Jellyfin loin de chez lui avec Tailscale : un guide réaliste pour toute la famille

Informatec Digital » Réseaux Sociaux » Jellyfin loin de chez lui avec Tailscale : un guide réaliste pour toute la famille

Jellyfin fonctionne à merveille à la maison : on installe le serveur, on ajoute les dossiers, et en quelques minutes, notre bibliothèque est accessible dans le salon. Les problèmes commencent lorsqu'on veut regarder quelque chose sur le téléphone, l'iPad ou la télévision d'un proche vivant à des kilomètres de distance. C'est là que le routeur, les ports, les noms de domaine et toute une série d'autres réglages entrent en jeu, ce qui, pour ceux qui ne veulent pas se compliquer la vie, peut transformer un après-midi tranquille en véritable casse-tête. L'accès à distance, c'est une autre histoire , et si l'on souhaite que des personnes peu à l'aise avec la technologie puissent l'utiliser, la situation se complique encore davantage.

La bonne nouvelle, c'est qu'il existe des solutions qui évitent d'ouvrir des ports et qui fonctionnent même si votre FAI utilise le CGNAT. Tailscale est la méthode la plus courante pour se passer de la configuration du routeur, mais elle n'est pas miraculeuse : elle nécessite une installation sur chaque appareil et présente des limitations évidentes avec les téléviseurs Samsung ou LG, ou les appareils plus anciens. Il n'existe pas de solution miracle pour transformer Jellyfin en Plex pour toute la famille sans aucune configuration, mais certaines options sont plus simples que d'autres. Examinons tous les détails en détail, y compris les aspects souvent négligés concernant Tailscale, Cloudflare Tunnel, les VPS et les paramètres de sécurité de Jellyfin.

Pourquoi Jellyfin reste-t-il coincé lorsqu'il quitte son nid ?

Sur un réseau local, tout est très simple : le serveur possède une adresse privée, par exemple 192.168.1.50, et tout appareil connecté au même réseau Wi-Fi peut y accéder sans problème. La situation se complique lorsque la requête provient d'Internet, car votre routeur ne sait pas vers quel appareil rediriger le trafic. Pour résoudre ce problème, trois solutions classiques sont généralement utilisées : la redirection de ports, la configuration d'un proxy inverse ou l'utilisation d'un tunnel comme Cloudflare. Ces trois solutions sont complexes et aucune n'est conçue pour être configurée par votre belle-mère à l'autre bout du monde.

La redirection de ports consiste à indiquer au routeur que tout le trafic arrivant sur un port spécifique doit être acheminé vers l'ordinateur exécutant Jellyfin. Cela paraît simple, mais nécessite d'accéder au panneau de configuration du routeur, de créer une règle, d'attribuer l'adresse IP locale du serveur et d'espérer que l'adresse IP publique ne change pas fréquemment. De plus, l'ouverture de ports sur le routeur crée une vulnérabilité visible depuis Internet et, si elle n'est pas correctement sécurisée, peut constituer une faille de sécurité importante.

Un proxy inverse est plus élégant, mais aussi plus technique. Il sert à recevoir les visites, à chiffrer la connexion avec HTTPS et à les transmettre au serveur Jellyfin. Cela nécessite généralement l'achat ou la gestion d'un nom de domaine, la configuration des certificats et la compréhension du fonctionnement à chaque étape. Ce n'est pas impossible , mais ce n'est pas la solution à recommander à quelqu'un qui souhaite simplement regarder un film sur son iPad sans faire appel à un informaticien.

Cloudflare Tunnel est une autre option : vous installez un programme sur le serveur, il ouvre une connexion sortante, et vos invités peuvent y accéder via un nom d'utilisateur classique, sans avoir besoin d'ouvrir de ports ni d'avoir une adresse IP publique. Le problème, c'est que les conditions d'utilisation de Cloudflare sont moins claires qu'il n'y paraît pour la diffusion vidéo, et vous dépendez d'un intermédiaire qui peut modifier les règles ou limiter votre service.

