Zitat von DrBenjaminFlesch am 4. Oktober 2023, 8:35 Uhr

Notgedrungen betreue ich die TI in der Psychotherapie-Praxis meiner lieben Mutter, da wir bereits viele schlechte Erfahrungen mit verschiedensten Anbietern hatten. Die verkauften Lösungen funktionieren nicht, Hotlines melden sich nicht zurück, und es gibt viele Ausfälle.

Nach einem notgedrungenen TI-Umzug von Secunet-Konnektor zum RISE-Rechenzentrums-Konnektor (das Elefant-Softwareupdate hatte unseren Secunet-Konnektor zerstört) funktionierte der Elefant nur sehr langsam und wir mussten meherere Minuten warten, bis überhaupt eine Karte eingelesen wurde.

Der Rechenzentrums-Konnektor wurde durch eine Drittfirma via "Remote-Support" eingerichtet, aber war danach extremst langsam mit vielen Verbindungsabbrüchen. Gestern Nacht haben wir 8h am Stück gemeinsam in der Praxis verbracht, um das Problem zu analysieren und letztendlich zu lösen.

In diesem Post möchte ich für andere Betroffene den Lösungsweg teilen. Das Problem wäre natürlich vermeidbar gewesen, wenn die Software- und Telematik-Anbieter vorher auch Tests mit wirklichen Benutzern gemacht hätten.

Das Grundproblem lag für uns beim Vodafone-Internetanschluss der Praxis (ehemals Kabel Deutschland). Die Praxis hat einen normalen Vodafone-Anschluss und keinen "Business-Tarif". In letzter Zeit hat Vodafone diese Anschlüsse auf die neue IPv6-Technologie umgestellt. Vereinfacht gesagt ist durch diese Änderung seitens Vodafone in bestimmten Fällen nicht mehr genügend "Bandbreite" im Internetanschluss vorhanden, um die verschlüsselte Verbindung zwischen Elefant und RISE-Rechenzentrums-Konnektor abzuwickeln. Der Praxis-Computer bzw. das Kartenlesegerät schickt zu große "Pakete" über das Internet zum Rechenzentrums-Konnektor, und diese übergroßen Pakete werden (wie auch bei DHL) einfach nicht zugestellt. Auf Grund der absolut verkorksten Software diverser Anbieter ist das Problem in der Realität leider noch viel schlimmer, dem Experten stellen sich hier die Haare auf (Stichwort: Vodafone MTU Dual Stack Wireguard).

Es gibt hierfür zwei Lösungen:

(1) die Netzwerkkonfiguration auf dem Praxis-Computer der sich zum Rechenenzentrum-Konnektor verbindet ändern

oder

(2) bei Vodafone anrufen und einen "Business-Internetanschluss" buchen, der zu der IPv6-Adresse auch noch eine ältere und kürzere IPv4-Adresse hat (kostet dann einige Euros mehr im Monat)

 

Wir haben gestern sehr lange gekämpft um eine Lösung für (1) zu finden, da wir uns gedacht haben, dass der verdammte Secunet-Konnektor vorher schon funktioniert hat und jetzt bitte auch der Rechenzentrums-Konnektor funktionieren soll.

Hier sind die Schritte, wie wir es gelöst haben. Ausgangslage war, dass Elefant sich nicht mit dem Rechenzentrums-Konnektor verbunden hat bzw. die Verbindung spätestens nach dem Lesen der Gesundheitskarte abgebrochen ist. DIESES PROBLEM TRAT NACH DER INSTALLATION DURCH DIE VON HASOMED BEAUFTRAGTE DRITTFIRMA AUF, ALSO GARANTIERT NICHT AUF UNSEREN "FEHLER" ZURÜCKZUFÜHREN. Es wurde vermutlich einfach nicht mit einem normalen Vodafone-Internetanschluss getestet und die entsprechenden Software-Entwickler haben im Büro und daheim nur Telekom & richtige Glasfaser, aber kein Vodafone, sonst wäre das Problem aufgefallen.

Am besten geben Sie die folgenden Hinweise an Ihren IT-Ansprechpartner weiter. Ich gehe auch davon aus, dass sich der Hasomed-Support bzw. die Drittfirmen an diesem Post bedienen werden und diese Schritte hoffentlich bei den Betroffenen Praxen proaktiv umsetzen.

Schritte zur Lösung des Vodafone-Elefant-Rechenzentrum-Konnektor-Fuckups:

