Maneter borte fra hjemmet med haleskala: En realistisk guide for hele familien

Informatec Digital » nettverk » Maneter borte fra hjemmet med haleskala: En realistisk guide for hele familien

Jellyfin fungerer utmerket hjemme: du installerer serveren, legger til mappene, og i løpet av få minutter er biblioteket ditt tilgjengelig i stuen. Problemet starter når du vil se noe på en telefon, iPad eller TV som tilhører en slektning som bor langt unna. Det er der ruteren, portene, domenene og en hel rekke andre avgjørelser kommer inn i bildet, noe som for de som ikke vil komplisere ting kan gjøre en rolig ettermiddag til en hodepine. Fjerntilgang er en helt annen historie , og hvis du vil at folk med begrenset teknologisk tålmodighet skal bruke det, blir ting enda mer komplisert.

Den gode nyheten er at det finnes løsninger som unngår å åpne porter, og som til og med fungerer når internettleverandøren din har deg bak CGNAT. Tailscale er den mest populære måten å komme seg unna uten å berøre ruteren, men det er ikke magisk: det krever at man installerer noe på hver enhet og har klare begrensninger når det gjelder Samsung- eller LG-TV-er, eller eldre enheter. Det finnes ingen mirror cure som vil gjøre Jellyfin om til Plex for hele familien uten noe oppsett, men det finnes tydeligere veier enn andre. La oss gå nøye gjennom alle detaljene, inkludert det ingen vanligvis snakker om angående Tailscale, Cloudflare Tunnel, VPS-er og Jellyfins sikkerhetsinnstillinger.

Hvorfor setter Jellyfin seg fast når den forlater hjemmet?

På et lokalt nettverk er alt veldig enkelt: serveren har en privat adresse, noe sånt som 192.168.1.50, og alle enheter som er koblet til det samme Wi-Fi-nettverket kan få tilgang til den uten problemer. Situasjonen endrer seg når forespørselen kommer fra internett, fordi ruteren din ikke vet hvilken enhet den skal videresende trafikken til. For å løse dette brukes vanligvis tre klassiske løsninger: portvideresending, oppsett av en omvendt proxy eller bruk av en tunnel som Cloudflare. Alle tre er komplekse , og ingen er designet for at svigermoren din skal konfigurere den fra den andre siden av verden.

Portvideresending innebærer å fortelle ruteren at all trafikk som ankommer en bestemt port skal rutes til datamaskinen som kjører Jellyfin. Det høres enkelt ut, men det krever tilgang til ruterens kontrollpanel, opprettelse av en regel, tildeling av serverens lokale IP-adresse og håp om at den offentlige IP-adressen ikke endres ofte. Videre skaper det å åpne porter på ruteren en sårbarhet som er synlig fra internett, og hvis den ikke er riktig sikret, kan den bli et betydelig sikkerhetshull.

En omvendt proxy er mer elegant, men også mer teknisk. Den brukes til å motta besøk, kryptere forbindelsen med HTTPS og sende dem til Jellyfin-serveren inni. Det krever vanligvis at man kjøper eller administrerer et domene, konfigurerer sertifikater og forstår hva som skjer i hvert trinn. Det er ikke umulig , men det er ikke det du ville anbefale til noen som bare vil se en film på iPaden sin uten å ringe en dataekspert.

Cloudflare Tunnel er et annet alternativ: du installerer et program på serveren, det åpner en utgående forbindelse, og gjestene dine kan få tilgang til det med et vanlig navn uten å måtte åpne porter eller ha en offentlig IP-adresse. Problemet er at Cloudflares liten skrift ikke er så brukervennlig som det ser ut til når det gjelder servering av video, og du er også avhengig av en mellommann som kan endre reglene eller begrense tjenesten din.

