在 pfSense 软件上为 Apple TV 设置 WireGuard

适用场景

当 Apple TV 不在家中（例如在度假民宿里），需要连回运行 pfSense 软件的防火墙时，请使用此设置。

本指南不涉及在家中让 Apple TV 流量经由防火墙上的 VPN 客户端传输。那种设置不需要 WaveSocket。

您需要：

一台装有 WaveSocket 应用的 Apple TV；WaveSocket 使用 WireGuard 配置进行连接，不包含 VPN 服务
防火墙的管理员权限，以及一个 Apple TV 可以访问到的 WAN 地址
WireGuard 软件包；Netgate® 文档建议在安装前先升级到最新的 pfSense Plus 或 pfSense CE 软件
一部与 Apple TV 位于同一网络、用于传输的手机或电脑

在 Netgate 的示例中，您需要根据隧道和对等端设置自行编写 Apple TV 配置，然后将其粘贴到 WaveSocket 中。

设置 WireGuard 服务器

以下步骤参照 Netgate 文档中的 WireGuard 远程访问示例。

在 System → Packages 下的 Available Packages 选项卡中安装 WireGuard 软件包。
在 VPN → WireGuard → Tunnels 下添加一个隧道。启用该隧道，设置监听端口（示例中为 51820），生成接口密钥，为其指定一个地址（例如 10.6.210.1/24），然后选择 Save Tunnel。
在 Firewall → Rules 的 WAN 选项卡中，添加一条 Pass 规则，协议为 UDP，目标为 WAN 地址上的监听端口。在 WireGuard 选项卡中，添加一条允许隧道流量的规则。保存每条规则，然后选择 Apply Changes。

如果您的 WAN 地址会变化，请设置 Services → Dynamic DNS，并将该主机名用作端点。

创建 Apple TV 客户端

为 Apple TV 创建一个密钥对，例如在防火墙的控制台或 SSH shell 中运行 wg genkey | tee /dev/stderr | wg pubkey。该命令会先输出私钥，再输出公钥，不会保存任何文件。Netgate 示例指出，不同客户端之间不能重复使用密钥。
在 VPN → WireGuard → Peers 下，为该隧道添加一个对等端。启用 Dynamic Endpoint，粘贴 Apple TV 的公钥，并将 Allowed IPs 设置为它的隧道地址，例如 10.6.210.2/32。
保存该对等端并应用更改。

编写客户端配置

请将占位符替换为您自己的值：

APPLE_TV_PRIVATE_KEY：您在上一节中创建的 Apple TV 私钥
FIREWALL_TUNNEL_PUBLIC_KEY：VPN → WireGuard → Tunnels 下显示的隧道公钥
vpn.example.com：您的 WAN 地址或 DDNS 主机名
10.6.0.0/24：您的家庭网络

Address 使用与对等端 Allowed IPs 相同的 IP 地址（10.6.210.2），但采用隧道的掩码（/24），如下例所示。

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

此示例只让发往隧道和一个家庭网络的流量经过 VPN。如需让所有 IPv4 流量都经过 VPN，请设置 AllowedIPs = 0.0.0.0/0，并在 [Interface] 部分添加 DNS = 10.6.210.1。IPv6 需要单独的隧道地址和 ::/0；请参阅路由和您的家庭网络。

在 Apple TV 上导入

在 Apple TV 上打开 WaveSocket，选择 配置 → 添加VPN配置 → 通过浏览器上传，然后选择 开始上传会话。如果已连接 VPN，请先断开连接。
在与 Apple TV 位于同一网络的手机或电脑上，扫描电视上的 QR 码或打开显示的地址。在 4位代码 字段中输入电视上显示的代码。
在 导入方式 下选择 粘贴配置文本，粘贴完整配置，然后点击 发送到Apple TV。
在 Apple TV 上检查该配置文件。选择 重命名，为其取一个清楚的名称，例如“家庭 VPN”，然后选择 保存配置。

请使用受信任的网络进行传输。如果 Apple TV 要在共享网络（例如度假民宿的 Wi-Fi）上使用，请先在家中导入配置文件，再把 Apple TV 带过去。导入指南说明了为什么网络必须受信任。

连接并检查

请在 Apple TV 接入家庭以外的网络时进行连接。从家庭网络内部进行测试，可能无法看出远程访问是否正常。

WaveSocket 会选中已保存的配置文件并打开连接屏幕。选择连接。首次连接时，请允许 Apple TV 添加 VPN 配置。确认显示 服务器已验证，并且 最早一次对等端握手的经过时间 旁边显示的是最近的时间，然后通过地址打开一个已知的家庭网络服务。

如果端点使用 DDNS 主机名，WaveSocket 会在连接前解析该主机名，并在连接期间再次检查；请参阅 DNS 和服务器地址。

WaveSocket 的所有功能每次连接均可免费使用三分钟，因此您可以先试用这套设置，再选择可消除时间限制的 WaveSocket 永久使用权。

如果无法连接

没有隧道：请检查 VPN → WireGuard → Settings 下的 Enable 是否已开启。
没有握手：请检查对等端的公钥是否与 Apple TV 私钥配对，以及客户端的 PublicKey 是否为隧道的公钥。确认 WAN 规则无误，并确认端点解析为您当前的 WAN 地址。
全隧道下无法上网：请检查 Firewall → NAT → Outbound 是否将隧道网络（10.6.210.0/24）转换为 WAN 地址。如果名称解析失败，请检查 Services → DNS Resolver → Access Lists。
空闲时断线：如果 Apple TV 与互联网之间还有另一道防火墙，请在 [Peer] 部分添加 PersistentKeepalive = 25。对于已保存的配置文件，请断开连接，然后在 编辑配置 中设置 PersistentKeepalive。

以上步骤依据 2026 年 10 月 16 日核对的 Netgate 已发布文档，而非 WaveSocket 自己对 pfSense 软件的测试。菜单标签可能因版本不同而更改；如有更改，请按照当前文档操作。pfSense® 是 Electric Sheep Fencing LLC（“ESF”）拥有的注册商标，未经 ESF 事先明确书面许可，不得使用。Netgate® 是 Rubicon Communications LLC 拥有的注册商标，未经 Rubicon Communications LLC 事先明确书面许可，不得使用。WaveSocket 是一款独立应用。本网站和本应用均与 ESF 和 Rubicon Communications LLC 没有关联，也未获得二者的认可。