Руководство
Оставьте домашние сервисы за loopback, частной сетью или VPN. Закрытый доступ всё равно требует входа в приложение, безопасной первой настройки и backup.
SSH-туннель или VPN ограничивает, кто доберётся до сервиса. Он не делает все устройства сети доверенными, не создаёт администратора безопасно и не добавляет отдельные роли общей панели. Первую настройку выполняйте через loopback, штатные пароли и права сохраняйте там, где они предусмотрены.
Порт на loopback доступен самому серверу, но не автоматически другой машине в LAN или VPN. Для удалённого сервера часто достаточно SSH-туннеля. Частный обратный прокси даёт HTTPS и правильный origin браузера без проброса порта в интернет. Сохраняйте корректные Host, allowed hosts и внешний URL, если они требуются рецепту.
Локальный доступ не делает все интеграции автономными. Скачивание подкастов, метаданные, push, discovery/relay и загрузка моделей могут обращаться к внешним сервисам. Проверяйте нужного клиента и сценарий: доступная веб-страница не подтверждает все функции. Внешние backup и проверка восстановления нужны независимо от изоляции сети.
Подборки
Это сумма минимумов, заявленных перечисленными ниже рецептами. Нижняя граница, а не рекомендация: оставьте запас на систему, резервные копии и рост данных.
Почему он здесь: Самый очевидный случай: резолвер существует, чтобы отвечать устройствам вашей сети, а DNS-сервер, доступный из интернета, — это открытый резолвер, который обязательно используют для атак с усилением.
Почему он здесь: Размещайте узлы синхронизации в доверенной сети или подходящей частной связности. Отдельно проверьте discovery и relay; реплика не заменяет независимый backup.
Почему он здесь: Музыкальной библиотеке в локальной сети не нужны ни сертификат, ни домен, а мобильные клиенты продолжают работать через VPN, когда вы не дома.
Почему он здесь: Локальное воспроизведение — то, в чём Jellyfin лучше всего. Публикация означает домен, сертификат и продуманную аутентификацию; VPN даёт тот же результат без всего этого.
Почему он здесь: Единственный сервис в списке, который обязан работать, когда не работает интернет. Локальное управление — весь смысл, и рецепт написан именно под это.
Почему он здесь: Загрузка с телефона и так происходит в той сети, где вы проводите большинство вечеров. Оставить библиотеку приватной — значит включать VPN в поездках и убрать самую большую поверхность атаки в каталоге.
Почему он здесь: Общая локальная стартовая страница с паролем в рецепте. Правильно задайте разрешённый Host и адрес браузера; ключи интеграций — личные данные.
Почему он здесь: Личная аудиобиблиотека с обычными аккаунтами слушателей. Выполните bootstrap до доступа из недоверенной LAN; после восстановления действуют пароли восстановленной базы.
Почему он здесь: Домашние рецепты могут оставаться доступными только дома или через VPN. Сохраняйте загрузки вместе с базой и проверяйте права пользователей и регистрацию.
Почему он здесь: Статические утилиты без штатного входа. Для закрытого доступа ограничьте сеть или шлюз; браузерное хранилище не входит в серверные backup.