Jellyfin væk hjemmefra med haleskala: En realistisk guide til hele familien

Informatic Digital » netværk » Jellyfin væk hjemmefra med haleskala: En realistisk guide til hele familien

Jellyfin fungerer perfekt derhjemme: du installerer serveren, tilføjer mapperne, og på få minutter er dit bibliotek tilgængeligt i stuen. Problemet starter, når du vil se noget på en telefon, iPad eller et tv, der tilhører en slægtning, der bor langt væk. Det er her, routeren, portene, domænerne og en hel række andre beslutninger kommer i spil, hvilket for dem, der ikke vil komplicere tingene, kan forvandle en stille eftermiddag til en hovedpine. Fjernadgang er en helt anden historie , og hvis du vil have folk med begrænset teknologisk tålmodighed til at bruge det, bliver tingene endnu mere komplicerede.

Den gode nyhed er, at der findes løsninger, der undgår at åbne porte, og som endda virker, når din internetudbyder har dig bag CGNAT. Tailscale er den mest populære måde at klare sig uden at røre routeren, men det er ikke magisk: det kræver installation af noget på hver enhed og har klare begrænsninger, når det kommer til Samsung- eller LG-tv'er eller ældre enheder. Der er ingen mirror bullet , der vil forvandle Jellyfin til Plex for hele familien uden nogen opsætning, men der er klarere veje end andre. Lad os gennemgå alle detaljerne omhyggeligt, inklusive det, som ingen normalt taler om vedrørende Tailscale, Cloudflare Tunnel, VPS'er og Jellyfins sikkerhedsindstillinger.

Hvorfor sidder Jellyfin fast, når den forlader hjemmet?

På et lokalt netværk er alt meget simpelt: serveren har en privat adresse, noget i retning af 192.168.1.50, og enhver enhed, der er forbundet til det samme Wi-Fi-netværk, kan få adgang til den uden problemer. Situationen ændrer sig, når anmodningen kommer fra internettet, fordi din router ikke ved, hvilken enhed den skal videresende trafikken til. For at løse dette bruges der normalt tre klassiske løsninger: port forwarding, opsætning af en reverse proxy eller brug af en tunnel som Cloudflare. Alle tre er komplekse , og ingen er designet til, at din svigermor kan konfigurere fra den anden side af verden.

Port forwarding indebærer at fortælle routeren, at al trafik, der ankommer på en bestemt port, skal dirigeres til den computer, der kører Jellyfin. Det lyder nemt, men det kræver adgang til routerens kontrolpanel, oprettelse af en regel, tildeling af serverens lokale IP-adresse og håb om, at den offentlige IP-adresse ikke ændres ofte. Desuden skaber åbning af porte på routeren en sårbarhed, der er synlig fra internettet, og hvis den ikke sikres ordentligt, kan den blive et betydeligt sikkerhedshul.

En reverse proxy er mere elegant, men også mere teknisk. Den bruges til at modtage besøg, kryptere forbindelsen med HTTPS og sende dem til Jellyfin-serveren indeni. Det kræver normalt køb eller administration af et domæne, konfiguration af certifikater og forståelse af, hvad der sker i hvert trin. Det er ikke umuligt , men det er ikke, hvad man ville anbefale til en person, der bare vil se en film på sin iPad uden at ringe til en computerekspert.

Cloudflare Tunnel er en anden mulighed: du installerer et program på serveren, det åbner en udgående forbindelse, og dine gæster kan tilgå det ved hjælp af et normalt navn uden at skulle åbne porte eller have en offentlig IP-adresse. Problemet er, at Cloudflares småtryk ikke er så brugervenligt, som det ser ud til, når det kommer til at vise video, og du er også afhængig af en mellemmand, der kan ændre reglerne eller begrænse din tjeneste.

