Как настроить VPN-сервер для удаленной работы с 1С и решить проблемы с сетевым доступом?

← На главную

Организация безопасного удаленного доступа сотрудников к базе 1С — типовая задача системного администрирования. При росте количества удаленных рабочих мест бесплатные сторонние решения (такие как LogMeIn Hamachi) перестают справляться из-за жестких лимитов на количество узлов в одной сети. Разберем по шагам, как настроить собственное входящее VPN-подключение, корректно сконфигурировать сетевое оборудование, устранить типичные сетевые сбои и выбрать оптимальную архитектуру для одновременной работы пользователей с 1С.

Шаг 1. Анализ сетевой инфраструктуры и проброс портов

Рассмотрим типовую схему подключения: Внешний интернет → ADSL-модем / Оптический терминал → Роутер → Компьютер/Сервер с базой 1С. Чтобы внешний трафик корректно доходил до целевого компьютера, выясним роль каждого устройства в цепочке:

Модем в режиме моста (Bridge Mode): В этом режиме устройство прозрачно транслирует весь входящий и исходящий трафик на роутер без фильтрации и преобразования адресов (NAT). Настраивать проброс портов на модеме в режиме моста не требуется.
Роутер в режиме маршрутизатора: Роутер принимает внешний IP-адрес (или обновляет динамический адрес через службу DDNS). На нем необходимо настроить проброс входящих портов (Port Forwarding / Виртуальные серверы) на локальный статический IP-адрес компьютера, где создается входящее подключение:
Для протокола PPTP необходимо перенаправить порт TCP 1723. Также убедимся, что в параметрах безопасности роутера включена опция PPTP Passthrough (пропуск служебного IP-протокола GRE / IP Protocol 47).
Брандмауэр операционной системы и сторонние антивирусы: Встроенный брандмауэр Windows или сторонний фаервол должен содержать разрешающее правило для входящих подключений службы маршрутизации и удаленного доступа (порт 1723).

Шаг 2. Настройка входящего VPN-подключения на компьютере

Разберем процесс создания штатного сервера входящих подключений средствами операционной системы Windows:

Откроем Панель управления → Центр управления сетями и общим доступом → Изменение параметров адаптера.
Нажмем клавишу Alt для вызова верхнего меню, выберем пункт Файл → Новое входящее подключение.
Укажем локальных пользователей, которым разрешен удаленный доступ, либо создадим отдельную учетную запись со сложным паролем.
Установим флажок Через Интернет и перейдем к настройке протоколов.
В свойствах протокола TCP/IPv4 вручную зададим диапазон локальных IP-адресов, которые будут выдаваться подключающимся клиентам (например, из непересекающегося диапазона подсети офиса), и завершим мастер настройки кнопкой Разрешить доступ.

Шаг 3. Решение проблемы с пропаданием интернета на стороне клиента

Частая проблема: после успешного подключения к корпоративному VPN на компьютере удаленного сотрудника перестает работать локальный интернет (не открываются сайты, отключаются мессенджеры). Проанализируем причину: по умолчанию система перенаправляет весь пользовательский трафик в удаленный туннель, пытаясь использовать шлюз удаленной сети.

Чтобы трафик локального интернета шел через домашний роутер сотрудника, а через VPN передавались только запросы к 1С и офисным ресурсам, выполним следующую настройку на стороне клиента:

Откроем свойства созданного VPN-подключения на клиентском компьютере.
Перейдем на вкладку Сеть, выделим пункт Протокол Интернета версии 4 (TCP/IPv4) и нажмем кнопку Свойства.
В открывшемся окне нажмем кнопку Дополнительно.
Снимем флажок Использовать основной шлюз в удаленной сети и нажмем ОК во всех диалоговых окнах.

Шаг 4. Автоматизация создания подключения на удаленных ПК

Чтобы быстро развернуть настройки VPN-подключения на клиентских компьютерах без ручного ввода параметров, применим командный сценарий PowerShell:


Add-VpnConnection -Name "Office-VPN" `
                  -ServerAddress "mycompany.ddns.net" `
                  -TunnelType "Pptp" `
                  -EncryptionLevel "Maximum" `
                  -SplitTunneling $True

Параметр -SplitTunneling $True автоматически отключает использование удаленного шлюза, сохраняя стабильный доступ в интернет на стороне пользователя.

Шаг 5. Ограничения клиентских ОС и правильная архитектура для 1С

При организации многопользовательской работы важно учитывать технические и лицензионные ограничения:

Лимит одновременных VPN и RDP сессий в клиентских Windows: В клиентских версиях Windows встроенный сервер входящих подключений рассчитан только на одно активное VPN-соединение. Кроме того, служба удаленных рабочих столов на уровне библиотеки termsrv.dll разрешает только один сеанс работы (локальный или удаленный). Для полноценного многопользовательского терминала требуется Windows Server с лицензиями RDS CAL.
Опасность работы файловой 1С по сети через VPN: Подключение к общей папке с файловой базой (1Cv8.1CD) через сетевой диск поверх VPN категорически не рекомендуется. Любая кратковременная потеря пакетов в интернет-канале приводит к повреждению таблиц базы данных и нарушению целостности транзакций.

Альтернативные и безопасные способы доступа к 1С

Рассмотрим современные методы организации работы удаленных пользователей без использования классического PPTP VPN:

Публикация базы 1С на веб-сервере (IIS / Apache): Начиная с платформы 8.2, 1С поддерживает работу через веб-клиент и Тонкий клиент по протоколу HTTPS. Вся вычислительная нагрузка выполняется на стороне сервера, клиенту передаются только экранные формы, что исключает риск повреждения информационной базы при сбоях связи.
Сервис «1С:Линк»: Официальный сервис, создающий защищенный туннель к базе данных без необходимости настраивать DDNS, статические IP-адреса и открывать входящие порты на роутере.
Современные Mesh-сети (Tailscale, ZeroTier, WireGuard): Программные платформы, позволяющие объединить компьютеры сотрудников в защищенную виртуальную сеть без уязвимостей устаревшего протокола PPTP и без необходимости ручной настройки правил переадресации портов.