Джеллифин вдали от дома с Тейлскейлом: реалистичное руководство для всей семьи

Информатек Диджитал » Сети » Джеллифин вдали от дома с Тейлскейлом: реалистичное руководство для всей семьи

Дома Jellyfin работает безупречно: вы устанавливаете сервер, добавляете папки, и через несколько минут ваша библиотека доступна в гостиной. Проблемы начинаются, когда вы хотите посмотреть что-то на телефоне, iPad или телевизоре родственника, находящегося за много километров. Вот тут-то и вступают в игру маршрутизатор, порты, домены и множество других решений, которые для тех, кто не хочет усложнять ситуацию, могут превратить тихий день в головную боль. Удаленный доступ — это совсем другая история , и если вы хотите, чтобы им пользовались люди с ограниченным техническим терпением, все становится еще сложнее.

Хорошая новость в том, что существуют решения, позволяющие избежать открытия портов и даже работающие, если ваш интернет-провайдер использует CGNAT. Tailscale — самый популярный способ обойтись без роутера, но это не волшебство: он требует установки чего-то на каждое устройство и имеет явные ограничения, когда речь идёт о телевизорах Samsung или LG, а также о более старых устройствах. Нет универсального решения , которое превратит Jellyfin в Plex для всей семьи без какой-либо настройки, но есть более очевидные пути. Давайте внимательно рассмотрим все детали, включая то, о чём обычно никто не говорит, касающиеся Tailscale, Cloudflare Tunnel, VPS и настроек безопасности Jellyfin.

Почему Джеллифин застревает, когда покидает свой дом?

В локальной сети всё очень просто: у сервера есть частный адрес, например, 192.168.1.50, и любое устройство, подключенное к той же сети Wi-Fi, может получить к нему доступ без проблем. Ситуация меняется, когда запрос поступает из интернета, потому что ваш маршрутизатор не знает, на какое устройство перенаправить этот трафик. Для решения этой проблемы обычно используются три классических способа: переадресация портов, настройка обратного прокси или использование туннеля, например, Cloudflare. Все три сложны , и ни один из них не предназначен для того, чтобы ваша тёща могла его настроить с другого конца света.

Переадресация портов подразумевает указание маршрутизатору направлять весь трафик, поступающий на определенный порт, на компьютер, на котором работает Jellyfin. Звучит просто, но требует доступа к панели управления маршрутизатора, создания правила, назначения локального IP-адреса сервера и надежды на то, что публичный IP-адрес не будет часто меняться. Кроме того, открытие портов на маршрутизаторе создает уязвимость, видимую из интернета, и, если ее не защитить должным образом, это может стать серьезной дырой в безопасности.

Обратный прокси-сервер — более элегантный, но и более технически сложный вариант. Он используется для приема посещений, шифрования соединения по протоколу HTTPS и передачи их на сервер Jellyfin. Обычно это требует покупки или управления доменом, настройки сертификатов и понимания того, что происходит на каждом этапе. Это не невозможно , но это не то, что вы порекомендуете тому, кто просто хочет посмотреть фильм на своем iPad, не обращаясь к компьютерному специалисту.

Cloudflare Tunnel — ещё один вариант: вы устанавливаете программу на сервер, она открывает исходящее соединение, и ваши гости могут получить к нему доступ, используя обычное имя, без необходимости открывать порты или иметь публичный IP-адрес. Проблема в том, что условия использования Cloudflare не так удобны, как кажется, когда речь идёт о предоставлении видеоконтента, и вы также зависите от посредника, который может изменять правила или ограничивать ваш сервис.

Общим знаменателем всех этих вариантов является то, что так или иначе они предоставляют доступ к вашей домашней сети из интернета , публикуют домен или зависят от стороннего поставщика. Это объясняет, почему многие отказываются от функции удаленного доступа Jellyfin, не усложняя процесс. Рекомендация самой Jellyfin ясна: открывать прямой порт для доступа из интернета не рекомендуется, поскольку пароли могут передаваться в незашифрованном виде при использовании обычного HTTP. Порт 8096 предназначен для HTTP, 8920 — для HTTPS, но по умолчанию не используется, а 7359 — для локального обнаружения, поэтому их также не следует открывать.

