想在服务器上打开一个代理供手机使用，为了防止滥用，添加了搜到的联通 IP 地址范围的准入规则，大概 600 行左右，每行是一个 IP 范围。

这个大小对 IPTables 来说很大吗？机器是 Linode 1G Mem
ipset

生产环境到过6000没问题，就是感觉每个包进来都要这么筛一次，会慢。

iptables 的过滤操作是通过 kernel module 在内核态完成的，效率应该是没有问题的。

用ipset吧，我以前总结果相关的资料：http://wiki.wutianqi.com/tool/ipset.html



感谢，择日研究。

+1
但是多多少少会有点延迟，LZ机器配置延迟小到可以忽略

应该是，按照 LZ 的需求，iptables 是效率最高的方法了。
在 Web Server 或者部署的应用上做都会慢得多。

prefix匹配效率很高的，都是二进制操作，放心好了。

以前我有过类似的项目，不过是http代理，用squid里面的acl 过滤掉了ip，感觉性能还是不错。 squid acl 上万条前缀都没啥问题。
iptables 没写过那么多条目。
如果单纯屏蔽ip的话，用ip rule 然后做blackhole就好了。
ip rule 做的是路由查找，速度不错的。

2008年在5d6d弄过三千条，结果system interrupts特别高，机器基本卡死不能干活儿
不过当年的服务器配置比较低啦
建议在应用层做这个