将 Apple TV 连接到 OPNsense 防火墙

适用场景

当 Apple TV 不在家中（例如在度假民宿里），需要通过运行 OPNsense® 的防火墙连回家时，请使用此设置。OPNsense 将这种设置称为 Road Warrior 设置。

本指南不涉及在家中让 Apple TV 流量经由防火墙上的 VPN 客户端传输。那种设置不需要 WaveSocket。

您需要：

• 一台装有 WaveSocket 应用的 Apple TV；WaveSocket 使用 WireGuard 配置进行连接，不包含 VPN 服务
• 管理员权限，以及一个 Apple TV 可以访问到的 WAN 地址
• OPNsense 24.1.6 或更高版本：WireGuard 自 24.1 起内置，对等端生成器（Peer generator）自 24.1.6 起提供 DNS 字段
• 一部与 Apple TV 位于同一网络、用于传输的手机或电脑

下文提到的 Save 按钮和 Store private key on this firewall 选项需要 OPNsense 26.7.3 或更高版本。在较旧的版本中，请使用 Store and generate next 旁边的对勾按钮；这种情况下私钥始终不会被存储。

设置 WireGuard 服务器

以下步骤参照 OPNsense WireGuard Road Warrior 指南。

1. 在 VPN → WireGuard → Instances 下添加一个实例。使用齿轮按钮生成其密钥，设置监听端口（例如 51820）和隧道地址（例如 10.10.10.1/24），然后保存该实例。
2. 开启显示在 Instances 和 Peers 列表下方的 Enable WireGuard，然后选择 Apply。
3. 在 Firewall → Rules → WAN 下，添加一条 Pass 规则，协议为 UDP，目标为 WAN 地址上的监听端口。
4. 在 Interfaces → Assignments 下，分配 WireGuard 设备（例如 wg1）。打开新接口，将其启用并保存，然后选择 Apply changes。接着重启 WireGuard：将 Enable WireGuard 关闭后再开启，每次都选择 Apply。
5. 在该接口上添加一条防火墙规则，允许 Apple TV 访问您选择的网络或设备。OPNsense 指南说明了何时需要配置出站 Source NAT 以及重新加载 Unbound DNS。

如果 WAN 地址会变化，请从 System → Firmware → Plugins 安装 os-ddclient 插件，并在 Services → Dynamic DNS 下进行设置。

创建 Apple TV 客户端

1. 打开 VPN → WireGuard → Peer generator 并选择您的实例。
2. 输入 Endpoint：带端口的公网地址或 DNS 名称，例如 vpn.example.com:51820。
3. 为对等端取一个名称（例如 Apple TV），并检查建议的 Address。除非实例存储了自己的值（仅限 26.7.3 或更高版本），否则 Allowed IPs 会建议使用全部流量（0.0.0.0/0,::/0）。如果只想访问家庭网络，请输入隧道网络和家庭网络，例如 10.10.10.0/24, 192.168.1.0/24。您设置的任何 DNS 服务器都必须位于这些网络之内。
4. 如果要让 OPNsense 负责名称解析，请将 DNS Servers 设置为隧道地址，例如 10.10.10.1。连接期间，WaveSocket 会将此地址用作 隧道 DNS，因此 OPNsense 上的 Unbound 必须响应来自隧道网络的查询。
5. 复制 Config 字段中的完整文本。然后选择 Save，再选择 Apply。

请在保存之前复制文本。除非您开启 Store private key on this firewall，否则 OPNsense 只保留公钥，之后无法重建该配置。如果配置丢失，请生成新的对等端。

在 Apple TV 上导入

1. 在 Apple TV 上打开 WaveSocket，选择 配置 → 添加VPN配置 → 通过浏览器上传，然后选择 开始上传会话。如果已连接 VPN，请先断开连接。
2. 在与 Apple TV 位于同一网络的手机或电脑上，扫描电视上的 QR 码或打开显示的地址。在 4位代码 字段中输入电视上显示的代码。
3. 在 导入方式 下选择 粘贴配置文本，粘贴完整配置，然后点击 发送到Apple TV。
4. 在 Apple TV 上检查该配置文件。选择 重命名，为其取一个清楚的名称，例如“家庭 VPN”，然后选择 保存配置。

请使用受信任的网络进行传输。如果 Apple TV 要在共享网络（例如度假民宿的 Wi-Fi）上使用，请先在家中导入配置文件，再把 Apple TV 带过去。导入指南 说明了为什么网络必须受信任。

连接并检查

请在 Apple TV 接入家庭以外的网络时进行连接。从家庭网络内部进行测试，可能无法看出远程访问是否正常。

WaveSocket 会选中已保存的配置文件并打开 连接 屏幕。选择 连接。首次连接时，请允许 Apple TV 添加 VPN 配置。确认显示 服务器已验证，并且 最早一次对等端握手的经过时间 旁边显示的是最近的时间，然后通过地址打开一个已知的家庭网络服务。在 OPNsense 中，VPN → WireGuard → Status 会显示该对等端最近一次握手的时间。

如果端点使用 DDNS 主机名，WaveSocket 会在连接前解析该主机名，并在连接期间再次检查；请参阅 DNS 和服务器地址。

WaveSocket 的所有功能每次连接均可免费使用三分钟，因此您可以先试用这套设置，再选择可消除时间限制的 WaveSocket 永久使用权。

如果无法连接

• 没有握手：请检查 WAN 规则，并确认端点指向您当前的公网地址。
• 部分应用无法加载：如果握手正常，但部分应用卡住或只能加载一部分，请查看 OPNsense 指南中关于 MTU 和 Normalization（MSS 钳制）规则的说明。在 WaveSocket 中，请断开连接，然后在 编辑配置 中调整 MTU。如果配置中没有 MTU 行，WaveSocket 会使用 1280。
• 位于运营商级 NAT 或另一台路由器之后：两者都可能阻止传入连接。请向您的互联网服务提供商申请公网 IP 地址，或在 OPNsense 与互联网之间的路由器上转发该端口。OPNsense 文档未涵盖这种情况。

如需了解路由和重叠网络，请参阅 路由和您的家庭网络。

以上步骤依据 2026 年 10 月 16 日核对的 OPNsense 已发布文档，而非 WaveSocket 自己对 OPNsense 的测试。菜单标签可能因版本不同而更改；如有更改，请按照当前文档操作。OPNsense® 是其所有者的注册商标。WaveSocket 是一款独立应用，与 OPNsense 项目和 Deciso B.V. 没有关联，也未获得二者的认可。