**Every device is protected:** Phones, tablets, laptops, smart TVs, gaming consoles, IoT devices, guests - everything. Individual devices can be [bypassed](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md#vpn-bypass-routing) for direct WAN access when needed.

---

## Why Not Just Use Mullvad QUIC or WireGuard Apps?

Great question. Mullvad's QUIC tunnels and WireGuard apps are excellent for individual device protection. Here's when each approach makes sense:

### VPN Apps Are Better When:
- You only need to protect 1-2 devices
- You travel frequently and use different networks
- You want per-app split tunneling
- You're on a network you don't control

### Network-Level VPN Is Better When:
- You have many devices (especially ones that can't run VPN apps)
- You want "set and forget" protection for your entire household
- You need to protect smart home/IoT devices
- You want a **kill switch that actually works** (more on this below)
- You're in a region with VPN blocking/deep packet inspection

### The Kill Switch Problem

Here's something most people don't realize: **VPN app kill switches often fail**.

When a VPN app crashes, loses connection, or during the moments between connection drops and reconnection, your traffic can leak to your ISP. App-based kill switches try to prevent this, but they operate at the application level - if the app itself crashes, the kill switch dies with it.

**This stack implements a firewall-based kill switch:**```
Normal Operation:
  Device → Privacy Router → VPN Tunnel → Internet ✓

VPN Down (App-based kill switch):
  Device → [App crashed] → ISP sees traffic ✗

VPN Down (This stack):
  Device → Privacy Router → [No route exists] → Traffic blocked ✓

Datenverkehr aus dem LAN kann **nur** zur VPN-Zone gehen. Es gibt keine Weiterleitungsregel von LAN zu WAN. Dies ist keine "block"-Regel, die umgangen werden könnte - die Route existiert einfach nicht.

### Routing-Tabelle```bash
# When VPN is UP:
default dev awg0           # All traffic → VPN tunnel
1.2.3.4 via 192.168.1.1    # VPN server → WAN (exception)

# When VPN is DOWN:
# No default route exists
# Traffic has nowhere to go = blocked

> **🤖 Nicht sicher, welche Option Sie wählen sollen?** Ein KI-Agent kann Ihre Einrichtung bewerten und die beste Option empfehlen. Verweisen Sie ihn auf [AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md) und lassen Sie ihn Sie durch die Bereitstellung führen.

### Installationsübersicht

**Für Optionen A & B (OpenWrt):**
1. Installieren Sie OpenWrt auf Ihrem Gerät
2. Installieren Sie AmneziaWG (oder WireGuard)
3. Konfigurieren Sie die Netzwerkschnittstellen
4. Richten Sie die Firewall-Kill-Switch ein
5. Stellen Sie AdGuard Home für DNS bereit
6. Installieren Sie Watchdog für automatische Wiederherstellung
7. Wechseln Sie Ihr Netzwerk um

**Ausführliche Anleitung:** [docs/DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md)

**Für Option C (Docker):** Siehe [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) für containerspezifische Einrichtung.

---

## Dokumentation

| Dokument | Beschreibung |
|----------|-------------|
| [ARCHITECTURE.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/ARCHITECTURE.md) | Systemdesign, Komponenten, Sicherheitsmodell |
| [HOW-IT-WORKS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/HOW-IT-WORKS.md) | Technischer Tiefgang zu jeder Komponente |
| [DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md) | Schritt-für-Schritt-Installationsanleitung |
| [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) | Docker-Bereitstellung (fortgeschrittene Benutzer) |
| [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md) | Vollständige Konfigurationsreferenz |
| [OPTIONAL_ADDONS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/OPTIONAL_ADDONS.md) | AdGuard Home, BanIP und andere Sicherheitserweiterungen |
| [TROUBLESHOOTING.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/TROUBLESHOOTING.md) | Häufige Probleme und Lösungen |

---

## Netzwerkdiagramm```
                                    INTERNET
                                        │
                            ┌───────────┴───────────┐
                            │     VPN Provider      │
                            │   (Mullvad/IVPN/etc)  │
                            └───────────┬───────────┘
                                        │
                              Encrypted WireGuard
                                     Tunnel
                                        │
┌───────────────────────────────────────┼───────────────────────────────────────┐
│ YOUR HOME                             │                                       │
│                                       │                                       │
│    ┌──────────┐              ┌────────┴────────┐              ┌──────────┐   │
│    │   ISP    │    WAN       │                 │    LAN       │  WiFi    │   │
│    │  MODEM   │─────────────▶│ PRIVACY ROUTER  │─────────────▶│  ROUTER  │   │
│    │          │  (Untrusted) │                 │  (Protected) │          │   │
│    └──────────┘              │  ┌───────────┐  │              └────┬─────┘   │
│                              │  │ AdGuard   │  │                   │         │
│                              │  │ DNS + Ads │  │                   │         │
│                              │  └───────────┘  │              ┌────┴─────┐   │
│                              │  ┌───────────┐  │              │ DEVICES  │   │
│                              │  │ Kill      │  │              │          │   │
│                              │  │ Switch    │  │              │ Phone    │   │
│                              │  └───────────┘  │              │ Laptop   │   │
│                              │  ┌───────────┐  │              │ Smart TV │   │
│                              │  │ Watchdog  │  │              │ Console  │   │
│                              │  │ Recovery  │  │              │ IoT      │   │
│                              │  └───────────┘  │              └──────────┘   │
│                              └─────────────────┘                             │
│                                                                              │
└──────────────────────────────────────────────────────────────────────────────┘

