Jellyfin daleko od kuće s Tailscaleom: Realističan vodič za cijelu obitelj

Informatec Digital » umrežavanje » Jellyfin daleko od kuće s Tailscaleom: Realističan vodič za cijelu obitelj

Jellyfin kod kuće radi savršeno: instalirate poslužitelj, dodate mape i za nekoliko minuta vaša je biblioteka dostupna u dnevnoj sobi. Problemi počinju kada želite gledati nešto na telefonu, iPadu ili televizoru koji pripada rođaku koji je kilometrima daleko. Tu na scenu stupaju usmjerivač, portovi, domene i cijeli niz drugih odluka, koje, za one koji ne žele komplicirati stvari, mogu pretvoriti mirno poslijepodne u glavobolju. Udaljeni pristup je sasvim druga priča , a ako želite da ga koriste ljudi s ograničenim tehnološkim strpljenjem, stvari postaju još kompliciranije.

Dobra vijest je da postoje rješenja koja izbjegavaju otvaranje portova, pa čak i rade kada vas vaš davatelj internetskih usluga ima iza CGNAT-a. Tailscale je najpopularniji način da se snađete bez dodirivanja rutera, ali nije magija: zahtijeva instaliranje nečega na svaki uređaj i ima jasna ograničenja kada su u pitanju Samsung ili LG televizori ili stariji uređaji. Ne postoji čarobno rješenje koje će Jellyfin pretvoriti u Plex za cijelu obitelj bez ikakvog postavljanja, ali postoje jasniji putevi od drugih. Pažljivo ćemo proći kroz sve detalje, uključujući ono o čemu nitko obično ne govori u vezi s Tailscaleom, Cloudflare tunelom, VPS-ovima i sigurnosnim postavkama Jellyfina.

Zašto se Jellyfin zaglavi kada izlazi iz kuće?

Na lokalnoj mreži sve je vrlo jednostavno: poslužitelj ima privatnu adresu, nešto poput 192.168.1.50, i bilo koji uređaj spojen na istu Wi-Fi mrežu može mu pristupiti bez problema. Situacija se mijenja kada zahtjev dolazi s interneta, jer vaš usmjerivač ne zna na koji uređaj proslijediti taj promet. Kako bi se to riješilo, obično se koriste tri klasična rješenja: prosljeđivanje portova, postavljanje obrnutog proxyja ili korištenje tunela poput Cloudflarea. Sva tri su složena i nijedno nije dizajnirano da vaša svekrva konfigurira s druge strane svijeta.

Prosljeđivanje portova uključuje obavještavanje usmjerivača da sav promet koji dolazi na određeni port treba usmjeriti na računalo na kojem je pokrenut Jellyfin. Zvuči jednostavno, ali zahtijeva pristup upravljačkoj ploči usmjerivača, stvaranje pravila, dodjeljivanje lokalne IP adrese poslužitelja i nadu da se javna IP adresa neće često mijenjati. Nadalje, otvaranje portova na usmjerivaču stvara ranjivost vidljivu s interneta i, ako nije pravilno osigurana, može postati značajna sigurnosna rupa.

Obrnuti proxy je elegantniji, ali i tehnički zahtjevniji. Koristi se za primanje posjeta, šifriranje veze putem HTTPS-a i njihovo prosljeđivanje Jellyfin poslužitelju unutra. Obično zahtijeva kupnju ili upravljanje domenom, konfiguriranje certifikata i razumijevanje što se događa u svakom koraku. Nije nemoguće , ali to nije ono što biste preporučili nekome tko samo želi gledati film na svom iPadu bez pozivanja računalnog stručnjaka.

Cloudflare Tunnel je još jedna opcija: instalirate program na poslužitelj, on otvara odlaznu vezu, a vaši gosti mogu pristupiti koristeći normalno ime bez potrebe za otvaranjem portova ili javnom IP adresom. Problem je što Cloudflareov sitni tisak nije toliko jednostavan za korištenje koliko se čini kada je u pitanju posluživanje videa, a također ovisite o posredniku koji može promijeniti pravila ili ograničiti vašu uslugu.

