Как настроить терминальный доступ 1С

Полная инструкция: от требований к серверу до настройки RemoteApp и безопасного доступа через RDG или VPN. Для малого и среднего бизнеса.

Что такое терминальный доступ к 1С и когда он нужен

Терминальный сервер позволяет запускать 1С централизованно: пользователи работают через RDP с любого компьютера или планшета.

Терминальный доступ к 1С — это модель, при которой 1С:Предприятие установлено на одном сервере (терминальном), а пользователи подключаются через протокол RDP и работают в удалённом сеансе. Никаких установок 1С на рабочих местах не нужно. Это стандарт для компаний с удалёнными сотрудниками и там, где важна централизованная поддержка.

Когда терминал оправдан — Удалённые сотрудники или несколько офисов; слабые рабочие места; жёсткие требования к безопасности (данные не хранятся на рабочих ПК); нужна централизованная поддержка и обновления.
Когда терминал избыточен — Один офис, 3–5 пользователей, все на современных ПК в локальной сети — файловый или клиент-серверный вариант без терминала проще и дешевле.
RemoteApp vs полный рабочий стол — RemoteApp показывает пользователю только окно 1С, без полного рабочего стола сервера. Это удобнее для конечных пользователей и безопаснее — ограничивает доступ к файловой системе сервера.

Требования к серверу и лицензии

Правильный подбор железа и лицензий — фундамент стабильной работы.

Терминальный сервер для 1С требует больше RAM и CPU, чем обычный файловый сервер, потому что каждый пользователь запускает отдельный процесс 1С в своём сеансе.

RAM — Ориентир: 2–4 ГБ на одного активного пользователя 1С (зависит от конфигурации и объёма данных) плюс 4–8 ГБ на ОС и сервисы. Для 10 пользователей — минимум 32 ГБ.
CPU — 1С хорошо масштабируется на многоядерных процессорах. Для терминала с 10–20 пользователями — минимум 8 физических ядер.
Лицензии Windows Server + RDS CAL — Терминальный сервер (Remote Desktop Services) требует лицензию Windows Server (Standard или Datacenter) и пользовательские или устройственные CAL (Client Access License) для RDS. Без CAL работает не более 2 административных сессий.
Лицензии 1С — 1С на терминальном сервере требует лицензии на каждого одновременно работающего пользователя — те же клиентские лицензии 1С, что и при обычной сети. Платформенная лицензия — одна на сервер.

RDS CAL — отдельная лицензия от Microsoft. Стандартная лицензия Windows Server не включает право на пользовательские RDP-подключения сверх двух. Отсутствие RDS CAL — нарушение лицензионного соглашения Microsoft. Проверьте наличие CAL до запуска терминала в продуктив.

Пошаговая настройка роли Remote Desktop Services

Инструкция для Windows Server 2019/2022. Для версий 2016 — аналогично.

Установите роль Remote Desktop Services — Выберите Remote Desktop Services Installation → Quick Start (для одного сервера). Выберите Session-Based Desktop Deployment. Установите: RD Session Host, RD Web Access, RD Connection Broker на один сервер (для простой схемы).
Добавьте лицензирование RDS — Установите роль RD Licensing, активируйте сервер лицензирования и добавьте CAL. Укажите этот сервер как источник лицензий в Group Policy (Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Session Host → Licensing).
Установите 1С:Предприятие на сервер — Установите платформу 1С в режиме «Толстый клиент» или «Тонкий клиент» (или оба). Добавьте ярлык запуска в RemoteApp или на рабочий стол пользователей.
Настройте RemoteApp — Создайте коллекцию Session Collection, добавьте пользователей/группы AD. Опубликуйте приложение 1С как RemoteApp — укажите путь к 1cv8.exe и параметры запуска (путь к базе, режим).
Настройте профили пользователей — Для терминального сервера рекомендуются перемещаемые профили (Roaming) или обязательные (Mandatory). Это обеспечивает сохранность пользовательских настроек 1С между сессиями.

Безопасность: VPN и Remote Desktop Gateway

Прямой RDP в интернет — высокий риск. Стандарт — доступ через VPN или RDG.

Открытый порт 3389 в интернет — постоянная цель брутфорс-атак. Для удалённого доступа к терминальному серверу 1С используйте один из двух подходов.

VPN (рекомендуется для небольших команд) — Сотрудники сначала подключаются к корпоративному VPN (WireGuard, OpenVPN, Cisco AnyConnect), затем по RDP к терминальному серверу по внутреннему IP. Порт 3389 не открывается в интернет.
Remote Desktop Gateway (RDG) — Роль Windows Server, которая принимает RDP-подключения по HTTPS (порт 443) и проксирует их на внутренний терминальный сервер. Требует SSL-сертификат. Проще в настройке для пользователей — не нужно отдельно подключаться к VPN.
Двухфакторная аутентификация — Для доступа к терминальному серверу 1С с критичными данными рекомендуется MFA (например, через интеграцию с Duo Security, ESET Secure Authentication или встроенные механизмы Microsoft Azure MFA для гибридного AD).

Тонкий клиент 1С экономит трафик. В режиме тонкого клиента 1С передаёт по сети только данные (не отрисовку интерфейса), что снижает нагрузку. Но при работе через RDP с терминальным сервером тонкий клиент не нужен — 1С запускается локально на сервере, трафик идёт только на отрисовку RDP-экрана.