- Escala traseira Ele evita a abertura de portas e funciona com CGNAT, mas exige a instalação e autorização do aplicativo em cada dispositivo que desejar acessá-lo.
- Para famílias com televisores Samsung, LG ou Google TV e conhecimentos técnicos limitados, a opção mais transparente Geralmente é um VPS com VPN e proxy reverso: eles só veem um domínio normal com HTTPS.
- Antes de escolher, Verifique se você possui CGNATSe o endereço IP WAN do roteador não corresponder ao que você vê na internet, o encaminhamento de portas não funcionará.
O Jellyfin funciona perfeitamente em casa: você instala o servidor, adiciona as pastas e, em poucos minutos, sua biblioteca está disponível na sala de estar. O problema começa quando você quer assistir a algo no celular, iPad ou TV de um parente que está a quilômetros de distância. É aí que entram em jogo o roteador, as portas, os domínios e uma série de outras decisões que, para quem não quer complicar as coisas, podem transformar uma tarde tranquila em uma dor de cabeça. O acesso remoto é uma história completamente diferente e, se você quiser que pessoas com pouca paciência para tecnologia o utilizem, as coisas ficam ainda mais complicadas.
A boa notícia é que existem soluções que evitam a abertura de portas e funcionam até mesmo quando seu provedor de internet utiliza CGNAT. O Tailscale é a maneira mais popular de contornar isso sem mexer no roteador, mas não é mágica: requer a instalação de um programa em cada dispositivo e tem limitações claras quando se trata de TVs Samsung ou LG, ou dispositivos mais antigos. Não existe uma solução milagrosa que transforme o Jellyfin em um Plex para toda a família sem nenhuma configuração, mas existem caminhos mais claros do que outros. Vamos analisar todos os detalhes cuidadosamente, incluindo o que geralmente ninguém menciona sobre o Tailscale, o Cloudflare Tunnel, os VPSs e as configurações de segurança do Jellyfin.
Por que Jellyfin fica preso ao sair de casa?
Em uma rede local, tudo é muito simples: o servidor tem um endereço privado, algo como 192.168.1.50, e qualquer dispositivo conectado à mesma rede Wi-Fi pode acessá-lo sem problemas. A situação muda quando a solicitação vem da internet, porque seu roteador não sabe para qual dispositivo encaminhar esse tráfego. Para resolver isso, geralmente são usadas três soluções clássicas: encaminhamento de portas, configuração de um proxy reverso ou uso de um túnel como o Cloudflare. Todas as três são complexas e nenhuma foi projetada para que sua sogra as configure do outro lado do mundo.
O encaminhamento de portas consiste em instruir o roteador a rotear todo o tráfego que chega a uma porta específica para o computador que executa o Jellyfin. Parece simples, mas requer acesso ao painel de controle do roteador, criação de uma regra, atribuição do endereço IP local do servidor e a esperança de que o endereço IP público não mude com frequência. Além disso, abrir portas no roteador cria uma vulnerabilidade visível na internet e, se não for devidamente protegida, pode se tornar uma brecha de segurança significativa.
Um proxy reverso é mais elegante, mas também mais técnico. Ele é usado para receber visitas, criptografar a conexão com HTTPS e encaminhá-las para o servidor Jellyfin. Geralmente, isso exige a compra ou o gerenciamento de um domínio, a configuração de certificados e a compreensão do que acontece em cada etapa. Não é impossível , mas não é o que você recomendaria para alguém que só quer assistir a um filme no iPad sem precisar consultar um especialista em informática.
O Cloudflare Tunnel é outra opção: você instala um programa no servidor, ele abre uma conexão de saída e seus convidados podem acessá-la usando um nome normal, sem precisar abrir portas ou ter um endereço IP público. O problema é que as letras miúdas do Cloudflare não são tão amigáveis quanto parecem quando se trata de veicular vídeos, e você também depende de um intermediário que pode alterar as regras ou limitar seu serviço.
