Jellyfin далеч от дома с Tailscale: Реалистично ръководство за цялото семейство

Информатек Дигитал » мрежи » Jellyfin далеч от дома с Tailscale: Реалистично ръководство за цялото семейство

Jellyfin работи перфектно у дома: инсталирате сървъра, добавяте папките и след няколко минути вашата библиотека е достъпна в хола. Проблемът започва, когато искате да гледате нещо на телефон, iPad или телевизор, принадлежащ на роднина, който е на километри разстояние. Тук влизат в действие рутерът, портовете, домейните и цял куп други решения, които за тези, които не искат да усложняват нещата, могат да превърнат един тих следобед в главоболие. Отдалеченият достъп е съвсем друга история и ако искате хора с ограничено технологично търпение да го използват, нещата стават още по-сложни.

Добрата новина е, че има решения, които избягват отварянето на портове и дори работят, когато вашият интернет доставчик ви е поставил зад CGNAT. Tailscale е най-популярният начин да се справите, без да докосвате рутера, но не е магия: изисква инсталиране на нещо на всяко устройство и има ясни ограничения, когато става въпрос за телевизори Samsung или LG, или по-стари устройства. Няма чаровно решение , което да превърне Jellyfin в Plex за цялото семейство без никаква настройка, но има по-ясни пътища от другите. Нека разгледаме внимателно всички подробности, включително това, за което обикновено никой не говори по отношение на Tailscale, Cloudflare Tunnel, VPS и настройките за сигурност на Jellyfin.

Защо Джелифин се забива, когато излиза от дома си?

В локална мрежа всичко е много просто: сървърът има частен адрес, нещо като 192.168.1.50, и всяко устройство, свързано към същата Wi-Fi мрежа, може да има достъп до него без проблем. Ситуацията се променя, когато заявката идва от интернет, защото вашият рутер не знае към кое устройство да пренасочи този трафик. За да се реши това, обикновено се използват три класически решения: пренасочване на портове, настройване на обратен прокси или използване на тунел като Cloudflare. И трите са сложни и никое не е предназначено за конфигуриране от свекърва ви от другия край на света.

Пренасочването на портове включва уведомяване на рутера, че целият трафик, пристигащ на определен порт, трябва да бъде насочен към компютъра, на който работи Jellyfin. Звучи лесно, но изисква достъп до контролния панел на рутера, създаване на правило, задаване на локалния IP адрес на сървъра и надежда, че публичният IP адрес не се променя често. Освен това, отварянето на портове на рутера създава уязвимост, видима от интернет, и ако не е правилно защитена, може да се превърне в значителна дупка в сигурността.

Обратният прокси е по-елегантен, но и по-технически. Използва се за получаване на посещения, криптиране на връзката с HTTPS и предаването им на Jellyfin сървъра вътре. Обикновено изисква закупуване или управление на домейн, конфигуриране на сертификати и разбиране какво се случва на всяка стъпка. Не е невъзможно , но не е това, което бихте препоръчали на някой, който просто иска да гледа филм на своя iPad, без да се обажда на компютърен експерт.

Cloudflare Tunnel е друга опция: инсталирате програма на сървъра, тя отваря изходяща връзка и вашите гости могат да имат достъп до нея, използвайки нормално име, без да е необходимо да отварят портове или да имат публичен IP адрес. Проблемът е, че дребният шрифт на Cloudflare не е толкова лесен за ползване, колкото изглежда, когато става въпрос за предоставяне на видео, а освен това разчитате на посредник, който може да промени правилата или да ограничи услугата ви.

Общият знаменател на всички тези опции е, че по един или друг начин те излагат домашната ви мрежа на интернет , публикуват домейн или зависят от външен доставчик. Това обяснява защо много хора се отказват от функцията за отдалечен достъп на Jellyfin, преди да станат твърде сложни. Препоръката на Jellyfin е ясна: отварянето на директен порт към интернет не е препоръчително, защото паролите могат да пътуват некриптирани, ако използвате обикновен HTTP. Порт 8096 е за HTTP , 8920 е предназначен за HTTPS, но не се използва по подразбиране, а 7359 е за локално откриване, така че те също не трябва да се разкриват.

Какво предлага Tailscale и къде е уловката?

Tailscale изгражда частна мрежа, базирана на WireGuard. Идеята е да инсталирате приложението на множество устройства, да ги оторизирате с един и същ акаунт и всички те да се държат така, сякаш са свързани към един и същ рутер, дори и да са в различни държави. Няма нужда да отваряте портове или да имате публичен IP адрес , защото всяко устройство инициира връзката си с мрежата на Tailscale и всички те са по средата. За домашен сървър, работещ с CGNAT, това е огромно облекчение.

