Тут главное не пытаться сразу всё выжать из серверных настроек — лучше постепенно настраивать rate limiting и fail2ban, как у тебя. Облачные штуки реально выручают при больших нагрузках, но без базовой фильтрации они мало помогут. Мониторинг не зря советуют — если сам не следишь за трафиком, вообще непонятно, сколько и откуда прилетает. С таким подходом можно даже самому выстоять под нагрузкой.