1. Voraussetzung: Rechenzentrum-Konnektor wurde per Fernwartung bereits installiert, Elefant ist aber verdammt langsam
2. Auf die Administrations-Oberfläche vom Router (Fritzbox ö.ä.) gehen
   1. Überprüfen, dass der Vodafone-Anschluss keine öffentliche IPv4-Adresse hat, sondern nur IPv6-Adressen. Bei unserer Fritzbox stand im Menupunkt "Internet->Online-Monitor" das folgende "IPv4: Fritz!Box verwendet einen DS-Lite-Tunnel". Wenn Sie diesen Text sehen, sind sie betroffen.
   2. Für das interne Netzwerk IPv6 deaktivieren. Bei unserer Fritzbox war das unter Heimnetz -> Netzwerk -> IPv6-Adressen und dort alles deaktivieren
3. Auf dem Praxis-Computer wurde für den Rechenzentrums-Konnektor ein neues virtuelles Netzwerk-Interface mit dem Namen "tiaas-vpn" erstellt. Gehen Sie auf Systemsteuerung -> Netzwerkadapter und stellen Sie sicher, dass das "tiaas-vpn" auch vorhanden ist.
4. Das Problem ist, dass das Netzwerk-Interface "tiaas-vpn" in der vom Anbieter bereitgestellten Standard-Konfiguration zu große Pakete an das Internet abschickt. Vodafone im "DS-Lite-Tunnel" ignoriert diese Pakete einfach, das sie die maximale Paketgröße überschreiten. Der Konnektor bzw. das Kartenlesegerät erhalten so nur fehlerhafte Datenströme und brechen die Datenintensiven Vorgänge immer wieder ab (z.B. Gesundheitskarte auslesen), obwohl einfache Dinge wie PIN-Eingabe funktionieren. Um dieses Problem zu lösen, müssen wir auf dem Praxis-Computer die Paketgröße limitieren, um keine zu großen Pakete über das Vodafone-Internet an den Rechenzentrums-Konnektor zu schicken. Die Paketgröße wird durch die maximale Übertragungseinheit (MTU) einer Netzwerkverbindung festgelegt. Diesen Wert müssen wir also auf unserem Computer ändern.
5. In den Eigenschaften des Netzwerkadapters "tiaas-vpn" müssen daher IPv6 deaktiviert werden und die MTU für diesen Adapter auf 1302 verringert werden.
6. In den Eigenschaften des normalen Netzwerkadapters (bei uns war das "Ethernet" da wir per Netzwerkkabel mit dem Router verbinden sind) muss auch IPv6 deaktiviert werden und die MTU auf 1330 verringert werden (Paketgröße 1330 bytes ist groß genug für die 1302 bytes vom Wireguard-Adapter tiaas-vpn plus Ethernet-Overhead).
7. Hierdurch wird sichergestellt, dass der Praxis-Computer klein genuge Netzwerk-Pakete an den Router und damit an das Vodafone-Internet abschickt. Da die Daten der "tiaas-vpn"-Verbindung durch die normale Netzwerkverbindung geschickt werden, muss die MTU für "tiaas-vpn" auch entsprechend kleiner sein als die MTU der normalen Verbindung zum Router. Und die MTU des Routers in Richtung Vodafone-Internetleitung darf natürlich auch nur so groß sein, dass Vodafone die Pakete nicht einfach wegen Übergröße abweist.
8. Diese Änderungen an den Netzwerkadaptern "Ethernet" und "tiaas-vpn" müssen durchgeführt werden, bevor der Elefant gestartet wird. Leider ist der Rechenzentrums-Konnektor so intelligent programmiert worden, dass die Einstellungen für "tiaas-vpn" nach jedem Neustart auch neu gesetzt werden müssen.
9. Jetzt können Sie Elefant starten und werden von der Geschwindigkeit des Programms überrascht sein.

 

Da diese Änderungen leider nach jedem Neustart des Computers und *vor* dem Start von Elefant durchgeführt werden müssen, habe ich sie für unseren Praxis-Computer in einem kleinen Powershell-Programm zusammengefasst und für den Benutzer auf dem Desktop abgelegt, in der Hoffnung, dass dieses Problem schnell durch die Anbieter gelöst werden.

Dieses Script dient der Anschauung für die IT-Mitarbeiter der Hersteller damit sie die Lösung des Problems möglichst einfach reproduzieren können. Wenn Sie IT-Kompetenz in Ihrem Umfeld haben, zeigen Sie diesen Bitte das folgende Script. Bitte führen Sie es nicht direkt auf Ihrem Praxis-Computer aus, ohne die genauen Zusammenhänge überprüft zu haben.

Set-ExecutionPolicy bypass
exit

Write-Host old ipv6 settings
Get-NetAdapterBinding | Where-Object ComponentID -EQ ms_tcpip6*

Write-Host disable ipv6
Disable-NetAdapterBinding -Name 'Ethernet' -ComponentID ms_tcpip6
Disable-NetAdapterBinding -Name 'tiaas-vpn' -ComponentID ms_tcpip6

Write-Host new ipv6 settings
Get-NetAdapterBinding | Where-Object ComponentID -EQ ms_tcpip6

Write-Host old mtu settings:
netsh intenface ipv4 show interfaces

Write-Host set mtu for vodafone
Set-NetIPIntenface -IntenfaceAlias 'Ethernet' -NlMtuBytes 1330
Set-NetIPIntenface -InterfaceAlias 'tiaas-vpn' -N1MtuBytes 1302

Write-Host new MTU:
netsh interface ipv4 show interfaces

 

Bei Rückfragen bin ich gerne für Sie verfügbar. Ich werde diese Problemlösung an die uns bekannten Kontakte bei Hasomed, RISE und an die Hasomed-Drittfirma weiterleiten, um weitere Nervenzusammenbrüche bei den armen Opfern dieser Tragödie zu vermeiden.

Vielen Dank und viele Grüße,

Dr. Benjamin Flesch
Deutsche Cyberberatung