Настройка удалённого рабочего стола (RDP) для доступа к 1С на Windows Server 2008/2016/2019

Данная инструкция идеально подходит для изолированной внутренней сети, где вы целиком контролируете все сегменты. Будьте особенно внимательны при открытии RDP в интернет: обязательно настраивайте ограничения по IP, используйте VPN‑туннели, крепкие пароли и регулярные обновления сервера, чтобы минимизировать риски несанкционированного доступа. Если у вас есть опасения, вы всегда можете обратиться к нам за услугой по настройке RDP для 1с по всем правилам.

Мы показываем как настроить — и не скрываем, как именно! Кратко: в этой инструкции показано, как шаг за шагом включить и настроить удалённый рабочий стол (RDP) для работы с 1С на Windows Server 2008/2016/2019, а затем организовать проброс порта 3389 через MikroTik с учётом всех нюансов — от разрешения подключений и настройки брандмауэра до создания RDP‑файла для пользователей и рекомендаций по выбору клиентских приложений на разных ОС. Все примеры приведены с учётом типовых сценариев и настроек маршрутизатора RouterOS, так что вы получите готовый рабочий алгоритм без «тайных шестерёнок».

   Введение. Удаленный рабочий стол (RDP) – один из наиболее популярных способов обеспечить удаленный доступ пользователей к приложениям, включая 1С:Предприятие. В данном руководстве описаны шаги по настройке RDP-доступа к 1С на серверах Windows разных версий (2008, 2016, 2019), а также конфигурация маршрутизации через роутер MikroTik для организации доступа через интернет. Мы рассмотрим общие для всех версий Windows Server настройки, отметим важные нюансы каждой версии, и подробно остановимся на пробросе порта (NAT) и работе с внешним IP на MikroTik.

Включение удаленного рабочего стола на Windows Server

Настройка удаленного доступа начинается с разрешения RDP-подключений на самом сервере с 1С. Шаги на Windows Server 2008, 2016 и 2019 во многом схожи, различаясь лишь интерфейсом:

1. Разрешение RDP: Откройте свойства системы. Проще всего это сделать комбинацией Win + Pause/Break (в Windows Server 2016/2019 также можно через Server Manager -> Local Server -> параметр Remote Desktop). В свойствах системы перейдите на вкладку Удаленный доступ. В секции “Удаленный рабочий стол” установите переключатель в положение «Разрешить удаленные подключения к этому компьютеру»​. На современных системах также рекомендуется оставить включенной опцию "Разрешать подключения только компьютеров с проверкой подлинности на уровне сети (NLA)" для повышения безопасности.

2. Подтверждение брандмауэра: При включении RDP Windows обычно предлагает автоматически разрешить RDP в брандмауэре. Согласитесь с этим запросом. Если запрос не появился, убедитесь вручную, что в Brandмауэре Windows активированы правила, разрешающие входящие подключения по протоколу RDP (порт 3389)​. Для надежности можно включить правило Remote Desktop (TCP-In) для профилей Domain/Private/Public.

3. Пользователи RDP: По умолчанию право удаленного входа имеют пользователи группы Администраторы. Если входить будут не только администраторы, нажмите кнопку Выбрать пользователей... (Select Users) и добавьте учетные записи, которым нужен доступ. Эти учетные записи автоматически будут добавлены в группу Remote Desktop Users на сервере. Например, можно создать отдельного пользователя Windows специально для доступа к 1С и предоставить ему RDP-доступ.

4. Применение настроек: Нажмите OK для сохранения настроек. Служба Terminal Services (Remote Desktop Services) обычно уже запущена. Если потребуется, перезапустите сервис удаленных рабочих столов (в services.msc он называется Remote Desktop Services или TermService).

Отличия версий Windows Server: В Windows Server 2008 R2 параметры RDP находятся на той же вкладке свойств системы. В Windows Server 2016/2019 можно включить RDP также через новое меню «Параметры» (Settings -> System -> Remote Desktop), что по сути делает те же изменения. Интерфейс может немного отличаться, но суть шагов одинакова – разрешить Remote Desktop и настроить пользователей. Учтите, что Windows Server 2008 по умолчанию позволяет 2 одновременных RDP-подключения для администраторов (администрирование сервера). Для организации полноценной работы нескольких пользователей 1С через RDP на Windows Server (например, нескольких бухгалтеров одновременно) может понадобиться развертывание роли Remote Desktop Session Host и покупка клиентских лицензий RDS. В рамках данной инструкции предполагается небольшое число одновременных подключений (до двух), не требующих дополнительного лицензирования.