O denominador comum de todas essas opções é que, de uma forma ou de outra, elas expõem sua rede doméstica à internet , publicam um domínio ou dependem de um provedor terceirizado. Isso explica por que muitas pessoas descartam o recurso de acesso remoto do Jellyfin antes de se complicarem demais. A própria recomendação do Jellyfin é clara: abrir uma porta direta para a internet não é aconselhável, pois as senhas podem trafegar sem criptografia se você usar HTTP simples. A porta 8096 é para HTTP , a 8920 é destinada ao HTTPS, mas não é usada por padrão, e a 7359 é para descoberta local, portanto, essas também não devem ser expostas.
O que a Tailscale oferece e qual é a pegadinha?
A Tailscale cria uma rede privada baseada em WireGuard. A ideia é instalar o aplicativo em vários dispositivos, autorizá-los com a mesma conta e todos se comportarão como se estivessem conectados ao mesmo roteador, mesmo que estejam em países diferentes. Não há necessidade de abrir portas ou ter um endereço IP público , porque cada dispositivo inicia sua conexão com a rede Tailscale e todos ficam no meio. Para um servidor doméstico rodando CGNAT, isso é um grande alívio.
Ao registrar vários dispositivos, uma tailnet é criada, que é a rede privada associada à sua conta. Cada dispositivo recebe um endereço como 100.xyz e um nome MagicDNS para que você não precise memorizar números. Este é o endereço que você insere no aplicativo Jellyfin para se conectar externamente. A Tailscale distribui endereços do bloco 100.64.0.0/10 , o mesmo usado para CGNAT, mas não se confunda: o endereço de internet do seu roteador é completamente diferente, e é esse que você precisa verificar para confirmar se possui CGNAT.
O plano Pessoal da Tailscale é gratuito para uso não comercial e permite até seis usuários, incluindo você, podendo convidar mais cinco pessoas. A empresa o descreve como gratuito para sempre nesse plano, e para uso familiar normal, geralmente é perfeitamente adequado. Combinado com o Jellyfin, que é gratuito e de código aberto , você tem um ecossistema multimídia sem pagar assinatura, ao contrário do Plex Pass, que cobra pelo streaming remoto.
O Tailscale também é a opção recomendada quando a operadora impõe o CGNAT ou quando o provedor de internet bloqueia determinadas conexões de entrada. Em vez de lidar com o roteador, o servidor e os clientes se conectam à rede privada e se encontram lá. O CGNAT se torna irrelevante para essa conexão, pois você não precisa de ninguém acessando sua rede doméstica de fora.
No entanto, o custo oculto não é financeiro, mas sim de conveniência. Cada dispositivo que deseja acessar o conteúdo precisa ter o Tailscale instalado e autorizado , e o servidor precisa estar ligado e conectado à rede para que o conteúdo esteja disponível. Se sua mãe usa uma TV Samsung, sua sogra tem uma Google TV e seu irmão distribui tablets Android antigos, você terá que instalar e configurar o Tailscale em cada dispositivo ou encontrar um intermediário. Para alguém que não entende muito de tecnologia, isso já é uma barreira.
Compartilhar com outras pessoas também tem um porém. A Tailscale permite o compartilhamento de máquinas em todos os planos, mas o convidado precisa de sua própria conta e, além disso, deve ser o proprietário, administrador ou gerente de TI de sua própria tailnet para aceitar o convite. Não é tão simples quanto enviar um link e deixar a outra pessoa entrar sem fazer nada. Para sua sogra, isso pode significar uma instalação, um cadastro e algumas telas antes de assistir ao primeiro filme.
