Jellyfin fora de casa amb Tailscale: guia realista per a tota la família

Informatec Digital » Xarxes » Jellyfin fora de casa amb Tailscale: guia realista per a tota la família

Jellyfin dins de casa va com un tret: instal·les el servidor, afegeixes les carpetes i en uns minuts tens la teva biblioteca disponible al saló. El marró apareix quan vols veure alguna cosa des del mòbil, l'iPad o la tele d'un familiar que és a quilòmetres de distància. Aquí entren en joc el router, els ports, els dominis i un munt de decisions que, per a qui no té ganes de complicar-se, poden convertir una tarda tranquil·la en un maldecap. L'accés remot és un altre cantar i, si a sobre vols que el faci servir gent amb poca paciència tecnològica, la cosa es posa més amunt.

La bona notícia és que hi ha solucions que eviten obrir ports i fins i tot funcionen quan el teu operador et té darrere de CGNAT. Tailscale és la més popular per sortir del pas sense tocar el router, però no és màgia: exigeix ​​instal·lar alguna cosa a cada dispositiu i té límits clars quan parlem de televisions Samsung, LG o atuells vells. No hi ha una bala de plata que converteixi Jellyfin a Plex per a tota la família sense muntar res, però sí que hi ha camins més transparents que altres. Repassarem tots els detalls amb calma, incloent el que ningú sol explicar sobre Tailscale, Cloudflare Tunnel, els VPS i els ajustos de seguretat de Jellyfin.

Per què Jellyfin s'encalla quan surt de casa

A la xarxa local tot és molt senzill: el servidor té una adreça privada, de l'estil 192.168.1.50, i qualsevol dispositiu connectat al mateix WiFi entra sense cap problema. L'assumpte canvia quan la petició arriba des d'internet perquè el teu router no sap a quin equip ha d'enviar aquest trànsit. Per resoldre'l se sol recórrer a tres fórmules clàssiques: reenviar ports, muntar un servidor intermediari invers o utilitzar un túnel com Cloudflare. Totes tres tenen molla i cap està pensada perquè la configuri la teva sogra des de l'altra banda del món.

El reenviament de ports consisteix a dir-li a l'encaminador que tot el que arribi per un port concret vagi a parar a l'ordinador on corre Jellyfin. Sona fàcil, però obliga a entrar al panell del router, crear una regla, fixar la IP local del servidor i confiar que la IP pública no canviï cada dos per tres. A més, obrir ports al router deixa una porta visible des d'internet i, si no es protegeix bé, es pot convertir en un forat de seguretat important.

El servidor intermediari invers és més elegant, però també més tècnic. Serveix per rebre les visites, xifrar la connexió amb HTTPS i passar-les al Jellyfin de dins. Normalment exigeix ​​comprar o gestionar un domini, configurar certificats i entendre què està passant a cada pas. No és impossible , però no és el que un recomanaria a algú que només vol veure una pel·lícula al seu iPad sense trucar a un informàtic.

Cloudflare Tunnel és una altra via: instal·les un programa al servidor, aquest obre una connexió cap a fora i els teus convidats entren per un nom normal sense necessitat d'obrir ports ni tenir IP pública. El problema és que la lletra petita de Cloudflare no és tan amable com sembla quan parlem de servir vídeo, ia més a més depens d'un intermediari que pot canviar les regles o limitar-te el servei.

El denominador comú de totes aquestes opcions és que, d'una manera o altra, exposen la xarxa domèstica a internet , publiquen un domini o depenen d'un proveïdor extern. Això explica perquè molta gent aparca l'accés remot de Jellyfin abans de complicar-se. La pròpia recomanació de Jellyfin és clara: obrir un port directe a internet no és recomanable perquè les contrasenyes poden viatjar sense xifrar si uses HTTP a seques. El port 8096 és HTTP , el 8920 està pensat per a HTTPS però no es fa servir per defecte, i el 7359 serveix per al descobriment local, així que tampoc s'ha d'exposar alegrement.

Què aporta Tailscale i on és el truc

Tailscale construeix una xarxa privada basada en WireGuard. La idea és que instal·les l'aplicació en diversos dispositius, els autoritzes amb un mateix compte i tots es comporten com si estiguessin endollats al mateix router, encara que estiguin en països diferents. No cal obrir ports ni tenir IP pública , perquè cada equip inicia la seva connexió cap a la xarxa de Tailscale i es troben al mig. Per a un servidor domèstic darrere de CGNAT, això és un alleujament enorme.