Fellesnevneren for alle disse alternativene er at de på en eller annen måte eksponerer hjemmenettverket ditt for internett , publiserer et domene eller er avhengige av en tredjepartsleverandør. Dette forklarer hvorfor mange dropper Jellyfins fjerntilgangsfunksjon før de blir for kompliserte. Jellyfins egen anbefaling er klar: det er ikke tilrådelig å åpne en direkte port til internett fordi passord kan reise ukryptert hvis du bruker vanlig HTTP. Port 8096 er for HTTP , 8920 er ment for HTTPS, men brukes ikke som standard, og 7359 er for lokal oppdagelse, så disse bør heller ikke eksponeres.

Hva tilbyr Tailscale, og hvor ligger haken?

Tailscale bygger et privat nettverk basert på WireGuard. Tanken er at du installerer applikasjonen på flere enheter, autoriserer dem med samme konto, og at de alle oppfører seg som om de var koblet til samme ruter, selv om de er i forskjellige land. Det er ikke nødvendig å åpne porter eller ha en offentlig IP-adresse , fordi hver enhet initierer sin tilkobling til Tailscale-nettverket, og de er alle i midten. For en hjemmeserver som kjører CGNAT er dette en stor lettelse.

Når du registrerer flere enheter, opprettes et tailnet, som er det private nettverket som er knyttet til kontoen din. Hver enhet mottar en adresse som 100.xyz og et MagicDNS-navn, slik at du ikke trenger å memorere tall. Dette er adressen du deretter skriver inn i Jellyfin-appen for å koble til utenfra. Tailscale distribuerer adresser fra 100.64.0.0/10-blokken , den samme som brukes for CGNAT, men ikke bli forvirret: ruterens internettadresse er noe helt annet, og det er det du må sjekke når du bekrefter om du har CGNAT.

Tailscales personlige plan er gratis for ikke-kommersiell bruk og tillater opptil seks brukere, inkludert deg selv, slik at du kan invitere fem personer til. Selskapet beskriver det som gratis for alltid på den planen, og for normal familiebruk er det vanligvis helt tilstrekkelig. Kombinert med Jellyfin, som er gratis og åpen kildekode , har du et multimediaøkosystem uten å betale abonnement, i motsetning til Plex Pass, som tar betalt for ekstern strømming.

Tailscale er også det anbefalte alternativet når operatøren håndhever CGNAT eller når internettleverandøren blokkerer visse innkommende tilkoblinger. I stedet for å håndtere ruteren, kobler serveren og klientene seg til det private nettverket og møtes der. CGNAT blir irrelevant for den tilkoblingen fordi du ikke trenger noen som ringer hjemmenettverket ditt utenfra.

Den skjulte kostnaden er imidlertid ikke penger, men bekvemmelighet. Alle enheter som ønsker å få tilgang til innholdet, må ha Tailscale installert og autorisert , og serveren må være slått på og koblet til tailnet for at innholdet skal være tilgjengelig. Hvis moren din bruker en Samsung TV, svigermoren din har en Google TV, og broren din deler ut gamle Android-nettbrett, må du installere og konfigurere Tailscale på hver enhet eller finne en bro. For noen som ikke er teknologikyndige, er det allerede en barriere.

Deling med andre har også en hake. Tailscale tillater maskindeling på alle abonnementer, men gjesten trenger sin egen konto og må dessuten være eier, administrator eller IT-ansvarlig for sitt eget tailnet for å godta invitasjonen. Det er ikke så enkelt som å sende en lenke og la den andre personen logge inn uten å gjøre noe. For svigermoren din kan det bety en installasjon, registrering og et par skjermbilder før du ser den første filmen.

Til slutt etablerer ikke Tailscale alltid en direkte forbindelse mellom de to endepunktene. Når det er en hard NAT, brannmur eller andre begrensninger, rutes trafikken gjennom Tailscales DERP-reléer. Dette kan øke latens , og det er merkbart i video: den ene dagen er det jevnt, og den neste hakker det selv om du ikke har endret noen innstillinger. Tailscales retningslinjer for akseptabel bruk inkluderer ikke en spesifikk klausul angående båndbredde, video eller trafikkvolum, men det endrer ikke det faktum at reléer er en siste utvei og ikke en garanti for perfekt strømming.

