Ligue a Apple TV a uma firewall OPNsense

Quando utilizar esta configuração

Utilize esta configuração quando a Apple TV estiver fora de casa, por exemplo num alojamento de férias, e precisar de se ligar a casa através de uma firewall com OPNsense®. O OPNsense chama a esta configuração Road Warrior.

Este guia não aborda o envio do tráfego da Apple TV, em casa, através de um cliente VPN na firewall. Essa configuração não precisa do WaveSocket.

Necessita de:

• uma Apple TV com a aplicação WaveSocket, que se liga com configurações WireGuard e não inclui um serviço VPN
• acesso de administrador e um endereço WAN que a Apple TV consiga alcançar
• OPNsense 24.1.6 ou posterior: o WireGuard está integrado desde a versão 24.1 e o gerador de peers tem um campo DNS desde a 24.1.6
• para a transferência, um telemóvel ou computador na mesma rede que a Apple TV

O botão Save e a opção Store private key on this firewall referidos abaixo requerem o OPNsense 26.7.3 ou posterior. Em versões anteriores, use o botão com o visto ao lado de Store and generate next; nesse caso, a chave privada nunca é guardada.

Configure o servidor WireGuard

Estes passos seguem o guia Road Warrior com WireGuard do OPNsense.

1. Em VPN → WireGuard → Instances, adicione uma instância. Use a roda dentada para gerar as respetivas chaves, defina uma porta de escuta como 51820 e um endereço de túnel como 10.10.10.1/24 e, depois, guarde a instância.
2. Ative Enable WireGuard, que aparece abaixo das listas Instances e Peers, e selecione Apply.
3. Em Firewall → Rules → WAN, adicione uma regra Pass para UDP com destino ao endereço WAN, na porta de escuta.
4. Em Interfaces → Assignments, atribua o dispositivo WireGuard (como wg1). Abra a nova interface, ative-a, guarde e selecione Apply changes. Depois, reinicie o WireGuard: desative e volte a ativar Enable WireGuard, selecionando Apply de cada vez.
5. Adicione nessa interface uma regra de firewall que permita à Apple TV alcançar as redes ou os dispositivos que escolher. O guia do OPNsense explica quando são necessários um Source NAT de saída e um recarregamento do DNS Unbound.

Se o seu endereço WAN mudar, instale o plugin os-ddclient a partir de System → Firmware → Plugins e configure-o em Services → Dynamic DNS.

Crie o cliente para a Apple TV

1. Abra VPN → WireGuard → Peer generator e selecione a sua instância.
2. Introduza o Endpoint: o seu endereço público ou nome DNS com a porta, como vpn.example.com:51820.
3. Dê ao peer um nome como Apple TV e verifique o Address proposto. Allowed IPs propõe todo o tráfego (0.0.0.0/0,::/0), a menos que a instância guarde o seu próprio valor (26.7.3 ou posterior). Para aceder apenas à sua rede doméstica, introduza a rede do túnel e a rede doméstica, como 10.10.10.0/24, 192.168.1.0/24. Qualquer servidor DNS que definir tem de estar dentro destas redes.
4. Para usar o OPNsense na resolução de nomes, defina em DNS Servers o endereço do túnel, como 10.10.10.1. Durante a ligação, o WaveSocket usa este endereço como DNS do túnel, pelo que o Unbound no OPNsense tem de responder a consultas vindas da rede do túnel.
5. Copie o texto completo do campo Config. Depois, selecione Save e, a seguir, Apply.

Copie o texto antes de guardar. A menos que ative Store private key on this firewall, o OPNsense guarda apenas a chave pública e não consegue reconstruir a configuração mais tarde. Se a perder, gere um novo peer.

Importe na Apple TV

1. Na Apple TV, abra o WaveSocket, escolha Perfis → Adicionar perfil VPN → Enviar pelo navegador e selecione Iniciar sessão de envio. Se houver uma VPN ligada, desligue-a primeiro.
2. Num telemóvel ou computador na mesma rede que a Apple TV, leia o código QR apresentado na TV ou abra o endereço indicado. Introduza o código apresentado na TV no campo Código de 4 dígitos.
3. Em Método de importação, escolha Colar texto de configuração, cole a configuração completa e selecione Enviar para a Apple TV.
4. Reveja o perfil na Apple TV. Escolha Alterar nome para lhe dar um nome claro, como VPN Casa, e depois escolha Guardar perfil.

Utilize uma rede de confiança para a transferência. Se a Apple TV estiver numa rede partilhada, como o Wi-Fi de um alojamento de férias, importe o perfil em casa antes de levar a Apple TV para lá. O guia de importação explica porque é que a rede tem de ser de confiança.

Ligue-se e verifique

Ligue-se quando a Apple TV estiver numa rede fora de casa. Um teste feito a partir da sua rede doméstica pode não mostrar se o acesso remoto funciona.

O WaveSocket seleciona o perfil guardado e abre Ligação. Escolha Ligar. Na primeira vez, permita que a Apple TV adicione a configuração VPN. Procure Servidor verificado e um valor recente junto a Idade do handshake mais antigo e, depois, abra um serviço doméstico conhecido através do respetivo endereço. No OPNsense, VPN → WireGuard → Status mostra o último handshake do peer.

Se o endpoint for um nome de host DDNS, o WaveSocket resolve-o antes de ligar e volta a verificá-lo durante a ligação; consulte DNS e endereços de servidor.

Todas as funcionalidades do WaveSocket são gratuitas durante três minutos por ligação, pelo que pode experimentar a configuração antes de escolher o acesso vitalício do WaveSocket, que remove o limite de tempo.

Se a VPN não ligar

• Sem handshake. Verifique a regra WAN e se o endpoint aponta para o seu endereço público atual.
• Algumas aplicações não carregam. Se o handshake funcionar, mas algumas aplicações ficarem bloqueadas ou só carregarem em parte, reveja o MTU e as regras de Normalization (MSS clamping) no guia do OPNsense. No WaveSocket, desligue e ajuste MTU em Editar perfil. Se a configuração não tiver uma linha MTU, o WaveSocket usa 1280.
• Atrás de NAT de nível de operador ou de outro router. Qualquer um deles pode bloquear ligações de entrada. Peça ao seu fornecedor de Internet um endereço IP público ou reencaminhe a porta no router que está entre o OPNsense e a Internet. A documentação do OPNsense não aborda este caso.

Para rotas e redes sobrepostas, consulte rotas e a sua rede doméstica.

Estes passos baseiam-se na documentação publicada do OPNsense, consultada a 16 de outubro de 2026, e não em testes próprios do WaveSocket com o OPNsense. Os nomes dos menus podem mudar entre versões; se isso acontecer, siga a documentação atual. OPNsense® é uma marca registada do respetivo titular. O WaveSocket é uma aplicação independente, não afiliada ao projeto OPNsense nem à Deciso B.V., nem endossada por eles.