Jellyfin далеко від дому з Tailscale: Реалістичний посібник для всієї родини

Інформатек Діджитал » Мережі » Jellyfin далеко від дому з Tailscale: Реалістичний посібник для всієї родини

Jellyfin чудово працює вдома: ви встановлюєте сервер, додаєте папки, і за кілька хвилин ваша бібліотека доступна у вітальні. Проблеми починаються, коли ви хочете подивитися щось на телефоні, iPad або телевізорі, що належить родичу, який живе за багато кілометрів. Ось тут-то й вступають у гру маршрутизатор, порти, домени та ціла низка інших рішень, які для тих, хто не хоче ускладнювати речі, можуть перетворити тихий день на головний біль. Віддалений доступ – це зовсім інша історія , і якщо ви хочете, щоб ним користувалися люди з обмеженим технологічним терпінням, все стає ще складнішим.

Гарна новина полягає в тому, що існують рішення, які дозволяють уникнути відкриття портів і навіть працюють, коли ваш інтернет-провайдер має підключений до CGNAT. Tailscale – найпопулярніший спосіб обійтися без використання роутера, але це не диво: він вимагає встановлення чогось на кожному пристрої та має чіткі обмеження, коли йдеться про телевізори Samsung або LG, або старіші пристрої. Немає універсального рішення , яке перетворить Jellyfin на Plex для всієї родини без будь-якого налаштування, але є чіткіші шляхи, ніж інші. Давайте уважно розглянемо всі деталі, включаючи те, про що зазвичай ніхто не говорить щодо Tailscale, тунелю Cloudflare, VPS та налаштувань безпеки Jellyfin.

Чому Джелліфін застрягає, коли виходить з дому?

У локальній мережі все дуже просто: сервер має приватну адресу, щось на кшталт 192.168.1.50, і будь-який пристрій, підключений до тієї ж мережі Wi-Fi, може отримати до нього доступ без проблем. Ситуація змінюється, коли запит надходить з Інтернету, оскільки ваш маршрутизатор не знає, на який пристрій переадресовувати цей трафік. Щоб вирішити цю проблему, зазвичай використовуються три класичні рішення: переадресація портів, налаштування зворотного проксі-сервера або використання тунелю, такого як Cloudflare. Усі три є складними , і жоден з них не призначений для того, щоб ваша свекруха могла налаштовувати його з іншого боку світу.

Переадресація портів передбачає повідомлення маршрутизатору про те, що весь трафік, що надходить на певний порт, має бути спрямований на комп'ютер, на якому запущено Jellyfin. Це звучить просто, але вимагає доступу до панелі керування маршрутизатором, створення правила, призначення локальної IP-адреси сервера та сподівання, що публічна IP-адреса не часто змінюватиметься. Крім того, відкриття портів на маршрутизаторі створює вразливість, видиму з Інтернету, і якщо її належним чином не захистити, вона може стати значною дірою в безпеці.

Зворотний проксі-сервер є елегантнішим, але також більш технічним. Він використовується для отримання відвідувань, шифрування з'єднання за допомогою HTTPS та передачі їх на сервер Jellyfin всередині. Зазвичай це вимагає купівлі або керування доменом, налаштування сертифікатів та розуміння того, що відбувається на кожному кроці. Це можливо , але це не те, що ви б рекомендували тому, хто просто хоче подивитися фільм на своєму iPad, не викликаючи комп'ютерного експерта.

Cloudflare Tunnel — це ще один варіант: ви встановлюєте програму на сервер, вона відкриває вихідне з’єднання, і ваші гості можуть отримати до нього доступ, використовуючи звичайне ім’я, без необхідності відкривати порти чи мати публічну IP-адресу. Проблема полягає в тому, що правила Cloudflare, написані дрібним шрифтом, не такі зручні для користувача, як здається, коли справа доходить до обслуговування відео, і ви також залежите від посередника, який може змінити правила або обмежити ваш сервіс.

