pfSense ソフトウェアの WireGuard（Apple TV 用）

この設定が適している場合

Apple TV を自宅の外（たとえば旅行先の貸別荘）で使い、pfSense ソフトウェアを実行している自宅のファイアウォールに接続したい場合に、この設定を使います。

このガイドでは、自宅で Apple TV のトラフィックをファイアウォール上の VPN クライアント経由で送る方法は扱いません。その設定には WaveSocket は必要ありません。

必要なもの：

WaveSocket アプリを入れた Apple TV（WaveSocket は WireGuard 構成で接続するアプリで、VPN サービスは含まれません）
ファイアウォールへの管理者アクセスと、Apple TV から到達できる WAN アドレス
WireGuard パッケージ（Netgate® のドキュメントでは、インストールする前に最新の pfSense Plus または pfSense CE ソフトウェアにアップグレードするよう勧めています）
転送に使う電話またはコンピュータ（Apple TV と同じネットワーク上のもの）

Netgate の例では、トンネルとピアの設定をもとに Apple TV の構成を自分で記述し、それを WaveSocket に貼り付けます。

WireGuard サーバーを設定する

この手順は、Netgate のドキュメントにある WireGuard リモートアクセスの例に沿っています。

System → Packages の Available Packages タブから WireGuard パッケージをインストールします。
VPN → WireGuard → Tunnels でトンネルを追加します。トンネルを有効にし、リッスンポート（例では 51820）を設定してインターフェイスの鍵を生成し、10.6.210.1/24 などのアドレスを割り当てて Save Tunnel を選択します。
Firewall → Rules の WAN タブで、WAN アドレスのリッスンポート宛ての UDP を通す Pass ルールを追加します。WireGuard タブでは、トンネルのトラフィックを許可するルールを追加します。各ルールを保存して Apply Changes を選択します。

WAN アドレスが変わる場合は、Services → Dynamic DNS を設定し、そのホスト名をエンドポイントとして使用します。

Apple TV 用のクライアントを作成する

Apple TV 用のキーペアを作成します。たとえば、ファイアウォールのコンソールまたは SSH シェルで wg genkey | tee /dev/stderr | wg pubkey を実行します。このコマンドはファイルを保存せずに、秘密鍵、続いて公開鍵を出力します。Netgate の例では、鍵はクライアント間で再利用できないと注記しています。
VPN → WireGuard → Peers で、トンネルにピアを追加します。Dynamic Endpoint を有効にし、Apple TV の公開鍵を貼り付けて、Allowed IPs に Apple TV のトンネルアドレス（10.6.210.2/32 など）を設定します。
ピアを保存し、変更を適用します。

クライアント構成を記述する

プレースホルダーを自分の値に置き換えます：

APPLE_TV_PRIVATE_KEY：前のセクションで作成した Apple TV の秘密鍵
FIREWALL_TUNNEL_PUBLIC_KEY：VPN → WireGuard → Tunnels に表示されるトンネルの公開鍵
vpn.example.com：WAN アドレスまたは DDNS ホスト名
10.6.0.0/24：ホームネットワーク

Address には、ピアの Allowed IPs と同じ IP アドレス（10.6.210.2）を使いますが、下の例のように、マスクはトンネルのもの（/24）にします。

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

この例では、トンネルと 1 つのホームネットワークだけを VPN 経由で送ります。すべての IPv4 トラフィックを送るには、AllowedIPs = 0.0.0.0/0 を設定し、[Interface] セクションに DNS = 10.6.210.1 を追加します。IPv6 には専用のトンネルアドレスと ::/0 が必要です。ルートとホームネットワークを参照してください。

Apple TV でインポートする

Apple TV で WaveSocket を開き、プロファイル → VPNプロファイルを追加 → ブラウザからアップロード を選択してから、アップロードを開始 を選択します。VPN が接続されている場合は、先に切断してください。
Apple TV と同じネットワーク上の電話またはコンピュータで、テレビの QR コードをスキャンするか、表示されたアドレスを開きます。テレビに表示されたコードを 4桁のコード 欄に入力します。
読み込み方法 で 構成テキストを貼り付け を選び、構成全体を貼り付けて Apple TVに送信 を選択します。
Apple TV でプロファイルを確認します。名前を変更 を選択して「自宅 VPN」などのわかりやすい名前を付け、プロファイルを保存 を選択します。

転送には信頼できるネットワークを使用してください。Apple TV を貸別荘の Wi-Fi などの共有ネットワークで使う場合は、持って行く前に自宅でプロファイルをインポートしておきます。信頼できるネットワークが必要な理由は、インポートガイドで説明しています。

接続して確認する

Apple TV が自宅の外のネットワークにあるときに接続してください。ホームネットワーク内からテストしても、リモートアクセスが機能するかどうかはわからない場合があります。

WaveSocket は保存したプロファイルを選択し、接続画面を開きます。接続を選択します。初回は、Apple TV による VPN 構成の追加を許可してください。サーバー確認済み の表示と、最も古いピアハンドシェイクの経過時間 の横に最近の時刻が表示されていることを確認してから、自宅にある既知のサービスをそのアドレスで開きます。

エンドポイントが DDNS ホスト名の場合、WaveSocket は接続前にそのホスト名を解決し、接続中にも再確認します。DNS とサーバーアドレスを参照してください。

WaveSocket のすべての機能は接続ごとに 3 分間無料で利用できるので、時間制限がなくなる WaveSocket の無期限アクセスを選ぶ前に、この設定を試せます。

接続できない場合

トンネルが起動しない。 VPN → WireGuard → Settings で Enable がオンになっていることを確認します。
ハンドシェイクが成立しない。 ピアの公開鍵が Apple TV の秘密鍵と対になっていること、およびクライアントの PublicKey がトンネルの公開鍵であることを確認します。WAN ルールと、エンドポイントが現在の WAN アドレスに解決されることも確認してください。
フルトンネルでインターネットにつながらない。 Firewall → NAT → Outbound で、トンネルネットワーク（10.6.210.0/24）が WAN アドレスに変換されていることを確認します。名前解決に失敗する場合は、Services → DNS Resolver → Access Lists を確認してください。
アイドル時に切断される。 Apple TV とインターネットの間に別のファイアウォールがある場合は、[Peer] セクションに PersistentKeepalive = 25 を追加します。保存済みのプロファイルの場合は、切断してから プロファイルを編集 で PersistentKeepalive を設定します。

この手順は、2026 年 10 月 16 日時点で確認した Netgate の公開ドキュメントに基づくもので、WaveSocket が pfSense ソフトウェアで独自にテストした結果ではありません。メニューのラベルはバージョンによって変わることがあります。変わった場合は、最新のドキュメントに従ってください。pfSense® は Electric Sheep Fencing LLC（「ESF」）が所有する登録商標であり、ESF の事前の明示的な書面による許可なく使用することはできません。Netgate® は Rubicon Communications LLC が所有する登録商標であり、Rubicon Communications LLC の事前の明示的な書面による許可なく使用することはできません。WaveSocket は独立したアプリです。本サイトも本アプリも、ESF および Rubicon Communications LLC のいずれとも提携しておらず、いずれによる承認も受けていません。