На данный момент имеем 13087 правил в Iptables, генерируемые биллингом:

    0     0 RETURN     all  --  *      *       10.100.4.199         0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.40.224        0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.16.110        0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.40.217        0.0.0.0/0
......
......
    0     0 RETURN     all  --  *      *       10.100.41.85         0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.41.74         0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.42.35         0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.14.66         0.0.0.0/0
    0     0 RETURN     all  --  *      *       10.100.4.203         0.0.0.0/0
.....
0     0 REJECT     all  --  *      *       10.100.11.45         0.0.0.0/0           reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       10.100.10.39         0.0.0.0/0           reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       10.100.10.38         0.0.0.0/0           reject-with icmp-port-unreachable
    0     0 REJECT     all  --  *      *       10.100.10.37         0.0.0.0/0           reject-with icmp-port-unreachable
......... и т.д. и .т.п.

при всём этом получаеам

6 root      15  -5     0    0    0 R   99  0.0   5565:09 ksoftirqd/1
99-100% загрузка CPU

Как можно с помощью ipset'a облегчить жизнь ?

зы http://ipset.netfilter.org/ipset.man.html - тут к сожалению ничего не понятно :(