Połącz Apple TV z zaporą sieciową opartą na oprogramowaniu pfSense®

Kiedy ta konfiguracja się sprawdza

Użyj tej konfiguracji, gdy Apple TV jest poza domem, na przykład w kwaterze wakacyjnej, i ma się łączyć z powrotem z zaporą sieciową działającą pod kontrolą oprogramowania pfSense.

Ten przewodnik nie opisuje kierowania ruchu Apple TV w domu przez klienta VPN na zaporze. Taka konfiguracja nie wymaga WaveSocket.

Potrzebujesz:

• Apple TV z aplikacją WaveSocket, która łączy się przy użyciu konfiguracji WireGuard i nie zawiera usługi VPN
• dostępu administratora do zapory oraz adresu WAN osiągalnego dla Apple TV
• pakietu WireGuard; dokumentacja Netgate® zaleca, aby przed jego instalacją zaktualizować oprogramowanie do najnowszej wersji pfSense Plus lub pfSense CE
• telefonu lub komputera w tej samej sieci co Apple TV do transferu

W przykładzie Netgate samodzielnie piszesz konfigurację dla Apple TV na podstawie ustawień tunelu i peera, a następnie wklejasz ją do WaveSocket.

Skonfiguruj serwer WireGuard

Te kroki są zgodne z przykładem zdalnego dostępu WireGuard w dokumentacji Netgate.

1. Zainstaluj pakiet WireGuard z karty Available Packages w System → Packages.
2. W VPN → WireGuard → Tunnels dodaj tunel. Włącz go, ustaw port nasłuchiwania (w przykładzie 51820), wygeneruj klucze interfejsu, nadaj mu adres, np. 10.6.210.1/24, i wybierz Save Tunnel.
3. W Firewall → Rules na karcie WAN dodaj regułę Pass dla ruchu UDP kierowanego na adres WAN i port nasłuchiwania. Na karcie WireGuard dodaj regułę zezwalającą na ruch w tunelu. Zapisz każdą regułę i wybierz Apply Changes.

Jeśli Twój adres WAN się zmienia, skonfiguruj Services → Dynamic DNS i użyj tej nazwy hosta jako punktu końcowego.

Utwórz klienta dla Apple TV

1. Utwórz parę kluczy dla Apple TV, np. poleceniem wg genkey | tee /dev/stderr | wg pubkey w konsoli lub powłoce SSH na zaporze. Polecenie wyświetla najpierw klucz prywatny, a potem klucz publiczny, bez zapisywania plików. Przykład Netgate zaznacza, że kluczy nie można ponownie używać dla innych klientów.
2. W VPN → WireGuard → Peers dodaj peera dla tunelu. Włącz Dynamic Endpoint, wklej klucz publiczny Apple TV i w polu Allowed IPs ustaw adres Apple TV w tunelu, np. 10.6.210.2/32.
3. Zapisz peera i zastosuj zmiany.

Napisz konfigurację klienta

Zastąp symbole zastępcze własnymi wartościami:

• APPLE_TV_PRIVATE_KEY: klucz prywatny Apple TV utworzony w poprzedniej sekcji
• FIREWALL_TUNNEL_PUBLIC_KEY: klucz publiczny tunelu widoczny w VPN → WireGuard → Tunnels
• vpn.example.com: Twój adres WAN lub nazwa hosta DDNS
• 10.6.0.0/24: Twoja sieć domowa

Address używa tego samego adresu IP co Allowed IPs peera (10.6.210.2), ale z maską tunelu (/24), jak w poniższym przykładzie.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Ten przykład kieruje przez VPN tylko ruch do tunelu i jednej sieci domowej. Aby kierować cały ruch IPv4, ustaw AllowedIPs = 0.0.0.0/0 i dodaj DNS = 10.6.210.1 do sekcji [Interface]. IPv6 wymaga własnego adresu w tunelu i ::/0; zobacz przewodnik Trasy i sieć domowa.