Før du berører noe: sjekk om du har CGNAT

CGNAT betyr at internettleverandøren din deler den samme offentlige IP-adressen mellom flere kunder. Du har ikke din egen adresse på internett, og uansett hvor mange porter du åpner på ruteren din, er det ingen måte for noen utenfor nettverket ditt å få tilgang til hjemmet ditt. Det er en delt offentlig IP-adresse , så tradisjonell portvideresending vil ikke fungere, uansett hvor mye du konfigurerer den.

Sjekken er rask. Gå til ruterens kontrollpanel og finn internett-IP-adressen, WAN-IP-adressen eller den eksterne IP-adressen. Søk deretter etter «Hva er IP-adressen min?» på Google fra en enhet som er koblet til samme nettverk, og sammenlign de to tallene. Hvis de ikke samsvarer, finnes det en mellomledd. Hvis WAN-IP-adressen er mellom 100.64.0.0 og 100.127.255.255 , er problemet klart: du ligger bak CGNAT. En annen ruter i samme kjede kan også produsere det samme symptomet, så ikke utelukk det.

Hvis du har CGNAT, er det verdt å ringe leverandøren din og spørre om de kan gi deg en offentlig IPv4-adresse før du prøver noen løsninger. Det avhenger av kontrakten din og lokasjonen din, og det kan være en kostnad, men det er den eneste måten å gjenopprette tradisjonell portvideresending. Det finnes også muligheten for native IPv6: hvis serveren din har en globalt rutbar IPv6-adresse og nettverket du kobler til fra også bruker IPv6, kan du kanskje koble til på den måten. CGNAT er et IPv4-problem , så ikke utelukk det før du sjekker.

Og vær obs på snarveier: en dynamisk DNS fikser ikke CGNAT. Et navn som peker til en delt IP-adresse vil fortsatt ikke føre til hjemmeadressen din. En dynamisk DNS fikser ikke en delt IP-adresse ; den oppdaterer bare navnet når den offentlige IP-adressen din endres, så du må først ha en ekte offentlig IP-adresse og deretter tenke på navnet.

Å kjøre en tailscale med Jellyfin uten stress

Den grunnleggende prosessen er kortere enn å velge hva du skal se på en fredagskveld. Først installerer du Jellyfin på datamaskinen som skal fungere som server. Hvis det er Windows, er det best å merke den som en tjeneste, slik at den starter automatisk før du logger inn. Gå deretter til http://localhost:8096 , legg til mappene fra harddisken din og konfigurer biblioteket, undertekster og synkronisering av avspillingsfremdrift.

Mens serveren kjører, installerer du Tailscale på samme datamaskin og på enhetene du vil ha tilgang til den fra. Under den første oppsettet oppretter du en konto og autoriserer enhetene, som genererer tailnet. Bruk samme konto på alle enheter slik at de kan se hverandre. Hvis du installerer Tailscale på serveren, men ikke på mobilenheten, vil ikke mobilenheten være en del av det private nettverket og vil ikke kunne få tilgang til det.

For å finne serveradressen i Tailscale kan du bruke kommandoen `tailscale ip -4` på servermaskinen eller sjekke applikasjonen. Den vil returnere noe sånt som 100.121.112.23. I Jellyfin-klientappen legger du til serveren manuelt ved hjelp av den adressen og den tilhørende porten, for eksempel 100.xyz:8096 . Jellyfins autooppdagelse fungerer bare på det lokale nettverket, så utenfra det lokale nettverket må du skrive inn adressen manuelt.

Tailscale er tilgjengelig for Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV og Amazon Fire. Listen dekker mange enheter , men ikke alle. Samsung Tizen og LG webOS TV-er har ikke Tailscale, selv om de har den offisielle Jellyfin-appen. Her ligger problemet: TV-en kan kjøre Jellyfin, men den forblir utenfor ditt private nettverk med mindre noe kobler den til den.

