Cloudflare реально выручает для старта — легко настроить и бесплатный базовый фильтр классно помогает. Но да, на серьёзные DDoS нужен уже платный уровень или комбинировать с чем-то локальным. Такая защита должна быть многослойной, иначе просто запутаешься в фильтрах и своё же перекроешь. Fail2ban с nginx + лимитами — простое и рабочее решение для бюджетных проектов.