← На главную

При администрировании клиент-серверных информационных баз часто возникает задача максимально изолировать сервер «1С:Предприятия» и СУБД от внешней сети. Однако при попытке обновить конфигурацию через пользовательский режим или воспользоваться встроенными сервисами (например, сервисом проверки контрагентов или загрузкой классификаторов) система требует сетевого подключения. Разберем по шагам, почему возникает эта проблема, можно ли использовать сервисы без прямого доступа сервера в интернет и как правильно настроить сетевую безопасность.

Архитектурные особенности: выясним причину сетевых запросов

Проанализируем ситуацию и архитектуру клиент-серверного взаимодействия в платформе «1С:Предприятие 8.3». Когда пользователь запускает тонкий клиент на своем локальном компьютере и инициирует загрузку данных из сервисов 1С или интерактивное обновление программы, сетевые запросы отправляются не с рабочего места пользователя, а с сервера приложений 1С.

Все обращения к внешним веб-сервисам, REST API и серверам обновлений выполняются серверными процессами rphost в контексте серверных или фоновых заданий. Поэтому, если на самом сервере 1С полностью заблокирован сетевой шлюз или отсутствуют маршруты во внешнюю сеть, тонкий клиент пользователя не сможет перенаправить интернет-трафик через себя: вызов завершится ошибкой таймаута или недоступности хоста.

Таким образом, полноценно использовать онлайн-сервисы без возможности сервера отправлять исходящие запросы во внешнюю сеть технически невозможно. Однако прямой неограниченный доступ в интернет серверу не требуется — безопасность можно обеспечить несколькими надежными способами.

Способ 1. Ограничение трафика на межсетевом экране (Firewall)

Рассмотрим подробнее базовый вариант настройки сетевой фильтрации. Для обеспечения высокого уровня безопасности сервера СУБД и 1С достаточно применить правило с сохранением состояния соединений (Stateful Firewall):

1. Блокировка всех входящих подключений из внешней сети: полностью закрываем доступ к портам кластера 1С (диапазоны 1540-1541, 1560-1591) и СУБД со стороны интернета. Подключение к серверу разрешается только из локальной доверенной подсети.
2. Разрешение только необходимых исходящих соединений: серверу разрешаются исходящие HTTPS-подключения по порту 443 TCP только к доверенным адресам и доменным именам сервисов фирмы «1С».
3. Блокировка всех остальных исходящих пакетов: сервер не сможет обращаться к произвольным ресурсам глобальной сети, что исключает нецелевой трафик и минимизирует риски.

Способ 2. Использование промежуточного Forward Proxy

Если прямой шлюз в интернет на сервере 1С должен отсутствовать полностью, оптимальным решением является перенаправление трафика через корпоративный прокси-сервер. В этом случае сервер 1С взаимодействует только с локальным прокси, а тот производит контролируемую авторизацию и фильтрацию запросов.

Настроить параметры прокси-сервера можно двумя способами:

1. В пользовательском режиме конфигурации: в разделе администрирования базы переходим в пункт «Параметры доступа в Интернет» (или «Параметры прокси-сервера» в составе БСП) и указываем IP-адрес, порт и учетную запись для подключения к прокси для сервера 1С.
2. На уровне конфигурационных файлов платформы: в каталоге настроек платформы conf создаем или редактируем файл inetcfg.xml, где явно задаются параметры прокси для сетевых соединений рабочих процессов:
   Скопировать код

   
   <config xmlns="http://v8.1c.ru/ssl/config">
       <proxy auto="false"
              enable="true"
              server="192.168.1.254"
              port="8080" />
   </config>
   

Способ 3. Использование профилей безопасности кластера 1С

Для тонкого разграничения прав серверных процессов в платформе предусмотрен механизм профилей безопасности (Security Profiles). С их помощью системный администратор может на уровне кластера серверов 1С определить, к каким конкретно внешним сетевым ресурсам (IP-адресам, доменам и портам) серверным сеансам конкретной информационной базы разрешено устанавливать HTTP- и HTTPS-соединения. Все неразрешенные попытки обращения во внешнюю сеть будут автоматически блокироваться на уровне платформы.

Офлайн-режим: как выполнять обновления и загружать данные без интернета

Если политика безопасности предприятия требует абсолютной изоляции сервера («воздушный зазор») без каких-либо исключений на сетевом шлюзе, работу с системой можно выстроить в полностью автономном режиме:

1. Обновление конфигурации через «Конфигуратор»: администратор скачивает файл обновления (дистрибутив .cfu или готовую конфигурацию .cf) на отдельном рабочем компьютере, после чего выполняет обновление базы стандартным способом через меню «Конфигурация — Поддержка — Обновить конфигурацию». Для этого интернет на сервере не требуется.
2. Ручная загрузка классификаторов: адресные классификаторы (ФИАС/ГАР), банковские классификаторы и курсы валют предварительно выгружаются в виде файлов и загружаются в программу из локальной или сетевой папки.
3. Отключение онлайн-сервисов: сервисы, требующие непрерывного двустороннего онлайн-обмена (такие как автоматическое заполнение реквизитов контрагента по ИНН через 1С:Контрагент), в полностью изолированном контуре отключаются, так как их работа без сетевого доступа серверной части невозможна.

Таким образом, наиболее сбалансированным подходом является не полное отключение сети, а ограничение исходящего трафика сервера 1С через локальный прокси-сервер или белые списки межсетевого экрана.