Что предлагает Tailscale и в чём подвох?

Tailscale создает частную сеть на основе WireGuard. Идея заключается в том, что вы устанавливаете приложение на несколько устройств, авторизуете их с помощью одной и той же учетной записи, и все они ведут себя так, как если бы были подключены к одному и тому же маршрутизатору, даже если находятся в разных странах. Нет необходимости открывать порты или иметь публичный IP-адрес , потому что каждое устройство инициирует свое подключение к сети Tailscale, и все они находятся посередине. Для домашнего сервера с CGNAT это огромное облегчение.

При регистрации нескольких устройств создается «тайлнет» — частная сеть, связанная с вашей учетной записью. Каждое устройство получает адрес, например, 100.xyz, и имя MagicDNS, поэтому вам не нужно запоминать цифры. Именно этот адрес вы затем вводите в приложение Jellyfin для подключения извне. Tailscale распределяет адреса из блока 100.64.0.0/10 , того же, что используется для CGNAT, но не путайте: интернет-адрес вашего маршрутизатора — это совсем другое, и именно его вам нужно проверить, чтобы убедиться, что у вас есть CGNAT.

Персональный тарифный план Tailscale бесплатен для некоммерческого использования и позволяет подключить до шести пользователей, включая вас самих, так что вы можете пригласить еще пять человек. Компания заявляет, что этот план бесплатен навсегда, и для обычного семейного использования его обычно вполне достаточно. В сочетании с Jellyfin, бесплатным и открытым программным обеспечением , вы получаете мультимедийную экосистему без подписки, в отличие от Plex Pass, который взимает плату за удаленную потоковую передачу.

Tailscale также рекомендуется в тех случаях, когда оператор применяет CGNAT или когда интернет-провайдер блокирует определенные входящие соединения. Вместо взаимодействия с маршрутизатором сервер и клиенты подключаются к частной сети и встречаются там. CGNAT становится неактуальным для такого соединения, поскольку вам не нужно, чтобы кто-то извне обращался к вашей домашней сети.

Однако скрытая стоимость заключается не в деньгах, а в удобстве. Каждое устройство, желающее получить доступ к контенту, должно иметь установленный и авторизованный Tailscale , а сервер должен быть включен и подключен к сети Tailscale, чтобы контент был доступен. Если ваша мама пользуется телевизором Samsung, ваша теща — Google TV, а ваш брат раздает старые планшеты Android, вам придется установить и настроить Tailscale на каждом устройстве или найти мост. Для человека, не разбирающегося в технике, это уже само по себе является препятствием.

Совместное использование с другими пользователями также имеет свои нюансы. Tailscale позволяет совместно использовать виртуальные машины на всех тарифных планах, но для принятия приглашения гостю необходима собственная учетная запись, и, кроме того, он должен быть владельцем, администратором или IT-менеджером своей собственной сети. Это не так просто, как отправить ссылку и позволить другому человеку войти в систему без каких-либо действий. Для вашей тещи это может означать установку, регистрацию и просмотр нескольких экранов перед просмотром первого фильма.

Наконец, Tailscale не всегда устанавливает прямое соединение между двумя конечными точками. При наличии жесткого NAT, брандмауэра или других ограничений трафик направляется через ретрансляторы DERP Tailscale. Это может увеличить задержку , что заметно в видео: сегодня все плавно, а завтра начинаются рывки, даже если вы не меняли никаких настроек. Политика допустимого использования Tailscale не содержит конкретного пункта, касающегося пропускной способности, видео или объема трафика, но это не меняет того факта, что ретрансляторы — это крайняя мера, а не гарантия идеальной потоковой передачи.

