Настройка сетевых портов для сервера 1С:Предприятие 8.3

Корректная настройка сетевого взаимодействия является фундаментом стабильной работы информационной системы на базе платформы 1С:Предприятие. При развертывании кластера серверов в корпоративной сети или выделенном дата-центре администратор сталкивается с необходимостью точечной конфигурации правил межсетевого экрана. Ошибки в определении диапазонов портов часто приводят к тому, что клиенты не могут подключиться к базе данных, агенты регистрации не видят сервер, или происходит разрыв сессий во время работы.

В данной статье мы детально разберем архитектуру сетевого обмена версии 8.3 и определим, какие именно порты TCP и UDP необходимо открыть на уровне операционной системы и аппаратных фаерволов. Мы рассмотрим как стандартные сценарии работы с СУБД Microsoft SQL Server или PostgreSQL, так и специфические настройки для кластера серверов 1С.

Понимание логики работы менеджера кластера и рабочих процессов позволит вам избежать распространенных ошибок безопасности, таких как открытие всех портов подряд. Грамотная настройка правил фильтрации трафика обеспечит не только доступность сервиса, но и защиту от несанкционированного доступа извне.

Архитектура сетевого взаимодействия 1С:Предприятие

Сетевая модель платформы 1С:Предприятие 8.3 построена по клиент-серверной архитектуре, где ключевым элементом выступает кластер серверов. Взаимодействие между тонким клиентом, менеджером кластера и рабочими процессами происходит через специализированные порты, которые могут быть как статическими, так и динамическими. Понимание этого механизма критически важно для настройки правил firewalld или Windows Firewall.

Основной точкой входа для всех подключений является менеджер кластера. Именно он принимает первичный запрос от пользователя, аутентифицирует его и перенаправляет сессию на конкретный рабочий процесс (rphost), который будет выполнять код конфигурации. Если порт менеджера кластера закрыт, пользователь даже не увидит список доступных баз данных в окне запуска.

Рабочие процессы, в свою очередь, запускаются на динамических портах из заданного диапазона. Это означает, что каждый новый пользователь или фоновое задание может занять новый порт внутри выделенного пула. Брандмауэр должен разрешать трафик не на один конкретный номер, а на весь выделенный диапазон, иначе работа системы будет нестабильной.

Отдельного внимания заслуживает взаимодействие с системой управления базами данных (СУБД). Сервер 1С выступает в роли клиента по отношению к SQL-серверу, и для этого канала также требуется беспрепятственный обмен данными. Блокировка этого соединения приведет к ошибкам выполнения запросов и невозможности сохранения документов.

⚠️ Внимание: Динамическое выделение портов рабочими процессами по умолчанию может создавать проблемы в строго сегментированных сетях. Рекомендуется явно задать фиксированный диапазон портов в настройках кластера для упрощения администрирования.

Порты кластера серверов 1С:Предприятие

Центральным элементом конфигурации является порт менеджера кластера. По умолчанию в дистрибутивах платформы 1С версии 8.3 для этого зарезервирован порт 1541. Через этот порт проходит весь управляющий трафик: получение списка информационных баз, проверка лицензий и первичная установка соединения. Без открытия этого порта в режиме TCP работа сервера невозможна.

Помимо управляющего порта, необходимо настроить диапазон портов для рабочих процессов. В свойствах кластера серверов в консоли администрирования указывается начальный и конечный порт диапазона. Обычно администраторы выбирают диапазон из 1000 портов, например, от 1560 до 2560. Этот интервал должен быть полностью открыт для входящих соединений от клиентов и внутреннего обмена между узлами кластера.

Существует также порт реестра кластера, который используется для внутреннего служебного обмена между менеджерами кластера в распределенных конфигурациях. Однако в большинстве типовых однопотоковых или простых многопоточных установок основной упор делается на порты менеджера и рабочих процессов. Убедитесь, что правила фаервола применяются ко всем сетевым интерфейсам, через которые идет трафик.

При настройке правил в Windows Firewall или iptables важно различать протоколы. Управляющий трафик и данные сессий передаются исключительно по протоколу TCP. Открытие этих же портов по UDP не требуется для функционирования основного сервера 1С, что позволяет сузить вектор потенциальных атак.

