Maneter borta hemifrån med stjärtvåg: En realistisk guide för hela familjen

Informatec Digital » nätverk » Maneter borta hemifrån med stjärtvåg: En realistisk guide för hela familjen

Jellyfin fungerar perfekt hemma: du installerar servern, lägger till mapparna och på några minuter är ditt bibliotek tillgängligt i vardagsrummet. Problemet börjar när du vill titta på något på en telefon, iPad eller TV som tillhör en släkting som bor långt borta. Det är där routern, portarna, domänerna och en mängd andra beslut kommer in i bilden, vilket, för dem som inte vill komplicera saker och ting, kan förvandla en lugn eftermiddag till en huvudvärk. Fjärråtkomst är en helt annan historia , och om du vill att personer med begränsat tekniskt tålamod ska använda det blir det ännu mer komplicerat.

Den goda nyheten är att det finns lösningar som undviker att öppna portar och som till och med fungerar när din internetleverantör har dig bakom CGNAT. Tailscale är det mest populära sättet att klara sig utan att röra routern, men det är inte magiskt: det kräver att man installerar något på varje enhet och har tydliga begränsningar när det gäller Samsung- eller LG-TV-apparater, eller äldre enheter. Det finns ingen mirakellösning som förvandlar Jellyfin till Plex för hela familjen utan någon installation, men det finns tydligare vägar än andra. Låt oss gå igenom alla detaljer noggrant, inklusive det som ingen vanligtvis pratar om angående Tailscale, Cloudflare Tunnel, VPS:er och Jellyfins säkerhetsinställningar.

Varför fastnar Jellyfin när hon går hemifrån?

På ett lokalt nätverk är allt väldigt enkelt: servern har en privat adress, ungefär 192.168.1.50, och alla enheter som är anslutna till samma Wi-Fi-nätverk kan komma åt den utan problem. Situationen förändras när begäran kommer från internet, eftersom din router inte vet vilken enhet den ska vidarebefordra trafiken till. För att lösa detta används vanligtvis tre klassiska lösningar: portvidarebefordran, konfigurering av en omvänd proxy eller användning av en tunnel som Cloudflare. Alla tre är komplexa , och ingen är utformad för att din svärmor ska konfigurera från andra sidan jorden.

Portvidarebefordran innebär att man informerar routern om att all trafik som anländer på en specifik port ska dirigeras till datorn som kör Jellyfin. Det låter enkelt, men det kräver att man kommer åt routerns kontrollpanel, skapar en regel, tilldelar serverns lokala IP-adress och hoppas att den publika IP-adressen inte ändras ofta. Dessutom skapar öppning av portar på routern en sårbarhet som är synlig från internet, och om den inte är ordentligt säkrad kan den bli ett betydande säkerhetshål.

En omvänd proxy är mer elegant, men också mer teknisk. Den används för att ta emot besök, kryptera anslutningen med HTTPS och skicka dem till Jellyfin-servern inuti. Det kräver vanligtvis att man köper eller hanterar en domän, konfigurerar certifikat och förstår vad som händer i varje steg. Det är inte omöjligt , men det är inte vad man skulle rekommendera till någon som bara vill titta på en film på sin iPad utan att ringa en datorexpert.

Cloudflare Tunnel är ett annat alternativ: du installerar ett program på servern, det öppnar en utgående anslutning och dina gäster kan komma åt det med ett vanligt namn utan att behöva öppna portar eller ha en publik IP-adress. Problemet är att Cloudflares finstilta text inte är så användarvänlig som det verkar när det gäller att visa video, och du är också beroende av en mellanhand som kan ändra reglerna eller begränsa din tjänst.

Den gemensamma nämnaren för alla dessa alternativ är att de på ett eller annat sätt exponerar ditt hemnätverk för internet , publicerar en domän eller är beroende av en tredjepartsleverantör. Detta förklarar varför många avstår från Jellyfins fjärråtkomstfunktion innan de blir för komplicerade. Jellyfins egen rekommendation är tydlig: att öppna en direktport till internet är inte tillrådligt eftersom lösenord kan färdas okrypterade om du använder vanlig HTTP. Port 8096 är för HTTP , 8920 är avsedd för HTTPS men används inte som standard, och 7359 är för lokal upptäckt, så dessa bör inte heller exponeras.

Vad erbjuder Tailscale och var ligger haken?

Tailscale bygger ett privat nätverk baserat på WireGuard. Tanken är att du installerar applikationen på flera enheter, auktoriserar dem med samma konto, och att de alla beter sig som om de vore anslutna till samma router, även om de befinner sig i olika länder. Det finns inget behov av att öppna portar eller ha en offentlig IP-adress , eftersom varje enhet initierar sin anslutning till Tailscale-nätverket och de alla befinner sig mittemellan. För en hemmaserver som kör CGNAT är detta en enorm lättnad.

