HTTPS für Jellyfin auf Synology DiskStation

[out-of-rosenheim]

Guten zusammen,

bin gerade dabei meinen Medienserver von Plex auf Jellyfin umzustellen. Das Jellyfin Paket wurde über das Synology Paket-Zentrum (SynoCommunity) installiert. Lokal funktioniert alles einwandfrei, jedoch kann ich über meine Domain nur mittels HTTP aber nicht mit HTTPS auf Jellyfin zugreifen, obwohl ich den entsprechenden HTTPS Port im Router freigegeben habe. Da ich in der Diskstation bereits ein Let's Encrypt Zertifikat hinterlegt habe, dache ich es würde auch mit Jellyfin funktionieren, weil der Zugriff mit Plex auch problemlos geklappt hat. #EDIT: Nö leider doch nicht, ging auch nur über HTTP

https://meine.domain.de:<HTTPS-Port>/web

Aber offenbar muss in Jellyfin unter Netzwerk-Einstellungen noch was eingetragen werden !? Benötige ich wirklich ein weiteres Zertifikat ?

Hat da jemand Erfahrung damit und kann mir ggfs. helfen ?

 

[Supaman]

Du benötigtst zu allererst Domänen und DNS Einträge, wenn https://meine.domain.de aufgerufen wird (ggf mit abweichendem Port, wenn nicht Standard 443)
1) von extern
2) von intern

#1 hinterlegst du beim Domänen DNS, ggf mit cname, oder geht auch per Dyndns. Ffür #2 brauchst Du einen lokalen DNS Service, der das auflöst. Das kann der Router (vernünftige Router wie Unifi und Draytek können das, Fritzbox nicht) sein, oder eine Software Instanz wie Adguard. Dieser DNS Server muss dann auch bei den Clients eingetragen sein. Das ist dann Split DNS - von extern und intern werden unterschiedliche Ziel IPs an den anfragenden CLient gesendet.

Üblicherweise ist das Ziel aber nicht Jellifin direkt, sondern der Reverse Proxy. Dieser löst die Anfragen https://meine.domain.de, https://meine2.domain.de etc auf, leitet sie an die jeweiligen lokalen Ziel IPs weiter und erledigt auch das Zertifikatsmanagement, also Zertifikat anfordern und bei Bedarf erneuern. Dafür leitet man i.d.r. Port 80 und 443 an den RP weiter. Die gängigen RPs sind nginx, caddy, traeffic - ich persönlich finde Zoraxy gut.

Wenn das ganze erstmal steht, kann man sehr einfach weitere Dienste einrichten, in dem man pasende Rules im RP anlegt, um z.b. Vaultwarden, Nextcloud, etc unter eigenen URLs zu ereichen. Bei den Zertifikaten kann für jeden Dienst ein eigenes Zertifikat verwendet werden, oder man holt sich ein Wildcard Zertifikat das für alles gilt.

Setzt aber eine wie auch immer erreichbare public IP voraus, wer einen CGnat Anschluss hat, braucht mindestens einne Cloudflare Account oder 1 Euro VPS mit Wireguard und Portforwarding.

 

[out-of-rosenheim]

Hallo und erstmal Danke für deine Antwort. Leider verstehe ich nur Bahnhof, ich glaub das ist mir doch etwas zu hoch , eine Step-by-Step Anleitung wäre für mich einfacher zu verstehen; was muss ich wo machen? Ich habe eine Fritzbox 6670 Cable, mein DDNS Anbieter ist all-inkl.de und für meine.domain.de ist ein LE-Zertifikat in der Diskstation hinterlegt. Ich komme also via https von außen auf meine Diskstation und auch WebDAV, Calendar und Contacts funktionieren problemlos, die jeweiligen Ports sind in der FB offen.

Ich habe es jetzt mit einer Anleitung aus dem Netz so gelöst, dass ich in der Diskstation unter Anmeldeportal > Erweitert > einen Reverse Proxy eingerichtet habe:

Quelle
Protokoll: HTTPS
Hostname: meine.domain.de
Port: 1234
HSTS aktivieren

Ziel
Protokoll: HTTP
Hostname: IP_der_Diskstation
Port: 4321

Den Port 1234 habe ich in der FB geöffnet. Nun klappt es mit https und Jellyfin über meine Domain und mein Vater kann auf meine Mediensammlung zugreifen.
Ob das so korrekt ist wie ich es gemacht habe, weiß ich leider nicht, dazu fehlt mir noch das netzwerktechnische Verständnis

 

[Ceiber3]

Mach ein Reverse Proxy in Synology, der ist ja von haus aus eingebaut. Dann kannst du das Let's Encrypt Zertifikat von deiner Syno weiternutzen.
Habe mein Jellyfin auch so laufen.

 

[Haldi]

eine Step-by-Step Anleitung wäre für mich einfacher zu verstehen;

Bitteschön

Synology: How to Use Reverse Proxy on DSM 7

Trustworthy expert guide to your Synology and UGREEN NAS.

mariushosting.com

 

[out-of-rosenheim]

Mach ein Reverse Proxy in Synology, der ist ja von haus aus eingebaut. Dann kannst du das Let's Encrypt Zertifikat von deiner Syno weiternutzen.
Habe mein Jellyfin auch so laufen.

Aber genau so habe ich es doch gemacht

 

[Helmut-H]

Hi,

wozu braucht JellyFin ein Zertifikat?
Innerhalb deines Heimnetzwerkes nicht.
Und wenn du von außen auf dein Heimnetzwerk und JellyFin zugreifen möchtest, geht das über VPN.
Läuft bei mir über http? Port 8096.

Edit: Und deinen Vater bindest du mit LAN - LAN Kopplung an.
Über Split-Tunneling beim WireGuard leitest du nur den Verkehr von und zu deinem NAS durch den Tunnel.
Wie das geht steht hier im 1. Teil - im 2. Teil steht was über JellyFin auf OMV.
Download Heimnetzwerktechnik für den Heimanwender:
https://c.gmx.net/@418026224904837772/r1Gxt7MnQnG670tj2JFqYw

 

[out-of-rosenheim]

Danke Helmut für den Link, ich werde mich da mal reinlesen.

Klar kann ich Jellyfin auch problemlos lokal aufrufen und unterwegs via VPN drauf zugreifen. Ich wollte es aber so haben, dass sich mein Vater via https://meine.domain.de/jellyfin einloggen kann. Und dafür ist ein Zertifikat erforderlich. Das Problem habe ich mit einem Reverse Proxy direkt auf der DiskStation lösen können. So funktioniert nun alles wie vorgesehen

 

[Helmut-H]

Hi,
ist eine interessante Sache. Mir wäre das Scheunentor zu groß was ich in die Firewall reinbauen müsste.
Du musst sicher sein das -alle- deine Hosts und deren Software wirklich sicher sind.
Wenn Synology keine Sicherheits- und Firmware-Updates mehr verteilt - stehst du blank da.

Golem: Hacker kapern Nginx-Webserver über kritische Lücke