- cấp độ đuôi Phương pháp này tránh việc mở cổng và hoạt động với CGNAT, nhưng yêu cầu cài đặt và cấp quyền cho ứng dụng trên mỗi thiết bị muốn truy cập.
- Dành cho các gia đình sở hữu tivi Samsung, LG hoặc Google TV và có kiến thức kỹ thuật hạn chế, lựa chọn minh bạch nhất Thông thường đó là một VPS có VPN và reverse proxy: họ chỉ thấy một tên miền thông thường với HTTPS.
- Trước khi lựa chọn, Kiểm tra xem bạn có CGNAT không.Nếu địa chỉ IP WAN của bộ định tuyến không trùng khớp với địa chỉ bạn thấy trên internet, thì việc chuyển tiếp cổng sẽ không hoạt động.
Jellyfin hoạt động rất trơn tru ở nhà: bạn cài đặt máy chủ, thêm thư mục và chỉ trong vài phút, thư viện của bạn đã có sẵn trong phòng khách. Vấn đề bắt đầu khi bạn muốn xem thứ gì đó trên điện thoại, iPad hoặc TV của người thân ở xa. Đó là lúc bộ định tuyến, cổng, tên miền và hàng loạt các quyết định khác trở nên cần thiết, điều này, đối với những người không muốn làm phức tạp mọi thứ, có thể biến một buổi chiều yên tĩnh thành một cơn đau đầu. Truy cập từ xa lại là một câu chuyện hoàn toàn khác , và nếu bạn muốn những người có ít kiên nhẫn về công nghệ sử dụng nó, mọi thứ thậm chí còn phức tạp hơn.
Tin tốt là có những giải pháp không cần mở cổng và thậm chí vẫn hoạt động khi nhà cung cấp dịch vụ Internet (ISP) của bạn đặt bạn phía sau CGNAT. Tailscale là cách phổ biến nhất để giải quyết vấn đề mà không cần can thiệp vào bộ định tuyến, nhưng nó không phải là giải pháp thần kỳ: nó yêu cầu cài đặt phần mềm trên mỗi thiết bị và có những hạn chế rõ ràng đối với TV Samsung hoặc LG, hoặc các thiết bị cũ hơn. Không có giải pháp thần kỳ nào có thể biến Jellyfin thành Plex cho cả gia đình mà không cần thiết lập gì, nhưng có những con đường rõ ràng hơn những con đường khác. Chúng ta hãy cùng xem xét kỹ lưỡng tất cả các chi tiết, bao gồm cả những điều mà thường không ai nhắc đến liên quan đến Tailscale, Cloudflare Tunnel, VPS và cài đặt bảo mật của Jellyfin.
Tại sao Jellyfin lại bị mắc kẹt khi rời khỏi nhà?
Trên mạng nội bộ, mọi thứ rất đơn giản: máy chủ có địa chỉ riêng, ví dụ như 192.168.1.50, và bất kỳ thiết bị nào kết nối với cùng mạng Wi-Fi đều có thể truy cập mà không gặp vấn đề gì. Tình hình thay đổi khi yêu cầu đến từ internet, vì bộ định tuyến của bạn không biết phải chuyển tiếp lưu lượng truy cập đó đến thiết bị nào. Để giải quyết vấn đề này, ba giải pháp kinh điển thường được sử dụng: chuyển tiếp cổng, thiết lập proxy ngược hoặc sử dụng đường hầm như Cloudflare. Cả ba đều phức tạp và không giải pháp nào được thiết kế để mẹ vợ bạn có thể cấu hình từ bên kia thế giới.
Thiết lập chuyển tiếp cổng (port forwarding) bao gồm việc thông báo cho bộ định tuyến rằng tất cả lưu lượng truy cập đến trên một cổng cụ thể nên được chuyển hướng đến máy tính đang chạy Jellyfin. Nghe có vẻ dễ dàng, nhưng nó yêu cầu truy cập vào bảng điều khiển của bộ định tuyến, tạo một quy tắc, gán địa chỉ IP cục bộ của máy chủ và hy vọng rằng địa chỉ IP công cộng không thay đổi thường xuyên. Hơn nữa, việc mở các cổng trên bộ định tuyến tạo ra một lỗ hổng có thể nhìn thấy từ internet, và nếu không được bảo mật đúng cách, nó có thể trở thành một lỗ hổng bảo mật nghiêm trọng.