När du registrerar flera enheter skapas ett tailnet, vilket är det privata nätverk som är kopplat till ditt konto. Varje enhet får en adress som 100.xyz och ett MagicDNS-namn så att du inte behöver memorera siffror. Det här är adressen du sedan anger i Jellyfin-appen för att ansluta utifrån. Tailscale distribuerar adresser från blocket 100.64.0.0/10 , samma som används för CGNAT, men bli inte förvirrad: din routers internetadress är något helt annat, och det är vad du behöver kontrollera när du verifierar om du har CGNAT.

Tailscales personliga abonnemang är gratis för icke-kommersiellt bruk och tillåter upp till sex användare, inklusive dig själv, så du kan bjuda in ytterligare fem personer. Företaget beskriver det som gratis för alltid med det abonnemanget, och för normalt familjebruk är det vanligtvis helt tillräckligt. Kombinerat med Jellyfin, som är gratis och öppen källkod , har du ett multimediaekosystem utan att betala en prenumeration, till skillnad från Plex Pass, som tar betalt för fjärrstreaming.

Tailscale är också det rekommenderade alternativet när operatören tvingar fram CGNAT eller när internetleverantören blockerar vissa inkommande anslutningar. Istället för att hantera routern ansluter servern och klienterna till det privata nätverket och möts där. CGNAT blir irrelevant för den anslutningen eftersom du inte behöver någon som ringer ditt hemnätverk utifrån.

Den dolda kostnaden är dock inte pengar, utan bekvämlighet. Varje enhet som vill komma åt innehållet behöver Tailscale installerat och auktoriserat , och servern måste vara påslagen och ansluten till tailnätet för att innehållet ska vara tillgängligt. Om din mamma använder en Samsung TV, din svärmor har en Google TV och din bror delar ut gamla Android-surfplattor, måste du installera och konfigurera Tailscale på varje enhet eller hitta en brygga. För någon som inte är tekniskt kunnig är det redan ett hinder.

Att dela med andra har också en hake. Tailscale tillåter maskindelning på alla abonnemang, men gästen behöver ett eget konto och måste dessutom vara ägare, administratör eller IT-chef för sitt eget tailnet för att acceptera inbjudan. Det är inte så enkelt som att skicka en länk och låta den andra personen logga in utan att göra någonting. För din svärmor kan det innebära en installation, registrering och ett par skärmdumpar innan du ser den första filmen.

Slutligen upprättar Tailscale inte alltid en direkt anslutning mellan de två slutpunkterna. När det finns en hård NAT, brandvägg eller andra begränsningar dirigeras trafiken via Tailscales DERP-reläer. Detta kan öka latensen , och det märks i video: ena dagen är det smidigt, och nästa hackar det även om du inte har ändrat några inställningar. Tailscales policy för acceptabel användning innehåller inte en specifik klausul om bandbredd, video eller trafikvolym, men det förändrar inte det faktum att reläer är en sista utväg och inte en garanti för perfekt streaming.

Innan du rör vid något: kontrollera om du har CGNAT

CGNAT innebär att din internetleverantör delar samma offentliga IP-adress med flera kunder. Du har inte en egen adress på internet, och oavsett hur många portar du öppnar på din router finns det inget sätt för någon utanför ditt nätverk att komma åt ditt hem. Det är en delad offentlig IP-adress , så traditionell portvidarebefordran fungerar inte, oavsett hur mycket du konfigurerar den.

Kontrollen är snabb. Gå till routerns kontrollpanel och hitta dess internet-IP-adress, WAN-IP-adress eller externa IP-adress. Sök sedan på Google från en enhet som är ansluten till samma nätverk och jämför de två siffrorna. Om de inte matchar finns det en mellanhand. Om WAN-IP-adressen är mellan 100.64.0.0 och 100.127.255.255 är problemet tydligt: ​​du ligger bakom CGNAT. En andra router i samma kedja kan också ge samma symptom, så uteslut inte det.

Om du har CGNAT är det värt att ringa din leverantör och fråga om de kan ge dig en offentlig IPv4-adress innan du provar några lösningar. Det beror på ditt kontrakt och din plats, och det kan kosta något, men det är det enda sättet att återställa traditionell portvidarebefordran. Det finns också möjligheten att använda native IPv6: om din server har en globalt routerbar IPv6-adress och nätverket du ansluter från också använder IPv6, kan du kanske ansluta på det sättet. CGNAT är ett IPv4-problem , så uteslut det inte innan du har kontrollerat.

