- tailscale evita abrir puertos y funciona con CGNAT, pero obliga a instalar y autorizar la app en cada dispositivo que quiera entrar.
- Para familiares con televisiones Samsung, LG o Google TV y poca soltura, la opción más transparente suele ser un VPS con VPN y proxy inverso: ellos solo ven un dominio normal con HTTPS.
- Preden izberete, comprueba si tienes CGNAT: si la IP WAN del router no coincide con la que ves en internet, el reenvío de puertos no te servirá.
Jellyfin dentro de casa va como un tiro: instalas el servidor, añades las carpetas y en unos minutos tienes tu biblioteca disponible en el salón. El marrón aparece cuando quieres ver algo desde el móvil, el iPad o la tele de un familiar que está a kilómetros de distancia. Ahí entran en juego el router, los puertos, los dominios y un montón de decisiones que, para quien no tiene ganas de complicarse, pueden convertir una tarde tranquila en un dolor de cabeza. El acceso remoto es otro cantar y, si encima quieres que lo use gente con poca paciencia tecnológica, la cosa se pone más cuesta arriba.
La buena noticia es que hay soluciones que evitan abrir puertos y que incluso funcionan cuando tu operador te tiene detrás de CGNAT. Tailscale es la más popular para salir del paso sin tocar el router, pero no es magia: exige instalar algo en cada dispositivo y tiene límites claros cuando hablamos de televisiones Samsung, LG o cacharros viejos. Ni čarobnega zdravila que convierta Jellyfin en Plex para toda la familia sin montar nada, pero sí hay caminos más transparentes que otros. Vamos a repasar todos los detalles con calma, incluyendo lo que nadie suele contar sobre Tailscale, Cloudflare Tunnel, los VPS y los ajustes de seguridad de Jellyfin.
Por qué Jellyfin se atasca cuando sale de casa
En la red local todo es muy sencillo: el servidor tiene una dirección privada, del estilo 192.168.1.50, y cualquier dispositivo conectado al mismo WiFi entra sin problema. El asunto cambia cuando la petición llega desde internet, porque tu router no sabe a qué equipo debe mandar ese tráfico. Para resolverlo se suele recurrir a tres fórmulas clásicas: reenviar puertos, montar un proxy inverso o utilizar un túnel como Cloudflare. Las tres tienen miga y ninguna está pensada para que la configure tu suegra desde el otro lado del mundo.
El reenvío de puertos consiste en decirle al router que todo lo que llegue por un puerto concreto vaya a parar al ordenador donde corre Jellyfin. Suena fácil, pero obliga a entrar en el panel del router, crear una regla, fijar la IP local del servidor y confiar en que la IP pública no cambie cada dos por tres. Además, odprta vrata na usmerjevalniku deja una puerta visible desde internet y, si no se protege bien, puede convertirse en un agujero de seguridad importante.
El proxy inverso es más elegante, pero también más técnico. Sirve para recibir las visitas, cifrar la conexión con HTTPS y pasarlas al Jellyfin de dentro. Normalmente exige comprar o gestionar un dominio, configurar certificados y entender qué está pasando en cada paso. No es imposible, pero no es lo que uno recomendaría a alguien que solo quiere ver una película en su iPad sin llamar a un informático.
Cloudflare Tunnel es otra vía: instalas un programa en el servidor, este abre una conexión hacia fuera y tus invitados entran por un nombre normal sin necesidad de abrir puertos ni tener IP pública. El problema es que la letra pequeña de Cloudflare no es tan amable como parece cuando hablamos de servir vídeo, y además dependes de un intermediario que puede cambiar las reglas o limitarte el servicio.
El denominador común de todas estas opciones es que, de una forma u otra, exponen la red doméstica a internet, publican un dominio o dependen de un proveedor externo. Eso explica por qué mucha gente aparca el acceso remoto de Jellyfin antes de complicarse. La propia recomendación de Jellyfin es clara: abrir un puerto directo a internet no es recomendable porque las contraseñas pueden viajar sin cifrar si usas HTTP a secas. El puerto 8096 es HTTP, el 8920 está pensado para HTTPS pero no se usa por defecto, y el 7359 sirve para el descubrimiento local, así que tampoco debe exponerse alegremente.