Máy chủ proxy ngược nghe có vẻ thanh lịch hơn, nhưng cũng phức tạp hơn về mặt kỹ thuật. Nó được sử dụng để nhận các yêu cầu truy cập, mã hóa kết nối bằng HTTPS và chuyển tiếp chúng đến máy chủ Jellyfin bên trong. Thông thường, nó yêu cầu mua hoặc quản lý một tên miền, cấu hình chứng chỉ và hiểu rõ những gì đang diễn ra ở mỗi bước. Điều này không phải là không thể , nhưng đó không phải là giải pháp bạn nên khuyên dùng cho người chỉ muốn xem phim trên iPad mà không cần nhờ đến chuyên gia máy tính.
Cloudflare Tunnel là một lựa chọn khác: bạn cài đặt một chương trình trên máy chủ, chương trình này sẽ mở một kết nối đi ra ngoài, và khách của bạn có thể truy cập bằng một tên miền thông thường mà không cần phải mở cổng hoặc có địa chỉ IP công cộng. Vấn đề là các điều khoản chi tiết của Cloudflare không thân thiện với người dùng như vẻ ngoài của nó khi nói đến việc cung cấp video, và bạn cũng phụ thuộc vào một bên trung gian có thể thay đổi các quy tắc hoặc hạn chế dịch vụ của bạn.
Điểm chung của tất cả các tùy chọn này là, bằng cách này hay cách khác, chúng đều làm lộ mạng gia đình của bạn ra internet , công bố một tên miền hoặc phụ thuộc vào nhà cung cấp bên thứ ba. Điều này giải thích tại sao nhiều người bỏ qua tính năng truy cập từ xa của Jellyfin trước khi mọi thứ trở nên quá phức tạp. Khuyến nghị của chính Jellyfin cũng rất rõ ràng: việc mở một cổng trực tiếp ra internet là không nên vì mật khẩu có thể truyền đi mà không được mã hóa nếu bạn sử dụng HTTP thông thường. Cổng 8096 dành cho HTTP , 8920 dành cho HTTPS nhưng không được sử dụng theo mặc định, và 7359 dành cho việc phát hiện cục bộ, vì vậy những cổng này cũng không nên được mở.
Tailscale cung cấp những gì và có điều gì cần lưu ý?
Tailscale xây dựng một mạng riêng dựa trên WireGuard. Ý tưởng là bạn cài đặt ứng dụng trên nhiều thiết bị, cấp quyền cho chúng bằng cùng một tài khoản, và tất cả chúng hoạt động như thể chúng được kết nối với cùng một bộ định tuyến, ngay cả khi chúng ở các quốc gia khác nhau. Không cần phải mở cổng hoặc có địa chỉ IP công cộng , bởi vì mỗi thiết bị tự khởi tạo kết nối của mình với mạng Tailscale và tất cả chúng đều nằm ở giữa. Đối với một máy chủ gia đình chạy CGNAT, điều này là một sự hỗ trợ rất lớn.
Khi bạn đăng ký nhiều thiết bị, một tailnet sẽ được tạo ra, đây là mạng riêng liên kết với tài khoản của bạn. Mỗi thiết bị sẽ nhận được một địa chỉ như 100.xyz và một tên MagicDNS để bạn không phải nhớ các dãy số. Đây là địa chỉ bạn cần nhập vào ứng dụng Jellyfin để kết nối từ bên ngoài. Tailscale phân phối địa chỉ từ khối 100.64.0.0/10 , cùng khối được sử dụng cho CGNAT, nhưng đừng nhầm lẫn: địa chỉ internet của bộ định tuyến của bạn hoàn toàn khác, và đó là điều bạn cần kiểm tra khi xác minh xem mình có CGNAT hay không.