Спільним знаменником усіх цих варіантів є те, що вони так чи інакше підключають вашу домашню мережу до Інтернету , публікують домен або залежать від стороннього постачальника. Це пояснює, чому багато людей відмовляються від функції віддаленого доступу Jellyfin, перш ніж все стане надто складним. Власна рекомендація Jellyfin чітка: відкривати прямий порт до Інтернету не рекомендується, оскільки паролі можуть передаватися незашифрованими, якщо ви використовуєте звичайний HTTP. Порт 8096 призначений для HTTP , 8920 призначений для HTTPS, але не використовується за замовчуванням, а 7359 призначений для локального виявлення, тому їх також не слід розкривати.

Що пропонує Tailscale і в чому підступ?

Tailscale створює приватну мережу на основі WireGuard. Ідея полягає в тому, що ви встановлюєте застосунок на кілька пристроїв, авторизуєте їх за допомогою одного облікового запису, і всі вони поводяться так, ніби підключені до одного маршрутизатора, навіть якщо знаходяться в різних країнах. Немає потреби відкривати порти чи мати публічну IP-адресу , оскільки кожен пристрій ініціює своє підключення до мережі Tailscale, і всі вони знаходяться посередині. Для домашнього сервера, на якому працює CGNAT, це величезне полегшення.

Коли ви реєструєте кілька пристроїв, створюється tailnet – приватна мережа, пов’язана з вашим обліковим записом. Кожен пристрій отримує адресу, наприклад, 100.xyz, та ім’я MagicDNS, тому вам не потрібно запам’ятовувати цифри. Це адреса, яку ви потім вводите в додаток Jellyfin для підключення ззовні. Tailscale розподіляє адреси з блоку 100.64.0.0/10 , того самого, що використовується для CGNAT, але не плутайте: інтернет-адреса вашого маршрутизатора – це зовсім інша річ, і саме її потрібно перевірити, перевіряючи наявність CGNAT.

Персональний план Tailscale безкоштовний для некомерційного використання та дозволяє запросити до шести користувачів, включаючи вас, тож ви можете запросити ще п’ятьох. Компанія описує його як безкоштовний назавжди в рамках цього плану, і для звичайного сімейного використання його зазвичай цілком достатньо. У поєднанні з Jellyfin, який є безкоштовним і має відкритий вихідний код , ви отримуєте мультимедійну екосистему без оплати підписки, на відміну від Plex Pass, який стягує плату за віддалену потокову передачу.

Tailscale також є рекомендованим варіантом, коли оператор застосовує CGNAT або коли інтернет-провайдер блокує певні вхідні з'єднання. Замість того, щоб мати справу з маршрутизатором, сервер і клієнти підключаються до приватної мережі та зустрічаються там. CGNAT стає неактуальним для цього з'єднання, оскільки вам не потрібно, щоб хтось телефонував до вашої домашньої мережі ззовні.

Однак прихована вартість — це не гроші, а зручність. На кожному пристрої, який хоче отримати доступ до контенту, має бути встановлено та авторизовано Tailscale , а сервер має бути увімкнений та підключений до мережі Tailnet, щоб контент був доступним. Якщо ваша мати користується телевізором Samsung, у свекрухи — Google TV, а ваш брат роздає старі планшети Android, вам доведеться встановити та налаштувати Tailscale на кожному пристрої або знайти «місток». Для того, хто не розбирається в техніці, це вже є перешкодою.

Спільне використання з іншими також має один нюанс. Tailscale дозволяє спільний доступ до комп’ютера на всіх планах, але гість повинен мати власний обліковий запис, а також бути власником, адміністратором або ІТ-менеджером власної мережі Tailnet, щоб прийняти запрошення. Це не так просто, як надіслати посилання та дозволити іншій людині увійти, нічого не роблячи. Для вашої свекрухи це може означати встановлення, реєстрацію та кілька переглядів екранів перед переглядом першого фільму.

Зрештою, Tailscale не завжди встановлює пряме з'єднання між двома кінцевими точками. Коли є жорсткий NAT, брандмауер або інші обмеження, трафік направляється через ретрансляції DERP Tailscale. Це може додати затримку , і це помітно на відео: одного дня все плавно, а наступного - заїкається, навіть якщо ви не змінювали жодних налаштувань. Політика прийнятного використання Tailscale не містить конкретного пункту щодо пропускної здатності, відео чи обсягу трафіку, але це не змінює того факту, що ретрансляції є крайнім заходом, а не гарантією ідеальної потокової передачі.

