Wie richte ich eine verschlüsselte Verbindung zwischen Client und Server ein?

TLS/SSL-Verschlüsselung

TLS (Transport Layer Security) bzw. SSL (Secure Sockets Layer) ist ein Verschlüsselungsprotokoll, welches der sicheren Datenübertragung im Internet dient. Wir empfehlen Ihnen die Aktivierung der TLS/SSL-Verschlüsselung. Dieses bedeutet, dass die Datenübertragung zwischen einem EPIKUR-Client und einem EPIKUR-Server verschlüsselt ablaufen wird, sobald dies entsprechend in EPIKUR eingerichtet wurde. Die Einstellung ist nur in der EPIKUR-Netzwerkversion relevant und möglich.

Konfiguration für Neukunden

Hinsichtlich der TLS/SSL-Verschlüsselung gelten Sie als Neukunde, wenn Sie EPIKUR erst ab der Version 24.4.0.2 erwerben.

Ab der EPIKUR-Version 24.4.0.2 ist bei der Neuinstallation eines Clients ist TLS/SSL-Verschlüsselung standardmäßig aktiviert. Entsprechend dieser Einstellung wird eine clientseitige Kommunikation über TLS/SSL gefordert, damit keine unverschlüsselte Kommunikation zwischen Client und Server stattfinden kann.

Konfigurationsänderungen für Bestandskunden

Neues Zertifikatspaar generieren

Hinweis

Von EPIKUR erzeugte Zertifikate sind in der Regel fünf Jahre gültig und müssen somit regelmäßig erneuert werden.

In dem Server-Control-Panel befindet sich der Button Zertifikate erstellen. Durch die Betätigung des Buttons wird nach der Generierung eines neuen Zertifikatpaares (Server- und Clientzertifikat) die TLS/SSL-Verbindung aktiviert. Sofern Sie den Button nicht betätigen, ist die TLS/SSL-Verbindung standardmäßig deaktiviert.

Beachten Sie, dass bei jeder Betätigung des Buttons Zertifikate erstellen ein neues Zertifikatspaar erstellt wird, welche die vorherigen Zertifikate löscht und somit fortan eine Verbindung von Clients mit den alten Zertifikaten nicht mehr ermöglicht.

Zertifikatsaustausch

Wenn der EPIKUR-Client sich im Server-Netzwerk (Praxis-LAN) befindet, dann melden Sie sich im EPIKUR-Client als Administrator an und wählen Sie in der Administratoransicht in der Menüzeile Hilfe und dann Zertifikat importieren aus. Daraufhin werden die Zertifikate in den EPIKUR-Client importiert:

Konfiguration für Neukunden

Alternativ können die Zertifikate auch per Hand einrichtet werden. Im Benutzerverzeichnis Ihres EPIKUR-Server-PCs finden Sie im Ordner EpikurServer den Ordner keys. In diesem befinden sich mehrere Dateien (unter anderem client.p12 und server.csr):

Kopieren Sie diese Dateien in den Ordner settings des Ordners EpikurClient im Benutzerverzeichnis des EPIKUR-Client-PCs. Falls der Ordner settings noch nicht existiert, sollten Sie diesen zuvor erstellen:

Ändern der serverseitigen Properties

Die serverseitige Änderung der Properties können Sie in den epikurServer.properties vornehmen. Sobald die SSL-Einstellung in den epikurServer.properties auf true gesetzt wurde, ist die Verschlüsselung aktiviert und es steht kein unverschlüsselter Port mehr zur Verfügung. Somit erfolgt die Kommunikation ausschließlich über den verschlüsselten SSLPort.

