← На главную

При организации удаленной работы пользователей часто возникает необходимость подключить тонкий клиент 1С к информационной базе, расположенной в локальной сети компании, используя внешний статический IP-адрес. Разберем, почему произвольный проброс одного порта (например, 777 или 1541) не приносит результата, проанализируем внутренние механизмы работы кластера 1С и изучим пошаговый порядок настройки сетевого оборудования и клиентов.

Причина возникновения проблемы при подключении

Рассмотрим, что происходит при попытке установить прямое соединение тонкого клиента с кластером серверов 1С через интернет. При первичном обращении тонкий клиент связывается с менеджером кластера rmngr по стандартному порту (TCP 1541). Однако менеджер кластера не выполняет трансляцию всего пользовательского трафика через себя — он перенаправляет клиентское подключение на конкретный рабочий процесс rphost.

В момент перенаправления менеджер кластера передает клиенту служебные данные: сетевое имя (Host Name) сервера в локальной сети и номер порта из диапазона рабочих процессов. В результате возникает две проблемы:

1. Проблема разрешения имен (DNS): Удаленный клиент получает локальное имя сервера (например, server-1c), которое не резолвится через публичные DNS-серверы в интернете.
2. Блокировка портов: Клиент пытается подключиться к динамическому порту рабочего процесса (из диапазона 1560–1591), который заблокирован на маршрутизаторе или сетевом экране.

Шаг 1. Настройка проброса портов на роутере и в брандмауэре

Для обеспечения корректной работы бинарного протокола 1С необходимо открыть и пробросить на внутренний IP-адрес сервера 1С следующие порты:

1. TCP 1540 — Главный менеджер кластера серверов 1С (при необходимости административного доступа).
2. TCP 1541 — Главный порт менеджера кластера, к которому клиент обращается изначально.
3. TCP 1560–1591 — Диапазон портов рабочих процессов rphost. Все эти порты должны быть проброшены один к одному без изменения номеров.

Разберем настройку сетевого экрана на самом сервере приложений 1С. В Брандмауэре Windows необходимо создать входящие правила для протокола TCP, разрешающие подключения к указанным портам (1540, 1541, 1560-1591) для всех используемых сетевых профилей.

Шаг 2. Настройка разрешения имени сервера на удаленном компьютере

Поскольку кластер 1С возвращает клиенту внутреннее имя сервера, проанализируем способ, позволяющий удаленному компьютеру сопоставить это имя с внешним статическим IP-адресом организации.

Если используется одиночное постоянное подключение, выполним сопоставление через локальный файл hosts на удаленном рабочем месте:

1. Откроем текстовый редактор от имени Администратора.
2. Откроем файл по пути: C:\Windows\System32\drivers\etc\hosts.
3. Добавим в конец файла строку вида: 198.51.100.25 server-1c где 198.51.100.25 — внешний статический IP-адрес вашего роутера, а server-1c — точное локальное имя сервера приложений 1С.
4. Сохраним изменения в файле.

Шаг 3. Добавление базы в тонком клиенте

Рассмотрим порядок заполнения параметров подключения в тонком клиенте 1С. В окне добавления информационной базы выберем тип подключения "Вариант работы: Сервер предприятия 1С:Предприятия".

В поле "Кластер серверов" необходимо указать имя сервера (которое мы прописали в файле hosts) или внешне доступный IP-адрес без указания порта:

server-1c или 198.51.100.25

В поле "Имя информационной базы" укажем точное имя базы данных на сервере 1С.

Ограничения и риски прямого подключения через интернет

Проанализируем технические риски и недостатки прямого проброса портов 1С в публичную сеть:

1. Угрозы безопасности: Порты кластера 1С становятся доступны для сканирования и атак из внешней сети. Трафик между клиентом и сервером по умолчанию передается без полноценного стойкого шифрования.
2. Чувствительность к качеству связи: Бинарный протокол 1С критичен к сетевым задержкам (ping) и потерям пакетов. При нестабильном интернет-соединении пользователи будут сталкиваться с ошибками вида "Сетевое соединение с сервером прервано".

Альтернативные и безопасные способы подключения

Выясним, какие архитектурные решения позволяют избежать прямого открытия портов кластера 1С наружу:

1. Организация VPN-канала (OpenVPN, WireGuard, SSTP): Удаленный компьютер устанавливает защищенное туннелированное соединение с корпоративной сетью. В этом случае пользователь работает с базой так, будто находится внутри локальной сети, без публикации портов 1С в интернет.
2. Публикация базы на веб-сервере (IIS или Apache): База публикуется на веб-сервере с использованием защищенного протокола HTTPS (порт 443). Тонкий клиент подключается к веб-серверу через один порт 443. Если отдельные внешние обработки содержат устаревший код (синхронные вызовы или обращения к клиентскому окружению), их следует адаптировать под стандарты управляемого приложения.
3. Подключение через RemoteApp (RDS): Использование служб терминалов Windows. Клиент запускает сеанс 1С на самом сервере, а по сети передается только графический интерфейс. Это полностью устраняет проблемы с несовместимостью обработок и нестабильностью интернет-канала.