Как настроить работу 1С с Интернетом в кластере серверов, если доступ есть не на всех узлах

В современных реалиях работа системы 1С:Предприятие неразрывно связана с использованием внешних интернет-сервисов. Это и загрузка обновлений конфигурации, и получение актуальных курсов валют, и работа с классификаторами. Но наиболее критичным является взаимодействие с государственными информационными системами, такими как СЭДО СФР (бывший ФСС). В крупных организациях часто используются кластеры серверов, состоящие из нескольких рабочих узлов. Рассмотрим ситуацию, когда один из серверов в кластере имеет доступ в интернет, а другой — нет, что приводит к периодическим ошибкам обмена.

Выясним причину: почему возникают ошибки обмена

Проанализируем архитектуру работы фоновых и регламентных заданий. Большинство процессов взаимодействия с внешним миром в современных конфигурациях (ЗУП 3.1, БП 3.0, ERP) происходят на стороне сервера, а не клиентского приложения. Это означает, что когда бухгалтер нажимает кнопку "Отправить сведения" или "Загрузить сообщения", система создает фоновое задание. Диспетчер кластера 1С назначает выполнение этого задания на один из доступных рабочих серверов. Если задание попадает на сервер без выхода в глобальную сеть, мы получаем ошибку соединения.

Разберем типичные сценарии сбоев:

1. Обновление конфигурации: Система не может проверить наличие обновлений в режиме "Предприятие" или скачать патчи (исправления).
2. СЭДО (СФР): При попытке отправить сведения о застрахованных лицах или получить электронные листки нетрудоспособности (ЭЛН) вылетает ошибка связи с сервером.
3. Классификаторы: Не обновляются адреса (ФИАС/ГАР) или банковские реквизиты.

Решение 1: Использование требований назначения функциональности (для лицензий КОРП)

Если у вас используется КОРП-лицензия, мы можем жестко ограничить список серверов, на которых разрешено выполнение заданий, требующих интернет-соединения. Рассмотрим, как это сделать программно-аппаратными средствами самой платформы.

Разберем алгоритм настройки через консоль администрирования кластеров:

1. Откроем дерево кластера и перейдем в раздел "Рабочие серверы".
2. Для каждого сервера определим "Требования назначения функциональности".
3. Создадим правило, которое запрещает выполнение определенных сервисов на сервере без интернета или, наоборот, назначает их только на "интернет-активный" сервер.

Для управления конкретными объектами или фоновыми заданиями можно использовать тип требования Сервис или Объект конфигурации. Это позволит гарантировать, что критически важный обмен всегда будет запускаться на узле с корректными сетевыми настройками.

Решение 2: Определение списка необходимых адресов и настройка доступа

Если административная политика требует точечного открытия доступа, нам необходимо выяснить, к каким именно ресурсам обращается 1С. Рассмотрим отличный способ получить этот список прямо из программы без анализа кода конфигурации.

Пройдем по шагам в интерфейсе 1С:

1. Перейдем в раздел Администрирование.
2. Выберем Общие настройки.
3. Найдем пункт Параметры серверной информационной базы.
4. В разделе Использование профилей безопасности сформируем отчет "Требуемые разрешения".

Этот отчет проанализирует метаданные и покажет все внешние ресурсы (URL и IP), к которым конфигурация может обращаться. На основе этой информации системный администратор сможет настроить правила Firewall на сервере, где интернет изначально отсутствовал.

Решение 3: Настройка прокси-сервера через inetcfg.xml

Посмотрим на ситуацию, когда прямой доступ в интернет запрещен, но в организации есть Proxy-сервер. Настройка прокси в интерфейсе 1С не всегда корректно подхватывается системными фоновыми процессами. В этом случае мы можем принудительно задать параметры в файле конфигурации.

На каждом рабочем сервере найдем файл inetcfg.xml (обычно он располагается в каталоге conf установленной версии платформы). Настроим его следующим образом:

<Proxy
  use="true"
  server="192.168.1.100"
  port="8080"
  user="domain\user"
  password="password"
  bypassOnLocal="true"
/>

Важно помнить: после изменения этого файла на рабочем сервере, необходимо перезапустить службу 1C:Enterprise 8.3 Server Agent, чтобы настройки вступили в силу.

Особенности работы СЭДО СФР на нескольких серверах

Проанализируем тонкий момент: для работы с СЭДО СФР недостаточно просто "дать интернет". Поскольку используется шифрование ГОСТ, на каждом сервере кластера должен быть установлен криптопровайдер (например, КриптоПро CSP). Если фоновое задание запустится на сервере с интернетом, но без установленного сертификата организации или корневых сертификатов СФР, обмен завершится ошибкой.

Проверим следующие пункты на всех серверах кластера:

• Установлено ПО КриптоПро CSP.
• Сертификат организации установлен в хранилище "Личное" пользователя, от имени которого работает служба 1С (обычно это usr1cv8).
• Настроены доверенные узлы для обмена. Современные адреса СФР для СЭДО часто располагаются на доменах *.sfr.gov.ru (например, sedo.fss.ru или docs.sfr.gov.ru).

Рекомендации для стабильной работы без КОРП-лицензий

Если бюджет не позволяет приобрести КОРП-лицензию для управления требованиями назначения функциональности, а интернет есть только на одном канале, мы рекомендуем использовать сетевой шлюз (Gateway). Настройте сервер без интернета так, чтобы его основным шлюзом (или маршрутом по умолчанию) был соседний сервер или сетевое оборудование, обеспечивающее прозрачную маршрутизацию трафика. Это самый надежный способ, так как платформа 1С будет считать среду исполнения однородной, и вам не придется бороться с "зависаниями" регламентных заданий из-за тайм-аутов при попытке подключения.

Помните, что использование профилей безопасности для детального контроля сетевых соединений также требует лицензии уровня КОРП. В версии ПРОФ доступ к ресурсам регулируется общими настройками операционной системы и сетевого окружения.