Jellyfin daleko od kuće s Tailscaleom: Realističan vodič za cijelu porodicu

Informatec Digital » Mreže » Jellyfin daleko od kuće s Tailscaleom: Realističan vodič za cijelu porodicu

Jellyfin kod kuće radi savršeno: instalirate server, dodate mape i za nekoliko minuta vaša biblioteka je dostupna u dnevnoj sobi. Problemi počinju kada želite gledati nešto na telefonu, iPadu ili TV-u koji pripada rođaku koji je kilometrima daleko. Tu na scenu stupaju ruter, portovi, domene i čitav niz drugih odluka, koje, za one koji ne žele komplicirati stvari, mogu pretvoriti mirno popodne u glavobolju. Udaljeni pristup je sasvim druga priča , a ako želite da ga koriste ljudi s ograničenim tehnološkim strpljenjem, stvari postaju još kompliciranije.

Dobra vijest je da postoje rješenja koja izbjegavaju otvaranje portova, pa čak i rade kada vas vaš internet provajder drži iza CGNAT-a. Tailscale je najpopularniji način da se snađete bez dodirivanja rutera, ali nije magičan: zahtijeva instaliranje nečega na svaki uređaj i ima jasna ograničenja kada su u pitanju Samsung ili LG televizori ili stariji uređaji. Ne postoji čarobno rješenje koje će Jellyfin pretvoriti u Plex za cijelu porodicu bez ikakvog podešavanja, ali postoje jasniji putevi od drugih. Pažljivo prođimo kroz sve detalje, uključujući i ono o čemu niko obično ne govori u vezi s Tailscaleom, Cloudflare tunelom, VPS-ovima i sigurnosnim postavkama Jellyfina.

Zašto se Jellyfin zaglavi kada izlazi iz kuće?

Na lokalnoj mreži, sve je vrlo jednostavno: server ima privatnu adresu, nešto poput 192.168.1.50, i bilo koji uređaj povezan na istu Wi-Fi mrežu može mu pristupiti bez problema. Situacija se mijenja kada zahtjev dolazi s interneta, jer vaš ruter ne zna na koji uređaj treba proslijediti taj promet. Da bi se ovo riješilo, obično se koriste tri klasična rješenja: prosljeđivanje portova, postavljanje obrnutog proxyja ili korištenje tunela poput Cloudflarea. Sva tri su složena i nijedno nije dizajnirano da vaša svekrva konfigurira s druge strane svijeta.

Prosljeđivanje portova podrazumijeva obavještavanje rutera da sav promet koji stiže na određeni port treba usmjeriti na računar na kojem je pokrenut Jellyfin. Zvuči jednostavno, ali zahtijeva pristup kontrolnoj ploči rutera, kreiranje pravila, dodjeljivanje lokalne IP adrese servera i nadu da se javna IP adresa neće često mijenjati. Nadalje, otvaranje portova na ruteru stvara ranjivost vidljivu s interneta i, ako nije pravilno osigurana, može postati značajna sigurnosna rupa.

Obrnuti proxy je elegantniji, ali i tehnički zahtjevniji. Koristi se za primanje posjeta, šifriranje veze putem HTTPS-a i njihovo prosljeđivanje Jellyfin serveru unutra. Obično zahtijeva kupovinu ili upravljanje domenom, konfiguriranje certifikata i razumijevanje šta se dešava u svakom koraku. Nije nemoguće , ali to nije ono što biste preporučili nekome ko samo želi gledati film na svom iPadu bez pozivanja računarskog stručnjaka.

Cloudflare Tunnel je još jedna opcija: instalirate program na server, on otvara odlaznu vezu, a vaši gosti mogu pristupiti koristeći normalno ime bez potrebe za otvaranjem portova ili javnom IP adresom. Problem je što Cloudflareov sitni tisak nije toliko jednostavan za korištenje koliko se čini kada je u pitanju posluživanje videa, a također ovisite o posredniku koji može promijeniti pravila ili ograničiti vašu uslugu.

