### Étape 3 : Exécuter l'installateur en tant que root```bash
sudo ./qfeeds-installer.sh

**iptables+ipset backend:**```
┌──────────────────────────────────────────────────────────┐
│  ipset sets                                              │
│                                                          │
│  ┌─────────────────────────┐  ┌────────────────────────┐ │
│  │ qfeeds_blacklist_v4     │  │ qfeeds_blacklist_v4    │ │
│  │ (hash:ip)               │  │ _nets (hash:net)       │ │
│  │ maxelem 1000000         │  │ maxelem 65536          │ │
│  │                         │  │                        │ │
│  │ Individual IPs          │  │ CIDR ranges            │ │
│  └─────────────────────────┘  └────────────────────────┘ │
│                                                          │
│  ┌─────────────────────────┐                             │
│  │ qfeeds_whitelist_v4     │                             │
│  │ (hash:net)              │                             │
│  └─────────────────────────┘                             │
│                                                          │
│  iptables: INPUT/OUTPUT jump to a dedicated chain        │
│  (jump rule tagged -m comment "qfeeds"):                 │
│                                                          │
│  chain QFEEDS_INPUT (rebuilt each run, in order):        │
│    -m set --match-set whitelist_v4 src -j ACCEPT         │
│    -m set --match-set blacklist_v4 src -j DROP           │
│    -m set --match-set blacklist_v4_nets src -j DROP      │
│    (QFEEDS_OUTPUT mirrors this with dst, if enabled)     │
└──────────────────────────────────────────────────────────┘

### Synchronisation complète vs synchronisation différentielle

| Mode | Quand | Ce qu'il fait |
|------|------|-------------|
| **Synchronisation complète** | Première exécution, mise à jour forcée, après un échec de diff, lorsque l'ensemble local a perdu sa référence (vide ou beaucoup plus petit que prévu), ou lorsque la dernière synchronisation est plus ancienne que `FULL_SYNC_MAX_AGE` (24h par défaut) | Récupère et valide d'abord chaque flux, puis vide et recharge les ensembles de blacklist. L'ensemble n'est vidé qu'après avoir obtenu des données valides, donc un échec de récupération ne vous laisse jamais sans protection |
| **Synchronisation différentielle** | Exécutions suivantes (flux `malware_ip` uniquement) avec un ensemble local sain | Récupère uniquement les ajouts (`+`) et les suppressions (`-`) depuis la dernière récupération |

La synchronisation différentielle est **par clé API** — l'API suit votre dernière récupération réussie et ne renvoie que les changements depuis cette date. Si un diff échoue, le script bascule automatiquement vers une synchronisation complète.

> **Auto-réparation :** Les mises à jour différentielles ne patchent que l'ensemble existant. Si cet ensemble est perdu ou tronqué – par exemple après un redémarrage où les règles du pare-feu n'ont pas été persistées, une vidange manuelle ou une synchronisation partielle antérieure – le programme de mise à jour détecte la référence manquante (le nombre d'éléments en direct est 0 ou bien inférieur au dernier nombre enregistré) et force une reconstruction complète au lieu d'appliquer un diff sur un ensemble vide. Comme filet de sécurité supplémentaire, il force également une synchronisation complète périodique (toutes les 24h par défaut, via `FULL_SYNC_MAX_AGE`).

### Planification basée sur la licence

Le programme de mise à jour vérifie l'API de licence Q-Feeds (`licenses.php`) avant chaque exécution. Si l'horodatage `next_update` de votre licence n'est pas encore atteint, le script se termine prématurément sans effectuer d'appels API inutiles. La tâche cron s'exécute fréquemment (par défaut : toutes les 20 minutes), mais les mises à jour réelles n'ont lieu que lorsque votre licence le permet.

---

## ✅ Prérequis

Avant l'installation, assurez-vous d'avoir :

- [x] **Serveur Linux** avec **nftables** ou **iptables** (Debian, Ubuntu, CentOS, Fedora, Arch, Alpine)
- [x] **Accès root** — l'installateur et le programme de mise à jour doivent s'exécuter en tant que root
- [x] **Jeton API Q-Feeds** — obtenez le vôtre gratuitement sur [tip.qfeeds.com](https://tip.qfeeds.com/)
- [x] **Accès Internet** — le serveur doit pouvoir atteindre `api.qfeeds.com`

L'installateur installera automatiquement les dépendances nécessaires :
- **Backend nftables** : `nftables`, `curl`, `jq`, `util-linux`
- **Backend iptables** : `iptables`, `ipset`, `curl`, `jq`, `util-linux`

---

## 📝 Guide d'installation détaillé

### 1. Obtenez votre jeton API

Visitez [tip.qfeeds.com](https://tip.qfeeds.com/) pour obtenir votre jeton API Q-Feeds gratuit.

### 2. Téléchargez et exécutez```bash
git clone https://github.com/Q-Feeds/NFtables-IPtables-integration-script.git
cd NFtables-IPtables-integration-script
chmod +x qfeeds-installer.sh qfeeds-uninstaller.sh
sudo ./qfeeds-installer.sh

Votre jeton depuis [tip.qfeeds.com](https://tip.qfeeds.com/). L'installateur refuse de continuer si vide.

#### Type de flux```
Enter feed type [default: malware_ip]:

Appuyez sur Entrée pour aucune limite (recommandé). Entrez un nombre pour limiter la taille du flux.

