Jellyfin далеко од куће са Tailscale-ом: Реалистични водич за целу породицу

Информатек Дигитал » Мреже » Jellyfin далеко од куће са Tailscale-ом: Реалистични водич за целу породицу

Jellyfin ради савршено код куће: инсталирате сервер, додате фасцикле и за неколико минута ваша библиотека је доступна у дневној соби. Проблеми почињу када желите да гледате нешто на телефону, iPad-у или телевизору који припада рођаку који је километрима далеко. Ту на сцену долазе рутер, портови, домени и читав низ других одлука, које, за оне који не желе да компликују ствари, могу претворити мирно поподне у главобољу. Даљински приступ је сасвим друга прича , а ако желите да га користе људи са ограниченим технолошким стрпљењем, ствари постају још компликованије.

Добра вест је да постоје решења која избегавају отварање портова, па чак и раде када вас ваш интернет провајдер држи иза CGNAT-а. Tailscale је најпопуларнији начин да се снађете без додиривања рутера, али није магија: захтева инсталирање нечега на сваком уређају и има јасна ограничења када су у питању Samsung или LG телевизори, или старији уређаји. Не постоји чаробни штапић који ће претворити Jellyfin у Plex за целу породицу без икаквог подешавања, али постоје јаснији путеви од других. Хајде да пажљиво пређемо преко свих детаља, укључујући и оно о чему обично нико не говори у вези са Tailscale-ом, Cloudflare тунелом, VPS-овима и безбедносним подешавањима Jellyfin-а.

Зашто се Џелифин заглави када излази из куће?

На локалној мрежи, све је веома једноставно: сервер има приватну адресу, нешто попут 192.168.1.50, и сваки уређај повезан на исту Wi-Fi мрежу може му приступити без проблема. Ситуација се мења када захтев долази са интернета, јер ваш рутер не зна на који уређај да проследи тај саобраћај. Да би се ово решило, обично се користе три класична решења: прослеђивање портова, подешавање обрнутог проксија или коришћење тунела попут Cloudflare-а. Сва три су сложена и ниједно није дизајнирано да ваша свекрва конфигурише са друге стране света.

Преусмеравање портова подразумева обавештавање рутера да сав саобраћај који стиже на одређени порт треба да буде усмерен на рачунар на којем је покренут Jellyfin. Звучи једноставно, али захтева приступ контролној табли рутера, креирање правила, додељивање локалне IP адресе сервера и наду да се јавна IP адреса неће често мењати. Штавише, отварање портова на рутеру ствара рањивост видљиву са интернета и, ако није правилно обезбеђено, може постати значајна безбедносна рупа.

Обрнути прокси је елегантнији, али и технички захтевнији. Користи се за пријем посета, шифровање везе помоћу HTTPS-а и њихово прослеђивање Jellyfin серверу унутра. Обично захтева куповину или управљање доменом, конфигурисање сертификата и разумевање шта се дешава у сваком кораку. Није немогуће , али то није оно што бисте препоручили некоме ко само жели да гледа филм на свом iPad-у без позивања рачунарског стручњака.

Клаудфлејр тунел је још једна опција: инсталирате програм на сервер, он отвара одлазну везу, а ваши гости могу да му приступе користећи нормално име без потребе за отварањем портова или јавне ИП адресе. Проблем је што Клаудфлејева правила нису толико једноставна за коришћење колико се чини када је у питању приказивање видеа, а такође зависите од посредника који може да промени правила или ограничи вашу услугу.

Заједнички именилац свих ових опција је да, на овај или онај начин, излажу вашу кућну мрежу интернету , објављују домен или зависе од провајдера треће стране. То објашњава зашто многи људи занемарују Џелифинову функцију даљинског приступа пре него што постану превише компликовани. Џелифинова сопствена препорука је јасна: отварање директног порта ка интернету се не препоручује јер лозинке могу путовати нешифроване ако користите обичан HTTP. Порт 8096 је за HTTP , 8920 је намењен за HTTPS, али се не користи подразумевано, а 7359 је за локално откривање, тако да ни ови портови не би требало да буду изложени.

Шта нуди Tailscale и где је цака?

Тејлскејл гради приватну мрежу засновану на ВајерГарду. Идеја је да инсталирате апликацију на више уређаја, ауторизујете их са истим налогом, и сви се понашају као да су повезани на исти рутер, чак и ако се налазе у различитим земљама. Нема потребе за отварањем портова или јавним ИП адресама , јер сваки уређај иницира своју везу са Тејлскејл мрежом и сви су у средини. За кућни сервер који користи CGNAT, ово је огромно олакшање.

