**Каждое устройство защищено:** Телефоны, планшеты, ноутбуки, Smart TV, игровые консоли, устройства IoT, гости — всё. Отдельные устройства могут быть [исключены](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md#vpn-bypass-routing) для прямого доступа к WAN при необходимости.

---

## Почему бы просто не использовать Mullvad QUIC или WireGuard-приложения?

Отличный вопрос. Туннели Mullvad QUIC и приложения WireGuard отлично подходят для защиты отдельных устройств. Вот когда каждый подход имеет смысл:

### VPN-приложения лучше, когда:
- Вам нужно защитить только 1-2 устройства
- Вы часто путешествуете и используете разные сети
- Вам нужен раздельный туннелинг для отдельных приложений
- Вы находитесь в сети, которую не контролируете

### VPN на уровне сети лучше, когда:
- У вас много устройств (особенно таких, на которых нельзя запустить VPN-приложения)
- Вы хотите защиту «установил и забыл» для всего вашего дома
- Вам нужно защитить устройства умного дома/IoT
- Вы хотите **аварийный выключатель (kill switch), который действительно работает** (подробнее об этом ниже)
- Вы находитесь в регионе с блокировкой VPN/глубокой инспекцией пакетов

### Проблема аварийного выключателя (kill switch)

Вот что большинство людей не осознают: **аварийные выключатели (kill switch) в VPN-приложениях часто выходят из строя**.

Когда VPN-приложение падает, теряет соединение или в моменты между обрывами связи и переподключением, ваш трафик может утекать к провайдеру. Попытки предотвратить это в приложениях есть, но они работают на уровне приложения — если само приложение падает, аварийный выключатель умирает вместе с ним.

**Этот стек реализует аварийный выключатель на основе брандмауэра:**```
Normal Operation:
  Device → Privacy Router → VPN Tunnel → Internet ✓

VPN Down (App-based kill switch):
  Device → [App crashed] → ISP sees traffic ✗

VPN Down (This stack):
  Device → Privacy Router → [No route exists] → Traffic blocked ✓

Трафик из LAN может **только** направляться в зону VPN. Правила пересылки из LAN в WAN нет. Это не правило "блокировки", которое можно обойти - маршрут просто не существует.

### Таблица маршрутизации```bash
# When VPN is UP:
default dev awg0           # All traffic → VPN tunnel
1.2.3.4 via 192.168.1.1    # VPN server → WAN (exception)

# When VPN is DOWN:
# No default route exists
# Traffic has nowhere to go = blocked

> **🤖 Не уверены, что выбрать?** ИИ-агент может оценить вашу конфигурацию и порекомендовать лучший вариант. Укажите ему [AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md), и он проведёт вас через развёртывание.

### Обзор установки

**Для вариантов A и B (OpenWrt):**
1. Установите OpenWrt на ваше устройство
2. Установите AmneziaWG (или WireGuard)
3. Настройте сетевые интерфейсы
4. Настройте аварийное отключение брандмауэра (kill switch)
5. Разверните AdGuard Home для DNS
6. Установите сторожевой таймер для автоматического восстановления
7. Переключите вашу сеть

**Подробные инструкции:** [docs/DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md)

**Для варианта C (Docker):** См. [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) для настройки, специфичной для контейнера.

---

## Документация

| Документ | Описание |
|----------|----------|
| [ARCHITECTURE.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/ARCHITECTURE.md) | Архитектура системы, компоненты, модель безопасности |
| [HOW-IT-WORKS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/HOW-IT-WORKS.md) | Глубокое техническое погружение в каждый компонент |
| [DEPLOYMENT.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/DEPLOYMENT.md) | Пошаговое руководство по установке |
| [docker/README.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docker/README.md) | Развёртывание Docker (для опытных пользователей) |
| [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md) | Полный справочник по конфигурации |
| [OPTIONAL_ADDONS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/OPTIONAL_ADDONS.md) | AdGuard Home, BanIP и другие дополнительные модули безопасности |
| [TROUBLESHOOTING.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/TROUBLESHOOTING.md) | Часто встречающиеся проблемы и их решения |

