Conecte o Apple TV a um firewall OPNsense

Quando usar esta configuração

Use esta configuração quando o Apple TV estiver longe de casa, por exemplo em um imóvel de temporada, e precisar se conectar de volta por um firewall que executa o OPNsense®. O OPNsense chama isso de configuração Road Warrior.

Este guia não trata de enviar o tráfego do Apple TV, em casa, por um cliente VPN no firewall. Esse tipo de configuração não precisa do WaveSocket.

Você precisa de:

• um Apple TV com o aplicativo WaveSocket, que se conecta usando configurações WireGuard e não inclui um serviço VPN
• acesso de administrador e um endereço WAN que o Apple TV consiga alcançar
• OPNsense 24.1.6 ou posterior: o WireGuard vem integrado desde a versão 24.1, e o gerador de peers tem um campo DNS desde a 24.1.6
• um telefone ou computador na mesma rede do Apple TV para a transferência

O botão Save e a opção Store private key on this firewall, citados abaixo, exigem o OPNsense 26.7.3 ou posterior. Em versões anteriores, use o botão com a marca de seleção ao lado de Store and generate next; nesse caso, a chave privada nunca é armazenada.

Configure o servidor WireGuard

Estas etapas seguem o guia Road Warrior com WireGuard do OPNsense.

1. Em VPN → WireGuard → Instances, adicione uma instância. Use o ícone de engrenagem para gerar as chaves dela, defina uma porta de escuta, como 51820, e um endereço de túnel, como 10.10.10.1/24, e depois salve a instância.
2. Ative Enable WireGuard, que aparece abaixo das listas Instances e Peers, e selecione Apply.
3. Em Firewall → Rules → WAN, adicione uma regra Pass para UDP com destino ao endereço WAN na porta de escuta.
4. Em Interfaces → Assignments, atribua o dispositivo WireGuard (como wg1). Abra a nova interface, ative-a, salve e selecione Apply changes. Depois, reinicie o WireGuard: desative e reative Enable WireGuard, selecionando Apply a cada vez.
5. Adicione nessa interface uma regra de firewall que permita ao Apple TV acessar as redes ou os dispositivos que você escolher. O guia do OPNsense explica quando são necessários o Source NAT de saída e o recarregamento do DNS do Unbound.

Se o seu endereço WAN mudar, instale o plugin os-ddclient em System → Firmware → Plugins e configure-o em Services → Dynamic DNS.

Crie o cliente do Apple TV

1. Abra VPN → WireGuard → Peer generator e selecione sua instância.
2. Preencha Endpoint: seu endereço público ou nome DNS com a porta, como vpn.example.com:51820.
3. Dê ao peer um nome como Apple TV e confira o Address proposto. Allowed IPs propõe todo o tráfego (0.0.0.0/0,::/0), a menos que a instância armazene um valor próprio (26.7.3 ou posterior). Para acessar apenas sua rede doméstica, informe a rede do túnel e a rede doméstica, como 10.10.10.0/24, 192.168.1.0/24. Qualquer servidor DNS que você definir precisa estar dentro dessas redes.
4. Para usar o OPNsense na resolução de nomes, defina DNS Servers como o endereço do túnel, por exemplo 10.10.10.1. Durante a conexão, o WaveSocket usa esse endereço como DNS do túnel, então o Unbound no OPNsense precisa responder às consultas vindas da rede do túnel.
5. Copie o texto completo do campo Config. Depois, selecione Save e, em seguida, Apply.

Copie o texto antes de salvar. A menos que você ative Store private key on this firewall, o OPNsense guarda apenas a chave pública e não consegue reconstruir a configuração depois. Se perder a configuração, gere um novo peer.

Importe no Apple TV

1. No Apple TV, abra o WaveSocket, escolha Perfis → Adicionar perfil VPN → Enviar pelo navegador e selecione Iniciar sessão de envio. Se houver uma VPN conectada, desconecte-a primeiro.
2. Em um telefone ou computador na mesma rede do Apple TV, escaneie o código QR exibido na TV ou abra o endereço mostrado. Digite o código exibido na TV no campo Código de 4 dígitos.
3. Em Método de importação, escolha Colar texto de configuração, cole a configuração completa e selecione Enviar ao Apple TV.
4. Revise o perfil no Apple TV. Escolha Renomear para dar a ele um nome claro, como VPN Casa, e depois escolha Salvar perfil.

Use uma rede confiável para a transferência. Se o Apple TV for usado em uma rede compartilhada, como o Wi-Fi de um imóvel de temporada, importe o perfil em casa antes de levar o Apple TV para lá. O guia de importação explica por que a rede precisa ser confiável.

Conecte-se e verifique

Conecte-se quando o Apple TV estiver em uma rede fora da sua casa. Um teste feito de dentro da sua rede doméstica pode não mostrar se o acesso remoto funciona.

O WaveSocket seleciona o perfil salvo e abre Conexão. Escolha Conectar. Na primeira vez, permita que o Apple TV adicione a configuração VPN. Procure Servidor verificado e um tempo recente ao lado de Idade do handshake mais antigo e, depois, abra um serviço doméstico conhecido pelo endereço dele. No OPNsense, VPN → WireGuard → Status mostra o último handshake do peer.

Quando o endpoint é um nome de host DDNS, o WaveSocket o resolve antes de conectar e volta a verificá-lo durante a conexão; consulte DNS e endereços de servidor.

Todos os recursos do WaveSocket são grátis por três minutos a cada conexão, então você pode experimentar a configuração antes de escolher o acesso vitalício do WaveSocket, que remove o limite de tempo.

Se não conectar

• Sem handshake. Verifique a regra WAN e se o endpoint aponta para o seu endereço público atual.
• Alguns aplicativos não carregam. Se o handshake funciona, mas alguns aplicativos travam ou carregam só em parte, revise o MTU e as regras de Normalization (MSS clamping) no guia do OPNsense. No WaveSocket, desconecte e ajuste MTU em Editar perfil. Se a configuração não tiver uma linha de MTU, o WaveSocket usa 1280.
• Atrás de NAT de nível de operadora ou de outro roteador. Qualquer um dos dois pode bloquear conexões de entrada. Peça um endereço IP público ao seu provedor de Internet ou encaminhe a porta no roteador que fica entre o OPNsense e a Internet. A documentação do OPNsense não aborda esse caso.

Sobre rotas e redes sobrepostas, consulte rotas e sua rede doméstica.

Estas etapas se baseiam na documentação publicada pelo OPNsense, conferida em 16 de outubro de 2026, e não em testes do próprio WaveSocket com o OPNsense. Os rótulos dos menus podem mudar entre versões; se isso acontecer, siga a documentação atual. OPNsense® é uma marca registrada do respectivo proprietário. O WaveSocket é um aplicativo independente e não é afiliado ou endossado pelo projeto OPNsense ou pela Deciso B.V.