Zajednički nazivnik svih ovih opcija je da, na ovaj ili onaj način, izlažu vašu kućnu mrežu internetu , objavljuju domenu ili zavise od treće strane. To objašnjava zašto mnogi ljudi zanemaruju Jellyfinovu funkciju udaljenog pristupa prije nego što postanu previše komplicirani. Jellyfinova vlastita preporuka je jasna: otvaranje direktnog porta za internet nije preporučljivo jer lozinke mogu putovati nešifrirane ako koristite običan HTTP. Port 8096 je za HTTP , 8920 je namijenjen za HTTPS, ali se ne koristi prema zadanim postavkama, a 7359 je za lokalno otkrivanje, tako da ni oni ne bi trebali biti izloženi.

Šta Tailscale nudi i gdje je kvaka?

Tailscale gradi privatnu mrežu zasnovanu na WireGuardu. Ideja je da instalirate aplikaciju na više uređaja, autorizujete ih istim računom, i svi se ponašaju kao da su povezani na isti ruter, čak i ako se nalaze u različitim zemljama. Nema potrebe za otvaranjem portova ili javnom IP adresom , jer svaki uređaj inicira svoju vezu sa Tailscale mrežom i svi su u sredini. Za kućni server koji koristi CGNAT, ovo je ogromno olakšanje.

Kada registrujete više uređaja, kreira se tailnet, što je privatna mreža povezana s vašim računom. Svaki uređaj dobija adresu poput 100.xyz i MagicDNS ime tako da ne morate pamtiti brojeve. Ovo je adresa koju zatim unosite u Jellyfin aplikaciju da biste se povezali izvana. Tailscale distribuira adrese iz bloka 100.64.0.0/10 , istog onog koji se koristi za CGNAT, ali nemojte se zbuniti: internet adresa vašeg rutera je nešto sasvim drugo, i to je ono što trebate provjeriti kada provjeravate da li imate CGNAT.

Tailscaleov Personal plan je besplatan za nekomercijalnu upotrebu i omogućava do šest korisnika, uključujući i vas, tako da možete pozvati još pet osoba. Kompanija ga opisuje kao zauvijek besplatan na tom planu, a za normalnu porodičnu upotrebu obično je sasvim adekvatan. U kombinaciji s Jellyfinom, koji je besplatan i otvorenog koda , imate multimedijalni ekosistem bez plaćanja pretplate, za razliku od Plex Passa, koji naplaćuje udaljeno strimovanje.

Tailscale je također preporučena opcija kada operater nameće CGNAT ili kada ISP blokira određene dolazne veze. Umjesto da se bave ruterom, server i klijenti se povezuju na privatnu mrežu i tamo se sastaju. CGNAT postaje nebitan za tu vezu jer vam nije potrebno da iko izvana zove vašu kućnu mrežu.

Međutim, skriveni trošak nije novac, već praktičnost. Svaki uređaj koji želi pristupiti sadržaju mora imati instaliran i autoriziran Tailscale , a server mora biti uključen i povezan na Tailnet da bi sadržaj bio dostupan. Ako vaša majka koristi Samsung TV, vaša svekrva ima Google TV, a vaš brat dijeli stare Android tablete, morat ćete instalirati i konfigurirati Tailscale na svakom uređaju ili pronaći most. Za nekoga ko nije tehnološki potkovan, to je već prepreka.

Dijeljenje s drugima također dolazi s jednom kvakom. Tailscale omogućava dijeljenje mašina na svim planovima, ali gostu je potreban vlastiti račun i, nadalje, mora biti vlasnik, administrator ili IT menadžer vlastite tailnet mreže da bi prihvatio poziv. Nije tako jednostavno kao poslati link i pustiti drugu osobu da se prijavi bez ikakve radnje. Za vašu svekrvu to može značiti instalaciju, registraciju i nekoliko ekrana prije gledanja prvog filma.

Konačno, Tailscale ne uspostavlja uvijek direktnu vezu između dvije krajnje tačke. Kada postoji hard NAT, zaštitni zid ili druga ograničenja, saobraćaj se usmjerava kroz Tailscaleove DERP releje. Ovo može dodati latenciju i primjetno je kod videa: jedan dan je glatko, a sljedeći zastajkuje čak i ako niste promijenili nikakve postavke. Tailscaleova politika prihvatljive upotrebe ne uključuje posebnu klauzulu u vezi sa propusnošću, videom ili količinom saobraćaja, ali to ne mijenja činjenicu da su releji krajnje rješenje, a ne garancija savršenog streaminga.

