Инвалидация адресов в ipset

[Danstiv]

Приветствую!
Настраивал по этой статье.
Всё вроде работало, но вчера случайно заметил, что google.com маршрутизируется через туннель.
После service firewall restart маршрутизация пошла через isp, в моём понимании произошло следующее.

1. Кто-то в локалке зарезолвил что-то гугловое, youtube.com например.
2. ip попал в ipset.
3. Через какое-то время случилась некая ротация, и google.com стал ссылаться на ip, который ранее был зарезолвлен, из-за чего он стал маршрутизировать его через туннель.

И если моя теория верна, то возникает вопрос, какая оптимальная стратегия инвалидации ip-шников в ipset?