---

## Схема сети```
                                    INTERNET
                                        │
                            ┌───────────┴───────────┐
                            │     VPN Provider      │
                            │   (Mullvad/IVPN/etc)  │
                            └───────────┬───────────┘
                                        │
                              Encrypted WireGuard
                                     Tunnel
                                        │
┌───────────────────────────────────────┼───────────────────────────────────────┐
│ YOUR HOME                             │                                       │
│                                       │                                       │
│    ┌──────────┐              ┌────────┴────────┐              ┌──────────┐   │
│    │   ISP    │    WAN       │                 │    LAN       │  WiFi    │   │
│    │  MODEM   │─────────────▶│ PRIVACY ROUTER  │─────────────▶│  ROUTER  │   │
│    │          │  (Untrusted) │                 │  (Protected) │          │   │
│    └──────────┘              │  ┌───────────┐  │              └────┬─────┘   │
│                              │  │ AdGuard   │  │                   │         │
│                              │  │ DNS + Ads │  │                   │         │
│                              │  └───────────┘  │              ┌────┴─────┐   │
│                              │  ┌───────────┐  │              │ DEVICES  │   │
│                              │  │ Kill      │  │              │          │   │
│                              │  │ Switch    │  │              │ Phone    │   │
│                              │  └───────────┘  │              │ Laptop   │   │
│                              │  ┌───────────┐  │              │ Smart TV │   │
│                              │  │ Watchdog  │  │              │ Console  │   │
│                              │  │ Recovery  │  │              │ IoT      │   │
│                              │  └───────────┘  │              └──────────┘   │
│                              └─────────────────┘                             │
│                                                                              │
└──────────────────────────────────────────────────────────────────────────────┘

Traffic Flow:
  Device → WiFi Router → Privacy Router → VPN Tunnel → VPN Server → Internet
                              │
                    DNS: AdGuard (DoH) ─────────────▶ VPN Provider DNS

Kill Switch:
  If VPN down → No route to internet → All traffic blocked (not leaked)

> **Этот стек ориентирован на WireGuard/AmneziaWG.** Для VLESS, XRay или других продвинутых протоколов пользователям следует изучить специализированные решения или рассмотреть возможность использования [Amnezia VPN](https://amnezia.org), который поддерживает несколько протоколов, включая XRay.

---

## Рекомендации по оборудованию

> **Минимальные требования:** 1 ГБ ОЗУ, два сетевых интерфейса (встроенный + USB), поддержка OpenWrt. Рекомендуется: 2+ ГБ ОЗУ для DNS-фильтрации AdGuard Home.

### Бюджетный вариант (~$50–80)
- Raspberry Pi 4 (2+ ГБ) с USB-адаптер Ethernet
- Маршрутизаторы GL.iNet (некоторые работают на OpenWrt)

### Рекомендуемый вариант (~$100–150)
- Raspberry Pi 5 с USB 3.0 Ethernet
- Zimaboard или аналогичный одноплатный компьютер x86

### Производительный вариант (~$150–300)
- Мини-ПК с двумя сетевыми картами (системы Intel N150)
- Protectli Vault или аналоги

### Для домашней лаборатории / предприятия
- Виртуальная машина на существующем гипервизоре (Proxmox, ESXi, Hyper-V)
- Выделенный межсетевой экран на базе x86

---

## Рекомендации по безопасности

### Что это защищает
- Мониторинг и логирование трафика провайдером
- Отслеживание рекламы на сетевом уровне
- Перехват и мониторинг DNS
- Геолокацию по IP
- Корреляцию трафика (при соблюдении хорошей операционной безопасности)
- Блокировку VPN через DPI (с AmneziaWG)

### Что это не защищает
- Отпечатки браузера
- Отслеживание залогиненных аккаунтов (Google, Facebook и т. д.)
- Вредоносное ПО на ваших устройствах
- Физический доступ к вашей сети
- Скомпрометированного VPN-провайдера

### Рекомендации по операционной безопасности
- Используйте браузеры, ориентированные на конфиденциальность (Firefox, Brave)
- Используйте поисковые системы, уважающие приватность
- Выходите из сервисов отслеживания, когда они не нужны
- Рассмотрите разделение цифровых личностей
- Обновляйте устройства

---

## Настройка с помощью ИИ

Для сложных развёртываний или устранения неполадок предоставьте ИИ-агенту доступ ко **всему этому репозиторию**, а также SSH-доступ к вашему маршрутизатору (если вы не знаете, как это сделать, попросите агента вас направить).

**Рекомендуется:** Этот стек был разработан, протестирован и развёрнут с помощью **Claude Opus 4.6** через [Claude Code](https://claude.com/claude-code). Для лучших результатов используйте мощную модель переднего края, которая может выполнять команды оболочки и понимать сетевую конфигурацию:

- **Claude Opus 4.6 / Sonnet 4.6** (Anthropic) — использовалась для этой реализации
- **GPT-5.4** (OpenAI)
- **Gemini 3.1** (Google)

**Что может сделать агент:**
- **Аудит сети** — проверить вашу текущую настройку и определить требования
- **Направляемая конфигурация** — сгенерировать конфиги с вашими конкретными IP, ключами и предпочтениями
- **Автоматизированное устранение неполадок** — диагностировать проблемы маршрутизации, межсетевого экрана и DNS в реальном времени
- **Скриптовое развёртывание** — выполнять шаги установки с вашего одобрения

**Быстрый старт:**
1. Клонируйте этот репозиторий или дайте агенту доступ к GitHub
2. Укажите агенту на **[AGENTS.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/AGENTS.md)** — там содержится полная рабочая схема
3. Предоставьте SSH-учётные данные для вашего целевого устройства
4. Позвольте агенту провести аудит, спланировать и сопровождать вас в развёртывании

Инструкции для агента включают диагностические команды, проверочные тесты, процедуры восстановления после ошибок и правила безопасности. Все конфиги в этом репозитории параметризованы и дружественны к ИИ.

