OPERATIONAL_STATE/EC_No_VPN_TI_Connection

[torsten2]

Hallo,
ich habe das Problem, dass alle 1-2 Wochen die Chipkarten zwar eingelesen werden, aber rot bleiben.
KoCoBox:
Produkttyp /-version: Konnektor ⁄ 3.6.0
Hersteller Name / Kennung: KoCo Connector ⁄ KOCOC
Produkt Name / Kennung: KoCoBox MED+ ⁄ kocobox
Produktversion: 2.3.24:2.0.0
Firmware-Gruppenversion: 68

Onlineprüfung des Authentifizierungszertifikates technisch nicht möglich. Die Portalseite des KV Safenet ist auch tot. Im Connector sieht man, dass das kleine graue Viereck neben TI hektisch blinkt und er versucht, den Tunnel wieder aufzubauen. Das scheitert aber immer wieder. Im Log steht:
OPERATIONAL_STATE/EC_No_VPN_TI_Connection

Nach einem Neustart mit den bekannten Problemen geht es wieder. Die Zertifikate TSL und BNetzA-VL werden als gültig angezeigt, jedoch scheint es an diesen zu liegen.

Frage:
Kennt jemand eine Möglichkeit, den Tunnel wieder aufzubauen, ohne die KoCoBox neu starten zu müssen???

[nmndoc]

bin mir nicht 100%ig sicher, dass es das selbe Problem ist, das wir einmal hatten ... aber grob war es glaube ich ein Problem das die Zeit nicht gestimmt hat oder aus einem sonstigen Grund ein Zertifikat nicht geprüft werden konnte.
Nach diversen Einstellungen war es m.E. letztlich der Neustart der Box, der das Problem behoben hat.
Machen Sie mal ein Firmware-Update der Box und der Kartenleser (wäre ohnehin schon fällig gewesen, mit der Version werden Sie eher keinen Support erhalten)

[torsten2]

Jetzt bin aber etwas verwundert. Auf der Seite der KoCoBox wird mir keine neue Version angezeigt:

FireShot.png

Wenn ich die Seite von https://www.kococonnector.com/kococonne ... ads.de.jsp manuell aufrufe, bekomme ich als aktuelle Version ebenfalls:


Versionsübersicht
Firmware Fachmodul VSDM Fachmodul NFDM Fachmodul AMTS
1.3.4 1.3.4 - -
1.3.10 1.3.10 - -
2.3.24 2.3.24 1.0.13 1.0.13

angezeigt.

Welche neueren Versionen soll es denn geben???

[nmndoc]

mein Fehler. Firmware aktuell - hatte eine andere im Kopf - ist aber wohl die vom Kartenlesern.
dann vielleicht kontrollieren, dass der Zeitdienst funktioniert und erreichbar ist.
Und dass die Logs nicht auf debug / ausführlich stehen nd nur 30 Tage oder vorrätig gehalten werden

[torsten2]

Ich habe das Log auf 30 Tage und Warning gestellt. Die Box läuft gefühlt plötzlich schneller...
Die Timeserver scheinen zu funktionieren, ein manueller Sync wird mit OK quittiert.
bezogen hat die Box von der TI:
Primäre NTP-Server-Adresse: 100.97.139.46
Sekundäre NTP-Server-Adresse: 100.97.139.45

Ich bekommte im Systemlog immer noch folgende Meldung:

10.05.2021 15:05:33.656
INFO OPERATIONAL_STATE/EC_TSL_Update_Not_Successful LastUpdateTSL=2021-04-29T03:32:11.685Z; Value=false

Das scheint nicht in Ordnung zu sein...

[Johnny]

Hallo torsten2,
bei mir steht nach meiner Meinung dasselbe. Aber alles läuft bei mir.

Kocobox.png

Grüsse aus Kiel
Johnny

[Frankolas]

Ich habe jetzt den gleichen Fehler, gestern Abend war noch alles OK. Ich habe die e-AUs versenden können. Jetzt im Konnektor die Meldung:
operational state error EC No VPN TI Connection
Im Servicetool nach Update geprüft - alles auf aktuellem Stand.
2 Neustarts und ein Kaltstart des Konnektors haben nichts gebracht. Was ist das denn nun schon wieder?
Hat jemand dafür eine Idee?

[bofh]

Gleicher Fehler auch hier. Das Protokoll in der Box sagt, dass gestern 22.49 Uhr der VPN zusammengebrochen ist. Box reboot ohne Erfolg.

