← На главную

При настройке сервиса «1С-Отчетность» в крупных организациях с клиент-серверной архитектурой системные администраторы часто сталкиваются с вопросом: откуда именно уходят пакеты данных в интернет? Это критически важно для настройки межсетевых экранов (брандмауэров) и обеспечения безопасности корпоративной сети. Разберем детально, как распределяются задачи между рабочим местом пользователя (клиентом) и сервером приложений 1С.

Разделение этапов: Подписание и Транспорт

Для начала проанализируем общую схему взаимодействия. Процесс отправки любого отчета состоит из двух принципиально разных технологических этапов. Первый — это криптографическая обработка (наложение электронной подписи), второй — транспортный уровень (непосредственная передача зашифрованного пакета на сервер оператора связи).

Рассмотрим, как это работает в стандартной конфигурации:

1. Подписание (Клиент): Чаще всего криптопровайдер (например, VipNet CSP или CryptoPro CSP) и сам ключ (токен или закрытая часть сертификата) установлены локально на компьютере бухгалтера. В этом случае программный код 1С вызывает функции криптопровайдера именно на клиентской машине. Пакет отчета подписывается «здесь и сейчас».
2. Транспорт (Сервер): После того как файл отчета успешно подписан и зашифрован, он передается с клиентского приложения на сервер 1С:Предприятия. Далее именно серверная часть инициирует внешнее HTTPS-соединение с серверами оператора (например, «Калуга Астрал») для передачи данных.

Таким образом, мы видим гибридную схему: подпись ставит пользователь, а отправляет — сервер.

Настройка «Маршрутизация через сервер»

Выясним причину, по которой поведение программы может меняться. В типовых решениях (например, в «1С:Бухгалтерии 8») существует специальная опция, которая управляет этим процессом. Найти её можно в разделе настроек обмена с контролирующими органами.

Проанализируем работу флага «Отправлять отчетность через сервер 1С:Предприятия»:

• Если флаг включен: Реализуется описанная выше схема. Клиент подписывает, сервер отправляет. Это предпочтительный вариант, так как он позволяет централизованно управлять трафиком через одну точку (сервер), не открывая доступ в интернет для всех рабочих станций бухгалтерии.
• Если флаг выключен: И подписание, и отправка пакета в интернет происходят непосредственно с рабочего места пользователя. В этом случае компьютер каждого бухгалтера должен иметь прямой доступ к серверам оператора отчетности.

Требования к сетевым доступам для системного администратора

Посмотрим на ситуацию со стороны сетевой инфраструктуры. Если в вашей базе настроена отправка через сервер, необходимо обеспечить следующие доступы именно для сервера приложений 1С (процесс rphost.exe):

Основные параметры доступа:

• Протокол: TCP/HTTPS.
• Порты: 443 (стандартный), в редких случаях 80.
• Адреса (White-list): Необходимо разрешить доступ ко всем поддоменам оператора «Калуга Астрал», например, *.astralnalog.ru.

Важно помнить, что если на сервере установлен строгий брандмауэр, то отчетность не будет уходить (будет возникать ошибка соединения), даже если у пользователя на его ПК интернет работает отлично. Вся «сетевая работа» выполняется серверным процессом.

Где должен быть установлен криптопровайдер?

Разберем важный технический нюанс, касающийся места установки CryptoPro или VipNet. Выбор места установки зависит от того, кто инициирует процесс.

Сценарий 1: Ручная отправка. Бухгалтер нажимает кнопку «Отправить». Подписание происходит на клиенте. Значит, криптопровайдер и сертификат должны быть на клиентском ПК.

Сценарий 2: Регламентные задания. Если в 1С настроено автоматическое получение подтверждений или отправка отчетов по расписанию (фоновые задания), то программа будет пытаться выполнить криптографические операции без участия пользователя. В этом случае:

1. Криптопровайдер должен быть установлен на сервере 1С.
2. Сертификат электронной подписи должен быть установлен в хранилище сертификатов на сервере 1С (под учетной записью, от которой запущен сервис 1С).

Выясним, как проверить текущие настройки в коде или через интерфейс. В конфигурациях на базе БСП (Библиотеки стандартных подходов) за это отвечает модуль РегламентированнаяОтчетность. Можно проанализировать состояние настроек с помощью встроенного инструмента «Диагностика 1С-Отчетности».

Настройка прокси-сервера

Если сервер 1С выходит в интернет через прокси-сервер, настройки необходимо внести в двух местах:

1. В самой программе 1С (Параметры системы — Настройки прокси-сервера).
2. В файле конфигурации сервера 1С inetcfg.xml, если стандартные настройки через интерфейс не подхватываются серверными процессами.

Файл inetcfg.xml обычно располагается в папке conf установленной платформы 1С на сервере. Рассмотрим пример его содержания:

<proxy host="192.168.1.1" port="8080" user="proxy_user" password="password"/>

Инструменты диагностики

Чтобы окончательно убедиться, на каком этапе происходит сбой, рекомендуем воспользоваться инструментом «Диагностика 1С-Отчетности». Этот инструмент запускает серию тестов:

• Проверка связи с сервером оператора с текущего рабочего места (клиента).
• Проверка связи с сервером оператора со стороны сервера 1С:Предприятия.
• Проверка корректности установки сертификатов и работы криптопровайдера.

Если диагностика показывает, что «Клиент: ОК», а «Сервер: Ошибка», значит, проблема в сетевых экранах или настройках прокси-сервера на стороне сервера приложений 1С.

Резюмируем: по умолчанию в современных системах 1С подписание выполняется на клиенте (чтобы не хранить ключи на сервере), а транспорт — на сервере (для централизации трафика). Однако эти параметры гибко настраиваются в зависимости от требований безопасности вашей организации.