Какие порты открыть для 1с сервера

Какие порты необходимо открыть для работы сервера 1С:Предприятие

Для того, чтобы получить доступ к серверу 1С:Предприятие, необходимо открыть в брандмауэре следующие порты:

• TCP 1560-1591 — для рабочего процесса;
• TCP 1541 — для менеджера кластера;
• TCP 1540 — для агента сервера (не обязательно, если центральный сервер кластера один);
• TCP и UDP 475 — для менеджера лицензий.

Тэги

• Блог пользователя Nicholas
• Добавить комментарий

Какие порты открыть для 1с сервера

Здравствуйте всем. Есть некий перечень портов, которые надо открыть в фарволе, чтобы все работало, и ключ и соединение с базой? Или статейка где описывается настройка firewall windows server 2008 с установленным сервером 1с.

схема какая?
клиент — файрвол — сервер 1С — сервер БД ?
ключ софтовый?
(4) ключ аппаратный
Простите, клиент серверный вариант, сервер 1с и Бд на одном компе.
(1) пытался, кроме 1560 порта больше не знаю еще что
(5) 3422 tcp
на третий ответишь?
если сервер по умолчанию — 1540-1591
возможно к скулю еще сверлить, если между ними огненная стена
(8) не совсем вас понял, не понял про схемы. Систему не я вешал?
(10) я описал схему
клиент — файрвол — сервер 1С — сервер БД
Короче 1540-1591, протокол tcp, 3422 это что?
(10) хоть знаешь откуда куда сверлить?
3422 — ключ
(14) Я думаю да, простите а как можно еще?
клиент — сервер 1С — сервер БД ?
(16) но здесь сверлить не надо
а вообще можно по-разному

(14) не я не буду ничего на сервере дать парень который вешал спросил, какие порты и протоколы нужно открыть.

(18) тогда и скульный пусть открывает

Мне показалось что в windows server 2008 все намного сложнее, я видел как один парень мучался, то один видит, другой не видит. Вот и подумал обратиться на форум.

Прикол в том, что поставил аппаратный ключ, установил драйвер и хасп менеджер, даже локально не видит ключ. настройка «использовать аппар. ключ» стоит.

Вся беда в том, что они вызвали стороннего специалиста, который повесил систему и ушел, а местные IT не бум-бум в современных системах. Он придет специально, надо 1 раз четко настроить чтобы все работало без него.

Прячем 1С за огнеупорную стену

Многие системные администраторы, задумываясь о безопасности данных своей компании и, в частности, о безопасности базы данных 1С, пренебрегают простым, но эффективным решением – изолировать сервер от пользователей. В данной статье проанализированы угрозы безопасности, возникающие при размещении клиентской части 1С и серверов 1С в одном сегменте сети, и рассмотрен процесс перевода серверной части 1С в другой сегмент сети. Данная статья не содержит принципиально новых решений, но может служить справочным пособием, которое объединяет информацию из различных источников.

Исходные данные

• 1С Предприятие 8 клиент-серверный вариант;
• сервер 1С Предприятия развернут на базе операционной системы Windows Server 2003;
• 1С Предприятие использует выделенный сервер MS SQL, развернутый на базе операционной системы Windows Server 2003;
• доступ пользователей к 1С осуществляется через терминальные сервера, развернутые на базе Windows Server 2003;
• все сервера находятся в сегменте одной сети, развернутой на базе домена Active Directory.

Угрозы безопасности

Для выявления угроз безопасности составим схему движения трафика в имеющейся сети.

Рисунок 1. Исходные потоки трафика

Под «LDAP» подразумевается не один порт, а совокупность. Порты и протоколы, используемые в Active Directory, описаны в статье базы знаний Microsoft «Службы и сетевые порты в серверных системах Microsoft Windows». В зависимости от того, что терминальный сервер требует от контроллера домена, это могут быть разные наборы. В данной статье я буду использовать следующий набор портов и протоколов:

Порт	Протокол	Назначение
88	UDP	Kerberos. Этот порт прослушивает процесс lsass.exe (Local Security Authority Service).
135	TCP	RPC
139	TCP	Служба сеансов NetBIOS
389	TCP/UDP	Локатор контроллеров домена
445	TCP	SMB
1025	TCP	Используется процессом lsass.exe. Дополнительная информация здесь.
—	ICMP	ICMP используется для получения различной информации, поэтому пакеты данного протокола должны свободно проходить в направлении контроллеров домена.