Qué aporta Tailscale y dónde está el truco
Tailscale construye una red privada basada en WireGuard. La idea es que instalas la aplicación en varios dispositivos, los autorizas con una misma cuenta y todos se comportan como si estuvieran enchufados al mismo router, aunque estén en países distintos. No hace falta abrir puertos ni tener IP pública, porque cada equipo inicia su conexión hacia la red de Tailscale y se encuentran en medio. Para un servidor doméstico detrás de CGNAT, esto es un alivio enorme.
Cuando registras varios dispositivos, se crea una tailnet, que es la red privada asociada a tu cuenta. Cada equipo recibe una dirección del estilo 100.x.y.z y un nombre MagicDNS para no tener que memorizar números. Esa dirección es la que luego pones en la app de Jellyfin para conectarte desde fuera. Tailscale reparte direcciones del bloque 100.64.0.0/10, el mismo que se usa para CGNAT, pero no te confundas: la dirección de tu router en internet es otra cosa y es la que hay que mirar cuando compruebas si tienes CGNAT.
El plan Personal de Tailscale es gratuito para uso no comercial y permite hasta seis usuarios, contando el tuyo, así que puedes invitar a otras cinco personas. La empresa lo describe como gratis para siempre en ese plan, y para un uso familiar normal no suele haber problema. Combinado con Jellyfin, que es gratuito y de código abierto, tienes un ecosistema multimedia sin pagar suscripción, algo que contrasta con Plex Pass, que cobra por el streaming remoto.
Tailscale también es la opción que se suele recomendar cuando el operador aplica CGNAT o cuando el ISP bloquea ciertas conexiones entrantes. En lugar de pelearte con el router, el servidor y los clientes salen hacia la red privada y se encuentran allí. El CGNAT deja de importar para esa conexión, porque no necesitas que nadie llame a tu casa desde fuera.
Ahora bien, el precio oculto no es dinero, es comodidad. Cada dispositivo que quiera entrar necesita Tailscale instalado y autorizado, y el servidor tiene que estar encendido y conectado a la tailnet para que el contenido esté disponible. Si tu madre usa una tele Samsung, tu suegra tiene un Google TV y tu hermano reparte tablets Android viejas, tendrás que instalar y configurar Tailscale en cada cacharro o buscar un puente. Eso, para alguien que no es técnico, ya es una barrera.
Compartir con otras personas también tiene su letra pequeña. Tailscale permite compartir máquinas en todos los planes, pero el invitado necesita su propia cuenta y, además, debe ser propietario, administrador o administrador de IT de su propia tailnet para aceptar la invitación. No es tan simple como mandar un enlace y que la otra persona entre sin hacer nada. Para tu suegra, eso puede ser una instalación, un registro y un par de pantallas antes de ver la primera película.
Por último, Tailscale no siempre consigue una conexión directa entre los dos extremos. Cuando hay NAT difícil, cortafuegos o alguna otra limitación, el tráfico pasa por los relés DERP de Tailscale. Eso puede añadir latencia, y en vídeo se nota: un día va fino y otro da tirones sin que hayas tocado nada. La política de uso aceptable de Tailscale no incluye una cláusula específica de ancho de banda, vídeo o volumen de tráfico, pero eso no quita que los relés sean un último recurso y no una garantía de streaming perfecto.
Antes de tocar nada: comprueba si tienes CGNAT
CGNAT significa que tu operador comparte una misma IP pública entre varios clientes. Tú no tienes una dirección propia en internet y, por mucho que abras puertos en el router, desde fuera no hay forma de llegar a tu casa. Es una IP pública compartida, así que el reenvío de puertos de toda la vida no te servirá por mucho que lo configures.
La comprobación es rápida. Entra en el panel del router y busca la IP de internet, WAN o IP externa. Luego, desde un dispositivo conectado a esa misma red, busca en Google cuál es mi IP y compara los dos números. Si no coinciden, hay un intermediario. Si la IP de la WAN está entre 100.64.0.0 in 100.127.255.255, la cosa es concluyente: estás detrás de CGNAT. Un segundo router en cadena también puede dar el mismo síntoma, así que no descartes esa posibilidad.
