Kapier ich nicht - sind die nicht alle hinter dem Router?

Oder richten die sich alle über uPnP einen Port-Forward ein? Und sind dann über diesen Port angreifbar oder wie? Oder direkt über das WLAN, also muss man da vorbei fahren?