Privacy Router Stack

전 가정용 VPN 라우터(네트워크 수준 킬 스위치 포함) - OpenWrt, WireGuard, AmneziaWG를 사용하여 네트워크의 모든 기기를 보호하세요. 앱이 필요 없습니다.

🤖 AI 코딩 에이전트를 사용 중이신가요? 이 전체 저장소에 접근 권한을 부여하고 AGENTS.md를 읽어 안내된 배포를 진행하세요. Claude, GPT, Gemini 및 기타 최신 모델을 지원합니다.

TL;DR

Raspberry Pi 또는 미니 PC를 VPN 게이트웨이로 전환하여 가정 네트워크 전체를 보호하세요:

✅ 모든 기기 보호 - 스마트 TV, 콘솔, IoT, 휴대폰, 노트북, 게스트
✅ 방화벽 킬 스위치 - VPN이 끊기면 네트워크 수준의 페일세이프가 트래픽을 차단합니다
✅ DPI 우회 - AmneziaWG가 제한적인 네트워크에서 VPN 차단을 무력화합니다
✅ DNS 암호화 - DNS-over-HTTPS를 사용하는 AdGuard Home
✅ 자동 복구 - 감시 데몬이 터널 장애 시 재시작합니다
✅ AI 배포 가능 - 전체 에이전트 지침 포함

호환 대상: 모든 WireGuard 호환 VPN 제공업체(Mullvad, IVPN, AirVPN 등)

AmneziaWG 난독화: 모든 표준 WireGuard 서버와 호환(클라이언트 측 난독화)

지금인 이유? 프라이버시 환경이 변화하고 있습니다

2025년은 온라인 프라이버시의 전환점입니다:

영국 온라인 안전법(UK Online Safety Bill) - 성인 콘텐츠에 연령 확인이 의무화됩니다. 제3자 서비스가 귀하의 신원을 확인하고 접속 기록을 추적합니다.
호주 소셜 미디어 금지법(Australia Social Media Ban) - 2025년 12월부터 연령 확인 요구 사항이 시행됩니다. 플랫폼은 사용자 연령을 확인해야 합니다.
미국 주(state) 법률 - 여러 주에서 다양한 콘텐츠 유형에 대한 연령 확인 법안을 통과시키고 있습니다.
EU 디지털 서비스법(EU Digital Services Act) - 데이터 보관 요구 사항이 포함된 플랫폼 책임이 확대되었습니다.

이것이 여러분에게 의미하는 바:

ISP가 귀하가 방문하는 모든 사이트를 볼 수 있습니다
연령 확인 서비스가 귀하의 검색 이력을 프로파일링합니다
데이터 보관법이 귀하의 기록을 수년간 저장합니다
개별 기기용 VPN 앱은 스마트 TV, 콘솔, IoT 기기를 보호하지 못합니다

이 스택은 이러한 모든 문제를 해결합니다 - 네트워크의 모든 기기가 암호화된 터널을 통해 라우팅됩니다. ISP에 검색 기록이 남지 않습니다. 사이트별 신원 확인이 필요 없습니다. 설치하거나 활성화해야 할 앱이 없습니다.

네트워크 수준 VPN이 필요한 이유

개별 기기용 VPN 앱의 문제점

Mullvad, NordVPN, ProtonVPN과 같은 VPN 앱을 휴대폰이나 노트북에 설치하면 해당 기기 하나만 보호됩니다. 이로 인해 다음과 같은 사각지대가 발생합니다:

기기	VPN 앱 지원	위험
스마트 TV	❌ 없음	ISP가 모든 스트리밍을 봄
게임 콘솔	❌ 없음	게임 서버에 IP 노출
IoT 기기	❌ 없음	스마트홈 트래픽 노출
게스트 기기	❌ 제어 불가	보호되지 않음
업무용 노트북	⚠️ 충돌 가능	회사 정책이 VPN 차단
자녀 기기	⚠️ 비활성화 가능	보호 우회 가능

VPN 앱은 또한:

모바일 기기의 배터리를 소모합니다
실수로 끄거나 비활성화할 수 있습니다
모든 기기에서 업데이트가 필요합니다
앱이 충돌하면 트래픽이 유출될 수 있습니다
앱을 실행할 수 없는 기기는 보호하지 못합니다