Када региструјете више уређаја, креира се „tailnet“, што је приватна мрежа повезана са вашим налогом. Сваки уређај добија адресу као што је 100.xyz и MagicDNS име тако да не морате да памтите бројеве. Ово је адреса коју затим уносите у апликацију Jellyfin да бисте се повезали споља. Tailscale дистрибуира адресе из блока 100.64.0.0/10 , истог оног који се користи за CGNAT, али немојте се збунити: интернет адреса вашег рутера је нешто сасвим друго и то је оно што треба да проверите када проверавате да ли имате CGNAT.

Тејлскејлов лични план је бесплатан за некомерцијалну употребу и омогућава до шест корисника, укључујући и вас, тако да можете позвати још пет људи. Компанија га описује као бесплатан заувек на том плану, а за нормалну породичну употребу је обично сасвим адекватан. У комбинацији са Џелифином, који је бесплатан и отвореног кода , имате мултимедијални екосистем без плаћања претплате, за разлику од Плекс Паса, који наплаћује даљинско стримовање.

Tailscale је такође препоручена опција када оператер примењује CGNAT или када интернет провајдер блокира одређене долазне везе. Уместо да се баве рутером, сервер и клијенти се повезују на приватну мрежу и тамо се састају. CGNAT постаје ирелевантан за ту везу јер вам није потребно да неко споља позива вашу кућну мрежу.

Међутим, скривени трошак није новац, већ погодност. Сваки уређај који жели да приступи садржају мора имати инсталиран и ауторизован Tailscale , а сервер мора бити укључен и повезан са Tailnet-ом да би садржај био доступан. Ако ваша мајка користи Samsung TV, ваша свекрва има Google TV, а ваш брат дели старе Android таблете, мораћете да инсталирате и конфигуришете Tailscale на сваком уређају или да пронађете мост. За некога ко није технолошки поткован, то је већ препрека.

Дељење са другима такође долази са једном зачкољицом. Tailscale омогућава дељење машина на свим плановима, али госту је потребан сопствени налог и, штавише, мора бити власник, администратор или ИТ менаџер сопствене tailnet мреже да би прихватио позив. Није тако једноставно као слање линка и пуштање друге особе да се пријави без икакве радње. За вашу ташту, то може значити инсталацију, регистрацију и неколико екрана пре гледања првог филма.

Коначно, Tailscale не успоставља увек директну везу између две крајње тачке. Када постоји хард NAT, заштитни зид или друга ограничења, саобраћај се усмерава преко Tailscale-ових DERP релеја. Ово може додати латенцију и приметно је код видеа: једног дана је глатко, а следећег се дешава да се пренос застоји чак и ако нисте променили никаква подешавања. Tailscale-ова политика прихватљиве употребе не укључује посебну клаузулу у вези са пропусним опсегом, видеом или количином саобраћаја, али то не мења чињеницу да су релеји последње средство, а не гаранција савршеног стримовања.

Пре него што било шта додирнете: проверите да ли имате CGNAT

CGNAT значи да ваш интернет провајдер дели исту јавну IP адресу између неколико корисника. Немате сопствену адресу на интернету и без обзира на то колико портова отворите на рутеру, нема начина да било ко ван ваше мреже приступи вашем дому. То је дељена јавна IP адреса , тако да традиционално прослеђивање портова неће функционисати, без обзира на то колико га конфигуришете.

Провера је брза. Приступите контролној табли рутера и пронађите његову интернет IP адресу, WAN IP адресу или екстерну IP адресу. Затим, са уређаја повезаног на исту мрежу, претражите „Која је моја IP адреса?“ на Гуглу и упоредите два броја. Ако се не подударају, постоји посредник. Ако је WAN IP адреса између 100.64.0.0 и 100.127.255.255 , проблем је јасан: налазите се иза CGNAT-а. Други рутер у истом ланцу такође може произвести исти симптом, зато не искључујте ту могућност.

Ако имате CGNAT, пре него што покушате било каква решења, вреди позвати свог провајдера и питати да ли вам могу дати јавну IPv4 адресу. Зависи од вашег уговора и локације и може постојати трошак, али то је једини начин да се врати традиционално преусмеравање портова. Постоји и опција изворног IPv6: ако ваш сервер има глобално рутирајућу IPv6 адресу и мрежа са које приступате такође користи IPv6, можда ћете моћи да се повежете на тај начин. CGNAT је проблем са IPv4 , зато га не искључујте пре него што проверите.

