WireGuard op pfSense-software voor Apple TV

Wanneer deze opstelling geschikt is

Gebruik deze opstelling als Apple TV niet thuis is, bijvoorbeeld in een vakantiewoning, en verbinding moet maken met een firewall thuis die pfSense-software gebruikt.

Deze handleiding behandelt niet hoe u het verkeer van Apple TV thuis via een VPN-client op de firewall stuurt. Voor die opstelling is WaveSocket niet nodig.

U heeft nodig:

een Apple TV met de WaveSocket-app, die verbinding maakt met WireGuard-configuraties en geen VPN-dienst bevat
beheerderstoegang tot de firewall en een WAN-adres dat Apple TV kan bereiken
het WireGuard-pakket; de Netgate®-documentatie raadt aan om vóór de installatie te upgraden naar de nieuwste pfSense Plus- of pfSense CE-software
voor de overdracht een telefoon of computer op hetzelfde netwerk als Apple TV

In het voorbeeld van Netgate schrijft u de configuratie voor Apple TV zelf op basis van de tunnel- en peerinstellingen en plakt u die daarna in WaveSocket.

Stel de WireGuard-server in

Deze stappen volgen het voorbeeld voor externe toegang met WireGuard in de documentatie van Netgate.

Installeer het WireGuard-pakket via het tabblad Available Packages onder System → Packages.
Voeg onder VPN → WireGuard → Tunnels een tunnel toe. Schakel de tunnel in, stel de luisterpoort in (51820 in het voorbeeld), genereer de interfacesleutels, geef de tunnel een adres zoals 10.6.210.1/24 en selecteer Save Tunnel.
Voeg onder Firewall → Rules op het tabblad WAN een Pass-regel toe voor UDP naar het WAN-adres op de luisterpoort. Voeg op het tabblad WireGuard een regel toe die het tunnelverkeer toestaat. Sla elke regel op en selecteer Apply Changes.

Als uw WAN-adres verandert, stel dan Services → Dynamic DNS in en gebruik die hostnaam als eindpunt.

Maak de Apple TV-client aan

Maak een sleutelpaar voor Apple TV, bijvoorbeeld met wg genkey | tee /dev/stderr | wg pubkey in een console of SSH-shell op de firewall. Dit toont de privésleutel en daarna de openbare sleutel, zonder bestanden op te slaan. Het voorbeeld van Netgate merkt op dat sleutels niet tussen clients kunnen worden hergebruikt.
Voeg onder VPN → WireGuard → Peers een peer voor de tunnel toe. Schakel Dynamic Endpoint in, plak de openbare sleutel van Apple TV en stel Allowed IPs in op het tunneladres van Apple TV, zoals 10.6.210.2/32.
Sla de peer op en pas de wijzigingen toe.

Schrijf de clientconfiguratie

Vervang de tijdelijke aanduidingen door uw eigen waarden:

APPLE_TV_PRIVATE_KEY: de privésleutel van Apple TV die u in de vorige sectie hebt gemaakt
FIREWALL_TUNNEL_PUBLIC_KEY: de openbare sleutel van de tunnel onder VPN → WireGuard → Tunnels
vpn.example.com: uw WAN-adres of DDNS-hostnaam
10.6.0.0/24: uw thuisnetwerk

Address gebruikt hetzelfde IP-adres als Allowed IPs van de peer (10.6.210.2), maar met het masker van de tunnel (/24), zoals in het voorbeeld hieronder.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Dit voorbeeld leidt alleen de tunnel en één thuisnetwerk via de VPN. Wilt u al het IPv4-verkeer via de VPN sturen, stel dan AllowedIPs = 0.0.0.0/0 in en voeg DNS = 10.6.210.1 toe aan de sectie [Interface]. IPv6 heeft een eigen tunneladres en ::/0 nodig; zie routes en uw thuisnetwerk.

