- Scaglia di coda Evita di aprire le porte e funziona con CGNAT, ma richiede l'installazione e l'autorizzazione dell'app su ogni dispositivo che desidera accedervi.
- Per le famiglie con televisori Samsung, LG o Google TV e competenze tecniche limitate, L'opzione più trasparente Solitamente si tratta di un VPS con VPN e reverse proxy: in questo modo, gli utenti vedono solo un dominio normale con HTTPS.
- Prima di scegliere, Verifica se disponi di CGNATSe l'indirizzo IP WAN del router non corrisponde a quello visualizzato su Internet, il port forwarding non funzionerà.
Jellyfin funziona a meraviglia a casa: si installa il server, si aggiungono le cartelle e in pochi minuti la libreria è disponibile in salotto. I problemi iniziano quando si vuole guardare qualcosa su un telefono, un iPad o una TV di un parente che si trova a chilometri di distanza. È qui che entrano in gioco il router, le porte, i domini e tutta una serie di altre decisioni che, per chi non vuole complicarsi la vita, possono trasformare un tranquillo pomeriggio in un vero incubo. L' accesso remoto è tutta un'altra storia e, se si vuole che anche persone con poca dimestichezza con la tecnologia possano utilizzarlo, le cose si complicano ulteriormente.
La buona notizia è che esistono soluzioni che evitano di aprire le porte e funzionano persino quando il tuo ISP ti protegge con CGNAT. Tailscale è il metodo più diffuso per evitare di toccare il router, ma non è una soluzione miracolosa: richiede l'installazione di un programma su ogni dispositivo e presenta evidenti limitazioni con televisori Samsung o LG, o dispositivi più datati. Non esiste una formula magica che trasformi Jellyfin in Plex per tutta la famiglia senza alcuna configurazione, ma ci sono percorsi più chiari di altri. Analizziamo attentamente tutti i dettagli, compresi gli aspetti di cui di solito non si parla, relativi a Tailscale, Cloudflare Tunnel, VPS e impostazioni di sicurezza di Jellyfin.
Perché Jellyfin si blocca quando esce di casa?
Su una rete locale, tutto è molto semplice: il server ha un indirizzo privato, qualcosa come 192.168.1.50, e qualsiasi dispositivo connesso alla stessa rete Wi-Fi può accedervi senza problemi. La situazione cambia quando la richiesta proviene da Internet, perché il router non sa a quale dispositivo inoltrare quel traffico. Per risolvere questo problema, si utilizzano solitamente tre soluzioni classiche: il port forwarding, la configurazione di un reverse proxy o l'utilizzo di un tunnel come Cloudflare. Tutte e tre sono complesse e nessuna è pensata per essere configurata da tua suocera dall'altra parte del mondo.
Il port forwarding consiste nel configurare il router in modo che tutto il traffico in arrivo su una porta specifica venga instradato al computer su cui è in esecuzione Jellyfin. Sembra semplice, ma richiede l'accesso al pannello di controllo del router, la creazione di una regola, l'assegnazione dell'indirizzo IP locale al server e la speranza che l'indirizzo IP pubblico non cambi frequentemente. Inoltre, l'apertura delle porte sul router crea una vulnerabilità visibile da Internet e, se non adeguatamente protetta, può trasformarsi in una grave falla di sicurezza.
Un reverse proxy è una soluzione più elegante, ma anche più complessa dal punto di vista tecnico. Viene utilizzato per ricevere le visite, crittografare la connessione con HTTPS e inoltrarle al server Jellyfin interno. Solitamente richiede l'acquisto o la gestione di un dominio, la configurazione dei certificati e la comprensione di ogni fase del processo. Non è impossibile , ma non è certo la soluzione ideale per chi desidera semplicemente guardare un film sul proprio iPad senza dover ricorrere a un esperto di informatica.
Un'altra opzione è Cloudflare Tunnel: si installa un programma sul server, che apre una connessione in uscita, e gli ospiti possono accedervi utilizzando un nome normale, senza bisogno di aprire porte o avere un indirizzo IP pubblico. Il problema è che le clausole contrattuali di Cloudflare non sono così intuitive come sembrano, soprattutto per quanto riguarda la distribuzione di video, e inoltre si dipende da un intermediario che può modificare le regole o limitare il servizio.
