Connecter l’Apple TV à un pare-feu exécutant le logiciel pfSense®

Quand utiliser cette configuration

Utilisez cette configuration lorsque l’Apple TV se trouve loin de chez vous, par exemple dans une location de vacances, et doit se connecter à distance à un pare-feu exécutant le logiciel pfSense.

Ce guide ne traite pas du cas où, chez vous, le trafic de l’Apple TV passe par un client VPN installé sur le pare-feu. Cette configuration ne nécessite pas WaveSocket.

Il vous faut :

• un Apple TV doté de l’application WaveSocket, qui se connecte avec des configurations WireGuard et n’inclut aucun service VPN
• un accès administrateur au pare-feu et une adresse WAN que l’Apple TV peut joindre
• le paquet WireGuard ; la documentation Netgate® conseille de passer à la dernière version du logiciel pfSense Plus ou pfSense CE avant de l’installer
• un téléphone ou un ordinateur connecté au même réseau que l’Apple TV pour le transfert

Dans l’exemple de Netgate, vous rédigez vous-même la configuration de l’Apple TV à partir des réglages du tunnel et du pair, puis vous la collez dans WaveSocket.

Configurer le serveur WireGuard

Ces étapes suivent l’exemple d’accès distant WireGuard de la documentation Netgate.

1. Installez le paquet WireGuard depuis l’onglet Available Packages sous System → Packages.
2. Sous VPN → WireGuard → Tunnels, ajoutez un tunnel. Activez-le, définissez le port d’écoute (51820 dans l’exemple), générez les clés de l’interface, attribuez-lui une adresse comme 10.6.210.1/24 et sélectionnez Save Tunnel.
3. Sous Firewall → Rules, dans l’onglet WAN, ajoutez une règle Pass pour l’UDP à destination de l’adresse WAN sur le port d’écoute. Dans l’onglet WireGuard, ajoutez une règle qui autorise le trafic du tunnel. Enregistrez chaque règle et sélectionnez Apply Changes.

Si votre adresse WAN change, configurez Services → Dynamic DNS et utilisez ce nom d’hôte comme point de terminaison.

Créer le client Apple TV

1. Créez une paire de clés pour l’Apple TV, par exemple avec wg genkey | tee /dev/stderr | wg pubkey dans une console ou un shell SSH sur le pare-feu. La commande affiche la clé privée, puis la clé publique, sans enregistrer de fichiers. L’exemple de Netgate précise que les clés ne peuvent pas être réutilisées d’un client à l’autre.
2. Sous VPN → WireGuard → Peers, ajoutez un pair pour le tunnel. Activez Dynamic Endpoint, collez la clé publique de l’Apple TV et réglez Allowed IPs sur son adresse de tunnel, par exemple 10.6.210.2/32.
3. Enregistrez le pair et appliquez les modifications.

Rédiger la configuration client

Remplacez les valeurs fictives par les vôtres :

• APPLE_TV_PRIVATE_KEY : la clé privée de l’Apple TV, créée à la section précédente
• FIREWALL_TUNNEL_PUBLIC_KEY : la clé publique du tunnel, sous VPN → WireGuard → Tunnels
• vpn.example.com : votre adresse WAN ou votre nom d’hôte DDNS
• 10.6.0.0/24 : votre réseau domestique

Address reprend la même adresse IP que le champ Allowed IPs du pair (10.6.210.2), mais avec le masque du tunnel (/24), comme dans l’exemple ci-dessous.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Cet exemple ne fait passer par le VPN que le tunnel et un seul réseau domestique. Pour faire passer tout le trafic IPv4, définissez AllowedIPs = 0.0.0.0/0 et ajoutez DNS = 10.6.210.1 à la section [Interface]. IPv6 nécessite sa propre adresse de tunnel et ::/0 ; voir les routes et votre réseau domestique.

Importer sur Apple TV

1. Sur Apple TV, ouvrez WaveSocket et choisissez Profils → Ajouter un profil VPN → Envoyer depuis le navigateur, puis sélectionnez Lancer une session d’envoi. Si un VPN est connecté, déconnectez-le d’abord.
2. Sur un téléphone ou un ordinateur connecté au même réseau que l’Apple TV, scannez le code QR du téléviseur ou ouvrez l’adresse affichée. Saisissez le code affiché sur le téléviseur dans le champ Code à 4 chiffres.
3. Sous Méthode d’importation, choisissez Coller la configuration, collez la configuration complète et sélectionnez Envoyer à Apple TV.
4. Vérifiez le profil sur Apple TV. Choisissez Renommer pour lui donner un nom clair, par exemple VPN Domicile, puis choisissez Enregistrer le profil.

Utilisez un réseau de confiance pour le transfert. Si l’Apple TV est connecté à un réseau partagé, comme le Wi-Fi d’une location de vacances, importez le profil chez vous avant de l’y emporter. Le guide d’importation explique pourquoi ce réseau doit être de confiance.

Se connecter et vérifier

Connectez-vous lorsque l’Apple TV se trouve sur un réseau hors de chez vous. Un test effectué depuis votre réseau domestique peut ne pas indiquer si l’accès distant fonctionne.

WaveSocket sélectionne le profil enregistré et ouvre Connexion. Choisissez Se connecter. La première fois, autorisez l’Apple TV à ajouter la configuration VPN. Vérifiez que Serveur validé s’affiche, avec une valeur récente à côté de la mention Âge de la négociation la plus ancienne, puis ouvrez un service connu de votre réseau domestique à son adresse.

Si le point de terminaison est un nom d’hôte DDNS, WaveSocket le résout avant de se connecter et le vérifie à nouveau pendant la connexion ; voir DNS et adresses des serveurs.

Toutes les fonctionnalités de WaveSocket sont gratuites pendant trois minutes par connexion : vous pouvez ainsi essayer cette configuration avant de choisir l’accès à vie de WaveSocket, qui supprime la limite de temps.

Si la connexion échoue

• Aucun tunnel. Vérifiez que Enable est activé sous VPN → WireGuard → Settings.
• Aucune poignée de main. Vérifiez que la clé publique du pair correspond à la clé privée de l’Apple TV et que la valeur PublicKey du client est bien la clé publique du tunnel. Contrôlez la règle WAN et assurez-vous que le point de terminaison se résout en votre adresse WAN actuelle.
• Pas d’Internet en tunnel complet. Vérifiez que Firewall → NAT → Outbound traduit le réseau du tunnel (10.6.210.0/24) vers l’adresse WAN. Si la résolution de noms échoue, vérifiez Services → DNS Resolver → Access Lists.
• Coupures en cas d’inactivité. Si un autre pare-feu se trouve entre l’Apple TV et Internet, ajoutez PersistentKeepalive = 25 à la section [Peer]. Pour un profil déjà enregistré, déconnectez-vous et réglez PersistentKeepalive dans Modifier le profil.

Ces étapes s’appuient sur la documentation publiée par Netgate, vérifiée le 16 octobre 2026, et non sur des tests effectués par WaveSocket avec le logiciel pfSense. Les libellés des menus peuvent changer d’une version à l’autre ; le cas échéant, suivez la documentation actuelle. pfSense® est une marque déposée appartenant à Electric Sheep Fencing LLC (« ESF ») et ne peut être utilisée sans l’autorisation écrite expresse et préalable d’ESF. Netgate® est une marque déposée appartenant à Rubicon Communications LLC et ne peut être utilisée sans l’autorisation écrite expresse et préalable de Rubicon Communications LLC. WaveSocket est une application indépendante. Ni ce site ni l’application ne sont affiliés à ESF ou à Rubicon Communications LLC, ni approuvés par ces sociétés.