Fællesnævneren for alle disse muligheder er, at de på den ene eller anden måde eksponerer dit hjemmenetværk for internettet , udgiver et domæne eller er afhængige af en tredjepartsudbyder. Dette forklarer, hvorfor mange mennesker afstår fra Jellyfins fjernadgangsfunktion, før de bliver for komplicerede. Jellyfins egen anbefaling er klar: det er ikke tilrådeligt at åbne en direkte port til internettet, fordi adgangskoder kan rejse ukrypteret, hvis du bruger almindelig HTTP. Port 8096 er til HTTP , 8920 er beregnet til HTTPS, men bruges ikke som standard, og 7359 er til lokal opdagelse, så disse bør heller ikke eksponeres.

Hvad tilbyder Tailscale, og hvor ligger hagestenen?

Tailscale bygger et privat netværk baseret på WireGuard. Ideen er, at du installerer applikationen på flere enheder, autoriserer dem med den samme konto, og de opfører sig alle, som om de var forbundet til den samme router, selvom de er i forskellige lande. Der er ingen grund til at åbne porte eller have en offentlig IP-adresse , fordi hver enhed initierer sin forbindelse til Tailscale-netværket, og de er alle i midten. For en hjemmeserver, der kører CGNAT, er dette en kæmpe lettelse.

Når du registrerer flere enheder, oprettes et tailnet, som er det private netværk, der er knyttet til din konto. Hver enhed modtager en adresse som 100.xyz og et MagicDNS-navn, så du ikke behøver at huske numre. Dette er den adresse, du derefter indtaster i Jellyfin-appen for at oprette forbindelse udefra. Tailscale distribuerer adresser fra 100.64.0.0/10-blokken , den samme som bruges til CGNAT, men bliv ikke forvirret: din routers internetadresse er noget helt andet, og det er det, du skal tjekke, når du verificerer, om du har CGNAT.

Tailscales personlige abonnement er gratis til ikke-kommerciel brug og tillader op til seks brugere, inklusive dig selv, så du kan invitere fem personer mere. Virksomheden beskriver det som gratis for altid på det abonnement, og til normal familiebrug er det normalt helt tilstrækkeligt. Kombineret med Jellyfin, som er gratis og open source , har du et multimedieøkosystem uden at betale et abonnement, i modsætning til Plex Pass, som opkræver betaling for fjernstreaming.

Tailscale anbefales også, når operatøren håndhæver CGNAT, eller når internetudbyderen blokerer visse indgående forbindelser. I stedet for at håndtere routeren, opretter serveren og klienterne forbindelse til det private netværk og mødes der. CGNAT bliver irrelevant for den forbindelse, fordi du ikke behøver nogen, der ringer til dit hjemmenetværk udefra.

Den skjulte pris er dog ikke penge, men bekvemmelighed. Enhver enhed, der ønsker at få adgang til indholdet, skal have Tailscale installeret og godkendt , og serveren skal være tændt og forbundet til tailnetværket for at indholdet er tilgængeligt. Hvis din mor bruger et Samsung TV, din svigermor har et Google TV, og din bror udleverer gamle Android-tablets, skal du installere og konfigurere Tailscale på hver enhed eller finde en bridge. For en person, der ikke er teknisk kyndig, er det allerede en barriere.

Deling med andre har også en hage. Tailscale tillader maskindeling på alle abonnementer, men gæsten skal have sin egen konto og skal desuden være ejer, administrator eller IT-chef for sit eget tailnet for at acceptere invitationen. Det er ikke så simpelt som at sende et link og lade den anden person logge ind uden at gøre noget. For din svigermor kan det betyde en installation, registrering og et par skærmbilleder, før du ser den første film.

Endelig etablerer Tailscale ikke altid en direkte forbindelse mellem de to slutpunkter. Når der er en hård NAT, firewall eller andre begrænsninger, dirigeres trafikken gennem Tailscales DERP-relæer. Dette kan øge latenstiden , og det er mærkbart i video: den ene dag er det jævnt, og den næste hakker det, selvom du ikke har ændret nogen indstillinger. Tailscales politik for acceptabel brug indeholder ikke en specifik klausul vedrørende båndbredde, video eller trafikmængde, men det ændrer ikke på det faktum, at relæer er en sidste udvej og ikke en garanti for perfekt streaming.

