При создании ipset всегда нужно указывать параметры: «family inet hashsize 65536 maxelem 65536», например:

ipset create mylist hash:ip,port family inet hashsize 65536 maxelem 65536

В противном случае, добавляет через раз. Почему - неизвестно. Например проблема проявляется вот так:

-A mytable -p tcp -j SET --add-set mylist dst,dst 
-A mytable -p tcp -m set ! --match-set mylist dst,dst -j SET --add-set mylist dst,dst 
-A mytable -p tcp -m set ! --match-set mylist dst,dst -j SET --add-set mylist dst,dst 
-A mytable -p tcp -m set ! --match-set mylist dst,dst -j SET --add-set mylist dst,dst 

при этом большая часть пакетов попадает в нижние правила, что неправильно.

~~OWNERAPPROVE~~