Підключіть Apple TV до брандмауера з програмним забезпеченням pfSense®

Коли підходить це налаштування

Використовуйте це налаштування, коли Apple TV перебуває поза домом, наприклад у житлі, орендованому на час відпустки, і має підключатися до домашнього брандмауера, на якому працює програмне забезпечення pfSense.

Цей посібник не описує, як удома спрямовувати трафік Apple TV через клієнт VPN на брандмауері. Для такого налаштування WaveSocket не потрібен.

Вам знадобиться:

• Apple TV із програмою WaveSocket, яка підключається за допомогою конфігурацій WireGuard і не включає послуги VPN
• доступ адміністратора до брандмауера та адреса WAN, доступна для Apple TV
• пакет WireGuard; документація Netgate® радить перед його встановленням оновитися до найновішої версії програмного забезпечення pfSense Plus або pfSense CE
• телефон або комп’ютер у тій самій мережі, що й Apple TV, для передавання

У прикладі Netgate ви самостійно складаєте конфігурацію для Apple TV на основі параметрів тунелю та вузла, а потім вставляєте її у WaveSocket.

Налаштуйте сервер WireGuard

Ці кроки відповідають прикладу віддаленого доступу через WireGuard з документації Netgate.

1. Установіть пакет WireGuard на вкладці Available Packages у розділі System → Packages.
2. У розділі VPN → WireGuard → Tunnels додайте тунель. Увімкніть його, задайте порт прослуховування (у прикладі — 51820), згенеруйте ключі інтерфейсу, призначте йому адресу, наприклад 10.6.210.1/24, і натисніть Save Tunnel.
3. У розділі Firewall → Rules на вкладці WAN додайте правило Pass для UDP до адреси WAN на порт прослуховування. На вкладці WireGuard додайте правило, яке дозволяє трафік тунелю. Збережіть кожне правило та натисніть Apply Changes.

Якщо ваша адреса WAN змінюється, налаштуйте Services → Dynamic DNS і використовуйте отримане ім’я хоста як кінцеву точку.

Створіть клієнта для Apple TV

1. Створіть пару ключів для Apple TV, наприклад командою wg genkey | tee /dev/stderr | wg pubkey у консолі або оболонці SSH на брандмауері. Вона виводить закритий ключ, а потім відкритий, не зберігаючи файлів. У прикладі Netgate зазначено, що ключі не можна повторно використовувати для різних клієнтів.
2. У розділі VPN → WireGuard → Peers додайте вузол для тунелю. Увімкніть Dynamic Endpoint, вставте відкритий ключ Apple TV і вкажіть у Allowed IPs його адресу в тунелі, наприклад 10.6.210.2/32.
3. Збережіть вузол і застосуйте зміни.

Складіть конфігурацію клієнта

Замініть заповнювачі власними значеннями:

• APPLE_TV_PRIVATE_KEY: закритий ключ Apple TV, створений у попередньому розділі
• FIREWALL_TUNNEL_PUBLIC_KEY: відкритий ключ тунелю в розділі VPN → WireGuard → Tunnels
• vpn.example.com: ваша адреса WAN або ім’я хоста DDNS
• 10.6.0.0/24: ваша домашня мережа

У Address використовується та сама IP-адреса, що й у Allowed IPs вузла (10.6.210.2), але з маскою тунелю (/24), як у прикладі нижче.

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

У цьому прикладі через VPN спрямовуються лише тунель і одна домашня мережа. Щоб спрямувати весь трафік IPv4, задайте AllowedIPs = 0.0.0.0/0 і додайте DNS = 10.6.210.1 до розділу [Interface]. Для IPv6 потрібні окрема адреса тунелю та ::/0; див. посібник про маршрути та домашню мережу.

Імпорт на Apple TV

1. На Apple TV відкрийте WaveSocket, виберіть Профілі → Додати профіль VPN → Завантаження з браузера, а потім — Почати сеанс передавання. Якщо VPN підключено, спершу відключіться.
2. На телефоні чи комп’ютері в тій самій мережі, що й Apple TV, відскануйте QR-код на телевізорі або відкрийте показану адресу. Введіть код, показаний на телевізорі, у поле Код із 4 цифр.
3. У розділі Спосіб імпорту виберіть Вставити текст конфігурації, вставте повну конфігурацію та натисніть Надіслати на Apple TV.
4. Перегляньте профіль на Apple TV. Виберіть Перейменувати, щоб дати йому зрозумілу назву, наприклад «Домашній VPN», а потім виберіть Зберегти профіль.

Для передавання використовуйте надійну мережу. Якщо Apple TV працюватиме в спільній мережі, як-от Wi-Fi у житлі, орендованому на час відпустки, імпортуйте профіль удома, перш ніж везти туди Apple TV. Чому мережа має бути надійною, пояснено в посібнику з імпорту.

Підключіться та перевірте

Підключайтеся, коли Apple TV перебуває в мережі за межами вашого дому. Перевірка зсередини домашньої мережі може не показати, чи працює віддалений доступ.

WaveSocket вибирає збережений профіль і відкриває екран Підключення. Виберіть Підключити. Першого разу дозвольте Apple TV додати конфігурацію VPN. Перевірте, чи відображається Сервер перевірено і недавній час біля Вік найдавнішого рукостискання, а потім відкрийте відому домашню службу за її адресою.

Якщо кінцевою точкою є ім’я хоста DDNS, WaveSocket визначає його адресу перед підключенням і знову перевіряє під час підключення; див. DNS і адреси серверів.

Усі функції WaveSocket безкоштовні протягом трьох хвилин кожного підключення, тож ви можете випробувати налаштування, перш ніж вибрати безстроковий доступ WaveSocket, який знімає обмеження часу.

Якщо не вдається підключитися

• Немає тунелю. Перевірте, чи ввімкнено Enable у розділі VPN → WireGuard → Settings.
• Немає рукостискання. Перевірте, чи відкритий ключ вузла відповідає закритому ключу Apple TV і чи PublicKey клієнта є відкритим ключем тунелю. Перевірте правило WAN і те, що ім’я кінцевої точки вказує на вашу поточну адресу WAN.
• Немає Інтернету в режимі повного тунелю. Перевірте, чи Firewall → NAT → Outbound транслює мережу тунелю (10.6.210.0/24) в адресу WAN. Якщо не вдається визначити імена, перевірте Services → DNS Resolver → Access Lists.
• Розриви під час простою. Якщо між Apple TV та Інтернетом є інший брандмауер, додайте PersistentKeepalive = 25 до розділу [Peer]. Для збереженого профілю відключіться та задайте PersistentKeepalive на екрані Редагувати профіль.

Ці кроки ґрунтуються на опублікованій документації Netgate, перевіреній 16 жовтня 2026 року, а не на власному тестуванні WaveSocket із програмним забезпеченням pfSense. Назви пунктів меню можуть змінюватися від версії до версії; у такому разі дотримуйтеся актуальної документації. pfSense® — зареєстрований знак, що належить Electric Sheep Fencing LLC («ESF»), і його не можна використовувати без попереднього явного письмового дозволу ESF. Netgate® — зареєстрований знак, що належить Rubicon Communications LLC, і його не можна використовувати без попереднього явного письмового дозволу Rubicon Communications LLC. WaveSocket — незалежна програма. Ні цей сайт, ні програма не пов’язані з ESF чи Rubicon Communications LLC і не схвалені ними.