Serveur média personnel (Jellyfin)

1. Un utilisateur fait une demande dans Jellyseerr
2. La demande est transmise à Radarr (film) ou Sonarr (série)
3. Ces derniers interrogent les sources configurées dans Prowlarr
4. qBittorrent récupère le fichier, uniquement via le tunnel VPN
5. Le média est renommé et classé, Bazarr ajoute les sous-titres
6. Tdarr le convertit en H.265, puis Jellyfin le met à disposition

• Un service par conteneur : mises à jour et redémarrages indépendants
• Configuration déclarative : toute la stack est décrite dans le fichier Compose et peut être reconstruite
• Volumes persistants : données et configurations séparées des conteneurs
• Secrets hors du code : identifiants stockés dans un fichier d'environnement non versionné
• Redémarrage automatique des conteneurs après une coupure

qBittorrent n'a pas d'accès réseau propre : il utilise exclusivement la pile réseau du conteneur Gluetun, qui maintient un tunnel VPN chiffré.

• Tout le trafic de téléchargement passe par le tunnel
• Kill switch : si le VPN tombe, qBittorrent n'a plus aucune connectivité (pas de fuite)
• Les autres services ne sont pas concernés et restent sur le réseau local

Aucun port n'est ouvert sur la box : le serveur n'est jamais exposé directement sur Internet. Deux mécanismes complémentaires assurent l'accès distant :

• Cloudflare Tunnel : connexion sortante chiffrée vers Cloudflare, qui publie uniquement les services destinés aux utilisateurs, en HTTPS
• Tailscale : réseau privé chiffré (VPN maillé) réservé à l'administration ; les interfaces de gestion ne sont accessibles qu'aux appareils autorisés

• Moindre exposition : seul le strict nécessaire est publié
• Authentification sur chaque interface, comptes distincts par utilisateur
• Séparation entre services utilisateurs et outils d'administration
• Mises à jour régulières des images Docker
• Aucune donnée sensible (adresses, identifiants, clés) dans les fichiers partagés

Tdarr parcourt la bibliothèque et convertit automatiquement les fichiers en H.265 (HEVC), qui offre une qualité équivalente au H.264 pour un poids nettement inférieur.

• Économie importante d'espace disque
• Traitement en file d'attente, sans intervention manuelle
• Fichier d'origine remplacé seulement si la conversion réussit

Lorsque le conteneur Gluetun redémarrait ou rétablissait son tunnel VPN, qBittorrent perdait sa connectivité réseau sans jamais la retrouver seul. Le conteneur restait « en cours d'exécution » : aucune erreur visible, mais plus aucun téléchargement ne progressait.

qBittorrent partage la pile réseau de Gluetun. Quand Gluetun est recréé, qBittorrent reste rattaché à l'ancienne pile réseau, qui n'existe plus. Le seul moyen de rétablir le service était de le redémarrer manuellement.

J'ai écrit un script de surveillance qui tourne en continu :

1. Il vérifie à intervalle régulier que qBittorrent dispose bien d'une connectivité via le VPN
2. En cas d'échec, il attend que Gluetun soit de nouveau opérationnel
3. Il redémarre alors automatiquement qBittorrent
4. Chaque intervention est horodatée dans un journal

• Plus aucune intervention manuelle nécessaire après une reconnexion VPN
• Coupure de service réduite à quelques instants
• Historique des incidents consultable dans le journal

Démarche type d'un support N2 : constater, isoler la cause, automatiser la correction, tracer.

Uptime Kuma teste en permanence chaque service et alerte en cas d'indisponibilité, avec un historique du taux de disponibilité.

Jellystat conserve l'historique de visionnage : contenus les plus regardés, activité par utilisateur, utilisation dans le temps.

Les utilisateurs formulent leurs demandes dans une interface simple, sans accès aux outils d'administration.

Vue de l'ensemble des conteneurs de la stack et de leur état.

• Conteneurisation : Docker, Docker Compose, volumes, réseaux de conteneurs
• Réseau : VPN, tunnels chiffrés, isolement de flux, accès distant
• Sécurité : moindre exposition, séparation des accès, gestion des secrets
• Exploitation : supervision, sauvegarde des configurations, mises à jour
• Dépannage : diagnostic d'un incident et correction automatisée par script

Ce projet m'a appris à faire vivre un service dans la durée : le déployer n'est que le début, il faut ensuite le superviser, le sécuriser et corriger ses défaillances.

Pistes d'évolution : sauvegarde automatisée des configurations des conteneurs, notifications centralisées des alertes, mise à jour automatisée des images.