Настройка подключения к 1С через RDP

Когда RDP разрешен, пользователь может подключиться к серверу и работать в 1С как будто он находится за самим сервером. Типовой сценарий: 1С (толстый клиент или тонкий клиент) установлена на сервере, база развернута там же; пользователь по RDP получает доступ к рабочему столу сервера и запускает 1С.

Подключение клиента: На компьютере пользователя (под управлением Windows) запустите приложение Подключение к удаленному рабочему столу (mstsc.exe). В поле «Компьютер» введите внешний адрес сервера. Если клиент в той же локальной сети – это может быть внутренний IP-адрес сервера (например, 192.168.0.10). Если подключение идет через интернет – нужно указать внешний IP-адрес вашей сети (или DNS-имя). Нажмите «Подключить» и введите учетные данные пользователя, имеющего доступ. При успешном подключении вы увидите рабочий стол сервера​. Теперь можно запустить ярлык 1С:Предприятие и работать в базе.

Для удобства пользователей можно создать RDP-файл подключения с заранее настроенным адресом, именем пользователя и другими параметрами (разрешение экрана, перенаправление принтеров и дисков и т.п.), чтобы сотрудники запускали 1С по удаленному рабочему столу в один клик.

Замечание по версиям ОС: Пользователи с Windows 10/11, macOS или мобильных устройств также могут подключаться по RDP – для этого используются стандартный клиент mstsc (Windows) или официальное приложение Microsoft Remote Desktop (для macOS, iOS, Android). Важно, чтобы версия RDP-клиента была не ниже 6.1 для совместимости с современными серверными ОС​ (большинство современных ОС это условие выполняют).

Маршрутизация через MikroTik: NAT и проброс портов

В ситуациях, когда сервер 1С (с настроенным RDP) находится в локальной сети за маршрутизатором, необходимо настроить проброс порта 3389 на маршрутизаторе MikroTik, чтобы обеспечить доступ извне. Рассмотрим настройку на примере MikroTik RouterOS:

• Схема подключения: Предположим, сервер 1С имеет локальный IP 192.168.0.10 и настроен на прием RDP. MikroTik подключен к интернету и имеет внешний (белый) IP-адрес, например 87.236.16.206. Клиенты будут подключаться с интернета к этому внешнему адресу.

• Настройка DST-NAT (порт-форвардинг): В MikroTik откройте меню IP → Firewall → NAT и добавьте новое правило:

  • Chain: dstnat (цепочка для входящего трафика на трансляцию)​.

  • Protocol: tcp (RDP работает по TCP).

  • Dst. Port: 3389 (стандартный порт RDP).

  • In. Interface: внешний интерфейс MikroTik, подключенный к интернету (например, ether1-WAN или PPPoE интерфейс от провайдера)​. Это ограничит применение правила только к пакетам, приходящим снаружи.

  • Перейдите на вкладку Action и выберите dst-nat в поле Action.

  • To Addresses: укажите внутренний IP-адрес сервера, например 192.168.0.10​.

  • To Ports: 3389 (порт назначения в локальной сети, обычно тот же 3389).

  • Сохраните правило.

  Таким образом, роутер будет перенаправлять все поступающие извне подключения на порт 3389 к серверу 1С в локальной сети. (На RouterOS эта же операция в терминале выглядит так:
  /ip firewall nat add chain=dstnat protocol=tcp dst-port=3389 in-interface=<WAN> action=dst-nat to-addresses=192.168.0.10 to-ports=3389).

• Проверка правил firewall: Убедитесь, что на MikroTik нет других правил firewall, блокирующих входящие подключения на 3389. Как правило, если используется базовый фаервол, правило dst-nat и установленные соединения будут пропускаться (по умолчанию в MikroTik входящий трафик фильтруется, но ответный – established/related – разрешается).

• Статический адрес или динамический: Если у вашего интернет-подключения статический внешний IP, то пользователи будут всегда подключаться по нему. Если IP динамический (меняется), настройте динамический DNS или воспользуйтесь сервисом MikroTik IP Cloud для получения доменного имени, привязанного к IP. Это позволит всегда подключаться по имени, даже при смене адреса.

• Маршрут по умолчанию: Проверьте, что у сервера 1С установлен правильный шлюз по умолчанию – внутренний адрес MikroTik (например, 192.168.0.1). Иначе пакеты не будут возвращаться клиенту во внешний интернет. Обычно в локальной сети это настроено через DHCP или статически.

• NAT для исходящего трафика: Если MikroTik уже настроен для интернет-доступа, скорее всего, включен маскарадинг исходящего трафика (chain=srcnat, action=masquerade). Это нужно для того, чтобы сервер отвечал через тот же внешний IP.

