Согласен, баланс между защитой и производительностью — самое главное. У меня тоже стоит fail2ban и nginx с rate limiting, а ipset пока юзаю осторожно, чтобы не заблочить нормальных юзеров. Иногда мелочи в конфиге решают больше, чем куча новых инструментов. Главное — не перегружать сервер фильтрами, а то вместо защиты получаешь тормозящий сайт.