### Schritt 3: Führen Sie das Installationsprogramm als root aus```bash
sudo ./qfeeds-installer.sh

**iptables+ipset Backend:**```
┌──────────────────────────────────────────────────────────┐
│  ipset sets                                              │
│                                                          │
│  ┌─────────────────────────┐  ┌────────────────────────┐ │
│  │ qfeeds_blacklist_v4     │  │ qfeeds_blacklist_v4    │ │
│  │ (hash:ip)               │  │ _nets (hash:net)       │ │
│  │ maxelem 1000000         │  │ maxelem 65536          │ │
│  │                         │  │                        │ │
│  │ Individual IPs          │  │ CIDR ranges            │ │
│  └─────────────────────────┘  └────────────────────────┘ │
│                                                          │
│  ┌─────────────────────────┐                             │
│  │ qfeeds_whitelist_v4     │                             │
│  │ (hash:net)              │                             │
│  └─────────────────────────┘                             │
│                                                          │
│  iptables: INPUT/OUTPUT jump to a dedicated chain        │
│  (jump rule tagged -m comment "qfeeds"):                 │
│                                                          │
│  chain QFEEDS_INPUT (rebuilt each run, in order):        │
│    -m set --match-set whitelist_v4 src -j ACCEPT         │
│    -m set --match-set blacklist_v4 src -j DROP           │
│    -m set --match-set blacklist_v4_nets src -j DROP      │
│    (QFEEDS_OUTPUT mirrors this with dst, if enabled)     │
└──────────────────────────────────────────────────────────┘

### Full Sync vs Diff Sync

| Modus | Wann | Was es tut |
|------|------|-------------|
| **Full Sync** | Erster Durchlauf, erzwungenes Update, nach einem fehlgeschlagenen Diff, wenn die lokale Menge ihre Basis verloren hat (leer oder viel kleiner als erwartet), oder wenn die letzte Synchronisation älter als `FULL_SYNC_MAX_AGE` (Standard 24h) ist | Ruft zuerst jeden Feed ab und validiert ihn, dann werden die Blacklist-Sets geleert und neu geladen. Das Set wird erst geleert, wenn gültige Daten vorliegen, sodass ein fehlgeschlagener Abruf Sie nie ungeschützt zurücklässt |
| **Diff Sync** | Nachfolgende Durchläufe (nur `malware_ip`-Feed) mit einer intakten lokalen Menge | Ruft nur Hinzufügungen (`+`) und Entfernungen (`-`) seit dem letzten Abruf ab |

Der Diff-Sync erfolgt **pro API-Key** – die API verfolgt Ihren letzten erfolgreichen Abruf und gibt nur Änderungen seitdem zurück. Wenn ein Diff fehlschlägt, fällt das Skript automatisch auf einen Full Sync zurück.

> **Selbstheilung:** Diff-Updates patchen nur das bestehende Set. Wenn dieses Set jemals verloren geht oder abgeschnitten wird – z. B. bei einem Neustart, bei dem die Firewall-Regeln nicht dauerhaft gespeichert wurden, einem manuellen Leeren oder einer vorherigen teilweisen Synchronisation – erkennt der Updater die fehlende Basis (Live-Elementanzahl ist 0 oder weit unter der zuletzt aufgezeichneten Anzahl) und erzwingt einen vollständigen Neuaufbau, anstatt ein leeres Set zu differenzieren. Als zusätzliches Sicherheitsnetz erzwingt er außerdem eine regelmäßige vollständige Synchronisation (standardmäßig alle 24h über `FULL_SYNC_MAX_AGE`).

### Lizenzbasiertes Zeitplanmanagement

Der Updater prüft vor jedem Durchlauf die Q-Feeds-Lizenz-API (`licenses.php`). Wenn der `next_update`-Zeitstempel Ihrer Lizenz noch nicht erreicht ist, beendet sich das Skript frühzeitig, ohne unnötige API-Aufrufe zu tätigen. Der Cron-Job läuft häufig (Standard: alle 20 Minuten), aber tatsächliche Updates erfolgen nur, wenn Ihre Lizenz es erlaubt.