Прежде чем что-либо трогать: проверьте, есть ли у вас CGNAT.

CGNAT означает, что ваш интернет-провайдер использует один и тот же публичный IP-адрес для нескольких клиентов. У вас нет собственного адреса в интернете, и независимо от того, сколько портов вы откроете на своем маршрутизаторе, никто за пределами вашей сети не сможет получить доступ к вашему дому. Это общий публичный IP-адрес , поэтому традиционная переадресация портов не сработает, как бы вы её ни настроили.

Проверка быстрая. Зайдите в панель управления вашего маршрутизатора и найдите его интернет-IP-адрес, WAN-IP-адрес или внешний IP-адрес. Затем с устройства, подключенного к той же сети, найдите в Google запрос "Какой у меня IP-адрес?" и сравните два числа. Если они не совпадают, значит, есть промежуточный узел. Если WAN-IP-адрес находится в диапазоне от 100.64.0.0 до 100.127.255.255 , проблема очевидна: вы находитесь за CGNAT. Второй маршрутизатор в той же сети также может демонстрировать тот же симптом, поэтому не исключайте его.

Если у вас используется CGNAT, прежде чем пытаться обойти какие-либо ограничения, стоит позвонить своему провайдеру и спросить, могут ли они предоставить вам публичный IPv4-адрес. Это зависит от вашего контракта и местоположения, и может быть платно, но это единственный способ восстановить традиционную переадресацию портов. Также есть вариант с использованием нативного IPv6: если ваш сервер имеет глобально маршрутизируемый IPv6-адрес, и сеть, из которой вы получаете доступ, также использует IPv6, вы можете подключиться таким образом. CGNAT — это проблема IPv4 , поэтому не исключайте её, не проверив предварительно.

И остерегайтесь обходных путей: динамический DNS не исправляет CGNAT. Имя, указывающее на общий IP-адрес, всё равно не приведёт к вашему домашнему серверу. Динамический DNS не исправляет общий IP-адрес ; он обновляет имя только при изменении вашего публичного IP-адреса, поэтому сначала вам нужен реальный публичный IP-адрес, а затем уже нужно беспокоиться об имени.

Езда на Tailscale с Jellyfin без лишних хлопот.

Основной процесс короче, чем выбор того, что посмотреть в пятничный вечер. Сначала установите Jellyfin на компьютер, который будет выступать в качестве сервера. Если это Windows, лучше отметить его как службу, чтобы он запускался автоматически перед входом в систему. Затем перейдите по адресу http://localhost:8096 , добавьте папки с вашего жесткого диска и настройте синхронизацию библиотеки, субтитров и хода воспроизведения.

После запуска сервера установите Tailscale на тот же компьютер и на устройства, с которых вы хотите получить к нему доступ. Во время первоначальной настройки создайте учетную запись и авторизуйте устройства, что сгенерирует Tailnet. Используйте одну и ту же учетную запись на всех устройствах, чтобы они могли видеть друг друга. Если вы установите Tailscale на сервер, но не на мобильное устройство, мобильное устройство не будет частью частной сети и не сможет получить к ней доступ.

Чтобы найти адрес сервера в Tailscale, можно использовать команду `tailscale ip -4` на сервере или проверить приложение. Она вернет что-то вроде 100.121.112.23. В клиентском приложении Jellyfin добавьте сервер вручную, используя этот адрес и соответствующий порт, например, 100.xyz:8096 . Автоматическое обнаружение в Jellyfin работает только в локальной сети, поэтому извне локальной сети вам придется ввести адрес вручную.

Приложение Tailscale доступно для Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV и Amazon Fire. Список охватывает множество устройств , но не все. Телевизоры Samsung Tizen и LG webOS не поддерживают Tailscale, хотя у них есть официальное приложение Jellyfin. В этом и заключается проблема: телевизор может работать с Jellyfin, но он остается вне вашей частной сети, если к ней не подключено какое-либо устройство.

