**すべてのデバイスを保護:** スマートフォン、タブレット、ノートPC、スマートTV、ゲーム機、IoTデバイス、ゲスト端末など、すべてを保護します。個々のデバイスは、必要な場合に直接WANアクセスできるよう[バイパス](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md#vpn-bypass-routing)設定が可能です。

---

## なぜMullvad QUICやWireGuardアプリを使わないのか?

良い質問です。MullvadのQUICトンネルとWireGuardアプリは、個々のデバイスの保護には優れています。それぞれのアプローチが適しているケースは次のとおりです:

### VPNアプリが適しているケース:
- 保護が必要なデバイスが1〜2台しかない場合
- 頻繁に旅行し、異なるネットワークを利用する場合
- アプリ単位のスプリットトンネリングが必要な場合
- 自分が制御できないネットワークを利用している場合

### ネットワークレベルVPNが適しているケース:
- デバイスが多数ある場合(特にVPNアプリを実行できないデバイスがある場合)
- 家庭全体を「設定して放置」で保護したい場合
- スマートホーム/IoTデバイスを保護する必要がある場合
- **実際に機能するキルスイッチ**が必要な場合(詳細は後述)
- VPNブロッキング/ディープパケットインスペクションが行われている地域にいる場合

### キルスイッチの問題

多くの人が気づいていないことがあります: **VPNアプリのキルスイッチはしばしば機能しません。**

VPNアプリがクラッシュしたり、接続が失われたり、接続切断から再接続までの間に、トラフィックがISPに漏れる可能性があります。アプリベースのキルスイッチはこれを防ごうとしますが、アプリケーションレベルで動作するため、アプリ自体がクラッシュするとキルスイッチも一緒に死にます。

**このスタックは、ファイアウォールベースのキルスイッチを実装しています:**```
Normal Operation:
  Device → Privacy Router → VPN Tunnel → Internet ✓

VPN Down (App-based kill switch):
  Device → [App crashed] → ISP sees traffic ✗

VPN Down (This stack):
  Device → Privacy Router → [No route exists] → Traffic blocked ✓

LAN からのトラフィックは VPN ゾーンに**のみ**送信できます。LAN から WAN への転送ルールは存在しません。これは迂回される可能性のある「ブロック」ルールではありません。ルートが単に存在しないだけです。

### ルーティングテーブル```bash
# When VPN is UP:
default dev awg0           # All traffic → VPN tunnel
1.2.3.4 via 192.168.1.1    # VPN server → WAN (exception)

# When VPN is DOWN:
# No default route exists
# Traffic has nowhere to go = blocked

> **🤖 どれを選べばいいかわからない？** AIエージェントがあなたの環境を評価し、最適なオプションを推奨します。[AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md) を参照させて、デプロイまで案内してもらいましょう。

### インストール概要

**オプションA & B（OpenWrt）の場合：**
1. デバイスにOpenWrtをインストールする
2. AmneziaWG（またはWireGuard）をインストールする
3. ネットワークインターフェースを設定する
4. ファイアウォールのキルスイッチを設定する
5. DNS用にAdGuard Homeをデプロイする
6. 自動復旧用のウォッチドッグをインストールする
7. ネットワークを切り替える

**詳細な手順：** [docs/DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md)

**オプションC（Docker）の場合：** コンテナ固有の設定は [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) を参照してください。

---

## ドキュメント

| ドキュメント | 説明 |
|----------|-------------|
| [ARCHITECTURE.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/ARCHITECTURE.md) | システム設計、コンポーネント、セキュリティモデル |
| [HOW-IT-WORKS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/HOW-IT-WORKS.md) | 全コンポーネントの詳細な技術解説 |
| [DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md) | ステップバイステップのインストールガイド |
| [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) | Dockerデプロイ（上級者向け） |
| [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md) | 完全な設定リファレンス |
| [OPTIONAL_ADDONS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/OPTIONAL_ADDONS.md) | AdGuard Home、BanIP、その他のセキュリティアドオン |
| [TROUBLESHOOTING.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/TROUBLESHOOTING.md) | よくある問題と解決策 |

