, что трафик в этом случае идет в открытом виде. На самом деле, платформа поддерживает встроенные механизмы защиты. Проанализируем настройки безопасности информационной базы:

В параметрах подключения можно задать уровень использования защищенного соединения:

• Выключено: Данные передаются без дополнительного шифрования.
• Только при установке соединения: Шифруется только этап авторизации пользователя.
• Постоянно: Весь трафик между клиентом и сервером шифруется с использованием алгоритмов RSA и Triple DES.

Однако, несмотря на шифрование, мы не рекомендуем выставлять порты сервера 1С напрямую в интернет. Если требования бизнеса исключают VPN, лучше переключиться на публикацию через веб-сервер.

Публикация базы через веб-сервер: пошаговый подход

Выясним, почему связка Тонкий клиент + Web-server + HTTPS является приоритетной. При такой схеме мы используем стандартный порт 443, который обычно открыт в любых сетях, и получаем возможность гибкой настройки безопасности на уровне веб-сервера.

Для реализации этого метода выполним следующие шаги:

1. Установим и настроим веб-сервер (для автоматизации процесса можно использовать скрипт установки Apache), рекомендуется также Nginx в качестве реверс-прокси.
2. В конфигураторе 1С выберем пункт меню "Администрирование" — "Публикация на веб-сервере".
3. Укажем имя публикации и выберем используемый веб-сервер.
4. Настроим SSL-сертификат (можно использовать бесплатный от Let's Encrypt), чтобы соединение шло по протоколу HTTPS.

Важный нюанс: при работе через веб-сервер можно использовать дополнительные методы авторизации. Рассмотрим возможность использования JWT-токенов или двухфакторной аутентификации (2FA), которая появилась в последних версиях платформы 8.3.21+. Это позволяет требовать от пользователя код из SMS или мобильного приложения, что делает доступ максимально защищенным даже без VPN.

Использование сервиса 1С:Линк

Посмотрим на ситуацию, когда у компании нет возможности настроить собственный веб-сервер или отсутствует "белый" IP-адрес. В этом случае на помощь приходит продукт 1С:Линк. Разберем принцип его работы:

На сервере с базой устанавливается специальный агент, который создает защищенный туннель к серверам фирмы 1С. Пользователь подключается по ссылке вида https://link.1c.ru/your_base_name. Это решение идеально подходит для небольших компаний, где нет штатного системного администратора, так как настройка занимает несколько минут и не требует изменения правил сетевого экрана.

Безопасность и ограничение доступа

Разберем, как дополнительно обезопасить сервер, опубликованный в интернете. Даже если мы используем HTTPS, существуют риски подбора паролей (brute-force). Проанализируем методы защиты:

• Ограничение по IP: Если сотрудники работают из дома с постоянными адресами или из филиалов, настройте в Nginx или IIS разрешение доступа только для конкретных IP-диапазонов.
• Port Knocking: Скрытая технология, при которой порт веб-сервера открывается только после получения последовательности пакетов на определенные порты.
• Дополнительная авторизация: Настройте на веб-сервере Basic Auth. Тогда пользователю сначала придется ввести пароль для доступа к самому веб-ресурсу, а уже потом — пароль от самой 1С.

Лицензирование при удаленной работе

Выясним важный технический момент, касающийся лицензий. При удаленном подключении способ получения лицензии меняется:

Если используется тонкий клиент, он может брать лицензию как локально (с USB-ключа или программного файла на компьютере пользователя), так и с сервера 1С. Однако при работе через веб-клиент (браузер) лицензии всегда выдает сервер. Помните, что каждый сеанс в браузере потребляет отдельную лицензию, что может привести к их нехватке при нестабильном интернете, когда сессии "зависают".

Программная настройка и HTTP-сервисы

Если пользователям, как в нашем примере, нужно "всего пара отчетов", рассмотрите вариант разработки собственного HTTP-сервиса. Это позволит не открывать доступ ко всей конфигурации.

Посмотрим на пример простейшего кода для получения данных через HTTP-сервис:

Метод ПолучитьОтчетПродаж(Запрос)
    Параметры = Запрос.ПараметрыЗапроса;
    НачалоПериода = Параметры.Получить("ДатаНачала");
    
    // Формируем отчет программно
    ТабДок = Новый ТабличныйДокумент;
    Отчеты.Продажи.Сформировать(ТабДок, НачалоПериода);
    
    // Возвращаем результат в формате HTML для отображения в браузере
    Ответ = Новый HTTPСервисОтвет(200);
    Ответ.УстановитьТелоИзСтроки(ТабДок.ПолучитьHTML());
    Возврат Ответ;
КонецМетода

Такой подход максимально безопасен, так как пользователь вообще не взаимодействует с интерфейсом 1С и не может запустить произвольный код или просмотреть лишние данные. Мы предоставляем только конкретный результат.

Итоговые рекомендации

Подведем итог нашему анализу. Для организации комфортной и безопасной работы пользователей в 1С через интернет при запрете на VPN, наиболее эффективным решением будет публикация информационной базы на веб-сервере с использованием SSL-шифрования (HTTPS). Работа через тонкий клиент обеспечит пользователям привычную скорость и функционал, а системному администратору даст инструменты контроля доступа и защиты сервера от внешних угроз.