ipset
Estrutura do kernel que guarda dezenas de milhares de endereços numa tabela hash para que o iptables case o conjunto inteiro com uma regra só, em vez de dez mil.
Sem o ipset, uma lista de bloqueio vira uma lista de regras percorridas linearmente a cada pacote, e o firewall colapsa muito antes de a lista ficar interessante. Com o ipset, o conjunto vive no kernel como hash ou bitmap, a consulta leva tempo constante e a regra do iptables só diz -m set --match-set blocklist src. Os conjuntos são tipados pelo que guardam: hash:ip, hash:net para prefixos, hash:ip,port para combinações. As entradas podem ter timeout e expirar sozinhas, o que faz dele a peça básica por trás do fail2ban e ferramentas parecidas. No nftables, o equivalente já vem embutido como conjuntos nomeados.