Accesso remoto al media server senza aprire porte

Per guardare la tua libreria da fuori casa serve una di tre cose: una porta inoltrata sul router, una rete privata a cui entrano entrambe le estremità, oppure un relay a cui il server si collega in uscita, così a casa non si deve aprire nulla. Quale ti serve dipende meno da quanto sei esperto che da ciò che il tuo operatore ti ha dato quando la linea è stata installata.

Perché il vecchio consiglio ha smesso di funzionare

Per molto tempo la risposta standard era una porta inoltrata, che presuppone un indirizzo IPv4 pubblico sul router, e un numero crescente di router ne è privo, perché con il NAT di operatore il fornitore mette centinaia di abbonati dietro un solo indirizzo condiviso, che nessuno di loro controlla e su cui nessuno può aprire una porta a proprio piacimento. Il router accetta la regola, il firewall è giusto, il nome DNS dinamico si risolve, e comunque non arriva nulla.

La tua linea è tra queste? Lo verifichi in un minuto:

1. Apri la pagina di stato del router e leggi l’indirizzo WAN che dichiara.
2. Se cade tra 100.64 e 100.127, è l’intervallo che la RFC 6598 riserva al NAT di operatore, e l’indirizzo che vede internet non è tuo da inoltrare.
3. Chiedi all’operatore un indirizzo pubblico, che alcuni danno gratis, alcuni fanno pagare e alcuni rifiutano, prima di comprare qualsiasi cosa.

Le linee mobili, il wireless fisso e molti contratti in fibra più recenti finiscono lì per impostazione predefinita, e la versione di operatore resta fuori dalla tua portata, a differenza del doppio NAT, che si cura mettendo in bridge il primo router.

Le tre strade, e cosa chiede ciascuna

Strada	Che cosa configuri	Che cosa espone	Dietro CGNAT	Costo
Inoltro di porta	Regola sul router, DNS dinamico, un certificato	Un indirizzo pubblico e una porta aperta	Non funziona	Gratis
Rete privata	WireGuard o Tailscale sul server e su ogni dispositivo	Niente di pubblico	Funziona	Gratis
Relay gestito	Un interruttore nelle impostazioni del server	Niente di pubblico	Funziona	Pro

Anche se è il modo più antico per raggiungere un media server self-hosted, una porta inoltrata resta la scelta migliore quando la linea lo consente: tra te e il tuo hardware non c’è nulla, e la banda è quella che il tuo upload può spingere. Significa però anche una pagina di accesso raggiungibile da chiunque scansioni quell’indirizzo, perciò il server va tenuto aggiornato.

Una rete sovrapposta funziona benissimo per un portatile o un telefono, ma peggio per un televisore o un decoder a casa di qualcun altro, dove di solito installare qualcosa è impossibile. Il relay chiede meno: il server apre la connessione in uscita, come fa qualsiasi applicazione, perciò restano fuori la regola da scrivere, il certificato da rinnovare e qualsiasi tuo indirizzo pubblicato. Quven lascia il router com’è.

Cosa fa davvero un relay all’immagine

Una sessione attraverso il relay percorre più strada di una locale, e un player che lo ignora si blocca. Una sessione remota che il server deve ricodificare è tenuta a 25 Mbps e 2160p, la qualità automatica segue ciò che la connessione sostiene, e la abbassi a mano quando vuoi.

Il client nel browser non è soggetto a quel tetto, e ogni richiesta di segmento attraverso il relay costa circa 117 millisecondi prima del primo byte, perciò un player che chiede un segmento, attende e poi chiede il successivo passa quasi tutto il tempo ad aspettare. La soluzione è leggere in anticipo: due segmenti richiesti prima, con due richieste in corso, permettono alla sorgente 4K piena di girare a circa 8,8 Mbit/s senza interruzioni, su una linea dove un segmento alla volta si fermerebbe a 720p. Il client desktop legge il file a intervalli, come un lettore locale legge un disco, perciò lì conta quanto avanti rispetto all’immagine tiene il buffer.

La parte di cui nessuno chiede subito

Il relay termina la cifratura e inoltra la tua sessione, perciò mentre i byte sono in transito può vederli, ed è costruito per non registrarli né conservare nulla della tua libreria. Se preferisci non accettare questo compromesso, la strada self-hosted è gratuita e supportata (cosa non lascia la tua macchina).

Domande frequenti