При работе с 1С в файловом режиме или через толстый клиент пользователи редко сталкиваются с проблемами подключения к интернет-поддержке. Однако стоит опубликовать базу на веб-сервере (например, IIS) и подключиться через тонкий клиент, как система начинает выдавать ошибку: «Интернет-поддержка не подключена». При этом диагностика может показывать отсутствие связи, хотя интернет на сервере исправен.
В этой статье мы подробно разберем, почему возникает такая ситуация, проанализируем механизмы взаимодействия 1С с веб-сервером и приведем пошаговую инструкцию по решению проблемы.
Для начала выясним причину, по которой поведение программы меняется при переходе на веб-сервер. Когда вы запускаете 1С в обычном режиме, запросы к серверам ИТС (например, login.1c.eu или portal.1c.ru) отправляются непосредственно с вашего рабочего компьютера (клиента). В этом случае используются ваши системные настройки прокси-сервера и ваши сертификаты.
Когда же база опубликована на IIS, ситуация кардинально меняется. Тонкий клиент общается с веб-сервером, а уже веб-сервер от имени своего рабочего процесса выполняет запросы к внешним ресурсам. Таким образом, 1С «лезет» в интернет не с вашего компьютера, а с сервера, на котором установлен IIS. Следовательно, все настройки доступа, прав и безопасности должны быть выполнены именно на стороне сервера.
Проанализируем настройки веб-сервера. По умолчанию пулы приложений IIS работают от имени встроенной учетной записи ApplicationPoolIdentity. У этой учетной записи крайне ограниченные права в системе, что часто становится блокирующим фактором для криптографических операций и сетевых соединений.
Рассмотрим, как изменить владельца процесса для обеспечения корректной работы:
LocalSystem. Если после этого ИТС заработает, значит, проблема была в недостатке прав.Важный момент: Использование LocalSystem небезопасно с точки зрения ИТ-гигиены. В идеале следует создать отдельного пользователя (например, USR1CV8), наделить его правами на папки 1С и указать его в качестве идентификатора пула.
Выясним еще одну неочевидную причину сбоев. В тех же дополнительных настройках пула приложений IIS есть параметр Load User Profile (Загрузка профиля пользователя). Для корректной работы интернет-сервисов 1С его необходимо установить в значение True.
Почему это важно? Когда профиль пользователя загружен, операционная система создает временные папки для хранения криптографических ключей и кэша сертификатов. Если профиль не загружен, 1С может столкнуться с ошибкой при попытке установить защищенное SSL-соединение, так как ей буквально «некуда положить» временные данные сессии.
Часто бывает так, что сервис «1С:Контрагент» работает исправно, а монитор ИТС пишет об ошибке. Рассмотрим ситуацию подробнее: разные сервисы могут использовать разные цепочки сертификатов. Если сервер не доверяет корневому сертификату удостоверяющего центра 1С, соединение будет разорвано.
Проанализируем файл cacert.pem. Платформа 1С:Предприятие использует собственный список доверенных сертификатов, который хранится в папке установленной платформы. Если версия платформы устарела, сертификаты в этом файле также могут быть неактуальными.
Путь к файлу обычно выглядит так:
C:\Program Files\1cv8\номер_версии\bin\conf\cacert.pem
Для решения проблемы можно попробовать заменить этот файл на актуальный (взятый из последней версии платформы) или добавить в него корневые сертификаты вручную. Также убедитесь, что у пользователя, от имени которого запущен IIS, есть права на чтение этой папки.
Если в вашей организации доступ в интернет осуществляется через прокси-сервер, настройки, заданные в интерфейсе «1С:Предприятие», могут не подхватываться веб-сервером. Разберем, как принудительно указать параметры прокси для серверной части.
В программной папке 1С (в подпапке conf) необходимо создать или отредактировать файл inetcfg.xml. Посмотрим на пример структуры этого файла:
<Config xmlns="http://v8.1c.ru/8.1/data/internetaccess">
<proxy
use="true"
server="192.168.1.1"
port="8080"
user="proxy_user"
password="proxy_password"
bypassOnLocal="true">
</proxy>
</Config>
После внесения изменений в конфигурационные файлы не забудьте перезапустить службу IIS и пул приложений, чтобы настройки вступили в силу.
Посмотрим на проблему с точки зрения файловой системы. В процессе работы интернет-поддержка может создавать временные файлы. Нам необходимо убедиться, что группа пользователей IIS_IUSRS (или конкретный пользователь пула) имеет полные права на папку временных файлов системы (обычно C:\Windows\Temp) и на папку с данными приложения 1С на сервере.
Проанализировав все возможные причины, составим итоговый алгоритм действий для системного администратора:
bin/conf установленной платформы 1С.cacert.pem. При необходимости обновить его.inetcfg.xml на стороне сервера.w3wp.exe по портам 80 и 443.Следование этим шагам позволяет решить проблему в большинстве случаев, обеспечивая стабильную работу сервисов ИТС, «1С:Контрагент» и «1С-Отчетность» при работе через тонкий клиент по протоколам HTTP/HTTPS.