Prije nego što bilo šta dodirnete: provjerite imate li CGNAT

CGNAT znači da vaš internet provajder dijeli istu javnu IP adresu između nekoliko korisnika. Nemate vlastitu adresu na internetu i bez obzira na to koliko portova otvorite na svom ruteru, niko izvan vaše mreže ne može pristupiti vašem domu. To je dijeljena javna IP adresa , tako da tradicionalno prosljeđivanje portova neće funkcionirati, bez obzira na to koliko ga konfigurirate.

Provjera je brza. Pristupite kontrolnoj ploči vašeg rutera i pronađite njegovu internet IP adresu, WAN IP adresu ili eksternu IP adresu. Zatim, s uređaja povezanog na istu mrežu, pretražite "Koja je moja IP adresa?" na Google-u i uporedite dva broja. Ako se ne podudaraju, postoji posrednik. Ako je WAN IP adresa između 100.64.0.0 i 100.127.255.255 , problem je jasan: nalazite se iza CGNAT-a. Drugi ruter u istom lancu također može proizvesti isti simptom, tako da to ne isključujte.

Ako imate CGNAT, prije nego što pokušate bilo kakva rješenja, vrijedi nazvati svog provajdera i pitati mogu li vam dati javnu IPv4 adresu. To ovisi o vašem ugovoru i lokaciji, a može postojati i trošak, ali to je jedini način da se vrati tradicionalno prosljeđivanje portova. Postoji i opcija izvornog IPv6: ako vaš server ima globalno usmjerljivu IPv6 adresu i mreža s koje pristupate također koristi IPv6, možda ćete se moći povezati na taj način. CGNAT je IPv4 problem , stoga ga nemojte isključivati ​​prije provjere.

I pazite na prečice: dinamički DNS ne popravlja CGNAT. Ime koje upućuje na dijeljenu IP adresu i dalje neće voditi do vašeg doma. Dinamički DNS ne popravlja dijeljenu IP adresu ; on samo ažurira ime kada se vaša javna IP adresa promijeni, tako da prvo morate imati pravu javnu IP adresu, a zatim brinuti o imenu.

Vožnja Tailscalea s Jellyfinom bez muke

Osnovni proces je kraći od odabira sadržaja za gledanje petkom navečer. Prvo instalirate Jellyfin na računar koji će služiti kao server. Ako je u pitanju Windows, najbolje ga je označiti kao servis kako bi se automatski pokrenuo prije nego što se prijavite. Zatim idite na http://localhost:8096 , dodajte mape sa vašeg tvrdog diska i konfigurirajte biblioteku, titlove i sinhronizaciju napretka reprodukcije.

Dok je server pokrenut, instalirajte Tailscale na isti računar i na uređaje s kojih mu želite pristupiti. Tokom početnog podešavanja, kreirajte račun i autorizirajte uređaje, što generira Tailnet. Koristite isti račun na svim uređajima kako bi se mogli vidjeti. Ako instalirate Tailscale na server, ali ne i na mobilni uređaj, mobilni uređaj neće biti dio privatne mreže i neće joj moći pristupiti.

Da biste pronašli adresu servera unutar Tailscale-a, možete koristiti naredbu `tailscale ip -4` na serveru ili provjeriti aplikaciju. Vratit će nešto poput 100.121.112.23. U Jellyfin klijentskoj aplikaciji ručno dodajte server koristeći tu adresu i odgovarajući port, na primjer, 100.xyz:8096 . Jellyfinovo automatsko otkrivanje radi samo na lokalnoj mreži, tako da ćete izvan lokalne mreže morati ručno unijeti adresu.

Tailscale je dostupan za Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV i Amazon Fire. Lista pokriva mnoge uređaje , ali ne sve. Samsung Tizen i LG webOS televizori nemaju Tailscale, iako imaju službenu aplikaciju Jellyfin. Ovdje leži problem: TV može pokrenuti Jellyfin, ali ostaje izvan vaše privatne mreže osim ako ga nešto ne poveže s njom.

