WireGuard sul software pfSense per Apple TV

Quando usare questa configurazione

Usa questa configurazione quando Apple TV si trova fuori casa, per esempio in una casa vacanze, e deve riconnettersi a un firewall con software pfSense.

Questa guida non tratta il caso in cui, a casa, il traffico di Apple TV passa attraverso un client VPN sul firewall. Quella configurazione non richiede WaveSocket.

Ti servono:

un Apple TV con l’app WaveSocket, che si connette con configurazioni WireGuard e non include un servizio VPN
l’accesso come amministratore al firewall e un indirizzo WAN raggiungibile da Apple TV
il pacchetto WireGuard; la documentazione Netgate® consiglia di aggiornare all’ultima versione del software pfSense Plus o pfSense CE prima di installarlo
un telefono o un computer sulla stessa rete di Apple TV per il trasferimento

Nell’esempio di Netgate scrivi tu stesso la configurazione per Apple TV partendo dalle impostazioni del tunnel e del peer, poi la incolli in WaveSocket.

Configura il server WireGuard

Questi passaggi seguono l’esempio di accesso remoto con WireGuard della documentazione Netgate.

Installa il pacchetto WireGuard dalla scheda Available Packages in System → Packages.
In VPN → WireGuard → Tunnels, aggiungi un tunnel. Abilitalo, imposta la porta di ascolto (51820 nell’esempio), genera le chiavi dell’interfaccia, assegnagli un indirizzo come 10.6.210.1/24 e seleziona Save Tunnel.
In Firewall → Rules, nella scheda WAN, aggiungi una regola Pass per UDP verso l’indirizzo WAN sulla porta di ascolto. Nella scheda WireGuard, aggiungi una regola che consenta il traffico del tunnel. Salva ogni regola e seleziona Apply Changes.

Se il tuo indirizzo WAN cambia, configura Services → Dynamic DNS e usa quel nome host come endpoint.

Crea il client per Apple TV

Crea una coppia di chiavi per Apple TV, per esempio con wg genkey | tee /dev/stderr | wg pubkey in una console o in una shell SSH sul firewall. Il comando mostra la chiave privata e poi la chiave pubblica, senza salvare file. L’esempio di Netgate fa notare che le chiavi non possono essere riutilizzate tra client diversi.
In VPN → WireGuard → Peers, aggiungi un peer per il tunnel. Abilita Dynamic Endpoint, incolla la chiave pubblica di Apple TV e imposta Allowed IPs sull’indirizzo del tunnel di Apple TV, come 10.6.210.2/32.
Salva il peer e applica le modifiche.

Scrivi la configurazione client

Sostituisci i segnaposto con i tuoi valori:

APPLE_TV_PRIVATE_KEY: la chiave privata di Apple TV che hai creato nella sezione precedente
FIREWALL_TUNNEL_PUBLIC_KEY: la chiave pubblica del tunnel in VPN → WireGuard → Tunnels
vpn.example.com: il tuo indirizzo WAN o nome host DDNS
10.6.0.0/24: la tua rete domestica

Address usa lo stesso indirizzo IP indicato in Allowed IPs del peer (10.6.210.2), ma con la maschera del tunnel (/24), come nell’esempio seguente.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Questo esempio fa passare attraverso la VPN solo il tunnel e una rete domestica. Per inviare tutto il traffico IPv4, imposta AllowedIPs = 0.0.0.0/0 e aggiungi DNS = 10.6.210.1 alla sezione [Interface]. IPv6 richiede un proprio indirizzo del tunnel e ::/0; consulta Percorsi e rete domestica.

Importa su Apple TV

Su Apple TV, apri WaveSocket e scegli Profili → Aggiungi profilo VPN → Invia dal browser, quindi seleziona Avvia sessione di invio. Se è connessa una VPN, disconnettiti prima.
Su un telefono o un computer sulla stessa rete di Apple TV, scansiona il codice QR sulla TV o apri l’indirizzo visualizzato. Inserisci il codice mostrato sulla TV nel campo Codice a 4 cifre.
In Metodo di importazione, scegli Incolla il testo di configurazione, incolla la configurazione completa e seleziona Invia ad Apple TV.
Controlla il profilo su Apple TV. Scegli Rinomina per dargli un nome chiaro, come VPN Casa, quindi scegli Salva profilo.

Usa una rete affidabile per il trasferimento. Se Apple TV si trova su una rete condivisa, come il Wi-Fi di una casa vacanze, importa il profilo a casa prima di portare lì Apple TV. La guida all’importazione spiega perché la rete deve essere affidabile.

Connettiti e controlla

Connettiti quando Apple TV si trova su una rete fuori casa. Un test dall’interno della rete domestica potrebbe non mostrare se l’accesso remoto funziona.

WaveSocket seleziona il profilo salvato e apre Connessione. Scegli Connetti. La prima volta, consenti ad Apple TV di aggiungere la configurazione VPN. Controlla che compaiano Server verificato e un tempo recente accanto a Età dell’handshake più vecchio, poi apri un servizio di casa noto tramite il suo indirizzo.

Se l’endpoint è un nome host DDNS, WaveSocket lo risolve prima di connettersi e lo controlla di nuovo durante la connessione; consulta DNS e indirizzi del server.

Tutte le funzionalità di WaveSocket sono gratuite per tre minuti a connessione, così puoi provare la configurazione prima di scegliere l’accesso a vita di WaveSocket, che rimuove il limite di tempo.

Se non si connette

Nessun tunnel. Controlla che Enable sia attivo in VPN → WireGuard → Settings.
Nessun handshake. Controlla che la chiave pubblica del peer corrisponda alla chiave privata di Apple TV e che il PublicKey del client sia la chiave pubblica del tunnel. Verifica la regola WAN e che l’endpoint si risolva nel tuo indirizzo WAN attuale.
Nessun accesso a Internet con un tunnel completo. Controlla che Firewall → NAT → Outbound traduca la rete del tunnel (10.6.210.0/24) nell’indirizzo WAN. Se la risoluzione dei nomi non riesce, controlla Services → DNS Resolver → Access Lists.
Disconnessioni durante l’inattività. Se tra Apple TV e Internet c’è un altro firewall, aggiungi PersistentKeepalive = 25 alla sezione [Peer]. Per un profilo già salvato, disconnettiti e imposta PersistentKeepalive in Modifica profilo.

Questi passaggi si basano sulla documentazione Netgate pubblicata, verificata il 16 ottobre 2026, e non su test propri di WaveSocket con il software pfSense. Le etichette dei menu possono cambiare da una versione all’altra; in tal caso, segui la documentazione aggiornata. pfSense® è un marchio registrato di proprietà di Electric Sheep Fencing LLC (“ESF”) e non può essere utilizzato senza il previo consenso espresso e scritto di ESF. Netgate® è un marchio registrato di proprietà di Rubicon Communications LLC e non può essere utilizzato senza il previo consenso espresso e scritto di Rubicon Communications LLC. WaveSocket è un’app indipendente. Né questo sito né l’app sono affiliati a ESF o a Rubicon Communications LLC, né approvati da ESF o da Rubicon Communications LLC.