Umstellung Netzwerk TI

[MacDoc]

Hallo@all,

bin neu im Forum und habe mich angemeldet in der Hoffnung etwas Licht bezüglich der TI zu erlangen.
Danke schonmal an dieser Stelle. Komme zwar aus der IT allerdings fehlt mir der Einblick zu den technischen Details einer Praxis Infrastruktur (TI-Box etc),

1. Frage bezüglich der Firewall Freigaben (siehe unten) zur/Richtung Box, kann mir jemand sagen welche Ports hier für TurboMed von CGM benötigt werden? Die unten stehende Liste habe ich aus dem Ti-Community Forum.

Zwischen dem Konnektor und der Praxisverwaltungssoftware (PVS):
HTTP/S (TCP 80/443)
SOAP (TCP 8200/8400)
CETP (PVS Spezifisch(?)) -->Turbomed
LDAP/S (TCP 389/636)

Kommunikation Konnektor (TI-Netz) zum Internet würde ich nicht einschränken.

2. Frage ist schon etwas spezifischer daher hole ich mal etwas aus,

aktuell befindet sich die TI im parallel Betrieb an einem LANCOM Router (direkt angeschlossen nur 1 Kabel, mehr kann ich aktuell leider nicht prüfen). Der LANCOM Router wurde vor der Anschaffung der TI für/als KV-SAFE Net "Produkt" installiert und später die TI dazu implementiert.
Da KV-Safenet jetzt ausläuft (31/12/24 abgekündigt von CGM) und es keine Updates mehr für den LANCOM (Stand 2016) gibt soll dieser ausgetauscht werden.

Aktuell befinden sich alle Praxisgeräte (kleine Einzel Praxis) in einem Subnetz des LANCOM Routers. Mein Plan ist es nun den LANCOM gegen einen aktuelles Device zu tauschen welches entsprechend konfigurierte Firewall, IDS&IPS, Geo Blocking, AD-Guard etc mit bringt.
Für die Umstellung habe ich überlegt das "PraxisLAN" vom "TI-LAN" zu trennen, entsprechend der oberen Freigaben. Meine Frage hierzu, da ich mit der Kocobox noch keine Berührung hatte, ist ob es reicht auf der Box die IP,Maske und Gateway des neuen VLANs anzupassen oder muss hier noch deutlich mehr beachtet werden?
Einfach gesagt reicht es wenn aus dem Praxis LAN die TI-Box erreichbar ist und sie übers WAN Verbindungen zu den benötigten Services aufbauen kann?


Edit:
Ok so einfach ist es wohl nicht da die, Box laut Forum viewtopic.php?t=7236&start=40 wohl keine Datenpakete außerhalb des ihr vertrauten Subnetzes zulässt :/.
Hier wird wohl eine NAT Regel benötigt die der BOX suggeriert das der Traffic von anderen Netzen aus ihrem eigenen stammt.
Zumindest so mein Verständnis.

Alternative sei wohl Praxisgeräte sowie TI doch in ein Netz zu packen und die Firewall Regeln per Interface und IP definieren.

Muss man bezüglich der Konfiguration von Netzwerk auf der Box etwas beachten bezüglich Manipulationsschutz oder ähnlichen dingen?
Sowas wurde mal in den Raumgeworfen, hätte es jetzt als normales Netzwerkdevice angesehen, aber lieber mal nachfragen.


Gesundes Neues!
Danke&VG

[Thomas]

Mal eine ganz schnelle Antwort aus dem Bauch heraus: Lass es lieber. Obwohl es sicherheitstechnisch durchaus denkwürdig ist, eine Firewall zwischen Konnektor und Praxisnetz zu schalten, dürfte das außer Scherereien nichts bringen. Die Sache ist eh schon fehlerträchtig genug und läuft alles andere als stabil (wobei gerade das eigentlich ein Grund wäre, den Konnektor vom LAN zu separieren) - wenn man dann noch bei jedem Problem in Erwägung ziehen muss, dass die Firewall zu viel blockiert, kann man gar nicht mehr arbeiten.

Viele Grüße
Thomas

[MacDoc]

Hallo Thomas,

danke für die schnelle Antwort. Um kurz nochmal darauf einzugehen, du meinst also am besten alles in ein Netz und gut?
Sprichst du aus Erfahrung wenn du schreibst das es nur "Scherereien" bringt die TI einzuschränken?
Es müsste doch irgendwo definiert sein welche Kommunikation benötigt wird und diese somit auch in einem Regelwerk festzuhalten sein.

Entschuldige wenn ich da zu blauäugig rangehe

[Thomas]

Da habe ich mich nicht so ganz verständlich ausgedrückt: Die TI einzuschränken ist durchaus gute IT-Praxis. Das Problem ist, dass TM ohnehin schon maximal fragil ist und ständig irgendwelche unklaren Fehler bringt, weil es schlampig programmiert ist. Wenn man dann noch überlegen muss, ob der Fehler (wieder einmal) von TM kommt, weil man vergessen hat, morgens ein halbes Huhn zu opfern und einen Kniefall vor der Technik zu machen, oder ob der Fehler von der zu restriktiv definierten Firewall kommt, wird man seines Lebens nicht mehr froh. Dann wird am Ende die Firewall - nur so zum Test - ganz abgeschaltet und man ist am gleichen Punkt. Also lieber gleich Zeit, Geld und Nerven sparen, den Konnektor parallel ins LAN hängen und hoffen, TM mal einen guten Tag hat und läuft.

Was das Regelwerk angeht: Erste Regel ist, dass man den Programmierern trauen kann, und gerade an diesem ersten Schritt scheitert TM schon mal phänomenal. Alles darüber hinaus ist eher theoretisch. Meine ich

VG
Thomas

[lcer]

Hallo,

Wenn man weiß, was Netzwerkrouten sind und wie man einen „richtigen“ Router konfiguriert, ist es kein Hexenwerk. Der Konnektor zeigt seine Routentabelle ja an, da müssen die lokalen Netze eingetragen sein. Turbomed verkraftet das, die Managed-TI-Lösungen haben den Konnektor ja auch nicht im Praxisnetz.

Ich habe seit Jahren jeweils separate Netze für Turbomed, TI, Drucker und das Netzwerkmanagement.

Der Konnektor muss von jedem Turbomed-Rechner (Server wie Clients) aus zugänglich sein. Nur der Konnektor. Nicht die KTs. Die haben nur Verbindung zum Konnektor, nicht zum Turbomed.

Grüße

lcer