Как предоставить удаленный доступ к ЗУП 2.5 внешнему сотруднику, если закрыт прямой доступ к серверам?

Организация безопасного удаленного доступа к учетным системам — стандартная задача администрирования. Однако при работе с устаревшими конфигурациями, такими как «1С:Зарплата и управление персоналом 2.5», системные администраторы и разработчики часто сталкиваются с техническими ограничениями платформы «1С:Предприятие».

Разберем, почему рекомендация запустить ЗУП 2.5 через веб-интерфейс невыполнима стандартными средствами, и рассмотрим проверенные способы безопасного подключения внешних пользователей к базе данных.

Почему ЗУП 2.5 нельзя опубликовать на веб-сервере напрямую

Конфигурация ЗУП 2.5 разработана на обычных формах (в режиме обычного приложения). Веб-клиент платформы «1С:Предприятие», сервис 1С:Линк и прямое подключение тонкого клиента через протоколы HTTP/HTTPS работают исключительно с управляемыми формами в режиме управляемого приложения.

Для того чтобы база открывалась в обычном браузере через стандартный веб-сервер 1С (Apache или IIS), интерфейс конфигурации должен быть полностью переработан на управляемые формы, что для ЗУП 2.5 нецелесообразно.

Способ 1. Организация защищенного канала VPN и терминальный доступ (RDP / RemoteApp)

Если прямой доступ к инфраструктуре извне закрыт политиками безопасности, классическим и наиболее надежным решением является двухконтурная изоляция.

1. Настройка корпоративного VPN: внешний сотрудник подключается к корпоративной сети через зашифрованный VPN-туннель (с проверкой сертификатов и двухфакторной аутентификацией).
2. Публикация через RemoteApp (RDS): вместо предоставления полного доступа к рабочему столу сервера настраивается публикация исполняемого файла 1cv8.exe как отдельного приложения (RemoteApp). В этом случае пользователь видит только окно программы 1С, а доступ к проводнику, дискам и настройкам сервера полностью блокируется политиками безопасности.

Способ 2. Использование шлюза удаленных рабочих столов (RD Gateway)

Если развертывание полноценного VPN-клиента на стороне сотрудника затруднено, проанализируем настройку шлюза удаленных рабочих столов (RD Gateway):

1. Подключение осуществляется по защищенному протоколу HTTPS (порт 443), что исключает необходимость проброса стандартного порта RDP (3389) во внешнюю сеть.
2. Трафик RDP инкапсулируется в SSL-соединение, проходя через демилитаризованную зону (DMZ).
3. Сотрудник запускает преднастроенный RDP-ярлык, авторизуется на шлюзе и сразу попадает в толстый клиент ЗУП 2.5 без прямого доступа к серверу СУБД.

Способ 3. Изолированная виртуальная машина (VDI)

Для минимизации рисков утечки данных создадим изолированную пользовательскую рабочую станцию:

1. Разворачивается отдельная виртуальная машина с установленной платформой «1С:Предприятие» в отдельном защищенном сетевом сегменте.
2. На машине настраивается ограниченная учетная запись Windows без прав локального администратора.
3. Сетевой экран ограничивает взаимодействие этой машины с инфраструктурой только портами сервера 1С / сервера СУБД.
4. Внешний сотрудник подключается исключительно к этой виртуальной машине.

Способ 4. Использование специализированных шлюзов доставки приложений

Существуют сторонние решения доставки приложений (например, TSplus, Citrix), позволяющие транслировать графическое окно толстого клиента Windows-приложения прямо в веб-браузер пользователя через технологию HTML5. В этом случае пользователь действительно работает через браузер, однако со стороны 1С по-прежнему запускается полноценный толстый клиент на обычных формах.

Способ 5. Переход на современную конфигурацию ЗУП 3.1

Если для компании критически важен доступ через веб-браузер, мобильные клиенты или публикация через сервис 1С:Линк без построения сложной терминальной инфраструктуры, оптимальным решением является плановый переход на конфигурацию «1С:Зарплата и управление персоналом 3.1». Данная редакция изначально спроектирована на управляемых формах и полноценно поддерживает режим веб-клиента.

Способ 6. Разработка точечных HTTP-сервисов или РИБ (для ограниченных задач)

Если внешнему сотруднику не нужен полный интерфейс ЗУП 2.5, а требуется лишь вносить отдельные документы (например, табель учета рабочего времени) или получать выгрузки, разберем альтернативные варианты интеграции:

1. Создание распределенной информационной базы (РИБ): у сотрудника разворачивается локальная база с настроенной фильтрацией данных, обмен с которой происходит по регламенту через файлы или защищенные каналы.
2. Публикация собственных HTTP-сервисов: в конфигурации создается HTTP-сервис, принимающий структурированные данные (JSON/XML) из простого веб-кабинета сотрудника, без предоставления ему прямого сеанса в 1С.