WireGuard-server op OPNsense voor Apple TV

Wanneer deze opstelling geschikt is

Gebruik deze opstelling als Apple TV niet thuis is, bijvoorbeeld in een vakantiewoning, en via een firewall met OPNsense® verbinding moet maken met uw thuisnetwerk. OPNsense noemt dit een Road Warrior-opstelling.

Deze handleiding behandelt niet hoe u het verkeer van Apple TV thuis via een VPN-client op de firewall stuurt. Voor die opstelling is WaveSocket niet nodig.

U heeft nodig:

een Apple TV met de WaveSocket-app, die verbinding maakt met WireGuard-configuraties en geen VPN-dienst bevat
beheerderstoegang en een WAN-adres dat Apple TV kan bereiken
OPNsense 24.1.6 of hoger: WireGuard is sinds 24.1 ingebouwd en de peergenerator heeft sinds 24.1.6 een DNS-veld
voor de overdracht een telefoon of computer op hetzelfde netwerk als Apple TV

De knop Save en de hieronder genoemde optie Store private key on this firewall vereisen OPNsense 26.7.3 of hoger. Gebruik in oudere versies de knop met het vinkje naast Store and generate next; de privésleutel wordt dan nooit opgeslagen.

Stel de WireGuard-server in

Deze stappen volgen de Road Warrior-handleiding voor WireGuard van OPNsense.

Voeg onder VPN → WireGuard → Instances een instantie toe. Genereer met het tandwiel de sleutels ervan, stel een luisterpoort (zoals 51820) en een tunneladres (zoals 10.10.10.1/24) in en sla de instantie daarna op.
Schakel Enable WireGuard in, dat onder de lijsten Instances en Peers staat, en selecteer Apply.
Voeg onder Firewall → Rules → WAN een Pass-regel toe voor UDP naar het WAN-adres op de luisterpoort.
Wijs onder Interfaces → Assignments het WireGuard-apparaat toe (zoals wg1). Open de nieuwe interface, schakel die in, sla op en selecteer Apply changes. Herstart daarna WireGuard: zet Enable WireGuard uit en weer aan en selecteer elke keer Apply.
Voeg op die interface een firewallregel toe waarmee Apple TV de netwerken of apparaten van uw keuze kan bereiken. De OPNsense-handleiding legt uit wanneer uitgaande Source NAT en het opnieuw laden van Unbound DNS nodig zijn.

Voor een veranderend WAN-adres installeert u de plug-in os-ddclient via System → Firmware → Plugins en stelt u die in onder Services → Dynamic DNS.

Maak de Apple TV-client aan

Open VPN → WireGuard → Peer generator en selecteer uw instantie.
Vul bij Endpoint uw openbare adres of DNS-naam met de poort in, zoals vpn.example.com:51820.
Geef de peer een naam, zoals Apple TV, en controleer het voorgestelde Address. Allowed IPs stelt al het verkeer voor (0.0.0.0/0,::/0), tenzij de instantie een eigen waarde opslaat (26.7.3 of hoger). Wilt u alleen uw thuisnetwerk bereiken, vul dan de tunnel- en thuisnetwerken in, zoals 10.10.10.0/24, 192.168.1.0/24. Elke DNS-server die u instelt, moet binnen deze netwerken liggen.
Wilt u OPNsense gebruiken voor het opzoeken van namen, stel DNS Servers dan in op het tunneladres, zoals 10.10.10.1. Terwijl er verbinding is, gebruikt WaveSocket dit adres als tunnel-DNS, dus Unbound op OPNsense moet vragen uit het tunnelnetwerk beantwoorden.
Kopieer de volledige tekst uit het veld Config. Selecteer daarna Save en vervolgens Apply.

Kopieer de tekst voordat u opslaat. Tenzij u Store private key on this firewall inschakelt, bewaart OPNsense alleen de openbare sleutel en kan het de configuratie later niet opnieuw opbouwen. Genereer een nieuwe peer als u de configuratie kwijtraakt.

Importeer op Apple TV

Open WaveSocket op Apple TV, kies Profielen → Voeg VPN-profiel toe → Upload vanuit browser en selecteer daarna Start uploadsessie. Als er een VPN verbonden is, verbreek dan eerst de verbinding.
Scan op een telefoon of computer op hetzelfde netwerk als Apple TV de QR-code op de tv of open het getoonde adres. Voer de code die op de tv staat in het veld Viercijferige code in.
Kies onder Importmethode voor Plak configuratietekst, plak de volledige configuratie en selecteer Verstuur naar Apple TV.
Controleer het profiel op Apple TV. Kies Hernoem om het een duidelijke naam te geven, zoals Thuis-VPN, en kies daarna Bewaar profiel.

Gebruik een vertrouwd netwerk voor de overdracht. Gebruikt Apple TV een gedeeld netwerk, zoals de wifi van een vakantiewoning, importeer het profiel dan thuis voordat u Apple TV daarheen meeneemt. De importhandleiding legt uit waarom het netwerk vertrouwd moet zijn.

Maak verbinding en controleer

Maak verbinding wanneer Apple TV op een netwerk buitenshuis zit. Een test vanuit uw thuisnetwerk laat mogelijk niet zien of externe toegang werkt.

WaveSocket selecteert het opgeslagen profiel en opent Verbinding. Kies Verbind. Sta de eerste keer toe dat Apple TV de VPN-configuratie toevoegt. Kijk of Server geverifieerd verschijnt en naast Leeftijd van oudste peer-handshake een recent tijdstip staat, en open daarna een bekende dienst thuis via het adres ervan. In OPNsense toont VPN → WireGuard → Status de laatste handshake van de peer.

Met een DDNS-hostnaam als eindpunt zet WaveSocket die hostnaam om voordat er verbinding wordt gemaakt en controleert hem opnieuw terwijl er verbinding is; zie DNS en serveradressen.

Elke functie van WaveSocket is drie minuten per verbinding gratis, zodat u de opstelling kunt uitproberen voordat u kiest voor de levenslange toegang van WaveSocket, waarmee de tijdslimiet vervalt.

Als er geen verbinding komt

Geen handshake. Controleer de WAN-regel en of het eindpunt naar uw huidige openbare adres verwijst.
Sommige apps laden niet. Werkt de handshake, maar blijven sommige apps hangen of laden ze maar gedeeltelijk, bekijk dan de MTU en de Normalization-regels (MSS clamping) in de OPNsense-handleiding. Verbreek in WaveSocket de verbinding en pas MTU aan in Bewerk profiel. Als de configuratie geen MTU-regel bevat, gebruikt WaveSocket 1280.
Achter carrier-grade NAT of een andere router. Beide kunnen inkomende verbindingen blokkeren. Vraag uw internetprovider om een openbaar IP-adres, of stuur de poort door op de router tussen OPNsense en internet. De OPNsense-documentatie behandelt deze situatie niet.

Zie routes en uw thuisnetwerk voor routes en overlappende netwerken.

Deze stappen zijn gebaseerd op de gepubliceerde documentatie van OPNsense zoals gecontroleerd op 16 oktober 2026, niet op eigen tests van WaveSocket met OPNsense. Menulabels kunnen per versie veranderen; volg in dat geval de actuele documentatie. OPNsense® is een geregistreerd handelsmerk van de eigenaar ervan. WaveSocket is een onafhankelijke app en is niet gelieerd aan of goedgekeurd door het OPNsense-project of Deciso B.V.