适用于 Apple TV 的 Firewalla WireGuard 服务器

适用场景

当 Apple TV 不在家中（例如在度假民宿里），需要通过您的 Firewalla 设备连回家时，请使用此设置。Firewalla 的 VPN 服务器专为从家庭网络外部发起的连接而设计。

本指南不涉及在家中让 Apple TV 流量经由路由器上的 VPN 客户端传输。那种设置不需要 WaveSocket。

您需要：

一台装有 WaveSocket 应用的 Apple TV；WaveSocket 使用 WireGuard 配置进行连接，不包含 VPN 服务
一台 Firewalla 设备，但不能是 Firewalla Red 或初代 Firewalla Blue，这两款不支持 WireGuard VPN 服务器（Blue Plus 支持）
家中有公网 IPv4 或 IPv6 地址；该地址不必是静态的
Firewalla 应用，以及一部与 Apple TV 位于同一网络、用于传输的手机或电脑

Firewalla 还可以将 AmneziaWG 服务器作为测试版功能运行，需要 Firewalla 应用 1.68 或更高版本，以及设备软件 1.982 或更高版本。其客户端配置使用 AmneziaWG 1.5。可选的 2.0 升级需要应用 1.69 或更高版本，以及设备软件 1.983 或更高版本；该升级无法撤销，并且需要重新导入每个客户端配置；请参阅 Firewalla 的 AmneziaWG 指南。WaveSocket 可导入兼容的 AmneziaWG 客户端配置；请参阅 WireGuard 和 AmneziaWG。

设置 WireGuard 服务器

以下步骤参照 Firewalla 的 WireGuard VPN 服务器指南。

在 Firewalla 应用中，点按设备主页上的 VPN Server，然后开启 WireGuard。
在 Router 模式下，如果有公网 IP，且不存在双重 NAT 或运营商级 NAT，则无需进行任何转发。如果您的 Firewalla 设备与互联网之间还有另一台路由器，请在该路由器上将 UDP 端口 51820 转发到您的 Firewalla 设备。设置页面会提示何时需要手动进行端口转发。

Firewalla 会为您的设备提供一个 DDNS 主机名；请保持 DDNS 开启，因为 VPN 服务器依赖它。如果您的 Firewalla 设备安装还不到一小时，Firewalla 表示其 DDNS 主机名可能最多需要一小时才能生效。

创建 Apple TV 客户端

在 WireGuard 下，选择 Setup → Add a Client。Firewalla 会自动创建该客户端。
点按该客户端，以显示其配置和 QR 码。

请为 Apple TV 单独创建一个客户端。Firewalla 表示，同一个客户端配置不得同时在多台设备上使用。以后如需撤销访问权限，请在该客户端页面底部选择 Delete This Client。

Apple TV 无法读取 QR 码。在下一步中，请将客户端配置作为 .conf 文件上传，或粘贴其完整文本。

在 Apple TV 上导入

在 Apple TV 上打开 WaveSocket，选择 配置 → 添加VPN配置 → 通过浏览器上传，然后选择 开始上传会话。如果已连接 VPN，请先断开连接。
在与 Apple TV 位于同一网络的手机或电脑上，扫描电视上的 QR 码或打开显示的地址。在 4位代码 字段中输入电视上显示的代码。
点击 选择文件 并选取 .conf 文件，或在 导入方式 下选择 粘贴配置文本 并粘贴完整配置。然后点击 发送到Apple TV。
在 Apple TV 上检查该配置文件。选择 重命名，为其取一个清楚的名称，例如“家庭 VPN”，然后选择 保存配置。

请使用受信任的网络进行传输。如果 Apple TV 要在共享网络（例如度假民宿的 Wi-Fi）上使用，请先在家中导入配置文件，再把 Apple TV 带过去。导入指南说明了为什么网络必须受信任。

连接并检查

请在 Apple TV 接入家庭以外的网络时进行连接。Firewalla 表示，即使远程访问正常，从家庭网络内部进行的测试也可能失败。

WaveSocket 会选中已保存的配置文件并打开连接屏幕。选择连接。首次连接时，请允许 Apple TV 添加 VPN 配置。

Firewalla 提醒，即使隧道并未正常工作，WireGuard 客户端也可能显示为已连接。请在 WaveSocket 中确认显示 服务器已验证，并且 最早一次对等端握手的经过时间 旁边显示的是最近的时间；同时在 Firewalla 应用的 Active VPN Connections 下确认列出了这台 Apple TV。

客户端配置使用您的 Firewalla 设备的 DDNS 主机名。WaveSocket 会在连接前解析该主机名，并在连接期间再次检查；请参阅 DNS 和服务器地址。

WaveSocket 的所有功能每次连接均可免费使用三分钟，因此您可以先试用这套设置，再选择可消除时间限制的 WaveSocket 永久使用权。

如果无法连接

完整列表请参阅 Firewalla 的 VPN 故障排除。常见原因：

在家中测试：请从家庭以外的网络进行测试。
运营商级 NAT：如果您家中的网络连接位于运营商级 NAT 之后，您可以在 Firewalla 应用中更改服务器的 DDNS 设置，改用另一条具有公网 IP 的 WAN 连接，或改为仅使用 IPv6。仅使用 IPv6 时，Apple TV 所在的网络也需要有可用的 IPv6；在 WaveSocket 中，请断开连接，打开 编辑配置，在 服务器 DNS / DDNS 下为服务器选择 仅限IPv6，然后选择保存。如果这两种方式都无法使用，请向您的互联网服务提供商申请公网 IPv4 或 IPv6 地址。
更改了设置：更改 MTU 后，请重新导入客户端配置。Firewalla 表示，更改 VPN 端口后，您可能需要重新生成客户端；请导入新的配置。

如需访问家中的设备，请参阅路由和您的家庭网络。

以上步骤依据 2026 年 10 月 16 日核对的 Firewalla 已发布文档，而非 WaveSocket 自己对 Firewalla 的测试。Firewalla 应用中的界面标签可能会更改；如有更改，请按照其当前的帮助页面操作。Firewalla 是其所有者的商标。WaveSocket 是一款独立应用，与 Firewalla 没有关联，也未获得 Firewalla 的认可。