네트워크 수준 솔루션

이 프라이버시 라우터는 모뎀과 기존 라우터 사이에 위치합니다. 네트워크의 모든 기기가 자동으로 VPN을 통해 라우팅됩니다. 앱이 필요 없고, 설정이 필요 없으며, 예외가 없습니다.``` ┌─────────────────────────────────────────────────────────────────────┐ │ YOUR HOME NETWORK │ │ │ │ ┌──────────┐ ┌─────────────────┐ ┌──────────────────────┐ │ │ │ MODEM │───▶│ PRIVACY ROUTER │───▶│ YOUR EXISTING ROUTER│ │ │ │ (ISP) │ │ (This Stack) │ │ (WiFi/Switch) │ │ │ └──────────┘ └─────────────────┘ └──────────────────────┘ │ │ │ │ │ │ ┌─────┴─────┐ ┌──────┴──────┐ │ │ │ ENCRYPTED │ │ ALL DEVICES │ │ │ │ TUNNEL │ │ PROTECTED │ │ │ └───────────┘ └─────────────┘ │ └─────────────────────────────────────────────────────────────────────┘

**모든 기기가 보호됩니다:** 휴대폰, 태블릿, 노트북, 스마트 TV, 게임 콘솔, IoT 기기, 게스트까지 모든 것이 보호됩니다. 필요에 따라 개별 기기는 [우회](https://github.com/yoloshii/privacy-first-network/blob/main/docs/CONFIGURATION.md#vpn-bypass-routing)하여 직접 WAN에 접근할 수 있습니다.

---

## 왜 Mullvad QUIC 또는 WireGuard 앱을 그냥 사용하지 않나요?

좋은 질문입니다. Mullvad의 QUIC 터널과 WireGuard 앱은 개별 기기 보호에 뛰어납니다. 각 접근 방식이 적합한 경우는 다음과 같습니다.

### VPN 앱이 더 나은 경우:
- 1-2개의 기기만 보호하면 되는 경우
- 자주 여행하며 다양한 네트워크를 사용하는 경우
- 앱별 분할 터널링이 필요한 경우
- 제어권이 없는 네트워크에 있는 경우

### 네트워크 수준 VPN이 더 나은 경우:
- 많은 기기(특히 VPN 앱을 실행할 수 없는 기기)가 있는 경우
- 가정 전체를 '설정하고 잊어버리는' 보호를 원하는 경우
- 스마트 홈/IoT 기기를 보호해야 하는 경우
- **실제로 작동하는 킬 스위치**가 필요한 경우 (아래에서 자세히 설명)
- VPN 차단/심층 패킷 검사(DPI)가 있는 지역에 있는 경우

### 킬 스위치 문제

대부분의 사람들이 모르는 사실이 있습니다: **VPN 앱의 킬 스위치는 종종 실패합니다.**

VPN 앱이 충돌하거나 연결이 끊어지거나, 연결이 끊어졌다가 다시 연결되기 사이의 순간에 트래픽이 ISP로 유출될 수 있습니다. 앱 기반 킬 스위치는 이를 방지하려고 하지만 애플리케이션 수준에서 작동합니다. 앱 자체가 충돌하면 킬 스위치도 함께 죽습니다.

**이 스택은 방화벽 기반 킬 스위치를 구현합니다:**```
Normal Operation:
  Device → Privacy Router → VPN Tunnel → Internet ✓

VPN Down (App-based kill switch):
  Device → [App crashed] → ISP sees traffic ✗

VPN Down (This stack):
  Device → Privacy Router → [No route exists] → Traffic blocked ✓

킬 스위치는 소프트웨어가 아닌 방화벽과 라우팅 테이블에 구현됩니다. VPN 터널이 다운되면 트래픽이 갈 경로가 문자 그대로 존재하지 않습니다. 실패할 수 있는 규칙에 의해 차단되는 것이 아니라, 단순히 갈 곳이 없는 것입니다.