Zajednički nazivnik svih ovih opcija je da, na ovaj ili onaj način, izlažu vašu kućnu mrežu internetu , objavljuju domenu ili ovise o trećem davatelju usluga. To objašnjava zašto mnogi ljudi zanemaruju Jellyfinovu značajku udaljenog pristupa prije nego što postanu previše komplicirani. Jellyfinova vlastita preporuka je jasna: otvaranje izravnog porta za internet nije preporučljivo jer lozinke mogu putovati nešifrirane ako koristite obični HTTP. Port 8096 je za HTTP , 8920 je namijenjen za HTTPS, ali se ne koristi prema zadanim postavkama, a 7359 je za lokalno otkrivanje, tako da ni oni ne bi trebali biti izloženi.

Što Tailscale nudi i gdje je kvaka?

Tailscale gradi privatnu mrežu temeljenu na WireGuardu. Ideja je da instalirate aplikaciju na više uređaja, autorizirate ih istim računom i svi se ponašaju kao da su spojeni na isti ruter, čak i ako se nalaze u različitim zemljama. Nema potrebe za otvaranjem portova ili javnom IP adresom , jer svaki uređaj inicira svoju vezu s Tailscale mrežom i svi su u sredini. Za kućni poslužitelj koji koristi CGNAT, ovo je veliko olakšanje.

Kada registrirate više uređaja, stvara se tailnet, privatna mreža povezana s vašim računom. Svaki uređaj dobiva adresu poput 100.xyz i MagicDNS naziv tako da ne morate pamtiti brojeve. To je adresa koju zatim unosite u aplikaciju Jellyfin za povezivanje izvana. Tailscale distribuira adrese iz bloka 100.64.0.0/10 , istog onog koji se koristi za CGNAT, ali nemojte se zbuniti: internetska adresa vašeg usmjerivača je nešto sasvim drugo i to je ono što trebate provjeriti kada provjeravate imate li CGNAT.

Tailscaleov Personal plan je besplatan za nekomercijalnu upotrebu i omogućuje do šest korisnika, uključujući i vas, tako da možete pozvati još pet osoba. Tvrtka ga opisuje kao zauvijek besplatan na tom planu, a za normalnu obiteljsku upotrebu obično je sasvim dovoljan. U kombinaciji s Jellyfinom, koji je besplatan i otvorenog koda , imate multimedijski ekosustav bez plaćanja pretplate, za razliku od Plex Passa, koji naplaćuje udaljeno strujanje.

Tailscale je također preporučena opcija kada operater provodi CGNAT ili kada ISP blokira određene dolazne veze. Umjesto da se bave usmjerivačem, poslužitelj i klijenti se spajaju na privatnu mrežu i tamo se sastaju. CGNAT postaje nebitan za tu vezu jer vam nitko ne treba izvana pozivati ​​vašu kućnu mrežu.

Međutim, skriveni trošak nije novac, već praktičnost. Svaki uređaj koji želi pristupiti sadržaju mora imati instaliran i autoriziran Tailscale , a poslužitelj mora biti uključen i spojen na Tailnet da bi sadržaj bio dostupan. Ako vaša majka koristi Samsung TV, vaša svekrva ima Google TV, a vaš brat dijeli stare Android tablete, morat ćete instalirati i konfigurirati Tailscale na svakom uređaju ili pronaći most. Za nekoga tko nije tehnološki potkovan, to je već prepreka.

Dijeljenje s drugima također dolazi s jednom kvakom. Tailscale omogućuje dijeljenje računala na svim planovima, ali gost treba vlastiti račun i, nadalje, mora biti vlasnik, administrator ili IT menadžer vlastite tailnet mreže da bi prihvatio poziv. Nije tako jednostavno kao poslati poveznicu i dopustiti drugoj osobi da se prijavi bez ikakve radnje. Za vašu svekrvu to bi moglo značiti instalaciju, registraciju i nekoliko ekrana prije gledanja prvog filma.

Konačno, Tailscale ne uspostavlja uvijek izravnu vezu između dvije krajnje točke. Kada postoji hard NAT, vatrozid ili druga ograničenja, promet se usmjerava kroz Tailscaleove DERP releje. To može dodati latenciju , a primjetno je kod videa: jedan dan je glatko, a sljedeći zastajkuje čak i ako niste promijenili nikakve postavke. Tailscaleova politika prihvatljive upotrebe ne uključuje posebnu klauzulu u vezi s propusnošću, videom ili količinom prometa, ali to ne mijenja činjenicu da su releji krajnje rješenje, a ne jamstvo savršenog streaminga.