Gói Cá nhân của Tailscale miễn phí cho mục đích phi thương mại và cho phép tối đa sáu người dùng, bao gồm cả bạn, vì vậy bạn có thể mời thêm năm người nữa. Công ty mô tả gói này là miễn phí vĩnh viễn, và đối với nhu cầu sử dụng thông thường của gia đình, nó thường hoàn toàn đáp ứng được. Kết hợp với Jellyfin, một phần mềm mã nguồn mở miễn phí , bạn sẽ có một hệ sinh thái đa phương tiện mà không cần trả phí thuê bao, không giống như Plex Pass, phần mềm này tính phí cho việc phát trực tuyến từ xa.
Tailscale cũng là lựa chọn được khuyến nghị khi nhà mạng thực thi CGNAT hoặc khi nhà cung cấp dịch vụ Internet (ISP) chặn một số kết nối đến nhất định. Thay vì phải xử lý qua bộ định tuyến, máy chủ và máy khách kết nối trực tiếp vào mạng riêng và gặp nhau tại đó. CGNAT trở nên không cần thiết đối với kết nối này vì bạn không cần bất kỳ ai gọi đến mạng gia đình của bạn từ bên ngoài.
Tuy nhiên, chi phí ẩn không phải là tiền bạc, mà là sự bất tiện. Mỗi thiết bị muốn truy cập nội dung đều cần cài đặt và cấp phép Tailscale , và máy chủ phải được bật nguồn và kết nối với mạng nội bộ thì nội dung mới khả dụng. Nếu mẹ bạn dùng TV Samsung, mẹ chồng bạn dùng Google TV, và anh trai bạn lại dùng máy tính bảng Android cũ, bạn sẽ phải cài đặt và cấu hình Tailscale trên từng thiết bị hoặc tìm một thiết bị trung gian (bridge). Đối với người không rành công nghệ, đó đã là một rào cản rồi.
Việc chia sẻ với người khác cũng đi kèm với một số điều kiện. Tailscale cho phép chia sẻ máy tính trên tất cả các gói dịch vụ, nhưng người được mời cần có tài khoản riêng và hơn nữa, phải là chủ sở hữu, quản trị viên hoặc người quản lý CNTT của mạng máy tính riêng của họ để chấp nhận lời mời. Việc này không đơn giản như chỉ gửi một đường dẫn và để người khác đăng nhập mà không cần làm gì cả. Đối với mẹ chồng bạn, điều đó có thể có nghĩa là cần cài đặt, đăng ký và thao tác trên một vài màn hình trước khi xem bộ phim đầu tiên.
Cuối cùng, Tailscale không phải lúc nào cũng thiết lập kết nối trực tiếp giữa hai điểm cuối. Khi có NAT cứng, tường lửa hoặc các hạn chế khác, lưu lượng truy cập sẽ được định tuyến qua các máy chủ chuyển tiếp DERP của Tailscale. Điều này có thể làm tăng độ trễ , và điều này dễ nhận thấy trong video: có ngày video mượt mà, nhưng ngày khác lại bị giật ngay cả khi bạn không thay đổi bất kỳ cài đặt nào. Chính sách sử dụng được chấp nhận của Tailscale không bao gồm điều khoản cụ thể nào liên quan đến băng thông, video hoặc dung lượng lưu lượng truy cập, nhưng điều đó không thay đổi thực tế rằng các máy chủ chuyển tiếp chỉ là giải pháp cuối cùng và không đảm bảo chất lượng phát trực tuyến hoàn hảo.
Trước khi chạm vào bất cứ thứ gì: hãy kiểm tra xem bạn có CGNAT hay không.
CGNAT có nghĩa là nhà cung cấp dịch vụ internet của bạn chia sẻ cùng một địa chỉ IP công cộng giữa nhiều khách hàng. Bạn không có địa chỉ riêng trên internet, và cho dù bạn mở bao nhiêu cổng trên bộ định tuyến đi nữa, không có cách nào để bất kỳ ai bên ngoài mạng của bạn truy cập vào nhà bạn. Đó là địa chỉ IP công cộng được chia sẻ , vì vậy việc chuyển tiếp cổng truyền thống sẽ không hoạt động, cho dù bạn cấu hình nó như thế nào đi nữa.
