Connetti Apple TV a un firewall OPNsense

Quando usare questa configurazione

Usa questa configurazione quando Apple TV si trova fuori casa, per esempio in una casa vacanze, e deve riconnettersi tramite un firewall con OPNsense®. OPNsense la chiama configurazione Road Warrior.

Questa guida non tratta il caso in cui, a casa, il traffico di Apple TV passa attraverso un client VPN sul firewall. Quella configurazione non richiede WaveSocket.

Ti servono:

• un Apple TV con l’app WaveSocket, che si connette con configurazioni WireGuard e non include un servizio VPN
• l’accesso come amministratore e un indirizzo WAN raggiungibile da Apple TV
• OPNsense 24.1.6 o versioni successive: WireGuard è integrato dalla 24.1 e il generatore di peer ha un campo DNS dalla 24.1.6
• un telefono o un computer sulla stessa rete di Apple TV per il trasferimento

Il pulsante Save e l’opzione Store private key on this firewall citati più avanti richiedono OPNsense 26.7.3 o versioni successive. Nelle versioni precedenti, usa il pulsante con il segno di spunta accanto a Store and generate next; in quel caso la chiave privata non viene mai memorizzata.

Configura il server WireGuard

Questi passaggi seguono la guida Road Warrior di OPNsense per WireGuard.

1. In VPN → WireGuard → Instances, aggiungi un’istanza. Usa l’icona a forma di ingranaggio per generarne le chiavi, imposta una porta di ascolto come 51820 e un indirizzo del tunnel come 10.10.10.1/24, quindi salva l’istanza.
2. Attiva Enable WireGuard, che compare sotto gli elenchi Instances e Peers, e seleziona Apply.
3. In Firewall → Rules → WAN, aggiungi una regola Pass per UDP verso l’indirizzo WAN sulla porta di ascolto.
4. In Interfaces → Assignments, assegna il dispositivo WireGuard (come wg1). Apri la nuova interfaccia, abilitala, salva e seleziona Apply changes. Poi riavvia WireGuard: disattiva e riattiva Enable WireGuard, selezionando Apply ogni volta.
5. Aggiungi su quell’interfaccia una regola firewall che consenta ad Apple TV di raggiungere le reti o i dispositivi che scegli. La guida di OPNsense spiega quando sono necessari il Source NAT in uscita e il ricaricamento di Unbound DNS.

Se l’indirizzo WAN cambia, installa il plugin os-ddclient da System → Firmware → Plugins e configuralo in Services → Dynamic DNS.

Crea il client per Apple TV

1. Apri VPN → WireGuard → Peer generator e seleziona la tua istanza.
2. Inserisci l’Endpoint: il tuo indirizzo pubblico o nome DNS con la porta, come vpn.example.com:51820.
3. Dai al peer un nome come Apple TV e controlla l’Address proposto. Allowed IPs propone tutto il traffico (0.0.0.0/0,::/0), a meno che l’istanza non memorizzi un proprio valore (26.7.3 o versioni successive). Per raggiungere solo la rete domestica, inserisci la rete del tunnel e quella domestica, come 10.10.10.0/24, 192.168.1.0/24. Qualsiasi server DNS che imposti deve trovarsi all’interno di queste reti.
4. Per usare OPNsense per la risoluzione dei nomi, imposta DNS Servers sull’indirizzo del tunnel, come 10.10.10.1. Durante la connessione, WaveSocket usa questo indirizzo come DNS del tunnel, quindi Unbound su OPNsense deve rispondere alle query provenienti dalla rete del tunnel.
5. Copia il testo completo dal campo Config. Poi seleziona Save e quindi Apply.

Copia il testo prima di salvare. Se non attivi Store private key on this firewall, OPNsense conserva solo la chiave pubblica e non può ricostruire la configurazione in seguito. Se la perdi, genera un nuovo peer.

Importa su Apple TV

1. Su Apple TV, apri WaveSocket e scegli Profili → Aggiungi profilo VPN → Invia dal browser, quindi seleziona Avvia sessione di invio. Se è connessa una VPN, disconnettiti prima.
2. Su un telefono o un computer sulla stessa rete di Apple TV, scansiona il codice QR sulla TV o apri l’indirizzo visualizzato. Inserisci il codice mostrato sulla TV nel campo Codice a 4 cifre.
3. In Metodo di importazione, scegli Incolla il testo di configurazione, incolla la configurazione completa e seleziona Invia ad Apple TV.
4. Controlla il profilo su Apple TV. Scegli Rinomina per dargli un nome chiaro, come VPN Casa, quindi scegli Salva profilo.

Usa una rete affidabile per il trasferimento. Se Apple TV si trova su una rete condivisa, come il Wi-Fi di una casa vacanze, importa il profilo a casa prima di portare lì Apple TV. La guida all’importazione spiega perché la rete deve essere affidabile.

Connettiti e controlla

Connettiti quando Apple TV si trova su una rete fuori casa. Un test dall’interno della rete domestica potrebbe non mostrare se l’accesso remoto funziona.

WaveSocket seleziona il profilo salvato e apre Connessione. Scegli Connetti. La prima volta, consenti ad Apple TV di aggiungere la configurazione VPN. Controlla che compaiano Server verificato e un tempo recente accanto a Età dell’handshake più vecchio, poi apri un servizio di casa noto tramite il suo indirizzo. In OPNsense, VPN → WireGuard → Status mostra l’ultimo handshake del peer.

Se l’endpoint è un nome host DDNS, WaveSocket lo risolve prima di connettersi e lo controlla di nuovo durante la connessione; consulta DNS e indirizzi del server.

Tutte le funzionalità di WaveSocket sono gratuite per tre minuti a connessione, così puoi provare la configurazione prima di scegliere l’accesso a vita di WaveSocket, che rimuove il limite di tempo.

Se non si connette

• Nessun handshake. Controlla la regola WAN e che l’endpoint punti al tuo indirizzo pubblico attuale.
• Alcune app non si caricano. Se l’handshake funziona ma alcune app si bloccano o si caricano solo in parte, rivedi l’MTU e le regole di Normalization (MSS clamping) nella guida di OPNsense. In WaveSocket, disconnettiti e regola MTU in Modifica profilo. Se la configurazione non contiene una riga MTU, WaveSocket usa 1280.
• Dietro un NAT di livello operatore o un altro router. Entrambi possono bloccare le connessioni in entrata. Chiedi al tuo provider Internet un indirizzo IP pubblico, oppure inoltra la porta sul router che si trova tra OPNsense e Internet. La documentazione di OPNsense non tratta questo caso.

Per percorsi e reti sovrapposte, consulta Percorsi e rete domestica.

Questi passaggi si basano sulla documentazione OPNsense pubblicata, verificata il 16 ottobre 2026, e non su test propri di WaveSocket con OPNsense. Le etichette dei menu possono cambiare da una versione all’altra; in tal caso, segui la documentazione aggiornata. OPNsense® è un marchio registrato del rispettivo titolare. WaveSocket è un’app indipendente, non affiliata al progetto OPNsense o a Deciso B.V. né approvata dal progetto OPNsense o da Deciso B.V.