Настройка портов и сетевых экранов для 1С:ЭДО

Корректная настройка сетевого периметра — это фундамент стабильной работы системы электронного документооборота в среде 1С:Предприятие. Если вы столкнулись с тем, что документы зависают в статусе"Ожидание отправки" или при попытке подключения к сервису возникает ошибка тайм-аута, в 90% случаев проблема кроется в блокировке трафика межсетевым экраном. Администраторам необходимо четко понимать, какие сетевые узлы участвуют в обмене данными, чтобы обеспечить бесперебойную коммуникацию между локальной базой данных и серверами оператора.

Процесс настройки портов для 1С ЭДО требует внимания к деталям, так как современные системы используют не один статический адрес, а пул динамических IP и доменных имен. Простое открытие"всех портов" является грубой ошибкой безопасности, которая может открыть вашу инфраструктуру для внешних атак. Ниже мы рассмотрим конкретные технические требования к сетевому оборудованию и программным фаерволам, которые гарантируют стабильный обмен юридически значимыми документами без задержек и потерь.

Базовые требования к сетевому подключению

Для начала работы механизма обмена электронными документами система должна иметь беспрепятственный доступ к глобальной сети. Протокол обмена данными в 1С:ЭДО базируется на стандартах HTTPS, что накладывает определенные требования к шифрованию и маршрутизации трафика. Основной порт, который необходимо сделать доступным для исходящих соединений, — это классический 443. Именно через него проходит зашифрованный поток информации, содержащий тела документов, подписи и служебные метаданные.

Однако открытия порта недостаточно. Сетевой экран должен разрешать DNS-запросы для разрешения имен серверов в IP-адреса. Если ваш корпоративный прокси-сервер или фаервол блокирует запросы к внешним доменным зонам, клиентское приложение не сможет найти маршрут к серверу оператора. В таких ситуациях администратору потребуется добавить исключения в правила фильтрации пакетов, явно разрешив трафик для определенных доменных зон.

Важно учитывать, что архитектура 1С:Предприятие может работать в разных режимах: файловом или клиент-серверном. В клиент-серверном варианте настройки часто применяются на стороне сервера 1С, где и происходит инициирование соединения. Если же у вас файловый вариант, правила применяются непосредственно на рабочей станции пользователя. Убедитесь, что антивирусное ПО с функцией сетевого экрана не перехватывает и не блокирует процессы rphost.exe или 1cv8.exe.

⚠️ Внимание: Некоторые провайдеры интернет-услуг могут блокировать нестандартные порты или требовать дополнительной авторизации для корпоративных клиентов. Если настройки локального фаервола верны, но соединение не устанавливается, свяжитесь с техническим специалистом вашего ISP для проверки маршрутизации.

Актуальный список портов и адресов для настройки

Центральным элементом инфраструктуры электронного документооборота от фирмы"1С" является сервис 1С-Линк. Именно через шлюзы этого сервиса происходит маршрутизация документов между различными операторами ЭДО (Контур, Диадок, Такском и другими). Поэтому при настройке правил брандмауэра приоритет отдается адресам, относящимся к домену 1clink.ru.

Помимо основного домена, система может использовать дополнительные сервисы для проверки сертификатов, получения обновлений конфигураций и синхронизации справочников контрагентов. Игнорирование этих адресов может привести к тому, что документы будут уходить, но статусы доставки не будут обновляться, или же система не сможет-validate электронную подпись отправителя. Ниже приведена таблица с основными сетевыми ресурсами, доступ к которым обязан быть разрешен.

Домен / Адрес	Порт	Протокол	Назначение
*.1clink.ru	443	HTTPS	Основной шлюз обмена документами
users.v8.1c.ru	443	HTTPS	Сервис проверки лицензий и пользователей
cpa.1c.ru	443	HTTPS	Обновление конфигураций и справочников
*.1c.ru	443	HTTPS	Дополнительные сервисы платформы

Использование маски поддоменов (например, *.1clink.ru) критически важно, так как инфраструктура оператора динамически масштабируется, и IP-адреса серверов могут меняться без предварительного уведомления. Жесткая привязка к конкретному IP-адресу в правилах фаервола — это тупиковый путь, который приведет к сбоям при первом же переезде оборудования на дату-центре провайдера.

