Fernzugriff auf Ihre JK BMS Batterie und Ihren DEYE Wechselrichter über den eigenen Router

Beide Geräte — das JK BMS Web Gateway und das DEYE Web Gateway — zeigen ihr Dashboard nur im Heimnetz. Diese Anleitung zeigt, wie Sie es von unterwegs (im Büro, im Urlaub) am Handy öffnen, ohne irgendetwas dem Internet auszusetzen. Der Ablauf ist für beide Geräte gleich, nur die IP-Adresse unterscheidet sich. An der Firmware ändert sich nichts.

⚠️ Öffnen (forwarden) Sie niemals Port 80 des Gateways ins Internet. Das Gateway hat kein HTTPS, Daten liest jeder ohne Passwort und nur eine PIN schützt Änderungen — es ist bewusst ein einfaches Gerät für das lokale Netz. Wer es im Internet findet, sieht nicht nur die Daten, sondern kann auch die Schutzgrenzen der Batterie überschreiben, Einstellungen ändern und das WLAN löschen. Der einzig sichere Weg ist ein VPN: Sie verbinden sich von außen in Ihr Heimnetz und sehen das Gateway dann genau so, als wären Sie zu Hause.

Was Sie benötigen

Einen Router mit VPN-Server. Das können heute die meisten besseren Router: Mikrotik, Asus, Fritz!Box, Ubiquiti/Unifi, OpenWrt, TP-Link (Omada und neuere Heimmodelle), Synology. Wir empfehlen WireGuard — schnell, einfach, das Handy verbindet sich in einer Sekunde. Bietet der Router nur OpenVPN, nehmen Sie in den Schritten 3 und 4 die Variante B.
Eine öffentliche IP-Adresse am Router. Vergleichen Sie die „WAN-IP" in der Router-Oberfläche mit der Adresse, die z. B. whatismyip.com anzeigt. Stimmen sie überein, haben Sie eine öffentliche IP. Zeigt der Router etwas wie 100.64.x.x oder 10.x.x.x, sind Sie hinter dem CGNAT Ihres Anbieters — gehen Sie direkt zu Schritt 6.
Die WireGuard-App (oder OpenVPN Connect) am Handy — beide sind kostenlos im App Store und bei Google Play.

Vorgehen

Geben Sie dem Gateway eine feste IP (DHCP-Reservierung)

Öffnen Sie im Router die Liste der verbundenen Geräte, suchen Sie das Gateway (das JK BMS Gateway meldet sich als jkbms, das DEYE Gateway als deye) und legen Sie eine Reservierung an, z. B. 192.168.0.5. Die MAC-Adresse steht auch in der Kopfzeile des Gateway-Dashboards. Ohne Reservierung könnte sich die IP nach einem Neustart ändern und Sie müssten sie von unterwegs raten.

DDNS aktivieren, falls sich Ihre öffentliche IP ändert

Die meisten Heimanschlüsse haben eine öffentliche IP, die sich gelegentlich ändert. Damit das VPN am Handy Ihren Router immer findet, aktivieren Sie den eingebauten DDNS-Client des Routers — er meldet seine aktuelle IP dann unter einem festen Namen, z. B. meinhaus.ddns.net. Dienste: no-ip.com (kostenlos, ein kostenloser Hostname muss aber alle 30 Tage per E-Mail bestätigt werden), DuckDNS (kostenlos, ohne Bestätigung) oder das DDNS des Router-Herstellers (Asus DDNS, MyFRITZ!, Mikrotik Cloud, Synology QuickConnect/DDNS).

DDNS löst nur die Frage, wie man den Router von außen erreicht. Es öffnet und schützt selbst nichts — verwenden Sie es ausschließlich als VPN-Adresse, nie für eine Portweiterleitung zum Gateway.

Haben Sie vom Anbieter eine statische öffentliche IP, überspringen Sie diesen Schritt.

VPN-Server am Router aktivieren

A — WireGuard (empfohlen)

Suchen Sie in der Router-Oberfläche VPN → WireGuard-Server (Asus: VPN → VPN Server → WireGuard; Fritz!Box: Internet → Freigaben → VPN (WireGuard); Mikrotik: WireGuard; OpenWrt: Paket luci-proto-wireguard). Aktivieren Sie ihn und legen Sie einen Client (Peer) für Ihr Handy an. Der Router erzeugt die Schlüssel selbst und zeigt einen QR-Code.

Prüfen Sie, dass der Client auf das Heimnetz zugreifen darf (192.168.0.0/24, je nach Ihrem Netz) und dass der Endpoint Ihr DDNS-Name oder Ihre statische IP ist. Der Router öffnet selbst einen UDP-Port für das VPN (meist 51820) — das ist der einzige Port, der aus dem Internet offen sein darf.

B — OpenVPN

Hier finden Sie es: Asus VPN → VPN Server → OpenVPN; TP-Link Advanced → VPN Server → OpenVPN; Synology Paket VPN Server → OpenVPN; OpenWrt Paket luci-app-openvpn; Mikrotik PPP → OVPN Server (die Zertifikate müssen Sie dort von Hand anlegen, das ist etwas für Fortgeschrittene).

