Тогда приходиться запускать снова firewall
Проще просто отчистить 1 таблицу. Например поставить скрипт в cron а не весь firewall

Для моих  вещей это не подходит.
Да пару строк не особо много зато всё аккуратно. Чем делать это через полный firewall.

--=XliN=--, ну минимально в цикле из файло сделай ...
во:

export BLACKLISTIP="/var/firewall/blacklist.ip"
iptables -F check_ip
iptables -N check_ip
if [ -f $BLACKLISTIP ] ;then cat $BLACKLISTIP | while read line; do  echo -e "${line}";
iptables -A check_ip -d  ${line} -j DROP
done; fi
iptables -A check_ip -j RETURN

Блин щас разжую

в firewall добавляем
iptables -N check_ip # Создаем цепь для соц сетей

# Здесь мы указываем что это первое правило в FORWARD если например зделать A то работать вообще не будет ибо обязательно как ниже!!!
#$lan ваша подсеть например 192.168.0.0/24
#$inet интерфейс в интернет
$lan=192.168.0.0/24
$inet=ppp999
iptables -I FORWARD 1 -s $lan -o $inet -j check_ip #отправляем на проверку на наличие запрещённых сетей
#Получаеться пакет попал в FORWARD и сразу на проверку в check_ip

Нижним скриптом берем айпи и загоем в таблицу  check_ip

Скрипт будет таким.

   #!/bin/bash
    BLACKLIST="/var/blacklist.url"
    n=1;

# Очищаем все старые на фиг ип
    iptables -F check_ip
    if [ -f $BLACKLIST ]; then
    while read line
    do
    nslookup ${line} >> /tmp/nslookup.tmp;
    done < $BLACKLIST
    fi

    awk '/Address:/ {if($2=="127.0.0.1#53"){} else{print $2 > "/var/blacklist.ip" }}' /tmp/nslookup.tmp

    if [ -f /var/blacklist.ip ] ;
    then
    cat /var/blacklist.ip | while read line
    do
    echo "${line}"
    iptables -I check_ip $n -d ${line} -j DROP # дропаем
    let n=n+1;
    echo $n;
    done
    fi
# Тоже обязательно иначе нормалные пакеты не пойдут дальше
    iptables -A check_ip -j RETURN #отправляем дальше на проверку

Как тебе больше нравиться. Основную мыслю понял.

А можно ещё это особенно Xlin

tc class add dev $inet parent 1:1 classid 1:50 htb rate 10Kbit ceil 10Kbit burst 15k
tc qdisc add dev $inet parent 1:50 handle 50: sfq perturb 10
tc filter add dev $inet parent 1:0 protocol ip prio 7 handle 50 fw classid 1:50
iptables -t mangle -I check_ip $n -d ${line} -j -j MARK --set-mark 50

? разжуй

Точто моё это 2 скрипта 1 блок в основной firewall. А второй в cron

Я слушаю дальше я не могу понять ход твоих мыслей.

      как проверишь отпиши но я всё таки жду чтоб разжевали где мои ошибки на счёт скриптов.

Подскажите в чем касяк. Скрипт отрабатывает, но IP повторяются (два, а то и три раза)

Я это понял. Тоже проверял. Просто мне так удобнее и если по чесноку интереснее. 

Он есть. Методом тыка выявил место ошибки. Проблема в блоке

Сорри что лезу со своими скриптами, но все же.
Т.к. iptables cам умеет по доменному имени узнавать IP, то скрипт станет еще проще.

Создается файл с урлами тех кого дропаем.

И собственно сам скрипт

#!/bin/bash
lan="192.168.3.0/24"
inet="ppp0"
BLACKLIST="/var/blacklist.url"

if [ ! -z "`iptables -n -L | grep -i "chain check_ip"`" ]; then
  if [ -f $BLACKLIST ]; then
      iptables -F check_ip;
      iptables -I FORWARD 1 -s $lan -o $inet -j check_ip
      iptables -A check_ip -s 192.168.3.254 -o ppp0 -j ACCEPT
      cat $BLACKLIST | while read line
      do
        echo -e "${line}"
        iptables -A check_ip -d "${line}" -j DROP
      done
  iptables -A check_ip -j RETURN
  else
     echo "Файла $BLACKLIST не существует!!"
  fi
else
    echo "Цепочка check_ip не создана"
    iptables -N check_ip
fi

И попутно вопрос, т.к. с башем только начал осваиваться.
Как в блоке

else
    echo "Цепочка check_ip не создана"
    iptables -N check_ip

сделать так, что было так: после проверки на наличие цепочки и выявления что ее нет, скрипт ее создает но в и выходит потом сразу. Как его заставить еще раз отработать? Типа гото нужно ))

Все... разобрался.  Очень даже удобно для блокировки соц сетей и всяких трекеров.