Połącz Apple TV z zaporą sieciową OPNsense

Kiedy ta konfiguracja się sprawdza

Użyj tej konfiguracji, gdy Apple TV jest poza domem, na przykład w kwaterze wakacyjnej, i ma się łączyć z domem przez zaporę sieciową z systemem OPNsense®. OPNsense nazywa taką konfigurację Road Warrior.

Ten przewodnik nie opisuje kierowania ruchu Apple TV w domu przez klienta VPN na zaporze. Taka konfiguracja nie wymaga WaveSocket.

Potrzebujesz:

• Apple TV z aplikacją WaveSocket, która łączy się przy użyciu konfiguracji WireGuard i nie zawiera usługi VPN
• dostępu administratora oraz adresu WAN osiągalnego dla Apple TV
• OPNsense 24.1.6 lub nowszego: WireGuard jest wbudowany od wersji 24.1, a generator peerów ma pole DNS od wersji 24.1.6
• telefonu lub komputera w tej samej sieci co Apple TV do transferu

Wymienione niżej przycisk Save i opcja Store private key on this firewall wymagają OPNsense 26.7.3 lub nowszego. W starszych wersjach użyj przycisku z ikoną ptaszka obok Store and generate next; klucz prywatny nie jest wtedy nigdy zapisywany.

Skonfiguruj serwer WireGuard

Te kroki są zgodne z przewodnikiem OPNsense po konfiguracji WireGuard Road Warrior.

1. W VPN → WireGuard → Instances dodaj instancję. Wygeneruj jej klucze za pomocą ikony koła zębatego, ustaw port nasłuchiwania, np. 51820, i adres tunelu, np. 10.10.10.1/24, a następnie zapisz instancję.
2. Włącz opcję Enable WireGuard, widoczną pod listami Instances i Peers, a następnie wybierz Apply.
3. W Firewall → Rules → WAN dodaj regułę Pass dla ruchu UDP kierowanego na adres WAN i port nasłuchiwania.
4. W Interfaces → Assignments przypisz urządzenie WireGuard (np. wg1). Otwórz nowy interfejs, włącz go, zapisz i wybierz Apply changes. Następnie uruchom ponownie WireGuard: wyłącz i ponownie włącz Enable WireGuard, za każdym razem wybierając Apply.
5. Dodaj na tym interfejsie regułę zapory, która pozwala Apple TV docierać do wybranych przez Ciebie sieci lub urządzeń. Przewodnik OPNsense wyjaśnia, kiedy potrzebne są wychodzący Source NAT oraz ponowne wczytanie Unbound DNS.

Jeśli adres WAN się zmienia, zainstaluj wtyczkę os-ddclient z System → Firmware → Plugins i skonfiguruj ją w Services → Dynamic DNS.

Utwórz klienta dla Apple TV

1. Otwórz VPN → WireGuard → Peer generator i wybierz swoją instancję.
2. Wpisz Endpoint: swój publiczny adres lub nazwę DNS z portem, np. vpn.example.com:51820.
3. Nadaj peerowi nazwę, np. Apple TV, i sprawdź proponowaną wartość Address. Allowed IPs proponuje cały ruch (0.0.0.0/0,::/0), chyba że instancja przechowuje własną wartość (w wersji 26.7.3 lub nowszej). Aby mieć dostęp tylko do sieci domowej, wpisz sieć tunelu i sieć domową, np. 10.10.10.0/24, 192.168.1.0/24. Każdy ustawiony serwer DNS musi należeć do tych sieci.
4. Aby używać OPNsense do rozpoznawania nazw, ustaw w DNS Servers adres tunelu, np. 10.10.10.1. Podczas połączenia WaveSocket używa tego adresu jako DNS tunelu, dlatego Unbound na OPNsense musi odpowiadać na zapytania z sieci tunelu.
5. Skopiuj cały tekst z pola Config. Następnie wybierz Save, a potem Apply.