Prije nego što išta dodirnete: provjerite imate li CGNAT

CGNAT znači da vaš davatelj internetskih usluga dijeli istu javnu IP adresu između nekoliko korisnika. Nemate vlastitu adresu na internetu i bez obzira na to koliko portova otvorite na svom usmjerivaču, nitko izvan vaše mreže ne može pristupiti vašem domu. To je dijeljena javna IP adresa , tako da tradicionalno prosljeđivanje portova neće raditi, bez obzira na to koliko ga konfigurirate.

Provjera je brza. Pristupite upravljačkoj ploči usmjerivača i pronađite njegovu internetsku IP adresu, WAN IP adresu ili vanjsku IP adresu. Zatim, s uređaja spojenog na istu mrežu, pretražite "Koja je moja IP adresa?" na Googleu i usporedite dva broja. Ako se ne podudaraju, postoji posrednik. Ako je WAN IP adresa između 100.64.0.0 i 100.127.255.255 , problem je jasan: nalazite se iza CGNAT-a. Drugi usmjerivač u istom lancu također može proizvesti isti simptom, stoga nemojte to isključivati.

Ako imate CGNAT, prije nego što pokušate bilo kakva zaobilazna rješenja, vrijedi nazvati svog davatelja usluga i pitati mogu li vam dati javnu IPv4 adresu. Ovisi o vašem ugovoru i lokaciji, a možda će postojati i trošak, ali to je jedini način za vraćanje tradicionalnog prosljeđivanja portova. Postoji i opcija izvornog IPv6: ako vaš poslužitelj ima globalno usmjerljivu IPv6 adresu i mreža s koje pristupate također koristi IPv6, možda ćete se moći povezati na taj način. CGNAT je problem s IPv4 , stoga ga nemojte isključivati ​​prije provjere.

I pazite na prečace: dinamički DNS ne popravlja CGNAT. Naziv koji upućuje na dijeljenu IP adresu i dalje neće voditi do vašeg doma. Dinamički DNS ne popravlja dijeljenu IP adresu ; ažurira naziv samo kada se vaša javna IP adresa promijeni, tako da prvo morate imati stvarnu javnu IP adresu, a zatim se brinuti o nazivu.

Vožnja Tailscalea s Jellyfinom bez muke

Osnovni postupak je kraći od odabira sadržaja za gledanje petkom navečer. Prvo instalirate Jellyfin na računalo koje će služiti kao poslužitelj. Ako je riječ o Windowsima, najbolje ga je označiti kao uslugu kako bi se automatski pokrenuo prije prijave. Zatim idite na http://localhost:8096 , dodajte mape s tvrdog diska i konfigurirajte biblioteku, titlove i sinkronizaciju napretka reprodukcije.

Dok je poslužitelj pokrenut, instalirajte Tailscale na isto računalo i na uređaje s kojih mu želite pristupiti. Tijekom početnog postavljanja kreirajte račun i autorizirajte uređaje, što generira Tailnet. Koristite isti račun na svim uređajima kako bi se mogli međusobno vidjeti. Ako instalirate Tailscale na poslužitelj, ali ne i na mobilni uređaj, mobilni uređaj neće biti dio privatne mreže i neće joj moći pristupiti.

Da biste pronašli adresu poslužitelja unutar Tailscalea, možete upotrijebiti naredbu `tailscale ip -4` na poslužiteljskom računalu ili provjeriti aplikaciju. Vratit će nešto poput 100.121.112.23. U klijentskoj aplikaciji Jellyfin ručno dodajte poslužitelj koristeći tu adresu i odgovarajući port, na primjer, 100.xyz:8096 . Jellyfinovo automatsko otkrivanje radi samo na lokalnoj mreži, tako da ćete izvan lokalne mreže morati ručno unijeti adresu.

Tailscale je dostupan za Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV i Amazon Fire. Popis pokriva mnoge uređaje , ali ne sve. Samsung Tizen i LG webOS televizori nemaju Tailscale, iako imaju službenu aplikaciju Jellyfin. Ovdje leži problem: televizor može pokrenuti Jellyfin, ali ostaje izvan vaše privatne mreže osim ako ga nešto ne poveže s njom.

