Кто часто мутит антиддос знает, что вопросов море, а готовых ответов мало. Вот что чаще всего встречал и что реально помогает:

1. Как понять, что началась атака?
Если сервер внезапно тормозит, трафик валит с пару десятков и больше IP, а логи пестрят запросами, которых раньше не было — скорее всего, ддос. Проверка по нагрузке CPU, соединениям, водовороту одного типа трафика.

2. Что делать в первую очередь?
Не паниковать. Быстро глушить или сбрасывать подозрительные IP, включать базовые фильтры на уровне фаервола. Если есть провайдер с антиддосом — сразу с ними на связь.

3. Какие виды защиты подобрать?
Простейшее — лимит на соединения с одного IP, проверка согласно географии (блокировка стран, если не нужны). Кэширование статического контента, чтоб снизить нагрузку. Рано или поздно на уровне CDN и WAF проще отсеивать ботов.

4. Можно ли все автоматизировать?
Да, но автоматические правила нужно периодически пересматривать, чтоб не заблокировать легальный трафик. Примитивные антиддос-скрипты на iptables работают, но на серьезных атаках мало помогут.

5. Какие ошибки встречал?
Убирать вообще весь трафик без разбора, ставить слишком жесткие лимиты и блокировать свой же поток. Неправильно настроенные правила фаервола, из-за чего сайт упал, хотя атака была легкая.

6. Сравнение разных подходов:
- Провайдерский антиддос — удобно, но не всегда дешево и нельзя полностью контролировать.
- Свой софт/скрипты — сложно настраивать, но можно гибко реагировать.
- Аппаратные решения — хороши, но дорогие и требуют админов.

Напишите, кто как борется? На чем остановились после бесконечных настроек?