← На главную

Организация удаленной работы пользователей с базой 1С через интернет — типовая задача системного администрирования. Сложность выбора архитектуры часто обусловлена используемой конфигурацией: если современные решения на управляемых формах поддерживают работу через веб-сервер, то классические конфигурации (например, УПП 1.3 или КА 1.1) на обычных формах накладывают жесткие технические ограничения. Рассмотрим, как правильно спроектировать схему подключения, рассчитать пропускную способность канала связи и обеспечить безопасность сервера.

Анализ режимов подключения: терминал (RDP) против толстого клиента по сети

При выборе схемы удаленного доступа часто рассматривают два варианта: прямое подключение платформы 1С к серверу через туннель или работу в терминальной сессии. Разберем технические особенности каждого подхода:

1. Прямой клиент-серверный режим через VPN (толстый клиент): Для конфигураций на обычных формах данный вариант категорически не рекомендуется. В толстом клиенте существенная часть бизнес-логики и обработки данных выполняется на компьютере пользователя. Платформа пересылает большие объемы сырых данных между клиентом и сервером СУБД/сервером 1С. При наличии сетевых задержек (ping выше 15–20 мс) или кратковременных микроразрывов связь падает, проведение документов зависает на минуты, а в базе зависают транзакционные блокировки. Кроме того, обычные формы принципиально не поддерживают публикацию на веб-сервере (IIS или Apache).
2. Терминальный доступ (RDP / RemoteApp): Единственно надежный способ для толстого клиента. Вся обработка метаданных и обращение к СУБД происходят локально внутри серверной стойки по высокоскоростной шине или гигабитной локальной сети. На компьютер пользователя передается исключительно графический поток (видеокадры изменений интерфейса), а обратно на сервер уходят нажатия клавиш и координаты указателя мыши.

Требования к пропускной способности интернет-канала

Проанализируем сетевую нагрузку для терминального режима на примере 10 активных пользователей. В стандартном офисном сценарии (ввод документов, работа со справочниками, формирование простых отчетов) один терминальный сеанс RDP потребляет в среднем от 150 до 250 Кбит/с трафика.

Таким образом, для стабильной работы группы из 10 сотрудников минимально необходим стабильный симметричный канал с реальной скоростью от 2 до 3 Мбит/с. Однако критическое значение имеет не столько ширина полосы, сколько стабильность соединения: минимальный джиттер (колебания задержки) и отсутствие потерь пакетов.

Настройка защищенного терминального доступа и шифрования SSL

Подключение по стандартному протоколу RDP без дополнительной защиты несет в себе риски атак перебора паролей (brute-force). Разберем по шагам, как настроить безопасную среду с использованием встроенных механизмов Windows Server и публикации приложений RemoteApp:

1. Включение проверки подлинности на уровне сети (NLA) и SSL: Перейдем в консоль управления: Пуск — Администрирование — Службы удаленных рабочих столов — Конфигурация узла сеансов удаленных рабочих столов. Откроем свойства подключения RDP-Tcp. На вкладке «Общие» в поле «Уровень безопасности» выберем SSL (TLS 1.0) или согласуемый режим с обязательным включением NLA. Это предотвратит установку сеанса до успешной аутентификации пользователя.
2. Публикация 1С через RemoteApp: Для удобства пользователей публикуем исполняемый файл 1cv8.exe через диспетчер RemoteApp. Это позволит запускать информационную базу в отдельном окне поверх локального рабочего стола без отображения полного серверного интерфейса.
3. Использование шлюза удаленных рабочих столов (RD Gateway): Чтобы не публиковать RDP-порт сервера в интернет, развернем роль шлюза RD Gateway. Она инкапсулирует RDP-трафик в стандартную HTTPS-сессию через порт 443, защищенную доверенным SSL-сертификатом.

Организация сетевого уровня: VPN против прямого белого IP

Оставлять сервер терминалов с открытым в интернет стандартным портом 3389 (даже со сменой номера порта) крайне не рекомендуется. Рассмотрим надежные архитектурные решения:

1. Маршрутизатор с VPN-сервером: Оптимальный подход — поднять VPN-туннель (WireGuard, OpenVPN или IPsec) на аппаратном шлюзе перед сервером. Пользователи подключаются к корпоративной сети через зашифрованный туннель, после чего запускают RDP-клиент по внутреннему IP-адресу. Это полностью скрывает терминальный сервер от сканеров внешнего интернета.
2. Mesh-сети без выделенного белого IP: Если на стороне сервера нет возможности получить статический публичный адрес, вместо устаревших программ со сбоящими драйверами виртуальных адаптеров (таких как Hamachi) следует использовать современные отказоустойчивые P2P-сети (Tailscale, ZeroTier). Они стабильно строят зашифрованные туннели между рабочими станциями через NAT.
3. Защита от подбора паролей: Если терминальный сервер доступен снаружи напрямую, обязательно включим политики блокировки учетных записей при неверных попытках входа в локальных политиках безопасности (secpol.msc), а также установим специализированную службу мониторинга журнала аудита (например, IPBan), которая автоматически добавляет IP-адреса злоумышленников в правила брандмауэра Windows.

Устранение типовых проблем при работе 1С в терминале

В процессе эксплуатации терминального сервера часто возникают специфические сложности, которые важно предусмотреть заранее:

1. Перенаправление принтеров: Базовый механизм Easy Print часто искажает печатные формы 1С, зависает при печати этикеток со штрихкодами или приводит к аварийному завершению диспетчера печати (spoolsv.exe). Рекомендуется установить на сервер изолированные драйверы печати версии 4 (Type 4) тех же моделей, что используются на клиентских ПК, либо настроить отправку документов через виртуальный PDF-принтер с последующей локальной печатью.
2. Потеря фокуса в RemoteApp: В режиме бесшовных окон модальные окна 1С (окна выбора, подтверждения проведения, предупреждения) могут скрываться под главным окном программы. Если отключение визуальных эффектов оформления не помогает стабилизировать фокус окон, наилучшим решением станет перевод пользователей с RemoteApp на запуск полноценного сеанса удаленного рабочего стола.
3. Ошибка сетевой маршрутизации кластера 1С: При попытках прямого подключения клиент-сервера через интернет часто возникает ошибка невозможности подключения к рабочему процессу. Причина в том, что менеджер кластера (порты 1540, 1541) возвращает клиенту внутреннее NetBIOS-имя сервера, которое не резолвится внешним DNS. Это еще раз подтверждает необходимость изоляции трафика внутри локальной сети терминального узла.