WireGuard no software pfSense para Apple TV

Quando usar esta configuração

Use esta configuração quando o Apple TV estiver longe de casa, por exemplo em um imóvel de temporada, e precisar se conectar de volta a um firewall que executa o software pfSense.

Este guia não trata de enviar o tráfego do Apple TV, em casa, por um cliente VPN no firewall. Esse tipo de configuração não precisa do WaveSocket.

Você precisa de:

um Apple TV com o aplicativo WaveSocket, que se conecta usando configurações WireGuard e não inclui um serviço VPN
acesso de administrador ao firewall e um endereço WAN que o Apple TV consiga alcançar
o pacote WireGuard; a documentação da Netgate® recomenda atualizar para a versão mais recente do software pfSense Plus ou pfSense CE antes de instalá-lo
um telefone ou computador na mesma rede do Apple TV para a transferência

No exemplo da Netgate, você mesmo escreve a configuração do Apple TV a partir dos parâmetros do túnel e do peer e depois a cola no WaveSocket.

Configure o servidor WireGuard

Estas etapas seguem o exemplo de acesso remoto com WireGuard da documentação da Netgate.

Instale o pacote WireGuard pela aba Available Packages em System → Packages.
Em VPN → WireGuard → Tunnels, adicione um túnel. Ative-o, defina a porta de escuta (51820 no exemplo), gere as chaves da interface, atribua a ele um endereço como 10.6.210.1/24 e selecione Save Tunnel.
Em Firewall → Rules, na aba WAN, adicione uma regra Pass para UDP com destino ao endereço WAN na porta de escuta. Na aba WireGuard, adicione uma regra que permita o tráfego do túnel. Salve cada regra e selecione Apply Changes.

Se o seu endereço WAN mudar, configure Services → Dynamic DNS e use esse nome de host como endpoint.

Crie o cliente do Apple TV

Crie um par de chaves para o Apple TV, por exemplo com wg genkey | tee /dev/stderr | wg pubkey em um console ou shell SSH no firewall. O comando exibe a chave privada e depois a chave pública, sem salvar arquivos. O exemplo da Netgate observa que as chaves não podem ser reutilizadas entre clientes.
Em VPN → WireGuard → Peers, adicione um peer para o túnel. Ative Dynamic Endpoint, cole a chave pública do Apple TV e defina Allowed IPs como o endereço de túnel dele, por exemplo 10.6.210.2/32.
Salve o peer e aplique as alterações.

Escreva a configuração do cliente

Substitua os marcadores pelos seus próprios valores:

APPLE_TV_PRIVATE_KEY: a chave privada do Apple TV que você criou na seção anterior
FIREWALL_TUNNEL_PUBLIC_KEY: a chave pública do túnel, em VPN → WireGuard → Tunnels
vpn.example.com: seu endereço WAN ou nome de host DDNS
10.6.0.0/24: sua rede doméstica

Address usa o mesmo endereço IP definido em Allowed IPs do peer (10.6.210.2), mas com a máscara do túnel (/24), como no exemplo abaixo.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Este exemplo envia pela VPN apenas o tráfego para o túnel e para uma rede doméstica. Para enviar todo o tráfego IPv4, defina AllowedIPs = 0.0.0.0/0 e adicione DNS = 10.6.210.1 à seção [Interface]. O IPv6 precisa de um endereço de túnel próprio e de ::/0; consulte rotas e sua rede doméstica.

Importe no Apple TV

No Apple TV, abra o WaveSocket, escolha Perfis → Adicionar perfil VPN → Enviar pelo navegador e selecione Iniciar sessão de envio. Se houver uma VPN conectada, desconecte-a primeiro.
Em um telefone ou computador na mesma rede do Apple TV, escaneie o código QR exibido na TV ou abra o endereço mostrado. Digite o código exibido na TV no campo Código de 4 dígitos.
Em Método de importação, escolha Colar texto de configuração, cole a configuração completa e selecione Enviar ao Apple TV.
Revise o perfil no Apple TV. Escolha Renomear para dar a ele um nome claro, como VPN Casa, e depois escolha Salvar perfil.

Use uma rede confiável para a transferência. Se o Apple TV for usado em uma rede compartilhada, como o Wi-Fi de um imóvel de temporada, importe o perfil em casa antes de levar o Apple TV para lá. O guia de importação explica por que a rede precisa ser confiável.

Conecte-se e verifique

Conecte-se quando o Apple TV estiver em uma rede fora da sua casa. Um teste feito de dentro da sua rede doméstica pode não mostrar se o acesso remoto funciona.

O WaveSocket seleciona o perfil salvo e abre Conexão. Escolha Conectar. Na primeira vez, permita que o Apple TV adicione a configuração VPN. Procure Servidor verificado e um tempo recente ao lado de Idade do handshake mais antigo e, depois, abra um serviço doméstico conhecido pelo endereço dele.

Quando o endpoint é um nome de host DDNS, o WaveSocket o resolve antes de conectar e volta a verificá-lo durante a conexão; consulte DNS e endereços de servidor.

Todos os recursos do WaveSocket são grátis por três minutos a cada conexão, então você pode experimentar a configuração antes de escolher o acesso vitalício do WaveSocket, que remove o limite de tempo.

Se não conectar

Sem túnel. Verifique se Enable está ativado em VPN → WireGuard → Settings.
Sem handshake. Verifique se a chave pública do peer corresponde à chave privada do Apple TV e se o PublicKey do cliente é a chave pública do túnel. Confirme a regra WAN e se o endpoint resolve para o seu endereço WAN atual.
Sem Internet com túnel completo. Verifique se Firewall → NAT → Outbound traduz a rede do túnel (10.6.210.0/24) para o endereço WAN. Se a resolução de nomes falhar, verifique Services → DNS Resolver → Access Lists.
A conexão cai quando fica ociosa. Se houver outro firewall entre o Apple TV e a Internet, adicione PersistentKeepalive = 25 à seção [Peer]. Para um perfil já salvo, desconecte e defina PersistentKeepalive em Editar perfil.

Estas etapas se baseiam na documentação publicada pela Netgate, conferida em 16 de outubro de 2026, e não em testes do próprio WaveSocket com o software pfSense. Os rótulos dos menus podem mudar entre versões; se isso acontecer, siga a documentação atual. pfSense® é uma marca registrada de propriedade da Electric Sheep Fencing LLC (“ESF”) e não pode ser usada sem a permissão prévia, expressa e por escrito da ESF. Netgate® é uma marca registrada de propriedade da Rubicon Communications LLC e não pode ser usada sem a permissão prévia, expressa e por escrito da Rubicon Communications LLC. O WaveSocket é um aplicativo independente. Nem este site nem o aplicativo são afiliados ou endossados pela ESF ou pela Rubicon Communications LLC.