Erstes Setup für virtuellen Server in Arztpraxis

[joerrey]

Hallo, für ein neues System in der Arztpraxis meiner Frau bin ich für die IT zuständig. Als Maschbau Ing bin ich zwar nicht ganz fremd, aber habe mir virtualisierten Servern bisher weniger Berührpunkte gehabt. Die bisherige Erfahrung mit 2 Systemhäusern war sehr enttäuschend, daher jetzt erstmal in Eigenregie. Das System wird erstmal Testweise aufgesetzt und soll dann irgendwann in production gehen. Ist das nachfolgende so machbar und sinnvoll?

Hier die Facts zur Praxis:
- Arztpraxis mit 10-12 Win11 Arbeitsplatz Rechnern und 1 Server. Gleichzeitig wird an maximal 5 Rechnern gearbeitet.
- Primär wird die Patientenverwaltungssoftware benutzt. Diese wird auf dem Server gehostet und die Daten liegen alle auf dem Server in einer PostgreSQL DB.
- Auf den Arbeitsplätzen laufen nur Clients, welche sich die Daten vom Server besorgen.

Vorhandene neue Hardware:
- Server Dell T360, Xeon E-2456, 64 GB RAM, PERC H355 RAID Adapter, 2TB HDD
Habe hier noch keine weiteren Platten dazu genommen, weil ich die Dell Preise irre fand. Mittlerweile bin ich auch etwas irritiert, ob es wirklich ein Dell Server sein musste. Der Raid Controller scheint z.B. nicht mit ZFS kompatibel zu sein, wovon hier im Forum ja alle schwärmen.

Mein Idee:
- PVE mit 1 Windows Server 2022 VM für die Praxissoftware und DB
- Ggf. später weitere VMs für DHCP, Fileserver etc.
- LVM als Dateisystem
- 2x 1TB SSD Raid 1 für die VM, Kingston DC600M
- 2x 4TB HDD Raid 1 als Storage für Dokumente, Bilder, Videos etc., angebunden an die VM als virtuelle Festplatte, exos 7E10
- Tägliches Backup auf 5 externe Festplatten, pro Wochentag eine externe Platte, welche immer mit nach hause genommen wird

Unschlüssig bin ich auch noch, ob PVE auf einem extra Raid1 laufen sollte oder auf einem der bestehenden mitlaufen kann.

Danke für jeden Input! Grüße

 

[ThoSo]

Servus,
der DELL Perc 355 kann ja nur Raid 0, 1 und 10.
Wenn Du jetzt ZFS nutzen willst, müssen die Platten einzeln angesteuert werden. Wenn du Dir den Aufwand und das Handling im Fehlerfall schenken willst, dann richte die Raids im PERC ein. Vorteil, du musst dich im Fehlerfall um nichts kümmern, wenn du eine Platte tauschst. Dann aber kein ZFS Dateisystem - ich lass hier ext4 laufen, da komme ich auch immer ohne Action extern ran.
Über deinen DELL iDRAC Controller kannst Du dir den Status ansehen.

Die Dell Plattenpreise sind wirklich heavy. Passende Festplattenrahmen findet man deutlich günstiger (auch gebraucht) bei ebay. Dann kannst Du auch *normale* SSD / HDD verbauen - einziges Manko, der iDRAC findet keine DELL Firmware und kennzeichnet diese mit einem Ausrufezeichen (i.d.R gelb) - ist rein optisch! Wenn das 3,5" Caddys sind, benötigst du noch einen Adapter (Bsp: OMICO 2,5" auf 3,5")

Als Datensicherungslösung habe ich bei mir gerne RDX Laufwerke (USB) im Einsatz - die Platten sind zwar etwas teuer als wenn du eine USB HDD anschließt , aber dafür hast du wechselbare Festplatten. Wenn das via Windows Server läuft ist das ohne eingriff möglich (RDX-Tools installiert) am Gerät auswerfen und neues einlegen.

Der Server fungiert in der Praxis als Domain Controller für die Clients oder einfach nur so?
Datensicherungssoftware?
Der Server bekommt eine USV?
KIM Client läuft auf einem PC?