Cách kiểm tra rất nhanh. Truy cập bảng điều khiển của bộ định tuyến và tìm địa chỉ IP internet, địa chỉ IP WAN hoặc địa chỉ IP bên ngoài của nó. Sau đó, từ một thiết bị được kết nối với cùng mạng, hãy tìm kiếm "Địa chỉ IP của tôi là gì?" trên Google và so sánh hai số. Nếu chúng không khớp, có một thiết bị trung gian. Nếu địa chỉ IP WAN nằm trong khoảng từ 100.64.0.0 đến 100.127.255.255 , vấn đề đã rõ ràng: bạn đang ở phía sau CGNAT. Một bộ định tuyến thứ hai trong cùng chuỗi cũng có thể gây ra triệu chứng tương tự, vì vậy đừng loại trừ khả năng đó.
Nếu bạn gặp sự cố CGNAT, trước khi thử bất kỳ giải pháp thay thế nào, bạn nên gọi cho nhà cung cấp dịch vụ và hỏi xem họ có thể cung cấp cho bạn địa chỉ IPv4 công cộng hay không. Điều này phụ thuộc vào hợp đồng và vị trí của bạn, và có thể sẽ phát sinh chi phí, nhưng đây là cách duy nhất để khôi phục chuyển tiếp cổng truyền thống. Ngoài ra còn có tùy chọn IPv6 gốc: nếu máy chủ của bạn có địa chỉ IPv6 có thể định tuyến toàn cầu và mạng bạn đang truy cập cũng sử dụng IPv6, bạn có thể kết nối theo cách đó. CGNAT là sự cố liên quan đến IPv4 , vì vậy đừng loại trừ khả năng này trước khi kiểm tra.
Và hãy cẩn thận với những lối tắt: DNS động không khắc phục được CGNAT. Một tên miền trỏ đến địa chỉ IP dùng chung vẫn không dẫn đến địa chỉ nhà bạn. DNS động không cố định được địa chỉ IP dùng chung ; nó chỉ cập nhật tên miền khi địa chỉ IP công cộng của bạn thay đổi, vì vậy trước tiên bạn cần có một địa chỉ IP công cộng thực sự rồi mới lo đến tên miền.
Trải nghiệm lướt ván Tailscale cùng Jellyfin mà không gặp rắc rối.
Quy trình cơ bản còn ngắn hơn cả việc chọn xem gì vào tối thứ Sáu. Đầu tiên, bạn cài đặt Jellyfin trên máy tính sẽ đóng vai trò là máy chủ. Nếu là Windows, tốt nhất nên đánh dấu nó là một dịch vụ để nó tự động khởi động trước khi bạn đăng nhập. Sau đó, truy cập http://localhost:8096 , thêm các thư mục từ ổ cứng của bạn và cấu hình thư viện, phụ đề và đồng bộ hóa tiến trình phát lại.
Khi máy chủ đang hoạt động, hãy cài đặt Tailscale trên cùng một máy tính và trên các thiết bị mà bạn muốn truy cập từ đó. Trong quá trình thiết lập ban đầu, hãy tạo một tài khoản và ủy quyền cho các thiết bị, thao tác này sẽ tạo ra mạng tailnet. Sử dụng cùng một tài khoản trên tất cả các thiết bị để chúng có thể nhìn thấy nhau. Nếu bạn cài đặt Tailscale trên máy chủ nhưng không cài đặt trên thiết bị di động, thiết bị di động sẽ không phải là một phần của mạng riêng và sẽ không thể truy cập được.
Để tìm địa chỉ máy chủ trong Tailscale, bạn có thể sử dụng lệnh `tailscale ip -4` trên máy chủ hoặc kiểm tra ứng dụng. Nó sẽ trả về một địa chỉ tương tự như 100.121.112.23. Trong ứng dụng Jellyfin client, hãy thêm máy chủ theo cách thủ công bằng cách sử dụng địa chỉ đó và cổng tương ứng, ví dụ: 100.xyz:8096 . Chức năng tự động phát hiện của Jellyfin chỉ hoạt động trên mạng cục bộ, vì vậy từ bên ngoài mạng cục bộ, bạn sẽ phải nhập địa chỉ theo cách thủ công.
