---

📋 विषय-सूची

• त्वरित शुरुआत
• अवलोकन
• यह कैसे काम करता है
• पूर्वापेक्षाएँ
• विस्तृत इंस्टॉलेशन
• कॉन्फ़िगरेशन
• उपयोग और सत्यापन
• समस्या निवारण
• अनइंस्टॉल करना
• लाइसेंस

---

🚀 त्वरित शुरुआत

चरण 1: अपना API टोकन प्राप्त करें

tip.qfeeds.com पर एक निःशुल्क API कुंजी प्राप्त करें।

चरण 2: स्क्रिप्ट डाउनलोड करें

git clone https://github.com/Q-Feeds/NFtables-IPtables-integration-script.git
cd NFtables-IPtables-integration-script
chmod +x qfeeds-installer.sh qfeeds-uninstaller.sh

चरण 3: इंस्टॉलर को रूट के रूप में चलाएँ

sudo ./qfeeds-installer.sh

इंस्टॉलर यह करेगा:

1. स्वतः पहचान करें आपका फ़ायरवॉल बैकएंड (nftables या iptables)
2. आपसे आपका API टोकन, ब्लॉकिंग विकल्प, और वैकल्पिक व्हाइटलिस्ट के लिए प्रॉम्प्ट करें
3. सभी निर्भरताएँ, अपडेटर स्क्रिप्ट, और क्रॉन जॉब इंस्टॉल करें
4. तुरंत पहला पूर्ण सिंक करें

चरण 4: पूर्ण

आपका सर्वर अब सुरक्षित है। क्रॉन जॉब हर 20 मिनट में अपडेट की जाँच करता है (कॉन्फ़िगर करने योग्य), और वास्तविक API कॉल केवल तब होते हैं जब आपका लाइसेंस अनुमति देता है।

---

📖 अवलोकन

यह समाधान समय-समय पर Q-Feeds से नवीनतम थ्रेट इंटेलिजेंस फ़ीड डाउनलोड करता है और इसे फ़ायरवॉल नियमों के रूप में लागू करता है (चरण-दर-चरण मार्गदर्शिका: NFtables/IPtables सेटअप), जिससे आप यह कर सकते हैं:

• ✅ इनकमिंग कनेक्शन ब्लॉक करें ज्ञात दुर्भावनापूर्ण IPs से
• ✅ आउटगोइंग कनेक्शन ब्लॉक करें ज्ञात दुर्भावनापूर्ण IPs तक
• ✅ अपने स्वयं के IPs/CIDRs को व्हाइटलिस्ट करें ताकि आप कभी खुद को लॉक आउट न करें
• ✅ स्वचालित शेड्यूलिंग आपके Q-Feeds लाइसेंस के आधार पर
• ✅ इंक्रीमेंटल अपडेट न्यूनतम संसाधन उपयोग के लिए diff-आधारित सिंक के माध्यम से

यह दृष्टिकोण क्यों?

• ✅ बैकएंड स्वतः पहचानता है — मैन्युअल चयन के बिना nftables या iptables+ipset पर काम करता है
• ✅ तेज़ — अनुकूलित हैश सेट (nftables) या ipset (iptables) का उपयोग करके सेकंडों में 400k+ IPs लोड करता है
• ✅ सुरक्षित — समर्पित टेबल/सेट का उपयोग करता है — आपके मौजूदा फ़ायरवॉल नियमों को कभी नहीं छूता
• ✅ कुशल — diff-आधारित अपडेट केवल परिवर्तनों को प्रोसेस करते हैं, पूरी सूची को नहीं
• ✅ विश्वसनीय — स्व-उपचार: खाली या अपूर्ण स्थानीय सेट का पता लगाता है (जैसे रीबूट के बाद) और इसे पुनर्निर्मित करता है, और यदि diff विफल हो तो स्वचालित रूप से पूर्ण सिंक पर वापस आ जाता है
• ✅ लचीला — इनकमिंग/आउटगोइंग ब्लॉकिंग, वैकल्पिक व्हाइटलिस्ट चुनें

---

🔧 यह कैसे काम करता है

बैकएंड पहचान

इंस्टॉलर स्वचालित रूप से पता लगाता है कि कौन सा फ़ायरवॉल बैकएंड उपलब्ध है:

प्राथमिकता	पहचान	बैकएंड
पहली	nft कमांड मिला	nftables
दूसरी	iptables कमांड मिला	iptables+ipset
—	कोई नहीं मिला	त्रुटि (बाहर निकलें)

पता लगाया गया बैकएंड कॉन्फ़िगरेशन फ़ाइल में संग्रहीत किया जाता है। अपडेटर और अनइंस्टॉलर स्क्रिप्ट इसका उपयोग सही फ़ायरवॉल कमांड चलाने के लिए करते हैं।

आर्किटेक्चर: दो सेट प्रकार

दोनों बैकएंड अधिकतम प्रदर्शन के लिए समान स्प्लिट-सेट रणनीति का उपयोग करते हैं:

nftables बैकएंड:

┌─────────────────────────────────────────────────────────┐
│  table ip qfeeds                                        │
│                                                         │
│  ┌─────────────────────────┐  ┌───────────────────────┐ │
│  │ qfeeds_blacklist_v4     │  │ qfeeds_blacklist_v4   │ │
│  │ (hash set)              │  │ _nets (interval set)  │ │
│  │                         │  │                       │ │
│  │ Individual IPs          │  │ CIDR ranges           │ │
│  │ ~99% of entries         │  │ ~1% of entries        │ │
│  │ O(1) lookup & insert    │  │ O(log n) lookup       │ │
│  └─────────────────────────┘  └───────────────────────┘ │
│                                                         │
│  ┌─────────────────────────┐                            │
│  │ qfeeds_whitelist_v4     │                            │
│  │ (interval set)          │                            │
│  │ Your allowed IPs/CIDRs  │                            │
│  └─────────────────────────┘                            │
│                                                         │
│  chain input-chain (hook input, priority 0, accept)     │
│    → ip saddr @qfeeds_whitelist_v4 accept               │
│    → ip saddr @qfeeds_blacklist_v4 drop                 │
│    → ip saddr @qfeeds_blacklist_v4_nets drop            │
│                                                         │
│  chain output-chain (if enabled)                        │
│    → ip daddr @qfeeds_whitelist_v4 accept               │
│    → ip daddr @qfeeds_blacklist_v4 drop                 │
│    → ip daddr @qfeeds_blacklist_v4_nets drop            │
└─────────────────────────────────────────────────────────┘

iptables+ipset बैकएंड:

┌──────────────────────────────────────────────────────────┐
│  ipset sets                                              │
│                                                          │
│  ┌─────────────────────────┐  ┌────────────────────────┐ │
│  │ qfeeds_blacklist_v4     │  │ qfeeds_blacklist_v4    │ │
│  │ (hash:ip)               │  │ _nets (hash:net)       │ │
│  │ maxelem 1000000         │  │ maxelem 65536          │ │
│  │                         │  │                        │ │
│  │ Individual IPs          │  │ CIDR ranges            │ │
│  └─────────────────────────┘  └────────────────────────┘ │
│                                                          │
│  ┌─────────────────────────┐                             │
│  │ qfeeds_whitelist_v4     │                             │
│  │ (hash:net)              │                             │
│  └─────────────────────────┘                             │
│                                                          │
│  iptables: INPUT/OUTPUT jump to a dedicated chain        │
│  (jump rule tagged -m comment "qfeeds"):                 │
│                                                          │
│  chain QFEEDS_INPUT (rebuilt each run, in order):        │
│    -m set --match-set whitelist_v4 src -j ACCEPT         │
│    -m set --match-set blacklist_v4 src -j DROP           │
│    -m set --match-set blacklist_v4_nets src -j DROP      │
│    (QFEEDS_OUTPUT mirrors this with dst, if enabled)     │
└──────────────────────────────────────────────────────────┘

IPv6 के लिए भी यही संरचना मौजूद है (ip6 qfeeds टेबल या ip6tables + family inet6 ipsets)।

दो सेट प्रकार क्यों?

• Hash सेट व्यक्तिगत IPs को O(1) insert और lookup के साथ संग्रहीत करते हैं — 400k+ IPs लोड करने में कुछ सेकंड लगते हैं
• Net/interval सेट केवल फ़ीड में मौजूद कुछ CIDR रेंजों के लिए उपयोग किए जाते हैं
• यह उन महंगे merge ऑपरेशनों से बचाता है जो सैकड़ों हज़ारों प्रविष्टियों वाले एकल सेट को धीमा कर देंगे

अपडेट फ़्लो