И пазите на пречице: динамички DNS не поправља CGNAT. Име које указује на дељену IP адресу и даље неће водити до вашег дома. Динамички DNS не поправља дељену IP адресу ; он само ажурира име када се ваша јавна IP адреса промени, тако да прво морате имати праву јавну IP адресу, а затим бринути о имену.

Вожња Тејлскејла са Џелифином без муке

Основни процес је краћи од избора шта ћете гледати петком увече. Прво, инсталирате Jellyfin на рачунар који ће служити као сервер. Ако је у питању Windows, најбоље је да га означите као услугу како би се аутоматски покренуо пре него што се пријавите. Затим, идите на http://localhost:8096 , додајте фасцикле са чврстог диска и конфигуришите библиотеку, титлове и синхронизацију тока репродукције.

Док је сервер покренут, инсталирајте Tailscale на исти рачунар и на уређаје са којих желите да му приступите. Током почетног подешавања, креирајте налог и ауторизујте уређаје, што генерише tailnet. Користите исти налог на свим уређајима како би могли да се виде. Ако инсталирате Tailscale на сервер, али не и на мобилни уређај, мобилни уређај неће бити део приватне мреже и неће моћи да јој приступи.

Да бисте пронашли адресу сервера унутар Tailscale-а, можете користити команду `tailscale ip -4` на серверу или проверити апликацију. Вратиће нешто попут 100.121.112.23. У Jellyfin клијентској апликацији, ручно додајте сервер користећи ту адресу и одговарајући порт, на пример, 100.xyz:8096 . Jellyfin-ово аутоматско откривање ради само на локалној мрежи, тако да ћете изван локалне мреже морати ручно унети адресу.

Tailscale је доступан за Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV и Amazon Fire. Листа покрива многе уређаје , али не све. Samsung Tizen и LG webOS телевизори немају Tailscale, иако имају званичну апликацију Jellyfin. Ту лежи проблем: телевизор може да покреће Jellyfin, али остаје ван ваше приватне мреже осим ако га нешто не повеже са њом.

Запамтите да сервер мора остати укључен и повезан на Tailnet. Константно покренут сервер је неопходан: ако се рачунар искључи или изгуби везу, чланови ваше породице неће имати приступ библиотеци. Такође, Tailscale не можете користити у комерцијалне сврхе са бесплатним планом, па ако ће ово бити услуга за половину ваше породице, уверите се да испуњава ваше личне захтеве.

Прави проблем: телевизори и нестрпљиви чланови породице.

На Samsung Tizen или LG webOS телевизорима, Jellyfin има званичну апликацију у продавници, али Tailscale није доступан. Телевизор може да отвори Jellyfin, али није на кућној мрежи, тако да не допире до кућног сервера. Телевизор остаје ван кућне мреже и не постоји магично подешавање у апликацији које би то поправило.

Техничко решење подразумева подешавање рутера подмреже: уређаја на којем је инсталиран Tailscale и који делује као мост између приватне мреже и оних уређаја који не могу да инсталирају апликацију. Ради, али више није једноставно поподне конфигурације: подразумева подешавање другог уређаја, остављање укљученог и објашњавање његовог унутрашњег рада свима којима је потребан. Делује као мост , да, али није ни транспарентан нити одузима много времена.

Са Google TV-ом, Chromecast-ом и старијим Android таблетима, морате сваки случај посматрати појединачно. Ако уређај дозвољава инсталирање Tailscale-а из продавнице, можете га испробати; ако не, враћамо се на исти проблем. Сваки уређај који жели да се повеже захтева сопствену инсталацију или мост који ће је покрити. У кући са неколико старијих таблета, то може бити прилично проблематично.

Дељење вашег „tailnet“-а са чланом породице није тако једноставно као притисак на дугме. Госту је потребан сопствени налог и, штавише, мора бити власник или администратор сопственог „tailnet“-а да би прихватио позив. Имати сопствени налог и бити администратор је превише за некога ко само жели да гледа емисију. За вашу мајку или свекрву, то се не може упоредити са отварањем Plex-а и проналажењем већ подешене библиотеке.

Зато, чак и ако је Tailscale најједноставнија опција за вас, није најједноставнија за вашу породицу. Не може се упоредити са Plex-ом у погледу транспарентности за крајњег корисника. Када би сви уређаји били ваши и када бисте их могли подесити унапред, било би дивно. Али када постоје телевизори трећих страна и чланови породице који нису баш технолошки потковани, ситуација се мења.