Traffic Flow:
  Device → WiFi Router → Privacy Router → VPN Tunnel → VPN Server → Internet
                              │
                    DNS: AdGuard (DoH) ─────────────▶ VPN Provider DNS

Kill Switch:
  If VPN down → No route to internet → All traffic blocked (not leaked)

> **Dieser Stack konzentriert sich auf WireGuard/AmneziaWG.** Für VLESS, XRay oder andere erweiterte Protokolle sollten Anwender dedizierte Lösungen recherchieren oder den Betrieb von [Amnezia VPN](https://amnezia.org) in Betracht ziehen, das mehrere Protokolle einschließlich XRay unterstützt.

---

## Hardware-Empfehlungen

> **Mindestanforderungen:** 1 GB RAM, zwei Netzwerkschnittstellen (integriert + USB), OpenWrt-Unterstützung. Empfohlen: 2 GB+ RAM für AdGuard Home DNS-Filterung.

### Budget (~50-80 $)
- Raspberry Pi 4 (2GB+) mit USB-Ethernet-Adapter
- GL.iNet-Reiserouter (manche laufen mit OpenWrt)

### Empfohlen (~100-150 $)
- Raspberry Pi 5 mit USB 3.0 Ethernet
- Zimaboard oder ähnliches x86-SBC

### Leistung (~150-300 $)
- Mini-PC mit zwei NICs (Intel N150-Systeme)
- Protectli Vault oder ähnliches

### Homelab / Unternehmen
- Virtuelle Maschine auf vorhandenem Hypervisor (Proxmox, ESXi, Hyper-V)
- Dediziertes x86-Firewall-Gerät

---

## Sicherheitsüberlegungen

### Wovor dies schützt
- ISP-Datenverkehrsüberwachung und -protokollierung
- Netzwerkweite Werbeverfolgung
- DNS-Entführung und -Überwachung
- IP-basierte Geolokalisierung
- Verkehrskorrelation (in Kombination mit guter OpSec)
- VPN-Blockierung durch DPI (mit AmneziaWG)

### Wovor dies nicht schützt
- Browser-Fingerprinting
- Verfolgung angemeldeter Konten (Google, Facebook usw.)
- Malware auf Ihren Geräten
- Physischer Zugriff auf Ihr Netzwerk
- Kompromittierter VPN-Anbieter

### OpSec-Empfehlungen
- Verwenden Sie datenschutzorientierte Browser (Firefox, Brave)
- Verwenden Sie datenschutzfreundliche Suchmaschinen
- Melden Sie sich von Tracking-Diensten ab, wenn Sie sie nicht benötigen
- Ziehen Sie abgeschottete Identitäten in Betracht
- Halten Sie Geräte auf dem neuesten Stand

---

## KI-gestützte Einrichtung

Bei komplexen Bereitstellungen oder Fehlerbehebungen geben Sie einem KI-Codierungsagenten Zugriff auf dieses **gesamte Repository** sowie SSH-Zugang zu Ihrem Router (wenn Sie nicht wissen, wie, bitten Sie den Agenten, Sie anzuleiten).

**Empfohlen:** Dieser Stack wurde mit **Claude Opus 4.6** über [Claude Code](https://claude.com/claude-code) entwickelt, getestet und bereitgestellt. Für beste Ergebnisse verwenden Sie ein leistungsfähiges Frontier-Modell, das Shell-Befehle ausführen und Netzwerkkonfigurationen verstehen kann:

- **Claude Opus 4.6 / Sonnet 4.6** (Anthropic) – Für diese Implementierung verwendet
- **GPT-5.4** (OpenAI)
- **Gemini 3.1** (Google)

**Was der Agent kann:**
- **Netzwerk-Audit** – Durchleuchten Sie Ihre aktuelle Einrichtung und ermitteln Sie Anforderungen
- **Geführte Konfiguration** – Generieren Sie Konfigurationen mit Ihren spezifischen IPs, Schlüsseln und Präferenzen
- **Automatisierte Fehlerbehebung** – Diagnostizieren Sie Routing-, Firewall- und DNS-Probleme in Echtzeit
- **Skriptgestützte Bereitstellung** – Führen Sie Installationsschritte mit Ihrer Zustimmung aus

**Schnellstart:**
1. Klonen Sie dieses Repo oder geben Sie dem Agenten GitHub-Zugriff
2. Verweisen Sie den Agenten auf **[AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md)** – enthält das vollständige Betriebsframework
3. Geben Sie SSH-Zugangsdaten für Ihr Zielgerät an
4. Lassen Sie den Agenten prüfen, planen und Sie durch die Bereitstellung führen

Die Agentenanweisungen umfassen Diagnosebefehle, Validierungstests, Fehlerbehebungsverfahren und Sicherheitsregeln. Alle Konfigurationen in diesem Repo sind parametrisiert und agentenfreundlich.

