Conectar Apple TV a un firewall OPNsense

Cuándo conviene esta configuración

Use esta configuración cuando Apple TV esté fuera de casa, por ejemplo en un alquiler vacacional, y deba conectarse de vuelta a través de un firewall con OPNsense®. OPNsense llama a esto una configuración Road Warrior.

Esta guía no explica cómo enviar el tráfico de Apple TV en casa a través de un cliente VPN del firewall. Esa configuración no necesita WaveSocket.

Necesita:

• un Apple TV con la aplicación WaveSocket, que se conecta con configuraciones WireGuard y no incluye un servicio VPN
• acceso de administrador y una dirección WAN a la que Apple TV pueda llegar
• OPNsense 24.1.6 o posterior: WireGuard está integrado desde la 24.1, y el generador de pares tiene un campo DNS desde la 24.1.6
• un teléfono o una computadora en la misma red que Apple TV para la transferencia

El botón Save y la opción Store private key on this firewall que se mencionan más abajo requieren OPNsense 26.7.3 o posterior. En versiones anteriores, use el botón con la marca de verificación junto a Store and generate next; en ese caso, la clave privada nunca se almacena.

Configurar el servidor WireGuard

Estos pasos siguen la guía Road Warrior de WireGuard de OPNsense.

1. En VPN → WireGuard → Instances, añada una instancia. Use el icono del engranaje para generar sus claves, defina un puerto de escucha como 51820 y una dirección de túnel como 10.10.10.1/24, y guarde la instancia.
2. Active Enable WireGuard, que aparece debajo de las listas Instances y Peers, y seleccione Apply.
3. En Firewall → Rules → WAN, añada una regla Pass para UDP hacia la dirección WAN en el puerto de escucha.
4. En Interfaces → Assignments, asigne el dispositivo WireGuard (como wg1). Abra la nueva interfaz, actívela, guarde y seleccione Apply changes. Después, reinicie WireGuard: desactive Enable WireGuard y vuelva a activarlo, seleccionando Apply cada vez.
5. Añada en esa interfaz una regla de firewall que permita a Apple TV llegar a las redes o dispositivos que usted elija. La guía de OPNsense explica cuándo se necesitan un NAT de origen (Source NAT) saliente y una recarga de Unbound DNS.

Si su dirección WAN cambia, instale el plugin os-ddclient desde System → Firmware → Plugins y configúrelo en Services → Dynamic DNS.

Crear el cliente de Apple TV

1. Abra VPN → WireGuard → Peer generator y seleccione su instancia.
2. Escriba el Endpoint: su dirección pública o su nombre DNS con el puerto, como vpn.example.com:51820.
3. Dé al par un nombre como Apple TV y revise la dirección propuesta en Address. Allowed IPs propone todo el tráfico (0.0.0.0/0,::/0), salvo que la instancia guarde su propio valor (posible en 26.7.3 o posterior). Para llegar solo a su red doméstica, escriba la red del túnel y la red doméstica, como 10.10.10.0/24, 192.168.1.0/24. Cualquier servidor DNS que configure debe estar dentro de estas redes.
4. Para usar OPNsense en la resolución de nombres, ponga en DNS Servers la dirección del túnel, como 10.10.10.1. Mientras está conectado, WaveSocket usa esta dirección como DNS del túnel, por lo que Unbound en OPNsense debe responder a las consultas procedentes de la red del túnel.
5. Copie el texto completo del campo Config. Después, seleccione Save y, a continuación, Apply.

Copie el texto antes de guardar. Salvo que active Store private key on this firewall, OPNsense conserva solo la clave pública y no puede reconstruir la configuración más adelante. Si la pierde, genere un par nuevo.

Importar en Apple TV

1. En Apple TV, abra WaveSocket, elija Perfiles → Añadir perfil VPN → Enviar desde el navegador y seleccione Iniciar sesión de envío. Si hay una VPN conectada, desconéctela primero.
2. En un teléfono o una computadora de la misma red que Apple TV, escanee el código QR del televisor o abra la dirección que se muestra. En el campo Código de 4 dígitos, escriba el código que aparece en el televisor.
3. En Método de importación, elija Pegar texto de configuración, pegue la configuración completa y seleccione Enviar a Apple TV.
4. Revise el perfil en Apple TV. Elija Renombrar para darle un nombre claro, como VPN de casa, y luego elija Guardar perfil.

Use una red de confianza para la transferencia. Si Apple TV va a usarse en una red compartida, como el Wi-Fi de un alquiler vacacional, importe el perfil en casa antes de llevar allí el Apple TV. La guía de importación explica por qué la red debe ser de confianza.

Conectar y comprobar

Conéctese cuando Apple TV esté en una red fuera de su casa. Una prueba desde dentro de su red doméstica puede no mostrar si el acceso remoto funciona.

WaveSocket selecciona el perfil guardado y abre Conexión. Elija Conectar. La primera vez, permita que Apple TV añada la configuración VPN. Busque Servidor verificado y un tiempo reciente junto a Antigüedad de la negociación más antigua; luego abra por su dirección un servicio conocido de su red doméstica. En OPNsense, VPN → WireGuard → Status muestra el último handshake del par.

Si el endpoint es un nombre de host DDNS, WaveSocket lo resuelve antes de conectarse y lo vuelve a comprobar durante la conexión; consulte DNS y direcciones de servidor.

Todas las funciones de WaveSocket son gratuitas durante tres minutos por conexión, así que puede probar la configuración antes de elegir el acceso de por vida de WaveSocket, que elimina el límite de tiempo.

Si no se conecta

• Sin handshake. Compruebe la regla WAN y que el endpoint apunte a su dirección pública actual.
• Algunas aplicaciones no cargan. Si el handshake funciona pero algunas aplicaciones se quedan bloqueadas o solo cargan en parte, revise la MTU y las reglas de Normalization (MSS clamping) en la guía de OPNsense. En WaveSocket, desconéctese y ajuste MTU en Editar perfil. Si la configuración no tiene una línea MTU, WaveSocket usa 1280.
• Detrás de un NAT de nivel de operador o de otro router. Cualquiera de los dos puede bloquear las conexiones entrantes. Pida a su proveedor de Internet una dirección IP pública o reenvíe el puerto en el router situado entre OPNsense e Internet. La documentación de OPNsense no trata este caso.

Para rutas y redes superpuestas, consulte rutas y su red doméstica.

Estos pasos se basan en la documentación publicada por OPNsense, consultada el 16 de octubre de 2026, y no en pruebas propias de WaveSocket con OPNsense. Las etiquetas de los menús pueden cambiar entre versiones; si cambian, siga la documentación actual. OPNsense® es una marca registrada de su propietario. WaveSocket es una aplicación independiente; no está afiliada al proyecto OPNsense ni a Deciso B.V., ni cuenta con su respaldo.