---

## Связанные проекты

Этот стек основан на отличных проектах с открытым исходным кодом:

| Проект | Описание |
|--------|----------|
| [amnezia-vpn/amneziawg-linux-kernel-module](https://github.com/amnezia-vpn/amneziawg-linux-kernel-module) | Модуль ядра AmneziaWG |
| [amnezia-vpn/amneziawg-tools](https://github.com/amnezia-vpn/amneziawg-tools) | Пользовательские утилиты AmneziaWG |
| [Slava-Shchipunov/awg-openwrt](https://github.com/Slava-Shchipunov/awg-openwrt) | Предварительно собранные пакеты AmneziaWG для OpenWrt |
| [wgtunnel/wgtunnel](https://github.com/wgtunnel/wgtunnel) | Управление туннелями WireGuard |

---

## Лицензия

Лицензия MIT — подробности см. в [LICENSE](https://github.com/yoloshii/privacy-first-network/blob/HEAD/LICENSE).

---

## Благодарности

- [OpenWrt Project](https://openwrt.org/) — основа
- [AmneziaWG](https://github.com/amnezia-vpn/amneziawg-tools) — обход DPI
- [AdGuard Home](https://adguard.com/adguard-home.html) — DNS-фильтрация
- [WireGuard](https://www.wireguard.com/) — современный протокол VPN

---

## Часто задаваемые вопросы

**В: Замедлит ли это мой интернет?**
О: Влияние минимально. WireGuard чрезвычайно эффективен. Большинство пользователей видят снижение скорости менее 5%. Основной фактор — качество сервера вашего VPN-провайдера.

**В: Смогу ли я по-прежнему получать доступ к локальным сетевым устройствам?**
О: Да. LAN-трафик остаётся локальным и не проходит через VPN.

**В: Что, если приватный маршрутизатор выйдет из строя?**
О: Ваша сеть потеряет доступ в интернет, пока маршрутизатор не будет отремонтирован или не будет найден обходной путь. Это особенность, а не ошибка — она гарантирует отсутствие утечек незащищённого трафика.

**В: Могу ли я исключить некоторые устройства из VPN?**
О: Да, с помощью дополнительной настройки. Вы можете создать правила межсетевого экрана для маршрутизации определённых IP напрямую в WAN. См. [CONFIGURATION.md](https://github.com/yoloshii/privacy-first-network/blob/HEAD/docs/CONFIGURATION.md).

**В: Работает ли это с IPv6?**
О: IPv6 отключён для предотвращения утечек. Большинство VPN-провайдеров пока не поддерживают IPv6 должным образом.

**В: Может ли мой провайдер увидеть, что я использую VPN?**
О: Обычный WireGuard — провайдер может видеть трафик, похожий на VPN. С обфускацией AmneziaWG трафик выглядит как случайный шум.

**В: Как это помогает в вопросах конфиденциальности при проверке возраста?**
О: VPN направляет ваш трафик через зашифрованный туннель, не позволяя провайдеру записывать, какие сайты вы посещаете. Это **инструмент конфиденциальности** — он мешает сторонним службам проверки возраста коррелировать вашу активность на разных сайтах или строить поведенческие профили. Сама проверка возраста на платформах остаётся между вами и этой платформой и не передаётся провайдерам или брокерам данных. По вопросам соответствия местным нормативным требованиям проконсультируйтесь с местным законодательством.

**В: Будет ли это работать после вступления в силу австралийского запрета на социальные сети?**
О: Этот стек защищает сетевой трафик от логирования провайдером и обеспечивает приватность для всех устройств. Законодательство Австралии от декабря 2025 года в основном касается проверки на стороне платформы. VPN гарантирует, что ваш провайдер не может видеть, какие сайты вы посещаете, независимо от требований на уровне платформы.

**В: Это законно?**
О: Использование VPN законно в большинстве западных стран, включая Великобританию, Австралию, США и ЕС. Этот стек — инструмент приватности, аналогичный HTTPS: он шифрует ваш трафик. Использование VPN для доступа к контенту, доступному в вашем регионе, как правило, законно. Всегда проверяйте местные законы.

---

*Защитите всю свою сеть. Настройте и забудьте.*