Алтернативе како ваша породица не би морала ништа да инсталира

Ако вам је циљ да ваши гости укључе телевизор и гледају Jellyfin без инсталирања Tailscale-а, најтранспарентнија опција је VPS са VPN-ом до вашег дома и обрнутим проксијем. Изнајмљујете мали сервер на интернету, који има статичку јавну IP адресу, подешавате VPN између VPS-а и вашег дома и користите обрнути прокси за пријем посета. Гост види само обичан домен са HTTPS катанцем, без инсталирања ичега или регистрације било где. Међутим, ово је најзахтевније подешавање и једино које има периодичан рачун.

Кључно је да позив потиче из ваше кућне мреже, а не са VPS-а. Ваш кућни сервер отвара везу са VPS-ом, тако да CGNAT не омета. Затим, обрнути прокси VPS-а прима посете чланова ваше породице и шаље их кроз тунел до Jellyfin-а. Позив потиче из ваше кућне мреже , а гост види само домен са сертификатом. Међутим, VPS не повећава ваш пропусни опсег: видео и даље потиче из ваше кућне мреже и користи вашу брзину отпремања.

Уско грло је брзина отпремања , а не величина ваше библиотеке. Није битно да ли имате 30 ТБ филмова: само оно што се репродукује пролази кроз тунел. Ако ваша веза има брзину отпремања мању од 100 Mbps, препоручљиво је ограничити брзину преноса података Jellyfin-а на 70% те брзине како би се избегли прекиди. Ово ограничење се конфигурише у контролној табли и утиче на уређаје ван ваше локалне мреже.

WireGuard је још једна опција ако немате CGNAT. Бесплатан је, брз и открива UDP порт уместо Jellyfin панела, тако да свако ко нема кључ неће ни добити одговор. Ради савршено без CGNAT-а , али са CGNAT-ом, ваш кућни сервер нема стабилну адресу за позивање, тако да крајња тачка слушања мора бити ван локације: поново сте на VPS-у. Неко мора да слуша ван ваше кућне мреже; нема начина да се то заобиђе.

Клаудфлејр тунел избегава отварање портова и не захтева јавну ИП адресу. Инсталирате Клаудфлејр на сервер, успоставља се одлазна веза, а ваши гости му приступају преко својих прегледача без инсталирања ичега. Проблем лежи у ситном слову: специфични услови Клаудфлејра наводе да, осим ако нисте предузетнички корисник, морате користити плаћене услуге за приказивање видеа и великих датотека путем њиховог CDN-а. Клаудфлејр задржава право да онемогући или ограничи приступ ако посумња да користите CDN без ових услуга. Стари одељак 2.8 који је кружио форумима је укинут у мају 2023. године, а реч „Тунел“ се не појављује у том документу, тако да нема ни експлицитне забране ни јасног овлашћења. То је сива зона.

Ако имате јавну ИП адресу и желите само име уместо низа бројева, бесплатна динамичка ДНС услуга ће послужити. DuckDNS се рекламира као бесплатна и хостована на AWS-у, без потребе за кредитном картицом. No-IP одржава бесплатан план са именом хоста и без потребе за кредитном картицом. DuckDNS и No-IP су најпознатије опције, али DynDNS више не нуди бесплатан план: видећете само опцију за куповину услуге или седмодневну пробну верзију. И запамтите да динамичка ДНС услуга не поправља CGNAT нити замењује прослеђивање портова.

Отварање порта 8096 према свету је најгора идеја икада. Jellyfin то каже отворено: отварање директног порта ка интернету је небезбедно и не препоручује се. Ако користите HTTP, лозинке путују нешифроване. Најбољи приступ је коришћење обрнутог проксија за прекид HTTPS-а и избегавање самопотписаних сертификата јер они изазивају проблеме са компатибилношћу и безбедношћу. Завршетак HTTPS-а у обрнутом проксију је разуман начин да се то уради; једноставно омогућите неколико подешавања у Jellyfin-у и надајте се најбољем.

Безбедност и подешавања која вреди подесити у Jellyfin-у

Порт 8096 је за HTTP, 8920 је намењен за HTTPS, али се не користи подразумевано, а 7359 је за локално откривање. Порт 8096 не би требало да буде отворен за јавност какав јесте. Ако ћете нешто открити, нека обрнути прокси са HTTPS-ом прима посете и усмерава саобраћај ка Jellyfin-у.

