Вопросы борьбы со спамерами, ботами и прочей нечистью всегда актуальны. Хорошо когда список небольшой, с помощью iptables это решается элементарно, но вот когда адресов пару тысяч ... тут уже приходится не сладко.

И тут на помощь к нам приходит (барабанная дробь) ipset.
Ipset позволяет использовать большие таблицы IP и MAC адресов, подсетей, номеров портов совместно с iptables (подключение производится через одно правило, в таблице используется хэширование). Возможно быстрое обновление списка целиком.

Официальная страница - ipset.netfilter.org.
ipset представляет из себя модуль ядра ip_set, ряд вспомогательных библиотек и утилиту ipset для задания параметров.
Установка тривиальна, во всех современных дистрибутивах присутствует пакет с одноименным названием.
Модуль ядра можно проверить командой:

В Debian 7 и выше:

В Debian squeeze есть пакет xtables-addons, контент которого дублирует netfilter-extensions, установка:

В Gentoo соответственно проверить ядро на присутствие модуля, и установить пакет:

CentOS / RHEL (используйте EPEL репозиторий):

Списки блокировок.
Где брать? Как отформотировать для использования?
Первое - список для удобства должен состоять только из ip адресов - по одному в строке, в любом текстовом файле.
Не так давно писал про Denyhosts, итогом работы является обновляемый список адресов в файле /etc/hosts.deny, выглядит вот так:

Тут надо просто выбросить первые 5 символов, вот так например:

Если необходимо отсортировать уникальные (удалить дубликаты):

Хорошие, обновляемые, готовые к использованию списки можно взять на форуме stopforumspam.com, будьте внимательны - есть суточное ограничение на количество скачиваний.
/..../
Блокируем.
В ipset нет таблиц, а есть set различных типов. Типы позволяют задавать ip адреса из определенной подсети (ipmap тип), связки ip адресов с MAC адресами (macipmap), порты из заданного диапазона (portmap), набор ip адресов или сетей (iphash, nethash), разные комбинации этих set-ов, или даже хранить ip адреса в set только определенное время (iptree). Более подробно советую посмотреть man ipset(8).

Для нашей задачи подходит тип iphash. Создаем (N -new) set с именем blacklist, и смотрим его содержимое:

Добавляем (A - add) ip адреса blacklist и смотрим (L - list) содержимое set:

Удаляем ip адреса из blacklist set (D - delete):

Проверяем, есть ли ip в blacklist set (T - test):

Удаляем все ip адреса из blacklist set (F - flush):

Удаляем сам set (X):

*** После создания set нам необходимо пропустить его через какую-либо цепочку фильтра iptables.
Вспомним путь прИхождения внешнего пакета в правилах iptables, сверху вниз:

Или смотрим картинку.
Цепочка INPUT обрабатывает запросы, которые идут непосредственно на машину с iptables. Если надо блокировать трафик, который проходит от клиента к серверу через данную машину транзитно, то нужно использовать FORWARD, а то и PREROUTING.
Пример с INPUT:
** Правило не добавляем (-A), а вставляем (-I) в начало цепочки INPUT правил.

Т.е. мы подключили модуль set (-m set), потом указали какое совпадение set использовать (--match-set blacklist). src - это флаг, который показывает какие ip сравнивать с set, src (source - источник) или dst (destination - назначение) . Если нужно проверить и src и dst, то флаг задается так src,dst.
Посмотрим цепочку INPUT, на предмет нашего правила ipset (часть вывода):

Хорошо видно, что наше правило (1) встало на первое место, т.е. пакеты при прохождении не минуют наш blacklist set.

Пример с FORWARD и логированием:

** Замечание - почему логирование стоит вторым в инсерте правил? .. потому что мы вставляем правило в начало цепочки, и, казуса, что пакет не дошёл до правила с логированием не случится, в случае если правила мы добавляем, то очередность должна быть обратной, всегда смотрите и проверяйте правила прохождения пакетов:

... - все в порядке: сначала в LOG (1), потом в DROP (2), потом остальные правила.
/../
Удалять правила можно вот так:

** Логи ipset и iptables искать в логах ядра, потому что это "ядерные" модули.
Я использую syslog-ng, kernel логи ловлю в отдельном файле:
Посмотреть через некоторое время, кто попал в сети можно так:

Если не знаете где логи можно грубо (может парсить долго!):

Все что осталось, - это написать скрипт, который забирает из файла список блокировок.
Каталог для нашего скрипта (можно использовать любой):

Скачиваем список ip адресов и распаковываем его (можно автоматизировать, добавив задание в cron):

Примерный вариант скрипта:

////**** Вариант скрипта предварительный, хотя много нового в нем не будет, но подправлю позже чуть.
...
upd: Замечание по правилу iptables - если firewall настроен как положено, (политики DROP), и открыты только нужные порты, следует указать более конкретное правило, для конкретного порта:

... вот что теперь я наблюдаю у себя в логах:

Можно посмотреть сколько заблокированных (посчитаем количество линий в файле) IP адресов:

Посмотреть на наш ipset и его размер:

////
Справочное руководство man ipset (англ).
Статья на англ. с графиками тестирования скорости обработки большого количества ip адресов.
Спасибо за внимание.