Раньше вообще народ не парился, просто ставили базовый фаервол и надеялись, что прокатит. Сейчас, конечно, нагрузка выросла, и без небольших доработок в виде rate limiting и fail2ban уже никуда. Но прикол в том, что когда-то хватало просто nginx с кешем, чтобы устоять. Облачные антиддосы бьют по карману, поэтому многие все равно пытаются через локальные средства выкрутиться — и иногда работает вполне прилично.