Einrichten des Port Forwardings zum Zugriffstest

Worum es geht

Damit ich ein Gerät in die Wallbox-Steuerung einbinden oder einen Fehler nachvollziehen kann, teste ich am liebsten direkt „am lebenden Objekt“. Dabei lese ich normalerweise nur Werte aus. Schreibend greife ich erst nach Absprache mit Dir zu, z. B. wenn ich die Wallbox steuern muss.

Von außen sind die Geräte in Deinem Heimnetz normalerweise nicht erreichbar. Mit einer Portfreigabe (englisch „Port Forwarding“, siehe Wikipedia) machst Du genau ein Gerät über genau einen Zugang, den „Port“, aus dem Internet erreichbar. Alles andere in Deinem Netz bleibt abgeschirmt.

Wichtig: Für den Zugriff schickst Du mir Zugangsdaten, je nach Weg Deine IP-Adresse und einen Port, eine MyFRITZ!-Adresse oder eine VPN-Datei. Bitte schicke sie nicht per Mail. Für die Details der Zusendung über sichere Kanäle (Signal, WhatsApp, Threema) kontaktiere mich direkt per Mail.

Sicherheit: Eine Freigabe kann jeder nutzen, der die Adresse kennt, und Modbus fragt nach keinem Passwort. Lösche die Freigabe oder die VPN-Verbindung deshalb wieder, sobald ich fertig bin. In der FRITZ!Box geht das unter „Internet → Freigaben“ mit dem Mülleimer-Symbol beim jeweiligen Eintrag.

Welcher Weg passt zu Dir?

Das hängt von Deinem Internetanschluss ab. Immer mehr Anbieter vergeben keine eigene öffentliche IPv4-Adresse mehr, sondern schalten nur „DS Lite“ (Erklärung bei FRITZ!). Dann ist Dein Anschluss über IPv4 von außen nicht erreichbar, und eine normale Portfreigabe funktioniert nicht.

So findest Du es heraus: In der FRITZ!Box steht unter „Internet → Online-Monitor“ in der Zeile „Internet, IPv4“ Deine externe IP-Adresse. Vergleiche sie mit der Adresse, die whatismyipaddress.com unter „IPv4“ anzeigt, wenn Du die Seite von einem Gerät in Deinem Heimnetz aus aufrufst.

  • Beide Adressen stimmen überein: Nimm Weg A, die Portfreigabe. Das ist der einfachste Weg.
  • Die FRITZ!Box zeigt „DS-Lite“ oder keine IPv4-Adresse an: Nimm Weg B, die MyFRITZ!-Freigabe über IPv6, oder Weg C, ein VPN.
  • Die FRITZ!Box zeigt eine Adresse an, aber eine andere als whatismyipaddress.com: Dann hängt Deine FRITZ!Box vermutlich hinter einem weiteren Router, oder Dein Anbieter teilt die Adresse mit anderen Kunden. Weg A funktioniert dann nicht. Melde Dich bei mir, dann schauen wir gemeinsam, was geht.

Weg C funktioniert in der Regel mit und ohne DS Lite, setzt aber mehr Vertrauen voraus (siehe dort). Du hast keine FRITZ!Box? Dann lies unter Andere Router weiter.

Weg A: Portfreigabe in der FRITZ!Box

Je nach FRITZ!OS-Version sehen die Menüs etwas anders aus, der Ablauf ist aber derselbe.

1. Gerät heraussuchen

Unter „Heimnetz → Netzwerk“, Reiter „Netzwerkverbindungen“, findest Du das Gerät, das ich erreichen soll (den Wechselrichter, seinen Dongle bzw. RS485-Adapter oder die Wallbox), und seine IP-Adresse.

Damit das Gerät diese Adresse behält, klicke bei ihm auf „Bearbeiten“ (Stift), setze den Haken bei „Diesem Netzwerkgerät immer die gleiche IPv4-Adresse zuweisen“ und bestätige mit „OK“. Die Wallbox-Steuerung braucht das ohnehin.

