在 Apple TV 上使用 OPNsense WireGuard 伺服器

適用情境

當 Apple TV 不在家中（例如在度假租屋），且需要透過執行 OPNsense® 的防火牆連回家時，請使用此設定。OPNsense 將這種設定稱為 Road Warrior 設定。

本指南不說明如何在家中讓 Apple TV 的流量經由防火牆上的 VPN 用戶端傳送。該設定不需要 WaveSocket。

您需要：

一台裝有 WaveSocket 應用程式的 Apple TV；此應用程式使用 WireGuard 設定連線，本身不包含 VPN 服務
管理員存取權，以及一個 Apple TV 可以連到的 WAN 位址
OPNsense 24.1.6 或更新版本：WireGuard 自 24.1 起內建，對等端產生器自 24.1.6 起提供 DNS 欄位
一台與 Apple TV 位於同一網路、用於傳輸的手機或電腦

下文提到的 Save 按鈕和 Store private key on this firewall 選項需要 OPNsense 26.7.3 或更新版本。在較舊的版本中，請使用 Store and generate next 旁的勾號按鈕；在這種情況下，私鑰一律不會被儲存。

設定 WireGuard 伺服器

以下步驟依循 OPNsense WireGuard Road Warrior 指南。

在 VPN → WireGuard → Instances 下新增一個執行個體。使用齒輪圖示產生其金鑰，設定監聽連接埠（例如 51820）和隧道位址（例如 10.10.10.1/24），然後儲存該執行個體。
開啟位於 Instances 和 Peers 清單下方的 Enable WireGuard，然後選擇 Apply。
在 Firewall → Rules → WAN 下新增一條 Pass 規則，允許以 UDP 連到 WAN 位址的監聽連接埠。
在 Interfaces → Assignments 下指派 WireGuard 裝置（例如 wg1）。開啟新的介面，啟用並儲存，然後選擇 Apply changes。接著重新啟動 WireGuard：將 Enable WireGuard 關閉後再開啟，每次都選擇 Apply。
在該介面上新增一條防火牆規則，允許 Apple TV 存取您選擇的網路或裝置。OPNsense 指南說明了何時需要設定外送 Source NAT，以及何時需要重新載入 Unbound DNS。

如果 WAN 位址會變動，請從 System → Firmware → Plugins 安裝 os-ddclient 外掛程式，並在 Services → Dynamic DNS 下進行設定。

建立 Apple TV 用戶端

開啟 VPN → WireGuard → Peer generator，然後選擇您的執行個體。
輸入 Endpoint：您的公用位址或 DNS 名稱加上連接埠，例如 vpn.example.com:51820。
為對等端取一個名稱（例如 Apple TV），並檢查建議的 Address。除非執行個體已儲存自己的值（26.7.3 或更新版本），否則 Allowed IPs 會建議讓所有流量通過（0.0.0.0/0,::/0）。若只要存取家庭網路，請輸入隧道網路和家庭網路，例如 10.10.10.0/24, 192.168.1.0/24。您設定的任何 DNS 伺服器都必須位於這些網路內。
若要使用 OPNsense 進行名稱查詢，請將 DNS Servers 設為隧道位址，例如 10.10.10.1。連線期間，WaveSocket 會使用這個位址作為隧道 DNS，因此 OPNsense 上的 Unbound 必須回應來自隧道網路的查詢。
複製 Config 欄位中的完整文字。然後選擇 Save，接著選擇 Apply。

請在儲存前複製文字。除非您開啟 Store private key on this firewall，否則 OPNsense 只會保留公鑰，日後無法重建這份設定。如果遺失了這份設定，請產生新的對等端。

在 Apple TV 上匯入

在 Apple TV 上開啟 WaveSocket，選擇 設定檔 → 加入VPN設定檔 → 透過瀏覽器上傳，然後選擇 開始上傳階段。如果目前已連上 VPN，請先中斷連線。
在與 Apple TV 位於同一網路的手機或電腦上，掃描電視上的 QR 碼，或開啟畫面上顯示的位址。在 4位數代碼 欄位中輸入電視上顯示的代碼。
在 輸入方式 下選擇 貼上設定文字，貼上完整的設定，然後點選 傳送至Apple TV。
在 Apple TV 上檢查設定檔。選擇 重新命名，為它取一個清楚的名稱，例如「家用 VPN」，然後選擇 儲存設定檔。

請在受信任的網路上進行傳輸。如果 Apple TV 位於共用網路（例如度假租屋的 Wi-Fi），請先在家中匯入設定檔，再把 Apple TV 帶過去。匯入指南說明了為何必須使用受信任的網路。

連線並檢查

請在 Apple TV 位於家庭網路以外的網路時進行連線。從家庭網路內部測試，可能無法看出遠端存取是否正常。

WaveSocket 會選取已儲存的設定檔並開啟連線畫面。選擇連線。第一次連線時，請允許 Apple TV 加入 VPN 設定。確認畫面顯示 伺服器已驗證，且 最早一次對等端交握的經過時間 旁顯示的是最近的時間，然後用位址開啟一項已知的家中服務。在 OPNsense 中，VPN → WireGuard → Status 會顯示該對等端最近一次的握手。

若以 DDNS 主機名稱作為端點，WaveSocket 會在連線前解析該名稱，並在連線期間再次檢查；請參閱 DNS 和伺服器位址。

WaveSocket 的所有功能每次連線皆可免費使用三分鐘，因此您可以先試用這項設定，再選擇可取消時間限制的 WaveSocket 永久使用權。

如果無法連線

沒有握手。 請檢查 WAN 規則，並確認端點指向您目前的公用位址。
部分應用程式無法載入。 如果握手正常，但某些應用程式卡住或只載入一部分，請依照 OPNsense 指南檢查 MTU 和 Normalization（MSS clamping）規則。請先在 WaveSocket 中斷連線，再於 編輯設定檔 中調整 MTU。如果設定中沒有 MTU 這一行，WaveSocket 會使用 1280。
位於電信業者級 NAT 或另一台路由器之後。 兩者都可能阻擋連入的連線。請向您的網路服務供應商申請公用 IP 位址，或在 OPNsense 與網際網路之間的那台路由器上轉送連接埠。OPNsense 文件並未涵蓋這種情況。

關於路由和重疊的網路，請參閱路由和您的家庭網路。

以上步驟依據 OPNsense 已發布的文件（於 2026 年 10 月 16 日查核），而非 WaveSocket 自行搭配 OPNsense 進行的測試。選單標籤可能隨版本而變更；若有變更，請依照最新的文件操作。OPNsense® 是其所有者的註冊商標。WaveSocket 是一款獨立的應用程式，與 OPNsense 專案或 Deciso B.V. 沒有關聯，也未獲得 OPNsense 專案或 Deciso B.V. 的認可。