OPNsense als WireGuard-Server für Apple TV

Wann sich diese Einrichtung eignet

Verwenden Sie diese Einrichtung, wenn sich Apple TV außerhalb Ihres Zuhauses befindet, zum Beispiel in einer Ferienwohnung, und über eine Firewall, auf der OPNsense® läuft, eine Verbindung nach Hause herstellen soll. OPNsense nennt das ein Road-Warrior-Setup.

Diese Anleitung behandelt nicht, wie Sie den Datenverkehr von Apple TV zu Hause über einen VPN-Client auf der Firewall leiten. Für diese Einrichtung brauchen Sie WaveSocket nicht.

Sie benötigen:

ein Apple TV mit der WaveSocket-App, die Verbindungen über WireGuard-Konfigurationen herstellt und keinen VPN-Dienst enthält
Administratorzugriff und eine WAN-Adresse, die für Apple TV erreichbar ist
OPNsense 24.1.6 oder neuer: WireGuard ist seit 24.1 integriert, und der Peer-Generator hat seit 24.1.6 ein DNS-Feld
für die Übertragung ein Telefon oder einen Computer im selben Netzwerk wie Apple TV

Die weiter unten genannte Schaltfläche Save und die Option Store private key on this firewall setzen OPNsense 26.7.3 oder neuer voraus. Verwenden Sie in älteren Versionen die Schaltfläche mit dem Häkchen neben Store and generate next; der private Schlüssel wird dann nie gespeichert.

WireGuard-Server einrichten

Diese Schritte folgen der Road-Warrior-Anleitung für WireGuard von OPNsense.

Fügen Sie unter VPN → WireGuard → Instances eine Instanz hinzu. Erzeugen Sie über das Zahnradsymbol ihre Schlüssel, legen Sie einen Listen-Port wie 51820 und eine Tunneladresse wie 10.10.10.1/24 fest und speichern Sie dann die Instanz.
Schalten Sie die Option Enable WireGuard ein, die unterhalb der Listen Instances und Peers angezeigt wird, und wählen Sie Apply.
Fügen Sie unter Firewall → Rules → WAN eine Pass-Regel für UDP zur WAN-Adresse auf dem Listen-Port hinzu.
Weisen Sie unter Interfaces → Assignments das WireGuard-Gerät zu (etwa wg1). Öffnen Sie die neue Schnittstelle, aktivieren Sie sie, speichern Sie und wählen Sie Apply changes. Starten Sie dann WireGuard neu: Schalten Sie Enable WireGuard aus und wieder ein und wählen Sie jedes Mal Apply.
Fügen Sie auf dieser Schnittstelle eine Firewall-Regel hinzu, die Apple TV den Zugriff auf die von Ihnen gewählten Netzwerke oder Geräte erlaubt. Die OPNsense-Anleitung erklärt, wann ausgehendes Source NAT und ein Neuladen von Unbound DNS nötig sind.

Bei einer wechselnden WAN-Adresse installieren Sie das Plugin os-ddclient über System → Firmware → Plugins und richten es unter Services → Dynamic DNS ein.

Client für Apple TV erstellen

Öffnen Sie VPN → WireGuard → Peer generator und wählen Sie Ihre Instanz aus.
Geben Sie unter Endpoint Ihre öffentliche Adresse oder Ihren DNS-Namen mit Port ein, etwa vpn.example.com:51820.
Geben Sie dem Peer einen Namen wie Apple TV und prüfen Sie die vorgeschlagene Address. Allowed IPs schlägt den gesamten Verkehr vor (0.0.0.0/0,::/0), sofern die Instanz keinen eigenen Wert speichert (26.7.3 oder neuer). Um nur Ihr Heimnetzwerk zu erreichen, geben Sie das Tunnel- und das Heimnetzwerk ein, etwa 10.10.10.0/24, 192.168.1.0/24. Jeder DNS-Server, den Sie festlegen, muss innerhalb dieser Netzwerke liegen.
Um OPNsense für die Namensauflösung zu verwenden, setzen Sie DNS Servers auf die Tunneladresse, etwa 10.10.10.1. Während der Verbindung verwendet WaveSocket diese Adresse als Tunnel-DNS; Unbound auf OPNsense muss daher Anfragen aus dem Tunnelnetzwerk beantworten.
Kopieren Sie den vollständigen Text aus dem Feld Config. Wählen Sie dann Save und anschließend Apply.

