**Ogni dispositivo è protetto:** Telefoni, tablet, laptop, smart TV, console di gioco, dispositivi IoT, ospiti: tutto. I singoli dispositivi possono essere [esclusi](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md#vpn-bypass-routing) per l'accesso WAN diretto quando necessario.

---

## Perché Non Usare Semplicemente le App Mullvad QUIC o WireGuard?

Ottima domanda. I tunnel QUIC e le app WireGuard di Mullvad sono eccellenti per la protezione di singoli dispositivi. Ecco quando ciascun approccio ha senso:

### Le App VPN Sono Migliori Quando:
- Devi proteggere solo 1-2 dispositivi
- Viaggi spesso e utilizzi reti diverse
- Vuoi lo split tunneling per app
- Sei su una rete che non controlli

### La VPN a Livello di Rete È Migliore Quando:
- Hai molti dispositivi (soprattutto quelli che non possono eseguire app VPN)
- Vuoi una protezione "imposta e dimentica" per tutta la tua famiglia
- Devi proteggere dispositivi smart home/IoT
- Vuoi un **kill switch che funzioni davvero** (maggiori dettagli più avanti)
- Ti trovi in una regione con blocco VPN/ispezione approfondita dei pacchetti

### Il Problema del Kill Switch

Ecco una cosa che molti non sanno: **i kill switch delle app VPN spesso falliscono**.

Quando un'app VPN si blocca, perde la connessione o nei momenti tra la caduta e la riconnessione, il tuo traffico può fuoriuscire verso il tuo ISP. I kill switch basati su app cercano di prevenire questo, ma operano a livello applicativo: se l'app stessa si blocca, il kill switch muore con essa.

**Questo stack implementa un kill switch basato su firewall:**```
Normal Operation:
  Device → Privacy Router → VPN Tunnel → Internet ✓

VPN Down (App-based kill switch):
  Device → [App crashed] → ISP sees traffic ✗

VPN Down (This stack):
  Device → Privacy Router → [No route exists] → Traffic blocked ✓

Il traffico dalla LAN può **solo** andare alla zona VPN. Non esiste alcuna regola di inoltro dalla LAN alla WAN. Questa non è una regola di "blocco" che potrebbe essere aggirata - la rotta semplicemente non esiste.

### Tabella di routing```bash
# When VPN is UP:
default dev awg0           # All traffic → VPN tunnel
1.2.3.4 via 192.168.1.1    # VPN server → WAN (exception)

# When VPN is DOWN:
# No default route exists
# Traffic has nowhere to go = blocked

> **🤖 Non sai quale scegliere?** Un agente AI può valutare la tua configurazione e consigliare l'opzione migliore. Indirizzalo a [AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md) e lascia che ti guidi nella distribuzione.

### Panoramica dell'installazione

**Per le Opzioni A e B (OpenWrt):**
1. Installa OpenWrt sul tuo dispositivo
2. Installa AmneziaWG (o WireGuard)
3. Configura le interfacce di rete
4. Configura il kill switch del firewall
5. Distribuisci AdGuard Home per il DNS
6. Installa il watchdog per il recupero automatico
7. Trasferisci la tua rete

**Istruzioni dettagliate:** [docs/DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md)

**Per l'Opzione C (Docker):** Vedi [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) per la configurazione specifica dei container.

---

## Documentazione

| Documento | Descrizione |
|----------|-------------|
| [ARCHITECTURE.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/ARCHITECTURE.md) | Progettazione del sistema, componenti, modello di sicurezza |
| [HOW-IT-WORKS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/HOW-IT-WORKS.md) | Analisi tecnica approfondita di ogni componente |
| [DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md) | Guida all'installazione passo passo |
| [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) | Distribuzione Docker (utenti avanzati) |
| [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md) | Riferimento completo alla configurazione |
| [OPTIONAL_ADDONS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/OPTIONAL_ADDONS.md) | AdGuard Home, BanIP e altri componenti aggiuntivi di sicurezza |
| [TROUBLESHOOTING.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/TROUBLESHOOTING.md) | Problemi comuni e soluzioni |

