חבר את Apple TV לחומת אש מבוססת OPNsense

מתי ההגדרה הזו מתאימה

השתמש בהגדרה זו כאשר Apple TV נמצא הרחק מהבית, למשל בדירת נופש, וצריך להתחבר בחזרה דרך חומת אש שמריצה את OPNsense®. ב-OPNsense הגדרה כזו נקראת Road Warrior.

מדריך זה אינו עוסק בשליחת התעבורה של Apple TV בבית דרך לקוח VPN בחומת האש. הגדרה כזו אינה דורשת את WaveSocket.

אתה צריך:

• Apple TV עם אפליקציית WaveSocket, שמתחברת באמצעות תצורות WireGuard ואינה כוללת שירות VPN
• גישת מנהל וכתובת WAN ש-Apple TV יכול להגיע אליה
• OPNsense 24.1.6 ומעלה: WireGuard מובנה החל מגרסה 24.1, ולמחולל העמיתים יש שדה DNS החל מגרסה 24.1.6
• טלפון או מחשב באותה רשת שבה נמצא Apple TV לצורך ההעברה

הכפתור Save והאפשרות Store private key on this firewall שמוזכרים בהמשך דורשים OPNsense 26.7.3 ומעלה. בגרסאות ישנות יותר, השתמש בכפתור סימן הווי שליד Store and generate next; במקרה זה המפתח הפרטי לעולם אינו נשמר.

הגדר את שרת WireGuard

השלבים הבאים מבוססים על המדריך של OPNsense להגדרת Road Warrior עם WireGuard.

1. תחת VPN → WireGuard → Instances, הוסף מופע. השתמש בסמל גלגל השיניים כדי ליצור את המפתחות שלו, הגדר יציאת האזנה כמו 51820 וכתובת מנהרה כמו 10.10.10.1/24, ולאחר מכן שמור את המופע.
2. הפעל את Enable WireGuard, שמופיע מתחת לרשימות Instances ו-Peers, ולחץ על Apply.
3. תחת Firewall → Rules → WAN, הוסף כלל Pass עבור UDP אל כתובת ה-WAN ביציאת ההאזנה.
4. תחת Interfaces → Assignments, הקצה את התקן WireGuard (כמו wg1). פתח את הממשק החדש, הפעל אותו, שמור ולחץ על Apply changes. לאחר מכן הפעל מחדש את WireGuard: כבה את Enable WireGuard והפעל אותו שוב, ולחץ על Apply בכל פעם.
5. הוסף בממשק זה כלל חומת אש שמתיר ל-Apple TV להגיע לרשתות או למכשירים שתבחר. המדריך של OPNsense מסביר מתי נדרשים Source NAT יוצא וטעינה מחדש של Unbound DNS.

עבור כתובת WAN משתנה, התקן את התוסף os-ddclient מ-System → Firmware → Plugins והגדר אותו תחת Services → Dynamic DNS.

צור את הלקוח עבור Apple TV

1. פתח את VPN → WireGuard → Peer generator ובחר את המופע שלך.
2. הזן את Endpoint: הכתובת הציבורית שלך או שם ה-DNS שלך עם היציאה, כמו vpn.example.com:51820.
3. תן לעמית שם כמו Apple TV ובדוק את הערך המוצע ב-Address. השדה Allowed IPs מציע את כל התעבורה (0.0.0.0/0,::/0), אלא אם המופע שומר ערך משלו (26.7.3 ומעלה). כדי להגיע רק לרשת הביתית שלך, הזן את רשת המנהרה ואת הרשת הביתית, כמו 10.10.10.0/24, 192.168.1.0/24. כל שרת DNS שתגדיר חייב להיות בתוך רשתות אלה.
4. כדי להשתמש ב-OPNsense לחיפושי שמות, הגדר את DNS Servers לכתובת המנהרה, כמו 10.10.10.1. בזמן החיבור, WaveSocket משתמש בכתובת זו כDNS של המנהרה, ולכן Unbound ב-OPNsense חייב לענות לשאילתות מרשת המנהרה.
5. העתק את הטקסט המלא מהשדה Config. לאחר מכן לחץ על Save ואחריו על Apply.

