Клиент видит кластер через TCP 1541, но база не открывается. Межсетевой экран пропустил первое соединение и закрыл второе — к рабочему процессу 1С.
Для стандартной установки откройте входящий TCP на портах 1540, 1541 и 1560–1591. Последний диапазон нужен целиком. Менеджер кластера назначает рабочий процесс динамически и передаёт его адрес клиенту.
Порты стандартной установки 1С 8.3
Платформа использует три группы портов. Их назначение описывают разделы Ports setup for 1C:Enterprise server и Client application and server cluster interaction руководства администратора 1С:Предприятия 8.3.24.
| Порт или диапазон | Компонент 1С | Зачем нужен | Откуда приходит соединение |
|---|---|---|---|
| TCP 1540 | Агент сервера | Обслуживает обращения к агенту сервера | С узлов, которые взаимодействуют с агентом |
| TCP 1541 | Менеджер кластера | Принимает начальное обращение клиента к информационной базе | С клиентских компьютеров и серверов публикации |
| TCP 1560–1591 | Рабочие процессы | Проверяют пользователя и обслуживают дальнейшую работу с базой | С клиентских компьютеров и серверов публикации |
Для клиентского доступа нужны TCP 1541 и весь рабочий диапазон. TCP 1540 добавляют в правила для агента сервера.
Открыть только TCP 1560 вместо диапазона нельзя. Руководство администратора 1С указывает, что рабочий процесс получает порт динамически из диапазона 1560–1591.
Сегодня клиент может попасть на 1560, а после перезапуска или перераспределения нагрузки — на другой свободный порт. Межсетевой экран не знает, какой адрес выдаст менеджер кластера следующему сеансу.
Почему одного порта 1541 не хватает
При клиент-серверном подключении клиент обращается по адресу вида server_name:1541. Этот адрес ведёт к менеджеру кластера, а не к рабочему процессу информационной базы.
Дальше подключение проходит в несколько этапов:
- Клиент устанавливает TCP-соединение с менеджером кластера на порту 1541.
- Менеджер выбирает рабочий процесс для этого клиента.
- Менеджер передаёт клиенту сетевой адрес выбранного процесса.
- Клиент соединяется с этим процессом через порт из диапазона 1560–1591.
- Рабочий процесс проверяет пользователя и обслуживает его дальнейшие запросы.
Эту последовательность описывает раздел 2.2.2 руководства администратора 1С:Предприятия 8.3.24. Поэтому проверка одного TCP 1541 подтверждает лишь доступ к менеджеру кластера.
Типовой сбой выглядит обманчиво. Адрес сервера определяется, первый обмен проходит, но вход в базу обрывается. Причину нужно искать дальше по маршруту — на соединении с назначенным рабочим процессом.
Та же проблема возникает при неполном пробросе через маршрутизатор. Внешний TCP 1541 ведёт к менеджеру, однако диапазон рабочих процессов остаётся доступен только внутри локальной сети.
Какие правила создать на межсетевом экране
Правило должно учитывать направление соединения, узлы и весь набор портов. Не открывайте диапазон для любой сети, если клиентам он нужен только из офисного сегмента или через VPN.
| Направление | Протокол | Назначение | Порты | Признак успешной настройки |
|---|---|---|---|---|
| К серверу 1С | TCP | Агент сервера | 1540 | Узлы администрирования достигают агента |
| К серверу 1С | TCP | Менеджер кластера | 1541 | Клиент начинает подключение к кластеру |
| К серверу 1С | TCP | Рабочие процессы | 1560–1591 | Клиент доходит до назначенного процесса |
| От клиента к серверу через фильтрующий узел | TCP | Полный маршрут подключения | 1541 и 1560–1591 | Пользователь входит в базу и продолжает работу |
Проверяйте результат входом в информационную базу. Доступность одного менеджера кластера не подтверждает весь маршрут.
