ipset
On binlerce adresi bir karma tablosunda tutan çekirdek yapısı; iptables kümenin tamamını on bin kural yerine tek kuralla eşleyebilir.
ipset olmadan bir kara liste, her paket için doğrusal olarak gezilen bir kural listesine dönüşür ve güvenlik duvarı liste ilginç bir uzunluğa varmadan çöker. ipset ile küme çekirdekte karma ya da bitmap olarak durur, arama sabit zamanlıdır ve iptables kuralı yalnızca -m set --match-set blocklist src der. Kümeler, tuttukları şeye göre tiplenir: hash:ip, önekler için hash:net, birleşimler için hash:ip,port. Girdilere zaman aşımı verilebilir ve kendiliğinden sona erer; fail2ban ve benzeri araçların yapı taşı olmasının nedeni budur. nftables’ta karşılığı, adlandırılmış kümeler olarak yerleşiktir.