Tailscale có sẵn cho Windows, macOS, Linux, Android, iPhone, Chromebook, Apple TV và Amazon Fire. Danh sách này bao gồm nhiều thiết bị , nhưng không phải tất cả. TV Samsung Tizen và LG webOS không có Tailscale, mặc dù chúng có ứng dụng Jellyfin chính thức. Vấn đề nằm ở chỗ: TV có thể chạy Jellyfin, nhưng nó vẫn nằm ngoài mạng riêng của bạn trừ khi có thiết bị nào đó kết nối nó với mạng.
Hãy nhớ rằng máy chủ phải luôn được bật nguồn và kết nối với Tailnet. Một máy chủ hoạt động liên tục là điều cần thiết: nếu máy tính tắt hoặc mất kết nối, các thành viên trong gia đình bạn sẽ không thể truy cập thư viện. Bạn cũng không thể sử dụng Tailscale cho mục đích thương mại với gói miễn phí, vì vậy nếu đây là dịch vụ dành cho một nửa gia đình bạn, hãy đảm bảo rằng nó đáp ứng các yêu cầu cá nhân của bạn.
Vấn đề thực sự: Tivi và những thành viên gia đình thiếu kiên nhẫn.
Trên TV Samsung Tizen hoặc LG webOS, Jellyfin có ứng dụng chính thức trên cửa hàng, nhưng Tailscale thì không khả dụng. TV có thể mở Jellyfin, nhưng vì nó không kết nối với mạng gia đình nên không thể truy cập máy chủ. TV vẫn nằm ngoài mạng gia đình và không có thiết lập nào trong ứng dụng có thể khắc phục được vấn đề này.
Giải pháp kỹ thuật bao gồm việc thiết lập một bộ định tuyến mạng con: một thiết bị đã cài đặt Tailscale và hoạt động như một cầu nối giữa mạng riêng và các thiết bị không thể cài đặt ứng dụng. Giải pháp này hoạt động, nhưng việc cấu hình không còn đơn giản như một buổi chiều nữa: nó bao gồm việc thiết lập một thiết bị khác, để thiết bị đó luôn bật nguồn và giải thích cách hoạt động bên trong của nó cho bất kỳ ai cần. Nó hoạt động như một cầu nối , đúng vậy, nhưng nó không minh bạch và cũng không tiết kiệm thời gian.
Với Google TV, Chromecast và các máy tính bảng Android đời cũ, bạn cần xem xét từng trường hợp riêng lẻ. Nếu thiết bị cho phép cài đặt Tailscale từ cửa hàng ứng dụng của nó, bạn có thể thử; nếu không, chúng ta lại gặp vấn đề tương tự. Mỗi thiết bị muốn kết nối cần một cài đặt riêng hoặc một thiết bị trung gian để kết nối. Trong một gia đình có nhiều máy tính bảng đời cũ, điều này có thể khá rắc rối.
Chia sẻ tài khoản Twitter của bạn với người thân không đơn giản như nhấn một nút. Khách cần có tài khoản riêng và hơn nữa, phải là chủ sở hữu hoặc quản trị viên của tài khoản đó mới có thể chấp nhận lời mời. Việc có tài khoản riêng và làm quản trị viên là quá khó đối với người chỉ muốn xem phim. Đối với mẹ hoặc mẹ chồng của bạn, điều đó không thể so sánh với việc mở Plex và thấy thư viện đã được thiết lập sẵn.
Đó là lý do tại sao, ngay cả khi Tailscale là lựa chọn đơn giản nhất đối với bạn, nó lại không phải là lựa chọn đơn giản nhất đối với gia đình bạn. Nó không thể so sánh với Plex về tính minh bạch đối với người dùng cuối. Nếu tất cả các thiết bị đều thuộc sở hữu của bạn và bạn có thể thiết lập chúng trước, thì thật tuyệt vời. Nhưng khi có các TV của bên thứ ba và các thành viên trong gia đình không rành về công nghệ, tình hình sẽ thay đổi.
Các giải pháp thay thế để gia đình bạn không cần phải tự lắp đặt bất cứ thứ gì.