Стандартный рабочий диапазон содержит 32 порта:
1591 − 1560 + 1 = 32
Вместе с TCP 1540 и 1541 набор охватывает 34 номера портов. Это расчёт по границам диапазона из документации 1С, а не результат теста производительности.
Число правил может отличаться от числа портов. Межсетевой экран часто принимает диапазон одной записью: 1560–1591. В таком случае достаточно отдельных правил для 1540, 1541 и рабочего диапазона.
Сначала ограничьте правило адресом сервера 1С. Затем укажите доверенные клиентские подсети или промежуточные узлы. Такой фильтр не меняет механику платформы, но сокращает доступную извне поверхность.
Если клиенты подключаются через сервер публикации, разрешайте трафик с него. Если подключение идёт напрямую, правило должно принимать адреса соответствующих клиентских сетей.
Как учесть изменённые порты
Числа 1540, 1541 и 1560–1591 относятся к стандартной конфигурации. Руководство администратора 1С допускает изменение порта агента, порта менеджера и диапазона рабочих процессов.
При нестандартной схеме не копируйте значения из готовой инструкции. Возьмите текущие параметры кластера и перенесите их в каждое сетевое правило.
Проверьте три места:
- настройки компонентов кластера;
- межсетевой экран сервера;
- фильтрующие устройства между клиентом и сервером.
Если хотя бы одно устройство хранит старый диапазон, часть соединения оборвётся. Снаружи это может выглядеть как ошибка клиента или информационной базы.
При изменении диапазона сохраните достаточно адресов для рабочих процессов, которые запускает кластер. Точное число зависит от настроек вашей установки. Документация из исследования не задаёт универсального размера для любой нагрузки, поэтому здесь нельзя подставить готовый порог.
Как настроить проброс через маршрутизатор
Маршрутизатор разделяет внешний и внутренний адреса. Внешний номер порта может отличаться от внутреннего, но сопоставление должно вести к нужному компоненту 1С.
Документ 1С Ports setup for 1C:Enterprise server приводит прямой проброс стандартных портов: 1540 на 1540, 1541 на 1541 и 1560–1591 на тот же внутренний диапазон.
| Сценарий | Внешняя сторона | Внутренняя сторона | Что проверить |
|---|---|---|---|
| Стандартный порт агента | TCP 1540 | TCP 1540 сервера 1С | Правило ведёт на адрес нужного сервера |
| Стандартный порт менеджера | TCP 1541 | TCP 1541 сервера 1С | Клиент обращается к адресу маршрутизатора |
| Стандартный рабочий диапазон | TCP 1560–1591 | TCP 1560–1591 сервера 1С | Проброшен диапазон, а не первый порт |
| Изменённые внешние порты | Номера из настроек маршрутизатора | Действующие порты кластера | Каждое внешнее значение сопоставлено нужному внутреннему |
| Изменённые внутренние порты | Номера, указанные клиенту | Номера из текущей конфигурации кластера | Межсетевой экран сервера принимает новый набор |
При стандартной схеме сохраняйте соответствие номеров. При изменённой схеме фиксируйте пары «внешний → внутренний» в сетевой документации.
Одного правила 1541 → 1541 недостаточно. После ответа менеджера клиенту всё равно потребуется маршрут к назначенному рабочему процессу.
Смена внешних номеров сама по себе не заменяет ограничение по адресам и защищённый канал. Документ 1С допускает разные внешние и внутренние порты, но не превращает такой проброс в полноценную защиту удалённого доступа.
Для удалённого офиса сначала определите реальный маршрут. Клиент может идти через VPN, межсетевой экран филиала, центральный маршрутизатор и фильтр на самом сервере. Нужные TCP-соединения должны пройти через каждый узел.
Как проверить настройку по маршруту соединения
Идите в том же порядке, в котором подключается клиент. Так вы отделите ошибку адреса от закрытого рабочего диапазона.
Проверьте адрес в параметрах базы
В клиент-серверном режиме клиенту нужен адрес сервера и порт подключения. Для стандартного менеджера используется формат server_name:1541, указанный в руководстве администратора 1С.