Quan registres diversos dispositius, es crea una tailnet, que és la xarxa privada associada al vostre compte. Cada equip rep una adreça de l'estil 100.xyz i un nom MagicDNS per no haver de memoritzar números. Aquesta adreça és la que després poses a l'app de Jellyfin per connectar-te des de fora. Tailscale reparteix adreces del bloc 100.64.0.0/10 , el mateix que es fa servir per a CGNAT, però no et confonguis: l'adreça del teu router a internet és una altra cosa i és la que cal mirar quan comproves si tens CGNAT.

El pla Personal de Tailscale és gratuït per a ús no comercial i permet fins a sis usuaris, comptant el teu, així que pots convidar cinc persones més. L'empresa ho descriu com a gratis per sempre en aquest pla, i per a un ús familiar normal no sol haver-hi problema. Combinat amb Jellyfin, que és gratuït i de codi obert , tens un ecosistema multimèdia sense pagar subscripció, cosa que contrasta amb Plex Pass, que cobra pel streaming remot.

Tailscale també és l'opció que se sol recomanar quan l'operador aplica el CGNAT o quan l'ISP bloqueja certes connexions entrants. En lloc de barallar-te amb el router, el servidor i els clients surten cap a la xarxa privada i es troben allà. El CGNAT deixa d'importar per a aquesta connexió, perquè no necessites que ningú truqui a casa teva des de fora.

Ara bé, el preu ocult no són diners, és comoditat. Cada dispositiu que voleu entrar necessita Tailscale instal·lat i autoritzat , i el servidor ha d'estar encès i connectat a la tailnet perquè el contingut estigui disponible. Si la teva mare fa servir una tele Samsung, la teva sogra té un Google TV i el teu germà reparteix tablets Android velles, hauràs d'instal·lar i configurar Tailscale a cada atuell o buscar un pont. Això, per a algú que no és tècnic, ja és una barrera.

Compartir amb altres persones també té la lletra petita. Tailscale permet compartir màquines en tots els plans, però el convidat necessita el vostre compte i, a més, ha de ser propietari, administrador o administrador d'IT de la vostra pròpia tailnet per acceptar la invitació. No és tan simple com enviar un enllaç i que l'altra persona entri sense fer res. Per a la sogra, això pot ser una instal·lació, un registre i un parell de pantalles abans de veure la primera pel·lícula.

Per acabar, Tailscale no sempre aconsegueix una connexió directa entre els dos extrems. Quan hi ha NAT difícil, tallafocs o alguna altra limitació, el trànsit passa pels relés DERP de Tailscale. Això pot afegir latència , i en vídeo es nota: un dia va fi i un altre fa estrebades sense que hagis tocat res. La política dús acceptable de Tailscale no inclou una clàusula específica dample de banda, vídeo o volum de trànsit, però això no treu que els relés siguin un últim recurs i no una garantia de streaming perfecte.

Abans de tocar res: comprova si tens CGNAT

CGNAT vol dir que el teu operador comparteix una mateixa IP pública entre diversos clients. Tu no tens una adreça pròpia a internet i, per més que obris ports al router, des de fora no hi ha manera d'arribar a casa teva. És una IP pública compartida , així que el reenviament de ports de tota la vida no et servirà per molt que ho configuris.

La comprovació és ràpida. Entra al panell del router i cerca la IP d'internet, WAN o IP externa. Després, des d'un dispositiu connectat a aquesta mateixa xarxa, cerca a Google quin és el meu IP i compara els dos números. Si no coincideixen, hi ha un intermediari. Si la IP de la WAN està entre 100.64.0.0 i 100.127.255.255 , la cosa és concloent: ets darrere de CGNAT. Un segon router en cadena també pot donar el mateix símptoma, així que no descartis aquesta possibilitat.

Si teniu CGNAT, abans de muntar invents val la pena trucar a l'operador i preguntar si et poden donar una IPv4 pública. Depèn del contracte i de la zona, i pot tenir cost, però és l?única via que et torna el reenviament de ports clàssic. També hi ha l'opció d'IPv6 nadiu: si el vostre servidor té una adreça IPv6 enrutable globalment i la xarxa des de la qual mires també parla IPv6, podries accedir-hi. El CGNAT és un problema d'IPv4 , així que no tanqueu aquesta porta abans de comprovar-ho.