Mit dem DELL Server hast du auf jeden Fall schon mal ein professionelles Gerät und der Service ist gut. Selbstverständlich hätte es auch ein Server von Wortmann oder Thomas-Krenn sein können. Mini Server mit reinen SSDs brauchen auch weniger Strom und machen nicht so ein Spektakel beim einschalten, aber das hängt auch davon ab, wo der Server in der Praxis letztendlich steht.

Ansonsten würde ich erstmal grob eine Plan auf Papier skizieren (VMs, die Konfig, IPs) und dann eine Testinstallation aufsetzen.
Dann tauchen bestimmt die ersten Fragen und Probleme auf.

 

[jim_os]

Als Maschbau Ing bin ich zwar nicht ganz fremd, aber habe mir virtualisierten Servern bisher weniger Berührpunkte gehabt. Die bisherige Erfahrung mit 2 Systemhäusern war sehr enttäuschend, daher jetzt erstmal in Eigenregie.

Ich könnte zwar zu verschiedenen Punkten etwas schreiben mache es aber nicht. Auch wenn Du das vermutlich eher nicht hören/lesen möchtest, aber auch wenn Du mit 2 Systemhäusern - was auch immer das für welche waren - sehr enttäuschende Erfahrungen gemacht hast, kann ich Dir eigentlich nur empfehlen bei einer Arztpraxis die Finger davon zu lassen. Da geht es um Patientendaten und das ist ein sehr sensibles Thema. Erstens was den Datenschutz betrifft und zweitens was auch die Datensicherheit/-sicherung betrifft. Das ist eine ganze andere Nummer als wenn Du privat für Dich irgendwelche Server aufsetzt, oder von mir aus auch für einen kleinen Handwerksbetrieb oder so ähnlich.

Einmal nicht aufgepasst und hier oder da ggf. eine falsche Einstellung gemacht und Du kannst ggf. "in Teufels Küche kommen". Stell Dir einfach nur mal vor Du konfigurierst irgendwelche Zugriffsrechte falsch, oder irgendwelche Firewall- oder Porteinstellungen, oder es gibt irgendwelche Lücken in irgendeiner Software die Du ggf. gar nicht auf dem Radar hast und irgendwelche "bösen Buben oder Mädels" bekommen dann Zugriff auf die Patientendaten. Willst Du dafür Deinen Kopf hinhalten und traust Du Dir wirklich zu so ein Netzwerk in einer Arztpraxis fortlaufend zu administrieren?

Auch wenn es sich bei der Arztpraxis um die Deiner Frau handelt und die Dir im Fall von Fehlern und Problemen vermutlich/ggf. nicht so "die Hölle heiß machen" würde, aber trotzdem. Es gibt genug Systemhäuser die sich auf Arztpraxen spezialisiert haben und ja da sind dann natürlich auch einige dabei die ggf. nur so tun als wüssten was sie tun, aber es gibt eben auch noch genug Systemhäuser die dann eben genau wissen was sie tun und das ggf. bereits seit Jahrzehnten machen. Ja die lassen sich ihre Arbeit auch sehr gut bezahlen, aber Fachwissen und Erfahrung kostet nun mal Geld. Außerdem kann man die Kosten ja auch absetzen.

Von daher solltest Du Dir m.M.n. darüber vielleicht wirklich noch mal Gedanken machen.

VG Jim

 

[ThoSo]

@Jim - ich würde das jetzt aber nicht überbewerten - Gedanken dazu machen ist absolut angebracht, keine Frage! Aber ich denke das war bestimmt schon Gesprächsthema bei Joerrey. Und wenn nicht, dann wäre es jetzt an der Zeit!
Wenn ein Arzt sich das selber zutraut das zu machen ist das völlig in Ordnung, es kann niemand gezwungen werden externe mit einzubinden, auch wenn die Kosten abgesetzt werden können!

