在 pfSense 軟體上為 Apple TV 設定 WireGuard

適用情境

當 Apple TV 不在家中（例如在度假租屋），且需要連回執行 pfSense 軟體的防火牆時，請使用此設定。

本指南不說明如何在家中讓 Apple TV 的流量經由防火牆上的 VPN 用戶端傳送。該設定不需要 WaveSocket。

您需要：

一台裝有 WaveSocket 應用程式的 Apple TV；此應用程式使用 WireGuard 設定連線，本身不包含 VPN 服務
防火牆的管理員存取權，以及一個 Apple TV 可以連到的 WAN 位址
WireGuard 套件；Netgate® 文件建議在安裝前先升級至最新版的 pfSense Plus 或 pfSense CE 軟體
一台與 Apple TV 位於同一網路、用於傳輸的手機或電腦

在 Netgate 的範例中，您需要根據隧道和對等端設定自行撰寫 Apple TV 的設定，再將它貼到 WaveSocket 中。

設定 WireGuard 伺服器

以下步驟依循 Netgate 文件中的 WireGuard 遠端存取範例。

在 System → Packages 下的 Available Packages 分頁中安裝 WireGuard 套件。
在 VPN → WireGuard → Tunnels 下新增一條隧道。啟用它，設定監聽連接埠（範例中為 51820），產生介面金鑰，指定一個位址（例如 10.6.210.1/24），然後選擇 Save Tunnel。
在 Firewall → Rules 的 WAN 分頁中，新增一條 Pass 規則，允許以 UDP 連到 WAN 位址的監聽連接埠。在 WireGuard 分頁中，新增一條允許隧道流量的規則。儲存每條規則，然後選擇 Apply Changes。

如果您的 WAN 位址會變動，請設定 Services → Dynamic DNS，並以該主機名稱作為端點。

建立 Apple TV 用戶端

為 Apple TV 建立一組金鑰對，例如在防火牆的主控台或 SSH shell 中執行 wg genkey | tee /dev/stderr | wg pubkey。此指令會先輸出私鑰，再輸出公鑰，不會儲存任何檔案。Netgate 範例指出，金鑰不能在不同用戶端之間重複使用。
在 VPN → WireGuard → Peers 下為該隧道新增一個對等端。啟用 Dynamic Endpoint，貼上 Apple TV 的公鑰，並將 Allowed IPs 設為其隧道位址，例如 10.6.210.2/32。
儲存對等端並套用變更。

撰寫用戶端設定

請將預留位置替換為您自己的值：

APPLE_TV_PRIVATE_KEY：您在上一節建立的 Apple TV 私鑰
FIREWALL_TUNNEL_PUBLIC_KEY：VPN → WireGuard → Tunnels 下該隧道的公鑰
vpn.example.com：您的 WAN 位址或 DDNS 主機名稱
10.6.0.0/24：您的家庭網路

Address 使用與對等端 Allowed IPs 相同的 IP 位址（10.6.210.2），但改用隧道的遮罩（/24），如下方範例所示。

[Interface]
PrivateKey = APPLE_TV_PRIVATE_KEY
Address = 10.6.210.2/24

[Peer]
PublicKey = FIREWALL_TUNNEL_PUBLIC_KEY
AllowedIPs = 10.6.210.1/32, 10.6.0.0/24
Endpoint = vpn.example.com:51820

這個範例只讓前往隧道和一個家庭網路的流量經由 VPN 傳送。若要傳送所有 IPv4 流量，請設定 AllowedIPs = 0.0.0.0/0，並在 [Interface] 區段中加入 DNS = 10.6.210.1。IPv6 需要自己的隧道位址和 ::/0；請參閱路由和您的家庭網路。

在 Apple TV 上匯入

在 Apple TV 上開啟 WaveSocket，選擇 設定檔 → 加入VPN設定檔 → 透過瀏覽器上傳，然後選擇 開始上傳階段。如果目前已連上 VPN，請先中斷連線。
在與 Apple TV 位於同一網路的手機或電腦上，掃描電視上的 QR 碼，或開啟畫面上顯示的位址。在 4位數代碼 欄位中輸入電視上顯示的代碼。
在 輸入方式 下選擇 貼上設定文字，貼上完整的設定，然後點選 傳送至Apple TV。
在 Apple TV 上檢查設定檔。選擇 重新命名，為它取一個清楚的名稱，例如「家用 VPN」，然後選擇 儲存設定檔。

請在受信任的網路上進行傳輸。如果 Apple TV 位於共用網路（例如度假租屋的 Wi-Fi），請先在家中匯入設定檔，再把 Apple TV 帶過去。匯入指南說明了為何必須使用受信任的網路。

連線並檢查

請在 Apple TV 位於家庭網路以外的網路時進行連線。從家庭網路內部測試，可能無法看出遠端存取是否正常。

WaveSocket 會選取已儲存的設定檔並開啟連線畫面。選擇連線。第一次連線時，請允許 Apple TV 加入 VPN 設定。確認畫面顯示 伺服器已驗證，且 最早一次對等端交握的經過時間 旁顯示的是最近的時間，然後用位址開啟一項已知的家中服務。

若以 DDNS 主機名稱作為端點，WaveSocket 會在連線前解析該名稱，並在連線期間再次檢查；請參閱 DNS 和伺服器位址。

WaveSocket 的所有功能每次連線皆可免費使用三分鐘，因此您可以先試用這項設定，再選擇可取消時間限制的 WaveSocket 永久使用權。

如果無法連線

沒有隧道。 請確認 VPN → WireGuard → Settings 下的 Enable 已開啟。
沒有握手。 請確認對等端的公鑰與 Apple TV 的私鑰屬於同一組金鑰對，且用戶端的 PublicKey 是隧道的公鑰。同時確認 WAN 規則，以及端點是否解析為您目前的 WAN 位址。
使用完整隧道時無法上網。 請確認 Firewall → NAT → Outbound 會將隧道網路（10.6.210.0/24）轉譯為 WAN 位址。如果名稱查詢失敗，請檢查 Services → DNS Resolver → Access Lists。
閒置時斷線。 如果 Apple TV 與網際網路之間還有另一道防火牆，請在 [Peer] 區段中加入 PersistentKeepalive = 25。若是已儲存的設定檔，請中斷連線，然後在 編輯設定檔 中設定 PersistentKeepalive。

以上步驟依據 Netgate 已發布的文件（於 2026 年 10 月 16 日查核），而非 WaveSocket 自行搭配 pfSense 軟體進行的測試。選單標籤可能隨版本而變更；若有變更，請依照最新的文件操作。pfSense® 是 Electric Sheep Fencing LLC（「ESF」）擁有的註冊商標，未經 ESF 事先明確的書面許可，不得使用。Netgate® 是 Rubicon Communications LLC 擁有的註冊商標，未經 Rubicon Communications LLC 事先明確的書面許可，不得使用。WaveSocket 是一款獨立的應用程式。本網站與本應用程式皆與 ESF 或 Rubicon Communications LLC 沒有關聯，也未獲得 ESF 或 Rubicon Communications LLC 的認可。