Перш ніж торкатися чогось: перевірте, чи є у вас CGNAT

CGNAT означає, що ваш інтернет-провайдер використовує одну й ту саму публічну IP-адресу для кількох клієнтів. У вас немає власної адреси в Інтернеті, і скільки б портів ви не відкрили на своєму маршрутизаторі, ніхто з-поза вашої мережі не зможе отримати доступ до вашого дому. Це спільна публічна IP-адреса , тому традиційна переадресація портів не працюватиме, незалежно від того, наскільки добре ви її налаштуєте.

Перевірка швидка. Увійдіть до панелі керування маршрутизатора та знайдіть його IP-адресу в Інтернеті, WAN IP або зовнішню IP-адресу. Потім на пристрої, підключеному до тієї ж мережі, знайдіть "Яка моя IP-адреса?" у Google та порівняйте два числа. Якщо вони не збігаються, є посередник. Якщо WAN IP-адреса знаходиться між 100.64.0.0 та 100.127.255.255 , проблема очевидна: ви знаходитесь за CGNAT. Другий маршрутизатор у тому ж ланцюжку також може викликати той самий симптом, тому не виключайте цього.

Якщо у вас є CGNAT, перш ніж пробувати будь-які обхідні шляхи, варто зателефонувати своєму провайдеру та запитати, чи може він надати вам публічну адресу IPv4. Це залежить від вашого контракту та місцезнаходження, і може бути певна плата, але це єдиний спосіб відновити традиційну переадресацію портів. Також існує варіант рідного IPv6: якщо ваш сервер має глобально маршрутизовану адресу IPv6, а мережа, з якої ви отримуєте доступ, також використовує IPv6, ви можете підключитися таким чином. CGNAT – це проблема IPv4 , тому не виключайте її, перш ніж перевіряти.

І будьте обережні зі скороченнями: динамічний DNS не виправляє CGNAT. Ім'я, що вказує на спільну IP-адресу, все одно не приведе до вашого дому. Динамічний DNS не виправляє спільну IP-адресу ; він лише оновлює ім'я, коли змінюється ваша публічна IP-адреса, тому вам спочатку потрібно мати справжню публічну IP-адресу, а потім турбуватися про ім'я.

Їзда на Tailscale з Jellyfin без клопоту

Базовий процес коротший, ніж вибір того, що дивитися у п’ятницю ввечері. Спочатку ви встановлюєте Jellyfin на комп’ютер, який виступатиме сервером. Якщо це Windows, краще позначити його як службу, щоб вона запускалася автоматично перед входом у систему. Потім перейдіть за адресою http://localhost:8096 , додайте папки з жорсткого диска та налаштуйте бібліотеку, субтитри та синхронізацію відтворення.

Коли сервер запущено, встановіть Tailscale на тому ж комп’ютері та на тих пристроях, з яких ви хочете отримати до нього доступ. Під час початкового налаштування створіть обліковий запис і авторизуйте пристрої, що призведе до створення мережі Tailnet. Використовуйте один і той самий обліковий запис на всіх пристроях , щоб вони могли бачити один одного. Якщо ви встановите Tailscale на сервері, але не на мобільному пристрої, мобільний пристрій не буде частиною приватної мережі та не матиме до неї доступу.

Щоб знайти адресу сервера в Tailscale, ви можете скористатися командою `tailscale ip -4` на сервері або перевірити програму. Вона поверне щось на кшталт 100.121.112.23. У клієнтській програмі Jellyfin вручну додайте сервер, використовуючи цю адресу та відповідний порт, наприклад, 100.xyz:8096 . Автоматичне виявлення Jellyfin працює лише в локальній мережі, тому з-за меж локальної мережі вам доведеться вводити адресу вручну.

Tailscale доступний для Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV та Amazon Fire. Список охоплює багато пристроїв , але не всі. Телевізори Samsung Tizen та LG webOS не мають Tailscale, хоча на них є офіційний додаток Jellyfin. У цьому і полягає проблема: телевізор може запускати Jellyfin, але він залишається поза вашою приватною мережею, якщо щось не підключить його до неї.

