Proxies para servidor doméstico Plex e Jellyfin: como compartilhar conteúdo de mídia com segurança com amigos

Você montou um servidor de mídia doméstico no Plex ou Jellyfin, preencheu-o com filmes, séries e músicas — e quer dar acesso a amigos ou familiares. Mas abrir portas do roteador é assustador: é uma brecha direta na sua rede doméstica. Um servidor proxy resolve esse problema de forma elegante: ele atua como intermediário entre seu servidor e os espectadores, ocultando o IP real e não exigindo configurações perigosas do roteador.

Por que não basta abrir uma porta: riscos do servidor doméstico

A maneira mais óbvia de dar acesso a um amigo ao Plex ou Jellyfin é abrir uma porta no roteador. Por exemplo, abrir a porta 32400 (Plex) ou 8096 (Jellyfin) e enviar ao amigo um link do tipo http://seu-IP:32400. Tecnicamente, isso funciona. Mas do ponto de vista da segurança — é uma catástrofe.

Veja o que acontece quando você abre uma porta do roteador doméstico para a internet:

• Seu IP doméstico se torna público. Qualquer um que saiba o endereço do seu servidor conhece seu IP real. Isso inclui geolocalização, provedor, seu endereço com precisão até o bairro.
• Bot scanners te encontrarão em horas. Shodan, Censys e milhares de scanners automáticos estão constantemente percorrendo toda a internet. Uma porta aberta do Plex ou Jellyfin será detectada e começará a receber tentativas de invasão dentro de algumas horas após a abertura.
• Vulnerabilidades no software = invasão da rede. Plex e Jellyfin são softwares complexos com um histórico de vulnerabilidades. Se sua versão tiver uma brecha não corrigida, um atacante pode acessar não apenas o servidor de mídia, mas toda a sua rede doméstica: laptops, NAS, dispositivos inteligentes.
• DDoS e reclamações de abuso. Seu provedor doméstico não é obrigado a protegê-lo contra ataques DDoS. Em um ataque em massa, você simplesmente será desconectado.
• IP dinâmico. A maioria dos usuários domésticos tem um IP que muda. A cada vez, você terá que informar aos amigos o novo endereço ou configurar um serviço DDNS.

A conclusão é óbvia: uma porta aberta não é uma solução para um servidor de mídia doméstico ao qual se conectam pessoas estranhas. É necessário um intermediário que aceite solicitações dos espectadores e as encaminhe para seu servidor, sem revelar seu IP real e sem criar brechas na rede doméstica.

Como o proxy ajuda a compartilhar mídia: esquema de funcionamento

O proxy, no contexto de um servidor de mídia doméstico, funciona como um ponto intermediário. Seus amigos não se conectam diretamente ao seu IP doméstico, mas ao IP do servidor proxy. O proxy aceita a solicitação, a encaminha para seu servidor, recebe a resposta (fluxo de vídeo, metadados, capas) e a envia de volta ao espectador.

O esquema é o seguinte:

O que isso significa na prática:

• Seu IP doméstico está oculto. Os espectadores veem apenas o IP do servidor proxy. Mesmo que um amigo compartilhe o link com outra pessoa — eles não poderão atacar sua rede doméstica diretamente.
• Não é necessário abrir portas do roteador. Seu servidor inicia a conexão de saída com o proxy (ou túnel). Conexões de entrada da internet para sua rede não ocorrem.
• Um endereço fixo e estável. O servidor proxy tem um IP fixo. Mesmo que seu IP doméstico mude — os espectadores não saberão disso.
• Criptografia SSL. O proxy pode terminar o HTTPS, garantindo a criptografia do tráfego entre o espectador e o proxy.
• Controle de acesso. No nível do proxy, é possível restringir quem pode se conectar ao servidor.

É importante entender a diferença entre dois cenários de uso do proxy para o servidor de mídia. O primeiro cenário — você aluga um servidor proxy (ou VPS) e configura nele um reverse proxy (proxy reverso): nginx, Caddy ou Traefik. Esse servidor aceita as solicitações dos espectadores e as proxy para seu servidor doméstico. O segundo cenário — você usa um serviço de proxy comercial como túnel ou nó intermediário para anonimizar as solicitações de saída do seu servidor.

Neste artigo, abordaremos ambas as abordagens, mas o foco principal será na configuração prática que permitirá que seus amigos assistam ao conteúdo do seu servidor sem complicações técnicas da parte deles.

