Edge Shield Emby — ghid

Instalare

Ai nevoie de Emby Server 4.10.1 sau mai nou.

1. Autentifică-te în contul MediaLab Works, deschide Licențe și descarcă DLL-ul plugin-ului (disponibil pe abonament activ, licență lifetime în fereastra de actualizări sau în perioada de probă de 30 de zile).
2. Copiază DLL-ul în folderul de plugin-uri Emby și repornește Emby Server:
   • Linux (pachet): /var/lib/emby/plugins/
   • Docker: folderul plugins din volumul de configurare Emby
   • Windows: %AppData%\Emby-Server\programdata\plugins\
3. Deschide Edge Shield din meniul tabloului de bord Emby și apasă Licență. Lipește cheia de licență și activeaz-o sau scrie adresa de e-mail ca să pornești proba gratuită de 30 de zile ori să cumperi o licență. Plugin-ul contactează serverul de licențe, leagă cheia de acest server Emby și afișează licența ca Activă.

Licența se verifică o dată pe zi (și la fiecare pornire Emby). Fără internet plugin-ul funcționează 7 zile de la ultima verificare reușită; după aceea se oprește până poate verifica din nou.

Licență

Fără licență validă plugin-ul este oprit; doar pagina Licență funcționează (de acolo pornești proba, cumperi, introduci cheia sau actualizezi).

Cu o licență validă, aceeași pagină poate instala o actualizare sau poate reveni la versiunea anterioară dacă o actualizare face probleme. Repornește Emby după oricare dintre ele.

Configurare

1. Conectare: în Cloudflare creezi un token API (Create Token → Custom token), restrâns la zona ta, cu permisiunile din pagină: Zone · Zone · Read, Zone · DNS · Edit, Zone · Zone Settings · Edit, Zone · SSL and Certificates · Edit, Zone · Zone WAF · Edit, Zone · Single Redirect · Edit, Zone · Cache Rules · Edit, Zone · Origin Rules · Edit și Account · Account Filter Lists · Edit. Îl lipești, apoi alegi zona (domeniul). Tokenul e păstrat criptat pe server și nu mai e afișat niciodată; o permisiune lipsă apare cu numele ei în pagina de stare.
2. Modul:
   • Recomandat: interfața prin Cloudflare, video direct („stream offload”). Gazda aplicației trece prin proxy-ul Cloudflare; cererile de video, audio și descărcare sunt redirecționate (307) spre gazda de streaming, „DNS only”, care merge direct la serverul tău.
   • Doar DNS (fără proxy): Cloudflare doar pentru DNS, DDNS și certificat. Regulile WAF și blocările la margine nu se aplică, fiindcă traficul nu trece prin Cloudflare.
3. Nume și porturi: gazda aplicației (de exemplu media.example.com) cu portul HTTPS folosit de clienți (443 sau unul dintre porturile trecute prin proxy de Cloudflare: 2053, 2083, 2087, 2096, 8443), portul extern pe care routerul îl trimite spre server (dacă diferă, Edge Shield adaugă o regulă de origine) și gazda de streaming (de exemplu direct.example.com) cu portul ei HTTPS extern. IPv4-ul public se detectează când câmpul e gol; DDNS actualizează înregistrările când se schimbă.
4. Certificatul serverului: Let's Encrypt automat (DNS-01, cu tokenul) pentru ambele nume sau unul gestionat de tine. Full (strict) cere un certificat valid la server. Certificatul se reînnoiește cu 30 de zile înainte de expirare.
5. TLS: versiunea TLS minimă și, opțional, HSTS pe gazda aplicației (pornește-l doar după ce HTTPS merge sigur; e greu de anulat).
6. Protecție: blocarea automată a IP-urilor cu conectări eșuate (implicit 5 în 10 minute și 24 de ore, ×4 la fiecare recidivă), IP-urile sau intervalele CIDR care nu se blochează niciodată, limita la login (peste 10 cereri în 10 s de la un IP → blocare 10 s), blocarea antetelor IP trimise de client și țările permise (coduri ISO; gol înseamnă toate).
7. Salvezi, apoi deschizi Stare și remediere și apeși Remediază tot, ca setările și regulile să ajungă în Cloudflare și în Emby. Repornește Emby Server când pagina o cere (setările de HTTPS, certificat și adresă transmisă de proxy intră în vigoare după repornire).

Utilizare zilnică

• Pagina de stare verifică tokenul, înregistrările DNS, setările TLS, certificatul, regulile, IP-ul real al clienților și HTTPS-ul din Emby; fiecare problemă are un buton Remediază.
• IP-uri blocate: lista arată adresa, motivul și expirarea; poți debloca un IP sau bloca unul manual, cu o notă și o durată. Rețeaua locală, intervalele Cloudflare și lista de excepții nu se blochează niciodată.
• Under Attack: îl pornești între 30 de minute și 12 ore în timpul unui atac; se oprește singur. Cât e activ, aplicațiile native (Android TV, Roku, iOS, Kodi…) nu se pot conecta.
• Restricționarea portului (firewall): pagina arată comenzi gata făcute ca doar Cloudflare să ajungă la portul gazdei aplicației; Edge Shield nu modifică singur firewall-ul.
• Scoate regulile Edge Shield șterge doar regulile create de plugin; DNS-ul și setările TLS rămân cum sunt.

Ce trimite și unde

• La Cloudflare, cu tokenul tău: setările zonei, înregistrările DNS cu IP-ul public, regulile și IP-urile de blocat. Comentariul unei intrări din lista de blocare conține doar expirarea și motivul (numărul de conectări eșuate sau „manual” cu nota ta). Din 0.1.1 numele de utilizator încercat nu se mai trimite la Cloudflare; rămâne în lista de blocări și în jurnalul de pe serverul tău.
• https://www.cloudflare.com/cdn-cgi/trace pentru detectarea IP-ului public și API-ul public Cloudflare pentru intervalele lui IP (zilnic).
• La Let's Encrypt: cererea de certificat pentru numele de gazdă; cheia privată rămâne pe serverul tău.
• La medialab.works nu ajunge nimic în afară de verificarea licenței.

Probleme frecvente

• „Tokenul nu are permisiunea …”: editezi tokenul în Cloudflare, adaugi permisiunea afișată și apeși din nou Remediază.
• „Fluxurile video ar trece prin CDN-ul Cloudflare”: gazda aplicației trece prin proxy, dar nu e setată o gazdă de streaming. Setează o gazdă de streaming („DNS only”) sau treci pe modul Doar DNS.
• „IP-ul public al serverului nu a putut fi detectat”: scrie IPv4-ul public în setări.
• Aplicațiile nu se pot conecta: verifică dacă Under Attack e oprit și dacă portul extern al gazdei de streaming e redirecționat spre portul HTTPS al Emby.
• Schimbările nu apar în Emby: pagina de stare arată Repornire necesară; repornește Emby Server.