### Paso 3: Ejecute el instalador como root```bash
sudo ./qfeeds-installer.sh

**backend de iptables+ipset:**```
┌──────────────────────────────────────────────────────────┐
│  ipset sets                                              │
│                                                          │
│  ┌─────────────────────────┐  ┌────────────────────────┐ │
│  │ qfeeds_blacklist_v4     │  │ qfeeds_blacklist_v4    │ │
│  │ (hash:ip)               │  │ _nets (hash:net)       │ │
│  │ maxelem 1000000         │  │ maxelem 65536          │ │
│  │                         │  │                        │ │
│  │ Individual IPs          │  │ CIDR ranges            │ │
│  └─────────────────────────┘  └────────────────────────┘ │
│                                                          │
│  ┌─────────────────────────┐                             │
│  │ qfeeds_whitelist_v4     │                             │
│  │ (hash:net)              │                             │
│  └─────────────────────────┘                             │
│                                                          │
│  iptables: INPUT/OUTPUT jump to a dedicated chain        │
│  (jump rule tagged -m comment "qfeeds"):                 │
│                                                          │
│  chain QFEEDS_INPUT (rebuilt each run, in order):        │
│    -m set --match-set whitelist_v4 src -j ACCEPT         │
│    -m set --match-set blacklist_v4 src -j DROP           │
│    -m set --match-set blacklist_v4_nets src -j DROP      │
│    (QFEEDS_OUTPUT mirrors this with dst, if enabled)     │
└──────────────────────────────────────────────────────────┘

### Sincronización completa vs Sincronización diferencial

| Modo | Cuándo | Qué hace |
|------|--------|---------|
| **Sincronización completa** | Primera ejecución, actualización forzada, después de un fallo diferencial, cuando el conjunto local ha perdido su línea base (vacío o mucho más pequeño de lo esperado), o cuando la última sincronización es más antigua que `FULL_SYNC_MAX_AGE` (por defecto 24h) | Obtiene y valida cada fuente primero, luego vacía y recarga los conjuntos de la lista negra. El conjunto solo se vacía una vez que se tienen datos válidos, por lo que una obtención fallida nunca te deja desprotegido |
| **Sincronización diferencial** | Ejecuciones posteriores (solo fuente `malware_ip`) con un conjunto local saludable | Obtiene solo las adiciones (`+`) y eliminaciones (`-`) desde la última extracción |

La sincronización diferencial es **por clave API** — la API rastrea tu última extracción exitosa y solo devuelve los cambios desde entonces. Si una sincronización diferencial falla, el script automáticamente recurre a una sincronización completa.

> **Autocuración:** Las actualizaciones diferenciales solo parchean el conjunto existente. Si ese conjunto se pierde o se trunca — por ejemplo, un reinicio donde las reglas del cortafuegos no se persistieron, un vaciado manual, o una sincronización parcial previa — el actualizador detecta la línea base faltante (el recuento de elementos vivos es 0 o muy inferior al último recuento registrado) y fuerza una reconstrucción completa en lugar de aplicar diferenciales sobre un conjunto vacío. Como red de seguridad adicional, también fuerza una sincronización completa periódica (cada 24h por defecto, mediante `FULL_SYNC_MAX_AGE`).

### Programación basada en licencia

El actualizador verifica la API de licencia de Q-Feeds (`licenses.php`) antes de cada ejecución. Si la marca de tiempo `next_update` de tu licencia aún no se ha alcanzado, el script finaliza anticipadamente sin hacer llamadas API innecesarias. La tarea cron se ejecuta con frecuencia (por defecto: cada 20 minutos), pero las actualizaciones reales solo ocurren cuando tu licencia lo permite.

---

## ✅ Requisitos previos

Antes de instalar, asegúrate de tener:

- [x] **Servidor Linux** con **nftables** o **iptables** (Debian, Ubuntu, CentOS, Fedora, Arch, Alpine)
- [x] **Acceso root** — el instalador y el actualizador deben ejecutarse como root
- [x] **Token API de Q-Feeds** — obtén el tuyo gratis en [tip.qfeeds.com](https://tip.qfeeds.com/)
- [x] **Acceso a Internet** — el servidor necesita alcanzar `api.qfeeds.com`

El instalador instalará automáticamente las dependencias requeridas:
- **Backend nftables**: `nftables`, `curl`, `jq`, `util-linux`
- **Backend iptables**: `iptables`, `ipset`, `curl`, `jq`, `util-linux`

---

## 📝 Guía de instalación detallada

### 1. Obtén tu token API

Visita [tip.qfeeds.com](https://tip.qfeeds.com/) para obtener tu token API gratuito de Q-Feeds.

### 2. Descarga y ejecuta```bash
git clone https://github.com/Q-Feeds/NFtables-IPtables-integration-script.git
cd NFtables-IPtables-integration-script
chmod +x qfeeds-installer.sh qfeeds-uninstaller.sh
sudo ./qfeeds-installer.sh

Su token de [tip.qfeeds.com](https://tip.qfeeds.com/). El instalador se niega a continuar si está vacío.

#### Tipo de Feed```
Enter feed type [default: malware_ip]:

Presiona Enter para sin límite (recomendado). Ingresa un número para limitar el tamaño de la fuente.

