ipset
Struktura w jądrze, która trzyma dziesiątki tysięcy adresów w tablicy haszującej, żeby iptables dopasowywał cały zbiór jedną regułą zamiast dziesięciu tysięcy.
Bez ipset lista blokad staje się listą reguł przeglądanych liniowo dla każdego pakietu, co kładzie zaporę na długo przed tym, zanim lista zrobi się naprawdę duża. Z ipset zbiór żyje w jądrze jako hasz lub bitmapa, wyszukiwanie ma stały czas, a reguła iptables mówi tylko -m set --match-set blocklist src. Zbiory są typowane według zawartości: hash:ip, hash:net dla prefiksów, hash:ip,port dla kombinacji. Wpisy mogą mieć limit czasu i wygasać same, dlatego to zwykły element składowy fail2ban i podobnych narzędzi. W nftables odpowiednikiem są wbudowane nazwane zbiory.