---

## ネットワーク図```
                                    INTERNET
                                        │
                            ┌───────────┴───────────┐
                            │     VPN Provider      │
                            │   (Mullvad/IVPN/etc)  │
                            └───────────┬───────────┘
                                        │
                              Encrypted WireGuard
                                     Tunnel
                                        │
┌───────────────────────────────────────┼───────────────────────────────────────┐
│ YOUR HOME                             │                                       │
│                                       │                                       │
│    ┌──────────┐              ┌────────┴────────┐              ┌──────────┐   │
│    │   ISP    │    WAN       │                 │    LAN       │  WiFi    │   │
│    │  MODEM   │─────────────▶│ PRIVACY ROUTER  │─────────────▶│  ROUTER  │   │
│    │          │  (Untrusted) │                 │  (Protected) │          │   │
│    └──────────┘              │  ┌───────────┐  │              └────┬─────┘   │
│                              │  │ AdGuard   │  │                   │         │
│                              │  │ DNS + Ads │  │                   │         │
│                              │  └───────────┘  │              ┌────┴─────┐   │
│                              │  ┌───────────┐  │              │ DEVICES  │   │
│                              │  │ Kill      │  │              │          │   │
│                              │  │ Switch    │  │              │ Phone    │   │
│                              │  └───────────┘  │              │ Laptop   │   │
│                              │  ┌───────────┐  │              │ Smart TV │   │
│                              │  │ Watchdog  │  │              │ Console  │   │
│                              │  │ Recovery  │  │              │ IoT      │   │
│                              │  └───────────┘  │              └──────────┘   │
│                              └─────────────────┘                             │
│                                                                              │
└──────────────────────────────────────────────────────────────────────────────┘

Traffic Flow:
  Device → WiFi Router → Privacy Router → VPN Tunnel → VPN Server → Internet
                              │
                    DNS: AdGuard (DoH) ─────────────▶ VPN Provider DNS

Kill Switch:
  If VPN down → No route to internet → All traffic blocked (not leaked)

> **このスタックは WireGuard/AmneziaWG に焦点を当てています。** VLESS、XRay、その他の高度なプロトコルについては、専用ソリューションを調査するか、XRay を含む複数のプロトコルをサポートする [Amnezia VPN](https://amnezia.org) の利用を検討してください。

---

## ハードウェア推奨環境

> **最低要件:** 1GB RAM、2つのネットワークインターフェース（内蔵 + USB）、OpenWrt サポート。推奨: AdGuard Home の DNS フィルタリング用に 2GB 以上の RAM。

### 低予算（約 $50〜80）
- USB イーサネットアダプタ付き Raspberry Pi 4（2GB以上）
- GL.iNet トラベルルーター（一部は OpenWrt 対応）

### 推奨（約 $100〜150）
- USB 3.0 イーサネット付き Raspberry Pi 5
- Zimaboard または同等の x86 SBC

### 高性能（約 $150〜300）
- デュアル NIC 搭載ミニ PC（Intel N150 システム）
- Protectli Vault または同等品

### ホームラボ / エンタープライズ
- 既存のハイパーバイザー上の仮想マシン（Proxmox、ESXi、Hyper-V）
- 専用 x86 ファイアウォールアプライアンス

---

## セキュリティに関する考慮事項

### これが防御するもの
- ISP によるトラフィック監視とログ記録
- ネットワークレベルの広告トラッキング
- DNS ハイジャックと監視
- IP ベースの地理位置情報
- トラフィックの関連付け（適切な OpSec と組み合わせた場合）
- DPI による VPN ブロッキング（AmneziaWG 使用時）

### これが防御しないもの
- ブラウザフィンガープリンティング
- ログイン済みアカウントの追跡（Google、Facebook など）
- デバイス上のマルウェア
- ネットワークへの物理的アクセス
- 侵害された VPN プロバイダー

### OpSec の推奨事項
- プライバシー重視のブラウザを使用する（Firefox、Brave）
- プライバシーを尊重する検索エンジンを使用する
- 不要なときはトラッキングサービスからログアウトする
- 分離されたアイデンティティを検討する
- デバイスを最新の状態に保つ

---

## AI 支援によるセットアップ

複雑なデプロイやトラブルシューティングには、AI コーディングエージェントにこの**リポジトリ全体**へのアクセスと、ルーターへの SSH アクセスを許可してください（方法がわからない場合は、エージェントに案内してもらってください）。

**推奨:** このスタックは、[Claude Code](https://claude.com/claude-code) 経由の **Claude Opus 4.6** を使用して開発、テスト、デプロイされました。最良の結果を得るには、シェルコマンドを実行でき、ネットワーク設定を理解できる高性能なフロンティアモデルを使用してください:

- **Claude Opus 4.6 / Sonnet 4.6**（Anthropic）- この実装に使用
- **GPT-5.4**（OpenAI）
- **Gemini 3.1**（Google）

**エージェントができること:**
- **ネットワーク監査** - 現在のセットアップを調査し、要件を特定
- **ガイド付き設定** - 特定の IP、キー、好みに基づいて設定ファイルを生成
- **自動トラブルシューティング** - ルーティング、ファイアウォール、DNS の問題をリアルタイムで診断
- **スクリプトによるデプロイ** - 承認を得てインストール手順を実行

