Jellyfin mimo domov s Tailscale: Realistický průvodce pro celou rodinu

Informatec Digital » Sítě » Jellyfin mimo domov s Tailscale: Realistický průvodce pro celou rodinu

Jellyfin funguje doma skvěle: nainstalujete server, přidáte složky a během pár minut je vaše knihovna k dispozici v obývacím pokoji. Problém začíná, když chcete sledovat něco na telefonu, iPadu nebo televizi, která patří příbuznému, který je kilometry daleko. A tady přichází na řadu router, porty, domény a celá řada dalších rozhodnutí, která pro ty, kteří si nechtějí věci komplikovat, mohou z klidného odpoledne udělat otravu. Vzdálený přístup je úplně jiná věc a pokud chcete, aby ho používali lidé s omezenou technologickou trpělivostí, věci se ještě více zkomplikují.

Dobrou zprávou je, že existují řešení, která se vyhnou otevírání portů a fungují i ​​v případě, že vás váš poskytovatel internetových služeb má za CGNAT. Tailscale je nejoblíbenější způsob, jak se obejít bez nutnosti dotýkat se routeru, ale není to žádná magie: vyžaduje instalaci něčeho na každém zařízení a má jasná omezení, pokud jde o televizory Samsung nebo LG nebo starší zařízení. Neexistuje žádné zázračné řešení , které by proměnilo Jellyfin v Plex pro celou rodinu bez jakéhokoli nastavení, ale existují jasnější cesty než jiné. Pojďme si pečlivě projít všechny detaily, včetně toho, o čem obvykle nikdo nemluví ohledně Tailscale, Cloudflare Tunnel, VPS a nastavení zabezpečení Jellyfinu.

Proč se Jellyfin zasekne, když odchází z domova?

V lokální síti je vše velmi jednoduché: server má soukromou adresu, například 192.168.1.50, a jakékoli zařízení připojené ke stejné Wi-Fi síti k němu může bez problémů přistupovat. Situace se mění, když požadavek přichází z internetu, protože váš router neví, na které zařízení má daný provoz přesměrovat. K vyřešení tohoto problému se obvykle používají tři klasická řešení: přesměrování portů, nastavení reverzní proxy nebo použití tunelu, jako je Cloudflare. Všechna tři jsou složitá a žádné není navrženo tak, aby si je vaše tchyně musela konfigurovat z druhého konce světa.

Přesměrování portů spočívá v tom, že se routeru sdělí, že veškerý provoz přicházející na konkrétní port by měl být směrován na počítač se systémem Jellyfin. Zní to jednoduše, ale vyžaduje to přístup k ovládacímu panelu routeru, vytvoření pravidla, přiřazení lokální IP adresy serveru a doufání, že se veřejná IP adresa nebude často měnit. Otevření portů na routeru navíc vytváří zranitelnost viditelnou z internetu, a pokud není řádně zabezpečena, může se stát významnou bezpečnostní dírou.

Reverzní proxy je elegantnější, ale také techničtější. Používá se k přijímání návštěv, šifrování připojení pomocí HTTPS a jejich předávání na server Jellyfin uvnitř. Obvykle vyžaduje zakoupení nebo správu domény, konfiguraci certifikátů a pochopení toho, co se děje v každém kroku. Není to nemožné , ale není to to, co byste doporučili někomu, kdo si chce jen pustit film na iPadu, aniž by musel volat počítačového experta.

Cloudflare Tunnel je další možností: nainstalujete si na server program, ten otevře odchozí připojení a vaši hosté k němu mohou přistupovat pod běžným jménem, ​​aniž by museli otevírat porty nebo mít veřejnou IP adresu. Problém je v tom, že Cloudflare není tak uživatelsky přívětivý, jak se zdá, pokud jde o poskytování videa, a navíc jste závislí na zprostředkovateli, který může změnit pravidla nebo omezit vaši službu.

