žiju v tom že "venkovní ip na které sedí router" = wan = ta co mi zadá provider. pokud je veřejná, pak je ovládání možné odkudkoli.

oprava:
aha, už chápu svůj omyl: já uvažoval adresu kam (na router) se strefuju.
v nastavení domácích routříků se výslovně povoluje přístup z konkrétní venkovní adresy nebo rozsahu adres. lze zadat rozsah celého netu, nebo omezit na jedinou protilehlou ip.
a pak záleží na syntaxi - pokud zadám nuly nebo neuvedu nic nebo cosi nezatrhnu - pak přístup zvenčí není povolen.

oprava 2:
tak jsem to měl u starého d-linku.
a teď jsem čumím na asus, a tam žádný výběr na omezení adres není (kromě zákazu přístupu), jen "Port of Web Access from WAN", a jinak přístup třeba z honolulu.