Qual tipo de proxy é adequado para Plex e Jellyfin

Nem todos os tipos de proxy são igualmente adequados para streaming de vídeo. Aqui está uma tabela comparativa considerando as especificidades dos servidores de mídia domésticos:

Conclusão sobre os tipos: para streaming contínuo de conteúdo de mídia, a escolha ideal é um proxy reverso em um VPS alugado, ou proxies de data center com alta largura de banda. Proxies residenciais são úteis em outro cenário: quando o Plex ou Jellyfin acessa fontes externas de metadados ou plugins que bloqueiam IPs de servidores.

Configuração do proxy para Plex Media Server: passo a passo

Vamos considerar o cenário mais prático: você tem um servidor doméstico com Plex e quer dar acesso a amigos através de um proxy reverso em um VPS. Isso fornece uma URL estável, um certificado SSL e oculta seu IP doméstico.

O que você vai precisar:

• PC doméstico ou NAS com o Plex Media Server instalado
• VPS (qualquer, até o mais barato — 1 vCPU, 1 GB de RAM é suficiente para proxy)
• Domínio (pode ser gratuito: DuckDNS, FreeDNS)
• Cerca de 30-60 minutos de tempo

Passo 1. Configure o Plex no servidor doméstico

Abra o Plex Web no servidor doméstico. Vá para Configurações → Acesso Remoto. Certifique-se de que a opção "Permitir acesso remoto" está ativada. Lembre-se da porta — por padrão, é 32400. Por enquanto, NÃO abra essa porta no roteador — faremos tudo através do proxy.

Passo 2. Instale o Nginx no VPS

Conecte-se ao VPS via SSH. Instale o Nginx e o Certbot para SSL:

sudo apt update
sudo apt install nginx certbot python3-certbot-nginx -y

Passo 3. Configure o túnel do VPS para o servidor doméstico

Este é o ponto chave. Precisamos que o VPS consiga acessar seu Plex doméstico. Existem duas maneiras:

Método A (mais fácil): túnel SSH do servidor doméstico para o VPS. No seu servidor doméstico, execute o comando que cria um túnel permanente — redireciona a porta 32400 do Plex doméstico para a porta 32400 do VPS:

ssh -N -R 32400:localhost:32400 user@SEU_VPS_IP

Para que o túnel funcione continuamente, adicione-o ao systemd ou use autossh para reconexão automática em caso de queda.

Método B (mais confiável): Tailscale ou WireGuard VPN entre o servidor doméstico e o VPS. Isso cria um túnel criptografado permanente sem a necessidade de redirecionar portas. Mais detalhes — na seção sobre alternativas.

Passo 4. Configure o Nginx como um proxy reverso

Crie uma configuração para seu domínio. Crie o arquivo /etc/nginx/sites-available/plex:

server {
    listen 80;
    server_name plex.seu-dominio.com;

    location / {
        proxy_pass http://localhost:32400;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Importante para streaming de vídeo:
        proxy_buffering off;
        proxy_read_timeout 36000s;
        proxy_send_timeout 36000s;
        client_max_body_size 0;
    }
}

Passo 5. Obtenha um certificado SSL

sudo certbot --nginx -d plex.seu-dominio.com

O Certbot atualizará automaticamente a configuração do Nginx e adicionará HTTPS. Depois disso, seus amigos poderão acessar https://plex.seu-dominio.com — e ver seu Plex com criptografia SSL.

Passo 6. Especifique a URL do proxy nas configurações do Plex

No Plex Media Server, vá para Configurações → Rede. No campo "URLs personalizadas do servidor", insira seu domínio: https://plex.seu-dominio.com:443. Isso informará ao Plex que os clientes devem se conectar através desse endereço, em vez de procurar um caminho direto.

Configuração do proxy para Jellyfin: passo a passo

Jellyfin é uma alternativa totalmente gratuita e de código aberto ao Plex. A configuração do proxy reverso para Jellyfin é um pouco diferente, mas a lógica é a mesma. O Jellyfin, por padrão, opera na porta 8096 (HTTP) e 8920 (HTTPS).

Passo 1. Configure o Jellyfin para trabalhar atrás de um proxy

Abra o painel de controle do Jellyfin. Vá para Painel de Controle → Rede. Encontre o campo "URL Base" e deixe-o vazio (se o Jellyfin estiver na raiz). Certifique-se de que a opção "Permitir conexões remotas" esteja ativada.