Imajte na umu da server mora ostati uključen i povezan na Tailnet. Neophodan je server koji stalno radi : ako se računar ugasi ili izgubi vezu, članovi vaše porodice neće imati pristup biblioteci. Također ne možete koristiti Tailscale u komercijalne svrhe s besplatnim planom, pa ako će ovo biti usluga za polovinu vaše porodice, provjerite ispunjava li vaše lične zahtjeve.

Pravi problem: televizori i nestrpljivi članovi porodice.

Na Samsung Tizen ili LG webOS TV-u, Jellyfin ima službenu aplikaciju u trgovini, ali Tailscale nije dostupan. TV može otvoriti Jellyfin, ali nije na kućnoj mreži, tako da ne dolazi do kućnog servera. TV ostaje izvan kućne mreže i ne postoji magična postavka unutar aplikacije koja bi to popravila.

Tehničko rješenje uključuje postavljanje podmrežnog rutera: uređaja na kojem je instaliran Tailscale i koji djeluje kao most između privatne mreže i onih uređaja koji ne mogu instalirati aplikaciju. Funkcionira, ali više nije jednostavno popodne konfigurisanja: uključuje postavljanje drugog uređaja, ostavljanje uključenog i objašnjavanje njegovog unutrašnjeg rada svima kojima je potreban. Djeluje kao most , da, ali nije ni transparentan ni dugotrajan.

Kod Google TV-a, Chromecasta i starijih Android tableta, morate pojedinačno razmotriti svaki slučaj. Ako uređaj dozvoljava instalaciju Tailscale-a iz trgovine, možete ga isprobati; ako ne, vraćamo se na isti problem. Svaki uređaj koji se želi povezati treba vlastitu instalaciju ili most koji je pokriva. U kući s nekoliko starijih tableta, to može biti prilično problematično.

Dijeljenje vaše tailnet mreže s članom porodice nije jednostavno kao pritisak na dugme. Gost mora imati vlastiti račun i, štaviše, mora biti vlasnik ili administrator vlastite tailnet mreže da bi prihvatio poziv. Imati vlastiti račun i biti administrator je previše za nekoga ko samo želi gledati emisiju. Za vašu majku ili svekrvu, to se ne može porediti s otvaranjem Plexa i pronalaženjem već postavljene biblioteke.

Zato, čak i ako je Tailscale najjednostavnija opcija za vas, nije najjednostavnija za vašu porodicu. Ne može se porediti sa Plexom u smislu transparentnosti za krajnjeg korisnika. Bilo bi divno kada bi svi uređaji bili vaši i kada biste ih mogli unaprijed podesiti. Ali kada postoje televizori trećih strana i članovi porodice koji nisu baš tehnološki potkovani, situacija se mijenja.

Alternative kako vaša porodica ne bi morala ništa instalirati

Ako vam je cilj da vaši gosti uključe TV i gledaju Jellyfin bez instaliranja Tailscale-a, najtransparentnija opcija je VPS sa VPN-om do vašeg doma i obrnutim proxyjem. Iznajmljujete mali server na internetu, koji ima statičku javnu IP adresu, postavljate VPN između VPS-a i vašeg doma i koristite obrnuti proxy za primanje posjeta. Gost vidi samo normalnu domenu sa HTTPS katancem, bez instaliranja ikakvih instalacija ili registracije bilo gdje. Međutim, ovo je najzahtjevnije podešavanje i jedino koje ima ponavljajući račun.

Ključno je da poziv potiče iz vaše kućne mreže, a ne iz VPS-a. Vaš kućni server otvara vezu sa VPS-om, tako da CGNAT ne ometa. Zatim, obrnuti proxy VPS-a prima posjete članova vaše porodice i šalje ih kroz tunel do Jellyfin-a. Poziv potiče iz vaše kućne mreže , a gost vidi samo domenu sa certifikatom. Međutim, VPS ne povećava vaš propusni opseg: video i dalje potiče iz vaše kućne mreže i koristi vašu brzinu otpremanja.