2. Portfreigabe anlegen

  1. „Internet → Freigaben“, Reiter „Portfreigaben“ öffnen.
  2. Auf „Gerät für Freigaben hinzufügen“ klicken und das Gerät aus Schritt 1 auswählen.
  3. In diesem Fenster keinen Haken setzen, sondern nur unten auf „Neue Freigabe“ klicken.
  4. „Portfreigabe“ auswählen, nicht „MyFRITZ!-Freigabe“ (die ist nur für Weg B):
    FRITZ!Box-Dialog „Freigabe anlegen“ mit markierter Option „Portfreigabe“
  5. Anwendung und Port hängen davon ab, wie ich das Gerät anspreche: per HTTP (meist Port 80) oder per Modbus (meist Port 502). Welcher Port für Dein Gerät gilt, steht in dieser Liste. Im Zweifel schreibe ich es Dir dazu.
    • Modbus und alles andere außer HTTP: „Anwendung“ → „Andere Anwendung“, „Bezeichnung“ beliebig (z. B. „Freigabe für Christian“), „Protokoll“ → „TCP“, „Port an Gerät“ → der Port aus der Liste, meist 502 bis 502.
    • HTTP: „Anwendung“ → „HTTP-Server“, „Port an Gerät“ → meist 80 bis 80.
  6. „Port extern gewünscht“: eine beliebige Zahl zwischen 1024 und 65535, z. B. 40502. Diese Nummer brauche ich!
  7. „Freigabe aktivieren“ muss angehakt sein und darunter „Internetzugriff über IPv4“ ausgewählt:
    FRITZ!Box-Dialog „Freigabe anlegen“: Andere Anwendung, TCP, Port an Gerät 502, Port extern gewünscht 40502, Internetzugriff über IPv4
  8. Mit „OK“ bestätigen und danach auf „Übernehmen“ klicken.

3. Dafür sorgen, dass die Adresse gleich bleibt

Ich komme nicht immer am selben Tag dazu. Ändert sich Deine externe IP-Adresse in der Zwischenzeit, komme ich nicht mehr an das Gerät, und es geht Zeit verloren. Prüfe deshalb unter „Internet → Zugangsdaten“, Reiter „Internetzugang“, bei „Verbindungseinstellungen ändern“, dass „dauerhaft halten“ ausgewählt ist. Die Einstellung gibt es nicht bei jedem Anschluss.

Trennt Dein Anbieter die Verbindung regelmäßig (Zwangstrennung), lässt sich das in der FRITZ!Box nicht abschalten, nur in die Nacht verschieben. Die Adresse ändert sich dann trotzdem. Schicke mir in dem Fall einfach die neue, wenn ich mich melde.

4. Freigabe testen

Bei HTTP: Schalte am Handy das WLAN aus und rufe im Browser „http://“, Deine externe IP-Adresse, einen Doppelpunkt und den externen Port auf, also z. B. http://203.0.113.25:40502. Erscheint eine Seite oder überhaupt eine Antwort des Geräts, passt alles.

Bei Modbus:

  1. SMA beschreibt hier ein kostenloses Programm zum Abfragen von Modbus-Werten, samt Anleitung. Installiere es wie dort beschrieben. Es funktioniert nicht nur mit SMA-Geräten.
  2. Trage in den Verbindungseinstellungen des Programms zuerst die interne IP-Adresse des Geräts aus Schritt 1 und den Port an Gerät ein (meist 502). Klicke dann in der Werkzeugleiste auf den Knopf zum Verbinden, den linken von dreien mit den zusammengesteckten Steckern.
  3. Wird innerhalb von etwa einer Sekunde der Knopf zum Trennen daneben aktiv, steht die Verbindung. Kommt eine Fehlermeldung oder dauert es deutlich länger, stimmt die IP-Adresse nicht oder das Gerät antwortet nicht auf Modbus-Anfragen.
  4. Klappt das, trenne die Verbindung wieder, trage statt der internen die externe IP-Adresse und statt 502 den externen Port ein (z. B. 40502) und teste erneut.

Scheitert der Test mit der externen Adresse von zu Hause aus, probiere es von unterwegs, z. B. mit dem Laptop am Hotspot Deines Handys. Nicht jeder Router lässt den Zugriff auf die eigene externe Adresse aus dem Heimnetz zu.

Erst wenn der Test klappt, kann ich weitermachen.

5. Was Du mir schickst

Deine externe IP-Adresse (siehe „Welcher Weg passt zu Dir?“) und den externen Port aus Schritt 2, z. B. 40502. Zusammen sind die beiden mein Zugangsschlüssel.

Weitere Hinweise zu Portfreigaben stehen in der FRITZ!-Wissensdatenbank.

Weg B: FRITZ!Box mit DS Lite – MyFRITZ!-Freigabe über IPv6

Bei DS Lite ist Dein Anschluss von außen nur über IPv6 erreichbar. Mit einer MyFRITZ!-Freigabe komme ich trotzdem an das Gerät, allerdings nur, wenn das Gerät selbst IPv6 beherrscht. Viele Dongles und Wallboxen können das nicht, dann bleibt nur Weg C. Ob es bei Dir klappt, siehst Du nach Schritt 2 in der Freigabeliste.

