Minha família agora pode navegar pelas minhas fotos auto-hospedadas de qualquer lugar, mas não da maneira que você imagina

Para uma pessoa que entende de tecnologia como eu, Immich pode facilmente substituir totalmente o Google Fotos, mas para alguém que não o é, provavelmente é 90%. Esses últimos 10% podem parecer um abismo intransponível para não-técnicos como minha família, que podem pensar que VPN significa “notícias muito cautelosas”. Minha biblioteca está cheia de fotos que meus pais e irmãos querem ver, e durante meses recebo uma resposta à pergunta “Você pode enviá-las para mim?” ou exporto os álbuns completos, que era o que eu queria evitar em primeiro lugar.

Então, quando mudei para NetBird para acessar meu laboratório doméstico remotamente, imaginei que poderia simplesmente expor meu front-end do Immich usando um proxy reverso. Dessa forma, tudo o que impedia minha família de ver as fotos que eu queria que eles vissem era um link e algumas senhas.

Um cliente VPN nunca acontecerá

É muito longe para instalar algo, mesmo que seja simples

A maneira óbvia de compartilhar um serviço auto-hospedado é adicionar todos na sua rede. Tailscale, WireGuard simples e o próprio agente do NetBird lidam bem com isso, e se o seu público for um pouco técnico, provavelmente é aí que esta jornada começa e termina. Infelizmente o meu não, o que significa que preciso ser esperto para lidar com problemas de acesso remoto. Pedir aos meus pais para instalarem um cliente VPN e fazerem login no provedor de identidade toda vez que quisessem ver fotos simplesmente não funcionou, embora não seja tão diferente da solução que encontrei.

As outras rotas tradicionais tiveram seus próprios problemas. O encaminhamento de porta coloca a página de login do Immich diretamente na Internet aberta, o que é impossível porque meu ISP me deixou para trás do CGNAT. O túnel da Cloudflare funciona, mas não é ótimo para grandes quantidades de dados, como uma biblioteca de fotos e vídeos. Também não está hospedado na minha infraestrutura, o que considero um bug.

Eu queria uma URL pública com autenticação antes que terminasse com a infraestrutura que eu controlo, que é exatamente o que é o proxy reverso do NetBird. Introduzido na versão 0.65, é integrado ao servidor de gerenciamento e fornece serviços internos pela rede, com terminação TLS e autenticação realizada na camada proxy. Meu contêiner Immich nunca recebe um IP público e nenhuma porta está aberta na minha rede doméstica. O tráfego chega ao meu proxy VPS, passa pelo gateway de autenticação e viaja através do túnel WireGuard existente até o Immich LXC da minha caixa Proxmox. Nenhum desses carros existe do meu lado da família. Há um URL, uma solicitação de senha e suas fotos.

A configuração já foi feita

Eu só tive que dar a eles minhas credenciais

Como eu mesmo hospedei o NetBird, algumas bases tiveram que ser feitas. As implantações auto-hospedadas exigem o Traefik na frente do servidor de gerenciamento, pois a função de proxy reverso depende da passagem TLS, que outros proxies não fornecem, e se sua implantação existente estiver executando Nginx ou Caddy, isso significa uma migração. O servidor também requer registro DNS curinga apontando subdomínios de serviço, porta 443 acessível para provisionamento automático de certificado e um contêiner proxy separado conectado ao servidor de gerenciamento. NetBird publica um guia de migração que descreve como adicionar tudo isso a uma implantação existente, e levei uma tarde.

A boa notícia é que configurei tudo para meu acesso muito antes de minha família querer, então o único trabalho que restou foi menor. A exposição do Immich em si é uma única página do painel. Na seção Proxy reverso, você adiciona um serviço, escolhe um subdomínio e aponta o destino para o peer onde o Immich reside. NetBird fornece o domínio e o certificado TLS separadamente. Na aba de autenticação do serviço que criei, habilitei a proteção por senha, configurei uma senha compartilhada forte e enviei para minha família por um canal diferente do link. As sessões continuam usando tokens após o primeiro login, para que não sejam inseridos novamente em cada visita.

Todo mundo ganha uma conta real, mas eu controlo a porta privada

Duas paredes de autenticação

Uma senha compartilhada mantém a família segura por meio de um servidor proxy, mas a melhor parte dessa configuração vai além disso. Em vez de direcionar todos para links de compartilhamento público, criei contas Immich individuais para que cada usuário possa fazer login com suas próprias credenciais e obter sua própria biblioteca, álbuns compartilhados e compartilhamento com parceiros. Funciona muito mais como o Google Fotos que eles deixaram para trás do que uma pasta de arquivos JPEG exportados. Honestamente, isso significa dois logins na primeira visita: a senha do proxy e depois as credenciais do Immich. Na prática, ambas as sessões continuam, portanto é uma cobrança única e não recorrente.

O mesmo proxy reverso também trata da solicitação reversa. Algumas coisas, como o painel de administração do Immich e o restante dos painéis do meu laboratório doméstico, nunca deveriam ser acessíveis pela Internet pública. A resposta do NetBird é o acesso somente NetBird, adicionado na versão 0.72, que torna o serviço privado: não há página de login e, em vez disso, o servidor proxy verifica se a solicitação vem de um ponto em sua rede NetBird que pertence a um grupo aprovado. A identidade ponto a ponto são credenciais e, como o NetBird-Only é mutuamente exclusivo com autenticação por senha no mesmo serviço, o back-end que precisa de ambos possui dois serviços em subdomínios diferentes, um público e protegido por senha para a família, o outro privado para meus dispositivos.

Existem advertências reais para esta abordagem

Você precisa de um VPS com largura de banda ilimitada

Tudo isso significa que você já está usando um servidor NetBird auto-hospedado em um VPS. Se você começar do zero, o serviço de túnel obterá um URL público mais rapidamente. Cada byte que navega nas fotos da minha família também passa por este VPS, portanto, seu teto prático é independente da largura de banda e transferência do seu provedor, e as bibliotecas de fotos não são tráfego leve. E como o gateway de senha é um fluxo de navegador, o aplicativo móvel Immich não pode acessá-lo; esta é uma experiência apenas de navegador para qualquer pessoa de fora, mas você pode mudar para o acesso somente NetBird ao serviço e bloqueá-lo atrás de uma VPN de rede, e então você pode simplesmente usá-lo no aplicativo, mas isso é um atrito que tento evitar com minha família não técnica.

Esta é a melhor versão de compartilhar sua biblioteca com sua família

O teste que eu usaria para qualquer serviço de laboratório doméstico familiar é se o elo mais fraco em termos de tecnologia ainda pode acessar o sistema e, neste caso, pode. Link e senha passam neste teste com facilidade e, embora não seja tão difícil instalar uma VPN e concluir a configuração inicial, ainda não é familiar o suficiente para garantir a implantação de outra coisa. O proxy reverso NetBird está em beta e tem algumas arestas nítidas no lado do administrador, mas mudou minha biblioteca Immich de algo que eu costumava para algo. nós usar.