Nếu mục tiêu của bạn là để khách của bạn bật TV và xem Jellyfin mà không cần cài đặt Tailscale, lựa chọn minh bạch nhất là sử dụng VPS với VPN kết nối đến nhà bạn và một máy chủ proxy ngược. Bạn thuê một máy chủ nhỏ trên internet, có địa chỉ IP công cộng tĩnh, thiết lập VPN giữa VPS và nhà bạn, và sử dụng máy chủ proxy ngược để nhận các lượt truy cập. Khách chỉ thấy một tên miền thông thường với biểu tượng khóa HTTPS, mà không cần cài đặt bất cứ thứ gì hoặc đăng ký ở bất kỳ đâu. Tuy nhiên, đây là thiết lập tốn nhiều công sức nhất và là lựa chọn duy nhất có hóa đơn định kỳ.
Điểm mấu chốt là cuộc gọi xuất phát từ mạng gia đình của bạn, chứ không phải từ VPS. Máy chủ tại nhà của bạn mở kết nối đến VPS, vì vậy CGNAT không can thiệp. Sau đó, máy chủ proxy ngược của VPS nhận các cuộc gọi từ người thân của bạn và chuyển tiếp chúng qua đường hầm đến Jellyfin. Cuộc gọi xuất phát từ mạng gia đình của bạn , và khách chỉ thấy một tên miền có chứng chỉ. Tuy nhiên, VPS không làm tăng băng thông của bạn: video vẫn xuất phát từ mạng gia đình và sử dụng tốc độ tải lên của bạn.
Điểm nghẽn nằm ở tốc độ tải lên của bạn , chứ không phải kích thước thư viện phim. Cho dù bạn có 30 TB phim đi chăng nữa, chỉ những gì đang được phát mới truyền qua đường hầm. Nếu tốc độ tải lên của kết nối của bạn dưới 100 Mbps, bạn nên giới hạn tốc độ bit của Jellyfin ở mức 70% tốc độ đó để tránh gián đoạn. Giới hạn này được cấu hình trong bảng điều khiển và ảnh hưởng đến các thiết bị bên ngoài mạng cục bộ của bạn.
WireGuard là một lựa chọn khác nếu bạn không có CGNAT. Nó miễn phí, nhanh chóng và mở một cổng UDP thay vì bảng điều khiển Jellyfin, vì vậy bất kỳ ai không có khóa sẽ không nhận được phản hồi. Nó hoạt động hoàn hảo mà không cần CGNAT , nhưng với CGNAT, máy chủ tại nhà của bạn không có địa chỉ ổn định để gọi, vì vậy điểm cuối lắng nghe phải ở ngoài mạng: bạn lại quay trở lại sử dụng VPS. Phải có ai đó đang lắng nghe bên ngoài mạng gia đình của bạn; không có cách nào khác.
Cloudflare Tunnel không cần mở cổng và không yêu cầu địa chỉ IP công cộng. Bạn cài đặt Cloudflare trên máy chủ, thiết lập kết nối đi ra và khách của bạn truy cập thông qua trình duyệt mà không cần cài đặt bất cứ thứ gì. Vấn đề nằm ở những điều khoản chi tiết: Điều khoản cụ thể của Cloudflare nêu rõ rằng, trừ khi bạn là khách hàng doanh nghiệp, bạn phải sử dụng các dịch vụ trả phí để phân phối video và các tệp lớn thông qua CDN của họ. Cloudflare có quyền vô hiệu hóa hoặc hạn chế quyền truy cập nếu họ nghi ngờ bạn đang sử dụng CDN mà không có các dịch vụ này. Mục 2.8 cũ được thảo luận trên các diễn đàn đã bị bãi bỏ vào tháng 5 năm 2023, và từ "Tunnel" không xuất hiện trong tài liệu đó, vì vậy không có lệnh cấm rõ ràng cũng như không có sự cho phép rõ ràng. Đó là một vùng xám.
