Организация удаленного доступа к базе данных 1С — это стандартная задача для современного бизнеса, однако она сопряжена с серьезными рисками информационной безопасности. Простое «пробрасывание» порта на роутере до сервера с Internet Information Services (IIS) открывает вашу учетную систему для всего мира, делая её мишенью для брутфорс-атак (подбора паролей) и эксплуатации уязвимостей в самой платформе или веб-сервере. Проанализируем ситуацию, когда штатный роутер не обладает функционалом VPN-сервера, и разберем, как выстроить эшелонированную защиту своими силами.
Если ваш роутер (например, Eltex или бюджетные модели SOHO-сегмента) не поддерживает роль VPN-сервера, мы можем перенести эту задачу на сам сервер, где установлена 1С. Рассмотрим наиболее эффективный на текущий момент протокол — Wireguard. Это современное решение, которое работает быстрее классического OpenVPN и настраивается значительно проще.
Разберем алгоритм действий по шагам:
В такой схеме 1С будет доступна только внутри виртуального туннеля. При попытке зайти на IP-адрес сервера из обычного браузера без включенного VPN, злоумышленник ничего не увидит. Это отсекает 100% автоматизированных сканеров уязвимостей.
Рассмотрим ситуацию, когда установка VPN-клиента на каждое устройство пользователя невозможна или неудобна. В этом случае мы можем использовать Nginx как «щит» перед нашим IIS. Посмотрим, как это работает: Nginx принимает на себя все внешние запросы, проверяет их и только в случае успеха перенаправляет в IIS.
Наиболее надежный метод здесь — двусторонняя проверка SSL (Mutual TLS). Мы настраиваем сервер так, чтобы он требовал от браузера пользователя специальный файл-сертификат. Без этого сертификата сервер даже не покажет окно логина 1С.
Проанализируем пример конфигурации Nginx для реализации такой защиты:
server {
listen 443 ssl;
server_name 1c.yourdomain.ru;
ssl_certificate /etc/nginx/ssl/server.crt;
ssl_certificate_key /etc/nginx/ssl/server.key;
# Путь к корневому сертификату, которым подписаны клиентские сертификаты
ssl_client_certificate /etc/nginx/ssl/ca.crt;
# Обязательная проверка клиентского сертификата
ssl_verify_client on;
location / {
proxy_pass http://internal_iis_server:80;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
С точки зрения 1С, такая настройка не добавляет «тормозов», так как современные процессоры обрабатывают шифрование практически мгновенно. Пользователь один раз устанавливает сертификат в свой браузер и далее работает с 1С так же комфортно, как и раньше, но при этом уровень безопасности возрастает в разы.
Выясним причину, по которой этот метод становится всё более популярным среди администраторов 1С. Главное преимущество — вам вообще не нужно открывать порты на роутере и иметь белый IP-адрес. Это идеальное решение для ситуаций с «плохими» роутерами и провайдерами.
Разберем механизм работы:
cloudflared.1c.firm.ru.Дополнительно в панели управления Cloudflare можно настроить правила доступа: например, разрешить вход только пользователям из России или добавить Zero Trust авторизацию (перед открытием 1С нужно будет ввести код из письма или SMS).
Если нам нужно обеспечить работу ТонкийКлиент 1С без сложной настройки маршрутизации, стоит рассмотреть технологию Mesh-VPN. Посмотрим на Tailscale. Это программное обеспечение создает виртуальную локальную сеть поверх интернета.
В отличие от классического VPN, здесь не нужен выделенный сервер с белым IP. Все устройства (сервер и ноутбуки) просто «видят» друг друга по внутренним IP-адресам, как будто они соединены одним проводом в офисе. Это крайне удобно для небольших компаний, где нет штатного системного администратора, так как настройка сводится к установке приложения и авторизации через учетную запись.
Не забудем про официальное решение от разработчиков платформы. Если нет возможности администрировать Linux-серверы или настраивать сложные прокси, 1С:Линк позволяет «пробросить» базу в интернет за несколько кликов. Сервис создает зашифрованный туннель между вашим сервером и облаком 1С. Плюс в том, что это решение полностью поддерживается фирмой 1С и гарантирует совместимость с веб-клиентом.
Независимо от выбранного способа подключения, мы настоятельно рекомендуем выполнить следующие настройки внутри самой 1С и на сервере IIS:
1С:Предприятие 8.3 реализована поддержка OpenID Connect. Это позволяет настроить вход в базу с подтверждением через внешние системы авторизации.Подведем итог: наиболее сбалансированным по безопасности и производительности решением будет установка Wireguard на сервер (если вы готовы настраивать клиентов) или использование Nginx с клиентскими сертификатами (если нужен доступ через браузер без лишнего ПО).