Før du rører ved noget: tjek om du har CGNAT

CGNAT betyder, at din internetudbyder deler den samme offentlige IP-adresse med flere kunder. Du har ikke din egen adresse på internettet, og uanset hvor mange porte du åbner på din router, er der ingen måde for nogen uden for dit netværk at få adgang til dit hjem. Det er en delt offentlig IP-adresse , så traditionel portvideresendelse fungerer ikke, uanset hvor meget du konfigurerer den.

Kontrollen er hurtig. Gå til din routers kontrolpanel, og find dens internet-IP-adresse, WAN-IP-adresse eller eksterne IP-adresse. Søg derefter på Google fra en enhed, der er tilsluttet det samme netværk, og sammenlign de to tal. Hvis de ikke stemmer overens, er der en mellemmand. Hvis WAN-IP-adressen er mellem 100.64.0.0 og 100.127.255.255 , er problemet tydeligt: ​​du er bagud i forhold til CGNAT. En anden router i samme kæde kan også producere det samme symptom, så det skal du ikke udelukke.

Hvis du har CGNAT, er det værd at ringe til din udbyder og spørge, om de kan give dig en offentlig IPv4-adresse, før du prøver nogen løsninger. Det afhænger af din kontrakt og placering, og det kan være en omkostning, men det er den eneste måde at gendanne traditionel port forwarding på. Der er også mulighed for native IPv6: hvis din server har en globalt routerbar IPv6-adresse, og det netværk, du tilgår fra, også bruger IPv6, kan du muligvis oprette forbindelse på den måde. CGNAT er et IPv4-problem , så udelukker det ikke, før du har tjekket.

Og pas på genveje: en dynamisk DNS reparerer ikke CGNAT. Et navn, der peger på en delt IP-adresse, fører stadig ikke til dit hjem. En dynamisk DNS reparerer ikke en delt IP-adresse ; den opdaterer kun navnet, når din offentlige IP-adresse ændres, så du skal først have en rigtig offentlig IP-adresse og derefter bekymre dig om navnet.

At køre på en Tailscale med Jellyfin uden besvær

Den grundlæggende proces er kortere end at vælge, hvad du vil se en fredag ​​aften. Først installerer du Jellyfin på den computer, der skal fungere som server. Hvis det er Windows, er det bedst at markere det som en tjeneste, så den starter automatisk, før du logger ind. Gå derefter til http://localhost:8096 , tilføj mapperne fra din harddisk, og konfigurer bibliotek, undertekster og synkronisering af afspilningsstatus.

Mens serveren kører, skal du installere Tailscale på den samme computer og på de enheder, du vil tilgå den fra. Under den indledende opsætning skal du oprette en konto og godkende enhederne, hvilket genererer tailnet. Brug den samme konto på alle enheder, så de kan se hinanden. Hvis du installerer Tailscale på serveren, men ikke på mobilenheden, vil mobilenheden ikke være en del af det private netværk og vil ikke kunne få adgang til det.

For at finde serveradressen i Tailscale kan du bruge kommandoen `tailscale ip -4` på servermaskinen eller tjekke applikationen. Den vil returnere noget i retning af 100.121.112.23. I Jellyfin-klientappen skal du manuelt tilføje serveren ved hjælp af den adresse og den tilsvarende port, for eksempel 100.xyz:8096 . Jellyfins automatiske registrering fungerer kun på det lokale netværk, så uden for det lokale netværk skal du manuelt indtaste adressen.

Tailscale er tilgængelig til Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV og Amazon Fire. Listen dækker mange enheder , men ikke alle. Samsung Tizen og LG webOS TV'er har ikke Tailscale, selvom de har den officielle Jellyfin-app. Heri ligger problemet: TV'et kan køre Jellyfin, men det forbliver uden for dit private netværk, medmindre noget forbinder det til det.

