На каких портах работает 1С сервер: полная инструкция

Правильная конфигурация сетевых взаимодействий является фундаментом стабильной работы информационной системы предприятия. Когда администраторы сталкиваются с проблемами подключения клиентов к базе данных, первым шагом всегда становится проверка сетевых настроек. 1С:Предприятие использует множество сетевых соединений для обмена данными между клиентскими приложениями, сервером приложений и системой управления базами данных (СУБД).

Понимание того, какие именно TCP и UDP порты задействованы в архитектуре 1С:Сервера, критически важно для корректной настройки брандмауэров и маршрутизаторов. Ошибки в этом этапе часто приводят к тому, что пользователи не могут запустить программу, хотя сама база данных существует и функционирует. В этой статье мы детально разберем сетевую модель работы платформы, рассмотрим стандартные диапазоны значений и методы их изменения при необходимости.

Настройка сетевого экрана требует точности: открытие лишних портов создает уязвимости, а закрытие необходимых блокирует работу всей организации. Мы рассмотрим не только стандартные значения по умолчанию, но и нюансы динамического распределения, которые часто сбивают с толку начинающих системных администраторов. Также уделим внимание диагностике проблем, когда соединение прерывается на этапе получения списка баз.

Архитектура сетевых соединений в 1С Предприятие

Система 1С:Предприятие 8 построена по трехзвенной архитектуре, где клиентское приложение не обращается к базе данных напрямую. Вместо этого запросы проходят через сервер приложений, который выступает посредником и оптимизатором нагрузки. Эта схема подразумевает наличие как минимум двух типов соединений: между клиентом и сервером приложений, а также между сервером приложений и СУБД.

Каждое из этих звеньев использует свои собственные протоколы и порты для передачи служебной информации и данных пользователей. При запуске менеджера кластера серверов происходит инициализация прослушивающих сокетов, которые ожидают входящие подключения. Если на пути этого трафика стоит межсетевой экран с жесткими правилами, он может блокировать пакеты без явного указания на ошибку в логах самого приложения.

Важно понимать, что сетевой трафик делится на управляющий и рабочий. Управляющий трафик используется для аутентификации, получения списка информационных баз и запуска рабочих процессов. Рабочий трафик обеспечивает непосредственный обмен данными в ходе сеанса пользователя. Разделение этих потоков позволяет системе гибко масштабироваться, но усложняет первоначальную настройку сети.

⚠️ Внимание: В составных конфигурациях или при использовании веб-сервера (IIS/Apache) добавляются дополнительные порты для HTTP/HTTPS протоколов, которые не относятся напрямую к серверу 1С, но необходимы для доступа через браузер.

Стандартные порты сервера 1С:Предприятие

По умолчанию при установке программного обеспечения 1С:Сервер используются определенные диапазоны номеров портов. Знание этих значений позволяет быстро создать правила в брандмауэре Windows или Linux. Основным портом, с которого начинается любое взаимодействие, является порт менеджера кластера.

Стандартное значение для менеджера кластера — 1540 или 1541. Именно на этот адрес клиентское приложение отправляет первоначальный запрос для получения информации о доступных базах. Если этот порт закрыт, пользователь увидит сообщение об ошибке соединения еще до ввода логина и пароля. После успешного обращения к менеджеру кластера происходит перенаправление на конкретный рабочий процесс.

Рабочие процессы (rphost) не имеют фиксированного порта в классическом понимании, так как они используют динамический диапазон. Однако для диагностики и тонкой настройки администраторы часто ограничивают этот диапазон. Ниже приведена таблица с основными сетевыми точками входа:

Компонент	Порт (по умолчанию)	Протокол	Назначение
Менеджер кластера	1540, 1541	TCP	Первичное подключение, список баз
Рабочие процессы	Динамический	TCP	Основная работа с данными
Repmng (Репликатор)	1560	TCP	Синхронизация между серверами
Консоль администрирования	1544	TCP	Удаленное управление кластером

Использование стандартных портов упрощает документирование инфраструктуры, но в средах с повышенными требованиями к безопасности их часто меняют на нестандартные значения. Это делается для усложнения задач потенциальным злоумышленникам, сканирующим сеть на наличие известных сервисов.