Usko grlo je brzina prijenosa , a ne veličina vaše biblioteke. Nije važno imate li 30 TB filmova: samo ono što se reproducira prolazi kroz tunel. Ako vaša veza ima brzinu prijenosa manju od 100 Mbps, preporučljivo je ograničiti Jellyfinovu brzinu prijenosa na 70% te brzine kako biste izbjegli prekide. Ovo ograničenje se konfigurira u kontrolnoj ploči i utječe na uređaje izvan vaše lokalne mreže.

WireGuard je još jedna opcija ako nemate CGNAT. Besplatan je, brz i otkriva UDP port umjesto Jellyfin panela, tako da svako bez ključa neće ni dobiti odgovor. Radi savršeno bez CGNAT-a , ali sa CGNAT-om, vaš kućni server nema stabilnu adresu za pozivanje, tako da krajnja tačka slušanja mora biti van lokacije: vraćate se na VPS. Neko mora slušati izvan vaše kućne mreže; nema načina da se to zaobiđe.

Cloudflare Tunnel izbjegava otvaranje portova i ne zahtijeva javnu IP adresu. Instalirate Cloudflare na server, uspostavlja se odlazna veza, a vaši gosti mu pristupaju putem svojih preglednika bez instaliranja ičega. Problem leži u sitnom tisku: Cloudflareovi specifični uslovi navode da, osim ako niste Enterprise korisnik, morate koristiti plaćene usluge za posluživanje videa i velikih datoteka putem njihovog CDN-a. Cloudflare zadržava pravo da onemogući ili ograniči pristup ako posumnja da koristite CDN bez ovih usluga. Stari odjeljak 2.8 koji je kružio forumima ukinut je u maju 2023. godine, a riječ "Tunnel" se ne pojavljuje u tom dokumentu, tako da ne postoji ni eksplicitna zabrana ni jasno ovlaštenje. To je siva zona.

Ako imate javnu IP adresu i želite samo ime umjesto niza brojeva, besplatna dinamička DNS usluga će poslužiti. DuckDNS se oglašava kao besplatna i hostovana na AWS-u, bez potrebe za kreditnom karticom. No-IP održava besplatan plan s imenom hosta i bez potrebe za kreditnom karticom. DuckDNS i No-IP su najpoznatije opcije, ali DynDNS više ne nudi besplatni plan: vidjet ćete samo opciju za kupovinu usluge ili sedmodnevnu probnu verziju. I zapamtite da dinamička DNS usluga ne popravlja CGNAT niti zamjenjuje prosljeđivanje portova.

Otvaranje porta 8096 prema svijetu je najgora ideja ikada. Jellyfin to otvoreno kaže: otvaranje direktnog porta prema internetu je nesigurno i ne preporučuje se. Ako koristite HTTP, lozinke putuju nešifrirane. Najbolji pristup je korištenje obrnutog proxyja za prekid HTTPS-a i izbjegavanje samopotpisanih certifikata jer oni uzrokuju probleme s kompatibilnošću i sigurnošću. Prekid HTTPS-a u obrnutom proxyju je razuman način da se to uradi; jednostavno omogućite nekoliko postavki u Jellyfinu i nadajte se najboljem.

Sigurnost i postavke koje vrijedi prilagoditi u Jellyfinu

Port 8096 je za HTTP, 8920 je namijenjen za HTTPS, ali se ne koristi prema zadanim postavkama, a 7359 je za lokalno otkrivanje. Port 8096 ne bi trebao biti otvoren za javnost kakav jeste. Ako ćete nešto otkriti, neka obrnuti proxy sa HTTPS-om prima posjete i usmjerava promet na Jellyfin.

Postoje dva odvojena prekidača za udaljeni pristup: jedan na nivou servera, u postavkama Umrežavanje i udaljeni pristup, i drugi po korisniku, na profilu svake osobe, s opcijom "Dozvoli udaljene veze s ovim serverom". Dva odvojena prekidača znače da možete isključiti račune koji se koriste samo kod kuće i dozvoliti samo onima kojima je zaista potreban udaljeni pristup.

Ograničenje brzine se konfiguriše u Kontrolna tabla > Reprodukcija > Striming, pod Ograničenje brzine prenosa internet strimovanja. To je ograničenje po strimovanju za sve uređaje izvan vaše mreže. Ako je vaša brzina prenosa manja od 100 Mbps, Jellyfin preporučuje da je postavite na 70% vaše brzine prenosa. Dva strima udvostručuju ovo ograničenje , tako da to nemojte smatrati ukupnim ograničenjem: to je po strimovanju. Možete poništiti globalnu vrijednost u profilu svakog korisnika.