Настройка исключений в брандмауэре Windows

Если вы администрируете рабочую станцию под управлением ОС Windows, встроенный брандмауэр часто становится первым препятствием на пути пакета данных. Для корректной работы 1С:ЭДО необходимо создать правило входящего и исходящего подключения. Делается это через оснастку wf.msc, где в разделе"Правила для исходящего подключения" создается новый фильтр.

В мастере создания правила выберите тип"Для программы" и укажите путь к исполняемому файлу платформы. В зависимости от разрядности установленной системы, это может быть C:\Program Files\1cv8\8.3.xx.xxx\bin\1cv8.exe для 64-битной версии или аналогичный путь для 32-битной. Разрешите подключение для всех профилей сети (домен, частная, общественная), чтобы избежать проблем при смене типа сети, например, при работе через мобильный хот-спот.

Отдельное внимание стоит уделить процессам, отвечающим за фоновую обработку. В некоторых конфигурациях обмен может инициироваться фоновыми заданиями, которые выполняются в отдельном процессе rphost.exe. Если вы используете серверный вариант 1С, правило должно быть применено к сервису Агент сервера 1С:Предприятия. Без этого документы могут накапливаться в очереди регламентных заданий, но физически не отправляться в сеть.

Специфика настройки в клиент-серверном варианте

В архитектурах, где база данных расположена на выделенном сервере (MS SQL, PostgreSQL), а пользователи работают через тонкий клиент, сетевая настройка имеет свои нюансы. Здесь трафик идет не напрямую от компьютера бухгалтера в интернет, а по цепочке: Клиент -> Сервер 1С -> Интернет. Следовательно, все правила открытия портов и добавления доменов в белый список должны применяться именно на сервере 1С.

Серверное оборудование часто находится за более строгими корпоративными шлюзами (например, Kaspersky Security Center или Check Point). В таких средах необходимо создать политику безопасности, которая разрешает пользователю, под которым запущен сервис 1С (обычно это USR1CV8), устанавливать HTTPS-соединения с внешними ресурсами. Ошибка конфигурации здесь может привести к тому, что у всех пользователей одновременно пропадет возможность отправки документов.

Также стоит проверить настройки прокси-сервера, если он используется в организации для контроля трафика. В параметрах запуска сервера 1С или в конфигурационном файле srvinfo.cfg могут потребоваться указания учетных данных для авторизации в прокси. Если прокси-сервер требует аутентификацию, а сервис 1С запущен от имени системы, соединение не пройдет. В таком случае рекомендуется использовать выделенную учетную запись службы с правами доступа к сети.

Как проверить, от чьего имени работает сервис?

Откройте диспетчер задач на сервере, перейдите на вкладку"Подробности". Найдите процесс rphost.exe и посмотрите в колонке"Имя пользователя". Обычно там указано доменное имя службы, например, SRV\1CService.

Диагностика и проверка доступности ресурсов

После внесения изменений в настройки сети не стоит сразу переходить к отправке реальных документов. Сначала необходимо убедиться, что сервер 1С"видит" узлы обмена. Самый простой и надежный инструмент для первичной диагностики — утилита командной строки ping. Однако, помните, что многие серверы настроены на игнорирование ICMP-запросов, поэтому отсутствие ответа на пинг не всегда означает блокировку порта.

Более точным методом является проверка доступности конкретного порта с помощью утилиты telnet или Test-NetConnection в PowerShell. Это позволяет эмулировать попытку установки TCP-соединения именно на тот порт, который используется приложением. Если соединение устанавливается успешно, вы увидите сообщение об успехе, в противном случае — ошибку тайм-аута или отказа в подключении.

Для комплексной проверки используйте встроенные средства платформы 1С. В режиме предприятия можно запустить обработку"Тестирование связи с сервисом 1С-Линк", которая доступна в подсистеме администрирования ЭДО. Она проведет серию тестовых запросов и выдадет подробный лог, указывающий, на каком именно этапе происходит обрыв связи: при резолвинге DNS, при рукопожатии SSL или при авторизации.

Test-NetConnection -ComputerName link.1clink.ru -Port 443

Результат выполнения команды в PowerShell даст однозначный ответ: если поле TcpTestSucceeded имеет значение True, то сетевой путь открыт. Если False, значит, пакеты блокируются где-то на маршруте. В этом случае требуется пошаговая проверка: локальный фаервол -> корпоративный шлюз -> настройки провайдера.