Le point commun de toutes ces options est qu'elles exposent votre réseau domestique à Internet , publient un nom de domaine ou dépendent d'un fournisseur tiers. C'est pourquoi beaucoup renoncent à la fonctionnalité d'accès à distance de Jellyfin avant de se lancer dans des configurations trop complexes. La recommandation de Jellyfin est claire : ouvrir un port direct vers Internet est déconseillé car les mots de passe peuvent être transmis sans chiffrement si vous utilisez le protocole HTTP non chiffré. Le port 8096 est réservé au HTTP , le port 8920 est destiné au HTTPS mais n'est pas utilisé par défaut, et le port 7359 est dédié à la découverte locale ; il est donc impératif de ne pas les exposer.

Que propose Tailscale et où est le piège ?

Tailscale crée un réseau privé basé sur WireGuard. Le principe est simple : installez l’application sur plusieurs appareils, authentifiez-les avec le même compte, et ils se comportent tous comme s’ils étaient connectés au même routeur, même s’ils se trouvent dans des pays différents. Inutile d’ouvrir des ports ou d’avoir une adresse IP publique , car chaque appareil initie sa connexion au réseau Tailscale, qui centralise la communication. Pour un serveur domestique utilisant CGNAT, c’est un gain de temps considérable.

Lorsque vous enregistrez plusieurs appareils, un réseau privé (tailnet) est créé, associé à votre compte. Chaque appareil reçoit une adresse IP (par exemple, 100.xyz) et un nom MagicDNS, vous évitant ainsi de mémoriser des numéros. C'est cette adresse que vous saisirez ensuite dans l'application Jellyfin pour vous connecter depuis l'extérieur. Tailscale distribue les adresses du bloc 100.64.0.0/10 , le même que celui utilisé pour le CGNAT. Attention cependant : l'adresse IP de votre routeur est différente, et c'est celle-ci qu'il faut vérifier pour déterminer si vous utilisez le CGNAT.

L'offre Personnelle de Tailscale est gratuite pour un usage non commercial et permet jusqu'à six utilisateurs, vous inclus. Vous pouvez donc inviter cinq personnes supplémentaires. L'entreprise la présente comme gratuite à vie, et pour une utilisation familiale classique, elle est généralement parfaitement suffisante. Combiné à Jellyfin, logiciel libre et gratuit , vous disposez d'un écosystème multimédia sans abonnement, contrairement à Plex Pass qui facture la diffusion à distance.

Tailscale est également l'option recommandée lorsque l'opérateur impose le CGNAT ou lorsque le FAI bloque certaines connexions entrantes. Au lieu de passer par le routeur, le serveur et les clients se connectent au réseau privé. Le CGNAT devient alors inutile, car personne ne peut accéder à votre réseau domestique depuis l'extérieur.

Cependant, le coût caché n'est pas financier, mais plutôt lié à la praticité. Chaque appareil souhaitant accéder au contenu doit avoir Tailscale installé et autorisé , et le serveur doit être allumé et connecté au réseau Tailnet pour que le contenu soit disponible. Si votre mère utilise une télévision Samsung, votre belle-mère une Google TV et votre frère distribue de vieilles tablettes Android, vous devrez installer et configurer Tailscale sur chaque appareil ou trouver un pont. Pour une personne peu à l'aise avec la technologie, cela représente déjà un obstacle.

Le partage avec d'autres personnes a aussi ses limites. Tailscale autorise le partage de machine avec tous ses forfaits, mais l'invité doit posséder son propre compte et, de plus, être propriétaire, administrateur ou responsable informatique de son propre réseau Tailscale pour accepter l'invitation. Il ne s'agit pas simplement d'envoyer un lien et de laisser l'autre personne se connecter sans rien faire. Pour votre belle-mère, cela pourrait impliquer une installation, une inscription et le visionnage de quelques écrans avant de pouvoir regarder le premier film.

Enfin, Tailscale n'établit pas toujours une connexion directe entre les deux points de terminaison. En cas de NAT strict, de pare-feu ou d'autres limitations, le trafic est acheminé via les relais DERP de Tailscale. Cela peut engendrer une latence , perceptible notamment en vidéo : un jour fluide, le lendemain saccade, même sans modification des paramètres. La politique d'utilisation acceptable de Tailscale ne mentionne pas spécifiquement la bande passante, la vidéo ou le volume de trafic, mais cela ne change rien au fait que les relais constituent une solution de dernier recours et ne garantissent pas un streaming parfait.

