ipset iptables

#смотрим гадов

sudo netstat -tpn
или

sudo netstat -naputeo | awk '{ if (($3 + 0) >= 1000) { sub(/.*:/, "", $4); print $3, "\t", $4, "\t", $5, "\t", $9;} }'

кол-во_подключений, порт, от_кого_идут_запросы, к_какой_программе

#заводим список с возможностью таймаута и комментариями.
sudo ipset create bans hash:net timeout 0 comment

#добавляем в список ip или группу
sudo ipset add bans 109.248.49.236
#маска сети (#255.255.255.0)
sudo ipset add bans 109.248.49.236/24
#маска сети (#255.255.0.0)
sudo ipset add bans 109.248.49.236/16

#удаляем из списка

sudo ipset del bans 109.248.49.236

sudo ipset del bans 109.248.49.236/24
sudo ipset del bans 109.248.49.236/16

#вставляем (не добавляем) правило если на сервере
sudo iptables -I INPUT -m set --match-set bans src -j DROP

#удаляем правило

sudo iptables -D INPUT -m set --match-set bans src -j DROP

#для роутера правило нужно вставить (не добавить) в форвард или прероутинг
iptables -I FORWARD -m set --match-set bans src -j DROP

iptables -t raw -I PREROUTING -m set --match-set bans src -j DROP

#не забываем о man ipset ;)

по некоторым материалам из http://linuxru.org/linux/324