TI-Services (eRezept, ePA, KIM) über VPN mit TI-Gateway

David Stenger

Heute haben wir vom TI-Konnektor zum TI-Gateway umgestellt.

Bei dem TI Konnektor war es möglich, dass ich von zu Hause über VPN (ssl) eRezepte signieren, so ePA befüllen und KIM versenden.

Mit dem Gateway funktioniert dies aktuell nicht mehr, was mich doch sehr stört.

Leider konnte mir auch bisher niemand die genauen Konfigurationen, die hierfür notwendig wären nennen.

Der VPN adressbereich ist im Gateway hinterlegt. Wir nutzen eine Sophos Firewall.

Andreas Eisenried

Daran bin ich auch sehr interessiert. Ist für mich ein Hauptkriterium, dass das funktioniert.

Bisher musste man im Secunet Konnektor unter "Netzwerk", "Allgemein", "Intranet Modus" SIS, "Intranet Routing Modus" Block, die Intranetrouten vom Konnektor zum VPN Adressbereich einstellen: z.B. Netzwerk/Segment: 192.168.2.0/24, Next Hop 192.168.0.1 (VPN/Router)

Damit ging es wunderbar.

Das neue TI-Gateway befindet sich ja in einem eigenen Subnetz. Es muss die Route vom eigenen VPN zum Gateway-Subnetz und umgekehrt in allen beteiligten Routern/Firewalls hinterlegt sein. Kannst du aus deinem VPN Netz das TI-Gateway anpingen? Was sagt TraceRoute?

Bzw. was ist als "IP-Adresse des Standard-Gateway* im TI-Gateway eingetragen?

Burkard Hecker

Guten Morgen,

die Anbindung an mein Home-office ist für mich auch sehr wichtig.

Bestellt habe die Umstellung auf das Gateway. Ich mache mir Sorgen bezüglich der Umsetzung. Es wird sehr schwierig werden meine EDVler und den Support auf einen Termin zusammen zu bringen. Ich selber kann und will an der Sophos Firewall nicht "herumspielen".

Für praktikabler erachte ich, Zollsoft würde mir die Einstellungsdaten die VPN zum Gateway bekannt geben. Dann könnte mein EDVler das in Ruhe eintragen

Beste Grüsse

B. Hecker

Andi Dittrich

Im Admin Bereich (connecti Zugangsdaten/Account der Praxis bzw DVO - dort gibt es auch die VPN Zugangsdaten) müssen wie bisher die Bestandsnetze der Praxis hinterlegt werden (auch das VPN Transportnetz sofern kein NAT aktiv ist).

In der Praxis-Firewall wird "nur" ein ipSec Tunnel eingerichtet, über den der TI Traffic geleitet wird (policy oder route based). Eine extra Gateway Route etc ist nicht erforderlich sofern es "nur" eine Firewall/Gateway/Applicance in der Praxis gibt. Die Firewall routet dann den TI Traffic "automatisch" (sofern ipsec Policies + FW Regeln richtig eingerichtet sind).

Die technische Umsetzung der TiaaS Lösung (vKonnektor IP, Transportnetz etc.) ist im Endeffekt für das Routing nicht relevant. Wichtig ist nur, dass der TI Traffic per Policies (oder L3 Routing) über den TI Gateway VPN läuft.

Andreas Cepin

😢 ich verstehe nur Bahnhof ... Sie brauchen mir das jetzt nicht näher erläutern, ich stelle nur fest, dass diese Anwendungen nun wirklich nicht trivial sind und den normal computeraffinen User (mich) überfordern.

David Stenger

Problem ist gelöst. Letztlich hab noch das Netz des Gateways in den Netzen gefehlt, auf die das VPN zugreift.

Martin Berthold

Selbes Problem hier, seit der Umstellung auf den TI-Gateway keine TI-Services mehr von zuhause über den Wireguard-VPN-Zugang mehr nutzbar. Könnte nochmal jemand netterweise verständlich erklären, wo ich im TI-Gateway das VPN-Transportnetz hinterlegen muss? Im Handbuch ist nur die Anleitung für den secunet-Konnektor. Muss ich zusätzlich im Router/in der Firewall was konfigurieren?

