← На главную

Организация стабильного и безопасного подключения филиала или удаленного офиса к центральной базе 1С:Бухгалтерия — одна из ключевых задач системного администрирования. При прямом доступе по незащищенному интернет-каналу возникают риски перехвата данных и атак на терминальные службы. Разберем по шагам, как грамотно построить архитектуру подключения, какие программные и аппаратные инструменты выбрать и как избежать типичных проблем со связью и печатью.

Архитектура решения: аппаратные и программные туннели

Проанализируем основные подходы к построению туннеля типа «сеть-сеть» (Site-to-Site) или «клиент-сервер» для работы в терминальном режиме.

1. Аппаратные маршрутизаторы на границах сетей. Наиболее надежный и стабильный вариант — установка специализированных маршрутизаторов в центральном офисе и удаленном подразделении (например, MikroTik, D-Link DFL, Cisco). Туннель поднимается непосредственно между роутерами, что снимает необходимость устанавливать VPN-клиенты на рабочие компьютеры пользователей. Сети объединяются прозрачно, а при падении интернет-канала маршрутизаторы автоматически восстанавливают соединение без вмешательства администратора.
2. Программные шлюзы на базе Linux/FreeBSD с OpenVPN или WireGuard. Если выделенный бюджет ограничен, можно развернуть шлюзы на свободных компьютерах. OpenVPN обеспечивает высокий уровень шифрования, стабильно проходит через NAT-firewall и легко восстанавливает сессии. Современные протоколы, такие как WireGuard, обеспечивают минимальные задержки и низкие накладные расходы на шифрование, что критично для интерактивных сессий 1С.
3. Встроенные службы Windows Server (RRAS). Если периметр уже контролируется сервером Windows, туннель организуется через роль «Маршрутизация и удаленный доступ» (Routing and Remote Access Service). Данный вариант не требует стороннего ПО, однако уступает аппаратным шлюзам в гибкости тонкой фильтрации пакетов.

Требования к сетевой инфраструктуре и адресации

Рассмотрим подробнее ключевые требования к интернет-подключению и сетевой безопасности:

1. Наличие статического публичного IP-адреса. Для стабильного установления VPN-соединения на стороне центрального офиса настоятельно рекомендуется иметь статический «белый» IP-адрес. Если провайдер предоставляет только динамический публичный адрес, выходом служит настройка службы Dynamic DNS (DDNS) непосредственно на роутере.
2. Безопасность публикации RDP. Ни в коем случае нельзя открывать стандартный порт 3389 напрямую в интернет через трансляцию адресов (PAT/NAT). Это моментально делает сервер мишенью для брутфорс-атак и эксплуатации уязвимостей протокола RDP. Подключение должно осуществляться строго внутри зашифрованного VPN-туннеля либо через шлюз удаленных рабочих столов (RD Gateway) по защищенному порту 443.
3. Включение NLA. На сервере терминалов обязательно активируем проверку подлинности на уровне сети (Network Level Authentication), чтобы предотвратить несанкционированное выделение ресурсов сервера до ввода корректных учетных данных.

Устранение сетевых зависаний: настройка MTU и таймаутов

Выясним причину, по которой пользователи удаленного офиса часто жалуются на черный экран при входе в терминал или «залипание» тяжелых отчетов 1С. При инкапсуляции RDP-пакетов в VPN-туннель к каждому пакету добавляются заголовки шифрования. Если суммарный объем превышает стандартный размер MTU (1500 байт), пакет фрагментируется или отбрасывается маршрутизатором провайдера.

1. Корректировка MTU и MSS. На интерфейсах туннеля уменьшаем размер MTU до 1360–1400 байт. На граничных маршрутизаторах активируем механизм MSS Clamping (корректировка максимального размера сегмента TCP), чтобы избежать фрагментации трафика.
2. Пакеты Keep-Alive. Для защиты от разрывов сессий при кратковременных просадках канала активируем отправку keep-alive запросов в конфигурации VPN-сервера и в групповых политиках терминального сервера.

Особенности работы платформы 1С в терминальном режиме

Разберем специфику функционирования 1С:Предприятия при подключении через удаленный рабочий стол:

1. Разделение ролей серверов. Категорически не рекомендуется совмещать функции терминального сервера 1С и пограничного интернет-шлюза (VPN-сервера) на одной физической или виртуальной машине. Пограничный сервер должен выполнять только функции фаервола и маршрутизации.
2. Управление лицензиями 1С. В терминальной среде однопользовательские программные пин-коды, привязанные к клиентским ПК, не работают. На терминальный сервер должна быть активирована многопользовательская лицензия, которая выделяет слот на каждую открытую сессию Windows. При использовании аппаратных ключей защиты требуется сетевой ключ HASP Net (красного цвета), так как локальный однопользовательский ключ (синего цвета) блокирует запуск 1С в RDP.
3. Контроль «зависших» сеансов. При внезапном обрыве связи у пользователя сессия переходит в статус «Отключена», но фоновые процессы 1С продолжают занимать лицензии и удерживать транзакционные блокировки в базе данных. В групповых политиках (GPO) сервера необходимо настроить ограничение: автоматическое завершение отключенных сеансов через 15–30 минут простоя.
4. Переход на RemoteApp. Для оптимизации потребления полосы пропускания вместо трансляции полного рабочего стола Windows разверните режим RemoteApp. В этом случае пользователю передается только окно программы 1С:Бухгалтерия, что снижает нагрузку на сеть и сервер.

Решение проблем с печатью документов из 1С

Сбои службы диспетчера печати (spoolsv.exe) — частая проблема при пробросе локальных принтеров удаленного офиса в сеанс RDP. Посмотрим, как настроить печать максимально стабильно:

1. Использование Easy Print. Откажитесь от установки «родных» драйверов принтеров удаленного офиса на терминальный сервер. Используйте технологию Remote Desktop Easy Print. Сервер транслирует документ в универсальный формат XPS и передает его клиенту, где печать выполняется локальным драйвером. Это гарантирует защиту службы spoolsv.exe от критических сбоев.
2. Изоляция драйверов. Если без установки специфического драйвера на сервер не обойтись, в оснастке управления печатью Windows Server переведите проблемный драйвер в режим Изолированно (Isolated). При ошибке драйвер будет падать в изолированном процессе PrintIsolationHost.exe, не нарушая общую работу терминальной печати других пользователей.

Альтернативный вариант: публикация базы через веб-сервер

Проанализируем альтернативу терминальному режиму. Если удаленному офису требуется исключительно работа с 1С:Бухгалтерией без доступа к другим файловым ресурсам центрального офиса, можно опубликовать информационную базу на веб-сервере (Apache или IIS) по защищенному протоколу HTTPS (порт 443).

Сотрудники удаленного офиса работают через Тонкий клиент 1С или обычный браузер. Это полностью исключает затраты на терминальные клиентские лицензии (RDS CAL), кардинально снижает требования к скорости интернет-канала и позволяет обойтись без сложной настройки VPN-соединений.