У меня на боевом стоял связка nftables плюс облачный антиддос, вроде держит мелкие и средние волны. С одной только железкой далеко не уедешь, сервисы типа Cloudflare реально помогают разгрузить канал и отсеять большую часть мусора. Главное — вовремя видеть атаку и быстро настраивать фильтры, иначе толку мало.