Si tienes CGNAT, antes de montar inventos merece la pena llamar al operador y preguntar si pueden darte una IPv4 pública. Depende del contrato y de la zona, y puede tener coste, pero es la única vía que te devuelve el reenvío de puertos clásico. También existe la opción de IPv6 nativo: si tu servidor tiene una dirección IPv6 enrutable globalmente y la red desde la que miras también habla IPv6, podrías acceder por ahí. El CGNAT es un problema de IPv4, así que no cierres esa puerta antes de comprobarlo.
Y ojo con los atajos: un DNS dinámico no arregla el CGNAT. Un nombre que apunta a una IP compartida sigue sin llevar a tu casa. Un DNS dinámico no arregla una IP compartida; solo actualiza el nombre cuando cambia tu IP pública, así que primero tienes que tener una IP pública de verdad y luego preocuparte por el nombre.
Montar Tailscale con Jellyfin sin líos
El proceso básico es más corto que elegir qué ver un viernes por la noche. Primero instalas Jellyfin en el equipo que hará de servidor. Si es Windows, conviene marcarlo como servicio para que arranque solo antes de iniciar sesión. Después entras en http://localhost:8096, añades las carpetas del disco duro y configuras la biblioteca, los subtítulos y la sincronización del progreso de visionado.
Con el servidor en marcha, instalas Tailscale en ese mismo equipo y en los dispositivos desde los que quieras entrar. Durante el primer registro creas una cuenta y autorizas los equipos, lo que genera la tailnet. Usa la misma cuenta en todos para que se vean entre sí. Si instalas Tailscale en el servidor pero no en el móvil, el móvil no estará dentro de la red privada y no podrá acceder.
Para averiguar la dirección del servidor dentro de Tailscale, puedes usar el comando tailscale ip -4 en la máquina del servidor o mirar la aplicación. Te devolverá algo parecido a 100.121.112.23. En la app de Jellyfin del cliente, añade el servidor a mano con esa dirección y el puerto correspondiente, por ejemplo 100.x.y.z:8096. El autodescubrimiento de Jellyfin solo funciona en la red local, así que desde fuera tendrás que escribir la dirección a mano.
Tailscale está disponible para Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV y Amazon Fire. La lista cubre muchos dispositivos, pero no todos. Las teles Samsung Tizen y LG webOS no tienen Tailscale, aunque sí tienen app oficial de Jellyfin. Ahí aparece el problema: la tele puede ejecutar Jellyfin, pero se queda fuera de tu red privada si no hay algo que la meta dentro.
Recuerda que el servidor tiene que permanecer encendido y conectado a la tailnet. El servidor siempre encendido es una condición indispensable: si el equipo se apaga o pierde la conexión, tus familiares se quedan sin biblioteca. Tampoco puedes usar Tailscale para un uso comercial con el plan gratuito, así que si esto va a ser un servicio para media familia, asegúrate de que entra dentro de las condiciones personales.
El problema real: televisores y familiares con poca paciencia
En una Samsung Tizen o una LG webOS, Jellyfin tiene aplicación oficial en la tienda, pero Tailscale no está disponible. La tele puede abrir Jellyfin, pero no está dentro de la red privada, así que no llega al servidor de casa. La tele se queda fuera de la red privada y no hay ajuste mágico dentro de la app que lo arregle.
La solución técnica pasa por montar un subnet router: un equipo que sí tenga Tailscale y que haga de puente entre la red privada y esos dispositivos que no pueden instalar la aplicación. Funciona, pero ya no es una tarde de configuración: es montar otro aparato, dejarlo encendido y explicar las tripas a quien sea. Hace de puente, sí, pero no es transparente ni barato en tiempo.
Con Google TV, Chromecast y tablets Android viejas hay que mirar caso por caso. Si el dispositivo permite instalar Tailscale desde su tienda, puedes intentarlo; si no, volvemos al mismo problema. Cada cacharro que quiera entrar necesita su instalación o un puente que lo cubra. En una casa con varias tablets medio chotas, eso puede ser un entretenimiento.
Compartir la tailnet con un familiar tampoco es pulsar un botón y listo. El invitado necesita cuenta propia y, además, debe ser propietario o administrador de su propia tailnet para aceptar la invitación. Cuenta propia y ser administrador es demasiado pedir para alguien que solo quiere ver una serie. Para tu madre o tu suegra, eso no es comparable a abrir Plex y encontrar la biblioteca ya montada.