---

## Diagramma di rete```
                                    INTERNET
                                        │
                            ┌───────────┴───────────┐
                            │     VPN Provider      │
                            │   (Mullvad/IVPN/etc)  │
                            └───────────┬───────────┘
                                        │
                              Encrypted WireGuard
                                     Tunnel
                                        │
┌───────────────────────────────────────┼───────────────────────────────────────┐
│ YOUR HOME                             │                                       │
│                                       │                                       │
│    ┌──────────┐              ┌────────┴────────┐              ┌──────────┐   │
│    │   ISP    │    WAN       │                 │    LAN       │  WiFi    │   │
│    │  MODEM   │─────────────▶│ PRIVACY ROUTER  │─────────────▶│  ROUTER  │   │
│    │          │  (Untrusted) │                 │  (Protected) │          │   │
│    └──────────┘              │  ┌───────────┐  │              └────┬─────┘   │
│                              │  │ AdGuard   │  │                   │         │
│                              │  │ DNS + Ads │  │                   │         │
│                              │  └───────────┘  │              ┌────┴─────┐   │
│                              │  ┌───────────┐  │              │ DEVICES  │   │
│                              │  │ Kill      │  │              │          │   │
│                              │  │ Switch    │  │              │ Phone    │   │
│                              │  └───────────┘  │              │ Laptop   │   │
│                              │  ┌───────────┐  │              │ Smart TV │   │
│                              │  │ Watchdog  │  │              │ Console  │   │
│                              │  │ Recovery  │  │              │ IoT      │   │
│                              │  └───────────┘  │              └──────────┘   │
│                              └─────────────────┘                             │
│                                                                              │
└──────────────────────────────────────────────────────────────────────────────┘

Traffic Flow:
  Device → WiFi Router → Privacy Router → VPN Tunnel → VPN Server → Internet
                              │
                    DNS: AdGuard (DoH) ─────────────▶ VPN Provider DNS

Kill Switch:
  If VPN down → No route to internet → All traffic blocked (not leaked)

> **Questo stack si concentra su WireGuard/AmneziaWG.** Per VLESS, XRay o altri protocolli avanzati, gli utenti dovrebbero cercare soluzioni dedicate o considerare l'uso di [Amnezia VPN](https://amnezia.org) che supporta più protocolli, incluso XRay.

---

## Raccomandazioni Hardware

> **Requisiti minimi:** 1GB di RAM, doppia interfaccia di rete (integrata + USB), supporto OpenWrt. Consigliato: 2GB+ di RAM per il filtraggio DNS di AdGuard Home.

### Budget (~$50-80)
- Raspberry Pi 4 (2GB+) con adattatore Ethernet USB
- Router da viaggio GL.iNet (alcuni eseguono OpenWrt)

### Consigliato (~$100-150)
- Raspberry Pi 5 con Ethernet USB 3.0
- Zimaboard o simile SBC x86

### Prestazioni (~$150-300)
- Mini PC con doppia NIC (sistemi Intel N150)
- Protectli Vault o simile

### Homelab / Enterprise
- Macchina virtuale su hypervisor esistente (Proxmox, ESXi, Hyper-V)
- Appliance firewall x86 dedicato

---

## Considerazioni sulla Sicurezza

### Cosa Protegge
- Monitoraggio e registrazione del traffico ISP
- Tracciamento pubblicitario a livello di rete
- Hijacking e monitoraggio DNS
- Geolocalizzazione basata su IP
- Correlazione del traffico (se combinata con una buona OpSec)
- Blocco VPN tramite DPI (con AmneziaWG)

### Cosa Non Protegge
- Fingerprinting del browser
- Tracciamento degli account connessi (Google, Facebook, ecc.)
- Malware sui tuoi dispositivi
- Accesso fisico alla tua rete
- Provider VPN compromesso

### Raccomandazioni di OpSec
- Usa browser orientati alla privacy (Firefox, Brave)
- Usa motori di ricerca che rispettano la privacy
- Esci dai servizi di tracciamento quando non necessari
- Considera identità separate
- Mantieni i dispositivi aggiornati

---

## Configurazione Assistita dall'IA

Per distribuzioni complesse o risoluzione dei problemi, dai a un agente IA di coding accesso a questo **intero repository** più accesso SSH al tuo router (se non sai come fare, chiedi all'agente di guidarti).

**Consigliato:** Questo stack è stato sviluppato, testato e distribuito utilizzando **Claude Opus 4.6** tramite [Claude Code](https://claude.com/claude-code). Per risultati migliori, usa un modello frontier capace di eseguire comandi shell e comprendere la configurazione di rete:

- **Claude Opus 4.6 / Sonnet 4.6** (Anthropic) - Utilizzato per questa implementazione
- **GPT-5.4** (OpenAI)
- **Gemini 3.1** (Google)

**Cosa può fare l'agente:**
- **Audit di rete** - Analizza la tua configurazione attuale e identifica i requisiti
- **Configurazione guidata** - Genera configurazioni con i tuoi IP, chiavi e preferenze specifici
- **Risoluzione automatica dei problemi** - Diagnostica problemi di routing, firewall e DNS in tempo reale
- **Distribuzione scriptata** - Esegue i passaggi di installazione con la tua approvazione

**Avvio rapido:**
1. Clona questo repo o dai all'agente accesso a GitHub
2. Indirizza l'agente a **[AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md)** - contiene il framework operativo completo
3. Fornisci le credenziali SSH al tuo dispositivo di destinazione
4. Lascia che l'agente esegua audit, pianifichi e ti guidi nella distribuzione

Le istruzioni dell'agente includono comandi diagnostici, test di validazione, procedure di recupero dagli errori e regole di sicurezza. Tutte le configurazioni in questo repo sono parametrizzate e adatte all'agente.