Zaimportuj na Apple TV

1. Na Apple TV otwórz WaveSocket i wybierz Profile → Dodaj profil VPN → Prześlij z przeglądarki, a następnie wybierz Rozpocznij sesję przesyłania. Jeśli VPN jest połączony, najpierw się rozłącz.
2. Na telefonie lub komputerze w tej samej sieci co Apple TV zeskanuj kod QR wyświetlony na telewizorze albo otwórz podany tam adres. W polu Kod 4-cyfrowy wpisz kod widoczny na telewizorze.
3. W sekcji Metoda importu wybierz Wklej tekst konfiguracji, wklej całą konfigurację i wybierz Wyślij do Apple TV.
4. Przejrzyj profil na Apple TV. Wybierz Zmień nazwę, aby nadać mu czytelną nazwę, np. Domowy VPN, a następnie wybierz Zachowaj profil.

Do transferu używaj zaufanej sieci. Jeśli Apple TV ma korzystać z sieci współdzielonej, np. Wi-Fi w kwaterze wakacyjnej, zaimportuj profil w domu, zanim zabierzesz tam Apple TV. Przewodnik importowania wyjaśnia, dlaczego sieć musi być zaufana.

Połącz się i sprawdź

Połącz się, gdy Apple TV jest w sieci poza domem. Test z wnętrza sieci domowej może nie pokazać, czy dostęp zdalny działa.

WaveSocket wybiera zapisany profil i otwiera Połączenie. Wybierz Połącz. Za pierwszym razem zezwól Apple TV na dodanie konfiguracji VPN. Sprawdź, czy widać Serwer zweryfikowany i niedawny czas obok Wiek najstarszego handshake’u, a następnie otwórz znaną usługę domową pod jej adresem.

Jeśli punktem końcowym jest nazwa hosta DDNS, WaveSocket rozpoznaje ją przed połączeniem i ponownie sprawdza w trakcie połączenia; zobacz DNS i adresy serwerów.

Wszystkie funkcje WaveSocket są bezpłatne przez trzy minuty na połączenie, więc możesz wypróbować tę konfigurację, zanim wybierzesz dożywotni dostęp WaveSocket, który usuwa limit czasu.

Jeśli nie można się połączyć

• Brak tunelu. Sprawdź, czy opcja Enable jest włączona w VPN → WireGuard → Settings.
• Brak uzgadniania połączenia. Sprawdź, czy klucz publiczny peera odpowiada kluczowi prywatnemu Apple TV i czy PublicKey w konfiguracji klienta jest kluczem publicznym tunelu. Sprawdź też regułę WAN oraz to, czy punkt końcowy jest rozpoznawany jako Twój bieżący adres WAN.
• Brak internetu przy pełnym tunelu. Sprawdź, czy w Firewall → NAT → Outbound sieć tunelu (10.6.210.0/24) jest tłumaczona na adres WAN. Jeśli rozpoznawanie nazw nie działa, sprawdź Services → DNS Resolver → Access Lists.
• Rozłączanie przy bezczynności. Jeśli między Apple TV a internetem znajduje się inna zapora, dodaj PersistentKeepalive = 25 do sekcji [Peer]. W przypadku zapisanego profilu rozłącz się i ustaw PersistentKeepalive w Edytuj profil.

Te kroki opierają się na opublikowanej dokumentacji Netgate, sprawdzonej 16 października 2026 r., a nie na własnych testach WaveSocket z oprogramowaniem pfSense. Etykiety menu mogą się zmieniać w kolejnych wersjach; w takim przypadku postępuj zgodnie z aktualną dokumentacją. pfSense® jest zastrzeżonym znakiem należącym do Electric Sheep Fencing LLC („ESF”) i nie może być używany bez uprzedniej wyraźnej pisemnej zgody ESF. Netgate® jest zastrzeżonym znakiem należącym do Rubicon Communications LLC i nie może być używany bez uprzedniej wyraźnej pisemnej zgody Rubicon Communications LLC. WaveSocket to niezależna aplikacja. Ani ta witryna, ani aplikacja nie są powiązane z ESF lub Rubicon Communications LLC ani przez nie popierane.