Apple TV を OPNsense ファイアウォールに接続する

この設定が適している場合

Apple TV を自宅の外（たとえば旅行先の貸別荘）で使い、OPNsense® を実行しているファイアウォールを経由して自宅に接続したい場合に、この設定を使います。OPNsense では、これを Road Warrior セットアップと呼んでいます。

このガイドでは、自宅で Apple TV のトラフィックをファイアウォール上の VPN クライアント経由で送る方法は扱いません。その設定には WaveSocket は必要ありません。

必要なもの：

• WaveSocket アプリを入れた Apple TV（WaveSocket は WireGuard 構成で接続するアプリで、VPN サービスは含まれません）
• 管理者アクセスと、Apple TV から到達できる WAN アドレス
• OPNsense 24.1.6 以降（WireGuard は 24.1 から標準搭載され、ピアジェネレーターには 24.1.6 から DNS フィールドがあります）
• 転送に使う電話またはコンピュータ（Apple TV と同じネットワーク上のもの）

以下で説明する Save ボタンと Store private key on this firewall オプションには、OPNsense 26.7.3 以降が必要です。それより前のバージョンでは、Store and generate next の横にあるチェックマークのボタンを使用します。この場合、秘密鍵は一切保存されません。

WireGuard サーバーを設定する

この手順は OPNsense の WireGuard Road Warrior ガイド に沿っています。

1. VPN → WireGuard → Instances でインスタンスを追加します。歯車アイコンで鍵を生成し、51820 などのリッスンポートと 10.10.10.1/24 などのトンネルアドレスを設定してから、インスタンスを保存します。
2. Instances と Peers の一覧の下にある Enable WireGuard をオンにして、Apply を選択します。
3. Firewall → Rules → WAN で、WAN アドレスのリッスンポート宛ての UDP を通す Pass ルールを追加します。
4. Interfaces → Assignments で WireGuard デバイス（wg1 など）を割り当てます。新しいインターフェイスを開いて有効にし、保存して Apply changes を選択します。続いて WireGuard を再起動します。Enable WireGuard をオフにしてから再びオンにし、そのたびに Apply を選択します。
5. そのインターフェイスに、選択したネットワークやデバイスへの Apple TV からのアクセスを許可するファイアウォールルールを追加します。アウトバウンドの Source NAT や Unbound DNS の再読み込みがどのような場合に必要かは、OPNsense のガイドで説明されています。

WAN アドレスが変わる場合は、System → Firmware → Plugins から os-ddclient プラグインをインストールし、Services → Dynamic DNS で設定します。

Apple TV 用のクライアントを作成する

1. VPN → WireGuard → Peer generator を開き、作成したインスタンスを選択します。
2. Endpoint に、パブリックアドレスまたは DNS 名をポート付きで入力します（例：vpn.example.com:51820）。
3. ピアに「Apple TV」などの名前を付け、提案された Address を確認します。インスタンスに独自の値が保存されている場合（26.7.3 以降）を除き、Allowed IPs にはすべてのトラフィック（0.0.0.0/0,::/0）が提案されます。ホームネットワークだけにアクセスするには、10.10.10.0/24, 192.168.1.0/24 のように、トンネルとホームネットワークを入力します。設定する DNS サーバーは、これらのネットワーク内にある必要があります。
4. 名前解決に OPNsense を使う場合は、DNS Servers にトンネルアドレス（10.10.10.1 など）を設定します。接続中、WaveSocket はこのアドレスを トンネル DNS として使用するため、OPNsense の Unbound がトンネルネットワークからのクエリに応答する必要があります。
5. Config フィールドのテキストをすべてコピーします。次に Save を選択し、続けて Apply を選択します。

保存する前にテキストをコピーしてください。Store private key on this firewall をオンにしない限り、OPNsense は公開鍵しか保持しないため、あとから構成を再作成できません。構成をなくした場合は、新しいピアを生成してください。

Apple TV でインポートする

1. Apple TV で WaveSocket を開き、プロファイル → VPNプロファイルを追加 → ブラウザからアップロード を選択してから、アップロードを開始 を選択します。VPN が接続されている場合は、先に切断してください。
2. Apple TV と同じネットワーク上の電話またはコンピュータで、テレビの QR コードをスキャンするか、表示されたアドレスを開きます。テレビに表示されたコードを 4桁のコード 欄に入力します。
3. 読み込み方法 で 構成テキストを貼り付け を選び、構成全体を貼り付けて Apple TVに送信 を選択します。
4. Apple TV でプロファイルを確認します。名前を変更 を選択して「自宅 VPN」などのわかりやすい名前を付け、プロファイルを保存 を選択します。

転送には信頼できるネットワークを使用してください。Apple TV を貸別荘の Wi-Fi などの共有ネットワークで使う場合は、持って行く前に自宅でプロファイルをインポートしておきます。信頼できるネットワークが必要な理由は、インポートガイド で説明しています。

接続して確認する

Apple TV が自宅の外のネットワークにあるときに接続してください。ホームネットワーク内からテストしても、リモートアクセスが機能するかどうかはわからない場合があります。

WaveSocket は保存したプロファイルを選択し、接続 画面を開きます。接続 を選択します。初回は、Apple TV による VPN 構成の追加を許可してください。サーバー確認済み の表示と、最も古いピアハンドシェイクの経過時間 の横に最近の時刻が表示されていることを確認してから、自宅にある既知のサービスをそのアドレスで開きます。OPNsense では、VPN → WireGuard → Status にピアの最後のハンドシェイクが表示されます。

エンドポイントが DDNS ホスト名の場合、WaveSocket は接続前にそのホスト名を解決し、接続中にも再確認します。DNS とサーバーアドレス を参照してください。

WaveSocket のすべての機能は接続ごとに 3 分間無料で利用できるので、時間制限がなくなる WaveSocket の無期限アクセスを選ぶ前に、この設定を試せます。

接続できない場合

• ハンドシェイクが成立しない。 WAN ルールと、エンドポイントが現在のパブリックアドレスを指していることを確認します。
• 一部のアプリが読み込まれない。 ハンドシェイクは成立しているのに、一部のアプリが途中で止まったり部分的にしか読み込まれなかったりする場合は、OPNsense のガイドを参照して MTU と Normalization（MSS クランプ）のルールを見直してください。WaveSocket では、切断してから プロファイルを編集 で MTU を調整します。構成に MTU の行がない場合、WaveSocket は 1280 を使用します。
• キャリアグレード NAT や別のルーターの内側にある。 どちらも着信接続をブロックすることがあります。インターネットプロバイダーにパブリック IP アドレスを依頼するか、OPNsense とインターネットの間にあるルーターでポートを転送してください。OPNsense のドキュメントでは、このケースは扱われていません。

ルートとネットワークの重複については、ルートとホームネットワーク を参照してください。

この手順は、2026 年 10 月 16 日時点で確認した OPNsense の公開ドキュメントに基づくもので、WaveSocket が OPNsense で独自にテストした結果ではありません。メニューのラベルはバージョンによって変わることがあります。変わった場合は、最新のドキュメントに従ってください。OPNsense® はその所有者の登録商標です。WaveSocket は独立したアプリであり、OPNsense プロジェクトおよび Deciso B.V. のいずれとも提携しておらず、いずれによる承認も受けていません。