ipset
Структура ядра, хранящая десятки тысяч адресов в хеш-таблице, чтобы iptables сопоставлял весь набор одним правилом вместо десяти тысяч.
Без ipset чёрный список превращается в перечень правил, который обходится линейно для каждого пакета, и файрвол захлёбывается задолго до того, как список становится интересным по размеру. С ipset набор живёт в ядре как хеш или битовая карта, поиск занимает константное время, а правило iptables просто говорит -m set --match-set blocklist src. Наборы типизированы по содержимому: hash:ip, hash:net для префиксов, hash:ip,port для комбинаций. Записи могут иметь тайм-аут и истекать сами — поэтому ipset и стал обычным кирпичиком под fail2ban и подобными инструментами. В nftables эквивалент встроен как именованные наборы.