Společným jmenovatelem všech těchto možností je, že tak či onak vystavují vaši domácí síť internetu , publikují doménu nebo jsou závislé na poskytovateli třetí strany. To vysvětluje, proč se mnoho lidí vzdává funkce vzdáleného přístupu Jellyfinu, než se stane příliš komplikovaným. Vlastní doporučení Jellyfinu je jasné: otevírání přímého portu k internetu se nedoporučuje, protože hesla mohou cestovat nešifrovaná, pokud používáte obyčejný HTTP. Port 8096 je pro HTTP , 8920 je určen pro HTTPS, ale ve výchozím nastavení se nepoužívá, a 7359 je pro lokální vyhledávání, takže ani tyto by neměly být zveřejněny.

Co Tailscale nabízí a kde je háček?

Tailscale vytváří privátní síť založenou na technologii WireGuard. Myšlenka spočívá v tom, že aplikaci nainstalujete na více zařízení, autorizujete je se stejným účtem a všechna se chovají, jako by byla připojena ke stejnému routeru, i když se nacházejí v různých zemích. Není třeba otevírat porty ani mít veřejnou IP adresu , protože každé zařízení inicializuje připojení k síti Tailscale a všechna jsou uprostřed. Pro domácí server s CGNAT je to obrovská úleva.

Když zaregistrujete více zařízení, vytvoří se tailnet, což je soukromá síť přidružená k vašemu účtu. Každé zařízení obdrží adresu, například 100.xyz, a název MagicDNS, takže si nemusíte pamatovat čísla. Tuto adresu poté zadáte do aplikace Jellyfin pro připojení zvenčí. Tailscale distribuuje adresy z bloku 100.64.0.0/10 , stejného bloku, který se používá pro CGNAT, ale nenechte se zmást: internetová adresa vašeho routeru je něco úplně jiného a to je to, co je třeba zkontrolovat při ověřování, zda máte CGNAT.

Osobní tarif od Tailscale je pro nekomerční použití zdarma a umožňuje až šest uživatelů včetně vás, takže si můžete pozvat dalších pět lidí. Společnost jej v rámci tohoto tarifu popisuje jako navždy zdarma a pro běžné rodinné použití je obvykle naprosto dostačující. V kombinaci s Jellyfinem, který je bezplatný a open-source , máte multimediální ekosystém bez placení předplatného, ​​na rozdíl od Plex Passu, který si účtuje poplatky za vzdálené streamování.

Tailscale je také doporučenou volbou, když operátor vynucuje CGNAT nebo když poskytovatel internetových služeb blokuje určitá příchozí připojení. Místo toho, aby se server a klienti zabývali routerem, připojují se k privátní síti a setkávají se tam. CGNAT se pro toto připojení stává irelevantním, protože nepotřebujete, aby někdo volal do vaší domácí sítě zvenčí.

Skrytým nákladem však nejsou peníze, ale pohodlí. Každé zařízení, které chce přistupovat k obsahu, potřebuje nainstalovaný a autorizovaný Tailscale a server musí být zapnutý a připojený k síti Tailscale, aby byl obsah dostupný. Pokud vaše matka používá televizi Samsung, vaše tchyně má Google TV a váš bratr rozdává staré tablety s Androidem, budete muset Tailscale nainstalovat a nakonfigurovat na každém zařízení nebo najít most. Pro někoho, kdo není technicky zdatný, je to už sama o sobě překážka.

Sdílení s ostatními má ale i jeden háček. Tailscale umožňuje sdílení počítačů u všech tarifů, ale host potřebuje vlastní účet a navíc musí být vlastníkem, správcem nebo IT manažerem své vlastní sítě Tailnet, aby mohl pozvání přijmout. Není to tak jednoduché, jako poslat odkaz a nechat druhou osobu přihlásit se, aniž by cokoli udělala. Pro vaši tchyni to může znamenat instalaci, registraci a pár obrazovek před sledováním prvního filmu.

A konečně, Tailscale ne vždy navazuje přímé spojení mezi dvěma koncovými body. Pokud existuje hard NAT, firewall nebo jiná omezení, je provoz směrován přes DERP relé Tailscale. To může přidat latenci a je to patrné u videa: jeden den je plynulé a další den se zasekává, i když jste nezměnili žádná nastavení. Zásady přijatelného používání Tailscale neobsahují konkrétní klauzuli týkající se šířky pásma, videa nebo objemu provozu, ale to nemění nic na skutečnosti, že relé jsou poslední možností a nejsou zárukou dokonalého streamování.

