Connecter l’Apple TV à un pare-feu OPNsense

Quand utiliser cette configuration

Utilisez cette configuration lorsque l’Apple TV se trouve loin de chez vous, par exemple dans une location de vacances, et doit se connecter à distance en passant par un pare-feu exécutant OPNsense®. OPNsense appelle cela une configuration Road Warrior.

Ce guide ne traite pas du cas où, chez vous, le trafic de l’Apple TV passe par un client VPN installé sur le pare-feu. Cette configuration ne nécessite pas WaveSocket.

Il vous faut :

• un Apple TV doté de l’application WaveSocket, qui se connecte avec des configurations WireGuard et n’inclut aucun service VPN
• un accès administrateur et une adresse WAN que l’Apple TV peut joindre
• OPNsense 24.1.6 ou version ultérieure : WireGuard est intégré depuis la version 24.1, et le générateur de pairs dispose d’un champ DNS depuis la version 24.1.6
• un téléphone ou un ordinateur connecté au même réseau que l’Apple TV pour le transfert

Le bouton Save et l’option Store private key on this firewall mentionnés ci-dessous nécessitent OPNsense 26.7.3 ou version ultérieure. Dans les versions plus anciennes, utilisez le bouton en forme de coche à côté de Store and generate next ; la clé privée n’est alors jamais stockée.

Configurer le serveur WireGuard

Ces étapes suivent le guide WireGuard Road Warrior d’OPNsense.

1. Sous VPN → WireGuard → Instances, ajoutez une instance. Utilisez l’icône en forme de roue dentée pour générer ses clés, définissez un port d’écoute comme 51820 et une adresse de tunnel comme 10.10.10.1/24, puis enregistrez l’instance.
2. Activez Enable WireGuard, qui figure sous les listes Instances et Peers, puis sélectionnez Apply.
3. Sous Firewall → Rules → WAN, ajoutez une règle Pass pour l’UDP à destination de l’adresse WAN sur le port d’écoute.
4. Sous Interfaces → Assignments, assignez le périphérique WireGuard (par exemple wg1). Ouvrez la nouvelle interface, activez-la, enregistrez et sélectionnez Apply changes. Redémarrez ensuite WireGuard : désactivez puis réactivez Enable WireGuard, en sélectionnant Apply à chaque fois.
5. Ajoutez sur cette interface une règle de pare-feu qui permet à l’Apple TV d’atteindre les réseaux ou les appareils de votre choix. Le guide OPNsense explique quand un NAT source sortant et un rechargement d’Unbound DNS sont nécessaires.

Si votre adresse WAN change, installez le plugin os-ddclient depuis System → Firmware → Plugins et configurez-le sous Services → Dynamic DNS.

Créer le client Apple TV

1. Ouvrez VPN → WireGuard → Peer generator et sélectionnez votre instance.
2. Renseignez le champ Endpoint : votre adresse publique ou votre nom DNS, avec le port, par exemple vpn.example.com:51820.
3. Donnez au pair un nom comme Apple TV et vérifiez la valeur Address proposée. Allowed IPs propose tout le trafic (0.0.0.0/0,::/0), sauf si l’instance enregistre sa propre valeur (26.7.3 ou version ultérieure). Pour n’accéder qu’à votre réseau domestique, saisissez le réseau du tunnel et votre réseau domestique, par exemple 10.10.10.0/24, 192.168.1.0/24. Tout serveur DNS que vous définissez doit se trouver dans ces réseaux.
4. Pour confier la résolution de noms à OPNsense, réglez DNS Servers sur l’adresse du tunnel, par exemple 10.10.10.1. Pendant la connexion, WaveSocket utilise cette adresse comme DNS du tunnel ; Unbound, sur OPNsense, doit donc répondre aux requêtes provenant du réseau du tunnel.
5. Copiez le texte complet du champ Config. Sélectionnez ensuite Save, puis Apply.