Пам’ятайте, що сервер має бути увімкненим та підключеним до мережі Tailnet. Постійно працюючий сервер є важливим: якщо комп’ютер вимкнеться або втратить з’єднання, члени вашої родини не матимуть доступу до бібліотеки. Ви також не можете використовувати Tailscale для комерційних цілей з безкоштовним планом, тому, якщо це буде послуга для половини вашої родини, переконайтеся, що вона відповідає вашим особистим потребам.

Справжня проблема: телевізори та нетерплячі члени сім'ї.

На телевізорі Samsung Tizen або LG webOS є офіційний додаток Jellyfin у магазині, але Tailscale недоступний. Телевізор може відкрити Jellyfin, але він не підключений до домашньої мережі, тому не досягає домашнього сервера. Телевізор залишається поза домашньою мережею , і в додатку немає жодного чарівного налаштування, яке б це виправило.

Технічне рішення передбачає налаштування маршрутизатора підмережі: пристрою, на якому встановлено Tailscale, і який діє як міст між приватною мережею та тими пристроями, які не можуть встановити програму. Це працює, але це вже не просто денна конфігурація: це передбачає налаштування іншого пристрою, його увімкнення та пояснення його внутрішньої роботи всім, кому це потрібно. Так, він діє як міст , але він не є ні прозорим, ні трудомістким.

З Google TV, Chromecast та старішими планшетами Android потрібно розглядати кожен випадок окремо. Якщо пристрій дозволяє встановити Tailscale з магазину, ви можете спробувати; якщо ні, то ми знову повертаємося до тієї ж проблеми. Кожен пристрій , який хоче підключитися, потребує окремої установки або мосту для її покриття. У будинку з кількома старішими планшетами це може бути досить складно.

Спільне використання вашої мережі Tailnet з членом сім'ї не так просто, як натискання кнопки. Гість повинен мати власний обліковий запис, і, крім того, він повинен бути власником або адміністратором своєї мережі Tailnet, щоб прийняти запрошення. Наявність власного облікового запису та права адміністратора – це забагато вимог для того, хто просто хоче подивитися шоу. Для вашої матері чи свекрухи це не зрівняється з відкриттям Plex та виявленням уже налаштованої бібліотеки.

Ось чому, навіть якщо Tailscale — найпростіший варіант для вас, він не найпростіший для вашої родини. Його не можна порівняти з Plex з точки зору прозорості для кінцевого користувача. Якби всі пристрої були вашими, і ви могли б налаштувати їх заздалегідь, це було б чудово. Але коли є телевізори сторонніх виробників і члени родини не дуже добре розбираються в технологіях, ситуація змінюється.

Альтернативи, щоб вашій родині не довелося нічого встановлювати

Якщо ваша мета — щоб ваші гості вмикали телевізор і дивилися Jellyfin без встановлення Tailscale, найпрозорішим варіантом є VPS з VPN до вашого дому та зворотним проксі-сервером. Ви орендуєте невеликий сервер в Інтернеті, який має статичну публічну IP-адресу, налаштовуєте VPN між VPS та вашим будинком і використовуєте зворотний проксі для прийому відвідувань. Гість бачить лише звичайний домен із замком HTTPS, без встановлення чогось і реєстрації десь. Однак це найтрудомісткіше налаштування і єдине, за яке стягується постійний рахунок.

Головне те, що дзвінок надходить з вашої домашньої мережі, а не з VPS. Ваш домашній сервер відкриває з'єднання з VPS, тому CGNAT не втручається. Потім зворотний проксі-сервер VPS отримує візити членів вашої родини та передає їх через тунель до Jellyfin. Дзвінок надходить з вашої домашньої мережі , і гість бачить лише домен із сертифікатом. Однак VPS не збільшує вашу пропускну здатність: відео все ще надходить з вашої домашньої мережі та використовує вашу швидкість завантаження.