• операционная система Windows Server 2003 обладает уязвимостями, не связанными с 1С и MS SQL, но атаки с использованием этих уязвимостей могут способствовать получению контроля над данными перечисленных приложений;
• пользователи могут передавать файлы из удаленного сеанса на компьютеры сети по протоколу SMB;
• различные вирусы, распространяющиеся по сети, также создают угрозы безопасности;
• так как пользователи находятся в одном сегменте сети с серверами, то особо умные могут пытаться соединиться с ними по портам MS SQL и 1C.

Задачи

1. Минимизировать риски реализации уязвимостей операционной системы.
2. Сделать невозможной передачу файлов по протоколу SMB с терминальных серверов на компьютеры пользователей.
3. Исключить возможность доступа пользователей к серверам 1С и MS SQL.
4. Минимизировать количество пользователей, которые могут передавать файлы на свои компьютеры по протоколу RDP.

Требования к реализации

Обеспечить простоту и удобство использования ресурсов 1С Предприятия.

Решение

Составим схему движения необходимых потоков трафика.

Рисунок 2. Необходимые потоки трафика
Как видно, для полноценного функционирования 1С нужно не так уж и много.

Компьютер	Исходящие подключения	Входящие подключения
AD DC	Не требуются	Все компьютеры сети
Сервер 1С	Сервер БД 1С	Терминальные сервера
Сервер БД 1С	Не требуются	Сервер 1С
Терминальные сервера	Сервер 1С	Пользователи

Из таблицы видно, что сеть можно разделить на три сегмента:

1. «Сервер 1С» + «Сервер БД 1С»;
2. «Терминальные сервера»;
3. «Пользователи» + «AD DC».

Далее я буду использовать терминологию из «Information Technology Security Guideline. Network Security Zoning»:
Operation Zone (OZ) – стандартная среда для повседневных операций, в которой располагается большая часть пользовательских систем и серверов. Здесь может обрабатываться конфиденциальная информация, однако она не подходит для хранения больших массивов конфиденциальной информации или для критических приложений.
Restricted Zone (RZ) – обеспечивает контролируемую сетевую среду для критических сервисов или для больших массивов конфиденциальной информации.
Для выполнения задач 1-3 разделим сеть на несколько зон:

1. RZ1C – в эту зону войдут «Сервер 1С» и «Сервер БД 1С».
2. RZTS – в эту зону войдут терминальные сервера.
3. OZ – в эту зону войдут контроллер домена «AD DC» и пользователи.

Прохождение трафика будем регулировать маршрутизатором, в который внесем необходимые правила.

Рисунок 3. Схема зонирования сети
Для решения задачи 4 выполним следующее:

• на каждом терминальном сервере создадим новое подключение в дополнение к стандартному, оно будет функционировать на порту 3390;
• разрешим подключаться на порт 3389 всем пользователям, а на порт 3390 только пользователям группы TerminalDisk;
• в свойствах подключений на терминальных серверах отключим клиентам возможность подключать локальные диски на порту 3389 и разрешим подключать локальные диски на порту 3390.

Таким образом мы сможем разрешать подключать локальные диски только конкретным пользователям.

Реализация

Маршрутизация

В качестве маршрутизатора в этой статье я буду использовать компьютер с тремя сетевыми картами с операционной системой семейства GNU/Linux. Программное обеспечение для маршрутизации – Iptables. Скрипт настройки Iptables приведен ниже.

