Підключіть Apple TV до брандмауера OPNsense

Коли підходить це налаштування

Використовуйте це налаштування, коли Apple TV перебуває поза домом, наприклад у житлі, орендованому на час відпустки, і має підключатися додому через брандмауер, на якому працює OPNsense®. В OPNsense таке налаштування називається Road Warrior.

Цей посібник не описує, як удома спрямовувати трафік Apple TV через клієнт VPN на брандмауері. Для такого налаштування WaveSocket не потрібен.

Вам знадобиться:

• Apple TV із програмою WaveSocket, яка підключається за допомогою конфігурацій WireGuard і не включає послуги VPN
• доступ адміністратора та адреса WAN, доступна для Apple TV
• OPNsense версії 24.1.6 або новішої: WireGuard вбудовано починаючи з 24.1, а поле DNS у генераторі вузлів є починаючи з 24.1.6
• телефон або комп’ютер у тій самій мережі, що й Apple TV, для передавання

Для кнопки Save і параметра Store private key on this firewall, згаданих нижче, потрібна версія OPNsense 26.7.3 або новіша. У старіших версіях використовуйте кнопку з галочкою поруч із Store and generate next; у такому разі закритий ключ ніколи не зберігається.

Налаштуйте сервер WireGuard

Ці кроки відповідають посібнику OPNsense з налаштування WireGuard Road Warrior.

1. У розділі VPN → WireGuard → Instances додайте екземпляр. Згенеруйте його ключі за допомогою значка шестерні, задайте порт прослуховування, наприклад 51820, і адресу тунелю, наприклад 10.10.10.1/24, а потім збережіть екземпляр.
2. Увімкніть Enable WireGuard під списками Instances і Peers та натисніть Apply.
3. У розділі Firewall → Rules → WAN додайте правило Pass для UDP до адреси WAN на порт прослуховування.
4. У розділі Interfaces → Assignments призначте пристрій WireGuard (наприклад, wg1). Відкрийте новий інтерфейс, увімкніть його, збережіть і натисніть Apply changes. Потім перезапустіть WireGuard: вимкніть і знову ввімкніть Enable WireGuard, щоразу натискаючи Apply.
5. Додайте на цьому інтерфейсі правило брандмауера, яке дозволяє Apple TV отримувати доступ до вибраних вами мереж або пристроїв. У посібнику OPNsense пояснено, коли потрібні вихідний Source NAT і перезавантаження Unbound DNS.

Якщо адреса WAN змінюється, установіть плагін os-ddclient у розділі System → Firmware → Plugins і налаштуйте його в розділі Services → Dynamic DNS.

Створіть клієнта для Apple TV

1. Відкрийте VPN → WireGuard → Peer generator і виберіть свій екземпляр.
2. Введіть Endpoint: вашу загальнодоступну адресу або ім’я DNS разом із портом, наприклад vpn.example.com:51820.
3. Дайте вузлу назву, наприклад Apple TV, і перевірте запропоноване значення Address. У полі Allowed IPs пропонується весь трафік (0.0.0.0/0,::/0), якщо в екземплярі не збережено власне значення (26.7.3 або новіша версія). Щоб отримати доступ лише до домашньої мережі, введіть мережу тунелю та домашню мережу, наприклад 10.10.10.0/24, 192.168.1.0/24. Будь-який указаний вами сервер DNS має бути в межах цих мереж.
4. Щоб визначати імена через OPNsense, укажіть у DNS Servers адресу тунелю, наприклад 10.10.10.1. Під час підключення WaveSocket використовує цю адресу як DNS тунелю, тому Unbound на OPNsense має відповідати на запити з мережі тунелю.
5. Скопіюйте повний текст із поля Config. Потім натисніть Save, а після цього — Apply.

Скопіюйте текст перед збереженням. Якщо не ввімкнути Store private key on this firewall, OPNsense зберігає лише відкритий ключ і не зможе пізніше відтворити конфігурацію. Якщо ви її втратите, згенеруйте новий вузол.

Імпорт на Apple TV

1. На Apple TV відкрийте WaveSocket, виберіть Профілі → Додати профіль VPN → Завантаження з браузера, а потім — Почати сеанс передавання. Якщо VPN підключено, спершу відключіться.
2. На телефоні чи комп’ютері в тій самій мережі, що й Apple TV, відскануйте QR-код на телевізорі або відкрийте показану адресу. Введіть код, показаний на телевізорі, у поле Код із 4 цифр.
3. У розділі Спосіб імпорту виберіть Вставити текст конфігурації, вставте повну конфігурацію та натисніть Надіслати на Apple TV.
4. Перегляньте профіль на Apple TV. Виберіть Перейменувати, щоб дати йому зрозумілу назву, наприклад «Домашній VPN», а потім виберіть Зберегти профіль.

Для передавання використовуйте надійну мережу. Якщо Apple TV працюватиме в спільній мережі, як-от Wi-Fi у житлі, орендованому на час відпустки, імпортуйте профіль удома, перш ніж везти туди Apple TV. Чому мережа має бути надійною, пояснено в посібнику з імпорту.

Підключіться та перевірте

Підключайтеся, коли Apple TV перебуває в мережі за межами вашого дому. Перевірка зсередини домашньої мережі може не показати, чи працює віддалений доступ.

WaveSocket вибирає збережений профіль і відкриває екран Підключення. Виберіть Підключити. Першого разу дозвольте Apple TV додати конфігурацію VPN. Перевірте, чи відображається Сервер перевірено і недавній час біля Вік найдавнішого рукостискання, а потім відкрийте відому домашню службу за її адресою. В OPNsense розділ VPN → WireGuard → Status показує останнє рукостискання вузла.

Якщо кінцевою точкою є ім’я хоста DDNS, WaveSocket визначає його адресу перед підключенням і знову перевіряє під час підключення; див. DNS і адреси серверів.

Усі функції WaveSocket безкоштовні протягом трьох хвилин кожного підключення, тож ви можете випробувати налаштування, перш ніж вибрати безстроковий доступ WaveSocket, який знімає обмеження часу.

Якщо не вдається підключитися

• Немає рукостискання. Перевірте правило WAN і те, що кінцева точка вказує на вашу поточну загальнодоступну адресу.
• Деякі програми не завантажуються. Якщо рукостискання працює, але деякі програми зависають або завантажуються лише частково, перегляньте MTU та правила Normalization (MSS clamping), як описано в посібнику OPNsense. У WaveSocket відключіться та змініть MTU на екрані Редагувати профіль. Якщо в конфігурації немає рядка MTU, WaveSocket використовує 1280.
• За NAT операторського рівня або іншим маршрутизатором. І те, і інше може блокувати вхідні підключення. Попросіть інтернет-провайдера надати загальнодоступну IP-адресу або переадресуйте порт на маршрутизаторі між OPNsense та Інтернетом. Документація OPNsense цей випадок не описує.

Про маршрути та перекриття мереж читайте в посібнику про маршрути та домашню мережу.

Ці кроки ґрунтуються на опублікованій документації OPNsense, перевіреній 16 жовтня 2026 року, а не на власному тестуванні WaveSocket з OPNsense. Назви пунктів меню можуть змінюватися від версії до версії; у такому разі дотримуйтеся актуальної документації. OPNsense® — зареєстрований товарний знак свого власника. WaveSocket — незалежна програма, не пов’язана з проєктом OPNsense чи Deciso B.V. і не схвалена ними.