Ligue a Apple TV a uma firewall com software pfSense®

Quando utilizar esta configuração

Utilize esta configuração quando a Apple TV estiver fora de casa, por exemplo num alojamento de férias, e precisar de se ligar a uma firewall com software pfSense que está em casa.

Este guia não aborda o envio do tráfego da Apple TV, em casa, através de um cliente VPN na firewall. Essa configuração não precisa do WaveSocket.

Necessita de:

• uma Apple TV com a aplicação WaveSocket, que se liga com configurações WireGuard e não inclui um serviço VPN
• acesso de administrador à firewall e um endereço WAN que a Apple TV consiga alcançar
• o pacote WireGuard; a documentação da Netgate® aconselha a atualizar para a versão mais recente do software pfSense Plus ou pfSense CE antes de o instalar
• para a transferência, um telemóvel ou computador na mesma rede que a Apple TV

No exemplo da Netgate, escreve a configuração da Apple TV por si próprio, a partir das definições do túnel e do peer, e depois cola-a no WaveSocket.

Configure o servidor WireGuard

Estes passos seguem o exemplo de acesso remoto com WireGuard da documentação da Netgate.

1. Instale o pacote WireGuard a partir do separador Available Packages em System → Packages.
2. Em VPN → WireGuard → Tunnels, adicione um túnel. Ative-o, defina a porta de escuta (51820 no exemplo), gere as chaves da interface, atribua-lhe um endereço como 10.6.210.1/24 e selecione Save Tunnel.
3. Em Firewall → Rules, no separador WAN, adicione uma regra Pass para UDP com destino ao endereço WAN, na porta de escuta. No separador WireGuard, adicione uma regra que permita o tráfego do túnel. Guarde cada regra e selecione Apply Changes.

Se o seu endereço WAN mudar, configure Services → Dynamic DNS e use esse nome de host como endpoint.

Crie o cliente para a Apple TV

1. Crie um par de chaves para a Apple TV, por exemplo com wg genkey | tee /dev/stderr | wg pubkey numa consola ou shell SSH na firewall. O comando mostra a chave privada e depois a chave pública, sem guardar ficheiros. O exemplo da Netgate refere que as chaves não podem ser reutilizadas entre clientes.
2. Em VPN → WireGuard → Peers, adicione um peer para o túnel. Ative Dynamic Endpoint, cole a chave pública da Apple TV e defina em Allowed IPs o endereço de túnel da Apple TV, como 10.6.210.2/32.
3. Guarde o peer e aplique as alterações.

Escreva a configuração do cliente

Substitua os marcadores de posição pelos seus próprios valores:

• APPLE_TV_PRIVATE_KEY: a chave privada da Apple TV que criou na secção anterior
• FIREWALL_TUNNEL_PUBLIC_KEY: a chave pública do túnel em VPN → WireGuard → Tunnels
• vpn.example.com: o seu endereço WAN ou nome de host DDNS
• 10.6.0.0/24: a sua rede doméstica

Address usa o mesmo endereço IP que Allowed IPs no peer (10.6.210.2), mas com a máscara do túnel (/24), como no exemplo abaixo.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

Este exemplo envia pela VPN apenas o tráfego do túnel e de uma rede doméstica. Para enviar todo o tráfego IPv4, defina AllowedIPs = 0.0.0.0/0 e adicione DNS = 10.6.210.1 à secção [Interface]. O IPv6 precisa do seu próprio endereço de túnel e de ::/0; consulte rotas e a sua rede doméstica.

Importe na Apple TV

1. Na Apple TV, abra o WaveSocket, escolha Perfis → Adicionar perfil VPN → Enviar pelo navegador e selecione Iniciar sessão de envio. Se houver uma VPN ligada, desligue-a primeiro.
2. Num telemóvel ou computador na mesma rede que a Apple TV, leia o código QR apresentado na TV ou abra o endereço indicado. Introduza o código apresentado na TV no campo Código de 4 dígitos.
3. Em Método de importação, escolha Colar texto de configuração, cole a configuração completa e selecione Enviar para a Apple TV.
4. Reveja o perfil na Apple TV. Escolha Alterar nome para lhe dar um nome claro, como VPN Casa, e depois escolha Guardar perfil.

Utilize uma rede de confiança para a transferência. Se a Apple TV estiver numa rede partilhada, como o Wi-Fi de um alojamento de férias, importe o perfil em casa antes de levar a Apple TV para lá. O guia de importação explica porque é que a rede tem de ser de confiança.

Ligue-se e verifique

Ligue-se quando a Apple TV estiver numa rede fora de casa. Um teste feito a partir da sua rede doméstica pode não mostrar se o acesso remoto funciona.

O WaveSocket seleciona o perfil guardado e abre Ligação. Escolha Ligar. Na primeira vez, permita que a Apple TV adicione a configuração VPN. Procure Servidor verificado e um valor recente junto a Idade do handshake mais antigo e, depois, abra um serviço doméstico conhecido através do respetivo endereço.

Se o endpoint for um nome de host DDNS, o WaveSocket resolve-o antes de ligar e volta a verificá-lo durante a ligação; consulte DNS e endereços de servidor.

Todas as funcionalidades do WaveSocket são gratuitas durante três minutos por ligação, pelo que pode experimentar a configuração antes de escolher o acesso vitalício do WaveSocket, que remove o limite de tempo.

Se a VPN não ligar

• Sem túnel. Verifique se Enable está ativado em VPN → WireGuard → Settings.
• Sem handshake. Verifique se a chave pública do peer corresponde à chave privada da Apple TV e se o PublicKey do cliente é a chave pública do túnel. Confirme a regra WAN e se o endpoint resolve para o seu endereço WAN atual.
• Sem Internet com um túnel completo. Verifique se Firewall → NAT → Outbound traduz a rede do túnel (10.6.210.0/24) para o endereço WAN. Se a resolução de nomes falhar, verifique Services → DNS Resolver → Access Lists.
• A ligação cai quando está inativa. Se houver outra firewall entre a Apple TV e a Internet, adicione PersistentKeepalive = 25 à secção [Peer]. Num perfil já guardado, desligue e defina PersistentKeepalive em Editar perfil.

Estes passos baseiam-se na documentação publicada pela Netgate, consultada a 16 de outubro de 2026, e não em testes próprios do WaveSocket com o software pfSense. Os nomes dos menus podem mudar entre versões; se isso acontecer, siga a documentação atual. pfSense® é uma marca registada propriedade da Electric Sheep Fencing LLC (“ESF”) e não pode ser utilizada sem a autorização prévia, expressa e por escrito, da ESF. Netgate® é uma marca registada propriedade da Rubicon Communications LLC e não pode ser utilizada sem a autorização prévia, expressa e por escrito, da Rubicon Communications LLC. O WaveSocket é uma aplicação independente. Nem este site nem a aplicação estão afiliados à ESF ou à Rubicon Communications LLC, nem são endossados por elas.