Как исправить ошибку «Удаленный узел не прошел проверку» при подключении интернет-поддержки в 1С?

← На главную

При обновлении конфигураций (например, 1С:Зарплата и управление персоналом 3 или 1С:Бухгалтерия предприятия), автоматической загрузке классификаторов или подключении сервиса 1С:Интернет-поддержка пользователей может возникнуть критическая ошибка:

Ошибка работы с Интернет: Удаленный узел не прошел проверку

Чаще всего ситуация проявляется после перехода на платформу 1С:Предприятие 8.3.10 и выше. При этом ссылка сервиса может успешно открываться в обычном браузере на рабочем месте, но внутри программы соединение аварийно завершается. Разберем детально, почему это происходит и как устранить неполадку на уровне операционной системы, сети и серверной части.

Причины возникновения ошибки

Проанализируем архитектурные изменения в платформе 1С, которые приводят к возникновению данной ошибки:

Переход на системные механизмы проверки сертификатов. До версии 8.3.10 платформа 1С для установки защищенных SSL/TLS соединений использовала встроенную библиотеку с собственным файлом корневых сертификатов. Начиная с версии 8.3.10, валидация цепочек сертификатов в среде Windows была передана на уровень операционной системы (системное хранилище CryptoAPI и Schannel).
Блокировка протоколов проверки отзыва сертификатов (CRL и OCSP). При установке защищенного соединения служба безопасности Windows выполняет проверку актуальности сертификата удаленного сервера через точки распространения списков отзыва (CRL) или онлайн-протокол OCSP. Если на сетевом шлюзе, файрволе или прокси-сервере закрыт доступ к серверам удостоверяющих центров (например, адресам центров сертификации DigiCert, Sectigo, Symantec и др.), проверка завершается неудачей по таймауту.
Контекст учетной записи службы 1С:Предприятия. В клиент-серверном варианте базы данных сетевые запросы при вызове серверного кода выполняются процессом rphost от имени специальной системной учетной записи (например, USR1CV8). У этой учетной записи могут отсутствовать настройки прокси-сервера или права на выход во внешнюю сеть, даже если у текущего пользователя в браузере все открывается корректно.
Устаревшие алгоритмы шифрования и отсутствие TLS 1.2. На старых операционных системах (Windows Server 2003, 2008 R2, Windows 7) могут отсутствовать обновления для работы с современными 256-битными сертификатами или по умолчанию отключен протокол TLS 1.2.

Шаг 1. Настройка сетевых доступов к серверам проверки сертификатов

Если сервер 1С находится в изолированном сетевом контуре или доступ в интернет жестко ограничен правилами межсетевого экрана, необходимо разрешить обращение к точкам проверки сертификатов. Выясним, как предоставить доступ:

Проанализируем сетевой экран или журнал блокировок фаервола в момент попытки подключения интернет-поддержки в 1С.
Разрешим исходящий HTTP/HTTPS трафик для сервера 1С не только к непосредственным серверам обновлений фирмы «1С», но и к узлам проверки списков отзыва сертификатов (CRL/OCSP) удостоверяющих центров.
В правилах фаервола добавим разрешение на обращение к доменам центров сертификации, в частности *.symcb.com, *.digicert.com, *.sectigo.com и сопутствующим точкам распространения списков отзыва.

Шаг 2. Обновление корневых сертификатов в хранилище Windows

Поскольку проверка теперь выполняется средствами ОС, необходимо актуализировать сертификаты в общесистемном хранилище. Разберем по шагам правильную установку:

Запустим оснастку управления сертификатами от имени администратора. Для этого откроем окно «Выполнить» (Win + R), введем команду mmc, выберем меню Файл -> Добавить или удалить оснастку, укажем Сертификаты и обязательно выберем пункт Учетной записи компьютера (а не текущего пользователя).
Перейдем в ветку Доверенные корневые центры сертификации -> Сертификаты.
Убедимся, что автоматическое обновление корневых сертификатов не заблокировано групповыми политиками (параметр Turn off Automatic Root Certificates Update должен быть отключен).
При необходимости вручную импортируем актуальные корневые и промежуточные сертификаты в хранилище локального компьютера.

Шаг 3. Настройка протокола TLS 1.2 и установка системных обновлений

Для устаревших операционных систем семейства Windows Server потребуется включить современные протоколы шифрования:

Установим все накопительные обновления безопасности для соответствующей ОС. Например, для корректной поддержки алгоритмов SHA-256 на устаревших серверах требовалось системное обновление KB968730, а для поддержки TLS 1.2 на Windows 7 / Server 2008 R2 — обновление KB3140245.
Проверим наличие и параметры ветки реестра для активации TLS 1.2 на уровне клиента Schannel:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
Параметр DisabledByDefault должен иметь значение 0, а параметр Enabled — значение 1.
После внесения изменений в реестр выполним перезагрузку сервера.

Шаг 4. Настройка прокси-сервера через WinHTTP для службы 1С

Если выход в интернет осуществляется через корпоративный прокси-сервер, настройки из браузера пользователя не будут действовать для службы USR1CV8. Настроим глобальный прокси для системных служб Windows:

Откроем командную строку от имени Администратора.
Для прямой установки параметров прокси выполним команду:
netsh winhttp set proxy <адрес_прокси>:<порт>
Или импортируем уже настроенные параметры из браузера:
netsh winhttp import proxy source=ie
Перезапустим службу сервера 1С:Предприятия 1C:Enterprise 8.3 Server Agent.

Шаг 5. Особенности для серверов на базе Linux

Если сервер 1С функционирует под управлением ОС Linux, проверка сертификатов выполняется с использованием OpenSSL. В этом случае выполним следующие действия:

Обновим пакет системных сертификатов через пакетный менеджер (командами update-ca-certificates для Debian/Ubuntu или update-ca-trust для CentOS/RHEL/AlmaLinux).
При использовании специфических закрытых сертификатов скопируем файл цепочки сертификатов в формат PEM и поместим его в рабочий каталог платформы 1С: /opt/1cv8/x86_64/<номер_версии>/bin/cacert.pem.

Программные способы решения для собственных доработок

В типовых конфигурациях механизмы подсистемы интернет-поддержки жестко требуют проверки узла, однако при разработке собственных интеграций в расширениях или внешних обработках разработчик может управлять проверкой сертификатов.

Посмотрим на пример инициализации защищенного соединения, если требуется явно использовать системные сертификаты Windows:


СертификатыОС = Новый СертификатыУдостоверяющихЦентровWindows();
ЗащищенноеСоединение = Новый ЗащищенноеСоединениеOpenSSL(Неопределено, СертификатыОС);

HTTPСоединение = Новый HTTPСоединение(
    "api.service.ru",
    443,
    ,
    ,
    ,
    30,
    ЗащищенноеСоединение
);

Если же необходимо использовать собственный файл доверенных центров, воспользуемся явным указанием пути:


СертификатыФайл = Новый СертификатыУдостоверяющихЦентровФайл("C:\Certificates\ca-bundle.crt");
ЗащищенноеСоединение = Новый ЗащищенноеСоединениеOpenSSL(Неопределено, СертификатыФайл);

HTTPСоединение = Новый HTTPСоединение(
    "api.service.ru",
    443,
    ,
    ,
    ,
    30,
    ЗащищенноеСоединение
);

Таким образом, комплексная проверка сетевых правил межсетевого экрана (доступ к CRL/OCSP), актуализация хранилища сертификатов операционной системы на уровне локального компьютера и корректная настройка параметров службы сервера 1С позволяют полностью устранить ошибку валидации удаленного узла.