При работе в современных корпоративных средах часто возникает вопрос безопасности и прозрачности передачи данных в контролирующие органы. Особенно остро этот вопрос встает, когда одна база данных 1С используется для ведения учета сразу нескольких юридических лиц, или когда пользователи работают удаленно из разных офисов и филиалов через тонкий клиент или веб-клиент. Для разграничения прав пользователей в таких сценариях можно использовать расширение для ограничения доступа к формам регламентированной отчетности.
В этой статье мы подробно разберем, какой именно IP-адрес (клиентского компьютера или сервера приложений) фиксируется оператором отчетности (например, Калуга Астрал) и государственными органами (ФНС, СФР, Росстат) при отправке отчетов напрямую из программы 1С. Мы проанализируем разницу между файловым и клиент-серверным режимами работы, выясним особенности функционирования криптографии на локальных машинах и узнаем, как защитить бизнес от претензий налоговой инспекции по поводу совпадения IP-адресов.
Для того чтобы понять, с какого IP-адреса уходит пакет данных, нам необходимо проанализировать архитектуру сетевого взаимодействия платформы 1С с серверами оператора связи. Здесь критически важно разделять два режима работы информационной базы: файловый и клиент-серверный.
Рассмотрим подробнее каждый из вариантов:
Если ваша база развернута на сервере приложений 1С под управлением СУБД (например, PostgreSQL или MS SQL Server), а пользователи подключаются через тонкий клиент или веб-клиент (через веб-сервер Apache или IIS), то непосредственное сетевое соединение с серверами оператора отчетности устанавливает сервер приложений 1С.
Следовательно, на уровне сетевых пакетов (маршрутизации трафика) оператор связи и принимающие госорганы зафиксируют внешний IP-адрес роутера или шлюза, через который сервер 1С выходит в интернет. Локальные IP-адреса и внешние IP-адреса роутеров конечных пользователей на этом уровне абсолютно не видны.
При использовании файловой базы данных вся логика исполняется непосредственно на компьютере пользователя. В этом случае сетевое HTTP- или HTTPS-соединение с серверами оператора устанавливает сама платформа, запущенная на локальной рабочей станции. Таким образом, контролирующие органы увидят внешний IP-адрес точки доступа (роутера) конкретного пользователя.
Таким образом, если у вас клиент-серверная база, то для внешнего мира все отчеты всех ваших компаний будут уходить с одного и того же IP-адреса — адреса вашего сервера приложений 1С.
Казалось бы, в клиент-серверном режиме реальный IP-адрес пользователя замаскирован сервером 1С. Однако современный сервис 1С-Отчетность работает гораздо глубже, чем стандартные сетевые протоколы. Разработчики предусмотрели фиксацию реального рабочего места пользователя на прикладном уровне.
При отправке отчета платформа собирает метаданные о клиентской сессии. В пакет отправки принудительно внедряется специальный технический заголовок — X-Real-IP (или аналогичные заголовки, идентифицирующие конечную точку). В этот параметр записывается фактический IP-адрес компьютера, на котором бухгалтер нажал кнопку «Отправить».
Посмотрим, как мы можем самостоятельно проверить этот параметр прямо в интерфейсе программы 1С:Бухгалтерия:
X-Real-IP. Там будет отражен реальный IP-адрес клиентской машины.Пример структуры лога в технической информации может выглядеть следующим образом:
{
"TransactionID": "a1b2c3d4-e5f6-7a8b-9c0d-1e2f3a4b5c6d",
"Status": "Sent",
"Routing": {
"Sender_Gateway_IP": "195.200.10.5",
"X-Real-IP": "192.168.1.144"
}
}
В данном примере Sender_Gateway_IP указывает на внешний адрес сервера приложений 1С, а X-Real-IP — на локальный IP-адрес компьютера бухгалтера в локальной сети компании.
Многих системных администраторов интересует вопрос: если средства криптографической защиты информации (СКЗИ) установлены непосредственно на клиентских ПК, а не на сервере, как вообще происходит отправка в клиент-серверном режиме?
Давайте разберем этот процесс по шагам для обоих видов клиентов:
КриптоПро CSP или VipNet CSP.Apache или IIS) загружается на сервер 1С и далее транслируется адресату.Таким образом, криптографическая подпись всегда ставится локально на клиенте, что гарантирует безопасность закрытого ключа пользователя, в то время как сама сетевая пересылка пакета делегируется серверу 1С.
Современные алгоритмы налоговых органов (АСК НДС-2 и др.) в автоматическом режиме анализируют IP-адреса, с которых разные налогоплательщики отправляют свою отчетность. Совпадение IP-адресов у разных контрагентов или разных юридических лиц внутри холдинга может повлечь за собой серьезные налоговые риски:
Если налоговая инспекция прислала требование о представлении пояснений по факту совпадения IP-адресов, паниковать не стоит. Используя механизмы платформы 1С, можно легко доказать независимость отправки отчетности:
X-Real-IP доказывает, что физически отправка выполнялась разными сотрудниками с разных рабочих мест (компьютеров), расположенных, возможно, даже в разных офисах.Судебная практика показывает, что суды принимают подобные технические аргументы налогоплательщиков, если они подкреплены детальными логами из программных продуктов 1С и подтверждают реальное разделение рабочих мест пользователей. При возникновении подобных споров составить список авторов документов поможет внешний отчет для выявления ответственных за подготовку регламентированных отчетов.