### Шаг 3: Запустите установщик от имени root```bash
sudo ./qfeeds-installer.sh

**iptables+ipset бэкенд:**```
┌──────────────────────────────────────────────────────────┐
│  ipset sets                                              │
│                                                          │
│  ┌─────────────────────────┐  ┌────────────────────────┐ │
│  │ qfeeds_blacklist_v4     │  │ qfeeds_blacklist_v4    │ │
│  │ (hash:ip)               │  │ _nets (hash:net)       │ │
│  │ maxelem 1000000         │  │ maxelem 65536          │ │
│  │                         │  │                        │ │
│  │ Individual IPs          │  │ CIDR ranges            │ │
│  └─────────────────────────┘  └────────────────────────┘ │
│                                                          │
│  ┌─────────────────────────┐                             │
│  │ qfeeds_whitelist_v4     │                             │
│  │ (hash:net)              │                             │
│  └─────────────────────────┘                             │
│                                                          │
│  iptables: INPUT/OUTPUT jump to a dedicated chain        │
│  (jump rule tagged -m comment "qfeeds"):                 │
│                                                          │
│  chain QFEEDS_INPUT (rebuilt each run, in order):        │
│    -m set --match-set whitelist_v4 src -j ACCEPT         │
│    -m set --match-set blacklist_v4 src -j DROP           │
│    -m set --match-set blacklist_v4_nets src -j DROP      │
│    (QFEEDS_OUTPUT mirrors this with dst, if enabled)     │
└──────────────────────────────────────────────────────────┘

### Полная синхронизация и дифференциальная синхронизация

| Режим | Когда | Что делает |
|------|------|-------------|
| **Полная синхронизация** | Первый запуск, принудительное обновление, после сбоя дифференциальной синхронизации, когда локальный набор потерял свою базовую линию (пуст или намного меньше ожидаемого), или когда последняя синхронизация старше `FULL_SYNC_MAX_AGE` (по умолчанию 24 часа) | Сначала загружает и проверяет каждый фид, затем очищает и перезагружает наборы черных списков. Набор очищается только после получения валидных данных, поэтому неудачная загрузка никогда не оставит вас без защиты |
| **Дифференциальная синхронизация** | Последующие запуски (только фид `malware_ip`) с исправным локальным набором | Загружает только добавления (`+`) и удаления (`-`) с момента последнего получения |

Дифференциальная синхронизация выполняется **для каждого API-ключа** — API отслеживает вашу последнюю успешную загрузку и возвращает только изменения с того момента. Если дифференциальная синхронизация завершается ошибкой, скрипт автоматически переключается на полную синхронизацию.

> **Самовосстановление:** Дифференциальные обновления только патчат существующий набор. Если этот набор когда-либо будет потерян или обрезан — например, после перезагрузки, когда правила брандмауэра не сохранились, ручной очистки или предыдущей частичной синхронизации — обновлятор обнаруживает отсутствие базовой линии (количество живых элементов равно 0 или значительно меньше последнего записанного числа) и принудительно выполняет полную перестройку вместо применения дифференциального обновления к пустому набору. В качестве дополнительной страховки также выполняется периодическая полная синхронизация (по умолчанию каждые 24 часа, через `FULL_SYNC_MAX_AGE`).

### Планирование на основе лицензии

Перед каждым запуском обновлятор проверяет API лицензий Q-Feeds (`licenses.php`). Если временная метка `next_update` вашей лицензии еще не достигнута, скрипт завершается досрочно, не совершая ненужных вызовов API. Задача cron выполняется часто (по умолчанию каждые 20 минут), но реальные обновления происходят только тогда, когда это позволяет ваша лицензия.

---

## ✅ Предварительные требования

Перед установкой убедитесь, что у вас есть:

- [x] **Сервер Linux** с **nftables** или **iptables** (Debian, Ubuntu, CentOS, Fedora, Arch, Alpine)
- [x] **Доступ root** — установщик и обновлятор должны запускаться от root
- [x] **API-токен Q-Feeds** — получите бесплатно на [tip.qfeeds.com](https://tip.qfeeds.com/)
- [x] **Доступ в Интернет** — серверу необходимо подключаться к `api.qfeeds.com`

Установщик автоматически установит необходимые зависимости:
- **Бэкенд nftables**: `nftables`, `curl`, `jq`, `util-linux`
- **Бэкенд iptables**: `iptables`, `ipset`, `curl`, `jq`, `util-linux`

---

## 📝 Подробное руководство по установке

### 1. Получите свой API-токен

Посетите [tip.qfeeds.com](https://tip.qfeeds.com/), чтобы получить бесплатный API-токен Q-Feeds.

### 2. Скачайте и запустите```bash
git clone https://github.com/Q-Feeds/NFtables-IPtables-integration-script.git
cd NFtables-IPtables-integration-script
chmod +x qfeeds-installer.sh qfeeds-uninstaller.sh
sudo ./qfeeds-installer.sh

Ваш токен от [tip.qfeeds.com](https://tip.qfeeds.com/). Установщик отказывается продолжать, если он пуст.