Husk at serveren skal forblive tændt og forbundet til Tailnet. En konstant kørende server er afgørende: Hvis computeren lukker ned eller mister forbindelsen, vil dine familiemedlemmer ikke have adgang til biblioteket. Du kan heller ikke bruge Tailscale til kommercielle formål med gratisabonnementet, så hvis dette skal være en tjeneste for halvdelen af ​​din familie, skal du sørge for, at den opfylder dine personlige krav.

Det virkelige problem: fjernsyn og utålmodige familiemedlemmer.

På et Samsung Tizen- eller LG webOS TV har Jellyfin en officiel app i butikken, men Tailscale er ikke tilgængelig. TV'et kan åbne Jellyfin, men det er ikke på hjemmenetværket, så det når ikke hjemmeserveren. TV'et forbliver uden for hjemmenetværket , og der er ingen magisk indstilling i appen til at løse det.

Den tekniske løsning involverer opsætning af en subnet-router: en enhed, der har Tailscale installeret, og som fungerer som en bro mellem det private netværk og de enheder, der ikke kan installere applikationen. Det virker, men det er ikke længere en simpel eftermiddag med konfiguration: det involverer at opsætte en anden enhed, lade den være tændt og forklare dens indre funktioner til alle, der har brug for det. Den fungerer som en bro , ja, men den er hverken gennemsigtig eller tidskrævende.

Med Google TV, Chromecast og ældre Android-tablets skal man se på hvert enkelt tilfælde individuelt. Hvis enheden tillader installation af Tailscale fra sin butik, kan du prøve det; hvis ikke, er vi tilbage ved det samme problem. Hver enhed , der vil oprette forbindelse, skal bruge sin egen installation eller en bro til at dække den. I et hus med flere ældre tablets kan det være ret besværligt.

Det er ikke så simpelt at dele dit tailnet med et familiemedlem som at trykke på en knap. Gæsten skal have sin egen konto og skal desuden være ejer eller administrator af sit eget tailnet for at acceptere invitationen. At have sin egen konto og være administrator er at bede om for meget for en person, der bare vil se et program. For din mor eller svigermor kan det ikke sammenlignes med at åbne Plex og finde biblioteket allerede konfigureret.

Derfor er Tailscale, selvom det er den nemmeste løsning for dig, ikke den nemmeste for din familie. Det kan ikke sammenlignes med Plex, hvad angår gennemsigtighed for slutbrugeren. Hvis alle enhederne var dine, og du kunne konfigurere dem på forhånd, ville det være vidunderligt. Men når der er tredjeparts-tv'er og familiemedlemmer, der ikke er særlig teknisk kyndige, ændrer situationen sig.

Alternativer, så din familie ikke behøver at installere noget

Hvis dit mål er, at dine gæster skal tænde for tv'et og se Jellyfin uden at installere Tailscale, er den mest transparente løsning en VPS med en VPN til dit hjem og en reverse proxy. Du lejer en lille server på internettet, som dog har en statisk offentlig IP-adresse, opretter en VPN mellem VPS'en og dit hjem og bruger en reverse proxy til at modtage besøgene. Gæsten ser kun et normalt domæne med en HTTPS-hængelås uden at installere noget eller registrere sig nogen steder. Dette er dog den mest besværlige opsætning og den eneste med en tilbagevendende regning.

Nøglen er, at opkaldet stammer fra dit hjemmenetværk, ikke VPS'en. Din hjemmeserver åbner forbindelsen til VPS'en, så CGNAT ikke forstyrrer. Derefter modtager VPS'ens reverse proxy dine familiemedlemmers besøg og sender dem gennem tunnelen til Jellyfin. Opkaldet stammer fra dit hjemmenetværk , og gæsten ser kun et domæne med et certifikat. VPS'en øger dog ikke din båndbredde: videoen stammer stadig fra dit hjemmenetværk og bruger din uploadhastighed.

Flaskehalsen er din uploadhastighed , ikke størrelsen på dit bibliotek. Det er ligegyldigt, om du har 30 TB film: kun det, der afspilles, passerer gennem tunnelen. Hvis din forbindelse har en uploadhastighed på under 100 Mbps, anbefales det at begrænse Jellyfins bitrate til 70 % af denne hastighed for at undgå afbrydelser. Denne grænse konfigureres i kontrolpanelet og påvirker enheder uden for dit lokale netværk.