Wir kenne weder die Art der Praxis (könnte ja Tier sein) - noch die eingesetzte Praxis-Software. Letztere wird ja seitens der Hersteller supportet und gepflegt. Der Praxis Konnektor kann seitens des Providers (T-Systems, o.a.) gemanaged sein.

Es wäre sehr gut, wenn er eine Systemdokumentation mit Stand heute hat und wenn nicht wäre das als erstes in Angriff zu nehmen.
Ohne Dokumentation und Konzept wird das nix.

 

[jim_os]

Nein natürlich kann keiner "gezwungen" werden Externe mit einzubinden, aber letztendlich muss der Betreiber der Praxis - also hier wohl die Frau von @joerrey - dafür den Kopf hinhalten das auch alle gesetzlichen Vorgaben und Vorschriften bzgl. des Datenschutzes und der Datenverarbeitung von Patientendaten eingehalten werden. Kennt sich @joerrey auch mit dem Thema entsprechend aus?

Ich weiß aus meinem Bekanntenkreis auch wie häufig es irgendwelche IT-Probleme in Arztpraxen gibt weil z.B. irgendwelche Updates nicht funktioniert haben und/oder der MA der Systemhauses der sich um die Systeme kümmert dann doch irgendeinen Bock geschossen hat. Wenn dann mal die IT für ein, zwei oder ggf. auch drei Tage nicht funktioniert dann kommt aber Freude auf. Hat @joerrey als "Einzelkämpfer" dann das Wissen und die Informationsmöglichkeiten die Probleme kurzfristig gelöst zu bekommen? Das was er oben geschrieben und z.T. angerissen hat, sind ja erst einmal eher theoretische Überlegungen die man sich auch für ein Homelab stellen könnte. Die Frage dann ist nur wie man es in der Praxis umsetzt und auf welche neuen Fragestellungen und Probleme man dann ggf. stößt. Du hast ja selber schon ein schönes Beispiel gebracht mit

Der Server bekommt eine USV?

Hatte @joerrey daran auch schon gedacht?

Wir kenne weder die Art der Praxis (könnte ja Tier sein) -

Also bei 10 - 12 Arbeitsplatzrechnern müsste das schon eine recht große Tierarztpraxis sein.

Ich will es mal so sagen: Ich bin schon seit ein paar Jahrzehnten in ganz unterschiedlichen Bereichen und Größenordnungen in der IT unterwegs - u.a. auch mal einige Jahre als Admin im RZ einer Hochschule - und das was @joerrey vor hat wäre für mich vermutlich gar kein Problem das auch alles umzusetzen. Aber ich würde aus den genannten Gründen niemals auf die Idee kommen mich - vermutlich auch noch nebenbei - um den IT-Betrieb einer Arztpraxis zu kümmern. Aber wenn sich @joerrey darüber im klaren ist was da auf ihn zukommt und zukommen kann, dann ist es ja ok.


Edit und BTW: Ich habe in der Vergangenheit schon von einigen "IT-Systemhäusern" oder gar "IT-Einzelkämpfern" gehört, oder diese sogar kennengelernt, die meinten Arztpraxen wären ja gar kein Problem. Schließlich wäre das ja auch nur Hard- und Software und damit würde man sich ja auskennen. Mitnichten.

VG Jim

 

[Falk R.]

Es wurde schon viel richtiges gesagt.
Es gibt viele Systemhäuser, wo ein paar Leute eine Schulung besucht haben und jetzt als Profis unterwegs sind.
Such dir am besten jemand, der Proxmox seit vielen Jahren macht.
Ich lasse mit Absicht meine Finger von Arztpraxen, da die Software oft absolut unterirdisch ist.

Mein Tip:
Lass dir keine Angst machen, das wichtigste ist aber Sicherheit und nicht nur am Server.
Kaufe dir auf jeden Fall ein extra Blech für Backups und am besten den PBS nutzen.
Versuche das Management des PVE und Backup Netztechnisch von den Clients und VMs zu trennen.
Schau das ihr eine vernünftige Firewall in der Praxis habt, ich sehe immer zu viele mit nur einer Fritzbox.