I compte amb les dreceres: un DNS dinàmic no arregla el CGNAT. Un nom que apunta a una IP compartida segueix sense portar a casa teva. Un DNS dinàmic no arregla una IP compartida ; només actualitza el nom quan canvia la teva IP pública, així que primer has de tenir una IP pública de debò i després preocupar-te pel nom.

Muntar Tailscale amb Jellyfin sense embolics

El procés bàsic és més curt que triar què veure un divendres a la nit. Primer instal·les Jellyfin a l'equip que farà de servidor. Si és Windows, cal marcar-lo com a servei perquè arrenqui només abans d'iniciar sessió. Després entres a http://localhost:8096 , afegeixes les carpetes del disc dur i configures la biblioteca, els subtítols i la sincronització del progrés de visionat.

Amb el servidor en marxa, instal·les Tailscale en aquest mateix equip i als dispositius des dels quals vulguis entrar. Durant el primer registre crees un compte i autoritzes els equips, cosa que genera la tailnet. Fes servir el mateix compte en tots perquè es vegin entre si. Si instal·les Tailscale al servidor però no al mòbil, el mòbil no estarà dins de la xarxa privada i no hi podrà accedir.

Per esbrinar l'adreça del servidor dins de Tailscale, podeu utilitzar l'ordre tailscale ip -4 a la màquina del servidor o mirar l'aplicació. Et tornarà una cosa semblant a 100.121.112.23. A l'app de Jellyfin del client, afegeix el servidor a mà amb aquesta adreça i el port corresponent, per exemple 100.xyz:8096 . L'autodescobriment de Jellyfin només funciona a la xarxa local, així que des de fora hauràs d'escriure la direcció a mà.

Tailscale està disponible per a Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV i Amazon Fire. La llista cobreix molts dispositius però no tots. Les televisions Samsung Tizen i LG webOS no tenen Tailscale, encara que sí que tenen app oficial de Jellyfin. Aquí apareix el problema: la tele pot executar Jellyfin, però es queda fora de la teva xarxa privada si no hi ha res que la fiqui a dins.

Recordeu que el servidor ha de romandre encès i connectat a la tailnet. El servidor sempre encès és una condició indispensable: si lequip sapaga o perd la connexió, els teus familiars es queden sense biblioteca. Tampoc pots fer servir Tailscale per a un ús comercial amb el pla gratuït, així que si això serà un servei per a mitja família, assegura't que entra dins de les condicions personals.

El problema real: televisors i familiars amb poca paciència

En una Samsung Tizen o una LG webOS, Jellyfin té aplicació oficial a la botiga, però Tailscale no està disponible. La tele pot obrir Jellyfin, però no és dins de la xarxa privada, així que no arriba al servidor de casa. La tele es queda fora de la xarxa privada i no hi ha ajustament màgic dins de l'app que ho arregli.

La solució tècnica passa per muntar un subnet router: un equip que sí que tingui Tailscale i que faci de pont entre la xarxa privada i aquests dispositius que no poden instal·lar l'aplicació. Funciona, però ja no és una tarda de configuració: és muntar un altre aparell, deixar-lo encès i explicar els budells a qui sigui. Fa de pont , sí, però no és transparent ni barat en temps.

Amb Google TV, Chromecast i tauletes Android velles cal mirar cas per cas. Si el dispositiu us permet instal·lar Tailscale des de la vostra botiga, podeu provar-ho; si no, tornem al mateix problema. Cada atuell que vulgui entrar necessita la seva instal·lació o un pont que el cobreixi. En una casa amb diverses tauletes mig xotes, això pot ser un entreteniment.

Compartir la tailnet amb un familiar tampoc és prémer un botó i llest. El convidat necessita compte propi i, a més, ha de ser propietari o administrador de la seva pròpia tailnet per acceptar la invitació. Compte propi i ser administrador és massa demanar per a algú que només vol veure una sèrie. Per a la teva mare o sogra, això no és comparable a obrir Plex i trobar la biblioteca ja muntada.

