Le scénario est toujours le même. Remote Access reste au vert pendant des semaines. Puis quelqu'un essaie de regarder quelque chose hors du domicile et la connexion échoue. Vous ouvrez les Réglages, l'indicateur est rouge, vous cliquez sur « Réessayer » et il repasse au vert. Deux semaines plus tard : rouge.
Si vous avez vécu ce cycle plus de deux fois, le problème n'est pas Plex. Plex rapporte un fait à propos de votre réseau, et ce fait ne cesse de changer.
Ce dont dépend réellement l'accès distant#
Plex Media Server écoute sur le port 32400 à l'intérieur de votre réseau. Pour qu'une personne extérieure l'atteigne, votre box doit accepter une connexion sur un port public et la transmettre à cette machine. Plex organise cela automatiquement via UPnP - d'où l'impression que la configuration se résume à basculer un interrupteur.
Cet arrangement peut se briser de quatre façons indépendantes, et toutes les quatre échappent au contrôle de Plex.
1. La box a oublié#
Les correspondances UPnP sont des baux, pas des réglages permanents. Elles expirent et sont renouvelées. Un redémarrage, une mise à jour du firmware ou simplement une box qui nettoie sa table selon un calendrier supprime la correspondance - et si le renouvellement échoue, vous êtes de nouveau fermé. Les box grand public y sont particulièrement sujettes après les mises à jour automatiques du firmware, que la plupart des gens ne remarquent jamais.
2. Votre adresse publique a changé#
La plupart des connexions résidentielles reçoivent une IP dynamique. Quand l'opérateur en attribue une nouvelle, Plex la signale à plex.tv lors de son prochain contrôle. Entre le changement et la mise à jour, les connexions échouent. Si la machine dormait ou si le serveur était arrêté au moment du changement, l'adresse publiée sur plex.tv reste périmée jusqu'au redémarrage.
3. Votre opérateur vous a basculé derrière le CG-NAT#
Celui-là est définitif, et c'est pour cette raison que le phénomène touche davantage de monde chaque année.
Il existe environ 4,3 milliards d'adresses IPv4 et bien plus d'appareils connectés que cela. Les opérateurs ont résolu le problème avec le Carrier Grade NAT : au lieu de donner une adresse publique à chaque client, ils vous en attribuent une privée et partagent une seule adresse publique entre de nombreux foyers.
Tout ce qui sort fonctionne normalement - navigation, streaming, e-mail. Mais rien venant de l'extérieur ne peut vous joindre. Le port 32400 de votre box n'existe pas du point de vue d'internet, et aucune configuration n'y change quoi que ce soit.
Comment vérifier en trente secondes : ouvrez la page d'état de votre box et repérez l'adresse WAN ou Internet. Puis, depuis le même réseau, consultez n'importe quel site « quelle est mon IP ». Si les deux diffèrent, vous êtes derrière un CG-NAT. Une adresse WAN comprise entre 100.64 et 100.127 correspond à la plage réservée au CG-NAT et le confirme sans ambiguïté.
Le CG-NAT est la norme sur toute connexion mobile, quasi systématique sur l'internet fixe 5G et de plus en plus courant sur la fibre. Les opérateurs y migrent leurs clients sans préavis, parce que cela leur coûte moins cher. Une installation qui fonctionnait depuis deux ans peut cesser de fonctionner du jour au lendemain pour cette seule raison.
4. Double NAT#
Si votre opérateur vous a fourni une box faisant routeur et que vous y avez branché votre propre routeur, deux appareils font du NAT. Rediriger un port sur celui de l'intérieur ne sert à rien, puisque celui de l'extérieur ne lui envoie jamais le trafic. Plex présente exactement le même symptôme qu'avec le CG-NAT.
Le piège des 2 Mb/s dont personne ne parle#
C'est ici qu'un problème de connexion se transforme en problème de qualité.
Quand aucune connexion directe ne peut être établie, Plex n'échoue pas simplement. Il bascule sur Plex Relay, qui achemine votre flux par les serveurs de Plex. C'est pourquoi la lecture à distance fonctionne parfois alors que Remote Access affiche rouge.
Mais Relay est plafonné à 2 Mb/s par flux, et ce plafond s'applique aussi aux abonnés Plex Pass. Deux mégabits, c'est environ du 480p. Un film en 1080p en demande entre 8 et 10.
Le symptôme réellement rapporté n'est donc pas « ça ne marche pas ». C'est :
- la bibliothèque se charge, mais tout met en mémoire tampon
- la qualité s'effondre à un niveau digne d'un rip d'il y a dix ans
- une deuxième personne commence à regarder et les deux flux s'écroulent
Ce n'est ni votre débit montant ni votre serveur. C'est Relay qui fait exactement ce pour quoi il a été conçu, silencieusement, parce que la connexion directe a échoué.
Déterminer votre cas#
Procédez dans l'ordre. Chaque étape élimine tout ce qui précède et prend environ une minute.