Il denominatore comune di tutte queste opzioni è che, in un modo o nell'altro, espongono la rete domestica a Internet , pubblicano un dominio o dipendono da un provider di terze parti. Questo spiega perché molte persone rinunciano alla funzione di accesso remoto di Jellyfin prima di addentrarsi in configurazioni troppo complesse. La raccomandazione di Jellyfin è chiara: aprire una porta diretta verso Internet non è consigliabile perché le password possono viaggiare non crittografate se si utilizza il protocollo HTTP. La porta 8096 è per HTTP , la 8920 è destinata a HTTPS ma non viene utilizzata di default e la 7359 è per il rilevamento locale, quindi anche queste non dovrebbero essere esposte.
Cosa offre Tailscale e dov'è la fregatura?
Tailscale crea una rete privata basata su WireGuard. L'idea è di installare l'applicazione su più dispositivi, autorizzarli con lo stesso account e far sì che si comportino tutti come se fossero connessi allo stesso router, anche se si trovano in paesi diversi. Non è necessario aprire porte o avere un indirizzo IP pubblico , perché ogni dispositivo avvia la propria connessione alla rete Tailscale e tutti gli altri si trovano in un punto intermedio. Per un server domestico con CGNAT, questo rappresenta un enorme vantaggio.
Quando si registrano più dispositivi, viene creata una tailnet, ovvero la rete privata associata al proprio account. Ogni dispositivo riceve un indirizzo come 100.xyz e un nome MagicDNS, così non è necessario memorizzare numeri. Questo è l'indirizzo che si inserisce nell'app Jellyfin per connettersi dall'esterno. Tailscale distribuisce gli indirizzi dal blocco 100.64.0.0/10 , lo stesso utilizzato per CGNAT, ma attenzione: l'indirizzo internet del router è completamente diverso, ed è quello che bisogna verificare per controllare se si dispone di CGNAT.
Il piano Personal di Tailscale è gratuito per uso non commerciale e consente l'accesso a un massimo di sei utenti, incluso te stesso, quindi puoi invitare altre cinque persone. L'azienda lo descrive come gratuito per sempre con questo piano e, per un normale utilizzo familiare, è solitamente più che sufficiente. In combinazione con Jellyfin, che è gratuito e open source , si ottiene un ecosistema multimediale senza dover pagare un abbonamento, a differenza di Plex Pass, che prevede un costo per lo streaming remoto.
Tailscale è l'opzione consigliata anche quando l'operatore impone il CGNAT o quando l'ISP blocca determinate connessioni in entrata. Invece di utilizzare il router, il server e i client si connettono alla rete privata e si incontrano lì. Il CGNAT diventa irrilevante per quella connessione perché non è necessario che nessuno si connetta alla rete domestica dall'esterno.
Tuttavia, il costo nascosto non è il denaro, bensì la comodità. Ogni dispositivo che desidera accedere ai contenuti necessita che Tailscale sia installato e autorizzato , e il server deve essere acceso e connesso alla rete Tailscale affinché i contenuti siano disponibili. Se tua madre usa una TV Samsung, tua suocera una Google TV e tuo fratello distribuisce vecchi tablet Android, dovrai installare e configurare Tailscale su ogni dispositivo o trovare un bridge. Per chi non ha dimestichezza con la tecnologia, questo rappresenta già un ostacolo.
La condivisione con altri comporta però un inconveniente. Tailscale consente la condivisione della rete su tutti i piani, ma l'ospite deve possedere un proprio account e, inoltre, deve essere il proprietario, l'amministratore o il responsabile IT della propria rete Tailscale per accettare l'invito. Non è semplice come inviare un link e lasciare che l'altra persona acceda senza fare nulla. Per tua suocera, questo potrebbe significare installazione, registrazione e un paio di schermate da configurare prima di poter guardare il primo film.