Настройка портов для СУБД (SQL Server и PostgreSQL)

Сервер приложений 1С не хранит данные самостоятельно, он пересылает запросы к СУБД. Поэтому настройка сетевого экрана должна учитывать и требования базы данных. Для наиболее распространенной Microsoft SQL Server ситуация имеет свои нюансы в зависимости от версии и типа установки экземпляра.

Если используется именованный экземпляр SQL Server, он по умолчанию работает через динамические порты, а обнаружение происходит через службу браузера SQL на порту 1434 (UDP). Однако для производственных сред 1С настоятельно рекомендуется перевести экземпляр на статический порт, обычно это 1433 для TCP. Это упрощает настройку правил безопасности и повышает стабильность соединения.

В случае использования PostgreSQL, который набирает популярность в связке с 1С, стандартным портом для входящих соединений является 5432. Этот порт также работает по протоколу TCP. Важно убедиться, что в файле конфигурации pg_hba.conf разрешены подключения с IP-адреса сервера 1С, а фаервол не блокирует этот маршрут.

Ниже приведена сводная таблица основных портов, необходимых для функционирования связки "Клиент — Сервер 1С — СУБД":

Компонент	Протокол	Порт (по умолчанию)	Назначение
Менеджер кластера 1С	TCP	1541	Регистрация и управление сессиями
Рабочие процессы 1С	TCP	1560-2560	Выполнение кода и обработка данных
MS SQL Server (статический)	TCP	1433	Обмен данными с базой
MS SQL Browser (динамический)	UDP	1434	Поиск именованных экземпляров
PostgreSQL	TCP	5432	Обмен данными с базой

⚠️ Внимание: Конфигурация портов СУБД может отличаться в зависимости от версии и настроек инсталляции. Всегда проверяйте актуальный порт в свойствах экземпляра базы данных или в логах службы СУБД.

Конфигурация брандмауэра в Windows Server

В операционных системах семейства Windows Server управление сетевыми правилами осуществляется через оснастку "Монитор брандмауэра Windows в режиме повышенной безопасности". Для создания нового правила необходимо выбрать тип правила "Для порта" и указать протокол TCP. В поле "Определенные локальные порты" следует ввести значения, разделенные запятой или диапазоном через дефис, например: 1541, 1560-2560.

Действие правила должно быть установлено в положение "Разрешить подключение". На этапе выбора профиля важно отметить все три галочки: доменный, частный и публичный, если сервер находится в гибридной среде или если вы не уверены в точной классификации сети. Однако для максимальной безопасности публичный профиль лучше оставить закрытым, используя VPN для удаленного доступа.

После создания правила для входящих подключений не забудьте проверить исходящие правила. По умолчанию в Windows исходящий трафик разрешен, но в жестко настроенных корпоративных политиках (Group Policy) это право может быть ограничено. Убедитесь, что сервер 1С имеет право инициировать соединения к портам СУБД и лицензионного сервера.

Для применения изменений не требуется перезагрузка сервера, правила вступают в силу мгновенно. Тем не менее, после внесения правок рекомендуется выполнить тестовое подключение с рабочей станции клиента, используя команду telnet или Test-NetConnection в PowerShell, чтобы убедиться в прохождении пакетов.

Test-NetConnection -ComputerName 192.168.1.10 -Port 1541

Эта команда покажет статус TcpTestSucceeded : True, если порт открыт корректно и доступен с текущего узла. В случае неудачи следует проверить журнал событий Windows на наличие записей о блокировке пакетов службой MPSSVC.

Настройка iptables и firewalld в Linux

При размещении сервера 1С на платформе Linux (например, Ubuntu Server или CentOS), администрирование портов зависит от используемой системы фильтрации. В современных дистрибутивах по умолчанию часто используется firewalld, который предоставляет более удобный интерфейс по сравнению с прямым редактированием правил iptables.

Для добавления портов в firewalld необходимо использовать команду firewall-cmd. Сначала добавляем порт менеджера кластера, затем диапазон рабочих процессов. Важно использовать флаг --permanent, чтобы правила сохранились после перезагрузки системы, и обязательно выполнить команду --reload для применения изменений.

firewall-cmd --permanent --add-port=1541/tcp
firewall-cmd --permanent --add-port=1560-2560/tcp
firewall-cmd --reload

Если в вашей инфраструктуре используется классический iptables, правила добавляются в цепочку INPUT. Пример команды для открытия диапазона портов выглядит следующим образом: iptables -A INPUT -p tcp --dport 1560:2560 -j ACCEPT. Не забывайте сохранять конфигурацию в файл /etc/sysconfig/iptables или использовать сервис iptables-persistent в Debian-подобных системах.