Ändern der clientseitigen Properties

Nachdem Sie die erforderlichen Zertifikate in Ihren EPIKUR-Client importiert haben, ist nun eine Änderung der epikurClient.properties notwendig. Diese Konfigurationsdatei finden Sie in Ihrem Benutzerverzeichnis im Ordner EpikurClient auf den EPIKUR-Client-PC. Zunächst ändern Sie in der Zeile serverPort=8080 den Zahlenwert in 8181. Fügen Sie außerdem die Zeile SSL=true hinzu bzw. ändern Sie die vorhandene Zeile entsprechend. Damit die Suche nach dem EPIKUR-Server für den EPIKUR-Client nicht wiederholt werden muss, geben Sie entweder die feste (öffentliche) IP-Adresse oder die DNS-Adresse in der Zeile hinter serverIP= an:

Sollten mehrere Server über einen Client angesprochen werden, gibt es die Möglichkeiten, diese über die folgenden Parametergruppen zu konfigurieren:

serverPort1, SSL1, serverIP1
serverPort2, SSL2, serverIP2
serverPort3, SSL3, serverIP3
serverPort4, SSL4, serverIP4
serverPort5, SSL5, serverIP5

Verbindung über Internet

Wenn Sie außerhalb Ihres Praxisnetzwerks auf den EPIKUR-Server zugreifen wollen, stehen Ihnen zwei Möglichkeit zur Verfügung.

VPN-Verbindung vom Client-System in die Praxis (empfohlen)
Öffentlich erreichbarer EPIKUR-Server

Wenn Sie sich für die zweite Option entscheiden, beachten Sie folgende Hinweise:

Da feste Server-Adressen konfiguriert werden, setzen wir voraus, dass Ihr Praxisanschluss über eine feste IP-Adresse oder einen dynamischen DNS-Service verfügt
In Ihrem Router müssen die Ports 8181 sowie 9090 zur Weiterleitung vom Internet an den EPIKUR-Server-PC freigegeben werden (Port-Weiterleitung). Der ungesicherte Server-Port 8080 sollte aus Sicherheitsgründen nicht freigegeben werden.

Wichtig
Bitte beachten Sie, dass diese Einrichtung zur Folge hat, dass ab sofort alle Verbindungen zum EPIKUR-Server durch das Internet laufen (wenn auch verschlüsselt). Sollten Sie sich mit dem EPIKUR-Client aus demselben Praxis-LAN mit dem EPIKUR-Server verbinden wollen, dann wird die Verbindung aus dem Praxis-LAN heraus durch das Internet wieder zurück ins Praxis-LAN verlaufen. Dieses führt dazu, dass bei fehlender Internetverbindung keine Verbindung mit dem EPIKUR-Server möglich ist. Sie sollten dann dafür sorgen, dass in der EPIKUR-Client-Konfigurationsdatei nicht die öffentliche Adresse des Routers, sondern die lokale Adresse des EPIKUR-Server-PCs eingestellt wird.

Hinweis
Beim Einspielen einer Datensicherung wird der Inhalt des keys-Ordners mit dem Inhalt der Sicherung überschrieben und somit wird beim nächsten manuellen Server-Start das Server-Zertifikat aus der Datensicherung verwendet.

Möchten Sie diesen Artikel mit anderen teilen?
https://faq.epikur.de/q/?tls-ssl-verschluesselung

Zugehörige Artikel

Wie steige ich von der Einzelplatz- auf die Netzwerkvariante um? Automatischer Serverstart Wie vermeide ich Datenbankschäden bei der Netzwerkvariante? Wie installiere ich EPIKUR unter Windows? (Netzwerkvariante) Was ist zu tun, wenn die Lizenz aufgrund einer Fehlermeldung nicht einspielbar ist? Wie installiere ich EPIKUR unter macOS? (Netzwerkvariante) Wie binde ich in der Netzwerkvariante einen Client ein? Was tun, wenn der Client den Server im Netzwerk nicht automatisch findet? Woran erkenne ich, dass der Server korrekt gestartet wurde? Wie installiere ich EPIKUR unter Linux? (Netzwerkvariante) Wie optimiere ich den Betrieb eines Servers? Was mache ich, wenn das Verschlüsselungszertifikat für den Server abläuft oder abgelaufen ist? Was mache ich, wenn mein Server mit der Meldung nicht startet, dass es Probleme mit Port 8686 gibt? Welche Möglichkeiten bietet mir die Properties-Datei in EPIKUR?