WireGuard auf pfSense-Software für Apple TV

Wann sich diese Einrichtung eignet

Verwenden Sie diese Einrichtung, wenn sich Apple TV außerhalb Ihres Zuhauses befindet, zum Beispiel in einer Ferienwohnung, und eine Verbindung nach Hause zu einer Firewall herstellen soll, auf der pfSense-Software läuft.

Diese Anleitung behandelt nicht, wie Sie den Datenverkehr von Apple TV zu Hause über einen VPN-Client auf der Firewall leiten. Für diese Einrichtung brauchen Sie WaveSocket nicht.

Sie benötigen:

ein Apple TV mit der WaveSocket-App, die Verbindungen über WireGuard-Konfigurationen herstellt und keinen VPN-Dienst enthält
Administratorzugriff auf die Firewall und eine WAN-Adresse, die für Apple TV erreichbar ist
das WireGuard-Paket; die Netgate®-Dokumentation empfiehlt, vor der Installation auf die neueste Softwareversion von pfSense Plus oder pfSense CE zu aktualisieren
für die Übertragung ein Telefon oder einen Computer im selben Netzwerk wie Apple TV

Im Netgate-Beispiel schreiben Sie die Konfiguration für Apple TV anhand der Tunnel- und Peer-Einstellungen selbst und fügen sie dann in WaveSocket ein.

WireGuard-Server einrichten

Diese Schritte folgen dem Beispiel für WireGuard-Fernzugriff in der Netgate-Dokumentation.

Installieren Sie das WireGuard-Paket über die Registerkarte Available Packages unter System → Packages.
Fügen Sie unter VPN → WireGuard → Tunnels einen Tunnel hinzu. Aktivieren Sie ihn, legen Sie den Listen-Port fest (im Beispiel 51820), erzeugen Sie die Schlüssel der Schnittstelle, weisen Sie ihm eine Adresse wie 10.6.210.1/24 zu und wählen Sie Save Tunnel.
Fügen Sie unter Firewall → Rules auf der Registerkarte WAN eine Pass-Regel für UDP zur WAN-Adresse auf dem Listen-Port hinzu. Fügen Sie auf der Registerkarte WireGuard eine Regel hinzu, die den Tunnelverkehr erlaubt. Speichern Sie jede Regel und wählen Sie Apply Changes.

Wenn sich Ihre WAN-Adresse ändert, richten Sie Services → Dynamic DNS ein und verwenden Sie diesen Hostnamen als Endpunkt.

Client für Apple TV erstellen

Erzeugen Sie ein Schlüsselpaar für Apple TV, zum Beispiel mit wg genkey | tee /dev/stderr | wg pubkey in einer Konsole oder SSH-Shell auf der Firewall. Der Befehl gibt zuerst den privaten und dann den öffentlichen Schlüssel aus, ohne Dateien zu speichern. Im Netgate-Beispiel wird darauf hingewiesen, dass Schlüssel nicht für mehrere Clients wiederverwendet werden können.
Fügen Sie unter VPN → WireGuard → Peers einen Peer für den Tunnel hinzu. Aktivieren Sie Dynamic Endpoint, fügen Sie den öffentlichen Schlüssel von Apple TV ein und setzen Sie Allowed IPs auf die Tunneladresse von Apple TV, etwa 10.6.210.2/32.
Speichern Sie den Peer und übernehmen Sie die Änderungen.

Client-Konfiguration schreiben

Ersetzen Sie die Platzhalter durch Ihre eigenen Werte:

APPLE_TV_PRIVATE_KEY: der private Schlüssel für Apple TV, den Sie im vorherigen Abschnitt erzeugt haben
FIREWALL_TUNNEL_PUBLIC_KEY: der öffentliche Schlüssel des Tunnels unter VPN → WireGuard → Tunnels
vpn.example.com: Ihre WAN-Adresse oder Ihr DDNS-Hostname
10.6.0.0/24: Ihr Heimnetzwerk

Address verwendet dieselbe IP-Adresse wie Allowed IPs des Peers (10.6.210.2), aber mit der Maske des Tunnels (/24), wie im folgenden Beispiel.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Dieses Beispiel leitet nur den Tunnel und ein Heimnetzwerk durch das VPN. Um den gesamten IPv4-Verkehr durch das VPN zu leiten, setzen Sie AllowedIPs = 0.0.0.0/0 und fügen Sie DNS = 10.6.210.1 zum Abschnitt [Interface] hinzu. Für IPv6 sind eine eigene Tunneladresse und ::/0 nötig; siehe Routen und Ihr Heimnetzwerk.