#!/bin/sh echo 1 > /proc/sys/net/ipv4/ip_forward OZ=192.168.0.0/24 RZTS=192.168.2.0/24 RZ1C=192.168.1.0/24 ADDC=192.168.0.1 # Удаляем все имеющиеся правила iptables –F iptables –X iptables –-flush # Устанавливаем политику по умолчанию iptables –P INPUT DROP iptables –P OUTPUT DROP iptables –P FORWARD DROP # Разрешаем пакеты с состоянием ESTABLISHED и RELATED по протоколам TCP и UDP iptables –A FORWARD –p tcp –m state --state ESTABLISHED,RELATED –j ACCEPT iptables –A FORWARD –p udp –m state --state ESTABLISHED,RELATED –j ACCEPT # Разрешаем протокол RDP в направлении OZ->RZTS iptables –A FORWARD --src $OZ --dst $RZTS –p tcp --dport 3389:3390 –j ACCEPT # Разрешаем DNS-запросы в направлении RZTS->ADDC, RZ1C->ADDC iptables -A FORWARD –-src $RZTS --dst $ADDC -p udp --dport 53 -j ACCEPT iptables –A FORWARD --src $RZ1C –-dst $ADDC –p udp --dport 53 –j ACCEPT # Открываем порты для Active Directory iptables –A FORWARD --src $RZTS --dst $ADDC –p udp --dport 88 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p udp --dport 88 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 135 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 135 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 139 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 139 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p udp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p udp --dport 389 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 445 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 445 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $ADDC –p tcp --dport 1025 –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p tcp --dport 1025 –j ACCEPT # Разрешаем порты 1С iptables –A FORWARD --src $RZTS --dst $RZ1C –p tcp --dport 1541 –j ACCEPT iptables –A FORWARD --src $RZTS --dst $RZ1C –p tcp --dport 1560:1591 –j ACCEPT # Разрешаем пинг, чтобы все работало iptables –A FORWARD --src $RZTS --dst $ADDC –p icmp –j ACCEPT iptables –A FORWARD --src $RZ1C --dst $ADDC –p icmp –j ACCEPT iptables –A FORWARD --src $OZ --dst $ADDC –p icmp –j ACCEPT # REJECT все остальное iptables –A FORWARD –j REJECT # REJECT еще раз iptables –A INPUT –j REJECT 

Замечания к скрипту

Действие DROP просто «сбрасывает» пакет и iptables «забывает» о его существовании. «Сброшенные» пакеты прекращают свое движение полностью, т.е. они не передаются в другие таблицы, как это происходит в случае с действием ACCEPT. Следует помнить, что данное действие может иметь негативные последствия, поскольку может оставлять незакрытые «мертвые» сокеты как на стороне сервера, так и на стороне клиента, наилучшим способом защиты будет использование действия REJECT особенно при защите от сканирования портов (Iptables Tutorial).

Разрешить прохождение через маршрутизатор пакетов UDP и TCP по порту 475 в двустороннем направлении Сервер_лицензийКлиент_1С.

Сопоставление локальных дисков клиента

Посредством визуальных мастеров мы не можем просто так добавить новый прослушиваемый порт на терминальном сервере: для этого необходимо, чтобы эти подключения были доступны с разных интерфейсов, или по разным протоколам, о чем и говорит появляющаяся при попытке обмануть судьбу ошибка.

Рисунок 4. Попытка создать новое подключение с существующими параметрами
Однако нас такой вариант развития событий не устроит.
Стандартно подключение имеет название «RDP-Tcp», а информация о нем хранится в разделе реестра HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\ИМЯ_ПОДКЛЮЧЕНИЯ
Для создания нового подключения необходимо:

• экспортировать указанную ветвь реестра в файл с раширением *.reg;
• открыть этот файл с помощью текстового редактора;
• изменить в файле экспорта HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\ИМЯ_ПОДКЛЮЧЕНИЯ на HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\ИМЯ_ПОДКЛЮЧЕНИЯ2
• найти в файле экспорта строку PortNumber и изменить числовое значение на 0xd3e (3390 в десятеричной системе, хотя можно использовать любой другой);
• импортировать получившийся файл в реестр.

