> Для чего весь список засовывается в массив вместо того,
> чтобы сразу через xargs скармливать хосты ipset-у?

Примеры в студию!

> Зачем сортировка, если ipset все равно внутри себя все засунет в хэш-таблицу?

Пару миллисекунд жалко?

> Где очистка старых адресов, которые больше нет в списке?

Ща за веником сбегаю.

---
... а багу не заметили  dst должно быть в OUTPUT

$IPTABLES -A INPUT -m set --match-set TOR_NODES src -j REJECT;
$IPTABLES -A OUTPUT -m set --match-set TOR_NODES dst -j REJECT;