Skopiuj tekst przed zapisaniem. Jeśli nie włączysz Store private key on this firewall, OPNsense zachowa tylko klucz publiczny i nie będzie mógł później odtworzyć konfiguracji. Jeśli ją utracisz, wygeneruj nowego peera.

Zaimportuj na Apple TV

1. Na Apple TV otwórz WaveSocket i wybierz Profile → Dodaj profil VPN → Prześlij z przeglądarki, a następnie wybierz Rozpocznij sesję przesyłania. Jeśli VPN jest połączony, najpierw się rozłącz.
2. Na telefonie lub komputerze w tej samej sieci co Apple TV zeskanuj kod QR wyświetlony na telewizorze albo otwórz podany tam adres. W polu Kod 4-cyfrowy wpisz kod widoczny na telewizorze.
3. W sekcji Metoda importu wybierz Wklej tekst konfiguracji, wklej całą konfigurację i wybierz Wyślij do Apple TV.
4. Przejrzyj profil na Apple TV. Wybierz Zmień nazwę, aby nadać mu czytelną nazwę, np. Domowy VPN, a następnie wybierz Zachowaj profil.

Do transferu używaj zaufanej sieci. Jeśli Apple TV ma korzystać z sieci współdzielonej, np. Wi-Fi w kwaterze wakacyjnej, zaimportuj profil w domu, zanim zabierzesz tam Apple TV. Przewodnik importowania wyjaśnia, dlaczego sieć musi być zaufana.

Połącz się i sprawdź

Połącz się, gdy Apple TV jest w sieci poza domem. Test z wnętrza sieci domowej może nie pokazać, czy dostęp zdalny działa.

WaveSocket wybiera zapisany profil i otwiera Połączenie. Wybierz Połącz. Za pierwszym razem zezwól Apple TV na dodanie konfiguracji VPN. Sprawdź, czy widać Serwer zweryfikowany i niedawny czas obok Wiek najstarszego handshake’u, a następnie otwórz znaną usługę domową pod jej adresem. W OPNsense ostatnie uzgadnianie połączenia z peerem widać w VPN → WireGuard → Status.

Jeśli punktem końcowym jest nazwa hosta DDNS, WaveSocket rozpoznaje ją przed połączeniem i ponownie sprawdza w trakcie połączenia; zobacz DNS i adresy serwerów.

Wszystkie funkcje WaveSocket są bezpłatne przez trzy minuty na połączenie, więc możesz wypróbować tę konfigurację, zanim wybierzesz dożywotni dostęp WaveSocket, który usuwa limit czasu.

Jeśli nie można się połączyć

• Brak uzgadniania połączenia. Sprawdź regułę WAN oraz to, czy punkt końcowy wskazuje na Twój bieżący adres publiczny.
• Niektóre aplikacje się nie ładują. Jeśli uzgadnianie połączenia działa, ale niektóre aplikacje się zawieszają lub ładują tylko częściowo, przejrzyj w przewodniku OPNsense ustawienia MTU i reguły Normalization (MSS clamping). W WaveSocket rozłącz się i dostosuj MTU w Edytuj profil. Jeśli konfiguracja nie zawiera wiersza MTU, WaveSocket używa wartości 1280.
• Za NAT klasy operatorskiej lub innym routerem. Każde z nich może blokować połączenia przychodzące. Poproś dostawcę internetu o publiczny adres IP albo przekieruj port na routerze znajdującym się między OPNsense a internetem. Dokumentacja OPNsense nie opisuje tego przypadku.

Informacje o trasach i nakładających się sieciach znajdziesz w przewodniku Trasy i sieć domowa.

Te kroki opierają się na opublikowanej dokumentacji OPNsense, sprawdzonej 16 października 2026 r., a nie na własnych testach WaveSocket z OPNsense. Etykiety menu mogą się zmieniać w kolejnych wersjach; w takim przypadku postępuj zgodnie z aktualną dokumentacją. OPNsense® jest zastrzeżonym znakiem towarowym swojego właściciela. WaveSocket to niezależna aplikacja, która nie jest powiązana z projektem OPNsense lub firmą Deciso B.V. ani przez nie popierana.