# OPNsense mit Telematik-Infrastruktur betrieben

Die Einführung der Telematik-Infrastruktur (TI) wurde im E-Health Gesetz festgeschrieben. Die TI ist ein sicheres Netz für das deutsche Gesundheitswesen und wird alle Beteiligten miteinander verbinden. Ein sicherer und problemloser Datenaustausch – auch über Sektorengrenzen hinweg.

Problemlos? Nur wenn die Infrastruktur passt. Schauen wir uns daher kurz die Architektur des ganzen an:

 ┌───────────────┐                  ┌────────────────┐     ┌───────────────┐
 │ SRV           │                  │ Netzwerk       │     │ OPNsense      │
 │ 192.168.0.3   ┼─ 0.0.0.0 ────────► 192.168.0.0/24 ┼─────► 192.168.0.1   ┼────────────────► Internet
 │               │                  │                │     │ 192.168.0.2   │
 │               ┼─ 188.144.0.0/15 ─┼────────────────┼─────┼──┼            │
 │               │  100.101.0.0/15  │                │     │  │         ┌──┼─── VPN ───────┐
 └───────────────┘  100.102.0.0/15  └────────────────┘     └──┼─────────┼──┘               │
                    epa.telematik                             │         │                  │
                    epa4all.de                                │         │                  │
 ┌───────────────┐                                          ┌─▼─────────┴───┐            ┌─▼─────────────┐
 │ TI Terminal   │                                          │ TI Konnektor  │            │ Telematik-    │
 │ 192.168.0.4   ┼── 0.0.0.0 ───────────────────────────────► 192.168.0.3   │            │ Infrastruktur │
 └───────────────┘                                          └───────────────┘            └───────────────┘

• Hier sehen wir, das der Server z.B. mit "Duria oder CGM" normalerweise über die OPNsense ins Internet geht (0.0.0.0)
• Für bestimme Aufrufe, die die Telematik Infrastruktur betreffen, muss aber der Weg über den TI Konnektor geleitet werden
• Problem: Der Server weiß nichts von dem "TI Konnektor". Das muss ihm beigebracht werden.
• Lösung 1 (individuell):
  • Der Server selbst bekommt mehrere statische Routen und DNS Server hinterlegt
  • Das wird aber Probleme bereiten, wenn ein eigener DNS (z.B. bei einer Domain) benötigt wird oder sogar manuelle hostsEinträge vorgenommen werden, die einem jederzeit (z.B. bei einem Update) um die Ohren fliegen können
• Lösung 2 (zentral):
  • Die OPNsense hat mehrere statische Routen und zwei DNS Delegierungen
  • Damit behält ihre Aufgabe der zentralen Kontrolle und kann den Zugriff auf das Zielnetz regulieren

• Gateway anlegen
  • Menü: System: Gateways: Configuration
  • Hinzufügen:
    • Name = TI-Konnektor
    • Interface = LAN
    • IP Address = 192.168.0.3 (Eigene IP der Konnektors eintragen)

• Statische Routen erstellen
  • Menü: System: Routes: Configuration
  • Hinzufügen:
    • Route 1
      • Network Address: 188.144.0.0/15
      • Gateway: TI-Konnektor
    • Route 2
      • Network Address: 100.101.0.0/15
      • Gateway: TI-Konnektor
    • Route 3
      • Network Address: 100.102.0.0/15
      • Gateway: TI-Konnektor

• DNS Weiterleitung hinterlegen
  • Unbound: Menü: Services: Unbound DNS: Query Forwarding
  • DNSMasq: Menü: Services: Dnsmasq DNS & DHCP: Domains
  • Hinzufügen:
    • Server 1:
      • Domain: epa.telematik
      • Server IP: 192.168.0.3 (Eigene IP des Konnektors eintragen)
      • Port: 53
    • Server 2:
      • Domain: epa4all.de
      • Server IP: 192.168.0.3 (Eigene IP des Konnektors eintragen)
      • Port: 53

Ab einem bestimmten Zeitpunkt/Update wird aber die IP-Adresse der OPNsense-Firewall auf der Gateway Seite der KoCo box blockiert. Dadurch bricht die Verbindung zwischen OPNsense und der KoCo Box ab, mit der Folge, dass sie ihre zentrale Rolle für die Telematikinfrastruktur (TI) nicht mehr erfüllen kann. Die Lösung: Gibt man der OPNsense eine zweite, alternative IP-Adresse, kann sie sich damit wieder erfolgreich mit der KoCo Box verbinden. Auch das ist vergleichweise einfach:

• Virtuelle IP Adresse anlegen
  • Menü: Interfaces: Virtual IPs: Settings
    • Mode: IP Alias
    • Interface: LAN
    • Network / Address: 192.168.0.2/24 (Zweite FREIE IP Adresse eintragen)
• Die IP Adresse auch per NAT benutzen
  • Menü: Firewall: NAT: Outbound
    • Hybrid outbound NAT rule generation aktivieren
    • Neue Regel:
      • Interface: LAN
      • Protocol: Any
      • Source address: This Firewall
      • Destination address: 192.168.0.3/24 (Eigene IP des Konnektors eintragen)
      • Translation / target: : 192.168.0.2/24 (Zweite FREIE IP Adresse)