Wenn du es bequem haben möchtest, machst du Hardware RAID und nutzt LVM-Thin Pools. Wenn du mehr Datensicherheit zusätzlich zum Backup haben möchtest, mach den Controller zum HBA. Kann man einfach umstellen. Den PVE kannst du auch gerne auf den SSD mit installieren.

Wenn du das Backup mit nach Hause nehmen möchtest, hast du hoffentlich einen guten Safe im Keller, sonst empfehle ich eher die Backups verschlüsselt in die Cloud zu legen. Es gibt Anbieter wie inett oder Tuxis wo du dir eine PBS Instanz mieten kannst. Im RZ sind die Daten deutlich sicherer als zu Hause.

 

[joerrey]

Danke für eure Antworten! Wow, so viel Feedback.

Das Thema Systemhaus ist bekannt, ebenso wie die zahlreichen Hinweise, dass man es diesen überlassen sollte. Nun ist es gerade bei Arztpraxen nicht so einfach. I.d.R. ist man an den Integrator / Systemhaus seiner Praxissoftware angebunden. Da gib es dann für eine Region oft nur einen Einzigen, zu dem es keine Alternative gibt und der sowieso kaum Kapazitäten hat (Wartezeit für Wechsel der Praxissoftware > 1 Jahr). Die Kompetenz in Bereichen wie Virtualisierung fehlt in meinem Beispiel vollständig.

Dazu kommt noch ein weiteres Systemhaus für die medizintechnischen Geräte. Wenn ich jetzt noch jemanden mit ins Boot hole, der sich mit Proxmox etc. auskennt und mir als reiner IT Dienstleister gut gefallen würde, hätte ich drei verschiedene Verantwortliche, die im Problemfall alle mit dem Finger auf den anderen zeigen. Nicht umsonst sind so viele Ärzte und Praxisangestellte von der Digitalisierung und ihrer IT maximal genervt. Mangelnde Kompetenz und Personal in Politik und IT machen es ziemlich schwer.

Um mal aufzuzeigen, was ich bisher erlebt habe, nachdem wir die Praxis von den Eltern übernommen haben. Ein kleiner Auszug:
- Angebot für neuen Server um die 7.000€ nur Hardware. Vergleichbares direkt von Dell für 4.000€ bezogen.
- Server wird vom Systemhaus neu aufgesetzt ohne einen aktiven Virenschutz. Dies wurde erst durch uns bemerkt und daraufhin behoben
- Kein Raid1, einfach nur single drive für alles.
- Kein Domain Controller, AD, nur lokale Benutzerkonten. Keine Nachvollziehbarkeit.
- Keine Hardware Firewall vorhanden. Das gesamte Praxisnetz ist frei am Internet. Keine Black- oder Whitelists.
- Keine VLANs zur Trennung der Netzwerke
- Freier E-Mail Verkehr auf allen Rechnern
- Server steht direkt am Empfang um die Ecke, könnte einfach mitgenommen werden
- MFA Arbeitsplatz auf dem Server
- Kein Serverschrank oder ähnliches. Alles steht einfach wild in einer Ecke rum - Wartung ist dadurch eine Katastrophe
- Keine automatische Sperrung der Arbeitsplätze bei Inaktivität eingerichtet

Jetzt soll der Wechsel zu einer neuen Praxissoftware erfolgen. Dadurch neuer IT Partner.
- Antworten kommen immer nur sporadisch. Manchmal wochenlang nichts.
- Neuer Praxisserver soll einfach nur physisch als Windows Server Essential laufen.
- Nachfrage nach Virtualisierung: "Machen wir nicht, können Sie aber machen".
- Zumindest lässt er sich darauf ein, dass ich die Sachen dann so hinstelle, wie ich es gerne hätte.

Wenn ich am Ende immer vermuten muss, dass es doch nicht alles vernünftig eingerichtet ist, mache ich es lieber von Anfang an selbst und kenne unser System. Auch mit der Gefahr, dass ich etwas übersehe oder etwas neues lernen muss. Den Bockmist von anderen versuchen zu verstehen, Lücken finden und flicken, finde ich deutlich schlimmer.

