[Gelöst] Bin ich oder ist die SmartHome App zu "doof" in ihren Einstellungen um remote auf kaskadierte FB zuzugreifen?

[odoll]

Tach,

ich habe hier eine 7490, die kaskadiert hinter einer VF 6660, in einem Vereinsheim ihren Dienst als Gäste-Wifi-AP verrichtet.
Bis dato hatte ich sie in meinem Mesh.
Da wir aber nun dort auch DECT Heizungsthermostate einsetzen wollen, ich aber nicht möchte, dass der "Hausmeister" dann auch Zugriff auf die bei mir zuhause bekommt, habe ich sie wieder aus dem Mesh "rausgeschissen".
Nun dachte ich (naiver Weise), ich könnte dem "Hausmeister" per FRITZ!App SmartHome einen remote Zugriff aus dem Internet auf die FB geben.
Also habe ich auf der 7490 als IP-Client den Zugriff per https/443 enabled und auf der 6660 per Myfritz eine Portweiterleitung zu ihr eingerichtet.
Unter Myfritz hat die 7490 nun auch ihre MyFritz Adresse (<7490>.myfritz.net), diese zeigt / löst aber wie erwartet auf die ihre lokalen IPs (v4 bzw. v6) auf.
Dafür hat die 6660 für die Portweiterleitung zur 7490 nun auch eine Myfritz-Adresse <7490>.<6660>.myfritz.net parat.
Über diese erreiche ich auch von außen das Webinterface der 7490.

Nun zum Problem: Lokal (aus 192.168.178/24) kann ich per App die 302er DECT administrieren, aber, obwohl "Nutzung von unterwegs" aktiviert ist, geht das nicht mehr, wenn ich z.B. WiFi deaktiviere und nur per LTE "unterwegs" bin. (In der App wird ja auch nur die <7490>.myfritz.net angezeigt.)
Manuell lässt sich in der App nur eine IPv4 eingeben - kein Text, also auch nicht die MyFritz-Adresse (der 6660 für die 7490), aber selbst wenn ich dort die ext. IPv4 der 6660 eintrage, die ja per Port-Weiterleitung via https getestet zum IF der 7490 führt, gibt's keine Verbindung.

Eigentlich wollte ich es dem Hausmeister ersparen auch erst noch zusätzlich ne VPN-Verbindung herstellen zu müssen, aber wenn das wie oben beschrieben nicht doch noch irgendwie zu lösen ist, wird's wohl darauf hinauslaufen?!?

 

[tango501]

zusätzlich ne VPN-Verbindung herstellen zu müssen

Auf eine VPN Verbindung mit der FRITZ!Box als kaskadierter Router wird es aber rauslaufen. Dabei bitte die Abweichungen bei einzelnen Punkten zu den VPN Anleitungen beachten.

FRITZ!Box 7490 | VPN-Verbindungen in FRITZ!Box als kaskadierter Router einrichten

Entdecke FRITZ! - Informiere dich über die vielseitigen und benutzerfreundlichen Lösungen für deinen Internetanschluss und deine Heimvernetzung.

fritz.com

 

[odoll]

OK danke. Ich denke, dann geb ich dem Hausmeister lieber "Admin"-Zugriff per 443 und eigenem Account auf der FB.

PS: Ich denke die Antwort auf meine Frage muss leider

die SmartHome App ist zu "doof"​

lauten

Ich habe mal testweise die Android App "BoxToGo Free" von almisoft ausprobiert und dort die Daten für FQDN extern und intern, sowie FB Benutzername + Pwd eingetragen: Tut problemlos, auch remote (WLAN aus per LTE)!

Per PushMail bekam ich von MyFritz auch folgenden Hinweis zugeschickt:

Anmeldung an FRITZ!Box aus dem Internet

Kürzlich erfolgte eine Anmeldung an Ihrer FRITZ!Box 7490 [sdoor] aus dem Internet. Informationen zur Anmeldung des Geräts​ Benutzer: p*** Datum: Mittwoch, 15. April 2026, 16:32 Uhr IP-Adresse: <externe IPv4> der 6660 Standort: Deutschland System: Android 10

 

[Ldwg2002]

Also habe ich auf der 7490 als IP-Client den Zugriff per https/443 enabled und auf der 6660 per Myfritz eine Portweiterleitung zu ihr eingerichtet.

Zugriff per 443 und eigenem Account auf der FB.

Genau diesen Weg habe ich für jeden FB-AccessPoint (IP-Client-Modus) in meinem LAN/WLAN hinter dem FB-Router eingerichtet. Funktioniert bestens als fall back, wenn ich kein VPN habe.

