Когда-то пытался завязать только на аппаратке – дорого, да и настройка голова кругом. Потом облачка подрубил, стало проще, но задержки реально напрягали. Сейчас понял, что без плясок с бубном сила в гибриде: базовый файрвол, капля облака и чуть логики на уровне сервера — тогда и обычные пользователи спокойны, и под DDOS не падаешь. Классика, но всё работает.