Убедитесь, что имя разрешается в нужный IP-адрес. При NAT клиент должен обращаться к внешнему адресу, который маршрутизатор сопоставляет внутреннему серверу.
Если адрес ведёт на другой узел, открытые порты на сервере 1С ничего не исправят. Трафик до него не дойдёт.
Проверьте соединение с менеджером кластера
Следующая точка — TCP 1541. Если соединение до менеджера не устанавливается, проверьте входящее правило, маршрут и проброс этого порта.
Не переходите к рабочему диапазону, пока клиент не достигает менеджера. Назначить рабочий процесс без этого шага кластер не сможет.
Доступный TCP 1541 ещё не означает, что настройка закончена. Он подтверждает только первый этап подключения.
Проверьте назначенный рабочий диапазон
После ответа менеджера клиент обращается к порту из диапазона 1560–1591. Межсетевой экран должен пропустить любой порт, который кластер вправе назначить.
Если открыт лишь фрагмент диапазона, ошибка может появляться не на каждом сеансе. Подключение зависит от того, какой рабочий процесс выбрал менеджер.
Не делайте вывод по одному успешному входу. Повторите подключение после штатных изменений, которые перераспределяют рабочие процессы, и проверьте правила на всех промежуточных устройствах.
Сверьте внешние и внутренние правила
При NAT проверьте обе стороны каждой записи. Внешний диапазон должен вести к действующему внутреннему диапазону на правильном IP-адресе.
Частая ошибка — обновить настройки кластера и забыть маршрутизатор. Менеджер начинает выдавать новые адреса рабочих процессов, а проброс продолжает вести на старые номера.
Обратная ошибка тоже возможна. На маршрутизаторе уже указан новый диапазон, но локальный межсетевой экран сервера принимает прежний.
Проверьте вход в базу
Финальная проверка — успешная аутентификация и работа клиента с информационной базой. Именно рабочий процесс проверяет пользователя и ведёт дальнейшее взаимодействие.
Проверка TCP 1541 или ответ сервера на сетевой запрос не заменяют этот тест. Они не показывают, дошёл ли клиент до назначенного процесса.
Если серверные компоненты ещё не установлены, сначала завершите установку сервера 1С на Windows. Сетевые правила проверяют после запуска агента, менеджера и рабочих процессов.
Что не нужно открывать автоматически
Не переносите в правило все соседние порты «на всякий случай». Для стандартного взаимодействия клиента с кластером документация 1С называет TCP 1541 и динамический диапазон 1560–1591.
TCP 1540 относится к агенту сервера. Добавляйте его тем узлам, которым нужен доступ к агенту, а не всей внешней сети.
Порты СУБД не входят в описанную цепочку «клиент 1С — кластер». Серверные компоненты могут обращаться к базе данных по отдельному маршруту, но его нельзя смешивать с клиентским правилом без проверки архитектуры.
Не публикуйте серверные порты в интернет только ради удалённого офиса. Сначала определите доверенные адреса или защищённый сетевой контур, затем ограничьте правила этими узлами.
Готовое правило для стандартной схемы
Для стандартной установки проверьте пять пунктов:
- разрешён входящий TCP 1540 к агенту сервера с нужных узлов;
- разрешён входящий TCP 1541 к менеджеру кластера;
- разрешён весь TCP-диапазон 1560–1591 к рабочим процессам;
- при NAT внешний набор сопоставлен внутренним портам сервера 1С;
- проверка заканчивается входом в базу, а не ответом TCP 1541.
После изменения портов замените значения в настройках клиента, межсетевого экрана и маршрутизатора. Старое правило не подстроится под кластер само.
Рабочее правило строится вокруг маршрута клиента: менеджер на TCP 1541, затем назначенный процесс из рабочего диапазона. Если первый доступен, а второй закрыт, подключение к базе не завершится.