Nếu bạn có địa chỉ IP công cộng và chỉ muốn một tên miền thay vì một chuỗi số, dịch vụ DNS động miễn phí sẽ đáp ứng được nhu cầu đó. DuckDNS tự quảng cáo là miễn phí và được lưu trữ trên AWS, không yêu cầu thẻ tín dụng. No-IP cũng có gói miễn phí với tên miền và không yêu cầu thẻ tín dụng. DuckDNS và No-IP là hai lựa chọn nổi tiếng nhất, nhưng DynDNS hiện không còn cung cấp gói miễn phí: bạn chỉ thấy tùy chọn mua dịch vụ hoặc dùng thử bảy ngày. Và hãy nhớ rằng dịch vụ DNS động không khắc phục được sự cố CGNAT hoặc thay thế việc chuyển tiếp cổng.
Mở cổng 8096 ra toàn thế giới là ý tưởng tồi tệ nhất. Jellyfin nói thẳng thừng: mở cổng trực tiếp ra internet là không an toàn và không được khuyến khích. Nếu bạn sử dụng HTTP, mật khẩu sẽ được truyền đi mà không mã hóa. Cách tốt nhất là sử dụng proxy ngược để xử lý HTTPS và tránh sử dụng chứng chỉ tự ký vì chúng gây ra các vấn đề về khả năng tương thích và bảo mật. Xử lý HTTPS thông qua proxy ngược là cách làm hợp lý; chỉ cần bật một vài thiết lập trong Jellyfin và hy vọng mọi việc sẽ ổn.
Các cài đặt bảo mật và những điều cần điều chỉnh trong Jellyfin
Cổng 8096 dành cho HTTP, 8920 dành cho HTTPS nhưng không được sử dụng mặc định, và 7359 dành cho việc phát hiện cục bộ. Cổng 8096 không nên được mở công khai . Nếu bạn định mở cổng này, hãy sử dụng máy chủ proxy ngược với HTTPS để nhận các lượt truy cập và định tuyến lưu lượng truy cập đến Jellyfin.
Có hai công tắc riêng biệt cho truy cập từ xa: một ở cấp độ máy chủ, trong Cài đặt Mạng và Truy cập Từ xa, và một công tắc khác cho mỗi người dùng, trên hồ sơ của mỗi người, với tùy chọn "Cho phép kết nối từ xa đến máy chủ này". Hai công tắc riêng biệt có nghĩa là bạn có thể loại trừ các tài khoản chỉ được sử dụng tại nhà và chỉ cho phép những người thực sự cần truy cập từ xa.
Giới hạn tốc độ được cấu hình trong Bảng điều khiển > Phát lại > Truyền phát, trong mục Giới hạn tốc độ bit truyền phát Internet. Đây là giới hạn cho mỗi luồng đối với tất cả các thiết bị bên ngoài mạng của bạn. Nếu tốc độ tải lên của bạn nhỏ hơn 100 Mbps, Jellyfin khuyên bạn nên đặt giới hạn này ở mức 70% tốc độ tải lên của bạn. Hai luồng sẽ nhân đôi giới hạn này , vì vậy đừng coi đó là giới hạn tổng thể: đó là giới hạn cho mỗi luồng. Bạn có thể ghi đè giá trị toàn cục trong hồ sơ của mỗi người dùng.
Kết nối nhanh cho phép bạn đăng nhập bằng mã tạm thời gồm sáu ký tự thay vì tên người dùng và mật khẩu. Chức năng này được bật mặc định và khá tiện lợi, nhưng mã này tự nó không hợp lệ: nó cần được xác thực bởi thiết bị mà bạn đã đăng nhập. Nó không phải là một "cửa hậu" thần kỳ. Nếu không muốn sử dụng, bạn có thể tắt chức năng này trong Cài đặt > Bảng điều khiển > Chung bằng cách bỏ chọn "Bật Kết nối nhanh trên máy chủ này".
Đối với các thư viện lớn, đừng quá lo lắng về dung lượng ổ cứng. Chỉ có tệp đang được phát mới đi qua đường truyền, vì vậy điều quan trọng là tốc độ bit của tệp đó và tốc độ tải lên của bạn. Kích thước của thư viện không ảnh hưởng đến băng thông; điều quan trọng là tốc độ bit của phim hoặc loạt phim bạn đang xem.