**クイックスタート:**
1. このリポジトリをクローンするか、エージェントに GitHub アクセスを許可
2. エージェントに **[AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md)** を指示 - 完全な運用フレームワークが含まれています
3. 対象デバイスへの SSH 認証情報を提供
4. エージェントに監査、計画、デプロイのガイドを任せる

エージェントの指示には、診断コマンド、検証テスト、エラー復旧手順、安全規則が含まれています。このリポジトリのすべての設定はパラメータ化されており、エージェントにとって使いやすくなっています。

---

## 関連プロジェクト

このスタックは、優れたオープンソースの成果に基づいています:

| プロジェクト | 説明 |
|---------|-------------|
| [amnezia-vpn/amneziawg-linux-kernel-module](https://github.com/amnezia-vpn/amneziawg-linux-kernel-module) | AmneziaWG カーネルモジュール |
| [amnezia-vpn/amneziawg-tools](https://github.com/amnezia-vpn/amneziawg-tools) | AmneziaWG ユーザースペースツール |
| [Slava-Shchipunov/awg-openwrt](https://github.com/Slava-Shchipunov/awg-openwrt) | OpenWrt 用のビルド済み AmneziaWG パッケージ |
| [wgtunnel/wgtunnel](https://github.com/wgtunnel/wgtunnel) | WireGuard トンネル管理 |

---

## ライセンス

MIT ライセンス - 詳細は [LICENSE](https://github.com/yoloshii/privacy-first-network/blob/HEAD/LICENSE) を参照してください。

---

## 謝辞

- [OpenWrt Project](https://openwrt.org/) - 基盤
- [AmneziaWG](https://github.com/amnezia-vpn/amneziawg-tools) - DPI 回避
- [AdGuard Home](https://adguard.com/adguard-home.html) - DNS フィルタリング
- [WireGuard](https://www.wireguard.com/) - 最新の VPN プロトコル

---

## FAQ

**Q: インターネット速度は遅くなりますか？**
A: 影響は最小限です。WireGuard は非常に効率的で、ほとんどのユーザーは 5% 未満の速度低下しか感じません。主な要因は VPN プロバイダーのサーバー品質です。

**Q: ローカルネットワーク上のデバイスには引き続きアクセスできますか？**
A: はい。LAN トラフィックはローカルに留まり、VPN を経由しません。

**Q: プライバシールーターが故障した場合はどうなりますか？**
A: 修理または迂回されるまで、ネットワークはインターネットに接続できなくなります。これはバグではなく仕様です - 保護されていないトラフィックが漏れないことを保証します。

**Q: 特定のデバイスを VPN から除外できますか？**
A: はい、追加設定を行うことで可能です。特定の IP を WAN に直接ルーティングするファイアウォールルールを作成できます。[CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md) を参照してください。

**Q: IPv6 でも動作しますか？**
A: 漏えいを防ぐため IPv6 は無効化されています。ほとんどの VPN プロバイダーはまだ IPv6 を適切にサポートしていません。

**Q: ISP に VPN を使用していることがバレますか？**
A: 標準の WireGuard では、VPN のようなトラフィックが見えます。AmneziaWG の難読化を使用すると、トラフィックはランダムなノイズのように見えます。

**Q: 年齢確認のプライバシー問題にどのように役立ちますか？**
A: VPN はトラフィックを暗号化トンネル経由でルーティングし、ISP が訪問先サイトをログ記録するのを防ぎます。これは**プライバシーツール**です - 第三者の年齢確認サービスがサイトをまたいで閲覧アクティビティを関連付けたり、行動プロファイルを構築したりするのを防ぎます。プラットフォームでの実際の年齢確認は、あなたとそのプラットフォームの間だけで行われ、ISP やデータブローカーとは共有されません。特定のコンプライアンスに関する質問は、現地の規制を確認してください。

**Q: オーストラリアのソーシャルメディア禁止令が施行された後も動作しますか？**
A: このスタックはネットワークトラフィックを ISP のログ記録から保護し、すべてのデバイスにプライバシーを提供します。2025年12月のオーストラリアの法律は主にプラットフォーム側の検証に影響します。VPN により、プラットフォームレベルの要件に関係なく、ISP はあなたが訪問するサイトを確認できなくなります。

**Q: これは合法ですか？**
A: VPN の使用は、英国、オーストラリア、米国、EU を含むほとんどの西側諸国で合法です。このスタックは HTTPS と同様のプライバシーツールです - トラフィックを暗号化します。お住まいの地域で利用可能なコンテンツにアクセスするための VPN 使用は一般的に合法です。必ず現地の法律を確認してください。

---

*ネットワーク全体を保護しましょう。設定したらあとは忘れるだけ。*