Por eso, aunque Tailscale sea la opción más sencilla para ti, no es la más sencilla para tu familia. No es comparable a Plex en cuanto a transparencia para el usuario final. Si todos los dispositivos fueran tuyos y pudieras configurarlos de antemano, sería una maravilla. Cuando hay teles de terceros y familiares con poca soltura, el panorama cambia.
Alternativas para que tu familia no instale nada
Si el objetivo es que tus invitados abran la tele y vean Jellyfin sin instalar Tailscale, la opción más transparente es un VPS con VPN hasta tu casa y un proxy inverso. Alquilas un servidor pequeño en internet, que sí tiene IP pública fija, montas una VPN entre el VPS y tu casa y pones un proxy inverso que reciba las visitas. El invitado solo ve un dominio normal con candado HTTPS, sin instalar nada ni registrarse en ningún sitio. A cambio, es el montaje más laborioso y el único con factura recurrente.
La clave está en que la llamada la inicia tu casa, no el VPS. Tu servidor doméstico abre la conexión hacia el VPS, de modo que el CGNAT no estorba. Luego el proxy inverso del VPS recibe las visitas de tus familiares y las manda por el túnel hasta Jellyfin. La llamada la inicia tu casa y el invitado solo ve un dominio con certificado. Eso sí, el VPS no multiplica tu ancho de banda: el vídeo sigue saliendo de tu casa y manda tu velocidad de subida.
El cuello de botella es tu velocidad de subida, no el tamaño de la biblioteca. Da igual que tengas 30 TB de películas: por el túnel solo pasa lo que se está reproduciendo. Si tu conexión tiene menos de 100 Mbps de subida, conviene limitar el bitrate de Jellyfin al 70 % de esa velocidad para evitar cortes. Ese límite se configura en el panel de control y afecta a los dispositivos que están fuera de la red local.
WireGuard propio es otra posibilidad si no tienes CGNAT. Es libre, rápido y expone un puerto UDP en lugar del panel de Jellyfin, así que quien no tenga la clave ni siquiera recibe respuesta. Sin CGNAT va de lujo, pero con CGNAT el servidor de tu casa no tiene una dirección estable a la que llamar, así que el extremo que escucha tiene que estar fuera: vuelves al VPS. Alguien tiene que escuchar fuera de tu casa, no hay vuelta de hoja.
Cloudflare Tunnel evita abrir puertos y no necesita IP pública. Instalas cloudflared en el servidor, se abre una conexión hacia fuera y tus invitados entran por el navegador sin instalar nada. El problema es la letra pequeña: en los términos específicos de Cloudflare se indica que, salvo que seas cliente Enterprise, para servir vídeo y archivos grandes por su CDN tienes que usar servicios de pago. Cloudflare se reserva el derecho a desactivar o limitar el acceso si sospecha que estás usando la CDN sin esos servicios. La antigua sección 2.8 que circulaba por los foros está derogada desde mayo de 2023, y la palabra Tunnel no aparece en ese documento, así que no hay una prohibición explícita ni una autorización clara. Es un terreno gris.
Si tienes IP pública y solo quieres un nombre en vez de una ristra de números, un DNS dinámico gratuito te resuelve la papeleta. DuckDNS se anuncia como gratuito y alojado en AWS, sin tarjeta. No-IP mantiene un plan gratuito con un hostname y sin tarjeta. DuckDNS y No-IP son las opciones más conocidas, pero DynDNS ya no tiene plan gratuito: solo verás comprar el servicio o una prueba de siete días. Y recuerda que un DNS dinámico no arregla el CGNAT ni sustituye al reenvío de puertos.
Abrir el 8096 al mundo es la peor idea de todas. Jellyfin lo dice sin rodeos: abrir un puerto directo a internet es inseguro y no recomendado. Si usas HTTP, las contraseñas viajan sin cifrar. Lo suyo es poner un proxy inverso delante para terminar HTTPS, y evitar certificados autofirmados porque dan problemas de compatibilidad y seguridad. HTTPS termination en un proxy inverso es la forma sensata de hacerlo, no activar cuatro cosas en Jellyfin y cruzar los dedos.
Seguridad y ajustes que conviene tocar en Jellyfin
El puerto 8096 es HTTP, el 8920 está pensado para HTTPS pero no se usa por defecto y el 7359 sirve para descubrimiento local. El 8096 no debería estar abierto al mundo tal cual. Si vas a exponer algo, haz que sea un proxy inverso con HTTPS el que reciba las visitas y pase el tráfico a Jellyfin por dentro.
