Ich möchte gerne meine letzte Erfahrung mit dem eRezept kurz zusammenfassen, so dass andere davon ggf. profitieren können.

Wir betrieben Evident mit KocoBox in parallel Mode, wie vermutlich die meisten. Internet wird in die Praxis über ein Proxy (physikalisch auf dem gleichen Gateway) kontrolliert erlaubt.

/===<===> Internet Gateway mit Firewall und Proxy <===> Internet
|
|===<===> Rechner mit Evident (Client System für eRezept)
|
\===<===> Konnektor (KocoBox)

Das Grundproblem: Routing zu den eRezept Fachdieste darf NUR über den Konnektor laufen. D.h. DNS und Kommunikation muss der Konnektor handeln. Diese Kommunikation darf NICHT über den Firewall / Proxy laufen. Die Server sind zwar über Internet ggf. in DNS sichtbar, aber die Kommunikation muss ausschließlich über den Konnektor laufen. Ein schräges Konzept . Dafür muss man:

1. die Route auf dem Rechner passend setzen D.h. nicht nur die Route das man in Evident setzt, sondern auch ggf. die default Route von System muss eine höhere Metrik haben, so dass die Pakete an Konnektor erst ankommen. Praktisch muss die Route 100.102.0.0/15 mit Konnektor als gateway hinzugefügt werden.

2. als DNS bei dem Rechner muss auf die erste Stelle der Konnektor stehen. Einige von telematik Adressen sind nicht in Internet sichtbar, um die aufzulösen benötigt man den Konnektor als DNS, weil er innerhalb der Telematik agiert und die Adressen auflösen kann.

3. das Proxy in der Einstellungen von Rechner (System Einstellungen) muss deaktiviert sein. Alternativ kann man alle ti dienste in Proxy Ausnahmen Liste als lokale Adresse eintragen. Evident (wie vermutlich alle andere Systeme) berücksichtigt die System-Einstellungen bei der Kommunikation mit der eRezept Fachdienst.
Auf dem Rechner benötigt man trotzdem noch Internet Zugriff via Proxy. Mozilla Firefox nutzt seine eigene Einstellungen, damit ist möglich auf dem Rechner in Internet zu gehen. Edge und Chrome gehen nur über die System-Einstellungen, da kann man nur mit der Alternativlösung arbeiten.

PS. KocoBox meldet immer noch Pakete die nicht durch seinem Firewall gehen, hat aber kein Einfluss auf die Funktionalität. Es gibt es andere Diskussionen in Forum darüber.

Der Eintrag hier https github.com/gematik/api-erp/blob/master/docs/ti_configuration.adoc#fritzbox-konfiguration ist nicht nur verwirrend, sonder auch nicht ganz korrekt. Die Route über Internet zum Fachdienst wird nicht funktionieren - der Konnektor baut die Verbindungen über seinen VPN auf und nicht durch den Router.