Passo 2. Configuração do Nginx para Jellyfin

A configuração do Nginx para Jellyfin é um pouco mais complexa, pois o servidor usa WebSocket para sincronização:

server {
    listen 80;
    server_name jellyfin.seu-dominio.com;

    location / {
        proxy_pass http://localhost:8096;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Suporte a WebSocket (importante para Jellyfin!)
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # Streaming sem buffer
        proxy_buffering off;
        proxy_read_timeout 36000s;
    }
}

Alternativa: Caddy em vez de Nginx

Se você não quer lidar com o Nginx, experimente Caddy — ele obtém automaticamente certificados SSL e tem uma sintaxe de configuração mais simples. A configuração para Jellyfin no Caddy é assim:

jellyfin.seu-dominio.com {
    reverse_proxy localhost:8096
}

Sim, são literalmente duas linhas. O Caddy configura automaticamente o HTTPS, obtém um certificado Let's Encrypt e o atualiza automaticamente. Para a maioria dos usuários domésticos, o Caddy é uma escolha mais conveniente.

Passo 3. Configure o túnel (semelhante ao Plex)

Use o mesmo túnel SSH ou abordagem VPN que foi descrita na seção sobre Plex, mas com a porta 8096:

ssh -N -R 8096:localhost:8096 user@SEU_VPS_IP

Alternativas: Tailscale, Cloudflare Tunnel e proxies — comparação

Além do clássico proxy reverso através do VPS, existem soluções mais modernas. Vamos analisar seus prós e contras:

Tailscale (e Headscale)

Tailscale é uma VPN baseada em WireGuard que cria uma rede privada entre seus dispositivos. Você instala o Tailscale no servidor doméstico e nos dispositivos dos amigos — e eles obtêm acesso direto e criptografado ao servidor através da rede virtual.

• Prós: muito fácil de configurar, segurança máxima, sem latência do proxy, gratuito até 3 usuários
• Contras: amigos precisam instalar o cliente Tailscale, dependência dos servidores da Tailscale Inc., mais difícil de escalar para um grande número de espectadores
• Quando escolher: se você tem 2-5 amigos tecnicamente habilidosos que não se importam em instalar o aplicativo

Cloudflare Tunnel (anteriormente Argo Tunnel)

O Cloudflare Tunnel permite publicar seu servidor doméstico na internet através da infraestrutura do Cloudflare sem abrir portas. Você instala cloudflared no servidor doméstico, ele cria um túnel de saída para o Cloudflare, e seu servidor se torna acessível pelo seu domínio através da CDN do Cloudflare.

• Prós: gratuito, não precisa de VPS, proteção contra DDoS do Cloudflare, SSL automaticamente
• Contras: o Cloudflare proíbe o uso do plano gratuito para streaming de vídeo em seus ToS. Para grandes volumes de tráfego, é necessário um plano pago. Além disso, o Cloudflare vê todo o seu tráfego.
• Quando escolher: para testes ou acesso ocasional ao Jellyfin/Plex

Tabela comparativa de soluções

Velocidade e qualidade de streaming através do proxy: o que influencia

A principal questão ao usar um proxy para o servidor de mídia é se a qualidade do vídeo cairá. Vamos analisar o que realmente influencia a velocidade de streaming através do proxy.

Largura de banda da internet doméstica

Esta é a limitação mais importante. Todo o fluxo de vídeo passa pelo seu canal doméstico de internet (upload). Os requisitos típicos de velocidade de upload são:

• Qualidade SD (480p): ~2-4 Mbps por espectador
• Qualidade HD (720p): ~5-8 Mbps por espectador
• Full HD (1080p): ~8-15 Mbps por espectador
• 4K HDR: ~25-40 Mbps por espectador

Se você tem um plano doméstico com 50 Mbps de upload, poderá atender simultaneamente 3-4 espectadores em 1080p. O proxy aqui não cria limitações adicionais — ele apenas redireciona o tráfego.

Transcodificação vs streaming direto

Plex e Jellyfin podem transcodificar vídeo em tempo real — converter o formato de acordo com as capacidades do dispositivo cliente. A transcodificação sobrecarrega o processador do servidor doméstico, mas não está relacionada ao proxy. Se o dispositivo cliente suporta reprodução direta (Direct Play) — a carga é mínima.

Recomenda-se: configure os aplicativos clientes Plex/Jellyfin para a máxima qualidade e reprodução direta — isso reduzirá a carga no servidor e eliminará atrasos de transcodificação.