Постоје два одвојена прекидача за даљински приступ: један на нивоу сервера, у подешавањима мреже и даљинског приступа, и други по кориснику, на профилу сваке особе, са опцијом „Дозволи даљинске везе са овим сервером“. Два одвојена прекидача значе да можете искључити налоге који се користе само код куће и дозволити само онима којима је заиста потребан даљински приступ.

Ограничење брзине се конфигурише у Контролна табла > Репродукција > Стримовање, под Ограничење брзине преноса интернет стримовања. То је ограничење по стриму за све уређаје ван ваше мреже. Ако је брзина отпремања мања од 100 Mbps, Jellyfin препоручује да је подесите на 70% брзине отпремања. Два стрима удвостручују ово ограничење , зато га немојте сматрати укупним ограничењем: то је по стриму. Можете поништити глобалну вредност у профилу сваког корисника.

Брзо повезивање вам омогућава да се пријавите помоћу привременог шестоцифреног кода уместо корисничког имена и лозинке. Подразумевано је омогућено и може бити згодно, али код није важећи сам по себи: потребно га је одобрити на уређају на којем сте већ пријављени. То није магични улаз. Ако га не желите, можете га онемогућити у Подешавања > Контролна табла > Опште тако што ћете уклонити ознаку из поља „Омогући брзо повезивање на овом серверу“.

За велике библиотеке, немојте се оптерећивати величином диска. Само датотека која се репродукује пролази кроз тунел, тако да је битна брзина преноса те датотеке и брзина отпремања. Величина библиотеке не утиче на пропусни опсег; битна је брзина преноса филма или серије коју тренутно гледате.

Шта одабрати у зависности од вашег случаја

Ако сте сами и ваши уређаји су мобилни телефон, лаптоп или таблет, Tailscale је најједноставнија опција: једно поподне, нула евра и CGNAT престаје да постоји за вас. Tailscale користи вашим уређајима јер га можете независно инсталирати и ауторизовати. То је најједноставније решење када нема телевизора треће стране.

Ако ћете делити садржај са породицом која гледа ТВ и не жели ништа да инсталира, VPS са VPN-ом и обрнутим проксијем је једини који им пружа искуство слично Plex-у: отварају домен, уносе лозинку и гледају садржај. Једини који не инсталира ништа је такође и најскупљи у погледу времена и једини са месечним рачуном. За вашу мајку, вашу ташту и децу са старим таблетима, та транспарентност је непроцењива.

Ако имате јавну IP адресу и желите само име уместо променљиве IP адресе, користите DuckDNS или No-IP. Динамички DNS је решење за име, али не и за CGNAT или безбедност. Прво, проверите да ли је ваша јавна IP адреса ваша, а затим се брините о имену.

Клаудфлејр тунел може бити користан ако разумете његове услове и не смета вам да се ослоните на трећу страну. Немојте претпостављати да је бесплатан без икаквих обавеза : постоје ограничења за видео, а Клаудфлејр може ограничити услугу. Ако га испробате, учините то са пуном свешћу, знајући да у њиховим условима не постоји званично објашњење у вези са саобраћајем преко тунела.

Оно што апсолутно не би требало да радите јесте да отворите порт 8096 свету и ослањате се на срећу. Отварање порта 8096 свету је најгора опција: небезбедно, изложено и са лозинкама које могу путовати нешифроване. Ако не желите ништа да подешавате, користите Tailscale за своје уређаје; ако желите транспарентност за своју породицу, користите VPS са VPN-ом и обрнутим проксијем; ако вам је потребно само име домена, користите динамички DNS; а ако вас Cloudflare Tunnel искушава, прво прочитајте ситна слова.

Коначна одлука зависи од тога ко ће користити Jellyfin и колико времена сте спремни да уложите. Tailscale је најједноставнија опција за вас, али не и најтранспарентнија за вашу породицу. Када би сви уређаји били ваши, Tailscale би био скоро савршен. Са Samsung, LG или Google телевизорима и члановима породице који не желе никакве проблеме, VPS са VPN-ом и обрнутим проксијем је најближи Plex искуству: они не инсталирају ништа, ви се бринете о послу и рачуну. А ако само желите да испробате без трошења новца, Tailscale вас може извући из невоље већ данас, под условом да можете да конфигуришете сваки уређај и прихватите да је сервер увек укључен.