Imajte na umu da poslužitelj mora ostati uključen i spojen na Tailnet. Neophodan je stalno pokrenut poslužitelj : ako se računalo ugasi ili izgubi vezu, članovi vaše obitelji neće imati pristup knjižnici. Također ne možete koristiti Tailscale u komercijalne svrhe s besplatnim planom, pa ako će ovo biti usluga za polovicu vaše obitelji, provjerite ispunjava li vaše osobne zahtjeve.

Pravi problem: televizori i nestrpljivi članovi obitelji.

Na Samsung Tizen ili LG webOS TV-u, Jellyfin ima službenu aplikaciju u trgovini, ali Tailscale nije dostupan. TV može otvoriti Jellyfin, ali nije na kućnoj mreži, pa ne dopire do kućnog poslužitelja. TV ostaje izvan kućne mreže i ne postoji čarobna postavka unutar aplikacije koja bi to popravila.

Tehničko rješenje uključuje postavljanje podmrežnog usmjerivača: uređaja na kojem je instaliran Tailscale i koji djeluje kao most između privatne mreže i onih uređaja koji ne mogu instalirati aplikaciju. Radi, ali više nije jednostavno popodne konfiguriranja: uključuje postavljanje drugog uređaja, ostavljanje uključenog i objašnjavanje njegovog unutarnjeg rada svima kojima je potreban. Djeluje kao most , da, ali nije ni transparentan ni dugotrajan.

S Google TV-om, Chromecastom i starijim Android tabletima morate pojedinačno proučiti svaki slučaj. Ako uređaj dopušta instalaciju Tailscalea iz trgovine, možete ga isprobati; ako ne, vraćamo se na isti problem. Svaki uređaj koji se želi spojiti treba vlastitu instalaciju ili most koji je pokriva. U kući s nekoliko starijih tableta to može biti prilično gnjavaža.

Dijeljenje vaše tailneta s članom obitelji nije jednostavno kao pritisak gumba. Gost treba vlastiti račun i, štoviše, mora biti vlasnik ili administrator vlastite tailneta da bi prihvatio poziv. Imati vlastiti račun i biti administrator previše je tražiti od nekoga tko samo želi gledati emisiju. Za vašu majku ili svekrvu to se ne može usporediti s otvaranjem Plexa i pronalaženjem već postavljene biblioteke.

Zato, čak i ako je Tailscale najjednostavnija opcija za vas, nije najjednostavnija za vašu obitelj. Ne može se usporediti s Plexom u smislu transparentnosti za krajnjeg korisnika. Kad bi svi uređaji bili vaši i kad biste ih mogli unaprijed postaviti, bilo bi divno. Ali kada postoje televizori trećih strana i članovi obitelji koji nisu baš tehnološki potkovani, situacija se mijenja.

Alternative kako vaša obitelj ne bi morala ništa instalirati

Ako vam je cilj da vaši gosti uključe TV i gledaju Jellyfin bez instaliranja Tailscalea, najtransparentnija opcija je VPS s VPN-om do vašeg doma i obrnutim proxyjem. Iznajmljujete mali server na internetu koji ima statičku javnu IP adresu, postavljate VPN između VPS-a i vašeg doma i koristite obrnuti proxy za primanje posjeta. Gost vidi samo normalnu domenu s HTTPS lokotom, bez instaliranja ičega ili registracije bilo gdje. Međutim, ovo je najzahtjevnije postavljanje i jedino s ponavljajućim računom.

Ključno je da poziv potječe iz vaše kućne mreže, a ne iz VPS-a. Vaš kućni poslužitelj otvara vezu s VPS-om, tako da CGNAT ne ometa. Zatim, obrnuti proxy VPS-a prima posjete članova vaše obitelji i šalje ih kroz tunel do Jellyfina. Poziv potječe iz vaše kućne mreže , a gost vidi samo domenu s certifikatom. Međutim, VPS ne povećava vašu propusnost: video i dalje potječe iz vaše kućne mreže i koristi vašu brzinu prijenosa.