Вузьким місцем є швидкість завантаження , а не розмір вашої бібліотеки. Неважливо, чи у вас 30 ТБ фільмів: через тунель проходить лише те, що відтворюється. Якщо швидкість завантаження вашого з’єднання менше 100 Мбіт/с, рекомендується обмежити бітрейт Jellyfin до 70% від цієї швидкості, щоб уникнути перебоїв. Це обмеження налаштовується на панелі керування та впливає на пристрої поза вашою локальною мережею.

WireGuard — ще один варіант, якщо у вас немає CGNAT. Він безкоштовний, швидкий і надає доступ до UDP-порту замість панелі Jellyfin, тому будь-хто без ключа навіть не отримає відповіді. Він чудово працює без CGNAT , але з CGNAT ваш домашній сервер не має стабільної адреси для виклику, тому кінцева точка прослуховування має бути поза межами вашої домашньої мережі: ви знову повертаєтеся до VPS. Хтось має прослуховувати поза межами вашої домашньої мережі; немає іншого способу.

Cloudflare Tunnel уникає відкриття портів і не вимагає публічної IP-адреси. Ви встановлюєте Cloudflare на сервер, встановлюється вихідне з’єднання, і ваші гості отримують до нього доступ через свої браузери, не встановлюючи нічого. Проблема полягає в дрібному шрифті: конкретні умови Cloudflare зазначають, що, якщо ви не є корпоративним клієнтом, ви повинні використовувати платні сервіси для розміщення відео та великих файлів через їхню CDN. Cloudflare залишає за собою право відключити або обмежити доступ, якщо підозрює, що ви використовуєте CDN без цих сервісів. Старий розділ 2.8, який поширювався на форумах, був скасований у травні 2023 року, і слово «Тунель» у цьому документі відсутнє, тому немає ні явної заборони, ні чіткого дозволу. Це сіра зона.

Якщо у вас публічна IP-адреса і вам потрібне лише ім’я замість рядка цифр, безкоштовний сервіс динамічного DNS підійде. DuckDNS рекламує себе як безкоштовний сервіс, розміщений на AWS, без необхідності вказувати кредитну картку. No-IP пропонує безкоштовний план з іменем хоста та без необхідності вказувати кредитну картку. DuckDNS та No-IP є найвідомішими варіантами, але DynDNS більше не пропонує безкоштовний план: ви побачите лише опцію придбання сервісу або семиденної пробної версії. І пам’ятайте, що сервіс динамічного DNS не виправляє CGNAT і не замінює переадресацію портів.

Відкриття порту 8096 для всього світу – найгірша ідея. Jellyfin прямо говорить: відкриття прямого порту для доступу до Інтернету є небезпечним і не рекомендується. Якщо ви використовуєте HTTP, паролі передаються незашифрованими. Найкращий підхід – використовувати зворотний проксі-сервер для завершення HTTPS та уникати самопідписаних сертифікатів, оскільки вони створюють проблеми сумісності та безпеки. Завершення HTTPS у зворотному проксі – це розумний спосіб зробити це; просто ввімкніть кілька налаштувань у Jellyfin і сподівайтеся на краще.

Безпека та налаштування, які варто налаштувати в Jellyfin

Порт 8096 призначений для HTTP, 8920 призначений для HTTPS, але не використовується за замовчуванням, а 7359 призначений для локального виявлення. Порт 8096 не повинен бути відкритим для публіки як є. Якщо ви збираєтеся щось розголошувати, використовуйте зворотний проксі-сервер з HTTPS, який прийматиме відвідування та направлятиме трафік до Jellyfin.

Для віддаленого доступу є два окремі перемикачі: один на рівні сервера, в налаштуваннях мережі та віддаленого доступу, і ще один для кожного користувача, в профілі кожної особи, з опцією «Дозволити віддалені підключення до цього сервера». Два окремі перемикачі означають, що ви можете виключити облікові записи, які використовуються лише вдома, та дозволити лише тим, кому дійсно потрібен віддалений доступ.

Обмеження швидкості налаштовується в розділі «Панель керування» > «Відтворення» > «Потокове передавання» в розділі «Обмеження бітрейту потокового передавання через Інтернет». Це обмеження для кожного потоку для всіх пристроїв поза вашою мережею. Якщо швидкість завантаження менша за 100 Мбіт/с, Jellyfin рекомендує встановити його на рівні 70% від швидкості завантаження. Два потоки подвоюють це обмеження , тому не думайте про це як про загальне обмеження: воно діє для кожного потоку. Ви можете змінити глобальне значення в профілі кожного користувача.