Теперь, когда NAT настроен, удаленный пользователь, находясь вне офиса, может открыть клиент RDP и в качестве адреса указать внешний IP-адрес MikroTik (например, 87.236.16.206). Роутер направит этот трафик на сервер 1С. После ввода логина и пароля пользователь получит рабочий стол сервера и сможет работать в 1С.

На схеме выше показан пример: запросы RDP на адрес 87.236.16.206:3389 перенаправляются на 192.168.0.20:3389 во внутренней сети​. Аналогично, для веб-сервера проброшен порт 80 на 192.168.0.5:80 (если бы мы настраивали доступ к веб-приложению). Ваша конфигурация будет содержать только правило для RDP (3389 -> 192.168.0.10).

Дополнительные рекомендации по безопасности RDP через интернет

Открытие RDP в интернет несет определенные риски (подбор паролей, уязвимости RDP и пр.). Следуйте лучшим практикам для защиты:

• Сильные пароли: Учетные записи, допущенные по RDP, должны иметь надежные пароли. Не допускайте пустых или тривиальных паролей.

• Ограничение доступа по IP: В MikroTik вы можете создать правило фильтрации (Chain: input или forward) или добавить условие Src. Address List в правило dst-nat, чтобы разрешить RDP только с определенных внешних IP (например, офисов или домашнего адреса ключевого сотрудника). Это значительно повысит безопасность.

• Смена порта: Рассмотрите возможность изменить внешний порт для RDP на нестандартный. Например, проброс с порта • `, хоть и не остановит целенаправленную атаку, но отсеет часть автоматических сканирований.

• Использование VPN: Альтернативный подход – VPN-туннель до сети с сервером, а уже затем RDP внутри туннеля. MikroTik поддерживает различные VPN (L2TP/IPsec, OpenVPN и др.). VPN обеспечивает шифрование и аутентификацию, убирая необходимость открывать RDP напрямую.

• Обновление системы: Следите за обновлениями Windows и ставьте патчи безопасности, особенно связанные с удаленным рабочим столом. Известны критические уязвимости (например, BlueKeep) в службе RDP, которые были устранены в обновлениях.

Проверка удаленного доступа и работа с 1С

После настройки убедитесь, что всё работает правильно:

• Тестирование изнутри сети: Попробуйте подключиться по RDP к серверу из локальной сети (по внутреннему IP). Если не удается – проверьте настройки на сервере (разрешен ли RDP, пользователи, firewall).

• Тестирование извне: Подключитесь по RDP с внешней сети (например, через интернет с мобильного интернета или из дома) на внешний IP-адрес (или имя) вашего MikroTik. Если соединение не проходит, выполните диагностику:

  • Убедитесь, что внешний IP актуален и пингуется (если пинг не отключен).

  • Проверьте, срабатывает ли правило dst-nat на MikroTik (в WinBox на вкладке Connections можно увидеть входящие подключения).

  • В логах MikroTik может быть видна информация об NAT.

  • Проверьте, не блокирует ли провайдер порт 3389 (некоторые провайдеры блокируют стандартные порты). Если блокировка есть, можно использовать другой внешний порт.

• Производительность: По RDP можно работать в 1С довольно комфортно даже через интернет, так как передаются только изменения экрана. Однако скорость работы зависит от канала: для комфортной работы желателен канал от 1-2 Мбит/с на каждого активного пользователя RDP. Если в 1С много графиков, изображений или активно прокручиваются списки, потребление трафика возрастает.

• Печать и сканеры: Если пользователям нужно печатать из 1С или использовать локальные ресурсы, настройте перенаправление принтеров и дисков в настройках RDP-клиента. Windows RDP позволяет перенаправлять локальный принтер в сеанс, а начиная с Windows Server 2012 также доступна функция Easy Print (облегченная перенаправленная печать без установки драйверов на сервер).

Заключение

Мы детально рассмотрели процесс настройки удаленного доступа к 1С через протокол RDP на Windows Server 2008/2016/2019, а также сконфигурировали маршрутизатор MikroTik для доступа извне. Следуя этой инструкции, вы сможете обеспечить безопасное и эффективное подключение сотрудников к 1С из любой точки мира. RDP-доступ часто дополняет другие способы (например, веб-клиент 1С или работу через тонкий клиент по VPN), и выбор зависит от конкретных потребностей. Грамотно настроенный удаленный рабочий стол позволяет пользователям работать с привычным интерфейсом 1С и другими офисными программами на сервере, снижает требования к рабочим станциям и централизует хранение данных. Не забывайте уделять внимание безопасности при открытии доступа через интернет – это залог стабильной и защищенной работы вашей системы 1С.