Anruf bei CGM-TI allerdings auch. Die Dame bestand darauf, die Statusmeldungen vom Box-Display vorgelesen zu bekommen, weil angeblich nicht alle Status-Meldungen im Admin-Interface dargestellt werden. Musste daraufhin zwangsweise abbrechen, weil ich nicht vor Ort war.

[Frankolas]

Hatte Glück und den Support erreicht, der Mitarbeiter hat da online per Remote alles wieder rasant zurechtgeklickt. Ich habe keine Ahnung, was der da gemacht hatte - hat mir aber berichtet, dass ich heute nicht der Erste mit dem Fehler war.
Grober Tipp von ihm, die Box mal kalt neu starten, aber dabei auch das Netzwerkkabel trennen und erst nach dem Hochfahren der Box wieder ans Netzwerk anschließen. ( Das sei wohl noch eine Möglichkeit, wieder eine Verbindung zu bekommen. Garantieren konnte er den Erfolg dafür aber nicht. )

[fschmidt]

Hallo zusammen,
wir hatten das gleiche Problem seit heute morgen.
Folgendes war die Lösung:
Im Konnektor einloggen, Punkt VPN und dann Registrierung auswählen. Registrierung erneut durchführen.
Nun klappt es wieder!

[lapislazuli]

wir hatten das gleiche Problem im Laufe des heutigen Vormittags. Neustart der Box und von TM nicht erfolgreich. Nach erneuter Registrierung des VPN-Dienstes in der Box und anschließendem Neustart von TM lief wieder alles.

[bofh]

Ja genau, das ist die Lösung. Die eigentliche Sauerei dabei ist, dass seitens CGM-TI nichts veröffentlicht wird und man sich erst in der Hotline anstellen darf. Sowas gehört aufs TI-Radar.

Durfte dann nochmal anrufen und unnötig Zeit verplempern.

[FortiSecond]

1) DANKE. Hat mir den Abend nach einem vollen Tag gerettet. War schon am Grübeln, hatte die Registrierung am VPN-Dienst in Verdacht, und das war die Bestätigung. Spart Experimente, Sucherei und... danke!

2) Überraschend war, dass sich die Registrierung klaglos durchführen ließ. Normalerweise klappt es nicht ohne vorherige De-Registrierung, aber....

3)...aber ich habe eine Theorie, die vielleicht bestärkt werden kann, wenn folgende Konstellation bei Ihnen/Euch auch bestand:

• SMC-B von dgn (eventuell relevant, nicht zwingend)
  
• Der vorherige Praxisausweis ist am Montag oder Dienstag abgelaufen.
• Es fand bereits ein Tausch des Praxisausweises statt. Dabei ist unerheblich, ob kürzlich oder vor langer Zeit
  
• Die Registrierung am Zugangsdienst erfolgte mit der alten SMC-B
  
• Der Konnektor hat vor dem Ablaufzeitpunkt eine Verbindung zur TI aufgebaut
• Diese Verbindung wurde nach dem Ablaufzeitpunkt getrennt, z.B. durch Zwangstrennung DSL, Neustart Router, Neustart Konnektor, seitens CGM...
  
• Die Registrierung ist seitens CGM gelöscht worden (sonst wäre eine Registrierung nicht ohne vorherige De-Reg mit dem alten Ausweis möglich)
  
• Mit dem neuen Praxisausweis kann wieder registriert werden
• Alles fein

Dafür spricht, dass die SMC-B chargenweise bespielt werden, also z.B. 100 Bestellungen en bloc. Dementsprechend werden die Zertifikatsgültigkeitsdauern dicht beieinander liegen. So war´s hier auch bei diversen Praxisausweisen, wobei das Problem hier nur eine Kocobox betrifft, weil von den 5 Praxen aus der "Sammelbestellung" nur diese noch bei CGM ist. Interessant ist, dass die beiden i-Motion-Praxen (secunet lokal) noch (?) nicht ausgestiegen sind. Wobei ich meine, dass ich da beim SMC-B-Tausch auch de- und re-registriert habe.

Insofern kann man sagen, dass das Verhalten nachvollziehbar ist. Wobei bei KIM kein Handlungsbedarf besteht, auch wenn per SMC-B registriert, weil hier die eindeutige Telematik-ID ausreicht. Hmmm.