Когато регистрирате няколко устройства, се създава tailnet, която е частната мрежа, свързана с вашия акаунт. Всяко устройство получава адрес като 100.xyz и MagicDNS име, така че не е нужно да запомняте числа. Това е адресът, който след това въвеждате в приложението Jellyfin, за да се свържете отвън. Tailscale разпределя адреси от блока 100.64.0.0/10 , същият, използван за CGNAT, но не се обърквайте: интернет адресът на вашия рутер е нещо съвсем различно и това е, което трябва да проверите, когато проверявате дали имате CGNAT.

Личният план на Tailscale е безплатен за некомерсиална употреба и позволява до шест потребители, включително вас, така че можете да поканите още петима души. Компанията го описва като безплатен завинаги в този план и за нормална семейна употреба обикновено е напълно достатъчен. В комбинация с Jellyfin, който е безплатен и с отворен код , имате мултимедийна екосистема без да плащате абонамент, за разлика от Plex Pass, който таксува за дистанционно стрийминг.

Tailscale е препоръчителната опция и когато операторът налага CGNAT или когато интернет доставчикът блокира определени входящи връзки. Вместо да се занимават с рутера, сървърът и клиентите се свързват към частната мрежа и се срещат там. CGNAT става неподходящ за тази връзка, защото не е необходимо никой да се обажда на домашната ви мрежа отвън.

Скритата цена обаче не е пари, а удобство. Всяко устройство, което иска да има достъп до съдържанието, трябва да има инсталиран и оторизиран Tailscale , а сървърът трябва да бъде включен и свързан към мрежата Tailscale, за да бъде достъпно съдържанието. Ако майка ви използва Samsung TV, свекърва ви има Google TV, а брат ви раздава стари таблети с Android, ще трябва да инсталирате и конфигурирате Tailscale на всяко устройство или да намерите мост. За някой, който не е технически грамотен, това вече е пречка.

Споделянето с други хора също има една уловка. Tailscale позволява споделяне на машини във всички планове, но гостът се нуждае от собствен акаунт и освен това трябва да е собственик, администратор или ИТ мениджър на собствената си мрежа, за да приеме поканата. Не е толкова просто, колкото да изпратите линк и да позволите на другия човек да влезе, без да прави нищо. За вашата свекърва това може да означава инсталация, регистрация и няколко екрана, преди да гледа първия филм.

И накрая, Tailscale не винаги установява директна връзка между двете крайни точки. Когато има твърд NAT, защитна стена или други ограничения, трафикът се пренасочва през DERP релетата на Tailscale. Това може да добави латентност и е забележимо при видеото: един ден е плавно, а на следващия заеква, дори ако не сте променили никакви настройки. Политиката за приемлива употреба на Tailscale не включва конкретна клауза относно честотната лента, видеото или обема на трафика, но това не променя факта, че релетата са последна мярка, а не гаранция за перфектно стрийминг.

Преди да докоснете каквото и да било: проверете дали имате CGNAT

CGNAT означава, че вашият доставчик на интернет услуги споделя един и същ публичен IP адрес между няколко клиенти. Вие нямате собствен адрес в интернет и без значение колко портове отворите на вашия рутер, няма начин никой извън вашата мрежа да получи достъп до вашия дом. Това е споделен публичен IP адрес , така че традиционното пренасочване на портове няма да работи, без значение колко го конфигурирате.

Проверката е бърза. Влезте в контролния панел на рутера си и намерете неговия интернет IP адрес, WAN IP адрес или външен IP адрес. След това, от устройство, свързано към същата мрежа, потърсете „Какъв е моят IP адрес?“ в Google и сравнете двете числа. Ако не съвпадат, има посредник. Ако WAN IP адресът е между 100.64.0.0 и 100.127.255.255 , проблемът е ясен: вие сте зад CGNAT. Втори рутер в същата верига също може да предизвика същия симптом, така че не изключвайте тази възможност.

Ако имате CGNAT, преди да опитате каквито и да е заобиколни решения, струва си да се обадите на вашия доставчик и да попитате дали може да ви предостави публичен IPv4 адрес. Зависи от вашия договор и местоположение и може да има цена, но това е единственият начин да възстановите традиционното пренасочване на портове. Съществува и опция за нативен IPv6: ако вашият сървър има глобално маршрутизируем IPv6 адрес и мрежата, от която осъществявате достъп, също използва IPv6, може да успеете да се свържете по този начин. CGNAT е проблем с IPv4 , така че не го изключвайте, преди да проверите.