Avant toute chose : vérifiez si vous avez CGNAT

CGNAT signifie que votre fournisseur d'accès à Internet partage la même adresse IP publique entre plusieurs clients. Vous n'avez pas votre propre adresse sur Internet et, quel que soit le nombre de ports ouverts sur votre routeur, personne en dehors de votre réseau ne peut accéder à votre domicile. Il s'agit d'une adresse IP publique partagée ; par conséquent, la redirection de ports classique est inefficace, quelle que soit sa configuration.

La vérification est rapide. Accédez au panneau de configuration de votre routeur et repérez son adresse IP publique (WAN ou externe). Ensuite, depuis un appareil connecté au même réseau, recherchez « Quelle est mon adresse IP ? » sur Google et comparez les deux adresses. Si elles ne correspondent pas, un routeur intermédiaire est présent. Si l'adresse IP publique (WAN) est comprise entre 100.64.0.0 et 100.127.255.255 , le problème est clair : vous êtes derrière un CGNAT. Un deuxième routeur sur le même réseau peut également provoquer le même problème ; n'écartez donc pas cette possibilité.

Si vous utilisez CGNAT, avant d'essayer toute solution de contournement, il est conseillé de contacter votre fournisseur d'accès Internet et de lui demander s'il peut vous attribuer une adresse IPv4 publique. Cela dépend de votre contrat et de votre localisation, et il peut y avoir des frais, mais c'est le seul moyen de rétablir la redirection de ports classique. L'option IPv6 native est également possible : si votre serveur possède une adresse IPv6 routable globalement et que le réseau depuis lequel vous vous connectez utilise également IPv6, vous pourrez peut-être vous connecter de cette manière. CGNAT étant un problème lié à IPv4 , ne l'écartez pas sans avoir vérifié cette possibilité.

Attention aux raccourcis : un DNS dynamique ne résout pas le problème du CGNAT. Un nom pointant vers une adresse IP partagée ne permettra toujours pas d'accéder à votre domicile. Un DNS dynamique ne corrige pas une adresse IP partagée ; il met uniquement à jour le nom lorsque votre adresse IP publique change. Vous devez donc d'abord disposer d'une adresse IP publique valide avant de vous préoccuper du nom.

Chevaucher un Tailscale avec Jellyfin sans tracas

La procédure de base est plus rapide que de choisir un programme à regarder le vendredi soir. Commencez par installer Jellyfin sur l'ordinateur qui servira de serveur. Sous Windows, il est préférable de le configurer comme service afin qu'il démarre automatiquement avant même que vous ne vous connectiez. Ensuite, rendez-vous sur http://localhost:8096 , ajoutez les dossiers de votre disque dur et configurez la bibliothèque, les sous-titres et la synchronisation de la progression de lecture.

Une fois le serveur lancé, installez Tailscale sur le même ordinateur et sur les appareils mobiles depuis lesquels vous souhaitez y accéder. Lors de la configuration initiale, créez un compte et autorisez les appareils ; cela génère le réseau Tailnet. Utilisez le même compte sur tous les appareils afin qu'ils puissent communiquer entre eux. Si vous installez Tailscale sur le serveur mais pas sur l'appareil mobile, ce dernier ne fera pas partie du réseau privé et ne pourra pas y accéder.

Pour trouver l'adresse du serveur dans Tailscale, vous pouvez utiliser la commande `tailscale ip -4` sur la machine serveur ou consulter l'application. Elle renverra une adresse du type 100.121.112.23. Dans l'application cliente Jellyfin, ajoutez manuellement le serveur en utilisant cette adresse et le port correspondant, par exemple : 100.xyz:8096 . La détection automatique de Jellyfin ne fonctionne que sur le réseau local ; depuis l'extérieur de ce réseau, vous devrez donc saisir l'adresse manuellement.

Tailscale est disponible pour Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV et Amazon Fire. La liste comprend de nombreux appareils , mais pas tous. Les téléviseurs Samsung Tizen et LG webOS ne sont pas compatibles avec Tailscale, bien qu'ils disposent de l'application officielle Jellyfin. C'est là que réside le problème : le téléviseur peut exécuter Jellyfin, mais il reste en dehors de votre réseau privé tant qu'aucun appareil ne le connecte.