Och se upp för genvägar: en dynamisk DNS fixar inte CGNAT. Ett namn som pekar på en delad IP-adress leder fortfarande inte till ditt hem. En dynamisk DNS fixar inte en delad IP-adress ; den uppdaterar bara namnet när din publika IP-adress ändras, så du måste först ha en riktig publik IP-adress och sedan oroa dig för namnet.

Att rida en Tailscale med Jellyfin utan krångel

Den grundläggande processen är kortare än att välja vad du ska titta på en fredagskväll. Först installerar du Jellyfin på datorn som ska fungera som server. Om det är Windows är det bäst att markera den som en tjänst så att den startar automatiskt innan du loggar in. Gå sedan till http://localhost:8096 , lägg till mapparna från din hårddisk och konfigurera bibliotek, undertexter och synkronisering av uppspelningsförlopp.

Med servern igång, installera Tailscale på samma dator och på de enheter du vill komma åt den från. Under den initiala installationen, skapa ett konto och auktorisera enheterna, vilket genererar tailnet. Använd samma konto på alla enheter så att de kan se varandra. Om du installerar Tailscale på servern men inte på den mobila enheten, kommer den mobila enheten inte att vara en del av det privata nätverket och kommer inte att kunna komma åt det.

För att hitta serveradressen i Tailscale kan du använda kommandot `tailscale ip -4` på servermaskinen eller kontrollera programmet. Det returnerar något i stil med 100.121.112.23. I Jellyfin-klientappen lägger du manuellt till servern med hjälp av den adressen och motsvarande port, till exempel 100.xyz:8096 . Jellyfins autoidentifiering fungerar bara på det lokala nätverket, så utanför det lokala nätverket måste du ange adressen manuellt.

Tailscale finns tillgängligt för Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV och Amazon Fire. Listan täcker många enheter , men inte alla. Samsung Tizen och LG webOS TV-apparater har inte Tailscale, även om de har den officiella Jellyfin-appen. Här ligger problemet: TV:n kan köra Jellyfin, men den förblir utanför ditt privata nätverk om inte något ansluter den till den.

Kom ihåg att servern måste vara påslagen och ansluten till Tailnet. En server som är konstant igång är avgörande: om datorn stängs av eller förlorar anslutningen kommer dina familjemedlemmar att sakna åtkomst till biblioteket. Du kan inte heller använda Tailscale för kommersiella ändamål med gratisplanen, så om detta ska vara en tjänst för halva din familj, se till att den uppfyller dina personliga krav.

Det verkliga problemet: TV-apparater och otåliga familjemedlemmar.

På en Samsung Tizen- eller LG webOS-TV har Jellyfin en officiell app i butiken, men Tailscale är inte tillgänglig. TV:n kan öppna Jellyfin, men den är inte på hemnätverket, så den når inte hemservern. TV:n förblir utanför hemnätverket , och det finns ingen magisk inställning i appen som kan åtgärda det.

Den tekniska lösningen innebär att man konfigurerar en subnätsrouter: en enhet som har Tailscale installerad och fungerar som en brygga mellan det privata nätverket och de enheter som inte kan installera applikationen. Det fungerar, men det är inte längre en enkel eftermiddag med konfiguration: det innebär att man konfigurerar en annan enhet, lämnar den påslagen och förklarar dess interna funktioner för alla som behöver det. Den fungerar som en brygga , ja, men den är varken transparent eller tidskrävande.

Med Google TV, Chromecast och äldre Android-surfplattor måste man titta på varje fall individuellt. Om enheten tillåter installation av Tailscale från sin butik kan du prova det; annars är vi tillbaka till samma problem. Varje enhet som vill ansluta behöver sin egen installation eller en brygga som täcker den. I ett hus med flera äldre surfplattor kan det vara ganska krångligt.

Att dela sitt tailnet med en familjemedlem är inte så enkelt som att trycka på en knapp. Gästen behöver ett eget konto och måste dessutom vara ägare eller administratör för sitt eget tailnet för att acceptera inbjudan. Att ha ett eget konto och vara administratör är att begära för mycket av någon som bara vill titta på ett program. För din mamma eller svärmor är det inte jämförbart med att öppna Plex och hitta biblioteket som redan är konfigurerat.

Därför, även om Tailscale är det enklaste alternativet för dig, är det inte det enklaste för din familj. Det är inte jämförbart med Plex vad gäller transparens för slutanvändaren. Om alla enheter var dina och du kunde konfigurera dem i förväg, skulle det vara underbart. Men när det finns tredjeparts-TV-apparater och familjemedlemmar som inte är särskilt tekniskt kunniga, förändras situationen.