Aktivieren Sie den Server und lassen Sie den Router ein Zertifikat erzeugen. Protokoll UDP, Port 1194 beibehalten.
Stellen Sie den Client-Zugriff auf das Heimnetz (Asus: „Local network only" oder „Both"; TP-Link: „Home Network Only"). Sonst verbindet das VPN, aber das Gateway ist nicht zu sehen.
Falls der Router es verlangt, legen Sie einen VPN-Benutzer mit Namen und starkem Passwort an.
Exportieren Sie die Konfigurationsdatei .ovpn (Schaltfläche „Export" / „Export OpenVPN configuration file").
Öffnen Sie die Datei in einem Texteditor und sehen Sie sich die Zeile remote an. Dort soll Ihr DDNS-Name aus Schritt 2 stehen, z. B. remote meinhaus.ddns.net 1194. TP-Link trägt dort die aktuelle IP ein und Synology den Text YOUR_SERVER_IP — ersetzen Sie das.

Auch hier gilt: Aus dem Internet darf nur dieser eine Port (UDP 1194) offen sein.

Handy verbinden und Dashboard öffnen

A — WireGuard: Wählen Sie in der WireGuard-App Tunnel hinzufügen → QR-Code scannen und scannen Sie den Code vom Router. Schalten Sie den Tunnel ein.

B — OpenVPN: Bringen Sie die Datei .ovpn auf das Handy (per E-Mail an sich selbst, über eine Cloud oder per Kabel). Wählen Sie in der App OpenVPN Connect Import Profile → File, wählen Sie die Datei, geben Sie Namen und Passwort des VPN-Benutzers ein und verbinden Sie sich. Die Datei .ovpn ist ein Schlüssel zu Ihrem Heimnetz — geben Sie sie niemandem weiter und löschen Sie sie nach dem Import aus dem Postfach.

Öffnen Sie dann im Browser http://192.168.0.5 (die IP Ihres JK BMS Gateways) bzw. die IP Ihres DEYE Gateways — das Dashboard erscheint wie zu Hause.

Tipp: Mit Zum Home-Bildschirm hinzufügen im Browser liegt das Dashboard als Symbol neben Ihren anderen Apps.

Die Namen jkbms.local und deye.local funktionieren über das VPN nicht. Sie beruhen auf mDNS, das nicht durch einen VPN-Tunnel geht. Verwenden Sie von unterwegs immer die IP-Adresse — deshalb ist die Reservierung in Schritt 1 wichtig.

Home Assistant funktioniert ebenfalls

Läuft bei Ihnen Home Assistant mit unserer Integration, funktionieren über dasselbe VPN auch die Home-Assistant-App und alle ihre Dashboards — für JK BMS ebenso wie für DEYE. Es ist nichts weiter einzurichten.

Hinter CGNAT oder Router ohne VPN: Tailscale

Ohne öffentliche IP kann ein VPN am Router nicht funktionieren. Die Lösung ist Tailscale — ein kostenloses VPN, das weder eine öffentliche IP noch einen offenen Port braucht. Installieren Sie es auf etwas, das zu Hause immer läuft (in Home Assistant ist das das Add-on Tailscale, sonst ein Raspberry Pi oder NAS) und aktivieren Sie dort den Subnet-Router für Ihr Netz 192.168.0.0/24. Installieren Sie die Tailscale-App am Handy, melden Sie sich mit demselben Konto an und öffnen Sie das Dashboard unter derselben IP wie zu Hause.

Was Sie nicht tun sollten

Portweiterleitung zum Gateway (Port 80 oder irgendein anderer Port auf die IP des Gateways) — Dashboard und Einstellungen wären ohne Passwort für das ganze Internet erreichbar.
DMZ auf das Gateway — dasselbe, nur mit allen Ports.
UPnP — am Router abschalten, damit kein anderes Gerät von sich aus Ports öffnet.
Brauchen Sie unbedingt eine öffentliche Adresse ohne VPN-App, muss vor dem Gateway ein Reverse-Proxy mit HTTPS und Passwort stehen (z. B. das Add-on Nginx Proxy Manager in Home Assistant). Das ist ein fortgeschrittenes Thema außerhalb dieser Anleitung — ein VPN ist einfacher und sicherer.

Fehlersuche

VPN verbindet, aber das Dashboard lädt nicht: Prüfen Sie, dass der Client im Router auf das ganze Heimnetz zugreifen darf (nicht nur „Internet über VPN") und dass Sie die IP-Adresse verwenden, nicht jkbms.local.
VPN verbindet gar nicht: Prüfen Sie den DDNS-Namen (er muss auf die aktuelle WAN-IP des Routers zeigen) und dass Sie im Mobilfunknetz sind, nicht im Heim-WLAN — viele Router erreichen ihre eigene öffentliche IP von innen nicht.
OpenVPN verbindet, aber das Dashboard lädt nicht: Der Server erlaubt den Clients nur „Internet über VPN". Stellen Sie den Zugriff auf das Heimnetz um und exportieren Sie die Datei .ovpn erneut.
OpenVPN lief und verbindet nach einiger Zeit nicht mehr: In der Zeile remote der Datei .ovpn steht eine alte öffentliche IP. Ersetzen Sie sie durch den DDNS-Namen und importieren Sie das Profil erneut.
Zu Hause geht es, von außen nicht, und die WAN-IP ist 100.64.x.x: Sie sind hinter CGNAT; nutzen Sie Schritt 6 oder fragen Sie Ihren Anbieter nach einer öffentlichen IP.