Usko grlo je brzina prijenosa , a ne veličina vaše biblioteke. Nije važno imate li 30 TB filmova: kroz tunel prolazi samo ono što se reproducira. Ako vaša veza ima brzinu prijenosa manju od 100 Mbps, preporučljivo je ograničiti Jellyfinovu brzinu prijenosa na 70% te brzine kako biste izbjegli prekide. Ovo ograničenje konfigurira se na upravljačkoj ploči i utječe na uređaje izvan vaše lokalne mreže.

WireGuard je još jedna opcija ako nemate CGNAT. Besplatan je, brz i otkriva UDP port umjesto Jellyfin panela, tako da svatko bez ključa neće ni dobiti odgovor. Radi savršeno bez CGNAT-a , ali s CGNAT-om vaš kućni poslužitelj nema stabilnu adresu za pozivanje, pa krajnja točka slušanja mora biti izvan lokacije: vraćate se na VPS. Netko mora slušati izvan vaše kućne mreže; nema načina da se to zaobiđe.

Cloudflare Tunnel izbjegava otvaranje portova i ne zahtijeva javnu IP adresu. Instalirate Cloudflare na poslužitelj, uspostavlja se odlazna veza i vaši gosti mu pristupaju putem svojih preglednika bez instaliranja ičega. Problem leži u sitnom tisku: Cloudflareovi specifični uvjeti navode da, osim ako niste Enterprise korisnik, morate koristiti plaćene usluge za posluživanje videa i velikih datoteka putem njihovog CDN-a. Cloudflare zadržava pravo onemogućiti ili ograničiti pristup ako posumnja da koristite CDN bez tih usluga. Stari odjeljak 2.8 koji je kružio forumima ukinut je u svibnju 2023., a riječ "Tunnel" se ne pojavljuje u tom dokumentu, tako da nema ni izričite zabrane ni jasnog ovlaštenja. To je siva zona.

Ako imate javnu IP adresu i želite samo ime umjesto niza brojeva, besplatna dinamička DNS usluga će poslužiti. DuckDNS se oglašava kao besplatan i hostan na AWS-u, bez potrebe za kreditnom karticom. No-IP održava besplatni plan s nazivom hosta i bez potrebe za kreditnom karticom. DuckDNS i No-IP su najpoznatije opcije, ali DynDNS više ne nudi besplatni plan: vidjet ćete samo opciju kupnje usluge ili sedmodnevnog probnog razdoblja. I zapamtite da dinamička DNS usluga ne popravlja CGNAT niti zamjenjuje prosljeđivanje portova.

Otvaranje porta 8096 prema svijetu je najgora ideja ikad. Jellyfin to kaže izravno: otvaranje izravnog porta prema internetu je nesigurno i ne preporučuje se. Ako koristite HTTP, lozinke putuju nešifrirane. Najbolji pristup je korištenje obrnutog proxyja za prekid HTTPS-a i izbjegavanje samopotpisanih certifikata jer uzrokuju probleme s kompatibilnošću i sigurnošću. Prekid HTTPS-a u obrnutom proxyju je razuman način da se to učini; jednostavno omogućite nekoliko postavki u Jellyfinu i nadajte se najboljem.

Sigurnost i postavke koje vrijedi prilagoditi u Jellyfinu

Port 8096 je za HTTP, 8920 je namijenjen za HTTPS, ali se ne koristi prema zadanim postavkama, a 7359 je za lokalno otkrivanje. Port 8096 ne bi trebao biti otvoren za javnost kakav jest. Ako ćete nešto otkriti, neka obrnuti proxy s HTTPS-om prima posjete i usmjerava promet prema Jellyfinu.

Postoje dva odvojena prekidača za udaljeni pristup: jedan na razini poslužitelja, u postavkama Umrežavanje i udaljeni pristup, i drugi po korisniku, na profilu svake osobe, s opcijom "Dopusti udaljene veze s ovim poslužiteljem". Dva odvojena prekidača znače da možete isključiti račune koji se koriste samo kod kuće i dopustiti samo onima kojima je zaista potreban udaljeni pristup.