Por fim, a Tailscale nem sempre estabelece uma conexão direta entre os dois pontos de extremidade. Quando há um NAT rígido, firewall ou outras limitações, o tráfego é roteado pelos servidores DERP da Tailscale. Isso pode adicionar latência , o que é perceptível em vídeos: um dia a transmissão é fluida e no dia seguinte apresenta travamentos, mesmo sem nenhuma alteração nas configurações. A política de uso aceitável da Tailscale não inclui uma cláusula específica sobre largura de banda, vídeo ou volume de tráfego, mas isso não muda o fato de que os servidores de retransmissão são um último recurso e não garantem uma transmissão perfeita.
Antes de mexer em qualquer coisa: verifique se você tem CGNAT.
CGNAT significa que seu provedor de internet compartilha o mesmo endereço IP público com vários clientes. Você não tem um endereço IP próprio na internet e, não importa quantas portas você abra no seu roteador, ninguém fora da sua rede conseguirá acessar sua casa. Como se trata de um endereço IP público compartilhado , o encaminhamento de portas tradicional não funcionará, independentemente das suas configurações.
A verificação é rápida. Acesse o painel de controle do seu roteador e encontre o endereço IP da internet, o endereço IP WAN ou o endereço IP externo. Em seguida, a partir de um dispositivo conectado à mesma rede, pesquise "Qual é o meu endereço IP?" no Google e compare os dois números. Se eles não coincidirem, há um intermediário. Se o endereço IP WAN estiver entre 100.64.0.0 e 100.127.255.255 , o problema é claro: você está atrás de um CGNAT. Um segundo roteador na mesma cadeia também pode apresentar o mesmo sintoma, portanto, não descarte essa possibilidade.
Se você usa CGNAT, antes de tentar qualquer solução alternativa, vale a pena entrar em contato com seu provedor e perguntar se eles podem fornecer um endereço IPv4 público. Isso depende do seu contrato e localização, e pode haver um custo, mas é a única maneira de restaurar o encaminhamento de portas tradicional. Há também a opção de IPv6 nativo: se o seu servidor tiver um endereço IPv6 roteável globalmente e a rede da qual você está acessando também usar IPv6, você poderá se conectar dessa forma. O CGNAT é um problema relacionado ao IPv4 , portanto, não o descarte antes de verificar.
E cuidado com atalhos: um DNS dinâmico não corrige o CGNAT. Um nome apontando para um IP compartilhado ainda não levará à sua casa. Um DNS dinâmico não corrige um IP compartilhado ; ele apenas atualiza o nome quando seu IP público muda, então você primeiro precisa ter um IP público real e só depois se preocupar com o nome.
Andar de Tailscale com Jellyfin sem complicações
O processo básico é mais rápido do que escolher o que assistir numa sexta à noite. Primeiro, instale o Jellyfin no computador que funcionará como servidor. Se for Windows, é melhor marcá-lo como um serviço para que inicie automaticamente antes de você fazer login. Em seguida, acesse http://localhost:8096 , adicione as pastas do seu disco rígido e configure a biblioteca, as legendas e a sincronização do progresso da reprodução.
Com o servidor em execução, instale o Tailscale no mesmo computador e nos dispositivos que você deseja acessar. Durante a configuração inicial, crie uma conta e autorize os dispositivos, o que gera a tailnet. Use a mesma conta em todos os dispositivos para que eles possam se comunicar entre si. Se você instalar o Tailscale no servidor, mas não no dispositivo móvel, o dispositivo móvel não fará parte da rede privada e não poderá acessá-la.
Para encontrar o endereço do servidor no Tailscale, você pode usar o comando `tailscale ip -4` na máquina do servidor ou verificar o aplicativo. Ele retornará algo como 100.121.112.23. No aplicativo cliente Jellyfin, adicione manualmente o servidor usando esse endereço e a porta correspondente, por exemplo, 100.xyz:8096 . A descoberta automática do Jellyfin funciona apenas na rede local; portanto, fora da rede local, você precisará inserir o endereço manualmente.