Alternativ så att din familj inte behöver installera något

Om ditt mål är att dina gäster ska kunna slå på TV:n och titta på Jellyfin utan att installera Tailscale, är det mest transparenta alternativet en VPS med en VPN till ditt hem och en omvänd proxy. Du hyr en liten server på internet, som har en statisk offentlig IP-adress, konfigurerar en VPN mellan VPS:en och ditt hem och använder en omvänd proxy för att ta emot besöken. Gästen ser bara en vanlig domän med ett HTTPS-hänglås, utan att installera något eller registrera sig någonstans. Detta är dock den mest mödosamma installationen och den enda med en återkommande faktura.

Nyckeln är att samtalet kommer från ditt hemnätverk, inte VPS:en. Din hemmaserver öppnar anslutningen till VPS:en, så CGNAT stör inte. Sedan tar VPS:ens omvända proxy emot dina familjemedlemmars besök och skickar dem genom tunneln till Jellyfin. Samtalet kommer från ditt hemnätverk , och gästen ser bara en domän med ett certifikat. VPS:en ökar dock inte din bandbredd: videon kommer fortfarande från ditt hemnätverk och använder din uppladdningshastighet.

Flaskhalsen är din uppladdningshastighet , inte storleken på ditt bibliotek. Det spelar ingen roll om du har 30 TB filmer: bara det som spelas upp passerar genom tunneln. Om din anslutning har en uppladdningshastighet på mindre än 100 Mbps är det lämpligt att begränsa Jellyfins bithastighet till 70 % av den hastigheten för att undvika avbrott. Denna gräns konfigureras i kontrollpanelen och påverkar enheter utanför ditt lokala nätverk.

WireGuard är ett annat alternativ om du inte har CGNAT. Det är gratis, snabbt och exponerar en UDP-port istället för Jellyfin-panelen, så alla utan nyckeln får inte ens ett svar. Det fungerar perfekt utan CGNAT , men med CGNAT har din hemmaserver inte en stabil adress att anropa, så lyssningsslutpunkten måste vara utanför webbplatsen: du är tillbaka till en VPS. Någon måste lyssna utanför ditt hemmanätverk; det finns ingen väg runt det.

Cloudflare Tunnel undviker att öppna portar och kräver ingen publik IP-adress. Du installerar Cloudflare på servern, en utgående anslutning upprättas och dina gäster kommer åt den via sina webbläsare utan att installera något. Problemet ligger i det finstilta: Cloudflares specifika villkor anger att du, om du inte är en företagskund, måste använda betalda tjänster för att servera video och stora filer via deras CDN. Cloudflare förbehåller sig rätten att inaktivera eller begränsa åtkomst om de misstänker att du använder CDN utan dessa tjänster. Det gamla avsnittet 2.8 som cirkulerade i forumen upphävdes i maj 2023, och ordet "Tunnel" förekommer inte i det dokumentet, så det finns varken ett uttryckligt förbud eller ett tydligt tillstånd. Det är en gråzon.

Om du har en offentlig IP-adress och bara vill ha ett namn istället för en siffersträng, kan en gratis dynamisk DNS-tjänst göra susen. DuckDNS marknadsför sig som gratis och hostad på AWS, utan krav på kreditkort. No-IP har ett gratisabonnemang med ett värdnamn och inget kreditkort som krävs. DuckDNS och No-IP är de mest kända alternativen, men DynDNS erbjuder inte längre ett gratisabonnemang: du ser bara alternativet att köpa tjänsten eller en sju dagars provperiod. Och kom ihåg att en dynamisk DNS-tjänst inte åtgärdar CGNAT eller ersätter portvidarebefordran.

Att öppna port 8096 för världen är den sämsta idén någonsin. Jellyfin säger det rakt ut: att öppna en direktport till internet är osäkert och rekommenderas inte. Om du använder HTTP färdas lösenord okrypterade. Det bästa tillvägagångssättet är att använda en omvänd proxy för att avsluta HTTPS och undvika självsignerade certifikat eftersom de orsakar kompatibilitets- och säkerhetsproblem. HTTPS-avslutning i en omvänd proxy är det förnuftiga sättet att göra det på; helt enkelt aktivera några inställningar i Jellyfin och hoppas på det bästa.

Säkerhet och inställningar värda att justera i Jellyfin

Port 8096 är för HTTP, 8920 är avsedd för HTTPS men används inte som standard, och 7359 är för lokal identifiering. Port 8096 bör inte vara öppen för allmänheten som den är. Om du ska exponera något, låt en omvänd proxy med HTTPS ta emot besöken och dirigera trafiken till Jellyfin.