Hay dos interruptores distintos para el acceso remoto: uno a nivel de servidor, en Redes y Remote Access Settings, y otro por usuario, en la ficha de cada persona, con la opción Allow remote connections to this server. Dos interruptores distintos significan que puedes dejar fuera a las cuentas que solo se usan en casa y permitir solo a las que realmente necesitan entrar desde fuera.
El límite de velocidad se configura en Panel de control > Reproducción > Streaming, en Internet streaming bitrate limit. Es un tope por flujo para todos los dispositivos de fuera de la red. Si tu subida es menor de 100 Mbps, Jellyfin recomienda poner el 70 % de tu velocidad de subida. Dos reproducciones lo duplican, así que no pienses que el límite es total: es por stream. En la ficha de cada usuario puedes sobrescribir el valor global.
Quick Connect permite entrar con un código temporal de seis caracteres en lugar de usuario y contraseña. Viene activado de fábrica y puede resultar cómodo, pero el código no vale por sí solo: tiene que autorizarlo un dispositivo donde ya hayas iniciado sesión. No vale por sí solo, así que no es una puerta trasera mágica. Si no lo quieres, se desactiva en Ajustes > Panel de control > General, desmarcando Enable Quick Connect on this server.
Para bibliotecas grandes, no te obsesiones con el tamaño del disco. Por el túnel solo pasa el archivo que se está reproduciendo, así que lo que importa es el bitrate de ese archivo y tu subida. El tamaño de la biblioteca no importa para el ancho de banda; lo que importa es el bitrate de la película o serie que estés viendo en ese momento.
Kaj izbrati glede na vaš primer
Si eres tú solo y tus dispositivos son móvil, portátil o tablet, Tailscale es la opción más directa: una tarde, cero euros y el CGNAT deja de existir para ti. Tailscale gana para tus propios cacharros porque puedes instalarlo y autorizarlo sin depender de nadie. Es la vía más sencilla cuando no hay televisiones de terceros de por medio.
Si vas a compartir con familia que ve en la tele y no quiere instalar nada, el VPS con VPN y proxy inverso es el único que les da una experiencia parecida a Plex: abren un dominio, ponen la contraseña y ven el contenido. El único que no instala nada es también el más caro en tiempo y el único con factura mensual. Para tu madre, tu suegra y los niños con tablets viejas, esa transparencia vale su peso en oro.
Si tienes IP pública y solo querías un nombre en lugar de una IP que cambia, tira de DuckDNS o No-IP. Dinamični DNS es la solución para el nombre, pero no para el CGNAT ni para la seguridad. Primero comprueba que tu IP pública es tuya y luego preocúpate por el nombre.
Cloudflare Tunnel puede servir si entiendes sus condiciones y no te importa depender de un tercero. No lo vendas como gratis sin condiciones: la restricción de vídeo existe y Cloudflare puede limitar el servicio. Si lo pruebas, hazlo con los ojos abiertos y sabiendo que no hay una respuesta oficial sobre el tráfico de Tunnel en sus términos.
Lo que no deberías hacer bajo ningún concepto es abrir el 8096 al mundo y confiar en la suerte. Abrir el 8096 al mundo es la peor opción: insegura, expuesta y con contraseñas que pueden viajar sin cifrar. Si no quieres montar nada, Tailscale para tus dispositivos; si quieres transparencia para la familia, VPS con VPN y proxy inverso; si solo necesitas un nombre, DNS dinámico; y si te tienta Cloudflare Tunnel, lee antes la letra pequeña.
La decisión final depende de quién va a usar Jellyfin y de cuánto tiempo estás dispuesto a invertir. Tailscale es la vía más sencilla para ti, pero no la más transparente para tu familia. Si todos los dispositivos fueran tuyos, Tailscale sería casi perfecto. Con televisiones Samsung, LG o Google TV y familiares que no quieren complicarse, el VPS con VPN y proxy inverso es lo que más se acerca a la experiencia de Plex: ellos no instalan nada, tú asumes el trabajo y la factura. Y si solo quieres probar sin gastar, Tailscale te saca del apuro hoy mismo, siempre que puedas configurar cada cacharro y aceptar que el servidor esté siempre encendido.