← На главную

При организации работы удаленных офисов и складов с информационной базой 1С через интернет часто применяется подключение тонкого клиента через маршрутизатор с трансляцией сетевых адресов (NAT). На практике после смены сетевого оборудования или настройки правил Port Forwarding пользователи сталкиваются с ошибкой: «Не найдено ни одного сервера с размещенным сервисом ServiceName=ClusterConfigService». Разберем по шагам причину появления этой ошибки, способ правильной настройки NAT на сетевом оборудовании Mikrotik, а также рассмотрим более безопасные альтернативные методы подключения.

Анализ причины проблемы: сворачивание диапазона портов

Выясним, как работает кластер 1С:Предприятие при прямом бинарном подключении тонкого клиента через интернет:

1. Клиент сначала обращается к менеджеру кластера rmngr на главный порт (по умолчанию 1540 или 1541).
2. Менеджер кластера перенаправляет клиента на конкретный рабочий процесс rphost, который использует один из динамических портов из диапазона (по умолчанию 1560–1591).

Если на маршрутизаторе Mikrotik правило трансляции портов настроено некорректно — например, весь диапазон внешних портов 1560–1591 завернут на один единственный внутренний порт (скажем, 1560), — многопоточные сервисы кластера, такие как ClusterConfigService, становятся недоступными для удаленного клиента. В результате клиент 1С не может связаться с нужным рабочим процессом и выдает ошибку подключения.

Решение проблемы: настройка правильного проброса портов (1-в-1) на Mikrotik

Рассмотрим, как правильно настроить проброс сетевых портов в RouterOS для корректной работы тонкого клиента 1С. Все порты из диапазона должны пробрасываться strictly «один в один».

1. Проверим наличие и корректность правил dst-nat для менеджера кластера (порты 135, 1540, 1541) и диапазона рабочих процессов (1560–1591).
2. Убедимся, что при пробросе диапазона 1560–1591 в поле To Ports указан весь диапазон 1560–1591, а не одиночный порт 1560.
3. Если клиенты обращаются к внешнему IP-адресу роутера из внутренней сети, настроим механизм Hairpin NAT (NAT Loopback), чтобы пакеты не отбрасывались маршрутизатором.
4. Проверим файл hosts на клиентском компьютере (C:\Windows\System32\drivers\etc\hosts) и сопоставим имя сервера 1С с внешним IP-адресом шлюза, если кластер возвращает клиенту внутреннее сетевое имя сервера.

Опасность прямого открытия портов 1С в интернет

Проанализируем риски безопасности при прямом пробросе бинарных портов 1С наружу. Открытие портов 135 (RPC Endpoint Mapper), 475 (HASP License Manager), а также портов кластера 1540–1591 в глобальную сеть создает серьезные угрозы информационной безопасности компании:

1. Уязвимости RPC и SMB: Открытый 135 порт является частой целью вредоносных программ, шифровальщиков (вирусов-вымогателей) и сетевых сканеров.
2. Компрометация ключей лицензирования: Порт 475 позволяет несанкционированно подключаться к сетевым ключам защиты.
3. Перехват нешифрованного трафика: Бинарный протокол 1С без дополнительного шифрования может быть подвержен перехвату данных в публичных сетях.

Альтернативные и безопасные способы подключения тонкого клиента

Вместо открытого проброса портов через NAT рекомендуем использовать один из защищенных подходов:

1. Публикация базы через веб-сервер по протоколу HTTPS

Разберем вариант публикации информационной базы 1С на веб-сервере (IIS, Apache или Nginx):

1. База публикуется на локальном веб-сервере с помощью штатной утилиты 1С.
2. На маршрутизаторе открывается только один стандартный порт — 443 (HTTPS) или 80 (HTTP).
3. Тонкий клиент подключается к базе по веб-ссылке вида https://mycompany.com/base. Трафик защищен SSL/TLS-сертификатом, а сервисы кластера 1С полностью скрыты от внешнего интернета.

2. Настройка VPN-соединения (Site-to-Site или Client-to-Site)

Рассмотрим вариант с использованием виртуальной частной сети:

1. На маршрутизаторе Mikrotik поднимается VPN-сервер (WireGuard, L2TP/IPsec, SSTP или OpenVPN).
2. Удаленный офис или отдельный клиент подключается к корпоративной сети через защищенный шифрованный туннель.
3. Тонкий клиент 1С работает с сервером напрямую по внутренним IP-адресам сети, без необходимости настройки трансляции NAT для портов кластера.