---

## ✅ Voraussetzungen

Stellen Sie vor der Installation sicher, dass Sie Folgendes haben:

- [x] **Linux-Server** mit **nftables** oder **iptables** (Debian, Ubuntu, CentOS, Fedora, Arch, Alpine)
- [x] **Root-Zugriff** – der Installer und Updater müssen als Root ausgeführt werden
- [x] **Q-Feeds-API-Token** – kostenlos erhältlich unter [tip.qfeeds.com](https://tip.qfeeds.com/)
- [x] **Internet-Zugriff** – der Server muss `api.qfeeds.com` erreichen können

Der Installer installiert automatisch die erforderlichen Abhängigkeiten:
- **nftables-Backend**: `nftables`, `curl`, `jq`, `util-linux`
- **iptables-Backend**: `iptables`, `ipset`, `curl`, `jq`, `util-linux`

---

## 📝 Detaillierte Installationsanleitung

### 1. API-Token abrufen

Besuchen Sie [tip.qfeeds.com](https://tip.qfeeds.com/), um Ihr kostenloses Q-Feeds-API-Token zu erhalten.

### 2. Herunterladen und ausführen```bash
git clone https://github.com/Q-Feeds/NFtables-IPtables-integration-script.git
cd NFtables-IPtables-integration-script
chmod +x qfeeds-installer.sh qfeeds-uninstaller.sh
sudo ./qfeeds-installer.sh

Ihr Token von [tip.qfeeds.com](https://tip.qfeeds.com/). Der Installer verweigert die Fortsetzung, wenn dieses Feld leer ist.

#### Feed-Typ```
Enter feed type [default: malware_ip]:

Drücken Sie die Eingabetaste für keine Begrenzung (empfohlen). Geben Sie eine Zahl ein, um die Feed-Größe zu begrenzen.

#### Richtungsblockierung```
Block INCOMING connections from malicious IPs? [Y/n]:
Block OUTGOING connections to malicious IPs? [y/N]:

Fügen Sie hier Ihre Verwaltungs-IP(s) hinzu, um sicherzustellen, dass Sie nie ausgesperrt werden, selbst wenn sie im Feed erscheinen. Whitelist-Regeln werden immer **vor** Blacklist-Regeln überprüft.

#### Cron Schedule```
Enter cron schedule (e.g., '*/20 * * * *') [default: */20 * * * *]:

### iptables+ipset Backend```bash
# List all Q-Feeds ipsets and their sizes
ipset list -t | grep -A4 qfeeds

# Count loaded IPv4 IPs
ipset list qfeeds_blacklist_v4 | tail -n +9 | wc -l

# Show loaded CIDR ranges
ipset list qfeeds_blacklist_v4_nets | tail -n +9 | head -20

# Show the qfeeds jump rule in INPUT, then the dedicated chain's block rules
iptables -L INPUT -n --line-numbers | grep qfeeds
iptables -L QFEEDS_INPUT -n
ip6tables -L QFEEDS_INPUT -n

---

## 🔍 Fehlerbehebung

### Allgemein

**Installation schlägt fehl mit "Unable to locate package"**
- Der Installer erkennt Ihre Distribution automatisch (Debian/Ubuntu, CentOS/RHEL, Fedora, Arch, Alpine). Falls die Erkennung fehlschlägt, installieren Sie die Abhängigkeiten manuell: `curl`, `jq`, `util-linux` (für `flock`), sowie `nftables` oder `iptables`+`ipset`.

