geoblock: eigene Block-IPs/CIDRs zusaetzlich zu den Laendern (block_ips)

Neue Option 'block_ips': komma-getrennte Liste eigener IPv4-IPs/CIDRs, die
zusaetzlich zu den ipdeny-Laender-Ranges ins selbe ipset kommen (z.B. bekannte
Angreifer, einzelne Hosts/Netze). Werden von denselben iptables-Regeln/Ports
erfasst.

- load_config validiert + normalisiert jede Angabe (ip_network strict=False,
  Host -> /32); IPv6 wird mit klarer Meldung abgelehnt (ipset ist IPv4).
- apply_geoblock nimmt sie nach den Laender-CIDRs mit ins Set auf; Fuell-Log und
  --status weisen die Anzahl/Liste aus.
- Doku: geoblock.ini.example (Kommentar + block_ips-Zeile) + README-Optionsliste.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

geoblock.ini.example

@@ -56,6 +56,12 @@
 ;            die OEFFENTLICHEN Ports eintragen (z.B. 1194, 443), nicht die
 ;            internen -- immun gegen den Remap. Meist zusammen mit chain=FORWARD.
 ;
+; block_ips: optional, komma-getrennte Liste EIGENER IPs/CIDRs, die zusaetzlich
+;            zu den Laender-Ranges geblockt werden (z.B. bekannte Angreifer,
+;            einzelne Hosts/Netze). Einzel-IP ("203.0.113.7") oder CIDR
+;            ("203.0.113.0/24"). Nur IPv4. Kommt ins selbe ipset wie die Laender,
+;            wird also von denselben Regeln/Ports erfasst. Leer lassen = keine.
+;
 ; proxy:     optional, HTTP(S)-Proxy-URL, ueber den das Script ipdeny.com
 ;            erreicht -- fuer Hosts, die zwar aus dem Internet erreichbar
 ;            sind (z.B. hinter Reverse-Proxy/Firewall), selbst aber KEINE
@@ -77,6 +83,9 @@ log_file = /var/log/geoblock/geoblock.log
 ; z.B. "8899" setzen (nur der Testserver wird geblockt, SSH bleibt offen).
 ports =
 protocol = tcp
+; Eigene Block-IPs/CIDRs zusaetzlich zu den Laendern (komma-getrennt, IPv4).
+; Leer lassen = keine. Beispiel: block_ips = 203.0.113.7, 198.51.100.0/24
+block_ips =
 ; Leer lassen, ausser der Host hat keine direkte Internetverbindung.
 proxy =