Než se čehokoli dotknete: zkontrolujte, zda máte CGNAT

CGNAT znamená, že váš poskytovatel internetových služeb sdílí stejnou veřejnou IP adresu mezi několika zákazníky. Na internetu nemáte vlastní adresu a bez ohledu na to, kolik portů otevřete na routeru, nikdo mimo vaši síť se k vám domů nedostane. Jedná se o sdílenou veřejnou IP adresu , takže tradiční přesměrování portů nebude fungovat, bez ohledu na to, jak moc ho nakonfigurujete.

Kontrola je rychlá. Přejděte do ovládacího panelu routeru a vyhledejte jeho internetovou IP adresu, WAN IP adresu nebo externí IP adresu. Poté ze zařízení připojeného ke stejné síti vyhledejte na Googlu „Jaká je moje IP adresa?“ a porovnejte obě čísla. Pokud se neshodují, existuje zprostředkovatel. Pokud je WAN IP adresa mezi 100.64.0.0 a 100.127.255.255 , problém je jasný: jste za CGNAT. Stejný příznak může způsobit i druhý router ve stejném řetězci, takže to nevylučujte.

Pokud máte CGNAT, než se pokusíte o jakákoli alternativní řešení, vyplatí se zavolat svému poskytovateli a zeptat se, zda vám může poskytnout veřejnou IPv4 adresu. Záleží na vaší smlouvě a lokalitě a může to být poplatek, ale je to jediný způsob, jak obnovit tradiční přesměrování portů. Existuje také možnost nativního IPv6: pokud má váš server globálně směrovatelnou IPv6 adresu a síť, ze které přistupujete, také používá IPv6, můžete se tímto způsobem připojit. CGNAT je problém IPv4 , takže ho před kontrolou nevylučujte.

A pozor na zkratky: dynamický DNS neopraví CGNAT. Název odkazující na sdílenou IP adresu stále nevede k vašemu domovu. Dynamický DNS neopraví sdílenou IP adresu ; pouze aktualizuje název, když se změní vaše veřejná IP adresa, takže nejdříve musíte mít skutečnou veřejnou IP adresu a pak se starat o název.

Jízda na Tailscale s Jellyfinem bez potíží

Základní proces je kratší než výběr pořadu, na který se budete dívat v pátek večer. Nejprve si nainstalujete Jellyfin na počítač, který bude sloužit jako server. Pokud se jedná o Windows, je nejlepší jej označit jako službu, aby se spustil automaticky před přihlášením. Poté přejděte na adresu http://localhost:8096 , přidejte složky z pevného disku a nakonfigurujte knihovnu, titulky a synchronizaci průběhu přehrávání.

Spuštěný server nainstalujte Tailscale na stejný počítač a na zařízení, ze kterých k němu chcete přistupovat. Během počátečního nastavení vytvořte účet a autorizujte zařízení, čímž vygenerujete síť Tailnet. Použijte stejný účet na všech zařízeních , aby se navzájem viděla. Pokud nainstalujete Tailscale na server, ale ne na mobilní zařízení, mobilní zařízení nebude součástí privátní sítě a nebude k ní mít přístup.

Chcete-li najít adresu serveru v Tailscale, můžete na serveru použít příkaz `tailscale ip -4` nebo zkontrolovat aplikaci. Vrátí něco jako 100.121.112.23. V klientské aplikaci Jellyfin ručně přidejte server pomocí této adresy a odpovídajícího portu, například 100.xyz:8096 . Automatické vyhledávání Jellyfinu funguje pouze v lokální síti, takže mimo lokální síť budete muset adresu zadat ručně.

Tailscale je k dispozici pro Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV a Amazon Fire. Seznam zahrnuje mnoho zařízení , ale ne všechna. Televizory Samsung Tizen a LG webOS nemají Tailscale, ačkoli mají oficiální aplikaci Jellyfin. V tom spočívá problém: televizor sice může používat Jellyfin, ale zůstává mimo vaši privátní síť, pokud se k němu něco nepřipojí.

