При мониторинге производительности и сетевой активности серверов или рабочих станций системные администраторы часто сталкиваются со странным поведением: запущенный процесс 1С:Предприятия 1cv8.exe (или 1cv8c.exe) начинает активно отправлять сетевые запросы на внешние интернет-адреса. Среди получателей трафика могут быть замечены такие домены, как validation.sls.microsoft.com, *.1e100.net, *.awsglobalaccelerator.com и даже локальные региональные хосты вроде *.trifle.net.
В этой статье мы подробно разберем, почему современные версии платформы «1С:Предприятие 8.3» (особенно начиная с релизов 8.3.14 и выше) проявляют подобную сетевую активность, не является ли это признаком уязвимости или вредоносного ПО, и как системному администратору правильно настроить окружение для минимизации лишнего трафика.
Прежде всего стоит успокоить службу безопасности: сетевая активность 1С не связана с вирусами. Это следствие глубокой интеграции платформы с операционной системой Windows, использования современных браузерных движков и облачных микросервисов самой фирмы «1С». Рассмотрим подробнее каждый из проблемных адресов.
1. Запросы к домену validation.sls.microsoft.com
Этот адрес принадлежит службе лицензирования программного обеспечения Microsoft (Software Licensing Service). Сама по себе платформа 1С напрямую к нему не обращается. Однако обращение происходит опосредованно через системные вызовы Windows в следующих сценариях:
1cv8.exe, сетевой монитор Windows фиксирует трафик именно за ним.2. Сетевая активность на адреса *.1e100.net
Домен 1e100.net принадлежит корпорации Google (название представляет собой математическую запись числа Гугол — 10 в сотой степени) и используется для обслуживания её распределенной сети доставки контента. 1С подключается к этим адресам по следующим причинам:
1cv8.exe будет обращаться к серверам Google для их загрузки.3. Трафик к *.awsglobalaccelerator.com
AWS Global Accelerator — это сетевой сервис от Amazon, предназначенный для оптимизации и ускорения доставки контента за счет сокращения задержек на маршрутах. Появление этих адресов в мониторе сети обусловлено использованием современных интернет-сервисов 1С:
4. Обращения к *.trifle.net и аналогичным региональным хостам
Trifle — это украинский интернет-провайдер и хостинг-провайдер. Обращение к подобным хостам всегда индивидуально и зависит от окружения конкретной базы:
---
Проанализируем ситуацию и разберем варианты действий для системного администратора в зависимости от строгости корпоративной политики безопасности.
Если вам нужно оперативно заблокировать обращения к конкретному адресу (например, к серверам лицензирования MS, чтобы исключить лишние зависания платформы при проверке лицензии Office), можно воспользоваться стандартным механизмом перенаправления трафика на локальную петлю.
Разберем по шагам, как заблокировать адрес validation.sls.microsoft.com:
C:\Windows\System32\drivers\etc\hosts.127.0.0.1 validation.sls.microsoft.comЕсли информационная база работает исключительно в локальной сети и не использует интернет-сервисы (такие как 1С-Отчетность, загрузка курсов валют или классификаторов), лучшим решением будет полная блокировка исходящего интернет-трафика для исполняемых файлов платформы.
Рассмотрим, как создать блокирующее правило в Брандмауэре Windows:
wf.msc).C:\Program Files\1cv8\8.3.17.1386\bin\1cv8.exe или 1cv8c.exe (для тонкого клиента). Для серверной части блокируется процесс ragent.exe.Если вы хотите точно выяснить, какая именно обработка, фоновое задание или системный вызов внутри 1С провоцируют сетевую активность, выполним детальный анализ с помощью утилиты Process Monitor (Sysinternals):
Procmon.exe.Process Name, условие is, впишите значение 1cv8.exe и нажмите Add.Operation, условие is, значение TCP Connect или TCP Receive.Таким образом, понимание внутренних механизмов платформы 1С:Предприятие 8.3 позволяет администраторам гибко управлять сетевой безопасностью и исключать ложные срабатывания систем мониторинга сетевой активности.