Husk at serveren må være påslått og koblet til Tailnet. En server som kjører konstant er viktig: hvis datamaskinen slår seg av eller mister forbindelsen, vil familiemedlemmene dine være uten tilgang til biblioteket. Du kan heller ikke bruke Tailscale til kommersielle formål med gratisabonnementet, så hvis dette skal være en tjeneste for halve familien din, sørg for at den oppfyller dine personlige krav.

Det virkelige problemet: TV-er og utålmodige familiemedlemmer.

På en Samsung Tizen- eller LG webOS-TV har Jellyfin en offisiell app i butikken, men Tailscale er ikke tilgjengelig. TV-en kan åpne Jellyfin, men den er ikke på hjemmenettverket, så den når ikke hjemmeserveren. TV-en forblir utenfor hjemmenettverket , og det finnes ingen magisk innstilling i appen som kan fikse det.

Den tekniske løsningen innebærer å sette opp en subnettruter: en enhet som har Tailscale installert og fungerer som en bro mellom det private nettverket og de enhetene som ikke kan installere applikasjonen. Det fungerer, men det er ikke lenger en enkel ettermiddag med konfigurasjon: det innebærer å sette opp en annen enhet, la den være slått på og forklare dens indre virkemåte til alle som trenger det. Den fungerer som en bro , ja, men den er verken gjennomsiktig eller tidkrevende.

Med Google TV, Chromecast og eldre Android-nettbrett må du vurdere hvert enkelt tilfelle individuelt. Hvis enheten tillater installasjon av Tailscale fra nettbutikken sin, kan du prøve det. Hvis ikke, er vi tilbake til det samme problemet. Hver enhet som vil koble til trenger sin egen installasjon eller en bro som dekker den. I et hus med flere eldre nettbrett kan det være ganske orket.

Det er ikke så enkelt som å trykke på en knapp å dele halenettet ditt med et familiemedlem. Gjesten trenger sin egen konto, og må dessuten være eier eller administrator av sitt eget halenett for å godta invitasjonen. Å ha sin egen konto og være administrator er å be om for mye for noen som bare vil se et program. For moren eller svigermoren din er ikke det sammenlignbart med å åpne Plex og finne at biblioteket allerede er satt opp.

Derfor, selv om Tailscale er det enkleste alternativet for deg, er det ikke det enkleste for familien din. Det er ikke sammenlignbart med Plex når det gjelder gjennomsiktighet for sluttbrukeren. Hvis alle enhetene var dine, og du kunne konfigurere dem på forhånd, ville det vært fantastisk. Men når det finnes tredjeparts-TV-er og familiemedlemmer som ikke er veldig teknologikyndige, endrer situasjonen seg.

Alternativer slik at familien din ikke trenger å installere noe

Hvis målet ditt er at gjestene dine skal slå på TV-en og se på Jellyfin uten å installere Tailscale, er det mest transparente alternativet en VPS med VPN til hjemmet ditt og en omvendt proxy. Du leier en liten server på internett, som har en statisk offentlig IP-adresse, setter opp en VPN mellom VPS-en og hjemmet ditt, og bruker en omvendt proxy for å motta besøkene. Gjesten ser bare et vanlig domene med en HTTPS-hengelås, uten å installere noe eller registrere seg noe sted. Dette er imidlertid det mest arbeidskrevende oppsettet og det eneste med en gjentakende regning.

Nøkkelen er at samtalen kommer fra hjemmenettverket ditt, ikke VPS-en. Hjemmeserveren din åpner forbindelsen til VPS-en, slik at CGNAT ikke forstyrrer. Deretter mottar VPS-ens omvendte proxy besøkene fra familiemedlemmene dine og sender dem gjennom tunnelen til Jellyfin. Samtalen kommer fra hjemmenettverket ditt , og gjesten ser bare et domene med et sertifikat. VPS-en øker imidlertid ikke båndbredden din: videoen kommer fortsatt fra hjemmenettverket ditt og bruker opplastingshastigheten din.

