Не уверен насчёт fail2ban, у меня от больших ДДоСов он особо не спасал. Всё равно без нормального внешнего антиддос-а толку мало, особенно если атака просто лавиной идёт. А iptables — это, конечно, базис, но на серьёзные нагрузки без дополнительной защиты рассчитывать не стоит. Все эти заморочки с Layer7 — перебор для слабых машин, только больше проблем доставляют.