Подключите Apple TV к брандмауэру с ПО pfSense®

Когда подходит этот вариант

Используйте этот вариант, когда Apple TV находится вдали от дома, например в арендованном на время отпуска жилье, и должен подключаться к домашнему брандмауэру с ПО pfSense.

Это руководство не описывает, как дома направлять трафик Apple TV через VPN-клиент на брандмауэре. Для такой настройки WaveSocket не нужен.

Вам понадобятся:

• Apple TV с приложением WaveSocket, которое подключается с помощью конфигураций WireGuard и не включает в себя сервис VPN
• доступ администратора к брандмауэру и адрес WAN, доступный для Apple TV
• пакет WireGuard; документация Netgate® рекомендует перед его установкой обновить ПО до последней версии pfSense Plus или pfSense CE
• телефон или компьютер в той же сети, что и Apple TV, для передачи конфигурации

В примере Netgate вы сами составляете конфигурацию для Apple TV на основе настроек туннеля и узла, а затем вставляете ее в WaveSocket.

Настройте сервер WireGuard

Эти шаги соответствуют примеру удаленного доступа через WireGuard в документации Netgate.

1. Установите пакет WireGuard на вкладке Available Packages в разделе System → Packages.
2. В разделе VPN → WireGuard → Tunnels добавьте туннель. Включите его, задайте порт прослушивания (в примере 51820), сгенерируйте ключи интерфейса, назначьте туннелю адрес, например 10.6.210.1/24, и нажмите Save Tunnel.
3. В разделе Firewall → Rules на вкладке WAN добавьте правило Pass для UDP к адресу WAN на порт прослушивания. На вкладке WireGuard добавьте правило, разрешающее трафик туннеля. Сохраните каждое правило и нажмите Apply Changes.

Если ваш адрес WAN меняется, настройте Services → Dynamic DNS и используйте полученное имя хоста в качестве конечной точки.

Создайте клиент для Apple TV

1. Создайте пару ключей для Apple TV, например командой wg genkey | tee /dev/stderr | wg pubkey в консоли или оболочке SSH на брандмауэре. Команда выводит закрытый ключ, а затем открытый ключ, не сохраняя файлов. В примере Netgate отмечено, что ключи нельзя повторно использовать для разных клиентов.
2. В разделе VPN → WireGuard → Peers добавьте узел для туннеля. Включите Dynamic Endpoint, вставьте открытый ключ Apple TV и укажите в Allowed IPs его адрес в туннеле, например 10.6.210.2/32.
3. Сохраните узел и примените изменения.

Составьте конфигурацию клиента

Замените заполнители своими значениями:

• APPLE_TV_PRIVATE_KEY: закрытый ключ Apple TV, созданный в предыдущем разделе
• FIREWALL_TUNNEL_PUBLIC_KEY: открытый ключ туннеля в разделе VPN → WireGuard → Tunnels
• vpn.example.com: ваш адрес WAN или имя хоста DDNS
• 10.6.0.0/24: ваша домашняя сеть

В Address используется тот же IP-адрес, что и в Allowed IPs узла (10.6.210.2), но с маской туннеля (/24), как в примере ниже.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

В этом примере через VPN направляется только трафик туннеля и одной домашней сети. Чтобы направить весь трафик IPv4, задайте AllowedIPs = 0.0.0.0/0 и добавьте DNS = 10.6.210.1 в раздел [Interface]. Для IPv6 нужны собственный адрес в туннеле и ::/0; см. руководство о маршрутах и домашней сети.

Импортируйте профиль на Apple TV

1. На Apple TV откройте WaveSocket и выберите Профили → Добавить профиль VPN → Загрузка из браузера, затем выберите Начать сеанс загрузки. Если VPN подключен, сначала отключитесь.
2. На телефоне или компьютере в той же сети, что и Apple TV, отсканируйте QR-код на телевизоре или откройте показанный адрес. Введите код, показанный на телевизоре, в поле Код из 4 цифр.
3. В разделе Способ импорта выберите Вставить текст конфигурации, вставьте полную конфигурацию и нажмите Отправить на Apple TV.
4. Проверьте профиль на Apple TV. Выберите Переименовать, чтобы дать ему понятное имя, например «Домашний VPN», затем выберите Сохранить профиль.

Для передачи используйте надежную сеть. Если Apple TV подключается к общей сети, например к Wi-Fi в арендованном на время отпуска жилье, импортируйте профиль дома, прежде чем отвезти туда Apple TV. Руководство по импорту объясняет, почему сеть должна быть надежной.

Подключитесь и проверьте

Подключайтесь, когда Apple TV находится в сети за пределами дома. Проверка изнутри домашней сети может не показать, работает ли удаленный доступ.

WaveSocket выбирает сохраненный профиль и открывает Подключение. Выберите Подключить. При первом подключении разрешите Apple TV добавить конфигурацию VPN. Убедитесь, что отображается Сервер проверен, а рядом с Возраст самого давнего рукопожатия указано недавнее время, затем откройте известный домашний сервис по его адресу.

Если в качестве конечной точки указано имя хоста DDNS, WaveSocket разрешает его перед подключением и повторно проверяет во время подключения; см. DNS и адреса серверов.

Все функции WaveSocket доступны бесплатно в течение трех минут на каждое подключение, поэтому вы можете опробовать настройку, прежде чем выбрать бессрочный доступ WaveSocket, который снимает ограничение по времени.

Если подключиться не удается

• Нет туннеля. Убедитесь, что в разделе VPN → WireGuard → Settings включен параметр Enable.
• Нет рукопожатия. Убедитесь, что открытый ключ узла соответствует закрытому ключу Apple TV, а PublicKey клиента — это открытый ключ туннеля. Проверьте правило WAN и убедитесь, что конечная точка разрешается в ваш текущий адрес WAN.
• Нет Интернета при полном туннеле. Убедитесь, что в Firewall → NAT → Outbound сеть туннеля (10.6.210.0/24) транслируется в адрес WAN. Если не удается разрешить имена, проверьте Services → DNS Resolver → Access Lists.
• Обрывы при простое. Если между Apple TV и Интернетом есть еще один брандмауэр, добавьте PersistentKeepalive = 25 в раздел [Peer]. Для уже сохраненного профиля отключитесь и задайте PersistentKeepalive на экране Изменить профиль.

Эти шаги основаны на опубликованной документации Netgate, проверенной 16 октября 2026 г., а не на собственном тестировании WaveSocket с ПО pfSense. Названия пунктов меню могут меняться от версии к версии; в этом случае следуйте актуальной документации. pfSense® — зарегистрированный знак, принадлежащий Electric Sheep Fencing LLC («ESF»), и его нельзя использовать без предварительного явно выраженного письменного разрешения ESF. Netgate® — зарегистрированный знак, принадлежащий Rubicon Communications LLC, и его нельзя использовать без предварительного явно выраженного письменного разрешения Rubicon Communications LLC. WaveSocket — независимое приложение. Ни этот сайт, ни приложение не связаны с ESF или Rubicon Communications LLC и не одобрены ими.