N'oubliez pas que le serveur doit rester allumé et connecté au réseau Tailnet. Un serveur fonctionnant en permanence est essentiel : si l'ordinateur s'éteint ou si la connexion est interrompue, les membres de votre famille n'auront plus accès à la bibliothèque. De plus, l'utilisation de Tailscale à des fins commerciales est interdite avec la version gratuite. Par conséquent, si ce service est destiné à la moitié de votre famille, assurez-vous qu'il corresponde à vos besoins.

Le vrai problème : les téléviseurs et les membres de la famille impatients.

Sur un téléviseur Samsung Tizen ou LG webOS, Jellyfin dispose d'une application officielle sur le store, mais Tailscale n'est pas disponible. Le téléviseur peut ouvrir Jellyfin, mais comme il n'est pas connecté au réseau domestique, il ne peut pas accéder au serveur. Le téléviseur reste hors du réseau domestique et aucune option dans l'application ne permet de résoudre ce problème.

La solution technique consiste à configurer un routeur de sous-réseau : un appareil sur lequel Tailscale est installé et qui sert de pont entre le réseau privé et les appareils ne pouvant pas installer l'application. Cela fonctionne, mais la configuration n'est plus aussi simple qu'avant : il faut installer un autre appareil, le laisser allumé et expliquer son fonctionnement à tous ceux qui en ont besoin. Il sert certes de pont , mais ce n'est ni transparent ni rapide.

Avec Google TV, Chromecast et les anciennes tablettes Android, chaque cas est différent. Si l'appareil permet l'installation de Tailscale depuis sa boutique d'applications, vous pouvez tenter le coup ; sinon, le problème reste le même. Chaque appareil à connecter nécessite sa propre installation ou un pont réseau. Dans un foyer équipé de plusieurs anciennes tablettes, cela peut vite devenir fastidieux.

Partager son espace de stockage en ligne avec un proche ne se résume pas à appuyer sur un bouton. L'invité doit posséder son propre compte et, de plus, être propriétaire ou administrateur de son propre espace de stockage pour accepter l'invitation. Avoir un compte et être administrateur est une contrainte trop importante pour quelqu'un qui souhaite simplement regarder une série. Pour votre mère ou votre belle-mère, la situation est bien différente de celle de Plex où la bibliothèque est déjà configurée.

C'est pourquoi, même si Tailscale est l'option la plus simple pour vous, elle ne l'est pas forcément pour votre famille. En termes de transparence pour l'utilisateur final, elle n'est pas comparable à Plex . Si tous les appareils vous appartenaient et que vous pouviez les configurer à l'avance, ce serait idéal. Mais avec des téléviseurs d'autres marques et des membres de la famille peu à l'aise avec la technologie, la situation se complique.

Des solutions alternatives pour que votre famille n'ait rien à installer.

Si votre objectif est que vos invités puissent regarder Jellyfin à la télévision sans installer Tailscale, la solution la plus transparente consiste à utiliser un VPS avec un VPN connecté à votre domicile et un proxy inverse. Vous louez un petit serveur sur Internet, doté d'une adresse IP publique statique, vous configurez un VPN entre le VPS et votre domicile, et vous utilisez un proxy inverse pour recevoir les visites. L'invité voit simplement un domaine classique avec un cadenas HTTPS, sans avoir à installer quoi que ce soit ni à s'inscrire. Cependant, cette configuration est la plus complexe et la seule qui implique des frais récurrents.

L'élément clé est que l'appel provient de votre réseau domestique, et non du VPS. Votre serveur domestique ouvre la connexion vers le VPS, évitant ainsi toute interférence du CGNAT. Ensuite, le proxy inverse du VPS reçoit les visites des membres de votre famille et les achemine via le tunnel vers Jellyfin. L'appel provient de votre réseau domestique et l'invité ne voit qu'un domaine doté d'un certificat. Toutefois, le VPS n'augmente pas votre bande passante : la vidéo provient toujours de votre réseau domestique et utilise votre vitesse d'envoi.