Швидке підключення дозволяє входити в систему за допомогою тимчасового шестизначного коду замість імені користувача та пароля. Це ввімкнено за замовчуванням і може бути зручним, але код недійсний сам по собі: його потрібно авторизувати на пристрої, на якому ви вже ввійшли в систему. Це не чарівний бекдор. Якщо ви його не хочете, ви можете вимкнути його в Налаштуваннях > Панель керування > Загальні, знявши прапорець «Увімкнути швидке підключення на цьому сервері».

Для великих бібліотек не зациклюйтеся на розмірі диска. Через тунель проходить лише файл, що відтворюється, тому важливим є бітрейт цього файлу та швидкість завантаження. Розмір бібліотеки не впливає на пропускну здатність; важливим є бітрейт фільму чи серіалу, який ви зараз переглядаєте.

Що обрати відповідно до вашого випадку

Якщо ви самі, а ваші пристрої — це мобільний телефон, ноутбук або планшет, Tailscale — найпростіший варіант: один день, нуль євро, і CGNAT перестає для вас існувати. Tailscale вигідний для ваших власних пристроїв , оскільки ви можете встановити та авторизувати його самостійно. Це найпростіше рішення, коли немає сторонніх телевізорів.

Якщо ви збираєтеся ділитися контентом з родиною, яка дивиться телевізор і не хоче нічого встановлювати, VPS з VPN та зворотним проксі-сервером — єдиний, який надає їм досвід, подібний до Plex: вони відкривають домен, вводять пароль і дивляться контент. Єдиний, який нічого не встановлює, є також найдорожчим з точки зору часу та єдиним з щомісячним рахунком. Для вашої матері, свекрухи та дітей зі старими планшетами така прозорість безцінна.

Якщо у вас публічна IP-адреса і вам потрібне лише ім’я, а не змінна IP-адреса, використовуйте DuckDNS або No-IP. Динамічний DNS – це рішення для імені, але не для CGNAT чи безпеки. Спочатку перевірте, чи ваша публічна IP-адреса ваша, а потім перейміться ім’ям.

Cloudflare Tunnel може бути корисним, якщо ви розумієте його умови та не проти покладатися на сторонню компанію. Не думайте, що це безкоштовно та без жодних зобов'язань : існують обмеження щодо відео, і Cloudflare може обмежувати сервіс. Якщо ви спробуєте його, робіть це з повною обізнаністю, знаючи, що в їхніх умовах немає офіційного пояснення щодо трафіку Tunnel.

Чого вам категорично не слід робити, так це відкривати порт 8096 для всього світу та покладатися на удачу. Відкриття порту 8096 для всього світу – найгірший варіант: незахищений, викритий та з паролями, які можуть передаватися незашифрованими. Якщо ви не хочете нічого налаштовувати, використовуйте Tailscale для своїх пристроїв; якщо ви хочете прозорості для своєї родини, використовуйте VPS з VPN та зворотним проксі; якщо вам потрібне лише доменне ім'я, використовуйте динамічний DNS; а якщо вас спокушає Cloudflare Tunnel, спочатку прочитайте дрібний шрифт.

Остаточне рішення залежить від того, хто користуватиметься Jellyfin і скільки часу ви готові витратити. Tailscale — це найпростіший варіант для вас, але не найпрозоріший для вашої родини. Якби всі пристрої були вашими, Tailscale був би майже ідеальним. З телевізорами Samsung, LG або Google та членами родини, які не хочуть жодних клопотів, VPS з VPN та зворотним проксі-сервером — це найближче до досвіду Plex: вони нічого не встановлюють, ви берете на себе роботу та оплачуєте рахунки. А якщо ви просто хочете спробувати, не витрачаючи ні копійки, Tailscale може витягнути вас із скрутного становища вже сьогодні, за умови, що ви зможете налаштувати кожен пристрій і погодитися з тим, що сервер завжди увімкнений.