[lapislazuli]

unsere Konstellation:

SMC-B von Medisign,
wurde vor einigen Monaten vom DVO getauscht,
genaues Ablaufdatum des vorherigen Ausweises nicht bekannt,
bei den VPN-Zertifikaten war das ECC Zertifikat mit der neuen SMC-B, das RSA Zertifikat mit der alten SMC-B verknüpft,
gestern gab es anscheinend eine kurze Störung des Internets mit DSL-Reconnect

vielleicht hilft das ja ein wenig bei der Ursachenforschung

[bofh]

Für die Statistik:

• SMC-B von Medisign
• wurde 07/2023 von mir getauscht
• Ablaufdatum des vorherigen Ausweises Mitte 08/2023
• bei den VPN-Zertifikaten war das ECC Zertifikat mit der neuen SMC-B, das RSA Zertifikat mit der alten SMC-B verknüpft

[fschmidt]

Für die Statistik:
* SMC-B von d-trust (alt am 9.10.2023 abgelaufen, wurde im Spätsommer getauscht)

[CGM-FTW]

Ich habe das Problem mal bei CGM intern zur Klärung weitergegeben.
Das Problem konnte ich bei zwei Testkunden nachstellen.

Kennzeichnend war tatsächlich:
- SMC-B Tausch
- alte SMC-B wurde korrekt deregistriert
- neue SMC-B wurde korrekt registriert
- Trotzdem ist der Konnektor wenige Tage nach Ablauf der ursprünglichen, deregistrierten SMC-B offline
- Der Konnektor behauptet bis zur Neuregistrierung jedoch, er sei registriert und es würde dennoch keine Verbindung zur TI bestehen.
- Der Konnektor lässt sich einwandfrei de- und neuregistrieren.

[FortiSecond]

Ich habe das Problem mal bei CGM intern zur Klärung weitergegeben.
Das Problem konnte ich bei zwei Testkunden nachstellen.

Kennzeichnend war tatsächlich:
- SMC-B Tausch
- alte SMC-B wurde korrekt deregistriert
- neue SMC-B wurde korrekt registriert
- Trotzdem ist der Konnektor wenige Tage nach Ablauf der ursprünglichen, deregistrierten SMC-B offline
- Der Konnektor behauptet bis zur Neuregistrierung jedoch, er sei registriert und es würde dennoch keine Verbindung zur TI bestehen.
- Der Konnektor lässt sich einwandfrei de- und neuregistrieren.

Danke für diesen entscheidenden Hinweis.

Damit sind zwei Dinge klar:
- Wenn keine TI-Verbindung, dann unabhängig vom Registrierungsstatus mit der aktuellen SMC-B neuregistrieren und gut.
- Es kann jede Praxis mit Kocobox und VPN-Zugangsdienst von CGM treffen.

Ziemlich klar:
- Es gibt keine Vorbeugemaßnahme, die seitens DVO, Praxis oder IT-Mokel erfolgen kann, um Ausfälle im Vorfeld zu vermeiden
- Es liegt mutmaßlich auf der Seite VPN-Zugangsdienst, bei dem in der Datenbank das Ablaufdatum [der SMC-B|der Registrierung|dabei ausgetauschter Zertifikate] nicht aktualisiert wurde oder einem Ablaufdatum durch ähnlich denkbare Konstellationen.

Nicht klar:
- Ausfall über Stunden bis Tage, Fehlersuche, Zeiten in Warteschleife, Warten auf DVO-Termin, eigene Leistung, IT-Vertrauter...?
- Rundmail/Newsletter an alle potenziell betroffenen Praxen?


Tipp für "CGM intern":
Für solche Fälle ein Zauberwort an die Fehlerbeschreibung im Newsletter heften, das man der Hotline nennen kann. So kann die Person an der Hotline das Zauberwort in der KB aufrufen und sofort die Folgeaktivitäten mit angemessener Priorität einleiten.
Transparent, effizient, kollegial.

[CGM-FTW]

Ich bin CGM MANAGED TI Backend Developer / L3. Vorsichtig gesagt finden nicht alle Mitarbeiter aus dem Backend die Informationspolitik gut gelungen.
Was soll ich machen, außer hier ein paar Brotkrumen mit sachdienlichen Hinweisen zu streuen. Ich muss jedes Wort, was ich hier schreibe auf der Goldwaage abwiegen.
Der Fehler ist aber auch bei uns zu diesem Zeitpunkt das erste mal aufgetreten.