И внимавайте за преки пътища: динамичният DNS не поправя CGNAT. Име, сочещо към споделен IP адрес, все още няма да води до вашия дом. Динамичният DNS не поправя споделен IP адрес ; той само актуализира името, когато вашият публичен IP адрес се промени, така че първо трябва да имате истински публичен IP адрес и след това да се тревожите за името.

Каране на Tailscale с Jellyfin безпроблемно

Основният процес е по-кратък от избора на това какво да гледате в петък вечер. Първо, инсталирате Jellyfin на компютъра, който ще действа като сървър. Ако е Windows, най-добре е да го маркирате като услуга, така че да се стартира автоматично, преди да влезете. След това отидете на http://localhost:8096 , добавете папките от твърдия си диск и конфигурирайте библиотеката, субтитрите и синхронизацията на напредъка на възпроизвеждане.

Докато сървърът работи, инсталирайте Tailscale на същия компютър и на устройствата, от които искате да имате достъп до него. По време на първоначалната настройка създайте акаунт и оторизирайте устройствата, което генерира tailnet. Използвайте един и същ акаунт на всички устройства, за да могат да се виждат. Ако инсталирате Tailscale на сървъра, но не и на мобилното устройство, мобилното устройство няма да бъде част от частната мрежа и няма да има достъп до нея.

За да намерите адреса на сървъра в Tailscale, можете да използвате командата `tailscale ip -4` на сървърната машина или да проверите приложението. Тя ще върне нещо като 100.121.112.23. В клиентското приложение Jellyfin ръчно добавете сървъра, като използвате този адрес и съответния порт, например 100.xyz:8096 . Автоматичното откриване на Jellyfin работи само в локалната мрежа, така че извън локалната мрежа ще трябва да въведете адреса ръчно.

Tailscale е наличен за Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV и Amazon Fire. Списъкът обхваща много устройства , но не всички. Телевизорите Samsung Tizen и LG webOS нямат Tailscale, въпреки че имат официалното приложение Jellyfin. Тук се крие проблемът: телевизорът може да работи с Jellyfin, но той остава извън вашата частна мрежа, освен ако нещо не го свърже с него.

Не забравяйте, че сървърът трябва да остане включен и свързан към Tailnet. Постоянно работещият сървър е от съществено значение: ако компютърът се изключи или загуби връзка, членовете на вашето семейство ще останат без достъп до библиотеката. Също така не можете да използвате Tailscale за търговски цели с безплатния план, така че ако това ще бъде услуга за половината от вашето семейство, уверете се, че отговаря на вашите лични изисквания.

Истинският проблем: телевизорите и нетърпеливите членове на семейството.

На телевизор Samsung Tizen или LG webOS, Jellyfin има официално приложение в магазина, но Tailscale не е налично. Телевизорът може да отвори Jellyfin, но не е в домашната мрежа, така че не достига до домашния сървър. Телевизорът остава извън домашната мрежа и няма магическа настройка в приложението, която да го поправи.

Техническото решение включва настройване на рутер на подмрежа: устройство, на което е инсталиран Tailscale и действа като мост между частната мрежа и устройствата, които не могат да инсталират приложението. Работи, но вече не е просто следобедна конфигурация: включва настройване на друго устройство, оставяне на захранването му и обяснение на вътрешните му механизми на всеки, който има нужда. Действа като мост , да, но не е нито прозрачно, нито отнема време.

С Google TV, Chromecast и по-стари таблети с Android, трябва да разглеждате всеки случай поотделно. Ако устройството позволява инсталирането на Tailscale от магазина му, можете да го опитате; ако не, се връщаме към същия проблем. Всяко устройство , което иска да се свърже, се нуждае от собствена инсталация или мост, който да я покрива. В къща с няколко по-стари таблета това може да бъде доста проблемно.

Споделянето на вашата мрежа за контакти с член на семейството не е толкова просто, колкото натискането на бутон. Гостът се нуждае от собствен акаунт и освен това трябва да е собственик или администратор на мрежата си за контакти, за да приеме поканата. Да имаш собствен акаунт и да си администратор е твърде много изискване за някой, който просто иска да гледа предаване. За вашата майка или свекърва това не е сравнимо с отварянето на Plex и намирането на библиотеката вече настроена.

