Kann man das Eero mesh nicht im AP-Modus betreiben, damit gar nicht erst ein Double-NAT entsteht?

Im Bridge-Mode müßte sie ja auch die Einwahl machen, routen sowie die Firewall bereitstellen, tut sie das alles denn überhaupt?

Übliche Mesh-Systeme (die mir eben so geläufig sind) setzt man eben so auf, daß sie DHCP vom Modem weiternutzen.
Du könntest auch auf der Fritzbox Passthrough (ähnlich Bridge-Mode) aktivieren (und ggf. auch WLAN deaktivieren), damit dein Mesh die Einwahl macht und eine eigene IP bekommt, nur sehe ich den Sinn dahinter nicht.
Es gibt übrigens auch auf Fritzboxen noch einen (echten) Bridge-Mode, den hat AVM aber gesperrt und könnte nur über Fernwartung aktiviert werden.

ja eero kann einwahl und firewall. wenn ich es als AP verwende gehen wir die ganzen security fearures verloren

Und welche wären das, die die Fritzbox nicht genausogut beherrscht?
Aber egal, ich hab dir ja die Optionen bereits genannt, wenn du es unbedingt so haben möchtest.
Und wie du allenfalls einen Bridge-Mode auf der Fritzbox aktivieren könntest kannst ja selbst danach googeln, muß man das Export-File editieren, verschlüsseln und wieder einspielen.