Le facteur limitant est votre vitesse de chargement , et non la taille de votre bibliothèque. Même si vous avez 30 To de films, cela n'a aucune importance : seul le contenu en cours de lecture transite par le tunnel. Si votre connexion a une vitesse de chargement inférieure à 100 Mbits/s, il est conseillé de limiter le débit de Jellyfin à 70 % de cette vitesse afin d'éviter les interruptions. Cette limite est configurable dans le panneau de contrôle et affecte les appareils situés en dehors de votre réseau local.

WireGuard est une alternative si vous n'utilisez pas CGNAT. Ce service est gratuit, rapide et expose un port UDP à la place du panneau Jellyfin ; ainsi, toute personne ne possédant pas la clé ne recevra aucune réponse. WireGuard fonctionne parfaitement sans CGNAT , mais avec CGNAT, votre serveur domestique ne dispose pas d'une adresse IP stable. Le point d'écoute doit donc être distant : vous utilisez alors un VPS. Il est indispensable qu'un serveur écoute en dehors de votre réseau domestique ; c'est inévitable.

Cloudflare Tunnel évite l'ouverture de ports et ne nécessite pas d'adresse IP publique. Vous installez Cloudflare sur le serveur, une connexion sortante est établie, et vos invités y accèdent via leur navigateur sans rien installer. Le problème réside dans les conditions générales : celles de Cloudflare stipulent que, sauf pour les clients Entreprise, l'utilisation de services payants est obligatoire pour la diffusion de vidéos et de fichiers volumineux via leur CDN. Cloudflare se réserve le droit de désactiver ou de limiter l'accès en cas de suspicion d'utilisation du CDN sans ces services. L'ancienne section 2.8, qui circulait sur les forums, a été abrogée en mai 2023, et le terme « Tunnel » n'y figure pas. Il n'existe donc ni interdiction explicite ni autorisation claire. La situation reste floue.

Si vous possédez une adresse IP publique et souhaitez simplement un nom plutôt qu'une suite de chiffres, un service DNS dynamique gratuit fera l'affaire. DuckDNS se présente comme gratuit et hébergé sur AWS, sans carte bancaire requise. No-IP propose également une offre gratuite avec un nom d'hôte, sans carte bancaire non requise. DuckDNS et No-IP sont les options les plus connues, mais DynDNS ne propose plus d'offre gratuite : vous aurez uniquement la possibilité d'acheter le service ou de profiter d'un essai gratuit de sept jours. N'oubliez pas qu'un service DNS dynamique ne corrige pas le CGNAT et ne remplace pas la redirection de ports.

Ouvrir le port 8096 à Internet est une très mauvaise idée. Jellyfin est catégorique : ouvrir un port directement sur Internet est dangereux et fortement déconseillé. En HTTP, les mots de passe ne sont pas chiffrés. La meilleure solution consiste à utiliser un proxy inverse pour terminer le trafic HTTPS et à éviter les certificats auto-signés, car ils engendrent des problèmes de compatibilité et de sécurité. La terminaison HTTPS via un proxy inverse est la méthode la plus judicieuse ; il suffit d'activer quelques options dans Jellyfin et de croiser les doigts.

Sécurité et paramètres à ajuster dans Jellyfin

Le port 8096 est dédié au protocole HTTP, le port 8920 est prévu pour HTTPS mais n'est pas utilisé par défaut, et le port 7359 sert à la découverte locale. Le port 8096 ne devrait pas être ouvert publiquement . Si vous souhaitez exposer un service, configurez un proxy inverse HTTPS pour recevoir les requêtes et rediriger le trafic vers Jellyfin.

Il existe deux options distinctes pour l'accès à distance : l'une au niveau du serveur, dans les paramètres de réseau et d'accès à distance, et l'autre par utilisateur, dans le profil de chaque personne, avec l'option « Autoriser les connexions à distance à ce serveur ». Ces deux options distinctes vous permettent d'exclure les comptes utilisés uniquement à domicile et d'autoriser uniquement ceux qui ont réellement besoin d'un accès à distance.

La limite de débit se configure dans Panneau de configuration > Lecture > Streaming, sous Limite de débit de streaming Internet. Il s'agit d'une limite par flux pour tous les appareils hors de votre réseau. Si votre débit montant est inférieur à 100 Mbit/s, Jellyfin recommande de la fixer à 70 % de ce débit. Deux flux doublent cette limite ; il ne s'agit donc pas d'une limite globale, mais d'une limite par flux. Vous pouvez modifier cette valeur globale dans le profil de chaque utilisateur.