**Sets sind nach der Installation leer**
- Überprüfen Sie das Log: `tail -50 /var/log/qfeeds_blocklist.log`
- Stellen Sie sicher, dass Ihr API-Token korrekt ist
- Versuchen Sie ein erzwungenes Update: `sudo QFEEDS_FORCE_UPDATE=1 /usr/local/bin/update_qfeeds_blocklist.sh`

**"Not time yet. Next update scheduled at..."**
- Das Update-Tool respektiert Ihren Lizenzzeitplan. Diese Meldung bedeutet, dass der Cron-Job ausgeführt wurde, Ihre Lizenz aber noch kein Update erlaubt. Dies ist normal – der nächste Cron-Durchlauf wird erneut prüfen.
- Der Linux-Installer speichert einen lokalen zwischengespeicherten `licenses.php`-Index und verwendet das gecachte `next_update` als Zeitsteuerung. Nach einem erfolgreichen Pull wird der lokale Index für den nächsten Zyklus aktualisiert.

**Regeln bleiben nach einem Neustart nicht bestehen**
- Wenn `netfilter-persistent` installiert ist, werden die Regeln automatisch gespeichert
- **nftables**: Falls `netfilter-persistent` fehlt, schreibt das Update-Tool nun das vollständige Regelset automatisch in `/etc/nftables.conf` und aktiviert den `nftables`-Dienst; Sie können weiterhin manuell speichern mit `nft list ruleset > /etc/nftables.conf`
- **iptables**: Das Update-Tool speichert mit `ipset save > /etc/ipset.conf` und `iptables-save`; Sie können auch manuell speichern
- Selbst wenn die Persistenz vollständig fehlschlägt, heilt das Update-Tool sich selbst: Beim nächsten Lauf erkennt es das leere Set nach einem Neustart und baut es mit einer vollständigen Synchronisation neu auf.

### nftables-spezifisch

**"Batch nft -f fehlgeschlagen. Rückfall auf befehlsweise Ausführung..."**
- Dies ist normal, insbesondere auf LXC-Containern, bei denen der Netlink-Puffer des Kernels (`wmem_max`) eingeschränkt ist. Der Rückfall auf befehlsweise Ausführung funktioniert korrekt und ist schnell (~10 Sekunden für über 400k IPs).

**Syntaxfehler: "unerwartete Zeichenkette"**
- Stellen Sie sicher, dass Sie eine aktuelle Version von nftables verwenden. Das Skript verwendet die Syntax `ip saddr`/`ip daddr`, die nftables 0.9+ erfordert.

**"Fehler: Regel konnte nicht verarbeitet werden: Nachricht zu lang"**
- Dies ist die Netlink-Puffergrenze, typisch in LXC-Containern. Das Skript fällt automatisch auf befehlsweise Ausführung zurück. Wenn Sie dies im Log zusammen mit einem erfolgreichen Laden sehen, funktioniert es wie vorgesehen.

### iptables+ipset-spezifisch

**"ipset restore fehlgeschlagen"**
- Überprüfen Sie, ob `ipset` installiert ist: `command -v ipset`
- Überprüfen Sie das Log auf spezifische Fehler: `grep -i "error" /var/log/qfeeds_blocklist.log`
- Stellen Sie sicher, dass das ipset-Modul geladen ist: `lsmod | grep ip_set`

**iptables-Regeln werden nicht angezeigt**
- Die Blockierungsregeln befinden sich in den dedizierten Ketten `QFEEDS_INPUT` / `QFEEDS_OUTPUT`; `INPUT`/`OUTPUT` enthalten nur einen `-j QFEEDS_INPUT`-Sprung mit dem `qfeeds`-Kommentar
- Überprüfen Sie mit: `iptables -L INPUT -n | grep qfeeds` (der Sprung) und `iptables -L QFEEDS_INPUT -n` (die Blockregeln)
- Die Sprungregel verwendet `-m comment --comment "qfeeds"` zur Identifikation
- Stellen Sie sicher, dass das Modul `xt_set` geladen ist: `modprobe xt_set`

**"ipset create ... fehlgeschlagen"**
- Auf sehr alten Kerneln sind die Typen `hash:ip` oder `hash:net` möglicherweise nicht verfügbar. Aktualisieren Sie Ihren Kernel oder installieren Sie `ipset` aus einem neueren Repository.

---

## 🗑️ Deinstallation```bash
sudo ./qfeeds-uninstaller.sh