Ето защо, дори Tailscale да е най-лесният вариант за вас, той не е най-лесният за вашето семейство. Не е сравним с Plex по отношение на прозрачността за крайния потребител. Ако всички устройства бяха ваши и можехте да ги настроите предварително, би било чудесно. Но когато има телевизори на трети страни и членове на семейството, които не са много технологично грамотни, ситуацията се променя.

Алтернативи, така че семейството ви да не се налага да инсталира нищо

Ако целта ви е гостите ви да включат телевизора и да гледат Jellyfin, без да инсталират Tailscale, най-прозрачният вариант е VPS с VPN към вашия дом и обратен прокси. Наемате малък сървър в интернет, който има статичен публичен IP адрес, настройвате VPN между VPS и дома си и използвате обратен прокси, за да приемате посещенията. Гостът вижда само нормален домейн с HTTPS катинар, без да инсталира нищо или да се регистрира някъде. Това обаче е най-трудоемката настройка и единствената с повтаряща се такса.

Ключът е, че обаждането произхожда от вашата домашна мрежа, а не от VPS. Вашият домашен сървър отваря връзката към VPS, така че CGNAT не се намесва. След това обратният прокси на VPS приема посещенията на членовете на вашето семейство и ги изпраща през тунела към Jellyfin. Обаждането произхожда от вашата домашна мрежа и гостът вижда само домейн със сертификат. VPS обаче не увеличава вашата честотна лента: видеото все още произхожда от вашата домашна мрежа и използва вашата скорост на качване.

Пречката е скоростта на качване , а не размерът на библиотеката ви. Няма значение дали имате 30 TB филми: само това, което се възпроизвежда, преминава през тунела. Ако връзката ви има скорост на качване под 100 Mbps, препоръчително е да ограничите битрейта на Jellyfin до 70% от тази скорост, за да избегнете прекъсвания. Това ограничение се конфигурира в контролния панел и засяга устройства извън вашата локална мрежа.

WireGuard е друга опция, ако нямате CGNAT. Тя е безплатна, бърза и предоставя UDP порт вместо панела Jellyfin, така че всеки без ключа дори няма да получи отговор. Работи перфектно без CGNAT , но с CGNAT вашият домашен сървър няма стабилен адрес, на който да се обади, така че крайната точка за слушане трябва да е извън сайта: отново сте към VPS. Някой трябва да слуша извън домашната ви мрежа; няма начин да се избегне това.

Cloudflare Tunnel избягва отварянето на портове и не изисква публичен IP адрес. Инсталирате Cloudflare на сървъра, установява се изходяща връзка и вашите гости имат достъп до него през браузърите си, без да инсталират нищо. Проблемът се крие в дребния шрифт: специфичните условия на Cloudflare гласят, че освен ако не сте корпоративен клиент, трябва да използвате платени услуги за предоставяне на видео и големи файлове чрез тяхната CDN. Cloudflare си запазва правото да деактивира или ограничи достъпа, ако подозира, че използвате CDN без тези услуги. Старият раздел 2.8, който циркулираше във форумите, беше отменен през май 2023 г. и думата „Тунел“ не се появява в този документ, така че няма нито изрична забрана, нито ясно разрешение. Това е сива зона.

Ако имате публичен IP адрес и искате само име, вместо низ от числа, безплатна динамична DNS услуга ще свърши работа. DuckDNS се рекламира като безплатна и хоствана на AWS, без да се изисква кредитна карта. No-IP поддържа безплатен план с име на хост и без изискване за кредитна карта. DuckDNS и No-IP са най-известните опции, но DynDNS вече не предлага безплатен план: ще видите само опцията за закупуване на услугата или седемдневен пробен период. И не забравяйте, че динамичната DNS услуга не поправя CGNAT, нито замества пренасочването на портове.

Отварянето на порт 8096 към света е най-лошата идея. Jellyfin го казва директно: отварянето на директен порт към интернет е несигурно и не се препоръчва. Ако използвате HTTP, паролите пътуват некриптирани. Най-добрият подход е да използвате обратен прокси за прекратяване на HTTPS и да избягвате самоподписани сертификати, защото те причиняват проблеми със съвместимостта и сигурността. Прекратяването на HTTPS в обратен прокси е разумният начин да го направите; просто активирайте няколко настройки в Jellyfin и се надявайте на най-доброто.

Сигурност и настройки, които си струва да се коригират в Jellyfin

Порт 8096 е за HTTP, 8920 е предназначен за HTTPS, но не се използва по подразбиране, а 7359 е за локално откриване. Порт 8096 не трябва да е отворен за обществеността в сегашния си вид. Ако ще излагате нещо на риск, използвайте обратен прокси с HTTPS, който да приема посещенията и да насочва трафика към Jellyfin.