Также стоит учитывать, что в Linux_selinux может накладывать дополнительные ограничения на сетевые подключения, если он работает в режиме Enforcing. В редких случаях требуется изменение контекста безопасности портов с помощью утилиты semanage port, хотя для стандартных портов 1С это обычно не требуется.

Что делать, если правила не применяются?

Если после ввода команд порты остаются закрытыми, проверьте статус службы firewalld командой systemctl status firewalld. Возможно, служба остановлена или конфликтует с другим сетевым менеджером, например, ufw или прямыми правилами iptables. В таких случаях рекомендуется использовать только один инструмент управления фаерволом.

Диагностика и проверка доступности портов

После теоретической настройки наступает этап практической проверки. Часто бывает так, что правила прописаны верно, но соединение не устанавливается из-за промежуточных узлов сети или настроек самого приложения. Первичная диагностика должна проводиться с использованием утилит командной строки, доступных на любой ОС.

Утилита telnet является классическим инструментом для проверки TCP-соединений. Команда telnet ip_сервера 1541 должна либо очистить экран (успех), либо выдать сообщение об ошибке подключения. В современных системах Windows компонент Telnet-клиент часто отключен по умолчанию и его нужно включать через "Включение или отключение компонентов Windows".

Более современным и информативным инструментом является PortQry от Microsoft или встроенный в PowerShell Test-NetConnection. Они позволяют не только проверить факт доступности порта, но и узнать состояние фильтрации (Filtered/NotFiltered). Это помогает понять, блокирует ли пакет фаервол или просто нет слушателя на порту.

• 🔍 Используйте netstat -an | find "1541" на самом сервере, чтобы убедиться, что процесс ragent действительно слушает нужный порт.
• 🛡️ Проверьте логи безопасности ОС на предмет событий блокировки сетевых пакетов сразу после попытки подключения.
• 🌐 Убедитесь, что на маршрутизаторах и коммутаторах между клиентом и сервером нет правил ACL, запрещающих трафик на порты 1С.

Особое внимание следует уделить проверке доступности портов для лицензионного сервера, если он вынесен на отдельную машину. Порт лицензионного менеджера по умолчанию — 477 (TCP/UDP). Если клиенты получают ошибку "Лицензия не получена", проблема часто кроется именно в блокировке этого порта, а не портов самого сервера 1С.

⚠️ Внимание: При диагностике проблем с подключением всегда начинайте проверку с самого сервера (локально), затем с шлюза по умолчанию, и только потом с удаленной рабочей станции. Это позволит локализовать участок сети, где происходит обрыв.

Часто задаваемые вопросы (FAQ)

Можно ли изменить стандартный порт 1541 на другой?

Да, порт менеджера кластера можно изменить. Это делается через консоль администрирования кластера серверов 1С или путем редактирования файла конфигурации ragent.cfg. После смены порта необходимо обновить правила брандмауэра и указать новый порт в ярлыках запуска клиентов 1С или в списке баз.

Почему не работает 1С, хотя порт 1541 открыт?

Вероятнее всего, заблокирован диапазон портов рабочих процессов (rphost). Менеджер кластера принимает соединение, но перенаправить клиента на рабочий процесс не может, так как фаервол блокирует динамически выбранный порт. Проверьте открытие всего диапазона, указанного в настройках кластера.

Нужно ли открывать UDP порты для работы 1С?

Для основного обмена данными между клиентом и сервером 1С используется только протокол TCP. UDP порты могут потребоваться для работы службы лицензирования (порт 477) или для обнаружения именованных экземпляров SQL Server (порт 1434), но не для передачи данных конфигурации.

Как открыть порты для веб-клиента 1С?

Для работы через веб-бразер необходимо дополнительно открыть порты веб-сервера (IIS или Apache), на котором опубликована база. Стандартные порты: 80 (HTTP) и 443 (HTTPS). Также должен быть доступен порт расширения веб-сервера для 1С (по умолчанию 1565).

Безопасно ли открывать порты 1С в интернет?

Прямое открытие портов 1С в публичный интернет без использования защищенных туннелей (VPN, RDP Gateway) крайне не рекомендуется. Это создает высокий риск взлома. Для удаленной работы лучше использовать терминальный сервер (RDS) или веб-клиент через HTTPS с надежным сертификатом.