Flaskehalsen er opplastingshastigheten din , ikke størrelsen på biblioteket ditt. Det spiller ingen rolle om du har 30 TB med filmer: bare det som spilles av går gjennom tunnelen. Hvis tilkoblingen din har en opplastingshastighet på under 100 Mbps, anbefales det å begrense Jellyfins bitrate til 70 % av den hastigheten for å unngå avbrudd. Denne grensen konfigureres i kontrollpanelet og påvirker enheter utenfor det lokale nettverket ditt.

WireGuard er et annet alternativ hvis du ikke har CGNAT. Det er gratis, raskt og eksponerer en UDP-port i stedet for Jellyfin-panelet, slik at alle uten nøkkelen ikke engang vil motta svar. Det fungerer perfekt uten CGNAT , men med CGNAT har ikke hjemmeserveren din en stabil adresse å ringe, så lytteendepunktet må være utenfor nettstedet: du er tilbake til en VPS. Noen må lytte utenfor hjemmenettverket ditt; det er ingen vei utenom.

Cloudflare Tunnel unngår å åpne porter og krever ikke en offentlig IP-adresse. Du installerer Cloudflare på serveren, en utgående forbindelse opprettes, og gjestene dine får tilgang til den via nettleserne sine uten å installere noe. Problemet ligger i den lille skriften: Cloudflares spesifikke vilkår sier at med mindre du er en Enterprise-kunde, må du bruke betalte tjenester for å servere video og store filer gjennom CDN-en deres. Cloudflare forbeholder seg retten til å deaktivere eller begrense tilgang hvis de mistenker at du bruker CDN-en uten disse tjenestene. Den gamle paragraf 2.8 som sirkulerte i forumene ble opphevet i mai 2023, og ordet «Tunnel» vises ikke i det dokumentet, så det er verken et eksplisitt forbud eller en klar autorisasjon. Det er en gråsone.

Hvis du har en offentlig IP-adresse og bare ønsker et navn i stedet for en rekke med tall, vil en gratis dynamisk DNS-tjeneste gjøre susen. DuckDNS annonserer seg selv som gratis og hostet på AWS, uten at kredittkort kreves. No-IP har en gratisplan med et vertsnavn og uten at kredittkort kreves. DuckDNS og No-IP er de mest kjente alternativene, men DynDNS tilbyr ikke lenger en gratisplan: du vil bare se alternativet for å kjøpe tjenesten eller en syv-dagers prøveperiode. Og husk at en dynamisk DNS-tjeneste ikke fikser CGNAT eller erstatter portvideresending.

Å åpne port 8096 for verden er den verste ideen noensinne. Jellyfin sier det rett ut: å åpne en direkte port til internett er usikkert og anbefales ikke. Hvis du bruker HTTP, sendes passord ukryptert. Den beste tilnærmingen er å bruke en omvendt proxy for å avslutte HTTPS, og unngå selvsignerte sertifikater fordi de forårsaker kompatibilitets- og sikkerhetsproblemer. HTTPS-avslutning i en omvendt proxy er den fornuftige måten å gjøre det på; ganske enkelt aktivere noen få innstillinger i Jellyfin og håpe på det beste.

Sikkerhet og innstillinger som er verdt å justere i Jellyfin

Port 8096 er for HTTP, 8920 er ment for HTTPS, men brukes ikke som standard, og 7359 er for lokal oppdagelse. Port 8096 skal ikke være åpen for offentligheten slik den er. Hvis du skal eksponere noe, bør du ha en omvendt proxy med HTTPS til å motta besøkene og rute trafikken til Jellyfin.

Det finnes to separate brytere for fjerntilgang: én på servernivå, i innstillinger for nettverk og fjerntilgang, og en annen per bruker, på hver persons profil, med alternativet «Tillat eksterne tilkoblinger til denne serveren». To separate brytere betyr at du kan ekskludere kontoer som bare brukes hjemme og bare tillate de som virkelig trenger fjerntilgang.

Hastighetsgrensen konfigureres i Kontrollpanel > Avspilling > Strømming, under bithastighetsgrense for internettstrømming. Det er en grense per strømming for alle enheter utenfor nettverket ditt. Hvis opplastingshastigheten din er mindre enn 100 Mbps, anbefaler Jellyfin å sette den til 70 % av opplastingshastigheten din. To strømmer dobler denne grensen , så ikke tenk på det som en total grense: det er per strømming. Du kan overstyre den globale verdien i hver brukers profil.