Nezapomeňte, že server musí zůstat zapnutý a připojený k síti Tailnet. Neustále běžící server je nezbytný: pokud se počítač vypne nebo ztratí připojení, vaši rodinní příslušníci nebudou mít přístup ke knihovně. S bezplatným tarifem také nemůžete Tailscale používat pro komerční účely, takže pokud se jedná o službu pro polovinu vaší rodiny, ujistěte se, že splňuje vaše osobní požadavky.

Skutečný problém: televize a netrpěliví členové rodiny.

Na televizorech Samsung Tizen nebo LG webOS je v obchodě k dispozici oficiální aplikace Jellyfin, ale Tailscale není k dispozici. Televize sice Jellyfin spustí, ale není v domácí síti, takže se k domácímu serveru nedostane. Televize zůstává mimo domácí síť a v aplikaci neexistuje žádné magické nastavení, které by to opravilo.

Technické řešení zahrnuje nastavení routeru podsítě: zařízení, které má nainstalovaný Tailscale a funguje jako most mezi privátní sítí a těmi zařízeními, která nemohou aplikaci nainstalovat. Funguje to, ale už to není jen odpoledne konfigurace: zahrnuje nastavení dalšího zařízení, jeho zapnutí a vysvětlení jeho fungování každému, kdo to potřebuje. Funguje to jako most , ano, ale není to ani transparentní, ani časově náročné.

U Google TV, Chromecastu a starších tabletů s Androidem je nutné se na každý případ podívat individuálně. Pokud zařízení umožňuje instalaci Tailscale z obchodu, můžete to zkusit; pokud ne, jsme zpět u stejného problému. Každé zařízení , které se chce připojit, potřebuje vlastní instalaci nebo přemostění, které ji zakryje. V domě s několika staršími tablety to může být docela otrava.

Sdílení vaší sítě tailnet s členem rodiny není tak jednoduché jako stisknutí tlačítka. Host potřebuje vlastní účet a navíc musí být vlastníkem nebo správcem své sítě tailnet, aby mohl pozvání přijmout. Mít vlastní účet a být správcem je příliš mnoho pro někoho, kdo si chce jen pustit pořad. Pro vaši matku nebo tchyni se to nedá srovnat s otevřením Plexu a nalezením již nastavené knihovny.

Proto, i když je Tailscale pro vás nejjednodušší volbou, pro vaši rodinu to tak není. Co se týče transparentnosti pro koncového uživatele, s Plexem se nedá srovnávat . Kdyby všechna zařízení byla vaše a mohli byste si je předem nastavit, bylo by to skvělé. Ale když máte televizory třetích stran a členy rodiny, kteří nejsou příliš technicky zdatní, situace se mění.

Alternativy, aby vaše rodina nemusela nic instalovat

Pokud je vaším cílem, aby si vaši hosté zapnuli televizi a sledovali Jellyfin bez nutnosti instalovat Tailscale, nejtransparentnější možností je VPS s VPN k vašemu domu a reverzní proxy. Pronajmete si malý server na internetu, který má statickou veřejnou IP adresu, nastavíte VPN mezi VPS a vaším domem a použijete reverzní proxy pro příjem návštěv. Host vidí pouze běžnou doménu s HTTPS zámkem, aniž by musel cokoli instalovat nebo se kdekoli registrovat. Toto je však nejpracnější nastavení a jediné s opakujícím se účtem.

Klíčem je, že hovor pochází z vaší domácí sítě, nikoli z VPS. Váš domácí server otevře spojení s VPS, takže CGNAT nezasahuje. Reverzní proxy VPS poté přijímá návštěvy členů vaší rodiny a posílá je tunelem do Jellyfinu. Hovor pochází z vaší domácí sítě a host vidí pouze doménu s certifikátem. VPS však nezvyšuje vaši šířku pásma: video stále pochází z vaší domácí sítě a využívá vaši rychlost odesílání.

