有大量恶意IP需要屏蔽

方案1：iptables + ipset ，优点是udp也可拦截、能用iprange在一条命令里跨网段，缺点是消耗资源；
方案2：iproute2中的ip route add blackhole X.X.X.0/xx，优点据说是基本不占资源，但只限于TCP，而且好像无法跨网段，只能用CIDR的IP格式？

哪位高人指点一下
问题1：blackhole是否真的不占资源？
问题2：blackhole能否支持跨网段的ip range？类似iptables那样的 -m iprange --src-range x.x.x.x-y.y.y.y

谢谢