Importeer op Apple TV

Open WaveSocket op Apple TV, kies Profielen → Voeg VPN-profiel toe → Upload vanuit browser en selecteer daarna Start uploadsessie. Als er een VPN verbonden is, verbreek dan eerst de verbinding.
Scan op een telefoon of computer op hetzelfde netwerk als Apple TV de QR-code op de tv of open het getoonde adres. Voer de code die op de tv staat in het veld Viercijferige code in.
Kies onder Importmethode voor Plak configuratietekst, plak de volledige configuratie en selecteer Verstuur naar Apple TV.
Controleer het profiel op Apple TV. Kies Hernoem om het een duidelijke naam te geven, zoals Thuis-VPN, en kies daarna Bewaar profiel.

Gebruik een vertrouwd netwerk voor de overdracht. Gebruikt Apple TV een gedeeld netwerk, zoals de wifi van een vakantiewoning, importeer het profiel dan thuis voordat u Apple TV daarheen meeneemt. De importhandleiding legt uit waarom het netwerk vertrouwd moet zijn.

Maak verbinding en controleer

Maak verbinding wanneer Apple TV op een netwerk buitenshuis zit. Een test vanuit uw thuisnetwerk laat mogelijk niet zien of externe toegang werkt.

WaveSocket selecteert het opgeslagen profiel en opent Verbinding. Kies Verbind. Sta de eerste keer toe dat Apple TV de VPN-configuratie toevoegt. Kijk of Server geverifieerd verschijnt en naast Leeftijd van oudste peer-handshake een recent tijdstip staat, en open daarna een bekende dienst thuis via het adres ervan.

Met een DDNS-hostnaam als eindpunt zet WaveSocket die hostnaam om voordat er verbinding wordt gemaakt en controleert hem opnieuw terwijl er verbinding is; zie DNS en serveradressen.

Elke functie van WaveSocket is drie minuten per verbinding gratis, zodat u de opstelling kunt uitproberen voordat u kiest voor de levenslange toegang van WaveSocket, waarmee de tijdslimiet vervalt.

Als er geen verbinding komt

Geen tunnel. Controleer of Enable is ingeschakeld onder VPN → WireGuard → Settings.
Geen handshake. Controleer of de openbare sleutel van de peer bij de privésleutel van Apple TV hoort en of de PublicKey van de client de openbare sleutel van de tunnel is. Controleer de WAN-regel en of het eindpunt wordt omgezet naar uw huidige WAN-adres.
Geen internet met een volledige tunnel. Controleer of Firewall → NAT → Outbound het tunnelnetwerk (10.6.210.0/24) naar het WAN-adres vertaalt. Als het opzoeken van namen mislukt, controleer dan Services → DNS Resolver → Access Lists.
Verbinding valt weg bij inactiviteit. Zit er een andere firewall tussen Apple TV en internet, voeg dan PersistentKeepalive = 25 toe aan de sectie [Peer]. Bij een opgeslagen profiel verbreekt u de verbinding en stelt u PersistentKeepalive in via Bewerk profiel.

Deze stappen zijn gebaseerd op de gepubliceerde documentatie van Netgate zoals gecontroleerd op 16 oktober 2026, niet op eigen tests van WaveSocket met pfSense-software. Menulabels kunnen per versie veranderen; volg in dat geval de actuele documentatie. pfSense® is een geregistreerd merk dat eigendom is van Electric Sheep Fencing LLC (“ESF”) en mag niet worden gebruikt zonder voorafgaande uitdrukkelijke schriftelijke toestemming van ESF. Netgate® is een geregistreerd merk dat eigendom is van Rubicon Communications LLC en mag niet worden gebruikt zonder voorafgaande uitdrukkelijke schriftelijke toestemming van Rubicon Communications LLC. WaveSocket is een onafhankelijke app. Noch deze site, noch de app is gelieerd aan of goedgekeurd door ESF of Rubicon Communications LLC.