Помните, что сервер должен оставаться включенным и подключенным к Tailnet. Постоянно работающий сервер крайне важен: если компьютер выключится или потеряет соединение, члены вашей семьи останутся без доступа к библиотеке. Кроме того, бесплатный тарифный план не позволяет использовать Tailscale в коммерческих целях, поэтому, если эта услуга будет доступна половине вашей семьи, убедитесь, что она соответствует вашим личным потребностям.

Настоящая проблема: телевизоры и нетерпеливые члены семьи.

На телевизорах Samsung Tizen или LG webOS есть официальное приложение Jellyfin в магазине, но Tailscale недоступен. Телевизор может открыть Jellyfin, но он не подключен к домашней сети, поэтому не может связаться с домашним сервером. Телевизор остается вне домашней сети , и в приложении нет волшебной настройки, которая могла бы это исправить.

Техническое решение предполагает настройку подсети-маршрутизатора: устройства, на котором установлено приложение Tailscale и которое выступает в качестве моста между частной сетью и устройствами, на которые установить приложение невозможно. Это работает, но настройка занимает уже не один день: требуется настроить другое устройство, оставить его включенным и объяснить принцип его работы всем, кому это необходимо. Да, оно выступает в роли моста , но это не прозрачно и не отнимает много времени.

В случае с Google TV, Chromecast и старыми планшетами Android приходится рассматривать каждый случай индивидуально. Если устройство позволяет установить Tailscale из собственного магазина, можно попробовать; если нет, проблема остаётся. Каждому устройству , желающему подключиться, требуется собственная установка или мост для его поддержки. В доме с несколькими старыми планшетами это может стать довольно хлопотным делом.

Предоставить доступ к своему интернет-магазину членам семьи не так просто, как нажать кнопку. Гостю нужна собственная учетная запись, и, более того, он должен быть владельцем или администратором своего интернет-магазина, чтобы принять приглашение. Наличие собственной учетной записи и прав администратора — это слишком много для того, кто просто хочет посмотреть передачу. Для вашей матери или свекрови это не то же самое, что открыть Plex и обнаружить, что библиотека уже настроена.

Вот почему, даже если Tailscale — самый простой вариант для вас, он не самый простой для вашей семьи. Он не сравним с Plex по прозрачности для конечного пользователя. Если бы все устройства были вашими, и вы могли бы настроить их заранее, это было бы замечательно. Но когда есть телевизоры сторонних производителей и члены семьи, не очень разбирающиеся в технике, ситуация меняется.

Альтернативные варианты, чтобы вашей семье не пришлось ничего устанавливать.

Если ваша цель — чтобы ваши гости включали телевизор и смотрели Jellyfin без установки Tailscale, наиболее прозрачным вариантом является VPS с VPN-подключением к вашему дому и обратным прокси. Вы арендуете небольшой сервер в интернете, который имеет статический публичный IP-адрес, настраиваете VPN между VPS и вашим домом и используете обратный прокси для приема посещений. Гость видит только обычный домен с HTTPS-замком, ничего не устанавливая и нигде не регистрируясь. Однако это наиболее трудоемкий вариант и единственный с периодической оплатой.

Ключевой момент заключается в том, что звонок поступает из вашей домашней сети, а не с VPS. Ваш домашний сервер открывает соединение с VPS, поэтому CGNAT не создает помех. Затем обратный прокси-сервер VPS принимает визиты членов вашей семьи и направляет их через туннель в Jellyfin. Звонок поступает из вашей домашней сети , и гость видит только домен с сертификатом. Однако VPS не увеличивает вашу пропускную способность: видео по-прежнему поступает из вашей домашней сети и использует вашу скорость загрузки.