Infine, Tailscale non stabilisce sempre una connessione diretta tra i due endpoint. In presenza di un NAT rigido, un firewall o altre limitazioni, il traffico viene instradato attraverso i relay DERP di Tailscale. Questo può aggiungere latenza , che si nota nei video: un giorno la riproduzione è fluida, il giorno dopo si interrompe a scatti anche senza aver modificato alcuna impostazione. Le condizioni d'uso di Tailscale non includono una clausola specifica relativa a larghezza di banda, video o volume di traffico, ma ciò non cambia il fatto che i relay rappresentano un'ultima risorsa e non una garanzia di streaming perfetto.
Prima di toccare qualsiasi cosa: controlla se hai CGNAT
CGNAT significa che il tuo provider di servizi Internet condivide lo stesso indirizzo IP pubblico tra diversi clienti. Non hai un indirizzo IP personale su Internet e, indipendentemente dal numero di porte che apri sul tuo router, nessuno al di fuori della tua rete potrà accedere alla tua abitazione. Si tratta di un indirizzo IP pubblico condiviso , quindi il tradizionale port forwarding non funzionerà, a prescindere da quanto lo configuri.
Il controllo è rapido. Accedi al pannello di controllo del tuo router e trova il suo indirizzo IP Internet, IP WAN o IP esterno. Quindi, da un dispositivo connesso alla stessa rete, cerca "Qual è il mio indirizzo IP?" su Google e confronta i due numeri. Se non corrispondono, c'è un intermediario. Se l'indirizzo IP WAN è compreso tra 100.64.0.0 e 100.127.255.255 , il problema è chiaro: ti trovi dietro CGNAT. Anche un secondo router nella stessa catena può presentare lo stesso sintomo, quindi non escludere questa possibilità.
Se hai CGNAT, prima di provare qualsiasi soluzione alternativa, ti conviene contattare il tuo provider e chiedere se può fornirti un indirizzo IPv4 pubblico. Dipende dal tuo contratto e dalla tua posizione geografica, e potrebbe esserci un costo, ma è l'unico modo per ripristinare il port forwarding tradizionale. C'è anche l'opzione IPv6 nativo: se il tuo server ha un indirizzo IPv6 instradabile a livello globale e la rete da cui stai accedendo utilizza anch'essa IPv6, potresti riuscire a connetterti in questo modo. CGNAT è un problema relativo a IPv4 , quindi non escluderlo a priori.
Attenzione alle scorciatoie: un DNS dinamico non risolve il problema CGNAT. Un nome che punta a un IP condiviso non vi porterà comunque alla vostra abitazione. Un DNS dinamico non risolve il problema di un IP condiviso ; aggiorna il nome solo quando cambia il vostro IP pubblico, quindi prima dovete avere un IP pubblico valido e poi preoccuparvi del nome.
Cavalcare una Tailscale con Jellyfin senza problemi
La procedura di base è più breve di quanto ci voglia a scegliere cosa guardare il venerdì sera. Per prima cosa, installa Jellyfin sul computer che fungerà da server. Se si tratta di Windows, è consigliabile impostarlo come servizio in modo che si avvii automaticamente prima dell'accesso. Dopodiché, vai su http://localhost:8096 , aggiungi le cartelle dal tuo disco rigido e configura la libreria, i sottotitoli e la sincronizzazione dell'avanzamento della riproduzione.
Con il server in esecuzione, installa Tailscale sullo stesso computer e sui dispositivi da cui desideri accedervi. Durante la configurazione iniziale, crea un account e autorizza i dispositivi, generando così la rete Tailscale. Utilizza lo stesso account su tutti i dispositivi in modo che possano comunicare tra loro. Se installi Tailscale sul server ma non sul dispositivo mobile, quest'ultimo non farà parte della rete privata e non potrà accedervi.
Per trovare l'indirizzo IP del server all'interno di Tailscale, è possibile utilizzare il comando `tailscale ip -4` sulla macchina server o controllare l'applicazione. Verrà restituito un indirizzo simile a 100.121.112.23. Nell'applicazione client Jellyfin, aggiungere manualmente il server utilizzando tale indirizzo e la porta corrispondente, ad esempio 100.xyz:8096 . La funzione di rilevamento automatico di Jellyfin funziona solo sulla rete locale, quindi dall'esterno della rete locale sarà necessario inserire manualmente l'indirizzo.