Динамический диапазон портов рабочих процессов

Одной из самых частых проблем при настройке сети является блокировка динамических портов, которые выделяются для рабочих процессов rphost.exe. По умолчанию операционная система выделяет любой свободный порт из высокого диапазона (обычно от 49152 до 65535 в современных ОС Windows). Это создает трудности для администраторов безопасности, так как невозможно открыть весь этот огромный диапазон без риска.

Для решения этой проблемы в конфигурационном файле сервера ragent.cfg или через консоль администрирования можно жестко задать диапазон портов. Это позволяет сузить "воронку" для входящих соединений до разумных пределов. Например, можно выделить диапазон из 100 портов специально под нужды 1С.

Настройка диапазона производится параметром range в свойствах кластера серверов. После изменения настроек необходимо перезапустить службу 1С:Сервер, чтобы новые правила вступили в силу. Без перезапуска старые процессы могут продолжать работать на старых портах, а новые — на новых, что приведет к хаосу в правилах фаервола.

После фиксации диапазона необходимо создать соответствующие правила в брандмауэре. Рекомендуется создать одно правило, разрешающее входящие TCP-соединения на весь заданный диапазон, привязав его к исполняемому файлу rphost.exe. Такой подход балансирует между безопасностью и функциональностью.

Порты взаимодействия с СУБД (MS SQL, PostgreSQL)

Сервер 1С не хранит данные самостоятельно, он лишь обрабатывает логику, поэтому критически важным является канал связи с системой управления базами данных. Если порты самого сервера 1С открыты, но нет связи с СУБД, работа системы невозможна. Для каждой популярной СУБД существуют свои стандартные порты, которые необходимо учитывать при проектировании сети.

В случае использования MS SQL Server, стандартным портом является 1433. Однако, если используется именованный экземпляр (Named Instance), порт может быть динамическим, и для его обнаружения используется служба SQL Server Browser на порту 1434 (UDP). Администраторам настоятельно рекомендуется фиксировать порт для именованных экземпляров через диспетчер конфигурации SQL, чтобы избежать проблем с фаерволом.

Для популярной в среде Linux СУБД PostgreSQL стандартным портом является 5432. В отличие от SQL Server, PostgreSQL обычно статично слушает этот порт, если иное не указано в файле postgresql.conf. При размещении базы данных на отдельном физическом сервере необходимо убедиться, что этот порт открыт для IP-адреса сервера 1С.

Особенности портов Oracle

Если вы используете СУБД Oracle, стандартный порт слушателя (Listener) — 1521. Однако в корпоративных средах часто используются нестандартные порты для разделения нагрузки или безопасности. Проверьте файл listener.ora на сервере базы данных для уточнения.

Не стоит забывать и о менее распространенных, но встречающихся системах, таких как IBM DB2 или Firebird. Каждая из них имеет свои уникальные сетевые требования. Игнорирование этих нюансов при миграции с одной СУБД на другую часто становится причиной простоев в работе бухгалтерии или отдела продаж.

Настройка брандмауэра Windows и Linux

Правильная настройка межсетевого экрана — это не просто открытие портов, а создание безопасного периметра. В среде Windows Server наиболее удобным инструментом является "Монитор брандмауэра Windows в режиме повышенной безопасности". Здесь можно создавать правила не только по номерам портов, но и по путям к исполняемым файлам, что повышает уровень защиты.

При создании правила для 1С:Сервера рекомендуется указывать конкретные исполняемые файлы: ragent.exe (агент), rmngr.exe (менеджер) и rphost.exe (рабочий процесс). Это гарантирует, что даже если злоумышленник попытается запустить сторонний процесс на легальном порту 1540, он будет заблокирован, так как путь к файлу не совпадет с правилом.

