如何在Debian上配置Jellyfin网络

在 Debian 上配置 Jellyfin 网络

一 基础网络与防火墙

• 确认监听端口：Jellyfin 默认使用 TCP 8096（HTTP）与 UDP 1900（DLNA/SSDP）。确保这些端口未被占用，且系统防火墙放行。
• 使用 UFW 放行端口（示例）：
  • 允许局域网访问：sudo ufw allow from 192.168.1.0/24 to any port 8096,1900 proto tcp
  • 允许公网访问（谨慎）：sudo ufw allow 8096/tcp, 1900/udp
  • 启用防火墙：sudo ufw enable
• 云服务器需同时放行云厂商安全组/防火墙的 8096/TCP 与 1900/UDP。
• 路由器端口转发（可选，用于从外网直连）：将公网的 8096/TCP 转发到内网 Jellyfin 主机的 192.168.1.x:8096；如需 DLNA 发现，还需转发 1900/UDP。注意：直连公网存在安全风险，优先使用反向代理或内网穿透。

二 访问与基础设置

• 局域网访问：在浏览器打开 http://服务器IP:8096，完成管理员创建与媒体库添加。
• 远程访问开关：在首次向导或“控制台 > 网络”中可启用/禁用“允许远程访问”。若启用，Jellyfin 会在路由器开启 UPnP 时尝试自动做端口映射；如未启用 UPnP，需手动做端口转发或使用反向代理。

三 反向代理与 HTTPS（推荐）

• 方案优点：隐藏端口、支持 HTTPS/Wildcard、便于与现有站点整合、可配合 HTTP/2 提升体验。
• 使用 Nginx 示例（启用 HTTPS 与 WebSocket）：
  1. 安装：sudo apt install nginx
  2. 获取证书（Certbot）：sudo apt install certbot python3-certbot-nginx
     • 单域名：sudo certbot --nginx -d your.domain
     • 通配符：sudo certbot certonly --manual --preferred-challenges dns -d *.your.domain
  3. 站点配置 /etc/nginx/sites-available/jellyfin：

     server {
         listen 80;
         server_name your.domain;
         return 301 https://$host$request_uri;
     }
     
     server {
         listen 443 ssl http2;
         server_name your.domain;
     
         ssl_certificate /etc/letsencrypt/live/your.domain/fullchain.pem;
         ssl_certificate_key /etc/letsencrypt/live/your.domain/privkey.pem;
     
         # 反代 HTTP
         location / {
             proxy_pass http://127.0.0.1:8096;
             proxy_set_header Host $host;
             proxy_set_header X-Real-IP $remote_addr;
             proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
             proxy_set_header X-Forwarded-Proto $scheme;
             proxy_set_header X-Forwarded-Host $http_host;
             proxy_set_header Upgrade $http_upgrade;
             proxy_set_header Connection "upgrade";
         }
     
         # DLNA/SSDP 多播（可选，需与主机同网段）
         location /socket {
             proxy_pass http://127.0.0.1:8096;
             proxy_http_version 1.1;
             proxy_set_header Upgrade $http_upgrade;
             proxy_set_header Connection "upgrade";
         }
     }
     

  4. 启用站点并重启：sudo ln -s /etc/nginx/sites-available/jellyfin /etc/nginx/sites-enabled && sudo systemctl reload nginx
  5. 访问：使用 https://your.domain。Jellyfin 控制台“网络”中的“公共 HTTPS 端口”可设为 443，客户端将自动使用 HTTPS。

四 进阶网络设置

• 静态 IP（便于端口转发与稳定访问）：
  • 使用 Netplan（/etc/netplan/*.yaml）示例：

    network:
      version: 2
      ethernets:
        eth0:
          dhcp4: no
          addresses: [192.168.1.110/24]
          gateway4: 192.168.1.1
          nameservers:
            addresses: [8.8.8.8, 1.1.1.1]
    

  • 应用：sudo netplan apply
• 仅局域网访问：保持路由器不做 8096 转发；在 Jellyfin“控制台 > 网络”取消勾选“允许远程访问”，并仅在内网放行 8096/TCP、1900/UDP。
• 带宽与并发：在“控制台 > 播放”中限制 比特率/并发流，避免家庭宽带或服务器出口拥塞。
• IPv6：若网络支持，可在路由器与防火墙放行 8096/TCP 的 IPv6 流量，并在 Jellyfin 控制台启用 IPv6 监听。
• 日志与排障：
  • 服务状态：sudo systemctl status jellyfin
  • 实时日志：sudo journalctl -u jellyfin -f
  • 端口占用：ss -lntp | grep -E ‘:(8096|1900)’
  • 外部连通性测试：curl -I http://服务器IP:8096 或 test-netconnection your.domain -port 443

五 安全建议

• 避免直接暴露 8096/TCP 到公网；优先通过 Nginx/Apache + Let’s Encrypt 提供 HTTPS。
• 为管理界面设置强密码，并启用 2FA（如可用）；限制管理接口的源 IP。
• 在路由器/云安全组仅开放必要端口；禁用不必要的端口转发。
• 定期更新 Jellyfin、Debian、Nginx/Certbot 与系统组件，修补安全漏洞。