Подключите Apple TV к брандмауэру OPNsense

Когда подходит этот вариант

Используйте этот вариант, когда Apple TV находится вдали от дома, например в арендованном на время отпуска жилье, и должен подключаться к домашней сети через брандмауэр с OPNsense®. В OPNsense такая схема называется Road Warrior.

Это руководство не описывает, как дома направлять трафик Apple TV через VPN-клиент на брандмауэре. Для такой настройки WaveSocket не нужен.

Вам понадобятся:

• Apple TV с приложением WaveSocket, которое подключается с помощью конфигураций WireGuard и не включает в себя сервис VPN
• доступ администратора и адрес WAN, доступный для Apple TV
• OPNsense 24.1.6 или новее: WireGuard встроен начиная с версии 24.1, а поле DNS в генераторе узлов появилось в версии 24.1.6
• телефон или компьютер в той же сети, что и Apple TV, для передачи конфигурации

Кнопка Save и параметр Store private key on this firewall, упомянутые ниже, требуют OPNsense 26.7.3 или новее. В более старых версиях используйте кнопку с галочкой рядом с Store and generate next; закрытый ключ в этом случае никогда не сохраняется.

Настройте сервер WireGuard

Эти шаги соответствуют руководству OPNsense по настройке WireGuard Road Warrior.

1. В разделе VPN → WireGuard → Instances добавьте экземпляр. С помощью значка шестеренки сгенерируйте его ключи, задайте порт прослушивания, например 51820, и адрес туннеля, например 10.10.10.1/24, затем сохраните экземпляр.
2. Включите Enable WireGuard под списками Instances и Peers и нажмите Apply.
3. В разделе Firewall → Rules → WAN добавьте правило Pass для UDP к адресу WAN на порт прослушивания.
4. В разделе Interfaces → Assignments назначьте устройство WireGuard (например, wg1). Откройте новый интерфейс, включите его, сохраните и нажмите Apply changes. Затем перезапустите WireGuard: выключите и снова включите Enable WireGuard, каждый раз нажимая Apply.
5. Добавьте на этом интерфейсе правило брандмауэра, которое разрешает Apple TV доступ к выбранным вами сетям или устройствам. Руководство OPNsense объясняет, когда нужны исходящий Source NAT и перезагрузка Unbound DNS.

Если адрес WAN меняется, установите плагин os-ddclient в System → Firmware → Plugins и настройте его в разделе Services → Dynamic DNS.

Создайте клиент для Apple TV

1. Откройте VPN → WireGuard → Peer generator и выберите свой экземпляр.
2. Введите Endpoint: ваш публичный адрес или DNS-имя с портом, например vpn.example.com:51820.
3. Дайте узлу имя, например Apple TV, и проверьте предложенное значение Address. В Allowed IPs предлагается весь трафик (0.0.0.0/0,::/0), если только в экземпляре не сохранено собственное значение (26.7.3 или новее). Чтобы получать доступ только к домашней сети, введите сеть туннеля и домашнюю сеть, например 10.10.10.0/24, 192.168.1.0/24. Любой указанный вами DNS-сервер должен находиться в этих сетях.
4. Чтобы разрешать имена через OPNsense, укажите в DNS Servers адрес туннеля, например 10.10.10.1. Во время подключения WaveSocket использует этот адрес как DNS туннеля, поэтому Unbound на OPNsense должен отвечать на запросы из сети туннеля.
5. Скопируйте полный текст из поля Config. Затем нажмите Save, а после этого Apply.

Скопируйте текст до сохранения. Если не включить Store private key on this firewall, OPNsense хранит только открытый ключ и не сможет позже восстановить конфигурацию. Если вы ее потеряете, создайте новый узел.

Импортируйте профиль на Apple TV

1. На Apple TV откройте WaveSocket и выберите Профили → Добавить профиль VPN → Загрузка из браузера, затем выберите Начать сеанс загрузки. Если VPN подключен, сначала отключитесь.
2. На телефоне или компьютере в той же сети, что и Apple TV, отсканируйте QR-код на телевизоре или откройте показанный адрес. Введите код, показанный на телевизоре, в поле Код из 4 цифр.
3. В разделе Способ импорта выберите Вставить текст конфигурации, вставьте полную конфигурацию и нажмите Отправить на Apple TV.
4. Проверьте профиль на Apple TV. Выберите Переименовать, чтобы дать ему понятное имя, например «Домашний VPN», затем выберите Сохранить профиль.

Для передачи используйте доверенную сеть. Если Apple TV подключается к общей сети, например к Wi-Fi в арендованном на время отпуска жилье, импортируйте профиль дома, прежде чем отвезти туда Apple TV. Руководство по импорту объясняет, почему сеть должна быть доверенной.

Подключитесь и проверьте

Подключайтесь, когда Apple TV находится в сети за пределами дома. Проверка изнутри домашней сети может не показать, работает ли удаленный доступ.

WaveSocket выбирает сохраненный профиль и открывает Подключение. Выберите Подключить. При первом подключении разрешите Apple TV добавить конфигурацию VPN. Убедитесь, что отображается Сервер проверен, а рядом с Возраст самого давнего рукопожатия указано недавнее время, затем откройте известный домашний сервис по его адресу. В OPNsense последнее рукопожатие узла показано в разделе VPN → WireGuard → Status.

Если в качестве конечной точки указано имя хоста DDNS, WaveSocket разрешает его перед подключением и повторно проверяет во время подключения; см. DNS и адреса серверов.

Все функции WaveSocket доступны бесплатно в течение трех минут на каждое подключение, поэтому вы можете опробовать настройку, прежде чем выбрать бессрочный доступ WaveSocket, который снимает ограничение по времени.

Если подключиться не удается

• Нет рукопожатия. Проверьте правило WAN и убедитесь, что конечная точка указывает на ваш текущий публичный адрес.
• Некоторые приложения не загружаются. Если рукопожатие проходит, но некоторые приложения зависают или загружаются лишь частично, проверьте MTU и правила Normalization (MSS clamping) по руководству OPNsense. В WaveSocket отключитесь и измените MTU на экране Изменить профиль. Если в конфигурации нет строки MTU, WaveSocket использует 1280.
• За NAT операторского уровня или другим маршрутизатором. И то и другое может блокировать входящие подключения. Попросите интернет-провайдера предоставить публичный IP-адрес или настройте переадресацию порта на маршрутизаторе между OPNsense и Интернетом. Документация OPNsense этот случай не рассматривает.

О маршрутах и перекрывающихся сетях читайте в руководстве о маршрутах и домашней сети.

Эти шаги основаны на опубликованной документации OPNsense, проверенной 16 октября 2026 г., а не на собственном тестировании WaveSocket с OPNsense. Названия пунктов меню могут меняться от версии к версии; в этом случае следуйте актуальной документации. OPNsense® — зарегистрированный товарный знак своего владельца. WaveSocket — независимое приложение, не связанное с проектом OPNsense или Deciso B.V. и не одобренное ими.