Tailscale è disponibile per Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV e Amazon Fire. L'elenco comprende molti dispositivi , ma non tutti. I televisori Samsung Tizen e LG webOS non dispongono di Tailscale, sebbene abbiano l'app ufficiale Jellyfin. Qui sta il problema: il televisore può eseguire Jellyfin, ma rimane al di fuori della rete privata a meno che non venga connesso ad essa da qualche dispositivo.
Ricorda che il server deve rimanere acceso e connesso a Tailnet. Un server sempre attivo è essenziale: se il computer si spegne o perde la connessione, i membri della tua famiglia non avranno accesso alla libreria. Inoltre, con il piano gratuito non è possibile utilizzare Tailscale per scopi commerciali, quindi se questo servizio sarà utilizzato da metà della tua famiglia, assicurati che soddisfi le tue esigenze personali.
Il vero problema: la televisione e i familiari impazienti.
Sui televisori Samsung Tizen o LG webOS, Jellyfin ha un'app ufficiale nello store, ma Tailscale non è disponibile. Il televisore può aprire Jellyfin, ma non è connesso alla rete domestica, quindi non riesce a raggiungere il server domestico. Il televisore rimane al di fuori della rete domestica e non esiste alcuna impostazione specifica nell'app per risolvere il problema.
La soluzione tecnica prevede l'installazione di un router di sottorete: un dispositivo su cui è installato Tailscale che funge da ponte tra la rete privata e i dispositivi che non possono installare l'applicazione. Funziona, ma non si tratta più di una semplice configurazione da completare in un pomeriggio: richiede l'installazione di un altro dispositivo, che deve rimanere acceso, e la spiegazione del suo funzionamento interno a chiunque ne abbia bisogno. Funziona da ponte , certo, ma non è né trasparente né dispendioso in termini di tempo.
Con Google TV, Chromecast e i tablet Android più vecchi, bisogna valutare ogni caso singolarmente. Se il dispositivo permette l'installazione di Tailscale dal suo store, si può provare; altrimenti, il problema è lo stesso. Ogni dispositivo che vuole connettersi necessita di una propria installazione o di un bridge che lo gestisca. In una casa con diversi tablet più vecchi, questo può essere piuttosto complicato.
Condividere il proprio Tailnet con un familiare non è semplice come premere un pulsante. L'ospite deve avere un proprio account e, inoltre, deve essere il proprietario o l'amministratore del proprio Tailnet per accettare l'invito. Avere un proprio account ed essere un amministratore è chiedere troppo a qualcuno che vuole semplicemente guardare una serie TV. Per tua madre o tua suocera, non è paragonabile ad aprire Plex e trovare la libreria già pronta.
Ecco perché, anche se Tailscale è l'opzione più semplice per te, non lo è per la tua famiglia. Non è paragonabile a Plex in termini di trasparenza per l'utente finale. Se tutti i dispositivi fossero tuoi e potessi configurarli in anticipo, sarebbe fantastico. Ma quando ci sono televisori di terze parti e membri della famiglia non molto esperti di tecnologia, la situazione cambia.
Alternative per evitare che la tua famiglia debba installare nulla
Se il tuo obiettivo è che i tuoi ospiti possano accendere la TV e guardare Jellyfin senza installare Tailscale, l'opzione più trasparente è un VPS con una VPN verso la tua abitazione e un reverse proxy. Noleggi un piccolo server su internet, dotato di un indirizzo IP pubblico statico, configuri una VPN tra il VPS e la tua abitazione e utilizzi un reverse proxy per ricevere le visite. L'ospite visualizzerà solo un normale dominio con un lucchetto HTTPS, senza dover installare nulla o registrarsi da nessuna parte. Tuttavia, questa è la configurazione più complessa e l'unica con un costo ricorrente.
Il punto chiave è che la chiamata ha origine dalla tua rete domestica, non dal VPS. Il tuo server domestico apre la connessione al VPS, quindi CGNAT non interferisce. Successivamente, il reverse proxy del VPS riceve le visite dei tuoi familiari e le instrada attraverso il tunnel a Jellyfin. La chiamata ha origine dalla tua rete domestica e l'ospite vede solo un dominio con un certificato. Tuttavia, il VPS non aumenta la tua larghezza di banda: il video ha comunque origine dalla tua rete domestica e utilizza la tua velocità di upload.