Med Hurtigtilkobling kan du logge inn med en midlertidig kode på seks tegn i stedet for brukernavn og passord. Den er aktivert som standard og kan være praktisk, men koden er ikke gyldig i seg selv: den må autoriseres av en enhet der du allerede er logget inn. Det er ikke en magisk bakdør. Hvis du ikke vil ha den, kan du deaktivere den i Innstillinger > Kontrollpanel > Generelt ved å fjerne merket for «Aktiver Hurtigtilkobling på denne serveren».

For store biblioteker, ikke legg så mye vekt på diskstørrelsen. Bare filen som spilles av går gjennom tunnelen, så det som betyr noe er bithastigheten til filen og opplastingshastigheten. Størrelsen på biblioteket påvirker ikke båndbredden; det som betyr noe er bithastigheten til filmen eller serien du ser på for øyeblikket.

Hva du skal velge i henhold til din situasjon

Hvis du er alene og enhetene dine er en mobiltelefon, bærbar PC eller nettbrett, er Tailscale det enkleste alternativet: én ettermiddag, null euro, og CGNAT slutter å eksistere for deg. Tailscale er til fordel for dine egne enheter fordi du kan installere og autorisere det uavhengig. Det er den enkleste løsningen når det ikke er noen tredjeparts TV-er involvert.

Hvis du skal dele med familie som ser på TV og ikke vil installere noe, er VPS-en med VPN og omvendt proxy den eneste som gir dem en Plex-lignende opplevelse: de åpner et domene, skriver inn passordet og ser på innholdet. Den eneste som ikke installerer noe er også den dyreste når det gjelder tid og den eneste med en månedlig regning. For moren din, svigermoren din og barna med gamle nettbrett er den åpenheten uvurderlig.

Hvis du har en offentlig IP-adresse og bare ønsker et navn i stedet for en IP-adresse som endres, bruk DuckDNS eller No-IP. Dynamisk DNS er løsningen for navnet, men ikke for CGNAT eller sikkerhet. Bekreft først at den offentlige IP-adressen din er din, og tenk deretter på navnet.

Cloudflare Tunnel kan være nyttig hvis du forstår vilkårene og ikke har noe imot å stole på en tredjepart. Ikke anta at det er gratis uten noen betingelser : det finnes videobegrensninger, og Cloudflare kan begrense tjenesten. Hvis du prøver det, gjør det med full bevissthet, vel vitende om at det ikke finnes noen offisiell forklaring angående Tunnel-trafikk i vilkårene deres.

Det du absolutt ikke bør gjøre er å åpne port 8096 for verden og stole på flaks. Å åpne port 8096 for verden er det verste alternativet: usikkert, eksponert og med passord som kan spres ukryptert. Hvis du ikke vil sette opp noe, bruk Tailscale for enhetene dine; hvis du vil ha åpenhet for familien din, bruk en VPS med VPN og omvendt proxy; hvis du bare trenger et domenenavn, bruk dynamisk DNS; og hvis Cloudflare Tunnel frister deg, les den lille skriften først.

Den endelige avgjørelsen avhenger av hvem som skal bruke Jellyfin og hvor mye tid du er villig til å investere. Tailscale er det enkleste alternativet for deg, men ikke det mest transparente for familien din. Hvis alle enhetene var dine, ville Tailscale vært nesten perfekt. Med Samsung-, LG- eller Google TV-er og familiemedlemmer som ikke ønsker noe stress, er en VPS med VPN og omvendt proxy det nærmeste man kommer Plex-opplevelsen: de installerer ingenting, du håndterer arbeidet og regningen. Og hvis du bare vil prøve det ut uten å bruke en krone, kan Tailscale hjelpe deg ut av vanskeligheten i dag, forutsatt at du kan konfigurere hver enhet og akseptere at serveren alltid er på.