Per això, encara que Tailscale sigui l'opció més senzilla per a tu, no és la més senzilla per a la família. No és comparable a Plex quant a transparència per a lusuari final. Si tots els dispositius fossin teus i poguessis configurar-los per endavant, seria una meravella. Quan hi ha televisors de tercers i familiars amb poca soltesa, el panorama canvia.

Alternatives perquè la teva família no instal·li res

Si l'objectiu és que els teus convidats obrin la tele i vegin Jellyfin sense instal·lar Tailscale, l'opció més transparent és un VPS amb VPN fins a casa teva i un servidor intermediari invers. Llogues un servidor petit a internet, que sí que té IP pública fixa, muntes una VPN entre el VPS i casa teva i poses un proxy invers que rebi les visites. El convidat només veu un domini normal amb cadenat HTTPS, sense instal·lar res ni registrar-se a cap lloc. A canvi, és el muntatge més laboriós i l?únic amb factura recurrent.

La clau és que la trucada la inicia casa teva, no el VPS. El vostre servidor domèstic obre la connexió cap al VPS, de manera que el CGNAT no destorba. Després el servidor intermediari invers del VPS rep les visites dels teus familiars i les mana pel túnel fins a Jellyfin. La trucada la inicia casa teva i el convidat només veu un domini amb certificat. Això sí, el VPS no multiplica la teva amplada de banda: el vídeo segueix sortint de casa teva i mana la teva velocitat de pujada.

El coll d'ampolla és la teva velocitat de pujada , no la mida de la biblioteca. Tant és que tinguis 30 TB de pel·lícules: pel túnel només passa el que s'està reproduint. Si la vostra connexió té menys de 100 Mbps de pujada, convé limitar el bitrat de Jellyfin al 70 % d'aquesta velocitat per evitar talls. Aquest límit es configura al tauler de control i afecta els dispositius fora de la xarxa local.

WireGuard propi és una altra possibilitat si no tens CGNAT. És lliure, ràpid i exposa un port UDP en lloc del panell de Jellyfin, així que qui no tingui la clau ni tan sols rep resposta. Sense CGNAT va de luxe , però amb CGNAT el servidor de casa teva no té una adreça estable a la qual trucar, així que l'extrem que escolta ha d'estar fora: tornes al VPS. Algú ha d'escoltar fora de casa teva, no hi ha volta de fulla.

Cloudflare Tunnel evita obrir ports i no necessita cap IP pública. Instal·les cloudflared al servidor, s'obre una connexió cap a fora i els teus convidats entren pel navegador sense instal·lar res. El problema és la lletra petita: en els termes específics de Cloudflare s'indica que, tret que siguis client Enterprise, per servir vídeo i fitxers grans pel seu CDN has d'usar serveis de pagament. Cloudflare es reserva el dret de desactivar o limitar l'accés si sospiteu que utilitzeu la CDN sense aquests serveis. L'antiga secció 2.8 que circulava pels fòrums està derogada des del maig del 2023, i la paraula Tunnel no apareix en aquest document, així que no hi ha una prohibició explícita ni una autorització clara. És un terreny gris.

Si tens IP pública i només vols un nom en comptes d'un enfilall de números, un DNS dinàmic gratuït et resol la papereta. DuckDNS s'anuncia com a gratuït i allotjat a AWS, sense targeta. No-IP manté un pla gratuït amb hostname i sense targeta. DuckDNS i No-IP són les opcions més conegudes, però DynDNS ja no té pla gratuït: només veuràs comprar el servei o una prova de set dies. I recorda que un DNS dinàmic no arregla el CGNAT ni substitueix el reenviament de ports.

Obrir el 8096 al món és la pitjor idea de totes. Jellyfin ho diu sense embuts: obrir un port directe a internet és insegur i no recomanat. Si utilitzeu HTTP, les contrasenyes viatgen sense xifrar. El seu fort és posar un proxy invers davant per acabar HTTPS, i evitar certificats autosignats perquè donen problemes de compatibilitat i seguretat. HTTPS termination en un servidor intermediari invers és la manera assenyada de fer-ho, no activar quatre coses a Jellyfin i creuar els dits.

Seguretat i ajustaments que convé tocar a Jellyfin

El port 8096 és HTTP, el 8920 està pensat per a HTTPS però no es fa servir per defecte i el 7359 serveix per a descobriment local. El 8096 no hauria d'estar obert al món tal com. Si exposaràs alguna cosa, fes que sigui un proxy invers amb HTTPS el que rebi les visites i passi el trànsit a Jellyfin per dins.

