Согласен с тобой, простых решений на старте хватит, если трафик не гигантский. У меня было — поднял базовый фильтр и rate limiting, и сразу стало проще, хоть и не отпугнуло всех злоумышленников. Главное — не забрасывать настройку, а постоянно смотреть, что происходит, чтобы не вырубить нормальных юзеров. И да, если ддос редкий — смысла дорого решение брать нет.