Узким местом является скорость загрузки , а не размер вашей библиотеки. Неважно, если у вас 30 ТБ фильмов: через туннель проходит только то, что воспроизводится. Если скорость загрузки вашего соединения ниже 100 Мбит/с, рекомендуется ограничить битрейт Jellyfin до 70% от этой скорости, чтобы избежать перебоев. Это ограничение настраивается в панели управления и влияет на устройства за пределами вашей локальной сети.

WireGuard — ещё один вариант, если у вас нет CGNAT. Он бесплатный, быстрый и открывает UDP-порт вместо панели Jellyfin, поэтому любой, у кого нет ключа, даже не получит ответа. Он отлично работает и без CGNAT , но с CGNAT у вашего домашнего сервера нет стабильного адреса для подключения, поэтому точка прослушивания должна находиться вне вашего дома: вы возвращаетесь к VPS. Кто-то должен прослушивать вне вашей домашней сети; этого никак не избежать.

Cloudflare Tunnel позволяет избежать открытия портов и не требует публичного IP-адреса. Вы устанавливаете Cloudflare на сервер, устанавливается исходящее соединение, и ваши гости получают доступ к нему через свои браузеры без установки чего-либо. Проблема заключается в мелком шрифте: в конкретных условиях Cloudflare указано, что, если вы не являетесь корпоративным клиентом, вы должны использовать платные услуги для предоставления видео и больших файлов через их CDN. Cloudflare оставляет за собой право отключить или ограничить доступ, если заподозрит, что вы используете CDN без этих услуг. Старый раздел 2.8, который распространялся на форумах, был отменен в мае 2023 года, и слово «туннель» в этом документе отсутствует, поэтому нет ни явного запрета, ни четкого разрешения. Это серая зона.

Если у вас есть публичный IP-адрес и вам нужно только имя, а не последовательность цифр, подойдет бесплатный сервис динамического DNS. DuckDNS позиционирует себя как бесплатный сервис, размещенный на AWS и не требующий ввода данных кредитной карты. No-IP предлагает бесплатный тарифный план с именем хоста, также не требующий ввода данных кредитной карты. DuckDNS и No-IP — наиболее известные варианты, но DynDNS больше не предлагает бесплатный тариф: вы увидите только возможность приобрести услугу или семидневную пробную версию. И помните, что сервис динамического DNS не решает проблему CGNAT и не заменяет переадресацию портов.

Открытие порта 8096 для всего мира — худшая идея на свете. Jellyfin прямо заявляет: открытие прямого порта для доступа в интернет небезопасно и не рекомендуется. При использовании HTTP пароли передаются в незашифрованном виде. Лучший подход — использовать обратный прокси для завершения HTTPS-соединения и избегать самоподписанных сертификатов, поскольку они вызывают проблемы совместимости и безопасности. Завершение HTTPS-соединения через обратный прокси — разумный способ; достаточно просто включить несколько настроек в Jellyfin и надеяться на лучшее.

Настройки безопасности и параметры, которые стоит изменить в Jellyfin.

Порт 8096 предназначен для HTTP, 8920 — для HTTPS, но по умолчанию не используется, а 7359 — для локального обнаружения. Порт 8096 не должен быть открыт для публичного доступа в текущем виде. Если вы собираетесь что-то открывать, используйте обратный прокси-сервер с HTTPS для приема посещений и перенаправления трафика на Jellyfin.

Для удалённого доступа предусмотрены два отдельных переключателя: один на уровне сервера, в разделе «Сеть и настройки удалённого доступа», и другой для каждого пользователя, в профиле каждого пользователя, с опцией «Разрешить удалённые подключения к этому серверу». Два отдельных переключателя позволяют исключить учётные записи, используемые только дома, и разрешить удалённый доступ только тем, кому он действительно необходим.

Ограничение скорости настраивается в Панели управления > Воспроизведение > Потоковая передача, в разделе «Ограничение битрейта потоковой передачи через Интернет». Это ограничение для каждого потока и всех устройств вне вашей сети. Если ваша скорость загрузки меньше 100 Мбит/с, Jellyfin рекомендует установить его на уровне 70% от вашей скорости загрузки. Два потока удваивают это ограничение , поэтому не рассматривайте его как общее ограничение: оно применяется к каждому потоку отдельно. Вы можете переопределить глобальное значение в профиле каждого пользователя.