Ograničenje brzine konfigurira se u Upravljačkoj ploči > Reprodukcija > Streaming, pod Ograničenje brzine prijenosa internetskog streaminga. To je ograničenje po streamu za sve uređaje izvan vaše mreže. Ako je brzina prijenosa manja od 100 Mbps, Jellyfin preporučuje postavljanje na 70% brzine prijenosa. Dva streama udvostručuju ovo ograničenje , stoga ga nemojte smatrati ukupnim ograničenjem: to je po streamu. Globalnu vrijednost možete poništiti u profilu svakog korisnika.

Brzo povezivanje omogućuje vam prijavu privremenim šesteroznamenkastim kodom umjesto korisničkog imena i lozinke. Dolazi omogućen prema zadanim postavkama i može biti praktično, ali kod sam po sebi nije valjan: potrebno ga je autorizirati uređajem na kojem ste već prijavljeni. To nije čarobni ulaz. Ako ga ne želite, možete ga onemogućiti u Postavke > Upravljačka ploča > Općenito tako da poništite odabir "Omogući brzo povezivanje na ovom poslužitelju".

Za velike biblioteke, nemojte se opterećivati ​​veličinom diska. Samo datoteka koja se reproducira prolazi kroz tunel, pa je važna brzina prijenosa te datoteke i brzina prijenosa. Veličina biblioteke ne utječe na propusnost; važna je brzina prijenosa filma ili serije koju trenutno gledate.

Što odabrati prema vašem slučaju

Ako ste sami i vaši uređaji su mobitel, prijenosno računalo ili tablet, Tailscale je najjednostavnija opcija: jedno poslijepodne, nula eura i CGNAT za vas prestaje postojati. Tailscale koristi vašim vlastitim uređajima jer ga možete samostalno instalirati i autorizirati. To je najjednostavnije rješenje kada nema televizora trećih strana.

Ako ćete dijeliti s obitelji koja gleda TV i ne želi ništa instalirati, VPS s VPN-om i obrnutim proxyjem jedini je koji im pruža iskustvo slično Plexu: otvore domenu, unesu lozinku i gledaju sadržaj. Jedini koji ne instalira ništa ujedno je i najskuplji u smislu vremena i jedini s mjesečnim računom. Za vašu majku, vašu svekrvu i djecu sa starim tabletima, ta transparentnost je neprocjenjiva.

Ako imate javnu IP adresu i želite samo ime umjesto promjenjive IP adrese, koristite DuckDNS ili No-IP. Dinamički DNS je rješenje za ime, ali ne i za CGNAT ili sigurnost. Prvo provjerite je li vaša javna IP adresa vaša, a zatim se brinite o imenu.

Cloudflare Tunnel može biti koristan ako razumijete njegove uvjete i ne smeta vam oslanjanje na treću stranu. Nemojte pretpostavljati da je besplatan bez ikakvih uvjeta : postoje ograničenja za video, a Cloudflare može ograničiti uslugu. Ako ga isprobate, učinite to s punom sviješću, znajući da u njihovim uvjetima nema službenog objašnjenja u vezi s prometom u Tunnelu.

Ono što nikako ne biste trebali učiniti jest otvoriti port 8096 prema svijetu i osloniti se na sreću. Otvaranje porta 8096 prema svijetu je najgora opcija: nesigurno, izloženo i s lozinkama koje mogu putovati nešifrirane. Ako ne želite ništa postavljati, koristite Tailscale za svoje uređaje; ako želite transparentnost za svoju obitelj, koristite VPS s VPN-om i obrnutim proxyjem; ako vam je potrebno samo ime domene, koristite dinamički DNS; a ako vas Cloudflare Tunnel privlači, prvo pročitajte sitni tisak.

Konačna odluka ovisi o tome tko će koristiti Jellyfin i koliko vremena ste spremni uložiti. Tailscale je najjednostavnija opcija za vas, ali ne i najtransparentnija za vašu obitelj. Kad bi svi uređaji bili vaši, Tailscale bi bio gotovo savršen. S Samsung, LG ili Google televizorima i članovima obitelji koji ne žele nikakve probleme, VPS s VPN-om i obrnutim proxyjem najbliži je Plex iskustvu: oni ne instaliraju ništa, vi se brinete o poslu i računu. A ako samo želite isprobati bez trošenja ijedne lipe, Tailscale vas danas može izvući iz nevolje, pod uvjetom da možete konfigurirati svaki uređaj i prihvatiti da je poslužitelj uvijek uključen.