Brzo povezivanje vam omogućava da se prijavite pomoću privremenog šestocifrenog koda umjesto korisničkog imena i lozinke. Dolazi omogućeno po zadanim postavkama i može biti praktično, ali kod nije važeći sam po sebi: potrebno ga je autorizirati na uređaju na kojem ste već prijavljeni. To nije magični backdoor. Ako ga ne želite, možete ga onemogućiti u Postavke > Kontrolna ploča > Općenito tako što ćete poništiti odabir opcije "Omogući brzo povezivanje na ovom serveru".

Za velike biblioteke, nemojte se opterećivati ​​veličinom diska. Samo datoteka koja se reprodukuje prolazi kroz tunel, tako da je bitna brzina prijenosa te datoteke i brzina prijenosa podataka. Veličina biblioteke ne utiče na propusnost; bitna je brzina prijenosa podataka filma ili serije koju trenutno gledate.

Šta odabrati u skladu s vašim slučajem

Ako ste sami i vaši uređaji su mobilni telefon, laptop ili tablet, Tailscale je najjednostavnija opcija: jedno popodne, nula eura i CGNAT prestaje postojati za vas. Tailscale koristi vašim vlastitim uređajima jer ga možete samostalno instalirati i autorizirati. To je najjednostavnije rješenje kada nema televizora trećih strana.

Ako ćete dijeliti sadržaj s porodicom koja gleda TV i ne želi ništa instalirati, VPS s VPN-om i obrnutim proxyjem je jedini koji im pruža iskustvo slično Plexu: otvore domenu, unesu lozinku i gledaju sadržaj. Jedini koji ne instalira ništa je ujedno i najskuplji u smislu vremena i jedini s mjesečnim računom. Za vašu majku, vašu svekrvu i djecu sa starim tabletima, ta transparentnost je neprocjenjiva.

Ako imate javnu IP adresu i želite samo ime umjesto promjenjive IP adrese, koristite DuckDNS ili No-IP. Dinamički DNS je rješenje za ime, ali ne i za CGNAT ili sigurnost. Prvo provjerite da li je vaša javna IP adresa vaša, a zatim se brinite o imenu.

Cloudflare Tunnel može biti koristan ako razumijete njegove uslove i ne smeta vam oslanjanje na treću stranu. Nemojte pretpostavljati da je besplatan bez ikakvih obaveza : postoje ograničenja za video, a Cloudflare može ograničiti uslugu. Ako ga isprobate, učinite to uz punu svjesnost, znajući da u njihovim uslovima ne postoji zvanično objašnjenje u vezi sa Tunnel prometom.

Ono što apsolutno ne biste trebali učiniti jeste otvoriti port 8096 prema svijetu i oslanjati se na sreću. Otvaranje porta 8096 prema svijetu je najgora opcija: nesigurno, izloženo i sa lozinkama koje mogu putovati nešifrirane. Ako ne želite ništa postavljati, koristite Tailscale za svoje uređaje; ako želite transparentnost za svoju porodicu, koristite VPS sa VPN-om i obrnutim proxyjem; ako vam je potrebno samo ime domene, koristite dinamički DNS; a ako vas Cloudflare Tunnel privlači, prvo pročitajte sitni tisak.

Konačna odluka zavisi od toga ko će koristiti Jellyfin i koliko vremena ste spremni uložiti. Tailscale je najjednostavnija opcija za vas, ali ne i najtransparentnija za vašu porodicu. Kada bi svi uređaji bili vaši, Tailscale bi bio gotovo savršen. Sa Samsung, LG ili Google televizorima i članovima porodice koji ne žele nikakve probleme, VPS sa VPN-om i obrnutim proxyjem je najbliži Plex iskustvu: oni ne instaliraju ništa, vi se brinete o poslu i računu. A ako samo želite isprobati bez trošenja novca, Tailscale vas može izvući iz nevolje već danas, pod uslovom da možete konfigurirati svaki uređaj i prihvatiti da je server uvijek uključen.