Úzkým hrdlem je rychlost nahrávání , nikoli velikost vaší knihovny. Nezáleží na tom, jestli máte 30 TB filmů: tunelem prochází pouze to, co se právě přehrává. Pokud má vaše připojení rychlost nahrávání nižší než 100 Mb/s, je vhodné omezit datový tok Jellyfinu na 70 % této rychlosti, abyste předešli přerušení. Tento limit se konfiguruje v ovládacím panelu a ovlivňuje zařízení mimo vaši místní síť.

WireGuard je další možností, pokud nemáte CGNAT. Je zdarma, rychlý a zpřístupňuje UDP port místo panelu Jellyfin, takže kdokoli bez klíče ani nedostane odpověď. Funguje perfektně i bez CGNAT , ale s CGNAT nemá váš domácí server stabilní adresu pro volání, takže naslouchající koncový bod musí být mimo vaši lokalitu: jste zpět u VPS. Někdo musí naslouchat mimo vaši domácí síť; to se nedá obejít.

Cloudflare Tunnel se vyhýbá otevírání portů a nevyžaduje veřejnou IP adresu. Nainstalujete Cloudflare na server, naváže se odchozí připojení a vaši hosté k němu přistupují prostřednictvím svých prohlížečů, aniž by museli cokoli instalovat. Problém spočívá v detailech: Specifické podmínky Cloudflare uvádějí, že pokud nejste podnikový zákazník, musíte k poskytování videa a velkých souborů prostřednictvím jejich CDN používat placené služby. Cloudflare si vyhrazuje právo zakázat nebo omezit přístup, pokud má podezření, že používáte CDN bez těchto služeb. Starý oddíl 2.8, který koloval na fórech, byl zrušen v květnu 2023 a slovo „Tunnel“ se v tomto dokumentu neobjevuje, takže neexistuje ani výslovný zákaz, ani jasné oprávnění. Je to šedá zóna.

Pokud máte veřejnou IP adresu a chcete jen jméno místo řetězce čísel, postačí vám bezplatná dynamická DNS služba. DuckDNS se inzeruje jako bezplatná a hostovaná na AWS, bez nutnosti kreditní karty. No-IP nabízí bezplatný tarif s názvem hostitele a bez nutnosti kreditní karty. DuckDNS a No-IP jsou nejznámější možnosti, ale DynDNS již bezplatný tarif nenabízí: uvidíte pouze možnost zakoupení služby nebo sedmidenní zkušební verze. A nezapomeňte, že dynamická DNS služba neopravuje CGNAT ani nenahrazuje přesměrování portů.

Otevření portu 8096 pro celý svět je ten nejhorší nápad vůbec. Jellyfin to říká na rovinu: otevření přímého portu do internetu je nebezpečné a nedoporučuje se. Pokud používáte HTTP, hesla se šíří nešifrovaná. Nejlepším přístupem je použít reverzní proxy k ukončení HTTPS a vyhnout se certifikátům s vlastním podpisem, protože způsobují problémy s kompatibilitou a zabezpečením. Ukončení HTTPS v reverzní proxy je rozumný způsob, jak to udělat; jednoduše povolit několik nastavení v Jellyfinu a doufat v to nejlepší.

Zabezpečení a nastavení, která stojí za úpravu v Jellyfinu

Port 8096 je pro HTTP, 8920 je určen pro HTTPS, ale ve výchozím nastavení se nepoužívá, a 7359 je pro lokální vyhledávání. Port 8096 by neměl být tak, jak je, veřejně přístupný . Pokud chcete něco zveřejnit, použijte reverzní proxy s HTTPS, která bude přijímat návštěvy a směrovat provoz na Jellyfin.

Pro vzdálený přístup existují dva samostatné přepínače: jeden na úrovni serveru v nastavení Sítě a vzdálený přístup a další pro každého uživatele v profilu s možností „Povolit vzdálená připojení k tomuto serveru“. Díky dvěma samostatným přepínačům můžete vyloučit účty používané pouze doma a povolit pouze těm, kteří vzdálený přístup skutečně potřebují.

Omezení rychlosti se konfiguruje v Ovládacích panelech > Přehrávání > Streamování v části Omezení datového toku pro internetové streamování. Jedná se o limit na stream pro všechna zařízení mimo vaši síť. Pokud je rychlost odesílání nižší než 100 Mb/s, Jellyfin doporučuje nastavit jej na 70 % rychlosti odesílání. Dva streamy tento limit zdvojnásobují , takže to nepovažujte za celkový limit: je to na stream. Globální hodnotu můžete přepsat v profilu každého uživatele.

