ipset
Kärnstruktur som lagrar tiotusentals adresser i en hashtabell så att iptables kan matcha mot hela mängden med en enda regel istället för tiotusen.
Utan ipset blir en blocklista en lista med regler som gås igenom linjärt för varje paket, vilket gör att brandväggen kollapsar långt innan listan blivit intressant stor. Med ipset finns mängden i kärnan som hash eller bitmapp, uppslagningen är konstant i tiden, och iptables-regeln säger bara -m set --match-set blocklista src. Mängderna har typer efter vad de innehåller: hash:ip, hash:net för prefix, hash:ip,port för kombinationer. Poster kan ha timeout och försvinna av sig själva, vilket gör det till den vanliga byggstenen bakom fail2ban och liknande. I nftables är motsvarande funktion inbyggd som named sets.