#### Blocage directionnel```
Block INCOMING connections from malicious IPs? [Y/n]:
Block OUTGOING connections to malicious IPs? [y/N]:

Ajoutez vos IP de gestion ici pour garantir que vous ne serez jamais verrouillé, même si elles apparaissent dans le flux. Les règles de liste blanche sont toujours vérifiées **avant** les règles de liste noire.

#### Planification Cron```
Enter cron schedule (e.g., '*/20 * * * *') [default: */20 * * * *]:

### iptables+ipset backend```bash
# List all Q-Feeds ipsets and their sizes
ipset list -t | grep -A4 qfeeds

# Count loaded IPv4 IPs
ipset list qfeeds_blacklist_v4 | tail -n +9 | wc -l

# Show loaded CIDR ranges
ipset list qfeeds_blacklist_v4_nets | tail -n +9 | head -20

# Show the qfeeds jump rule in INPUT, then the dedicated chain's block rules
iptables -L INPUT -n --line-numbers | grep qfeeds
iptables -L QFEEDS_INPUT -n
ip6tables -L QFEEDS_INPUT -n

## 🔍 Dépannage

### Général

**L'installation échoue avec « Unable to locate package »**
- L'installateur détecte automatiquement votre distribution (Debian/Ubuntu, CentOS/RHEL, Fedora, Arch, Alpine). Si la détection échoue, installez les dépendances manuellement : `curl`, `jq`, `util-linux` (pour `flock`), ainsi que `nftables` ou `iptables`+`ipset`.

**Les ensembles sont vides après l'installation**
- Vérifiez le journal : `tail -50 /var/log/qfeeds_blocklist.log`
- Vérifiez que votre jeton API est correct
- Essayez une mise à jour forcée : `sudo QFEEDS_FORCE_UPDATE=1 /usr/local/bin/update_qfeeds_blocklist.sh`

**« Pas encore l'heure. Prochaine mise à jour prévue à... »**
- L'utilitaire de mise à jour respecte votre calendrier de licence. Ce message signifie que cron s'est exécuté, mais que votre licence n'autorise pas encore une mise à jour. C'est normal — la prochaine exécution de cron vérifiera à nouveau.
- L'installateur Linux conserve un index local mis en cache de `licenses.php` et utilise le `next_update` mis en cache comme porte d'entrée du planning. Après un téléchargement réussi, il actualise cet index local pour le cycle suivant.

**Les règles ne persistent pas après un redémarrage**
- Si `netfilter-persistent` est installé, les règles sont sauvegardées automatiquement
- **nftables** : si `netfilter-persistent` est absent, l'utilitaire de mise à jour écrit désormais l'ensemble des règles dans `/etc/nftables.conf` automatiquement et active le service `nftables` ; vous pouvez toujours sauvegarder manuellement avec `nft list ruleset > /etc/nftables.conf`
- **iptables** : l'utilitaire de mise à jour sauvegarde avec `ipset save > /etc/ipset.conf` et `iptables-save` ; vous pouvez aussi sauvegarder manuellement
- Même si la persistance échoue complètement, l'utilitaire de mise à jour s'auto-répare : lors de la prochaine exécution, il détecte l'ensemble vide après un redémarrage et le reconstruit avec une synchronisation complète.

### Spécifique à nftables

**« Batch nft -f failed. Falling back to per-command execution... »**
- Ceci est normal, surtout sur les conteneurs LXC où le tampon netlink du noyau (`wmem_max`) est limité. Le repli par commande fonctionne correctement et est rapide (~10 secondes pour 400k+ IPs).

**Erreur de syntaxe : « unexpected string »**
- Assurez-vous d'exécuter une version récente de nftables. Le script utilise la syntaxe `ip saddr`/`ip daddr` qui nécessite nftables 0.9+.

**« Error: Could not process rule: Message too long »**
- Il s'agit de la limite du tampon netlink, typiquement dans les conteneurs LXC. Le script revient automatiquement à une exécution par commande. Si vous voyez ceci dans le journal en même temps qu'un chargement réussi, cela fonctionne comme prévu.

### Spécifique à iptables+ipset

**« ipset restore failed »**
- Vérifiez que `ipset` est installé : `command -v ipset`
- Vérifiez le journal pour des erreurs spécifiques : `grep -i "error" /var/log/qfeeds_blocklist.log`
- Assurez-vous que le module ipset est chargé : `lsmod | grep ip_set`

**Les règles iptables n'apparaissent pas**
- Les règles de blocage se trouvent dans les chaînes dédiées `QFEEDS_INPUT` / `QFEEDS_OUTPUT` ; `INPUT`/`OUTPUT` ne contiennent qu'un saut `-j QFEEDS_INPUT` marqué avec le commentaire `qfeeds`
- Vérifiez avec : `iptables -L INPUT -n | grep qfeeds` (le saut) et `iptables -L QFEEDS_INPUT -n` (les règles de blocage)
- La règle de saut utilise `-m comment --comment "qfeeds"` pour l'identification
- Assurez-vous que le module `xt_set` est chargé : `modprobe xt_set`

**« ipset create ... a échoué »**
- Sur des noyaux très anciens, les types `hash:ip` ou `hash:net` peuvent ne pas être disponibles. Mettez à niveau votre noyau ou installez `ipset` depuis un dépôt plus récent.

---

## 🗑️ Désinstallation```bash
sudo ./qfeeds-uninstaller.sh