---

## Verwandte Projekte

Dieser Stack baut auf exzellenter Open-Source-Arbeit auf:

| Projekt | Beschreibung |
|---------|-------------|
| [amnezia-vpn/amneziawg-linux-kernel-module](https://github.com/amnezia-vpn/amneziawg-linux-kernel-module) | AmneziaWG-Kernelmodul |
| [amnezia-vpn/amneziawg-tools](https://github.com/amnezia-vpn/amneziawg-tools) | AmneziaWG-Benutzerwerkzeuge |
| [Slava-Shchipunov/awg-openwrt](https://github.com/Slava-Shchipunov/awg-openwrt) | Vorgefertigte AmneziaWG-Pakete für OpenWrt |
| [wgtunnel/wgtunnel](https://github.com/wgtunnel/wgtunnel) | WireGuard-Tunnelverwaltung |

---

## Lizenz

MIT-Lizenz – Siehe [LICENSE](https://github.com/yoloshii/privacy-first-network/blob/HEAD/LICENSE) für Details.

---

## Danksagungen

- [OpenWrt Project](https://openwrt.org/) – Die Grundlage
- [AmneziaWG](https://github.com/amnezia-vpn/amneziawg-tools) – DPI-Umgehung
- [AdGuard Home](https://adguard.com/adguard-home.html) – DNS-Filterung
- [WireGuard](https://www.wireguard.com/) – Modernes VPN-Protokoll

---

## FAQ

**F: Wird dies mein Internet verlangsamen?**
A: Minimale Auswirkungen. WireGuard ist extrem effizient. Die meisten Benutzer sehen eine Geschwindigkeitsreduzierung von <5 %. Der Hauptfaktor ist die Serverqualität Ihres VPN-Anbieters.

**F: Kann ich weiterhin auf lokale Netzwerkgeräte zugreifen?**
A: Ja. LAN-Verkehr bleibt lokal und geht nicht durch das VPN.

**F: Was passiert, wenn der Privacy-Router ausfällt?**
A: Ihr Netzwerk verliert die Internetverbindung, bis es repariert oder umgangen wird. Dies ist eine Funktion, kein Fehler – es stellt sicher, dass kein ungeschützter Datenverkehr durchsickert.

**F: Kann ich bestimmte Geräte vom VPN ausschließen?**
A: Ja, mit zusätzlicher Konfiguration. Sie können Firewall-Regeln erstellen, um bestimmte IPs direkt an das WAN weiterzuleiten. Siehe [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md).

**F: Funktioniert dies mit IPv6?**
A: IPv6 ist deaktiviert, um Lecks zu verhindern. Die meisten VPN-Anbieter unterstützen IPv6 noch nicht richtig.

**F: Kann mein ISP sehen, dass ich ein VPN benutze?**
A: Bei standardmäßigem WireGuard können sie verkehrsähnlichen VPN-Verkehr sehen. Mit AmneziaWG-Verschleierung erscheint der Verkehr als zufälliges Rauschen.

**F: Wie hilft dies bei Datenschutzbedenken bezüglich Altersverifikation?**
A: Ein VPN leitet Ihren Datenverkehr durch einen verschlüsselten Tunnel und verhindert so, dass Ihr ISP protokolliert, welche Websites Sie besuchen. Dies ist ein **Datenschutz-Tool** – es verhindert, dass Drittanbieter von Altersverifikationen Ihre Browsing-Aktivitäten über Websites hinweg korrelieren oder Verhaltensprofile erstellen. Ihre tatsächliche Altersverifikation mit Plattformen bleibt zwischen Ihnen und dieser Plattform und wird nicht mit ISPs oder Datenbrokern geteilt. Für spezifische Compliance-Fragen konsultieren Sie lokale Vorschriften.

**F: Wird dies funktionieren, nachdem das australische Social-Media-Verbot in Kraft tritt?**
A: Dieser Stack schützt Ihren Netzwerkverkehr vor ISP-Protokollierung und bietet Privatsphäre für alle Geräte. Die australische Gesetzgebung vom Dezember 2025 betrifft hauptsächlich die plattformseitige Verifikation. Ein VPN stellt sicher, dass Ihr ISP nicht sehen kann, welche Websites Sie besuchen, unabhängig von plattformseitigen Anforderungen.

**F: Ist dies legal?**
A: Die Nutzung von VPNs ist in den meisten westlichen Ländern einschließlich Großbritannien, Australien, USA und EU legal. Dieser Stack ist ein Datenschutz-Tool ähnlich wie HTTPS – es verschlüsselt Ihren Datenverkehr. Die Nutzung eines VPNs, um auf in Ihrer Region verfügbare Inhalte zuzugreifen, ist in der Regel legal. Überprüfen Sie immer Ihre lokalen Gesetze.

---

*Schützen Sie Ihr gesamtes Netzwerk. Einrichten und vergessen.*