JA Wessig

Bei mir ging es so:

1. einloggen unter portal.connecti.service-ti.de

2. "Konnektoren" auswählen

3. "Details" des Konnektors auswählen

4. oben rechts "Bearbeiten" auswählen

5. Netzwerk hinzufügen und Homeoffice Netzwerk im CIDR-Format einfügen (z.B. 192.168.1.0/24)

6. alles speichern

7. site to site VPN-Verbindung herstellen

8. in Tomedo Einstellung auswählen

9. unter Kartenlesegerät folgende Einstellungen vornehmen:

10. Kartenlesegerät ins Homeoffice-Netz stöpseln

11. Kartenlesegerät - Adresse in die Konnektoreinstellungen via ConnecTI-Key App eingeben

Ergebnis:

Bei Zugriff auf Praxis-Netz über einen VPN-Client auf dem Notebook funktionieren eRezept, Aktivierung der Komfort-Signatur und Arztbrief-Signatur, bei Zugriff aus dem homeoffice-Netz via site-to-site VPN funktioniert zusätzlich das Einlesen der EGK, wenn man das braucht.

Da ich keine Ahnung von diesen ganzen VPN-Specials habe, habe ich glaube ich von der automatischen Site-to-site Funktion meiner Firewall profitiert (unifi). Das ging genau nach meinem Geschmack über ein grapfisches Interface per klick.

Good luck!

Martin Berthold

Vielen Dank für die ausführliche Antwort, werde ich morgen gleich ausprobieren.

Dirk Küpper

Eine mögliche Alternative ist TeamViewer Host auf einem Rechner in der Praxis installieren, der immer eingeschaltet ist. Zu Hause TeamViewer starten. TeamViewer ID und fest eingestelltes Passwort eingeben und verbinden. Die Einzelnutzer Lizenz von TeamViewer liegt bei 16,90 Euro plus MwSt. monatlich. Diese ist völlig ausreichend um von zu Hause aus zu arbeiten wie als wenn man in der Praxis vor dem Computer sitzt.

Martin Berthold

Funktioniert bei mir leider weiterhin nicht. Ich habe im Konnektor folgende Einträge für lokale Netzwerke: 192.168.2.0/24 (der Eintrag war vorhanden, unsere Geräte im Praxis-Netzwerk haben alle eine 192.168.2.X-IP-Adresse) und 192.168.5.0/24 (192.168.5.2 ist die IP, die mein Homeoffice-Laptop vom Wireguard-VPN in unserem Netzwerk zugewiesen wird). Gestern hatte ich zusätzlich noch als Eintrag 192.168.178.0/24 (IP-Adressbereich der Fritzbox zuhause), das hat allerdings auch nicht funktioniert, weshalb ich diesen Eintrag wieder rausgenommen habe. Übersehe ich etwas? Danke für die Unterstützung!

Routen im Router/der Firewall sind eingetragen:

JA Wessig

"Funktioniert nicht" heißt alles funktioniert nicht?

Nach meiner Erfahrung ist Serververbindung, Signieren von Briefen und eRezepten mit verschiedenen VPN-Lösungen möglich, auch ohne Einstellungen im Konnektor vorzunehmen. Sei es remot, sei es in der Praxis ist bei mir dafür die "Redirect via Server (Beta!!)" Einstellung erforderlich, die manchmal aber nicht funktioniert. Hier hilft dann mitunter ein Klick auf "Redirect-via-Server neu starten", gefolgt von einem Klich auf die bei mir schon ganz abgewetzte Schaltfläche "TI-Verbindung neu starten".

Handelt es sich um ein Notebook, das in der Praxis funktioniert? Ansonsten fiele mir da noch die Arbeitsplatzzuordnung in den Tomedo-Einstellungen Admin - Geräteeinstellungen - TI-Konnektor ein.

Um ein Kartenterminal remore einzubinden braucht es nach meiner Erfahrung ein site-to-site VPN und erst hier wird die Eintragung des IP-Bereichs im Konnektor relevant. Wenn man das manuell konfigurieren will, kann leider viel schief gehen (ist es zumindest bei mir).

Wenn das nicht weiter hilft, wäre eine Info zu Serververbindung und Notebook hilfreich.

Grüße!

Martin Berthold

Unser ITler hat das Problem in 2 Minuten lösen können: Das Problem war weder das TI-Gateway noch der Router, sondern dass im VPN-Tunnel kein DNS-Server (Router-IP der Praxis) eingetragen war und somit Split-Tunneling aktiv war (Teil des Datenverkehrs ging über den VPN-Tunnel, Teil direkt übers Internet). Ich hatte mich schon gewundert, dass ich beim Speedtest über den VPN-Tunnel 200 Mbit im Download hatte, obwohl der Praxis-DSL-Zugang nur 40 Mbit Upload hat, aber auf die jetzt umgesetzte Lösung wäre ich alleine nicht gekommen.

Danke dennoch für die Tipps und den Input, wieder bisschen was über Netzwerkarchitektur, VPN-Tunnel und den TI-Gateway gelernt.

JA Wessig

Sehr gut!

Martin Deile

Top! Danke für den Screenshot!!!

M.Deile