В операционных системах на базе Linux (Ubuntu, CentOS, Astra Linux) настройка производится через утилиты iptables, firewalld или ufw. Синтаксис команд отличается, но логика остается прежней: разрешить входящие соединения на порты 1540-1541 и заданный диапазон рабочих процессов только от доверенных подсетей.

iptables -A INPUT -p tcp -m multiport --dports 1540,1541 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 1560:1590 -s 192.168.1.0/24 -j ACCEPT

Приведенный выше пример демонстрирует команду для iptables, которая разрешает доступ к портам менеджера и диапазону рабочих процессов только из локальной подсети 192.168.1.0/24. Все остальные попытки подключения будут отброшены. Такой подход минимизирует риски атак из внешней сети.

Диагностика проблем подключения и утилиты

Когда пользователи жалуются на невозможность подключения, администратору необходимо быстро локализовать проблему. Является ли она сетевой, программной или связана с правами доступа? Для этого существует набор стандартных утилит и специализированных инструментов платформы 1С.

Первым делом следует проверить доступность порта с помощью утилиты telnet или Test-NetConnection в PowerShell. Команда должна выполняться с рабочей станции пользователя по направлению к серверу. Если соединение не устанавливается, проблема точно в сети или брандмауэре.

Также полезно использовать встроенную консоль администрирования кластера серверов 1С. Она показывает активные сессии, загруженность рабочих процессов и их текущие сетевые адреса. Если в списке сессий нет подключений от проблемного пользователя, значит, пакет даже не дошел до уровня приложения.

• 🔍 Netstat: команда netstat -ano | findstr :1540 покажет, слушает ли сервер нужный порт и какой PID процесса его занимает.
• 📡 Wireshark: профессиональный анализатор трафика, позволяющий увидеть, доходят ли пакеты до сервера и есть ли ответ (RST или ACK).
• 🛠 1С:Конфигуратор: режим отладки и журнал регистрации на сервере могут содержать ошибки уровня "Socket error" или "Connection refused".

⚠️ Внимание: При диагностике учитывайте, что антивирусное ПО может иметь собственный встроенный фаервол, который игнорирует настройки брандмауэра Windows. Проверьте исключения в настройках вашего антивируса (Kaspersky, ESET, Dr.Web).

Часто проблема кроется не в отсутствии доступа, а в неверном имени сервера, указанном в списке баз пользователей. Убедитесь, что в поле "Сервер 1С:Предприятия" указано именно сетевое имя или IP-адрес машины, где установлен сервер приложений, а не имя компьютера с файловой базой.

Часто задаваемые вопросы (FAQ)

Можно ли изменить стандартный порт 1540 на другой?

Да, это возможно. При установке сервера 1С или через реестр Windows можно изменить порт менеджера кластера. Однако это потребует изменения строки подключения во всех клиентских приложениях и обновления правил брандмауэра. Делайте это только при наличии веских причин безопасности.

Почему 1С работает локально, но не подключается по сети?

Скорее всего, брандмауэр на сервере блокирует входящие соединения. Локальный трафик (localhost) часто не фильтруется правилами фаервола. Проверьте открытие портов 1540, 1541 и диапазона рабочих процессов для внешней сети.

Какой порт используется для веб-доступа к 1С?

Веб-доступ осуществляется через веб-сервер (IIS или Apache). Стандартные порты — 80 (HTTP) и 443 (HTTPS). Сам сервер 1С при этом использует свои внутренние порты для связи с расширением веб-сервера.

Нужно ли открывать порты 1С на клиентских компьютерах?

Нет, на клиентских рабочих станциях открывать входящие порты для 1С не нужно. Клиент инициирует исходящее соединение, поэтому достаточно разрешить исходящий трафик, что обычно разрешено по умолчанию.

Как узнать, какой порт занимает конкретный рабочий процесс?

Используйте команду netstat -ano на сервере и найдите процесс rphost.exe по его PID. Либо воспользуйтесь консолью администрирования кластера 1С, где отображаются сетевые адреса активных сессий.