Пробую пока Cloudflare, он реально помогает отбить часть трафика, хотя и не всегда всё гладко. На своём сервере ставил fail2ban — с ним вроде спокойнее, меньше подозрительных запросов. Ещё слышал про ddos-deflate, но не особо заморачивался, пока хватает первых двух. Пока учусь разбираться, но уже видно, что без автоматизации никак.