Типичные ошибки и методы их устранения

Даже при соблюдении всех технических требований пользователи могут сталкиваться с ситуативными сбоями. Одна из частых проблем — истекший срок действия корневого сертификата удостоверяющего центра на сервере или рабочей станции. Если в хранилище сертификатов нет актуальных корневых сертификатов, необходимых для проверки цепочки доверия сайта 1С-Линк, соединение по HTTPS будет разорвано сразу после начала рукопожатия.

Другая распространенная ошибка связана с некорректным системным временем. Протокол SSL/TLS крайне чувствителен к рассинхронизации часов. Если время на сервере 1С отклоняется от реального более чем на несколько минут, удаленный сервер отвергнет соединение в целях безопасности. Всегда проверяйте синхронизацию времени с надежным NTP-сервером.

Иногда проблема кроется в антивирусном сканировании зашифрованного трафика (SSL Inspection). Некоторые корпоративные антивирусы пытаются"вклиниться" в HTTPS-соединение для проверки содержимого, подменяя сертификат сайта своим. Платформа 1С или операционная система могут не доверять этому промежуточному сертификату, что приводит к ошибке проверки подписи. В таком случае необходимо добавить домены 1С в исключения антивирусного сканирования HTTPS.

⚠️ Внимание: Отключение SSL-сканирования для доменов 1С является безопасной практикой, так как трафик уже защищен энд-ту-энд шифрованием между клиентом и сервером оператора. Дополнительная проверка на шлюзе лишь создает лишнюю точку отказа.

Рекомендации по поддержанию работоспособности

Сетевая инфраструктура — динамическая среда. Обновления операционных систем, смена провайдеров или реорганизация локальной сети могут сбросить ваши настройки. Рекомендуется вести журнал изменений сетевых правил и регулярно, хотя бы раз в квартал, проводить профилактическую проверку доступности сервисов 1С. Это позволит выявить деградацию канала связи до того, как она остановит бизнес-процессы.

Если в вашей организации используется сложная система прокси-серверов с балансировкой нагрузки, убедитесь, что метод балансировки не разрывает длительные HTTPS-сессии. Обмен большими пакетами документов (например, актами сверки с большим количеством позиций) может занимать значительное время, и преждевременный разрыв сессии приведет к повреждению файла обмена.

Для автоматизации мониторинга можно настроить скрипты, которые периодически отправляют тестовые запросы к адресу link.1clink.ru и отправляют уведомление администратору в случае недоступности. Такой проактивный подход значительно снижает время простоя системы и позволяет решать проблемы до того, как о них сообщат пользователи.

Можно ли использовать статические IP-адреса вместо доменных имен?

Использовать статические IP-адреса крайне не рекомендуется. Инфраструктура 1С-Линк использует облачные технологии и балансировщики нагрузки, поэтому IP-адреса серверов могут меняться без предупреждения. Привязка к IP приведет к нестабильной работе и частым сбоям при обновлении серверной части провайдера.

Какой порт используется для работы через прокси-сервер?

При работе через прокси-сервер исходящее соединение все равно устанавливается на порт 443 удаленного сервера. Однако само соединение с прокси-сервером организации может происходить на его специфическом порту (часто 3128, 8080 или 1080 для SOCKS), который должен быть открыт в локальном фаерволе.

Влияет ли скорость интернета на работу 1С ЭДО?

Скорость влияет на время отправки и получения больших объемов данных (например, пакетов из тысяч документов), но не на сам факт подключения. Для стабильной работы важнее низкий пинг (задержка) и отсутствие потерь пакетов, чем высокая пропускная способность канала.

Что делать, если порт 443 занят другим приложением?

Порт 443 используется для исходящих соединений, поэтому конфликт с локальными приложениями, слушающими этот порт, маловероятен. Если проблема в том, что исходящий порт блокируется, попробуйте сменить диапазон эфемерных портов в настройках TCP/IP операционной системы, хотя для HTTPS это требуется редко.

Нужно ли открывать порты для работы мобильного приложения 1С?

Мобильное приложение работает по тем же принципам и использует те же адреса сервисов 1С-Линк. Если мобильное устройство находится в корпоративной сети Wi-Fi, к нему применяются те же правила фильтрации, что и к стационарным ПК.