Функция Quick Connect позволяет входить в систему с помощью временного шестисимвольного кода вместо имени пользователя и пароля. Она включена по умолчанию и может быть удобна, но сам по себе код недействителен: он должен быть авторизован устройством, на котором вы уже вошли в систему. Это не волшебная лазейка. Если вы не хотите её использовать, вы можете отключить её в разделе «Настройки» > «Панель управления» > «Общие», сняв флажок «Включить Quick Connect на этом сервере».

При работе с большими библиотеками не стоит зацикливаться на размере диска. Через туннель проходит только воспроизводимый файл, поэтому важны битрейт этого файла и скорость загрузки. Размер библиотеки не влияет на пропускную способность; важен битрейт фильма или сериала, который вы смотрите в данный момент.

Что выбрать в зависимости от вашего случая

Если вы работаете самостоятельно и используете мобильный телефон, ноутбук или планшет, Tailscale — самый простой вариант: один день, ноль евро, и CGNAT перестаёт для вас существовать. Tailscale выгоден для ваших собственных устройств, поскольку вы можете установить и авторизовать его самостоятельно. Это самое простое решение, когда не используются телевизоры сторонних производителей.

Если вы собираетесь поделиться контентом с членами семьи, которые смотрят телевизор и не хотят ничего устанавливать, то VPS с VPN и обратным прокси — единственный вариант, который обеспечит им опыт, подобный Plex: они создают домен, вводят пароль и смотрят контент. Единственный вариант, который не требует установки, также является самым дорогим с точки зрения времени и единственным с ежемесячной оплатой. Для вашей матери, свекрови и детей со старыми планшетами такая прозрачность бесценна.

Если у вас есть публичный IP-адрес и вам нужно только имя, а не меняющийся IP-адрес, используйте DuckDNS или No-IP. Динамический DNS — это решение для имени, но не для CGNAT или безопасности. Сначала убедитесь, что ваш публичный IP-адрес принадлежит вам, а затем уже беспокойтесь об имени.

Cloudflare Tunnel может быть полезен, если вы понимаете его условия и не против полагаться на третью сторону. Не стоит предполагать, что он бесплатный и ни к чему не обязывает : существуют ограничения на видео, и Cloudflare может ограничить доступ к сервису. Если вы решите попробовать, делайте это с полной уверенностью, зная, что в их условиях нет официального объяснения относительно трафика через туннель.

Чего вам ни в коем случае не следует делать, так это открывать порт 8096 для всего мира и полагаться на удачу. Открытие порта 8096 для всего мира — худший вариант: небезопасный, уязвимый, с паролями, которые могут передаваться в незашифрованном виде. Если вы не хотите ничего настраивать, используйте Tailscale для своих устройств; если вам нужна прозрачность для вашей семьи, используйте VPS с VPN и обратным прокси; если вам просто нужно доменное имя, используйте динамический DNS; а если вас соблазняет Cloudflare Tunnel, сначала внимательно изучите условия.

Окончательное решение зависит от того, кто будет использовать Jellyfin и сколько времени вы готовы потратить. Tailscale — самый простой вариант для вас, но не самый удобный для вашей семьи. Если бы все устройства были вашими, Tailscale был бы практически идеальным. Для телевизоров Samsung, LG или Google TV и членов семьи, которые не хотят никаких хлопот, VPS с VPN и обратным прокси — это наиболее близкий к Plex вариант: им ничего не нужно устанавливать, вы занимаетесь работой и оплатой. А если вы просто хотите попробовать, не потратив ни копейки, Tailscale может выручить вас уже сегодня, при условии, что вы сможете настроить каждое устройство и смиритесь с тем, что сервер всегда включен.