O Tailscale está disponível para Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV e Amazon Fire. A lista abrange muitos dispositivos , mas não todos. As TVs Samsung Tizen e LG webOS não possuem o Tailscale, embora tenham o aplicativo oficial Jellyfin. Aqui reside o problema: a TV pode executar o Jellyfin, mas permanece fora da sua rede privada, a menos que algo a conecte a ela.
Lembre-se de que o servidor deve permanecer ligado e conectado à Tailnet. Um servidor em funcionamento constante é essencial: se o computador desligar ou perder a conexão, os membros da sua família ficarão sem acesso à biblioteca. Além disso, você não pode usar o Tailscale para fins comerciais com o plano gratuito; portanto, se este for um serviço para metade da sua família, certifique-se de que ele atenda às suas necessidades pessoais.
O verdadeiro problema: televisões e familiares impacientes.
Em TVs Samsung Tizen ou LG webOS, o Jellyfin possui um aplicativo oficial na loja, mas o Tailscale não está disponível. A TV consegue abrir o Jellyfin, mas não está na rede doméstica, portanto não consegue acessar o servidor principal. A TV permanece fora da rede doméstica e não há nenhuma configuração específica no aplicativo para resolver isso.
A solução técnica envolve a configuração de um roteador de sub-rede: um dispositivo com o Tailscale instalado que funciona como uma ponte entre a rede privada e os dispositivos que não podem instalar o aplicativo. Funciona, mas não é mais uma simples configuração para uma tarde: requer configurar outro dispositivo, deixá-lo ligado e explicar seu funcionamento interno a quem precisar. Ele funciona como uma ponte , sim, mas não é transparente nem demorado.
Com o Google TV, Chromecast e tablets Android mais antigos, é preciso analisar cada caso individualmente. Se o dispositivo permitir a instalação do Tailscale pela loja de aplicativos, você pode tentar; caso contrário, voltamos ao mesmo problema. Cada dispositivo que deseja se conectar precisa de sua própria instalação ou de um intermediário. Em uma casa com vários tablets antigos, isso pode ser bastante trabalhoso.
Compartilhar sua rede de streaming com um membro da família não é tão simples quanto apertar um botão. O convidado precisa de sua própria conta e, além disso, deve ser o proprietário ou administrador da própria rede para aceitar o convite. Ter uma conta própria e ser administrador é pedir demais para alguém que só quer assistir a um programa. Para sua mãe ou sogra, isso não se compara a abrir o Plex e encontrar a biblioteca já configurada.
Por isso, mesmo que o Tailscale seja a opção mais simples para você, não é a mais simples para sua família. Não se compara ao Plex em termos de transparência para o usuário final. Se todos os dispositivos fossem seus e você pudesse configurá-los antecipadamente, seria ótimo. Mas quando há TVs de terceiros e membros da família que não são muito familiarizados com tecnologia, a situação muda.
Alternativas para que sua família não precise instalar nada.
Se o seu objetivo é que seus convidados liguem a TV e assistam ao Jellyfin sem precisar instalar o Tailscale, a opção mais transparente é um VPS com uma VPN para sua casa e um proxy reverso. Você aluga um pequeno servidor na internet, que possui um endereço IP público estático, configura uma VPN entre o VPS e sua casa e usa um proxy reverso para receber as visitas. O convidado vê apenas um domínio normal com um cadeado HTTPS, sem precisar instalar nada ou se cadastrar em lugar nenhum. No entanto, essa é a configuração mais trabalhosa e a única com cobrança recorrente.
O ponto principal é que a chamada se origina da sua rede doméstica, não do VPS. Seu servidor doméstico abre a conexão com o VPS, então o CGNAT não interfere. Em seguida, o proxy reverso do VPS recebe as visitas dos seus familiares e as envia através do túnel para o Jellyfin. A chamada se origina da sua rede doméstica e o convidado vê apenas um domínio com certificado. No entanto, o VPS não aumenta sua largura de banda: o vídeo ainda se origina da sua rede doméstica e usa sua velocidade de upload.
