Работа с 1С через браузер — это удобно и современно, однако выставление базы напрямую в «большой и страшный» интернет сопряжено с серьезными рисками. В этой статье мы проанализируем ситуацию, разберем основные угрозы и рассмотрим несколько проверенных способов защиты вашей информационной системы, предложенных опытными специалистами.
Наиболее надежным и рекомендуемым способом является организация доступа через защищенный канал VPN (Virtual Private Network). В этом случае веб-сервер 1С вообще не «светится» в интернете. Пользователь сначала устанавливает соединение с VPN-сервером, и только после этого получает доступ к внутреннему адресу веб-клиента.
Разберем, почему это эффективно:
Для реализации можно использовать OpenVPN, WireGuard или встроенные средства маршрутизаторов (MikroTik, Cisco). Как справедливо заметили участники обсуждения, современные дистрибутивы VPN ставятся за пару минут, и даже «тупые пользователи» справляются с нажатием одной кнопки «Подключить».
Если VPN по каким-то причинам не подходит, рассмотрим вариант с правильной сетевой архитектурой. Нельзя публиковать 1С на том же сервере, где хранятся данные. Правильно будет вынести веб-сервер (IIS или Apache) в отдельный сегмент сети — DMZ.
Проанализируем шаги настройки:
Это позволит изолировать основную локальную сеть предприятия в случае компрометации веб-сервера.
Обычного логина и пароля 1С в интернете недостаточно. Рассмотрим подробнее использование SSL-сертификатов. Вы можете настроить веб-сервер так, чтобы он запрашивал у клиента персональный сертификат.
Смарт-аутентификация работает аналогично банковским системам: пользователь вставляет токен или карту, вводит пин-код, и только тогда браузер пропускает его к окну логина 1С. Это отсекает 100% ботов и случайных прохожих.
Для повышения уровня безопасности на уровне веб-сервера можно включить Basic Authentication (дополнительное окошко браузера перед входом в 1С), что создаст еще один барьер для автоматизированных атак.
Если ваши сотрудники работают из дома или из известных офисов, мы рекомендуем использовать «белые списки». Настройте фаервол так, чтобы он принимал соединения только с определенных IP-диапазонов.
Если белый список невозможен, используйте геоблокировку (GeoIP). Заблокируйте доступ из стран, где у вас нет сотрудников (например, Китай, США, страны Европы). Это значительно снизит количество попыток брутфорса.
Один из самых продвинутых способов защиты данных — это использование распределенных баз (УРБД). Выясним причину, почему это эффективно:
Вы создаете «буферную» базу с ограниченным набором данных, в которой у пользователей нет прав на удаление или изменение критически важной информации. Именно эту базу вы публикуете в интернет. Обмен между основной («боевой») базой и интернет-узлом происходит в фоновом режиме. Даже если злоумышленник получит доступ к веб-базе, он не увидит всей структуры предприятия и не сможет уничтожить основные данные.
Чтобы лицензии 1С не были «съедены» ботами, пытающимися подобрать пароль, необходимо настроить автоматическую блокировку. Рассмотрим алгоритм защиты:
Администратор во что-то менее очевидное.Важно помнить, что при публикации веб-клиента лицензии могут расходоваться очень быстро. Выясним, как этого избежать:
Настройте максимальное количество соединений на уровне веб-сервера. Если выставить базу напрямую, боты могут занять все доступные клиентские лицензии за считанные минуты, и легальные пользователи не смогут войти в систему. Используйте параметры публикации в файле default.vrd для управления пулом соединений.
// Пример структуры файла default.vrd с ограничением соединений
<point xmlns="http://v8.1c.ru/8.2/virtual-resource-system"
base="/MyBase"
ib="Srvr=MainServer;Ref=MyBase;">
<standardOdata enable="false"/>
<pool capacity="10" maxAge="60"/>
</point>
Подведем итог. Для обеспечения максимальной безопасности мы рекомендуем комбинированный подход:
Помните, что безопасность — это не результат, а непрерывный процесс. Регулярно обновляйте платформу 1С и операционную систему сервера, чтобы закрывать обнаруженные уязвимости.