#### Bloqueo Direccional```
Block INCOMING connections from malicious IPs? [Y/n]:
Block OUTGOING connections to malicious IPs? [y/N]:

Agregue su(s) IP(s) de gestión aquí para asegurarse de nunca quedarse bloqueado, incluso si aparecen en la fuente. Las reglas de lista blanca siempre se verifican **antes** que las reglas de lista negra.

#### Cron Schedule```
Enter cron schedule (e.g., '*/20 * * * *') [default: */20 * * * *]:

### iptables+ipset backend```bash
# List all Q-Feeds ipsets and their sizes
ipset list -t | grep -A4 qfeeds

# Count loaded IPv4 IPs
ipset list qfeeds_blacklist_v4 | tail -n +9 | wc -l

# Show loaded CIDR ranges
ipset list qfeeds_blacklist_v4_nets | tail -n +9 | head -20

# Show the qfeeds jump rule in INPUT, then the dedicated chain's block rules
iptables -L INPUT -n --line-numbers | grep qfeeds
iptables -L QFEEDS_INPUT -n
ip6tables -L QFEEDS_INPUT -n

---

## 🔍 Solución de problemas

### General

**La instalación falla con "Unable to locate package"**
- El instalador detecta automáticamente tu distribución (Debian/Ubuntu, CentOS/RHEL, Fedora, Arch, Alpine). Si falla la detección, instala las dependencias manualmente: `curl`, `jq`, `util-linux` (para `flock`), además de `nftables` o `iptables`+`ipset`.

**Los sets están vacíos después de la instalación**
- Revisa el registro: `tail -50 /var/log/qfeeds_blocklist.log`
- Verifica que tu token API sea correcto
- Prueba una actualización forzada: `sudo QFEEDS_FORCE_UPDATE=1 /usr/local/bin/update_qfeeds_blocklist.sh`

**"Not time yet. Next update scheduled at..."**
- El actualizador respeta tu calendario de licencias. Este mensaje significa que el cron se ejecutó, pero tu licencia aún no permite una actualización. Es normal: la próxima ejecución de cron lo volverá a comprobar.
- El instalador de Linux mantiene un índice local en caché `licenses.php` y usa el `next_update` en caché como puerta de horario. Después de una descarga exitosa, actualiza ese índice local para el siguiente ciclo.

**Las reglas no persisten después de reiniciar**
- Si `netfilter-persistent` está instalado, las reglas se guardan automáticamente
- **nftables**: si `netfilter-persistent` está ausente, el actualizador ahora escribe el conjunto completo de reglas en `/etc/nftables.conf` automáticamente y habilita el servicio `nftables`; aún puedes guardar manualmente con `nft list ruleset > /etc/nftables.conf`
- **iptables**: el actualizador guarda con `ipset save > /etc/ipset.conf` e `iptables-save`; también puedes guardar manualmente
- Incluso si la persistencia falla por completo, el actualizador se autocura: en la siguiente ejecución detecta el conjunto vacío después de un reinicio y lo reconstruye con una sincronización completa

### Específico de nftables

**"Batch nft -f failed. Falling back to per-command execution..."**
- Esto es normal, especialmente en contenedores LXC donde el búfer netlink del kernel (`wmem_max`) está restringido. La alternativa por comando funciona correctamente y es rápida (~10 segundos para más de 400k IPs).

**Error de sintaxis: "unexpected string"**
- Asegúrate de estar ejecutando una versión reciente de nftables. El script usa la sintaxis `ip saddr`/`ip daddr` que requiere nftables 0.9+.

**"Error: Could not process rule: Message too long"**
- Este es el límite del búfer netlink, típicamente en contenedores LXC. El script vuelve automáticamente a la ejecución por comando. Si ves esto en el registro junto con una carga exitosa, está funcionando como se espera.

### Específico de iptables+ipset

**"ipset restore failed"**
- Verifica que `ipset` esté instalado: `command -v ipset`
- Revisa el registro para errores específicos: `grep -i "error" /var/log/qfeeds_blocklist.log`
- Asegúrate de que el módulo ipset esté cargado: `lsmod | grep ip_set`

**Las reglas de iptables no aparecen**
- Las reglas de bloqueo residen en las cadenas dedicadas `QFEEDS_INPUT` / `QFEEDS_OUTPUT`; `INPUT`/`OUTPUT` solo contienen un salto `-j QFEEDS_INPUT` etiquetado con el comentario `qfeeds`
- Verifica con: `iptables -L INPUT -n | grep qfeeds` (el salto) y `iptables -L QFEEDS_INPUT -n` (las reglas de bloqueo)
- La regla de salto usa `-m comment --comment "qfeeds"` para identificación
- Asegúrate de que el módulo `xt_set` esté cargado: `modprobe xt_set`

**"ipset create ... failed"**
- En kernels muy antiguos, los tipos `hash:ip` o `hash:net` pueden no estar disponibles. Actualiza tu kernel o instala `ipset` desde un repositorio más reciente.

---

## 🗑️ Desinstalación```bash
sudo ./qfeeds-uninstaller.sh