Conectar Apple TV a un firewall con software pfSense®

Cuándo conviene esta configuración

Use esta configuración cuando Apple TV esté fuera de casa, por ejemplo en un alquiler vacacional, y deba conectarse de vuelta a un firewall con software pfSense.

Esta guía no explica cómo enviar el tráfico de Apple TV en casa a través de un cliente VPN del firewall. Esa configuración no necesita WaveSocket.

Necesita:

• un Apple TV con la aplicación WaveSocket, que se conecta con configuraciones WireGuard y no incluye un servicio VPN
• acceso de administrador al firewall y una dirección WAN a la que Apple TV pueda llegar
• el paquete WireGuard; la documentación de Netgate® recomienda actualizar a la versión más reciente del software pfSense Plus o pfSense CE antes de instalarlo
• un teléfono o una computadora en la misma red que Apple TV para la transferencia

En el ejemplo de Netgate, usted mismo escribe la configuración de Apple TV a partir de los parámetros del túnel y del par, y luego la pega en WaveSocket.

Configurar el servidor WireGuard

Estos pasos siguen el ejemplo de acceso remoto con WireGuard de la documentación de Netgate.

1. Instale el paquete WireGuard desde la pestaña Available Packages en System → Packages.
2. En VPN → WireGuard → Tunnels, añada un túnel. Actívelo, defina el puerto de escucha (51820 en el ejemplo), genere las claves de la interfaz, asígnele una dirección como 10.6.210.1/24 y seleccione Save Tunnel.
3. En Firewall → Rules, en la pestaña WAN, añada una regla Pass para UDP hacia la dirección WAN en el puerto de escucha. En la pestaña WireGuard, añada una regla que permita el tráfico del túnel. Guarde cada regla y seleccione Apply Changes.

Si su dirección WAN cambia, configure Services → Dynamic DNS y use ese nombre de host como endpoint.

Crear el cliente de Apple TV

1. Cree un par de claves para Apple TV, por ejemplo con wg genkey | tee /dev/stderr | wg pubkey en una consola o un shell SSH del firewall. El comando muestra la clave privada y luego la clave pública sin guardar archivos. El ejemplo de Netgate señala que las claves no se pueden reutilizar entre clientes.
2. En VPN → WireGuard → Peers, añada un par para el túnel. Active Dynamic Endpoint, pegue la clave pública de Apple TV y ponga en Allowed IPs su dirección de túnel, como 10.6.210.2/32.
3. Guarde el par y aplique los cambios.

Escribir la configuración del cliente

Sustituya los marcadores de posición por sus propios valores:

• APPLE_TV_PRIVATE_KEY: la clave privada de Apple TV que creó en la sección anterior
• FIREWALL_TUNNEL_PUBLIC_KEY: la clave pública del túnel, en VPN → WireGuard → Tunnels
• vpn.example.com: su dirección WAN o su nombre de host DDNS
• 10.6.0.0/24: su red doméstica

Address usa la misma dirección IP que el campo Allowed IPs del par (10.6.210.2), pero con la máscara del túnel (/24), como en el ejemplo siguiente.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Este ejemplo envía por la VPN solo el túnel y una red doméstica. Para enviar todo el tráfico IPv4, establezca AllowedIPs = 0.0.0.0/0 y añada DNS = 10.6.210.1 a la sección [Interface]. IPv6 necesita su propia dirección de túnel y ::/0; consulte rutas y su red doméstica.

Importar en Apple TV

1. En Apple TV, abra WaveSocket, elija Perfiles → Añadir perfil VPN → Enviar desde el navegador y seleccione Iniciar sesión de envío. Si hay una VPN conectada, desconéctela primero.
2. En un teléfono o una computadora de la misma red que Apple TV, escanee el código QR del televisor o abra la dirección que se muestra. En el campo Código de 4 dígitos, escriba el código que aparece en el televisor.
3. En Método de importación, elija Pegar texto de configuración, pegue la configuración completa y seleccione Enviar a Apple TV.
4. Revise el perfil en Apple TV. Elija Renombrar para darle un nombre claro, como VPN de casa, y luego elija Guardar perfil.

Use una red de confianza para la transferencia. Si Apple TV va a usarse en una red compartida, como el Wi-Fi de un alquiler vacacional, importe el perfil en casa antes de llevar allí el Apple TV. La guía de importación explica por qué la red debe ser de confianza.

Conectar y comprobar

Conéctese cuando Apple TV esté en una red fuera de su casa. Una prueba desde dentro de su red doméstica puede no mostrar si el acceso remoto funciona.

WaveSocket selecciona el perfil guardado y abre Conexión. Elija Conectar. La primera vez, permita que Apple TV añada la configuración VPN. Busque Servidor verificado y un tiempo reciente junto a Antigüedad de la negociación más antigua; luego abra por su dirección un servicio conocido de su red doméstica.

Si el endpoint es un nombre de host DDNS, WaveSocket lo resuelve antes de conectarse y lo vuelve a comprobar durante la conexión; consulte DNS y direcciones de servidor.

Todas las funciones de WaveSocket son gratuitas durante tres minutos por conexión, así que puede probar la configuración antes de elegir el acceso de por vida de WaveSocket, que elimina el límite de tiempo.

Si no se conecta

• Sin túnel. Compruebe que Enable esté activado en VPN → WireGuard → Settings.
• Sin handshake. Compruebe que la clave pública del par corresponda a la clave privada de Apple TV y que el valor PublicKey del cliente sea la clave pública del túnel. Confirme la regla WAN y que el endpoint se resuelva a su dirección WAN actual.
• Sin Internet con un túnel completo. Compruebe que Firewall → NAT → Outbound traduzca la red del túnel (10.6.210.0/24) a la dirección WAN. Si fallan las búsquedas de nombres, revise Services → DNS Resolver → Access Lists.
• Cortes en reposo. Si hay otro firewall entre Apple TV e Internet, añada PersistentKeepalive = 25 a la sección [Peer]. Para un perfil guardado, desconéctese y defina PersistentKeepalive en Editar perfil.

Estos pasos se basan en la documentación publicada por Netgate, consultada el 16 de octubre de 2026, y no en pruebas propias de WaveSocket con el software pfSense. Las etiquetas de los menús pueden cambiar entre versiones; si cambian, siga la documentación actual. pfSense® es una marca registrada propiedad de Electric Sheep Fencing LLC (“ESF”) y no puede utilizarse sin el permiso previo, expreso y por escrito de ESF. Netgate® es una marca registrada propiedad de Rubicon Communications LLC y no puede utilizarse sin el permiso previo, expreso y por escrito de Rubicon Communications LLC. WaveSocket es una aplicación independiente. Ni este sitio ni la aplicación están afiliados a ESF ni a Rubicon Communications LLC, ni cuentan con su respaldo.