После описанных манипуляций создадим группу TerminalDisk и добавим в нее тех, кому мы доверим сопоставление локальных дисков.
Затем в свойствах нашего нового подключения укажем, что подключаться к нему может только группа TerminalDisk и разрешим сопоставление локальных дисков, а в свойствах старого подключения запретим сопоставление дисков и буфера обмена.

Заключение

В дальнейшем можно усилить схему, внедрив систему обнаружения вторжений.
Вот и все. Надеюсь, кому-нибудь данный материал окажется полезным. С уважением и наилучшими пожеланиями.

Источники

1. Information Technology Security Guideline (ITSG-38) – Network Security Zoning (Design Considerations for Placement of Services within Zones) — http://www.cse-cst.gc.ca/its-sti/publications/itsg-csti/itsg38-eng.html.
2. Службы и сетевые порты в серверных системах Microsoft Windows — http://support.microsoft.com/kb/832017.
3. Restricting Active Directory replication traffic and client RPC traffic to a specific port — http://support.microsoft.com/kb/224196/en-us.
4. Руководство по iptables (Iptables Tutorial 1.1.19) — http://www.opennet.ru/docs/RUS/iptables/.
5. How can I add a new RDP listening port to Windows 2000/2003 Terminal Server? — http://www.petri.co.il/add_a_new_rdp_listening_port_to_terminal_server.htm.
6. 1С: Предприятие 8.2. Клиент-серверный вариант. Руководство администратора.
7. 1C типичные проблемы при работе с HASP — http://itunion.com.ua/article.php?id=39.

Настройка доступа к сети

Для корректной работы сервиса 1С-Отчетность необходимо проверить следующие настройки:

Примечание.

Данные настройки производятся системным администратором (или под его руководством).

1. Антивирусы и межсетевые экраны.

При наличии антивируса и межсетевого экрана (firewall, брандмауэр) в их настройках не должно быть ограничений для прямого доступа к необходимым серверам. Если в системе настроена проверка SSL — её необходимо отключить.

2. Прокси сервер.

Если соединение с интернетом проходит через прокси-сервер, необходимо разрешить прямой доступ в обход прокси для используемых серверов, а также настроить авторизацию на прокси-сервере в 1С для передачи отчетности.

3. Порты передачи данных.

Обязательно следует открыть порт 80 HTTP.

Далее, в зависимости от того, обмен с какими контролирующими органами используется:

1). Обмен с ФНС, ПФР, Росстатом

• 465 SMTP и 110 POP3 (резервные 25 SMTP и 995 POP3)
• report.keydisk.ru (31.13.60.76)

2). Обмен с Росалкогольрегулированием

• 443 HTTPS
• service.fsrar.ru (146.120.90.20)

3). Обмен с ФСС

• 80 HTTP, 443 HTTPS
• f4.fss.ru (193.148.44.187) (отправка 4-ФСС)
• docs.fss.ru (193.148.44.187) (реестры больничных листов)
• cabinets.fss.ru (193.148.44.188) ; portal.fss.ru (193.148.44.186) (реестры ЭЛН)

4). Обмен с Росприроднадзором

• 443 HTTPS
• lk.fsrpn.ru (37.16.80.199)

5). Обмен с ФТС

• 80 HTTP
• edata.customs.ru (77.108.76.27)

6). Обновления 1С/модуля документооборота

• 80 HTTP
• downloads.1c.ru (89.111.148.68)

7). Обновления учетной записи

• 80 HTTP
• regservice.keydisk.ru (91.239.5.33)

Доступ к портам можно проверить с помощью командной строки. Для этого перейдите в меню Пуск → Выполнить и впишите cmd. В открывшейся командной строке введите команду telnet, через пробел адрес сервера и через пробел соответствующий ему порт.

Например: telnet report.keydisk.ru 465

Примечание.

Клиент telnet может быть отключен в системе. При использовании команды с выключенным клиентом telnet появится сообщение Команда telnet не является внутренней или внешней компонентой. Для включения клиента telnet необходимо перейти в Панель управления → Программы и компоненты → Включение и отключение компонентов Windows и проставить флажки на пунктах клиент telnet и сервер telnet.

• Как подключиться
• Акции
• Личный кабинет
• Тренажер