Was gefällt dir an diesem Weg nicht? Warum muss/soll es eine App für den Hausmeister werden?

P.S. kannte die App nicht, danke für die Info.

 

[odoll]

Ohne die Option "FRITZ!Box-Einstellungen" kann er sich ja gar nicht anmelden, um per FB-GUI die SmartHome-Geräte zu bedienen.
Wenn er sich aber anmelden kann, ist er quasi (auch) Admin der Kiste, was ich nicht möchte.

[Edit Novize: Riesenbild gemäß der Forumsregeln auf Vorschau verkleinert]
PS: Da ich in BoxToGo den Port der ext, IP frei definieren kann, werde ich den evt. sowohl auf der 7490 als auf der 6660 auf einen anderen legen.

 

[Ldwg2002]

Ohne die Option "FRITZ!Box-Einstellungen" kann er sich ja gar nicht anmelden, um per FB-GUI die SmartHome-Geräte zu bedienen.

Dass ein FB-Benutzer immer alles (verstellen) kann oder einfach gar nichts, ist mir als Nachteil bekannt.

Deshalb reduziere ich den FB-Router zunehmend auf "Ein Router ist ein Router, ist ein Router, ist ein Router". Gewaltenteilung funktioniert auch außerhalb der Staatstheorie.

DHCP vergibt statisch zugeordnete IPv4 Addressen, Management (IPAM) im LAN/WLAN, um den unbekannten Dritten (UrhG) und das Risiko vagabundierender WLAN-PreShareyKeys auszuschließen. Der DHCP-Dienst ist entweder noch auf der FB, aber einmal bereits ausgelagert (Pi-hole). IoT wächst im separaten Subnetz mit HomeAssistant heran. Nirgends kommt eine randomized/zufällige MAC-Adresse in das LAN/WLAN, egal ob rotierend oder einmalig. Apple verwendet Begriffe konträr (z.B. privat i.S.v. verschleiern, verstecken) und dem Apple-Marketing fällt hier immer wieder etwas Neues ein. Ein Gäste-WLAN gibt es nicht. Warum taugt ein WLAN-Gastnetz nicht für private bekannte regelmäßige Gäste, wohl aber für einmalige Besucher? Ein flüchtiger Besucher hat für seine Bedürfnisse i.d.R. genug Datenvolumen an seinem mobilen Endgerät.

Da ich in BoxToGo den Port der ext, IP frei definieren kann, werde ich den evt. sowohl auf der 7490 als auf der 6660 auf einen anderen legen.

Und mit BoxToGo kannst du (in der Bezahlversion) einzelne Menüseiten öffnen/sperren?

Muss ich mir genauer ansehen, denn hier gilt: Jede FB-AccessPoint (<10) hat einen separaten ext.Port, der am FB-Router als PortForwarding eingetragen ist. Somit ist die gesamte FB-Infrastruktur auch ohne VPN erreichbar. (Wurde noch nie gebraucht (DeAktiviert) und könnte zentral am Router aktiviert werden.) Jede Anmeldung am FB-Router aus dem Internet (Fernzugang) wird per Mail gemeldet, weil ein Push-Service wegen der immer noch aktiven Abmahnanwälte eingerichtet ist.
|_X_| Aktuelle IP-Adresse # Zusendung der IP-Adresse bei Neuaufbau der Internetverbindung.
Hier wird diskutiert: Fritzbox Fernzugang aktivieren oder nicht .

Stolpersteine möchte ich noch anfügen: Keine fixe, eingetragene feste IP in der FritzBox-Infrastruktur. Auch jeder FB-AccessPoint (IP-Client-Modus) erhält eine statisch zugeteilte IPv4 vom DHCP-Dienst, damit es von Anfang an mit chrony/NTP am AP keine Probleme gibt. Verwirrung stiftet Marketing und Technik von Apple: "Das iPhone und seine Probleme mit DHCP im WLAN" nicht nur im Firmenumfeld, wenn eine APIPA Fallback-Adresse auf eine locally administered MAC (a subset also known as randomized MAC 2nd-hexDigit: 2,6,A,E) folgt.

Locally Administered Address (LAA) - Hexadecimal Identification:
The second hexadecimal digit in the MAC address is typically
2, 3, 6, 7, A, B, E, or F (e.g., 02:xx:xx:xx:xx:xx, 06:xx:xx:xx:xx:xx).

The new shift in the mobile device industry is to randomize MAC addresses