O gargalo está na sua velocidade de upload , não no tamanho da sua biblioteca. Não importa se você tem 30 TB de filmes: apenas o que está sendo reproduzido passa pelo túnel. Se sua conexão tiver menos de 100 Mbps de velocidade de upload, é recomendável limitar a taxa de bits do Jellyfin a 70% dessa velocidade para evitar interrupções. Esse limite é configurado no painel de controle e afeta dispositivos fora da sua rede local.
O WireGuard é outra opção caso você não tenha CGNAT. É gratuito, rápido e expõe uma porta UDP em vez do painel do Jellyfin, então qualquer pessoa sem a chave sequer receberá uma resposta. Funciona perfeitamente sem CGNAT , mas com CGNAT, seu servidor doméstico não tem um endereço estável para acessar, então o ponto de extremidade de escuta precisa estar fora da sua rede: você volta a usar um VPS. Alguém precisa estar escutando fora da sua rede doméstica; não tem jeito.
O Cloudflare Tunnel evita a abertura de portas e não exige um endereço IP público. Você instala o Cloudflare no servidor, uma conexão de saída é estabelecida e seus convidados acessam o conteúdo pelos navegadores sem precisar instalar nada. O problema está nas entrelinhas: os termos específicos do Cloudflare afirmam que, a menos que você seja um cliente Enterprise, é necessário usar os serviços pagos para distribuir vídeos e arquivos grandes por meio da CDN deles. O Cloudflare reserva-se o direito de desativar ou limitar o acesso caso suspeite que você esteja usando a CDN sem esses serviços. A antiga seção 2.8, que circulou nos fóruns, foi revogada em maio de 2023, e a palavra "Tunnel" não aparece nesse documento. Portanto, não há uma proibição explícita nem uma autorização clara. É uma área cinzenta.
Se você possui um endereço IP público e deseja apenas um nome em vez de uma sequência de números, um serviço de DNS dinâmico gratuito resolve o problema. O DuckDNS se anuncia como gratuito e hospedado na AWS, sem necessidade de cartão de crédito. O No-IP oferece um plano gratuito com nome de host e também sem necessidade de cartão de crédito. DuckDNS e No-IP são as opções mais conhecidas, mas o DynDNS não oferece mais um plano gratuito: você verá apenas a opção de comprar o serviço ou um período de teste de sete dias. E lembre-se de que um serviço de DNS dinâmico não corrige o CGNAT nem substitui o encaminhamento de portas.
Abrir a porta 8096 para o mundo é a pior ideia possível. O Jellyfin é bem claro: abrir uma porta direta para a internet é inseguro e não recomendado. Se você usa HTTP, as senhas trafegam sem criptografia. A melhor abordagem é usar um proxy reverso para encerrar o HTTPS e evitar certificados autoassinados, pois eles causam problemas de compatibilidade e segurança. O encerramento HTTPS em um proxy reverso é a maneira sensata de fazer isso; basta habilitar algumas configurações no Jellyfin e torcer para que tudo dê certo.
Configurações de segurança e ajustes que valem a pena fazer no Jellyfin
A porta 8096 é para HTTP, a 8920 é destinada ao HTTPS, mas não é usada por padrão, e a 7359 é para descoberta local. A porta 8096 não deve ser aberta ao público dessa forma. Se você pretende expor alguma informação, utilize um proxy reverso com HTTPS para receber as visitas e rotear o tráfego para o Jellyfin.
Existem duas configurações separadas para acesso remoto: uma no nível do servidor, em Configurações de Rede e Acesso Remoto, e outra por usuário, no perfil de cada pessoa, com a opção "Permitir conexões remotas a este servidor". Duas configurações separadas significam que você pode excluir contas usadas apenas em casa e permitir acesso remoto somente para aqueles que realmente precisam.
