Порты сервера 1С: что проверить, если база не открывается

После обновления платформы служба ragent запущена, сервер отвечает на 1540/TCP, но база с рабочих мест не открывается. Не переустанавливайте 1С и не закладывайте замену Dell PowerEdge: сначала проверьте 1541/TCP и рабочий диапазон 1560–1591/TCP.

Для штатной конфигурации кластеру нужны 34 разрешённых номера: два отдельных порта и диапазон из 32 портов. Это не 34 процесса и не 34 соединения. Кластер назначает порты рабочим процессам по мере запуска.

Речь дальше в основном о сервере приложений 1С. Порты СУБД, веб-сервера и сервера лицензирования 1С зависят от схемы развёртывания. Добавлять их в базовый набор 1540, 1541 и 1560–1591 нельзя. Сервер администрирования ras стоит особняком — про него отдельный раздел ниже.

Какому процессу принадлежит каждый порт #

В архитектуре кластера участвуют три процесса. Агент ragent ведёт список кластеров на рабочем сервере. Менеджер rmngr управляет кластером. Рабочий процесс rphost обслуживает клиентские приложения, обращается к СУБД и исполняет серверный код. Такое разделение описано на странице 1С «Архитектура кластера».

Параметры портов задаёт руководство 1С:ИТС «Вопросы установки и настройки 1С:Предприятия в варианте клиент-сервер»:

Порт	Процесс	Для чего нужен
1540/TCP	ragent	Соединение консоли кластера с центральным сервером для административных операций
1541/TCP	главный rmngr	Подключение клиентских приложений к информационным базам кластера
1560–1591/TCP	запускаемые процессы кластера	Динамическое назначение портов процессам

Диапазон содержит 32 номера:

1591 − 1560 + 1 = 32

Открытый 1540 подтверждает доступность агента, но ничего не говорит о соединении клиента с менеджером на 1541 и о доступе к динамическому порту рабочего процесса. Поэтому одно разрешающее правило на 1540 проблему не закрывает.

Подробнее связь между ragent, rmngr и rphost разобрана в материале про агент и системные процессы сервера 1С.

Порт 1545 и сервер администрирования #

Сервер администрирования ras — отдельная служба, а не четвёртый процесс кластера. Через неё работает утилита администрирования rac и внешние средства управления — это не та консоль кластера, что соединяется с агентом по 1540. Порт по умолчанию — 1545/TCP.

О нём стоит помнить три вещи.

1545 не заменяет 1541. Клиентские приложения подключаются к информационным базам через главный порт кластера, а сервер администрирования к этому обмену отношения не имеет.

Если ras у Вас не развёрнут, порт на сервере просто не слушается. Разрешать его в брандмауэре в таком случае нечего.

В базовый набор 1540, 1541 и 1560–1591 порт 1545 не входит. Открывайте его отдельным правилом и только с тех адресов, откуда действительно управляют сервером.

Какие правила нужны для штатной конфигурации #

На сетевой границе между клиентом и сервером приложений разрешите входящий TCP-трафик:

• 1540/TCP;
• 1541/TCP;
• 1560–1591/TCP.

Это не универсальные значения для любой установки. Руководство 1С:ИТС связывает их с параметрами запуска службы:

• -port 1540 задаёт порт агента;
• -regport 1541 задаёт главный порт кластера;
• -range 1560:1591 задаёт диапазон для запускаемых процессов.

Если служба стартует с другими значениями, брандмауэр должен повторять фактические параметры. Открывать одновременно старый и новый диапазоны «на всякий случай» не нужно: правило станет шире, а диагностике это не поможет.

В Windows разрешение создают узким — с указанием источника, а не для всей сети:

New-NetFirewallRule -DisplayName "1C agent (admin subnet)" -Direction Inbound `
  -Protocol TCP -LocalPort 1540 -Action Allow -RemoteAddress 192.168.1.0/24

Подставьте свою административную подсеть. Правило без -RemoteAddress открывает порт всем, кто дотянется до сервера по сети.

Отдельная инструкция по созданию правил собрана в материале о том, какие порты 1С открыть в брандмауэре.

Проверяйте путь от процесса к клиенту #

Сначала выясните, что сервер вообще слушает в диапазоне 1С. В Windows выполните команду от имени администратора:

Get-NetTCPConnection -State Listen | Where-Object { $_.LocalPort -ge 1540 -and $_.LocalPort -le 1591 }

Так Вы увидите фактическую картину этого сервера, а не таблицу из статьи: какие номера заняты и каким процессом.

Чтобы связать с процессом один конкретный порт, хватит и netstat:

netstat -ano | findstr :1541

Последняя колонка содержит PID процесса. Сопоставьте его с rmngr.exe в диспетчере задач или через штатные средства Windows. Для порта из рабочего диапазона повторите проверку и убедитесь, что найденный PID принадлежит процессу кластера.

Такой способ проверки приводит практическое руководство «Какие порты открыть для 1С сервера». Назначение самих портов берите не из него, а из документа 1С:ИТС.

Затем проверьте тот же порт с компьютера, откуда не открывается база:

Test-NetConnection server-1c -Port 1541

Вместо server-1c укажите имя или IP-адрес сервера. Для рабочего диапазона проверяйте порт, который сервер слушает в момент теста. Успешное соединение с 1540 при неудаче на 1541 уже сужает поиск до сетевой фильтрации или правила для менеджера кластера.

Если порт слушается локально, но недоступен с клиента, проверьте активный профиль брандмауэра Windows. В Windows используются профили доменной, частной и общедоступной сети. Разрешающее правило, созданное только для частного профиля, не сработает после определения сети как доменной или общедоступной. Это отдельно отмечено в учебном пособии «Настройка брандмауэра Windows для сервера 1С».

На Linux принцип тот же: сначала подтвердите прослушивание, затем разрешайте конкретный TCP-порт. Практическое руководство приводит такие шаблоны:

firewall-cmd --permanent --add-port=<port>/tcp

iptables -A INPUT -p tcp --dport <port> -j ACCEPT

Подставьте фактическое значение из -port, -regport или -range. После постоянного изменения firewalld его конфигурацию нужно применить принятым в Вашей системе способом.

Почему покупка оборудования здесь не поможет #

Если ragent, rmngr и rphost запущены, нужные порты слушаются локально, а соединение обрывается на сетевой границе, причина не в процессорах, памяти или PERC. Новый сервер воспроизведёт ту же ошибку после переноса правил.

Предварительный бюджет на железо в таком сценарии — 0 ₽. Деньги понадобятся только на работу администратора, если её выполняет подрядчик. Согласовывать замену PowerEdge или сетевого оборудования имеет смысл после проверки процессов, портов, маршрута и правил фильтрации, а не вместо неё.

Карта проверки для стандартного кластера #

Для параметров по умолчанию разрешены 34 номера TCP-портов:

2 + (1591 − 1560 + 1) = 34

Два номера относятся к агенту и главному менеджеру, ещё 32 образуют пул для процессов кластера. Число 34 описывает поверхность сетевого доступа, а не количество постоянно работающих процессов.

Проверьте конфигурацию в таком порядке:

• сверьте параметры запуска -port, -regport и -range;
• найдите локально прослушиваемые порты и соответствующие PID;
• выполните Test-NetConnection с проблемного узла;
• сопоставьте разрешающие правила с активным профилем Windows Firewall;
• после изменения повторите сетевой тест, затем откройте базу.

Для собственного диапазона A:B число номеров равно B − A + 1. К нему прибавляются фактические порты агента и менеджера. Если Вы перенесли один из них, разрешайте новое значение, а не новое вместе со штатным.