Est-ce du CG-NAT ? Comparez l'adresse WAN de votre box avec celle qu'affiche un site « quelle est mon IP ». Si elles diffèrent, c'est du CG-NAT et vous pouvez vous arrêter là - la redirection de ports n'est pas une option et ne le sera jamais. Passez à la section suivante.
Est-ce la box qui oublie ? Dans Plex, observez si Remote Access se rétablit quand vous cliquez sur « Réessayer », puis casse de nouveau quelques jours plus tard. Ce cycle correspond à un bail UPnP dont le renouvellement échoue. Une redirection de port manuelle à la place d'UPnP corrige cela définitivement - à condition d'avoir une IP publique.
Est-ce une adresse périmée ? Si votre connexion a une IP dynamique et que votre serveur se met en veille, l'adresse publiée sur plex.tv se périme. Désactivez la mise en veille sur la machine du serveur, ou utilisez un nom DNS dynamique dans Custom server access URLs.
Est-ce un double NAT ? Deux routeurs en série. Passez l'équipement de l'opérateur en mode bridge, ou redirigez le port sur les deux.
Les solutions qui mettent fin au cycle#
Redirection de port manuelle#
Corrige : l'oubli de la box. Nécessite : une adresse IP publique, donc inutile derrière un CG-NAT. Coût : gratuit.
Cela vaut la peine si vous avez une adresse publique et voulez simplement en finir avec les caprices d'UPnP. Redirigez un port externe vers le 32400 de l'adresse locale de votre serveur, et attribuez à cette machine une IP locale fixe pour que la règle continue de pointer dessus.
La contrepartie : votre identification Plex est désormais exposée à internet tout entier. C'est une vraie considération, pas une formalité - il s'agit d'un service donnant accès à votre médiathèque, joignable par quiconque trouve ce port.
Un VPN maillé, comme Tailscale#
Corrige : tout, y compris le CG-NAT. Nécessite : installer et se connecter à une application cliente sur chaque appareil qui regarde. Coût : gratuit pour un usage personnel.
Excellent quand vous êtes le seul spectateur. Cela s'effondre socialement : la TV connectée de vos parents ne peut pas exécuter de client Tailscale, et la plupart des clés de streaming non plus. Toute personne avec qui vous partagez doit devenir utilisatrice de Tailscale.
Un tunnel inversé#
Corrige : tout, y compris le CG-NAT. Nécessite : un agent sur la machine du serveur, rien sur les appareils des spectateurs. Coût : payant.
Le serveur ouvre une connexion sortante vers un relais, et le relais sert votre Plex sur une adresse HTTPS normale. Rien n'est redirigé, rien n'écoute publiquement sur votre box, et le CG-NAT cesse d'avoir de l'importance puisque la connexion a été établie depuis l'intérieur.
Plex prend officiellement en charge ce fonctionnement. Dans Réglages → Réseau → Custom server access URLs, vous ajoutez l'adresse HTTPS et Plex la publie sur plex.tv pour que les applications la trouvent. La documentation de Plex cite elle-même les reverse proxies parmi les usages prévus de ce champ.
Une réserve honnête, car nous nous sommes déjà brûlés sur exactement cette catégorie de problème : l'application web de Plex et l'accès par navigateur fonctionnent très bien ainsi, mais certaines applications natives sont plus capricieuses. Les forums Plex rapportent des cas précis d'applications TV et console refusant une URL personnalisée. Testez les appareils sur lesquels vous regardez réellement avant de vous engager.
SmartHomeEntry est un service bâti sur ce modèle. Comme l'adresse est une adresse HTTPS ordinaire et qu'aucun port n'est ouvert, la même approche couvre aussi tout autre service doté d'une interface web sur cette machine - chaque service nécessitant toutefois son propre tunnel et son propre sous-domaine.
Que faire, en bref#
Derrière un CG-NAT ? Cessez de chercher du côté de Plex. Aucune configuration de box n'y fera. Choisissez un VPN maillé ou un tunnel inversé.
IP publique et accès distant qui tombe sans arrêt ? Remplacez UPnP par une redirection de port manuelle et donnez à votre serveur une adresse locale fixe.
L'accès distant fonctionne mais tout met en mémoire tampon ? Vous êtes sur Relay, à 2 Mb/s. La connexion échoue et Plex vous le cache. Réparez la connexion et la qualité revient.
Vous partagez avec une famille peu technicienne ? Tout ce qui exige une application cliente sur leurs appareils vous vaudra des appels au support. Un simple lien HTTPS, non.
Si ce problème est si tenace, c'est parce que la configuration par défaut de Plex repose sur le fait que votre opérateur continue de faire quelque chose à quoi rien ne l'oblige. Chacune des voies ci-dessus fonctionne en supprimant cette dépendance plutôt qu'en la contestant.
Notre guide de l'accès distant à Jellyfin traite le même sujet pour l'alternative open source, et l'explication du CG-NAT détaille pourquoi la redirection de ports a cessé de fonctionner pour tant de gens en même temps.