Auf Apple TV importieren

Öffnen Sie auf Apple TV WaveSocket, wählen Sie Profile → VPN-Profil hinzufügen → Im Browser hochladen und dann Übertragung starten. Wenn ein VPN verbunden ist, trennen Sie zuerst die Verbindung.
Scannen Sie auf einem Telefon oder Computer im selben Netzwerk wie Apple TV den QR-Code auf dem Fernseher oder öffnen Sie die angezeigte Adresse. Geben Sie den auf dem Fernseher angezeigten Code in das Feld 4-stelliger Code ein.
Wählen Sie unter Importmethode die Option Konfigurationstext einfügen, fügen Sie die vollständige Konfiguration ein und wählen Sie An Apple TV senden.
Prüfen Sie das Profil auf Apple TV. Wählen Sie Umbenennen, um ihm einen klaren Namen wie Heim-VPN zu geben, und anschließend Profil speichern.

Verwenden Sie für die Übertragung ein vertrauenswürdiges Netzwerk. Wenn sich Apple TV in einem gemeinsam genutzten Netzwerk befindet, etwa im WLAN einer Ferienwohnung, importieren Sie das Profil zu Hause, bevor Sie Apple TV dorthin mitnehmen. Die Importanleitung erklärt, warum das Netzwerk vertrauenswürdig sein muss.

Verbinden und prüfen

Stellen Sie die Verbindung her, wenn sich Apple TV in einem Netzwerk außerhalb Ihres Zuhauses befindet. Ein Test aus Ihrem Heimnetzwerk heraus zeigt möglicherweise nicht, ob der Fernzugriff funktioniert.

WaveSocket wählt das gespeicherte Profil aus und öffnet Verbindung. Wählen Sie Verbinden. Erlauben Sie Apple TV beim ersten Mal, die VPN-Konfiguration hinzuzufügen. Achten Sie auf Server bestätigt und eine aktuelle Zeitangabe neben Alter des ältesten Handshakes und öffnen Sie dann einen bekannten Dienst in Ihrem Heimnetzwerk über seine Adresse.

Ist ein DDNS-Hostname als Endpunkt eingetragen, löst WaveSocket ihn vor dem Verbinden auf und prüft ihn während der Verbindung erneut; siehe DNS & Serveradressen.

Alle Funktionen von WaveSocket sind pro Verbindung drei Minuten lang kostenlos, sodass Sie die Einrichtung ausprobieren können, bevor Sie sich für den lebenslangen Zugriff von WaveSocket entscheiden, der die zeitliche Begrenzung aufhebt.

Wenn keine Verbindung zustande kommt

Kein Tunnel. Prüfen Sie, ob unter VPN → WireGuard → Settings die Option Enable eingeschaltet ist.
Kein Handshake. Prüfen Sie, ob der öffentliche Schlüssel des Peers zum privaten Schlüssel von Apple TV gehört und ob PublicKey im Client der öffentliche Schlüssel des Tunnels ist. Kontrollieren Sie die WAN-Regel und ob der Endpunkt zu Ihrer aktuellen WAN-Adresse aufgelöst wird.
Kein Internet bei vollständigem Tunnel. Prüfen Sie, ob Firewall → NAT → Outbound das Tunnelnetzwerk (10.6.210.0/24) auf die WAN-Adresse übersetzt. Schlägt die Namensauflösung fehl, prüfen Sie Services → DNS Resolver → Access Lists.
Abbrüche im Leerlauf. Befindet sich eine weitere Firewall zwischen Apple TV und dem Internet, fügen Sie PersistentKeepalive = 25 zum Abschnitt [Peer] hinzu. Bei einem gespeicherten Profil trennen Sie die Verbindung und legen PersistentKeepalive in Profil bearbeiten fest.

Diese Schritte beruhen auf der veröffentlichten Netgate-Dokumentation, geprüft am 16. Oktober 2026, und nicht auf eigenen Tests von WaveSocket mit pfSense-Software. Menübezeichnungen können sich zwischen Versionen ändern; folgen Sie in diesem Fall der aktuellen Dokumentation. pfSense® ist eine eingetragene Marke der Electric Sheep Fencing LLC („ESF“) und darf nicht ohne vorherige ausdrückliche schriftliche Genehmigung von ESF verwendet werden. Netgate® ist eine eingetragene Marke der Rubicon Communications LLC und darf nicht ohne vorherige ausdrückliche schriftliche Genehmigung der Rubicon Communications LLC verwendet werden. WaveSocket ist eine unabhängige App. Weder diese Website noch die App ist mit ESF oder der Rubicon Communications LLC verbunden oder wird von ihnen befürwortet.