Il collo di bottiglia è la velocità di upload , non la dimensione della tua libreria. Non importa se hai 30 TB di film: solo ciò che viene riprodotto passa attraverso il tunnel. Se la tua connessione ha una velocità di upload inferiore a 100 Mbps, è consigliabile limitare il bitrate di Jellyfin al 70% di tale velocità per evitare interruzioni. Questo limite si configura nel pannello di controllo e influisce sui dispositivi esterni alla rete locale.
WireGuard è un'altra opzione se non si dispone di CGNAT. È gratuito, veloce ed espone una porta UDP al posto del pannello Jellyfin, quindi chiunque non abbia la chiave non riceverà nemmeno una risposta. Funziona perfettamente senza CGNAT , ma con CGNAT il server domestico non ha un indirizzo stabile a cui connettersi, quindi l'endpoint di ascolto deve essere esterno: si torna a un VPS. Qualcuno deve essere in ascolto al di fuori della rete domestica; non c'è modo di aggirare il problema.
Cloudflare Tunnel evita l'apertura di porte e non richiede un indirizzo IP pubblico. Si installa Cloudflare sul server, si stabilisce una connessione in uscita e gli ospiti possono accedervi tramite i loro browser senza installare nulla. Il problema risiede nelle clausole scritte in piccolo: i termini specifici di Cloudflare stabiliscono che, a meno che non siate clienti Enterprise, è necessario utilizzare servizi a pagamento per distribuire video e file di grandi dimensioni tramite la loro CDN. Cloudflare si riserva il diritto di disabilitare o limitare l'accesso qualora sospetti un utilizzo non autorizzato della CDN. La vecchia sezione 2.8, che circolava nei forum, è stata abrogata nel maggio 2023 e la parola "Tunnel" non compare in quel documento, quindi non vi è né un divieto esplicito né un'autorizzazione chiara. Si tratta di una zona grigia.
Se disponi di un indirizzo IP pubblico e desideri semplicemente un nome anziché una sequenza di numeri, un servizio DNS dinamico gratuito può fare al caso tuo. DuckDNS si pubblicizza come gratuito e ospitato su AWS, senza obbligo di carta di credito. No-IP offre un piano gratuito con nome host e senza obbligo di carta di credito. DuckDNS e No-IP sono le opzioni più conosciute, ma DynDNS non offre più un piano gratuito: ora è disponibile solo l'opzione di acquisto del servizio o una prova gratuita di sette giorni. Ricorda inoltre che un servizio DNS dinamico non risolve i problemi di CGNAT né sostituisce il port forwarding.
Aprire la porta 8096 al mondo è la peggiore idea in assoluto. Jellyfin lo dice senza mezzi termini: aprire una porta direttamente su Internet è insicuro e sconsigliato. Se si utilizza HTTP, le password viaggiano non crittografate. L'approccio migliore è utilizzare un reverse proxy per terminare HTTPS ed evitare i certificati autofirmati perché causano problemi di compatibilità e sicurezza. Terminare HTTPS tramite un reverse proxy è la soluzione più sensata: basta abilitare alcune impostazioni in Jellyfin e sperare che tutto funzioni correttamente.
Sicurezza e impostazioni da regolare in Jellyfin
La porta 8096 è per HTTP, la 8920 è destinata a HTTPS ma non viene utilizzata di default e la 7359 è per il rilevamento locale. La porta 8096 non dovrebbe essere esposta al pubblico così com'è. Se si intende esporre qualcosa, è consigliabile utilizzare un reverse proxy con HTTPS che riceva le visite e instradi il traffico verso Jellyfin.
Esistono due opzioni separate per l'accesso remoto: una a livello di server, nelle impostazioni di rete e accesso remoto, e un'altra per ciascun utente, nel profilo di ognuno, con l'opzione "Consenti connessioni remote a questo server". La presenza di due opzioni separate consente di escludere gli account utilizzati solo a casa e di consentire l'accesso remoto solo a coloro che ne hanno effettivamente bisogno.
