Cloudflare в бесплатном варианте действительно один из самых простых и эффективных способов отбить мелкий DDoS, если правильно настроить. Fail2ban тоже приемлем для автоматической блокировки подозрительных IP, особенно на SSH. Iptables — мощно, но сложно подогнать под масштаб. В общем, связка из этих трех часто выручает, пока не выпадут более серьезные атаки. Бесплатных вариантов с полной защитой не бывает, но базу держат нормально.