Как правильно настроить связь между облачным Битрикс24 и локальной базой 1С на веб-сервере IIS?

← На главную

Интеграция облачного сервиса Битрикс24 (используя REST API Битрикс24) с локально установленной базой 1С — это стандартная задача, которая, однако, часто вызывает затруднения у системных администраторов. Основная сложность заключается в обеспечении безопасности: необходимо «открыть» локальную базу для внешнего мира так, чтобы доступ имел только сервис Битрикс24, и при этом данные передавались в зашифрованном виде. В этой статье мы подробно разберем процесс настройки веб-сервера IIS, определим необходимые порты и выясним, какие IP-адреса следует добавить в список разрешенных.

Анализ сетевой архитектуры и выбор портов

Прежде всего, проанализируем, как происходит взаимодействие. Облако Битрикс24 выступает в роли клиента, который отправляет запросы к вашему веб-серверу IIS, на котором опубликована информационная база 1С. Рассмотрим наиболее распространенные ошибки в выборе портов:

Порт 80 (HTTP): Использовать его крайне не рекомендуется. Передача данных по незашифрованному каналу ставит под угрозу ваши корпоративные данные. Более того, облачный Битрикс24 часто требует именно защищенное соединение.
Порты 1433 и 1541: В некоторых обсуждениях можно встретить советы открыть порт 1433 (SQL Server) или 1541 (Менеджер кластера 1С). Это критическая ошибка безопасности. Облако никогда не подключается к базе данных напрямую — оно взаимодействует только с веб-сервисом, опубликованным на IIS.

Для корректной и безопасной работы необходимо использовать порт 443 (HTTPS). Разберем ситуацию: если на вашем роутере этот порт уже занят другим сервисом, вы можете использовать любой свободный нестандартный порт (например, 8443) и настроить проброс (DNAT) на порт 443 внутреннего сервера с IIS.

Настройка доверенного SSL-соединения

Выясним причину, по которой интеграция часто не работает, даже если порт открыт и база доступна из браузера. Облачный Битрикс24 предъявляет жесткие требования к безопасности: самоподписанные сертификаты (self-signed) не принимаются. Рассмотрим шаги по настройке сертификата:

Получите валидный SSL-сертификат от доверенного центра сертификации. Отличным бесплатным решением является Let's Encrypt.
Установите сертификат на сервер IIS и привяжите его к сайту, на котором опубликована 1С, через оснастку «Bindings» (Привязки) для протокола HTTPS.
Проверьте «цепочку доверия» (Chain). Если промежуточные сертификаты не установлены, Битрикс24 не сможет проверить подлинность вашего сервера и разорвет соединение.

Ограничение доступа по IP-адресам Битрикс24

Чтобы максимально обезопасить ваш сервер, настроим фильтрацию входящего трафика. Битрикс24 использует распределенную инфраструктуру, поэтому указать один IP-адрес не получится. Проанализируем актуальные диапазоны для зоны .ru:

178.248.232.0/21
185.110.132.0/22
195.208.1.0/24

Эти подсети необходимо внести в правила входящих соединений вашего брандмауэра (Firewall) или настройки модуля «IP Address and Domain Restrictions» в IIS. Разрешите доступ к порту 443 только для этих адресов, блокируя все остальные внешние запросы.

Тонкая настройка публикации 1С на IIS (в этом поможет публикатор 1С)

Посмотрим на технические нюансы самой публикации. При публикации базы через конфигуратор 1С (либо используя общий модуль для HTTP сервиса) создается файл default.vrd. В нем описываются параметры доступа к веб-сервисам. Проанализируем пример структуры этого файла для корректной работы интеграции:


<point xmlns="http://v8.1c.ru/8.2/virtual-resource-system"
        xmlns:xs="http://www.w3.org/2001/XMLSchema"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        base="/MyBaseName"
        ib="Srvr=LocalHost;Ref=MyBaseName;">
    <httpServices publishByDefault="true">
        <service name="Bitrix24Integration" alias="b24.php" />
    </httpServices>
</point>

Обратите внимание на следующие моменты в настройке IIS (к которой можно подключить Python-коннектор к 1С):

Метод POST: Убедитесь, что в настройках «Handler Mappings» для 1С разрешены все HTTP-глаголы (Verbs), особенно POST, так как именно через него передаются пакеты данных обмена.
Права доступа: Пользователь, от имени которого запущен пул приложений (Application Pool), должен иметь полные права на папку, где лежит файл default.vrd, и права на чтение бинарных файлов платформы 1С.
Аутентификация: Для интеграции обычно используется отдельный пользователь в 1С с правами на использование конкретных HTTP-сервисов. Убедитесь, что в IIS отключена «Anonymous Authentication», если вы планируете использовать Basic-авторизацию средствами 1С.

Проверка и отладка соединения

Если после выполнения всех настроек Битрикс24 выдает ошибку, проделаем следующие действия для диагностики:

Проверим доступность публикации извне через обычный браузер (но с другого IP, не входящего в локальную сеть), временно расширив правила брандмауэра.
Убедимся, что URL-адрес, указанный в настройках модуля Битрикс24, совпадает с внешним адресом вашего сервера и начинается с https://.
Проанализируем логи IIS (расположенные обычно в C:\inetpub\logs\LogFiles). Если в логах видны запросы с кодом 403 или 401 от адресов Битрикс24, значит, проблема в правах доступа или фильтрации IP. Код 200 будет означать успешное соединение.

Таким образом, мы выяснили, что для успешной связки необходимо не просто «пробросить порт», а создать защищенный шлюз, доверяющий только конкретным адресам облачной инфраструктуры Битрикс24. Использование HTTPS с валидным сертификатом и ограничение по IP — это «золотой стандарт» безопасности при публикации 1С.