העתק את הטקסט לפני השמירה. אלא אם תפעיל את Store private key on this firewall, ב-OPNsense נשמר רק המפתח הציבורי, ואי אפשר לבנות מחדש את התצורה מאוחר יותר. אם תאבד אותה, צור עמית חדש.

ייבא ב-Apple TV

1. ב-Apple TV, פתח את WaveSocket ובחר פרופילים ← הוספת פרופיל VPN ← העלאה מהדפדפן, ולאחר מכן בחר התחלת הפעלת העלאה. אם VPN מחובר, התנתק תחילה.
2. בטלפון או במחשב באותה רשת שבה נמצא Apple TV, סרוק את קוד ה-QR שבטלוויזיה או פתח את הכתובת המוצגת. הזן את הקוד המוצג בטלוויזיה בשדה קוד בן 4 ספרות.
3. תחת שיטת ייבוא, בחר הדבקת טקסט התצורה, הדבק את התצורה המלאה ולחץ על שליחה אל Apple TV.
4. סקור את הפרופיל ב-Apple TV. בחר שינוי שם כדי לתת לו שם ברור, כמו VPN ביתי, ולאחר מכן בחר שמירת פרופיל.

השתמש ברשת מהימנה להעברה. אם Apple TV מחובר לרשת משותפת, כמו Wi-Fi בדירת נופש, ייבא את הפרופיל בבית לפני שתיקח את Apple TV לשם. מדריך הייבוא מסביר מדוע הרשת חייבת להיות מהימנה.

התחבר ובדוק

התחבר כאשר Apple TV מחובר לרשת שאינה הרשת הביתית שלך. ייתכן שבדיקה מתוך הרשת הביתית שלך לא תראה אם הגישה מרחוק פועלת.

WaveSocket בוחר את הפרופיל השמור ופותח את חיבור. בחר התחברות. בפעם הראשונה, אשר ל-Apple TV להוסיף את תצורת ה-VPN. חפש את השרת אומת וזמן קצר ליד הזמן מאז לחיצת היד הישנה ביותר, ולאחר מכן פתח שירות ביתי ידוע לפי הכתובת שלו. ב-OPNsense, VPN → WireGuard → Status מציג את לחיצת היד האחרונה של העמית.

כאשר נקודת הקצה היא שם מארח של DDNS, WaveSocket פותר אותו לפני ההתחברות ובודק אותו שוב בזמן החיבור; ראה DNS וכתובות שרתים.

כל התכונות של WaveSocket זמינות בחינם למשך שלוש דקות בכל חיבור, כך שתוכל לנסות את ההגדרה לפני שתבחר בגישה לכל החיים של WaveSocket, שמסירה את מגבלת הזמן.

אם החיבור לא מצליח

• אין לחיצת יד. בדוק את כלל ה-WAN וודא שנקודת הקצה מצביעה על הכתובת הציבורית הנוכחית שלך.
• חלק מהאפליקציות לא נטענות. אם לחיצת היד מצליחה אבל חלק מהאפליקציות נתקעות או נטענות רק חלקית, בדוק את ה-MTU ואת כללי Normalization (MSS clamping) לפי המדריך של OPNsense. ב-WaveSocket, התנתק והתאם את MTU ב-עריכת פרופיל. אם אין בתצורה שורת MTU, WaveSocket משתמש ב-1280.
• מאחורי NAT בדרגת ספק או נתב נוסף. כל אחד מהם יכול לחסום חיבורים נכנסים. בקש מספק האינטרנט שלך כתובת IP ציבורית, או העבר את היציאה בנתב שנמצא בין OPNsense לבין האינטרנט. התיעוד של OPNsense אינו עוסק במקרה זה.

בנושא מסלולים ורשתות חופפות, ראה מסלולים והרשת הביתית שלך.

שלבים אלה מבוססים על התיעוד שפורסם על ידי OPNsense, כפי שנבדק ב-16 באוקטובר 2026, ולא על בדיקות ש-WaveSocket ערך בעצמו עם OPNsense. תוויות התפריטים יכולות להשתנות בין גרסאות; אם זה קורה, פעל לפי התיעוד העדכני. OPNsense® הוא סימן מסחרי רשום של בעליו. WaveSocket היא אפליקציה עצמאית, שאינה קשורה לפרויקט OPNsense או ל-Deciso B.V. ואינה מאושרת על ידם.