Hi ha dos interruptors diferents per a l'accés remot: un a nivell de servidor, a Xarxes i Remote Access Settings, i un altre per usuari, a la fitxa de cada persona, amb l'opció Allow remote connections to this server. Dos interruptors diferents signifiquen que pots deixar fora els comptes que només es fan servir a casa i permetre només els que realment necessiten entrar des de fora.

El límit de velocitat es configura a Tauler de control > Reproducció > Streaming, a Internet streaming bitrate limit. És un topall per flux per a tots els dispositius de fora de la xarxa. Si la teva pujada és menor de 100 Mbps, Jellyfin recomana posar el 70% de la teva velocitat de pujada. Dues reproduccions ho dupliquen , així que no pensis que el límit és total: és per stream. A la fitxa de cada usuari pots sobreescriure el valor global.

El Quick Connect us permet entrar amb un codi temporal de sis caràcters en lloc d'usuari i contrasenya. Ve activat de fàbrica i pot resultar còmode, però el codi no val per si mateix: l'ha d'autoritzar un dispositiu on ja hagis iniciat sessió. No val per si sol , així que no és una porta del darrere màgica. Si no ho vols, es desactiva a Configuració > Tauler de control > General, desmarcant Enable Quick Connect on this server.

Per a biblioteques grans, no t'obsessions amb la mida del disc. Pel túnel només passa el fitxer que s'està reproduint, així que el que importa és el bitrat d'aquest fitxer i la teva pujada. La mida de la biblioteca no importa per a l'amplada de banda; el que importa és el bitrate de la pel·lícula o sèrie que estiguis veient en aquell moment.

Què triar segons el teu cas

Si ets tu sol i els teus dispositius són mòbil, portàtil o tablet, Tailscale és lopció més directa: una tarda, zero euros i el CGNAT deixa dexistir per a tu. Tailscale guanya per als teus propis atuells perquè el pots instal·lar i autoritzar sense dependre de ningú. És la via més senzilla quan no hi ha televisions de tercers pel mig.

Si compartiràs amb família que veu a la tele i no vol instal·lar res, el VPS amb VPN i proxy invers és l'únic que els dóna una experiència semblant a Plex: obren un domini, posen la contrasenya i veuen el contingut. L'únic que no instal·la res també és el més car en temps i l'únic amb factura mensual. Per a la teva mare, la teva sogra i els nens amb tauletes velles, aquesta transparència val el seu pes en or.

Si tens IP pública i només volies un nom en lloc d'una IP que canvia, estira DuckDNS o No-IP. DNS dinàmic és la solució per al nom, però no per al CGNAT ni per a la seguretat. Primer comprova que la teva IP pública és teva i després preocupa't pel nom.

Cloudflare Tunnel pot servir si entens les seves condicions i no et fa res dependre d'un tercer. No ho venguis com a gratuït sense condicions : la restricció de vídeo existeix i Cloudflare pot limitar el servei. Si ho proves, fes-ho amb els ulls oberts i sabent que no hi ha una resposta oficial sobre el trànsit de Tunnel en els seus termes.

El que no hauries de fer sota cap concepte és obrir el 8096 al món i confiar en la sort. Obrir el 8096 al món és la pitjor opció: insegura, exposada i amb contrasenyes que poden viatjar sense xifrar. Si no voleu muntar res, Tailscale per als vostres dispositius; si vols transparència per a la família, VPS amb VPN i proxy invers; si només necessites un nom, DNS dinàmic; i si et tempta Cloudflare Tunnel, llegeix abans la lletra petita.

La decisió final depèn de qui utilitzarà Jellyfin i de quant de temps estàs disposat a invertir. Tailscale és la via més senzilla per a tu, però no la més transparent per a la família. Si tots els dispositius fossin teus, Tailscale seria gairebé perfecte. Amb televisions Samsung, LG o Google TV i familiars que no es volen complicar, el VPS amb VPN i proxy invers és el que més s'acosta a l'experiència de Plex: ells no instal·len res, tu assumeixes la feina i la factura. I si només vols provar sense gastar, Tailscale et treu del compromís avui mateix, sempre que puguis configurar cada atuell i acceptar que el servidor estigui sempre encès.