WireGuard er en anden mulighed, hvis du ikke har CGNAT. Det er gratis, hurtigt og eksponerer en UDP-port i stedet for Jellyfin-panelet, så alle uden nøglen vil ikke engang modtage et svar. Det fungerer perfekt uden CGNAT , men med CGNAT har din hjemmeserver ikke en stabil adresse at kalde, så lytte-slutpunktet skal være off-site: du er tilbage til en VPS. Nogen skal lytte uden for dit hjemmenetværk; der er ingen vej udenom.

Cloudflare Tunnel undgår at åbne porte og kræver ikke en offentlig IP-adresse. Du installerer Cloudflare på serveren, en udgående forbindelse etableres, og dine gæster tilgår den via deres browsere uden at installere noget. Problemet ligger i det med småt: Cloudflares specifikke vilkår angiver, at medmindre du er Enterprise-kunde, skal du bruge betalte tjenester til at servere video og store filer via deres CDN. Cloudflare forbeholder sig retten til at deaktivere eller begrænse adgang, hvis de har mistanke om, at du bruger CDN'et uden disse tjenester. Det gamle afsnit 2.8, der cirkulerede i foraene, blev ophævet i maj 2023, og ordet "Tunnel" vises ikke i dette dokument, så der er hverken et eksplicit forbud eller en klar autorisation. Det er en gråzone.

Hvis du har en offentlig IP-adresse og bare ønsker et navn i stedet for en række tal, vil en gratis dynamisk DNS-tjeneste klare opgaven. DuckDNS annoncerer sig selv som gratis og hostes på AWS, uden krav om kreditkort. No-IP har en gratis plan med et værtsnavn og uden krav om kreditkort. DuckDNS og No-IP er de mest kendte muligheder, men DynDNS tilbyder ikke længere en gratis plan: du vil kun se muligheden for at købe tjenesten eller en syv-dages prøveperiode. Og husk, at en dynamisk DNS-tjeneste ikke løser CGNAT eller erstatter port forwarding.

At åbne port 8096 for verden er den værste idé nogensinde. Jellyfin siger det ligeud: at åbne en direkte port til internettet er usikkert og anbefales ikke. Hvis du bruger HTTP, transporteres adgangskoder ukrypteret. Den bedste fremgangsmåde er at bruge en reverse proxy til at afslutte HTTPS og undgå selvsignerede certifikater, fordi de forårsager kompatibilitets- og sikkerhedsproblemer. HTTPS-afslutning i en reverse proxy er den fornuftige måde at gøre det på; blot aktivere et par indstillinger i Jellyfin og håbe på det bedste.

Sikkerhed og indstillinger, der er værd at justere i Jellyfin

Port 8096 er til HTTP, 8920 er beregnet til HTTPS, men bruges ikke som standard, og 7359 er til lokal registrering. Port 8096 bør ikke være åben for offentligheden, som den er. Hvis du vil eksponere noget, skal du have en reverse proxy med HTTPS til at modtage besøgene og dirigere trafikken til Jellyfin.

Der er to separate knapper til fjernadgang: en på serverniveau i indstillinger for netværk og fjernadgang, og en anden pr. bruger på hver persons profil med muligheden "Tillad fjernforbindelser til denne server". To separate knapper betyder, at du kan ekskludere konti, der kun bruges derhjemme, og kun tillade dem, der virkelig har brug for fjernadgang.

Hastighedsgrænsen konfigureres i Kontrolpanel > Afspilning > Streaming under Bitrategrænse for internetstreaming. Det er en grænse pr. stream for alle enheder uden for dit netværk. Hvis din uploadhastighed er mindre end 100 Mbps, anbefaler Jellyfin at indstille den til 70 % af din uploadhastighed. To streams fordobler denne grænse , så tænk ikke på det som en total grænse: det er pr. stream. Du kan tilsidesætte den globale værdi i hver brugers profil.