O limite de velocidade é configurado em Painel de Controle > Reprodução > Streaming, em Limite de taxa de bits para streaming na Internet. É um limite por stream para todos os dispositivos fora da sua rede. Se a sua velocidade de upload for inferior a 100 Mbps, o Jellyfin recomenda configurá-lo para 70% da sua velocidade de upload. Dois streams dobram esse limite , portanto, não o considere como um limite total: ele é por stream. Você pode substituir o valor global no perfil de cada usuário.
O Quick Connect permite que você faça login com um código temporário de seis caracteres em vez de um nome de usuário e senha. Ele vem ativado por padrão e pode ser conveniente, mas o código não é válido por si só: ele precisa ser autorizado por um dispositivo no qual você já esteja conectado. Não é uma forma mágica de acessar informações confidenciais. Se você não quiser usá-lo, pode desativá-lo em Configurações > Painel de Controle > Geral, desmarcando a opção "Ativar Quick Connect neste servidor".
Para bibliotecas grandes, não se preocupe demais com o tamanho do disco. Apenas o arquivo que está sendo reproduzido passa pelo túnel, então o que importa é a taxa de bits desse arquivo e a sua velocidade de upload. O tamanho da biblioteca não afeta a largura de banda; o que importa é a taxa de bits do filme ou série que você está assistindo.
O que escolher de acordo com o seu caso
Se você estiver sozinho e seus dispositivos forem um celular, laptop ou tablet, o Tailscale é a opção mais simples: uma tarde, zero euros, e o CGNAT deixa de existir para você. O Tailscale beneficia seus próprios dispositivos porque você pode instalá-lo e autorizá-lo de forma independente. É a solução mais simples quando não há televisores de terceiros envolvidos.
Se você vai compartilhar a internet com familiares que assistem TV e não querem instalar nada, o VPS com VPN e proxy reverso é o único que oferece uma experiência semelhante ao Plex: eles abrem um domínio, digitam a senha e assistem ao conteúdo. O único que não exige instalação também é o mais caro em termos de tempo de uso e o único com cobrança mensal. Para sua mãe, sua sogra e os filhos com tablets antigos, essa transparência é inestimável.
Se você possui um endereço IP público e deseja apenas um nome em vez de um IP que muda constantemente, use o DuckDNS ou o No-IP. O DNS dinâmico é a solução para o nome, mas não para o CGNAT ou para a segurança. Primeiro, verifique se o seu endereço IP público é realmente seu e, depois, preocupe-se com o nome.
O Cloudflare Tunnel pode ser útil se você entender seus termos e não se importar em depender de terceiros. Não presuma que seja gratuito e sem compromissos : existem restrições para vídeos e o Cloudflare pode limitar o serviço. Se você optar por usá-lo, faça-o com plena consciência de que não há uma explicação oficial sobre o tráfego do Tunnel nos termos de uso.
O que você definitivamente não deve fazer é abrir a porta 8096 para o mundo e contar com a sorte. Abrir a porta 8096 para o mundo é a pior opção: insegura, exposta e com senhas que podem trafegar sem criptografia. Se você não quer configurar nada, use o Tailscale para seus dispositivos; se você quer transparência para sua família, use um VPS com VPN e proxy reverso; se você só precisa de um nome de domínio, use DNS dinâmico; e se o Cloudflare Tunnel lhe parecer atraente, leia as letras miúdas primeiro.
A decisão final depende de quem usará o Jellyfin e de quanto tempo você está disposto a investir. O Tailscale é a opção mais simples para você, mas não a mais transparente para sua família. Se todos os dispositivos fossem seus, o Tailscale seria quase perfeito. Com TVs Samsung, LG ou Google e familiares que não querem complicações, um VPS com VPN e proxy reverso é o que mais se aproxima da experiência Plex: eles não precisam instalar nada, você cuida da parte técnica e da conta. E se você só quer experimentar sem gastar nada, o Tailscale pode te salvar hoje mesmo, desde que você consiga configurar cada dispositivo e aceite que o servidor fique sempre online.