Kopieren Sie den Text vor dem Speichern. Wenn Sie Store private key on this firewall nicht einschalten, behält OPNsense nur den öffentlichen Schlüssel und kann die Konfiguration später nicht wiederherstellen. Erzeugen Sie einen neuen Peer, falls Sie sie verlieren.

Auf Apple TV importieren

Öffnen Sie auf Apple TV WaveSocket, wählen Sie Profile → VPN-Profil hinzufügen → Im Browser hochladen und dann Übertragung starten. Wenn ein VPN verbunden ist, trennen Sie zuerst die Verbindung.
Scannen Sie auf einem Telefon oder Computer im selben Netzwerk wie Apple TV den QR-Code auf dem Fernseher oder öffnen Sie die angezeigte Adresse. Geben Sie den auf dem Fernseher angezeigten Code in das Feld 4-stelliger Code ein.
Wählen Sie unter Importmethode die Option Konfigurationstext einfügen, fügen Sie die vollständige Konfiguration ein und wählen Sie An Apple TV senden.
Prüfen Sie das Profil auf Apple TV. Wählen Sie Umbenennen, um ihm einen klaren Namen wie Heim-VPN zu geben, und anschließend Profil speichern.

Verwenden Sie für die Übertragung ein vertrauenswürdiges Netzwerk. Wenn sich Apple TV in einem gemeinsam genutzten Netzwerk befindet, etwa im WLAN einer Ferienwohnung, importieren Sie das Profil zu Hause, bevor Sie Apple TV dorthin mitnehmen. Die Importanleitung erklärt, warum das Netzwerk vertrauenswürdig sein muss.

Verbinden und prüfen

Stellen Sie die Verbindung her, wenn sich Apple TV in einem Netzwerk außerhalb Ihres Zuhauses befindet. Ein Test aus Ihrem Heimnetzwerk heraus zeigt möglicherweise nicht, ob der Fernzugriff funktioniert.

WaveSocket wählt das gespeicherte Profil aus und öffnet Verbindung. Wählen Sie Verbinden. Erlauben Sie Apple TV beim ersten Mal, die VPN-Konfiguration hinzuzufügen. Achten Sie auf Server bestätigt und eine aktuelle Zeitangabe neben Alter des ältesten Handshakes und öffnen Sie dann einen bekannten Dienst in Ihrem Heimnetzwerk über seine Adresse. In OPNsense zeigt VPN → WireGuard → Status den letzten Handshake des Peers an.

Ist ein DDNS-Hostname als Endpunkt eingetragen, löst WaveSocket ihn vor dem Verbinden auf und prüft ihn während der Verbindung erneut; siehe DNS & Serveradressen.

Alle Funktionen von WaveSocket sind pro Verbindung drei Minuten lang kostenlos, sodass Sie die Einrichtung ausprobieren können, bevor Sie sich für den lebenslangen Zugriff von WaveSocket entscheiden, der die zeitliche Begrenzung aufhebt.

Wenn keine Verbindung zustande kommt

Kein Handshake. Prüfen Sie die WAN-Regel und ob der Endpunkt auf Ihre aktuelle öffentliche Adresse verweist.
Einige Apps laden nicht. Funktioniert der Handshake, aber einige Apps hängen oder laden nur teilweise, prüfen Sie anhand der OPNsense-Anleitung die MTU und die Normalization-Regeln (MSS-Clamping). Trennen Sie in WaveSocket die Verbindung und passen Sie MTU in Profil bearbeiten an. Enthält die Konfiguration keine MTU-Zeile, verwendet WaveSocket 1280.
Hinter Carrier-Grade-NAT oder einem weiteren Router. Beides kann eingehende Verbindungen blockieren. Bitten Sie Ihren Internetanbieter um eine öffentliche IP-Adresse oder leiten Sie den Port auf dem Router zwischen OPNsense und dem Internet weiter. Die OPNsense-Dokumentation behandelt diesen Fall nicht.

Zu Routen und überlappenden Netzwerken siehe Routen und Ihr Heimnetzwerk.

Diese Schritte beruhen auf der veröffentlichten OPNsense-Dokumentation, geprüft am 16. Oktober 2026, und nicht auf eigenen Tests von WaveSocket mit OPNsense. Menübezeichnungen können sich zwischen Versionen ändern; folgen Sie in diesem Fall der aktuellen Dokumentation. OPNsense® ist eine eingetragene Marke des jeweiligen Inhabers. WaveSocket ist eine unabhängige App, die nicht mit dem OPNsense-Projekt oder der Deciso B.V. verbunden ist und von ihnen nicht befürwortet wird.