Med Quick Connect kan du logge ind med en midlertidig kode på seks tegn i stedet for et brugernavn og en adgangskode. Den er aktiveret som standard og kan være praktisk, men koden er ikke gyldig i sig selv: den skal godkendes af en enhed, hvor du allerede er logget ind. Det er ikke en magisk bagdør. Hvis du ikke ønsker det, kan du deaktivere det i Indstillinger > Kontrolpanel > Generelt ved at fjerne markeringen i "Aktiver Quick Connect på denne server".

For store biblioteker skal du ikke bekymre dig om diskstørrelsen. Kun den fil, der afspilles, passerer gennem tunnelen, så det, der betyder noget, er filens bitrate og din uploadhastighed. Bibliotekets størrelse påvirker ikke båndbredden; det, der betyder noget, er bitraten for den film eller serie, du ser i øjeblikket.

Hvad skal man vælge i henhold til din sag

Hvis du er alene, og dine enheder er en mobiltelefon, bærbar computer eller tablet, er Tailscale den mest ligefremme løsning: én eftermiddag, nul euro, og CGNAT ophører med at eksistere for dig. Tailscale gavner dine egne enheder, fordi du kan installere og autorisere det uafhængigt. Det er den enkleste løsning, når der ikke er tredjepartsfjernsyn involveret.

Hvis du skal dele med familie, der ser tv og ikke ønsker at installere noget, er VPS'en med VPN og reverse proxy den eneste, der giver dem en Plex-lignende oplevelse: de åbner et domæne, indtaster adgangskoden og ser indholdet. Den eneste, der ikke installerer noget, er også den dyreste tidsmæssigt og den eneste med en månedlig regning. For din mor, din svigermor og børnene med gamle tablets er den gennemsigtighed uvurderlig.

Hvis du har en offentlig IP-adresse og kun ønsker et navn i stedet for en skiftende IP, skal du bruge DuckDNS eller No-IP. Dynamisk DNS er løsningen for navnet, men ikke for CGNAT eller sikkerhed. Bekræft først, at din offentlige IP-adresse er din, og bekymre dig derefter om navnet.

Cloudflare Tunnel kan være nyttig, hvis du forstår vilkårene og ikke har noget imod at stole på en tredjepart. Gå ikke ud fra, at det er gratis uden betingelser : der findes videorestriktioner, og Cloudflare kan begrænse tjenesten. Hvis du prøver det, så gør det med fuld bevidsthed, vel vidende at der ikke er nogen officiel forklaring vedrørende Tunnel-trafik i deres vilkår.

Hvad du absolut ikke bør gøre, er at åbne port 8096 for verden og stole på held. At åbne port 8096 for verden er den værste løsning: usikker, eksponeret og med adgangskoder, der kan spredes ukrypteret. Hvis du ikke vil konfigurere noget, skal du bruge Tailscale til dine enheder; hvis du ønsker gennemsigtighed for din familie, skal du bruge en VPS med en VPN og reverse proxy; hvis du kun har brug for et domænenavn, skal du bruge dynamisk DNS; og hvis Cloudflare Tunnel frister dig, skal du læse det med småt først.

Den endelige beslutning afhænger af, hvem der skal bruge Jellyfin, og hvor meget tid du er villig til at investere. Tailscale er den enkleste løsning for dig, men ikke den mest gennemsigtige for din familie. Hvis alle enhederne var dine, ville Tailscale være næsten perfekt. Med Samsung-, LG- eller Google TV-apparater og familiemedlemmer, der ikke ønsker besvær, er en VPS med VPN og reverse proxy det tætteste, man kommer på Plex-oplevelsen: de installerer ikke noget, du håndterer arbejdet og regningen. Og hvis du bare vil prøve det uden at bruge en krone, kan Tailscale hjælpe dig ud af den vanskelige situation i dag, forudsat at du kan konfigurere hver enhed og acceptere, at serveren altid er tændt.