Det finns två separata brytare för fjärråtkomst: en på servernivå, i Nätverks- och fjärråtkomstinställningar, och en annan per användare, på varje persons profil, med alternativet "Tillåt fjärranslutningar till den här servern". Två separata brytare innebär att du kan exkludera konton som bara används hemma och bara tillåta de som verkligen behöver fjärråtkomst.

Hastighetsgränsen konfigureras i Kontrollpanelen > Uppspelning > Strömning, under Bitrate-gräns för internetströmning. Det är en gräns per ström för alla enheter utanför ditt nätverk. Om din uppladdningshastighet är mindre än 100 Mbps rekommenderar Jellyfin att du ställer in den på 70 % av din uppladdningshastighet. Två strömmar fördubblar denna gräns , så se det inte som en total gräns: det är per ström. Du kan åsidosätta det globala värdet i varje användares profil.

Med Snabbanslutning kan du logga in med en tillfällig kod på sex tecken istället för ett användarnamn och lösenord. Den är aktiverad som standard och kan vara praktisk, men koden är inte giltig i sig själv: den måste auktoriseras av en enhet där du redan är inloggad. Det är inte en magisk bakdörr. Om du inte vill ha den kan du inaktivera den i Inställningar > Kontrollpanelen > Allmänt genom att avmarkera "Aktivera Snabbanslutning på den här servern".

För stora bibliotek, oroa dig inte för diskstorlek. Endast filen som spelas upp passerar genom tunneln, så det som spelar roll är bithastigheten för den filen och din uppladdningshastighet. Bibliotekets storlek påverkar inte bandbredden; det som spelar roll är bithastigheten för filmen eller serien du tittar på just nu.

Vad du ska välja beroende på ditt fall

Om du är ensam och dina enheter är en mobiltelefon, bärbar dator eller surfplatta är Tailscale det enklaste alternativet: en eftermiddag, noll euro, och CGNAT upphör att existera för dig. Tailscale gynnar dina egna enheter eftersom du kan installera och auktorisera det oberoende. Det är den enklaste lösningen när det inte finns några tredjeparts-tv-apparater inblandade.

Om du ska dela med familjen som tittar på TV och inte vill installera något, är VPS:en med VPN och omvänd proxy den enda som ger dem en Plex-liknande upplevelse: de öppnar en domän, anger lösenordet och tittar på innehållet. Den enda som inte installerar något är också den dyraste tidsmässigt och den enda med en månadsfaktura. För din mamma, din svärmor och barnen med gamla surfplattor är den transparensen ovärderlig.

Om du har en offentlig IP-adress och bara vill ha ett namn istället för en IP-adress som ändras, använd DuckDNS eller No-IP. Dynamisk DNS är lösningen för namnet, men inte för CGNAT eller säkerhet. Kontrollera först att din offentliga IP-adress är din, och oroa dig sedan för namnet.

Cloudflare Tunnel kan vara användbart om du förstår villkoren och inte har något emot att förlita dig på en tredje part. Anta inte att det är gratis utan några förpliktelser : videorestriktioner finns och Cloudflare kan begränsa tjänsten. Om du provar det, gör det med full medvetenhet, i vetskap om att det inte finns någon officiell förklaring angående Tunnel-trafik i deras villkor.

Vad du absolut inte bör göra är att öppna port 8096 för världen och lita på tur. Att öppna port 8096 för världen är det sämsta alternativet: osäkert, exponerat och med lösenord som kan färdas okrypterade. Om du inte vill konfigurera något, använd Tailscale för dina enheter; om du vill ha transparens för din familj, använd en VPS med VPN och omvänd proxy; om du bara behöver ett domännamn, använd dynamisk DNS; och om Cloudflare Tunnel frestar dig, läs det finstilta först.

Det slutgiltiga beslutet beror på vem som kommer att använda Jellyfin och hur mycket tid du är villig att investera. Tailscale är det enklaste alternativet för dig, men inte det mest transparenta för din familj. Om alla enheter var dina skulle Tailscale vara nästan perfekt. Med Samsung-, LG- eller Google TV-apparater och familjemedlemmar som inte vill ha något krångel är en VPS med VPN och omvänd proxy det närmaste man kommer Plex-upplevelsen: de installerar ingenting, du hanterar arbetet och räkningen. Och om du bara vill prova det utan att spendera ett öre kan Tailscale hjälpa dig ur knipan idag, förutsatt att du kan konfigurera varje enhet och acceptera att servern alltid är på.