При работе с базами 1С, опубликованными на веб-сервере Internet Information Services (IIS), администраторы часто сталкиваются с проблемой: сервисы, требующие доступа в интернет (Монитор ИТС, ЕГАИС, ВЕТИС, ЭДО), отказываются работать на тонких клиентах, хотя локально на сервере всё функционирует исправно. Типичное сообщение об ошибке указывает на невозможность обращения по адресу https://portal-monitor.1c.ru/rest/public/ping и предлагает стандартные причины: отсутствие подключения, проблемы у провайдера или блокировку брандмауэром. Однако в случае с IIS причина чаще всего кроется во внутренних настройках прав доступа процесса веб-сервера.
В этой статье мы подробно разберем, почему возникает данная ситуация и как правильно настроить сервер, чтобы обеспечить стабильную работу всех интернет-сервисов 1С.
Разберем механику работы файловой информационной базы при публикации на веб-сервере. Когда пользователь подключается к базе через веб-сервер, все операции выполняются от имени процесса w3wp.exe (рабочий процесс IIS). Если в обычной файловой базе обращение к интернет-ресурсам идет от имени текущего пользователя Windows, то в случае с публикацией на IIS инициатором соединения выступает учетная запись, под которой запущен пул приложений.
По умолчанию в современных версиях Windows (начиная с Windows Server 2012 и Windows 10) используется учетная запись ApplicationPoolIdentity. Это динамическая учетная запись с минимальными правами, которая часто не имеет доступа к:
Проанализируем ситуацию: если при запуске базы напрямую (в файловом режиме) всё работает, значит, сетевой экран и провайдер не блокируют доступ. Проблема локализована именно в контексте исполнения веб-сервера.
Это самый быстрый и действенный способ, который помогает в большинстве случаев. Он заключается в повышении прав процесса веб-сервера до системного уровня.
Рассмотрим пошагово процесс настройки в консоли IIS:
inetmgr в строке выполнения).DefaultAppPool, если вы не создавали отдельный).Важное примечание: После внесения изменений необходимо перезапустить пул приложений. Выделите пул в списке и нажмите "Перезапуск". Также рекомендуется временно завершить сеансы всех пользователей в 1С. После этого процесс w3wp.exe получит полный доступ к ресурсам компьютера и интернету, что позволит монитору ИТС успешно выполнить проверку.
Хотя LocalSystem решает проблему, с точки зрения информационной безопасности предоставление веб-серверу неограниченных прав может быть нежелательным. Разберем альтернативный, более защищенный вариант.
Проанализируем шаги по настройке ограниченной учетной записи:
USR_1C_WEB) с надежным паролем.IIS_IUSRS и Пользователи.True.Установка Load User Profile = True позволяет системе создать структуру папок профиля и подгрузить ветку реестра HKEY_CURRENT_USER. Это необходимо для корректной работы защищенных SSL-соединений, так как многие криптографические функции 1С и Windows требуют доступа к хранилищу личных сертификатов и временным папкам профиля.
Если ваша организация использует прокси-сервер для выхода в интернет, имейте в виду, что настройки прокси в браузере Internet Explorer или в самой 1С могут не подхватываться веб-сервером. IIS использует системный прокси (WinHTTP).
Выясним, как проверить и настроить эти параметры. Запустим командную строку (CMD) от имени администратора и выполним следующие действия:
netsh winhttp show proxy
netsh winhttp import proxy source=ie
netsh winhttp set proxy proxy-server="http=192.168.1.1:8080" bypass-list="*.local;127.0.0.1"
Это обеспечит процессу w3wp.exe правильный маршрут для выхода во внешнюю сеть.
Рассмотрим еще одну неочевидную причину: нехватку прав на папку временных файлов. При установке защищенного соединения 1С может записывать временные данные (например, цепочки сертификатов) в системную папку C:\Windows\Temp.
Проанализируем права доступа к этой папке. Учетная запись, под которой работает пул приложений (будь то LocalSystem или специально созданный пользователь), должна иметь права "Изменение" на папку C:\Windows\Temp. Также убедитесь, что у этой учетной записи есть полные права на папку, в которой физически расположена информационная база 1С (файлы 1Cv8.1CD).
Портал 1С ИТС и другие государственные сервисы постоянно повышают требования к безопасности. На устаревших операционных системах (Windows Server 2008/2012) по умолчанию может быть отключен протокол TLS 1.2. Если веб-сервер пытается инициировать соединение по устаревшему протоколу SSL 3.0 или TLS 1.0, удаленный сервер монитора ИТС сбросит соединение.
Посмотрим, как убедиться в поддержке современных протоколов. Рекомендуется использовать утилиту IIS Crypto или проверить реестр вручную. Убедитесь, что в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client параметр Enabled установлен в значение 1. Без поддержки TLS 1.2 монитор ИТС работать не будет.
Подведем итоги. В подавляющем большинстве случаев ошибка монитора 1С ИТС при публикации на IIS лечится переключением пула приложений на LocalSystem. Однако для обеспечения долгосрочной стабильности и безопасности рекомендуем использовать выделенную учетную запись с включенным параметром Load User Profile и настроенным системным прокси через netsh winhttp. Выполнив эти шаги, вы обеспечите бесперебойную работу всех облачных сервисов 1С для ваших пользователей.