Il limite di velocità si configura in Pannello di controllo > Riproduzione > Streaming, alla voce Limite bitrate streaming Internet. Si tratta di un limite per singolo flusso, valido per tutti i dispositivi esterni alla rete locale. Se la velocità di upload è inferiore a 100 Mbps, Jellyfin consiglia di impostarlo al 70% della velocità di upload. Due flussi raddoppiano questo limite , quindi non va considerato come un limite totale, ma come un limite per singolo flusso. È possibile modificare il valore globale nel profilo di ciascun utente.
Quick Connect consente di accedere con un codice temporaneo di sei caratteri anziché con nome utente e password. È abilitato per impostazione predefinita e può risultare comodo, ma il codice da solo non è valido: deve essere autorizzato da un dispositivo su cui si è già effettuato l'accesso. Non si tratta di una soluzione miracolosa. Se non lo si desidera, è possibile disattivarlo in Impostazioni > Pannello di controllo > Generali deselezionando la casella "Abilita Quick Connect su questo server".
Per librerie di grandi dimensioni, non ossessionarti con le dimensioni del disco. Solo il file in riproduzione passa attraverso il tunnel, quindi ciò che conta è il bitrate di quel file e la tua velocità di upload. Le dimensioni della libreria non influiscono sulla larghezza di banda; ciò che conta è il bitrate del film o della serie che stai guardando in quel momento.
Cosa scegliere in base al tuo caso
Se sei da solo e i tuoi dispositivi sono un cellulare, un laptop o un tablet, Tailscale è l'opzione più semplice: un pomeriggio, zero euro e CGNAT smette di esistere per te. Tailscale è vantaggioso per i tuoi dispositivi perché puoi installarlo e autorizzarlo in autonomia. È la soluzione più semplice quando non sono coinvolte televisioni di terze parti.
Se intendi condividere l'accesso con familiari che guardano la TV e non vogliono installare nulla, il VPS con VPN e reverse proxy è l'unica soluzione che offre un'esperienza simile a Plex: basta aprire un dominio, inserire la password e guardare i contenuti. L'unica opzione che non richiede installazione è anche la più costosa in termini di tempo e l'unica con un canone mensile. Per tua madre, tua suocera e i tuoi figli con vecchi tablet, questa trasparenza è impagabile.
Se disponi di un indirizzo IP pubblico e desideri solo un nome anziché un IP variabile, utilizza DuckDNS o No-IP. Il DNS dinamico è la soluzione per il nome, ma non per CGNAT o per la sicurezza. Prima di tutto, verifica che il tuo indirizzo IP pubblico sia effettivamente il tuo, e solo dopo pensa al nome.
Cloudflare Tunnel può essere utile se si comprendono i suoi termini e non si hanno problemi ad affidarsi a una terza parte. Non date per scontato che sia gratuito e senza vincoli : esistono restrizioni sui video e Cloudflare potrebbe limitare il servizio. Se decidete di provarlo, fatelo con piena consapevolezza, sapendo che non esiste una spiegazione ufficiale riguardo al traffico di Tunnel nei loro termini e condizioni.
Ciò che non dovresti assolutamente fare è aprire la porta 8096 al mondo e affidarti alla fortuna. Aprire la porta 8096 al mondo è l'opzione peggiore: insicura, esposta e con password che possono viaggiare non crittografate. Se non vuoi configurare nulla, usa Tailscale per i tuoi dispositivi; se vuoi trasparenza per la tua famiglia, usa un VPS con VPN e reverse proxy; se ti serve solo un nome di dominio, usa il DNS dinamico; e se Cloudflare Tunnel ti tenta, leggi prima le clausole contrattuali.
La decisione finale dipende da chi utilizzerà Jellyfin e da quanto tempo sei disposto a investire. Tailscale è l'opzione più semplice per te, ma non la più trasparente per la tua famiglia. Se tutti i dispositivi fossero tuoi, Tailscale sarebbe quasi perfetto. Con TV Samsung, LG o Google e familiari che non vogliono complicazioni, un VPS con VPN e reverse proxy è la soluzione più simile all'esperienza Plex: non devono installare nulla, tu ti occupi del lavoro e della fatturazione. E se vuoi semplicemente provarlo senza spendere un centesimo, Tailscale può venirti in aiuto oggi stesso, a patto che tu possa configurare ogni dispositivo e accettare che il server sia sempre attivo.