#### Тип ленты```
Enter feed type [default: malware_ip]:

Нажмите Enter, чтобы снять ограничение (рекомендуется). Введите число, чтобы установить ограничение размера ленты.

#### Направленная блокировка```
Block INCOMING connections from malicious IPs? [Y/n]:
Block OUTGOING connections to malicious IPs? [y/N]:

Добавьте сюда ваши IP-адреса управления, чтобы гарантированно не быть заблокированным, даже если они появятся в ленте. Правила белого списка всегда проверяются **до** правил черного списка.

#### Расписание Cron```
Enter cron schedule (e.g., '*/20 * * * *') [default: */20 * * * *]:

### iptables+ipset бэкенд```bash
# List all Q-Feeds ipsets and their sizes
ipset list -t | grep -A4 qfeeds

# Count loaded IPv4 IPs
ipset list qfeeds_blacklist_v4 | tail -n +9 | wc -l

# Show loaded CIDR ranges
ipset list qfeeds_blacklist_v4_nets | tail -n +9 | head -20

# Show the qfeeds jump rule in INPUT, then the dedicated chain's block rules
iptables -L INPUT -n --line-numbers | grep qfeeds
iptables -L QFEEDS_INPUT -n
ip6tables -L QFEEDS_INPUT -n

## 🔍 Устранение неполадок

### Общие

**Установка не удалась с ошибкой "Unable to locate package"**
- Установщик автоматически определяет ваш дистрибутив (Debian/Ubuntu, CentOS/RHEL, Fedora, Arch, Alpine). Если определение не удалось, установите зависимости вручную: `curl`, `jq`, `util-linux` (для `flock`), а также `nftables` или `iptables`+`ipset`.

**Наборы правил пусты после установки**
- Проверьте журнал: `tail -50 /var/log/qfeeds_blocklist.log`
- Проверьте правильность вашего API-токена
- Попробуйте принудительное обновление: `sudo QFEEDS_FORCE_UPDATE=1 /usr/local/bin/update_qfeeds_blocklist.sh`

**"Ещё не время. Следующее обновление запланировано на..."**
- Программа обновления соблюдает график вашей лицензии. Это сообщение означает, что cron запущен, но ваша лицензия пока не разрешает обновление. Это нормально — следующий запуск cron проверит снова.
- Установщик Linux хранит локально кэшированный индекс `licenses.php` и использует кэшированное значение `next_update` в качестве шлюза расписания. После успешного извлечения он обновляет этот локальный индекс для следующего цикла.

**Правила не сохраняются после перезагрузки**
- Если установлен `netfilter-persistent`, правила сохраняются автоматически
- **nftables**: если `netfilter-persistent` отсутствует, программа обновления теперь автоматически записывает полный набор правил в `/etc/nftables.conf` и включает службу `nftables`; вы также можете сохранить вручную с помощью `nft list ruleset > /etc/nftables.conf`
- **iptables**: программа обновления сохраняет с помощью `ipset save > /etc/ipset.conf` и `iptables-save`; вы также можете сохранить вручную
- Даже если сохранение полностью не удалось, программа обновления самовосстанавливается: при следующем запуске она обнаруживает пустой набор после перезагрузки и перестраивает его с полной синхронизацией

### Специфические для nftables

**"Batch nft -f не удался. Переход на пошаговое выполнение..."**
- Это нормально, особенно в контейнерах LXC, где ограничен буфер netlink ядра (`wmem_max`). Пошаговое выполнение работает корректно и быстро (~10 секунд для 400k+ IP-адресов).

**Синтаксическая ошибка: "unexpected string"**
- Убедитесь, что у вас установлена свежая версия nftables. Скрипт использует синтаксис `ip saddr`/`ip daddr`, который требует nftables 0.9+.

**"Error: Could not process rule: Message too long"**
- Это ограничение буфера netlink, обычно в контейнерах LXC. Скрипт автоматически переходит на пошаговое выполнение. Если вы видите это в журнале вместе с успешной загрузкой, то всё работает как задумано.

### Специфические для iptables+ipset

**"ipset restore не удался"**
- Проверьте, установлен ли `ipset`: `command -v ipset`
- Проверьте журнал на наличие конкретных ошибок: `grep -i "error" /var/log/qfeeds_blocklist.log`
- Убедитесь, что модуль ipset загружен: `lsmod | grep ip_set`

**Правила iptables не отображаются**
- Правила блокировки находятся в выделенных цепочках `QFEEDS_INPUT` / `QFEEDS_OUTPUT`; `INPUT`/`OUTPUT` содержат только переход `-j QFEEDS_INPUT` с тегом `qfeeds`
- Проверьте с помощью: `iptables -L INPUT -n | grep qfeeds` (переход) и `iptables -L QFEEDS_INPUT -n` (правила блокировки)
- Правило перехода использует `-m comment --comment "qfeeds"` для идентификации
- Убедитесь, что модуль `xt_set` загружен: `modprobe xt_set`

**"ipset create ... не удалось"**
- На очень старых ядрах типы `hash:ip` или `hash:net` могут быть недоступны. Обновите ядро или установите `ipset` из более нового репозитория.

---

## 🗑️ Удаление```bash
sudo ./qfeeds-uninstaller.sh