Pozor na opravdu distribuované útoky. Málo lidí si uvědomuje, že při použití obyčejného "iptables" příkazu se napřed z kernelu čtou všechna pravidla, pak se jedno přidá a pak se celý ruleset zapíše znova. To není tak velký problém pro 20 pravidel, ale 20000 pravidel už zabere nějakou tu minutu.
Režie běžného síťového provozu ale nebude velká, tedy pokud admin bude akceptovat packety z navázaných spojení před porovnáváním všech adres v blacklistu.
Ideálnější by pro to bylo použít (od 2.6.39 konečně v upstream kernelu) ipset. Ten by se dal nasadit i tam, kde je vypnutý conntrack.
fail2ban když existuje "iptables -m recent" který taky dokáže po několika pokusech zablokovat danou IP adresu? Není potřeba aby běžel další proces a funguje s IPv6.