La connexion rapide vous permet de vous connecter avec un code temporaire à six caractères au lieu d'un nom d'utilisateur et d'un mot de passe. Activée par défaut, elle peut s'avérer pratique, mais le code seul n'est pas valide : il doit être authentifié par un appareil sur lequel vous êtes déjà connecté. Il ne s'agit pas d'une solution miracle. Si vous ne souhaitez pas l'utiliser, vous pouvez la désactiver dans Réglages > Panneau de configuration > Général en décochant « Activer la connexion rapide sur ce serveur ».

Pour les grandes bibliothèques, ne vous focalisez pas sur la taille du disque. Seul le fichier en cours de lecture transite par le tunnel ; ce qui compte, c'est donc le débit binaire de ce fichier et votre vitesse de chargement. La taille de la bibliothèque n'a aucune incidence sur la bande passante ; seul le débit binaire du film ou de la série que vous regardez importe.

Que choisir en fonction de votre cas

Si vous êtes seul et que vos appareils sont un téléphone portable, un ordinateur portable ou une tablette, Tailscale est la solution la plus simple : une après-midi, zéro euro, et le CGNAT disparaît pour vous. Tailscale est avantageux pour vos propres appareils car vous pouvez l'installer et l'autoriser vous-même. C'est la solution la plus simple lorsqu'aucun téléviseur tiers n'est impliqué.

Si vous souhaitez partager un serveur avec des proches qui regardent la télévision sans rien installer, seul un VPS avec VPN et proxy inverse leur offre une expérience similaire à Plex : ils créent un compte, saisissent leur mot de passe et accèdent au contenu. Ce VPS, le seul qui ne nécessite aucune installation, est aussi le plus coûteux en temps et le seul avec un abonnement mensuel. Pour votre mère, votre belle-mère et vos enfants équipés de vieilles tablettes, cette transparence est essentielle.

Si vous possédez une adresse IP publique et souhaitez uniquement un nom de domaine plutôt qu'une adresse IP variable, utilisez DuckDNS ou No-IP. Le DNS dynamique est la solution pour le nom de domaine, mais pas pour la CGNAT ni la sécurité. Vérifiez d'abord que votre adresse IP publique vous appartient, puis occupez-vous du nom de domaine.

Cloudflare Tunnel peut s'avérer utile si vous comprenez ses conditions d'utilisation et que la dépendance à un tiers ne vous pose pas de problème. Attention, ce service n'est pas gratuit et sans conditions : des restrictions s'appliquent à la vidéo et Cloudflare peut limiter l'accès au service. Si vous décidez de l'essayer, faites-le en toute connaissance de cause, sachant qu'aucune explication officielle concernant le trafic Tunnel n'est fournie dans leurs conditions d'utilisation.

Il est absolument déconseillé d'ouvrir le port 8096 à Internet et de s'en remettre à la chance. Ouvrir ce port est la pire option : non sécurisé, exposé et avec des mots de passe susceptibles d'être transmis sans chiffrement. Si vous ne souhaitez rien configurer, utilisez Tailscale pour vos appareils ; si vous voulez une protection optimale pour votre famille, utilisez un VPS avec VPN et proxy inverse ; si vous avez simplement besoin d'un nom de domaine, utilisez un DNS dynamique ; et si Cloudflare Tunnel vous tente, lisez attentivement les conditions générales d'utilisation.

La décision finale dépend des utilisateurs de Jellyfin et du temps que vous êtes prêt à y consacrer. Tailscale est l'option la plus simple pour vous, mais pas la plus transparente pour votre famille. Si tous les appareils vous appartenaient, Tailscale serait presque idéal. Avec des téléviseurs Samsung, LG ou Google et des membres de la famille qui préfèrent éviter les complications, un VPS avec VPN et proxy inverse est ce qui se rapproche le plus de l'expérience Plex : ils n'ont rien à installer, vous gérez la configuration et la facturation. Et si vous voulez simplement tester gratuitement, Tailscale peut vous dépanner dès aujourd'hui, à condition de pouvoir configurer chaque appareil et d'accepter que le serveur soit toujours allumé.