기능

핵심 보호 (필수)

네트워크 전체 VPN - 모든 기기가 자동으로 보호됨
방화벽 킬 스위치 - 트래픽 누출 절대 없음
IPv6 누출 방지 - IPv6 완전 비활성화

안정성 (필수)

자동 복구 - 워치독(watchdog)이 실패 시 터널 재시작
부팅 지속성 - 전원 켜짐 시 VPN 자동 시작
연결 모니터링 - 지속적인 상태 점검

선택적 보안 부가 기능

AdGuard Home - DNS-over-HTTPS 암호화, 광고/트래커 차단
BanIP - 위협 인텔리전스, 악성 IP 차단
LuCI용 HTTPS - 암호화된 관리 인터페이스

설치 및 구성에 대해서는 OPTIONAL_ADDONS.md를 참조하십시오.

고급 (기술 사용자용)

DPI 우회 - AmneziaWG 난독화로 심층 패킷 검사(DPI) 무력화
유연한 배포 - 전용 하드웨어 또는 VM
완전한 관측 가능성 - 상세 로깅 및 진단

킬 스위치 작동 방식

킬 스위치는 가장 중요한 보안 기능입니다. 다음은 정확한 작동 방식입니다:

방화벽 영역```

┌─────────────────────────────────────────────────────────┐ │ FIREWALL ZONES │ ├─────────────────────────────────────────────────────────┤ │ │ │ ┌─────┐ ┌─────┐ ┌─────┐ │ │ │ LAN │───✓────▶│ VPN │ │ WAN │ │ │ └─────┘ └─────┘ └─────┘ │ │ │ ▲ │ │ │ │ │ │ └───────────✗───────────────────┘ │ │ (NO FORWARDING ALLOWED) │ │ │ └─────────────────────────────────────────────────────────┘

LAN의 트래픽은 **오직** VPN 영역으로만 갈 수 있습니다. LAN에서 WAN으로의 전달 규칙이 없습니다. 이것은 우회될 수 있는 "block" 규칙이 아닙니다 - 라우트가 존재하지 않을 뿐입니다.

### 라우팅 테이블```bash
# When VPN is UP:
default dev awg0           # All traffic → VPN tunnel
1.2.3.4 via 192.168.1.1    # VPN server → WAN (exception)

# When VPN is DOWN:
# No default route exists
# Traffic has nowhere to go = blocked

이중 보호

포워딩 규칙이 존재하더라도, 라우팅 테이블이 두 번째 방어층을 제공합니다: WAN으로 향하는 기본 경로가 없으면 패킷은 어차피 드롭됩니다.

AmneziaWG: VPN 차단 우회

일부 ISP와 국가에서는 심층 패킷 검사(DPI) 를 사용하여 VPN 트래픽을 식별하고 차단합니다. 표준 WireGuard는 식별 가능한 패킷 서명을 가지고 있습니다.

AmneziaWG는 클라이언트 측 난독화를 추가한 WireGuard의 난독화 포크입니다:

매개변수	목적
Jc, Jmin, Jmax	핸드셰이크 전에 전송되는 정크 패킷
H1-H4	헤더 난독화 값
S1-S4	패킷 패딩 크기
I1-I5	프로토콜 모방 블롭(QUIC, DNS 등)

이 매개변수들은 WireGuard 트래픽을 위장합니다. 특히 I1-I5 매개변수는 강력합니다. WireGuard 핸드셰이크가 시작되기 전에 다른 프로토콜(QUIC/HTTP3, DNS 쿼리)처럼 보이는 패킷을 주입합니다.

중요: 난독화는 클라이언트 측에서만 이루어집니다. 정크 패킷과 프로토콜 모방은 로컬에서 발생합니다. VPN 서버는 그 뒤에 오는 유효한 WireGuard 핸드셰이크만 볼 수 있습니다. 즉:

모든 표준 WireGuard 서버가 작동합니다 - Mullvad, IVPN, Proton 등
VPN 제공업체는 이러한 매개변수를 제공하지 않습니다 - 그들의 서버는 표준 WireGuard입니다
이 레포에는 작동하는 기본값이 포함되어 있습니다 - 공식 AmneziaWG 문서에서 가져옴

이 기능이 필요한 경우:

ISP가 VPN 트래픽을 제한하거나 차단하는 경우
VPN 제한이 있는 국가에 있는 경우
회사 네트워크가 WireGuard를 차단하는 경우
표준 WireGuard 연결이 불안정한 경우

privacy-first-network

인기