Има два отделни превключвателя за отдалечен достъп: един на ниво сървър, в настройките за мрежи и отдалечен достъп, и друг на потребител, в профила на всеки човек, с опцията „Разрешаване на отдалечени връзки към този сървър“. Два отделни превключвателя означават, че можете да изключите акаунти, използвани само у дома, и да разрешите само тези, които наистина се нуждаят от отдалечен достъп.

Ограничението на скоростта се конфигурира в „Контролен панел“ > „Възпроизвеждане“ > „Стрийминг“, под „Ограничение на битрейта за интернет стрийминг“. Това е ограничение за поток за всички устройства извън вашата мрежа. Ако скоростта на качване е по-малка от 100 Mbps, Jellyfin препоръчва да го зададете на 70% от скоростта ви на качване. Два потока удвояват това ограничение , така че не го считайте за общо ограничение: то е за поток. Можете да промените глобалната стойност в профила на всеки потребител.

Бързата връзка ви позволява да влезете с временен шестцифрен код вместо потребителско име и парола. Тя е активирана по подразбиране и може да е удобна, но кодът не е валиден сам по себе си: трябва да бъде оторизиран от устройство, на което вече сте влезли. Това не е магическа задна вратичка. Ако не искате да я деактивирате в Настройки > Контролен панел > Общи, като премахнете отметката от „Активиране на бързата връзка на този сървър“.

За големи библиотеки не се вманиачавайте в размера на диска. Само файлът, който се възпроизвежда, преминава през тунела, така че това, което има значение, е битрейтът на този файл и скоростта на качване. Размерът на библиотеката не влияе на честотната лента; това, което има значение, е битрейтът на филма или сериала, който гледате в момента.

Какво да изберете според вашия случай

Ако сте сами и вашите устройства са мобилен телефон, лаптоп или таблет, Tailscale е най-лесният вариант: един следобед, нула евро и CGNAT престава да съществува за вас. Tailscale е от полза за вашите собствени устройства , защото можете да го инсталирате и оторизирате независимо. Това е най-лесното решение, когато няма телевизори на трети страни.

Ако ще споделяте достъп със семейството си, което гледа телевизия и не иска да инсталира нищо, VPS с VPN и обратен прокси е единственият, който им предоставя подобно на Plex изживяване: те отварят домейн, въвеждат паролата и гледат съдържанието. Единственият, който не инсталира нищо, е и най-скъпият откъм време и единственият с месечна сметка. За майка ви, свекърва ви и децата със стари таблети тази прозрачност е безценна.

Ако имате публичен IP адрес и искате само име, вместо променящ се IP адрес, използвайте DuckDNS или No-IP. Динамичният DNS е решението за името, но не и за CGNAT или сигурност. Първо, проверете дали вашият публичен IP адрес е ваш и след това се тревожете за името.

Cloudflare Tunnel може да бъде полезен, ако разбирате условията му и нямате нищо против да разчитате на трета страна. Не приемайте, че е безплатен и без никакви условия : съществуват ограничения за видео и Cloudflare може да ограничи услугата. Ако го изпробвате, правете го с пълна съвест, знаейки, че в условията им няма официално обяснение относно трафика на Tunnel.

Това, което категорично не бива да правите, е да отваряте порт 8096 към света и да разчитате на късмет. Отварянето на порт 8096 към света е най-лошият вариант: несигурен, изложен на риск и с пароли, които могат да пътуват некриптирани. Ако не искате да настройвате нищо, използвайте Tailscale за вашите устройства; ако искате прозрачност за вашето семейство, използвайте VPS с VPN и обратен прокси; ако просто ви е необходимо име на домейн, използвайте динамичен DNS; и ако Cloudflare Tunnel ви изкушава, първо прочетете дребния шрифт.

Окончателното решение зависи от това кой ще използва Jellyfin и колко време сте готови да инвестирате. Tailscale е най-лесният вариант за вас, но не и най-прозрачният за вашето семейство. Ако всички устройства бяха ваши, Tailscale би бил почти перфектен. С телевизори Samsung, LG или Google и членове на семейството, които не искат никакви проблеми, VPS с VPN и обратен прокси е най-близкото до Plex изживяването: те не инсталират нищо, вие се грижите за работата и сметката. А ако просто искате да го изпробвате, без да харчите и стотинка, Tailscale може да ви измъкне от затруднено положение още днес, стига да можете да конфигурирате всяко устройство и да приемете, че сървърът е винаги включен.