Rychlé připojení umožňuje přihlášení pomocí dočasného šestimístného kódu namísto uživatelského jména a hesla. Ve výchozím nastavení je povoleno a může být pohodlné, ale kód sám o sobě není platný: musí být autorizován zařízením, na kterém jste již přihlášeni. Nejedná se o magická zadní vrátka. Pokud je nechcete, můžete je zakázat v Nastavení > Ovládací panely > Obecné zrušením zaškrtnutí políčka „Povolit rychlé připojení na tomto serveru“.

U velkých knihoven se nezaměřujte na velikost disku. Tunelem prochází pouze přehrávaný soubor, takže důležitý je bitrate daného souboru a rychlost nahrávání. Velikost knihovny neovlivňuje šířku pásma; důležitý je bitrate filmu nebo seriálu, který právě sledujete.

Co si vybrat podle vašeho případu

Pokud jste sami a vaše zařízení jsou mobilní telefon, notebook nebo tablet, Tailscale je nejjednodušší možností: jedno odpoledne, nula eur a CGNAT pro vás přestane existovat. Tailscale je výhodný pro vaše vlastní zařízení , protože si jej můžete nainstalovat a autorizovat nezávisle. Je to nejjednodušší řešení, když nejsou zapojeny žádné televizory třetích stran.

Pokud se chystáte sdílet obsah s rodinou, která se dívá na televizi a nechce nic instalovat, VPS s VPN a reverzní proxy je jediný, který jim nabízí zážitek podobný Plexu: otevřou si doménu, zadají heslo a sledují obsah. Jediný, který nic neinstaluje, je také nejdražší z hlediska času a jediný s měsíčním účtem. Pro vaši matku, tchyni a děti se starými tablety je tato transparentnost neocenitelná.

Pokud máte veřejnou IP adresu a chcete pouze jméno místo měnící se IP adresy, použijte DuckDNS nebo No-IP. Dynamický DNS je řešením pro jméno, ale ne pro CGNAT nebo zabezpečení. Nejprve ověřte, zda je vaše veřejná IP adresa vaše, a pak se věnujte jménu.

Cloudflare Tunnel může být užitečný, pokud rozumíte jeho podmínkám a nevadí vám spoléhat se na třetí stranu. Nepředpokládejte, že je zdarma a bez závazků : ​​existují omezení videa a Cloudflare může službu omezit. Pokud ho vyzkoušíte, buďte plně informováni a vězte, že v jejich podmínkách neexistuje žádné oficiální vysvětlení týkající se provozu tunelu.

Co byste absolutně neměli dělat, je otevřít port 8096 světu a spoléhat se na štěstí. Otevření portu 8096 světu je nejhorší možnost: nejistá, odhalená a s hesly, která mohou cestovat nešifrovaná. Pokud nechcete nic nastavovat, použijte pro svá zařízení Tailscale; pokud chcete transparentnost pro svou rodinu, použijte VPS s VPN a reverzní proxy; pokud potřebujete pouze doménové jméno, použijte dynamický DNS; a pokud vás láká Cloudflare Tunnel, přečtěte si nejprve text napsaný drobným písmem.

Konečné rozhodnutí závisí na tom, kdo bude Jellyfin používat a kolik času jste ochotni investovat. Tailscale je pro vás nejjednodušší varianta, ale pro vaši rodinu ne nejtransparentnější. Pokud by všechna zařízení byla vaše, Tailscale by byl téměř perfektní. S televizory Samsung, LG nebo Google a členy rodiny, kteří nechtějí žádné potíže, je VPS s VPN a reverzní proxy nejblíže zážitku z Plexu: nic neinstalují, vy se postaráte o práci a účet. A pokud si to chcete jen vyzkoušet, aniž byste utratili jediný halíř, Tailscale vás dnes může dostat z tísně, za předpokladu, že si můžete nakonfigurovat každé zařízení a akceptovat, že server je neustále zapnutý.