Как настроить 1С-Отчетность для работы через прокси-сервер, если прямой доступ запрещен политикой безопасности

← На главную

При внедрении сервиса 1С-Отчетность в корпоративных сетях системные администраторы часто сталкиваются с жестким требованием вендора: «обеспечить прямой доступ в обход прокси-сервера». Однако политика безопасности многих компаний (особенно если база 1С находится в облаке или на закрытом сервере) категорически запрещает прямой выход в интернет. Разберем подробно, почему возникает это требование, какие технические сложности стоят за этим и как настроить систему, не нарушая сетевых регламентов.

Анализируем причину ограничений: почему прокси мешает сервису

Прежде чем переходить к настройкам, давайте выясним, почему разработчики из «Калуга Астрал» (технологического партнера 1С) настаивают на прямом доступе. Рассмотрим основные факторы:

Идентификация клиента серверами ФНС. Для налоговой службы критически важно знать реальный IP-адрес отправителя. Если отчетность от десяти разных юридических лиц приходит с одного и того же IP-адреса прокси-сервера, автоматизированные системы ФНС могут пометить такие декларации как подозрительные (признак «массового адреса» или работы через недобросовестных посредников).
Проблемы авторизации. Компоненты 1С и криптографические библиотеки часто некорректно работают с прокси-серверами, требующими сложной аутентификации (например, NTLM или Kerberos). В результате соединение разрывается еще на этапе установления сессии.
Работа криптопровайдеров. Программы вроде CryptoPro CSP или VipNet CSP должны самостоятельно выходить в сеть для проверки списков отзыва сертификатов (CRL). Эти модули часто не «видят» настройки прокси, заданные в пользовательском интерфейсе 1С или Windows.

Шаг 1. Настройка исключений и портов на прокси-сервере

Проанализируем сетевые правила. Если ИТ-отдел не разрешает полный доступ, мы должны договориться об открытии конкретных «коридоров». Стандартных портов 80 (HTTP) и 443 (HTTPS) недостаточно. Для полноценной работы 1С-Отчетности необходимо разрешить трафик по следующим портам:

10101, 10102, 10103 — основные порты обмена данными с серверами спецоператора.
11443, 11080 — дополнительные порты для зашифрованных соединений.

Рассмотрим настройку на уровне Transparent Proxy (прозрачного прокси). Это наиболее изящное решение: системный администратор настраивает шлюз так, чтобы трафик, идущий на определенные IP-адреса (узлы «Калуга Астрал» и ФНС), перенаправлялся напрямую, минуя процедуру ввода логина/пароля на прокси. Это удовлетворяет требованиям безопасности и обеспечивает работоспособность сервиса.

Шаг 2. Использование файла конфигурации inetcfg.xml

Иногда настройки прокси в самой 1С (через «Параметры системы») игнорируются низкоуровневыми запросами сервиса отчетности. Разберем, как принудительно задать параметры через файл inetcfg.xml. Этот файл должен располагаться в каталоге conf установленной платформы (например, C:\Program Files\1cv8\conf\).

Создадим или отредактируем файл, добавив в него следующую структуру:


<config xmlns="http://v8.1c.ru/8.1/data/internetaccess">
    <proxy agent="1C"
           host="192.168.0.1"
           port="8080"
           user="proxy_user"
           password="proxy_password"
           bypassOnLocal="true">
        <bypassAddr>*.nalog.ru</bypassAddr>
        <bypassAddr>*.astralnalog.ru</bypassAddr>
    </proxy>
</config>

Этот метод заставляет платформу использовать указанный прокси даже в тех случаях, когда визуальные настройки программы дают сбой.

Шаг 3. Решение проблемы с криптопровайдерами (CRL)

Посмотрим на ситуацию со стороны криптографии. При подписании отчета CryptoPro пытается проверить актуальность сертификата. Если доступ к серверам издателя (УЦ) закрыт прокси-сервером, возникнет ошибка «Цепочка сертификатов не проверена». Выясним, как это решить:

Необходимо разрешить доступ к адресам, указанным в расширениях ваших сертификатов (поле «Точки распространения списков отзыва»).
Если прокси требует авторизации, попробуйте настроить службу CryptoPro для работы от имени конкретного пользователя, имеющего права доступа в интернет, либо добавьте адреса УЦ в исключения прокси (белый список без авторизации).

Шаг 4. Использование VPN как альтернативного маршрута

Проанализируем совет из практики: если ваша база 1С обслуживает несколько юридических лиц и вы хотите избежать санкций ФНС за «массовый IP», использование одного общего прокси — плохая идея. Рассмотрим вариант с VPN. Создание отдельного туннеля для трафика 1С позволяет:

Присвоить каждой организации (или группе компаний) свой «чистый» белый IP-адрес.
Полностью обойти корпоративный прокси, не меняя глобальных настроек безопасности всей сети.
Обеспечить шифрование канала на уровне сетевого уровня (L3), что зачастую более надежно, чем проксирование прикладного уровня (L7).

Диагностика и проверка связи

После внесения правок обязательно воспользуемся инструментом «Диагностика 1С-Отчетности». Она встроена в программу (раздел «Отчеты» — «1С-Отчетность» — «Настройки» — «Диагностика»). Проанализируем результаты теста:

Если ошибка на этапе DNS — прокси-сервер блокирует разрешение имен серверов отчетности.
Если ошибка на этапе TCP-соединения — закрыты вышеупомянутые порты (10101-10103).
Если ошибка на этапе SSL/TLS — прокси-сервер пытается выполнить подмену сертификата (SSL-инспекция), что недопустимо для защищенного документооборота с государственными органами.

Важный момент: при использовании SSL-инспекции на прокси-сервере необходимо добавить все адреса сервиса в исключения (Whitelisting), так как компоненты криптографии 1С не доверяют сертификатам, выпущенным вашим корпоративным шлюзом.

Итоги

Мы выяснили, что работа 1С-Отчетности через прокси возможна, но требует тонкой настройки. Наилучшим вариантом является сочетание Transparent Proxy для обхода авторизации на специфических портах и правильной конфигурации inetcfg.xml. Если же требования ФНС к уникальности IP-адресов являются приоритетными, рекомендуем рассмотреть внедрение выделенных VPN-каналов для узлов отправки отчетности.