Latência do proxy

O proxy adiciona um "salto" adicional na rota. Para streaming de vídeo, uma latência de 20-50 ms é praticamente imperceptível — o buffer do player de vídeo compensa isso. É crítico escolher um VPS em uma região próxima aos seus espectadores: se os amigos estão em Moscovo — escolha um VPS em Moscovo ou na Europa, não nos EUA.

Dicas práticas para otimização

• Desative o buffering no Nginx (proxy_buffering off) — isso é crítico para streaming de vídeo
• Aumente os timeouts (proxy_read_timeout 36000s) — caso contrário, filmes longos serão interrompidos
• Ative o HTTP/2 no Nginx — reduz o overhead em múltiplas solicitações paralelas
• Use gzip apenas para respostas textuais (metadados, API), mas não para fluxos de vídeo
• Configure o cache de capas e metadados no nível do proxy — isso reduzirá a carga no servidor doméstico

Segurança: como proteger o servidor e os dados dos usuários

Ao configurar o proxy, você já melhorou significativamente a segurança em comparação com uma porta aberta. Mas há ainda várias medidas importantes que vale a pena implementar.

Autenticação no nível do proxy

Adicione autenticação HTTP básica no nível do Nginx como uma barreira adicional. Mesmo que alguém encontre sua URL — sem login e senha, não verá a interface do Plex/Jellyfin. Crie um arquivo de senhas:

sudo htpasswd -c /etc/nginx/.htpasswd nome_do_usuario

No entanto, tenha em mente: a autenticação básica do Nginx pode entrar em conflito com a API do Plex/Jellyfin. É melhor confiar completamente na autenticação embutida desses serviços — ela é bastante confiável.

Restrição por IP

Se seus amigos têm IPs estáticos (ou estão dispostos a informar seus IPs ao mudar) — adicione uma lista de permissões no Nginx:

location / {
    allow 1.2.3.4;   # IP do amigo 1
    allow 5.6.7.8;   # IP do amigo 2
    deny all;
    proxy_pass http://localhost:32400;
}

Fail2ban contra brute force

Instale o Fail2ban no VPS — ele bloqueia automaticamente os endereços IP que fazem muitas tentativas de login malsucedidas. Isso protegerá tanto o Nginx quanto o SSH no próprio VPS:

sudo apt install fail2ban -y
sudo systemctl enable fail2ban

Atualizações regulares

Atualize o Plex/Jellyfin, Nginx e o sistema operacional do VPS regularmente. A maioria das invasões a servidores de mídia ocorre devido a vulnerabilidades conhecidas em versões desatualizadas do software. Configure atualizações automáticas de segurança no VPS:

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure unattended-upgrades

Monitoramento e logs

Configure a visualização dos logs do Nginx para rastrear atividades suspeitas. O comando para visualizar as últimas solicitações em tempo real:

sudo tail -f /var/log/nginx/access.log

Preste atenção a solicitações com User-Agent incomuns, solicitações em massa para /admin, /wp-admin e outros caminhos padrão — esses são sinais de varredura automática.

Checklist de segurança para o servidor de mídia doméstico

Conclusão e recomendações

Configurar um proxy para um servidor de mídia doméstico Plex ou Jellyfin é um equilíbrio entre conveniência, segurança e velocidade. Abrir a porta do roteador oferece a máxima velocidade, mas cria riscos reais para toda a rede doméstica. O proxy resolve esse problema, adicionando uma latência mínima, mas garantindo uma proteção adequada.

A melhor escolha para a maioria dos usuários domésticos é um proxy reverso em um VPS barato através do Caddy (mais simples) ou Nginx (mais flexível) em conjunto com um túnel SSH ou WireGuard/Tailscale. Isso proporciona uma URL estável, criptografia SSL e controle total sobre quem e como se conecta ao seu servidor.

Se você usa Plex ou Jellyfin não apenas para compartilhar conteúdo com amigos, mas também para acessar fontes externas de metadados, trailers ou plugins que bloqueiam IPs de servidores — para essas solicitações, proxies residenciais são uma ótima opção: eles imitam o tráfego de um usuário doméstico comum e não levantam suspeitas em serviços externos.

Para aqueles que desejam a máxima velocidade de tunelamento de fluxo de vídeo com latências mínimas, vale a pena considerar proxies de data center — eles oferecem alta largura de banda e uptime estável, o que é crítico para streaming ininterrupto em Full HD e 4K.