---

## Progetti Correlati

Questo stack si basa su eccellente lavoro open-source:

| Progetto | Descrizione |
|---------|-------------|
| [amnezia-vpn/amneziawg-linux-kernel-module](https://github.com/amnezia-vpn/amneziawg-linux-kernel-module) | Modulo kernel AmneziaWG |
| [amnezia-vpn/amneziawg-tools](https://github.com/amnezia-vpn/amneziawg-tools) | Strumenti userspace AmneziaWG |
| [Slava-Shchipunov/awg-openwrt](https://github.com/Slava-Shchipunov/awg-openwrt) | Pacchetti AmneziaWG precompilati per OpenWrt |
| [wgtunnel/wgtunnel](https://github.com/wgtunnel/wgtunnel) | Gestione tunnel WireGuard |

---

## Licenza

Licenza MIT - Vedi [LICENSE](https://github.com/yoloshii/privacy-first-network/blob/HEAD/LICENSE) per i dettagli.

---

## Riconoscimenti

- [OpenWrt Project](https://openwrt.org/) - La base
- [AmneziaWG](https://github.com/amnezia-vpn/amneziawg-tools) - Bypass DPI
- [AdGuard Home](https://adguard.com/adguard-home.html) - Filtraggio DNS
- [WireGuard](https://www.wireguard.com/) - Protocollo VPN moderno

---

## FAQ

**D: Questo rallenterà la mia connessione internet?**
R: Impatto minimo. WireGuard è estremamente efficiente. La maggior parte degli utenti vede una riduzione della velocità inferiore al 5%. Il fattore principale è la qualità del server del tuo provider VPN.

**D: Posso comunque accedere ai dispositivi della rete locale?**
R: Sì. Il traffico LAN rimane locale e non passa attraverso la VPN.

**D: Cosa succede se il router privacy fallisce?**
R: La tua rete perde l'accesso a internet finché non viene riparata o bypassata. Questa è una caratteristica, non un bug - garantisce che nessun traffico non protetto venga disperso.

**D: Posso escludere alcuni dispositivi dalla VPN?**
R: Sì, con configurazione aggiuntiva. Puoi creare regole firewall per instradare IP specifici direttamente al WAN. Vedi [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md).

**D: Questo funziona con IPv6?**
R: IPv6 è disabilitato per prevenire perdite. La maggior parte dei provider VPN non supporta ancora correttamente IPv6.

**D: Il mio ISP può vedere che sto usando una VPN?**
R: Con WireGuard standard, può vedere traffico simile a VPN. Con l'offuscamento AmneziaWG, il traffico appare come rumore casuale.

**D: In che modo questo aiuta con i problemi di privacy della verifica dell'età?**
R: Una VPN instrada il tuo traffico attraverso un tunnel crittografato, impedendo al tuo ISP di registrare quali siti visiti. Questo è uno **strumento per la privacy** - impedisce ai servizi di verifica dell'età di terze parti di correlare la tua attività di navigazione tra siti o creare profili comportamentali. La tua verifica dell'età effettiva con le piattaforme rimane tra te e quella piattaforma, non condivisa con ISP o intermediari di dati. Per domande specifiche sulla conformità, consulta le normative locali.

**D: Funzionerà dopo che il divieto dei social media in Australia entrerà in vigore?**
R: Questo stack protegge il traffico di rete dal logging ISP e fornisce privacy per tutti i dispositivi. La legislazione australiana di dicembre 2025 riguarda principalmente la verifica lato piattaforma. Una VPN garantisce che il tuo ISP non possa vedere quali siti visiti, indipendentemente dai requisiti a livello di piattaforma.

**D: È legale?**
R: L'uso della VPN è legale nella maggior parte dei paesi occidentali, inclusi Regno Unito, Australia, Stati Uniti ed Europa. Questo stack è uno strumento di privacy simile a HTTPS - crittografa il tuo traffico. Usare una VPN per accedere a contenuti disponibili nella tua regione è generalmente legale. Controlla sempre le leggi locali.

---

*Proteggi l'intera rete. Impostalo e dimenticalo.*