← На главную

При попытке подключения к сервисам интернет-поддержки пользователей в конфигурациях 1С:Предприятие (например, в 1С:Бухгалтерии предприятия 3.0) нередко возникает ошибка получения WSDL-описания веб-сервиса. В окне программы и в журнале регистрации фиксируется исключение:

Ошибка работы с Интернет: Ошибка инициализации SSL-соединения

В технологическом журнале платформы при этом может присутствовать запись следующего вида: Unknown SSL protocol error in connection to webits.1c.ru:443. Разберем подробно, почему возникает данный сбой, как работает сетевой стек платформы при обращении к защищенным веб-сервисам и какие шаги необходимо выполнить для восстановления стабильной работы сервисов.

Анализ причин возникновения ошибки SSL

Проанализируем цепочку взаимодействия платформы 1С с удаленным веб-сервисом при установлении защищенного TLS/SSL-соединения. Проблема чаще всего кроется не в коде конфигурации, а в особенностях инфраструктуры и политиках безопасности:

1. Блокировка трафика проверки списков отзыва сертификатов (CRL и OCSP). При установлении защищенного HTTPS-соединения операционная система и криптографические библиотеки выполняют обязательную валидацию цепочки сертификатов удаленного сервера. Для этого инициируются обращения к точкам распространения списков отзыва (CRL Distribution Points) и онлайн-службам проверки статуса сертификатов (OCSP). Данные службы центров сертификации очень часто размещаются на распределенных CDN-сетях (например, Akamai) и работают по незащищенному протоколу HTTP (порт 80). Если на сервере приложений или межсетевом экране запрещен исходящий трафик по порту 80 к внешним адресам, процесс зависает по тайм-ауту и завершает TLS-рукопожатие с ошибкой инициализации.
2. Несовместимость версий TLS и наборов шифров. На устаревших серверных операционных системах (например, Windows Server 2008 R2) по умолчанию могут быть отключены современные протоколы безопасности (TLS 1.2) и эллиптические наборы шифров (Cipher Suites). Если веб-сервер принимает подключения исключительно по стандарту TLS 1.2, платформа не может согласовать параметры сессии.
3. Отсутствие актуальных корневых сертификатов. Если в системном хранилище доверенных корневых сертификатов ОС или во встроенном бандле платформы отсутствует сертификат удостоверяющего центра, выдавшего сертификат для сервиса, проверка завершается аварийно.

Способ 1. Настройка сетевого экрана и правил фильтрации трафика

Рассмотрим по шагам, как локализовать и устранить сетевые ограничения, мешающие нормальной проверке сертификатов:

1. Диагностика активных сетевых подключений. С помощью системных утилит мониторинга сетевой активности (например, TCPView или Resource Monitor) отследим сетевые вызовы в момент нажатия кнопки подключения интернет-поддержки в 1С. Вы увидите, что серверный процесс rphost.exe (или толстый клиент 1cv8.exe) помимо защищенного HTTPS-соединения на порт 443 инициирует исходящие HTTP-запросы по порту 80 к внешним IP-адресам CDN-провайдеров.
2. Разрешение исходящего HTTP-трафика. Поскольку IP-адреса CDN динамически изменяются, жестко фиксировать их в правилах файрвола неэффективно. Настроим на межсетевом экране разрешение исходящего трафика по портам 80 (HTTP) и 443 (HTTPS) для рабочих процессов сервера 1С (ragent.exe, rphost.exe, rmngr.exe) либо для учетной записи службы 1С.
3. Использование L7-фильтрации (по доменным именам). При наличии шлюза безопасности с поддержкой фильтрации на уровне приложений рекомендуется добавить в список доверенных FQDN-имен домены сервисов 1С и домены центров сертификации (включая ресурсы распространения CRL/OCSP).

Способ 2. Включение поддержки TLS 1.2 и обновление WinHTTP в Windows Server

Если сервер приложений работает под управлением устаревших версий Windows Server, выполним принудительную активацию современного протокола TLS 1.2 через системный реестр:

1. Убедимся, что на сервере установлены последние накопительные обновления безопасности операционной системы, поддерживающие TLS 1.2 для компонента WinHTTP.
2. Откроем редактор реестра regedit и перейдем в ветку:

   HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client

   Создадим (или изменим) параметры типа DWORD (32 бита):
   • DisabledByDefault со значением 0
   • Enabled со значением 1
3. Для корректной работы системных вызовов через WinHTTP зададим параметр DefaultSecureProtocols со значением 0x00000800 (в шестнадцатеричной системе) в следующих ветках реестра:
   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp
   • HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp (для 64-битных систем)
4. Перезагрузим сервер для применения изменений.

Способ 3. Обновление корневых сертификатов платформы и ОС

Разберем порядок актуализации цепочек доверия сертификатов:

1. Обновление системных сертификатов Windows. Выполним обновление списка доверенных корневых центров через утилиту командной строки certutil -generateSSTFromWU roots.sst с последующим импортом в хранилище доверенных корневых сертификатов через оснастку certmgr.msc.
2. Проверка встроенного хранилища сертификатов 1С. Платформа 1С:Предприятие для работы собственного сетевого стека использует файл доверенных сертификатов cacert.pem, расположенный в каталоге установки платформы (папка bin). При необходимости актуализируем этот файл или убедимся, что сертификат удостоверяющего центра сервиса интернет-поддержки присутствует в цепочке доверия.

Способ 4. Корректировка параметров проверки отзыва сертификатов

В закрытых контурах предприятий, где сервер приложений полностью изолирован от прямого доступа в интернет без возможности обращения к внешним CRL/OCSP-серверам, задержка или сбой происходят из-за ожидания ответа на запрос проверки отзыва.

В свойствах обозревателя операционной системы (или через групповые политики домена) проанализируем параметр Проверять аннулирование сертификатов серверов (Check for server certificate revocation). В изолированных средах временное отключение данной опции в системных параметрах позволяет исключить сетевые тайм-ауты CryptoAPI при обращении к локальным или проксируемым ресурсам, если проверка отзывов не может быть организована через локальный шлюз.