Nên chọn gì theo trường hợp của bạn
Nếu bạn sử dụng dịch vụ cá nhân và thiết bị của bạn là điện thoại di động, máy tính xách tay hoặc máy tính bảng, Tailscale là lựa chọn đơn giản nhất: chỉ cần một buổi chiều, không tốn đồng nào, và CGNAT sẽ không còn là vấn đề đối với bạn nữa. Tailscale mang lại lợi ích cho chính thiết bị của bạn vì bạn có thể tự cài đặt và cấp phép. Đây là giải pháp đơn giản nhất khi không có sự tham gia của bất kỳ thiết bị truyền hình bên thứ ba nào.
Nếu bạn định chia sẻ với gia đình xem TV và không muốn cài đặt bất cứ thứ gì, VPS có VPN và reverse proxy là lựa chọn duy nhất mang lại cho họ trải nghiệm tương tự như Plex: họ chỉ cần mở một tên miền, nhập mật khẩu và xem nội dung. Lựa chọn duy nhất không cần cài đặt này cũng là lựa chọn đắt nhất về thời gian và có hóa đơn hàng tháng. Đối với mẹ bạn, mẹ chồng bạn và những đứa trẻ dùng máy tính bảng cũ, sự minh bạch này là vô cùng quý giá.
Nếu bạn có địa chỉ IP công cộng và chỉ muốn một tên miền thay vì địa chỉ IP thay đổi liên tục, hãy sử dụng DuckDNS hoặc No-IP. Dynamic DNS là giải pháp cho việc đặt tên miền, nhưng không phải cho CGNAT hoặc vấn đề bảo mật. Trước tiên, hãy xác minh rằng địa chỉ IP công cộng của bạn là của bạn, rồi hãy lo đến việc đặt tên miền sau.
Cloudflare Tunnel có thể hữu ích nếu bạn hiểu rõ các điều khoản của nó và không ngại phụ thuộc vào bên thứ ba. Đừng cho rằng nó miễn phí mà không có điều kiện ràng buộc : có những hạn chế về video và Cloudflare có thể giới hạn dịch vụ. Nếu bạn dùng thử, hãy làm điều đó với sự hiểu biết đầy đủ, vì không có giải thích chính thức nào về lưu lượng truy cập Tunnel trong điều khoản của họ.
Điều bạn tuyệt đối không nên làm là mở cổng 8096 cho toàn thế giới và trông chờ vào may mắn. Mở cổng 8096 cho toàn thế giới là lựa chọn tồi tệ nhất: không an toàn, dễ bị tấn công và mật khẩu có thể truyền đi mà không được mã hóa. Nếu bạn không muốn thiết lập bất cứ thứ gì, hãy sử dụng Tailscale cho các thiết bị của mình; nếu bạn muốn sự minh bạch cho gia đình, hãy sử dụng VPS với VPN và proxy ngược; nếu bạn chỉ cần một tên miền, hãy sử dụng DNS động; và nếu Cloudflare Tunnel hấp dẫn bạn, hãy đọc kỹ các điều khoản trước khi sử dụng.
Quyết định cuối cùng phụ thuộc vào việc ai sẽ sử dụng Jellyfin và bạn sẵn sàng đầu tư bao nhiêu thời gian. Tailscale là lựa chọn đơn giản nhất dành cho bạn, nhưng không phải là lựa chọn minh bạch nhất cho gia đình bạn. Nếu tất cả các thiết bị đều thuộc sở hữu của bạn, Tailscale sẽ gần như hoàn hảo. Với TV Samsung, LG hoặc Google và các thành viên gia đình không muốn gặp rắc rối, VPS với VPN và proxy ngược là lựa chọn gần giống nhất với trải nghiệm Plex: họ không cần cài đặt gì cả, bạn chỉ việc quản lý và thanh toán. Và nếu bạn chỉ muốn dùng thử mà không tốn một xu nào, Tailscale có thể giúp bạn giải quyết vấn đề ngay hôm nay, miễn là bạn có thể cấu hình từng thiết bị và chấp nhận rằng máy chủ luôn hoạt động.