1. MyFRITZ!-Konto einrichten

Richte unter „Internet → MyFRITZ!-Konto“ ein Konto ein, falls Du noch keins hast, und notiere Dir die MyFRITZ!-Adresse. Sie sieht etwa so aus: „a1b2c3d4e5f6g7h8.myfritz.net“.

2. Freigabe anlegen

  1. „Internet → Freigaben“, Reiter „Portfreigaben“ öffnen.
  2. Auf „Gerät für Freigaben hinzufügen“ klicken und das Gerät auswählen. Sonst nichts ausfüllen oder anhaken!
  3. Auf „Neue Freigabe“ klicken und diesmal „MyFRITZ!-Freigabe“ auswählen.
  4. Anwendung:
    • HTTP: „HTTP-Server“ auswählen, dann „OK“.
    • Modbus und andere: „Andere Anwendung“, „Bezeichnung“ beliebig (z. B. „Freigabe für Christian“), „Schema“ → „manuelle Eingabe“ und darunter irgendeinen Text (z. B. „ChK“), „Port an Gerät“ → der Port aus der Liste, meist 502. Dann „OK“.
  5. Auf „Übernehmen“ klicken.

Danach sieht die Freigabeliste etwa so aus:

FRITZ!Box-Freigabeliste mit den Geräten evse-wifi und pv-inverter-solaredge; beim zweiten steht unter der IPv4- auch eine IPv6-Adresse

Steht beim Gerät unter der IPv4-Adresse auch eine IPv6-Adresse (im Bild bei „pv-inverter-solaredge“), beherrscht es IPv6. Fehlt sie, klappt dieser Weg bei Deinem Gerät vermutlich nicht.

3. Was Du mir schickst

Die fertige Adresse des Geräts, genau so, wie die FRITZ!Box sie anzeigt. Klicke dazu in der Freigabeliste beim Gerät auf „Bearbeiten“ (Stift) und öffne dort die MyFRITZ!-Freigabe. Im Feld „MyFRITZ!-Adresse“ steht die Adresse, etwa „pv-inverter-solaredge.a1b2c3d4e5f6g7h8.myfritz.net:502“. Steht davor noch etwas wie „http://“, schicke es einfach mit.

Findest Du das Feld nicht, schicke mir stattdessen den Namen des Geräts aus der Liste (im Bild „pv-inverter-solaredge“), den Port (im Bild 502) und Deine MyFRITZ!-Adresse aus Schritt 1.

Weg C: VPN (WireGuard)

Über ein VPN bin ich sozusagen Teil Deines Heimnetzes und erreiche jedes Gerät, ohne dass Du einzelne Freigaben anlegen musst. Das klappt in der Regel auch bei DS Lite. Dafür habe ich damit Zugriff auf Dein gesamtes Heimnetz. Richte es also nur ein, wenn Du damit einverstanden bist, und lösche die Verbindung nach dem Test wieder.

  1. MyFRITZ!-Konto einrichten wie bei Weg B, Schritt 1, falls noch nicht geschehen.
  2. „Internet → Freigaben“, Reiter „VPN (WireGuard)“ öffnen.
  3. Auf „Verbindung hinzufügen“ klicken.
  4. „Einzelgerät verbinden“ auswählen.
  5. Einen Namen für die Verbindung eintragen, z. B. „Christian“, und die Einrichtung abschließen.
  6. Verlangt die FRITZ!Box eine zusätzliche Bestätigung, z. B. per Taste an der Box, diese erledigen.
  7. Auf „Einstellungen herunterladen“ klicken. Du bekommst eine Datei mit der Endung „.conf“.

Was Du mir schickst: diese .conf-Datei, und zwar nicht per Mail, sondern über einen der sicheren Kanäle (siehe oben).

Andere Router

Das Prinzip ist bei allen Routern gleich, nur die Menüs heißen anders. Für die Vodafone-Kabelbox (Connect Box, früher Unitymedia) gibt es hier eine Anleitung. Bei anderen Routern hilft meist eine Suche nach „Portfreigabe“ und dem Modellnamen.

Lassen sich bei Deinem Router keine Portfreigaben einrichten oder zeigt er keine eigene öffentliche IPv4-Adresse an, hast Du vermutlich DS Lite (siehe Welcher Weg passt zu Dir?). Melde Dich dann bei mir, und wir schauen, was möglich ist.