Zum eigentlichen Thema dann später noch mehr von mir.

 

[soisses77]

Wenn ich am Ende immer vermuten muss, dass es doch nicht alles vernünftig eingerichtet ist, mache ich es lieber von Anfang an selbst und kenne unser System. Auch mit der Gefahr, dass ich etwas übersehe oder etwas neues lernen muss. Den Bockmist von anderen versuchen zu verstehen, Lücken finden und flicken, finde ich deutlich schlimmer.

Ich kann das voll nachvollziehen - ich stand vor 3 Jahren vor genau der gleichen Frage. Wir haben uns damals entschieden, mit dem Dienstleister des Vorbesitzers zusammen zuarbeiten und bei der Praxisübernahme diverse Dinge beauftragt - neue Drucker, neue Firewall. Den Server und die Clients - einen Fujitsu Primergy - haben wir übernommen. Die Übernahme hat IT-mäßig viel Geld gekostet und da es sich um ein professionelles Umfeld handelt und die TI-Problematik kompliziert ist, wollte ich mich da bewußt nur wenig einbringen.

Bis einige Wochen später bei einem Stromausfall im Dorf die USV nicht funktioniert hat und die Batterie auf dem RAID-Kontroller anscheinend auch, so dass das Dateisystem des Windows Servers zerschossen war. Als leicht paranoider Mensch hatte ich glücklicherweise vom Server mit Clonezilla eine Kopie angefertig, so dass das ohne Neuinstallation zusammen mit den Backups behebbar war. Danach habe ich mich detaillierter damit beschäftigt und eine lange Mängelliste. Seither kümmere ich mich darum.

Leider ist man im medizinischen Bereich oft an einen bestimmten Dienstleister gebunden und der wird oft durch das verwendete PVS definiert. Natürlich kann man das auch trennen und für die Hardware / Server einen anderen Dienstleister beauftragen; das Problem ist, dass bei Problemen immer der Ball hin und hergespielt wird: das PVS ist nicht Schuld, die Servereinrichtung, die TI ... das hilft leider beim akuten Problem nicht weiter. Wohl dem, der das Glück hat, einen guten Dienstleister zu haben, der das alles abdeckt. Die gibt es natürlich auch. Sonst hilft nur selbst machen...

 

[jim_os]

Nicht umsonst sind so viele Ärzte und Praxisangestellte von der Digitalisierung und ihrer IT maximal genervt. Mangelnde Kompetenz und Personal in Politik und IT machen es ziemlich schwer.

Jepp - dann musst Du wohl in den saurer Apfel beißen und versuchen Dich selber um das System zu kümmern. Ich drücke Dir die Daumen das die Umsetzung und der Betrieb dann möglichst reibungslos funktioniert. Wie die anderen ja schon geschrieben haben: Konzept + Doku + Testinstallation und dann in den (Test-)Betrieb gehen. Das Thema USV wurde ja schon genannt und dann solltest Du Dir natürlich auch noch Gedanken um das Thema Sicherung vom Proxmox Host machen und die dafür dann genutze Lösung dann am besten bei der Testinstallation auch mal real testen.

VG Jim

 

[ThoSo]

Da gib es dann für eine Region oft nur einen Einzigen, zu dem es keine Alternative gibt und der sowieso kaum Kapazitäten hat (Wartezeit für Wechsel der Praxissoftware > 1 Jahr).

Schön zu lesen, das es nicht nur den (Kassen-)Patienten bei den Fachärzten für (Notfall-)Terminen so geht.

 

[Falk R.]

Wenn du spezielle Fragen hast, kannst du mich auch gern persönlich anschreiben. Meinem Zahnarzt helfe ich auch unentgeltlich bei seiner Infrastruktur, ich mache das aber nicht offiziell, weil ich von der Praxissoftware keine Ahnung habe und wenn er dem Dienstleister sagt, er hat alles selbst gemacht, fangen die nicht mit Fingerpointing an.