Copiez le texte avant d’enregistrer. Sauf si vous activez Store private key on this firewall, OPNsense ne conserve que la clé publique et ne peut pas reconstituer la configuration par la suite. Si vous la perdez, générez un nouveau pair.

Importer sur Apple TV

1. Sur Apple TV, ouvrez WaveSocket et choisissez Profils → Ajouter un profil VPN → Envoyer depuis le navigateur, puis sélectionnez Lancer une session d’envoi. Si un VPN est connecté, déconnectez-le d’abord.
2. Sur un téléphone ou un ordinateur connecté au même réseau que l’Apple TV, scannez le code QR du téléviseur ou ouvrez l’adresse affichée. Saisissez le code affiché sur le téléviseur dans le champ Code à 4 chiffres.
3. Sous Méthode d’importation, choisissez Coller la configuration, collez la configuration complète et sélectionnez Envoyer à Apple TV.
4. Vérifiez le profil sur Apple TV. Choisissez Renommer pour lui donner un nom clair, par exemple VPN Domicile, puis choisissez Enregistrer le profil.

Utilisez un réseau de confiance pour le transfert. Si l’Apple TV est connecté à un réseau partagé, comme le Wi-Fi d’une location de vacances, importez le profil chez vous avant de l’y emporter. Le guide d’importation explique pourquoi ce réseau doit être de confiance.

Se connecter et vérifier

Connectez-vous lorsque l’Apple TV se trouve sur un réseau hors de chez vous. Un test effectué depuis votre réseau domestique peut ne pas indiquer si l’accès distant fonctionne.

WaveSocket sélectionne le profil enregistré et ouvre Connexion. Choisissez Se connecter. La première fois, autorisez l’Apple TV à ajouter la configuration VPN. Vérifiez que Serveur validé s’affiche, avec une valeur récente à côté de la mention Âge de la négociation la plus ancienne, puis ouvrez un service connu de votre réseau domestique à son adresse. Dans OPNsense, VPN → WireGuard → Status affiche la dernière poignée de main du pair.

Si le point de terminaison est un nom d’hôte DDNS, WaveSocket le résout avant de se connecter et le vérifie à nouveau pendant la connexion ; voir DNS et adresses des serveurs.

Toutes les fonctionnalités de WaveSocket sont gratuites pendant trois minutes par connexion : vous pouvez ainsi essayer cette configuration avant de choisir l’accès à vie de WaveSocket, qui supprime la limite de temps.

Si la connexion échoue

• Aucune poignée de main. Vérifiez la règle WAN et assurez-vous que le point de terminaison pointe vers votre adresse publique actuelle.
• Certaines applications ne se chargent pas. Si la poignée de main fonctionne mais que certaines applications se bloquent ou ne se chargent qu’en partie, revoyez la valeur MTU et les règles Normalization (MSS clamping) décrites dans le guide OPNsense. Dans WaveSocket, déconnectez-vous et ajustez MTU dans Modifier le profil. Si la configuration ne contient pas de ligne MTU, WaveSocket utilise 1280.
• Derrière un NAT de niveau opérateur ou un autre routeur. L’un comme l’autre peut bloquer les connexions entrantes. Demandez une adresse IP publique à votre fournisseur d’accès à Internet, ou redirigez le port sur le routeur situé entre OPNsense et Internet. La documentation OPNsense ne traite pas ce cas.

Pour les routes et les réseaux qui se chevauchent, voir les routes et votre réseau domestique.

Ces étapes s’appuient sur la documentation publiée par OPNsense, vérifiée le 16 octobre 2026, et non sur des tests effectués par WaveSocket avec OPNsense. Les libellés des menus peuvent changer d’une version à l’autre ; le cas échéant, suivez la documentation actuelle. OPNsense® est une marque déposée de son propriétaire. WaveSocket est une application indépendante, qui n’est ni affiliée au projet OPNsense ou à Deciso B.V., ni approuvée par ceux-ci.