Если только начинаешь разбираться с защитой от ддос, то можно быстро запутаться в куче вариантов — облачные сервисы, локальные скрипты, железо, прокси, фильтры в роутерах… Вот что заметил по своему опыту и не только:

Облачный антиддос — самый простой вход, но не всегда гибкий. Ты просто включаешь трафик через них, и они отфильтровывают хлам. Зато за это теряешь прямой контроль и иногда получаешь небольшие задержки. Это норм, если у тебя небольшой или средний проект и нет бюджета на сложную защиту.

Локальные решения (iptables, nftables, fail2ban и пр.) хорошо работают на уровне сервера, когда понимаешь свои типы атак и можешь жестко фильтровать. Но у них есть предел — если бьет снаружи мощный ботнет, просто сервер не вытянет.

Железные антиддос-устройства — круто, но дорого и сложно настраивать. Подойдет для серьезных проектов, где нужна максимальная готовность. Но рентабельность для мелких — под вопросом.

Прокси и любые подобные «посредники» неплохо помогают скрыть реальный сервер, плюс фильтруют часть атак. Но если без правильной настройки, может быть дырой, через которую пробьется ддос.

Проще всего начать с облачного сервиса, а потом допиливать локальные фильтры. Они дополняют друг друга и уменьшают нагрузку. Я обычно сначала делаю базовую защиту в облаке, потом уже поднимаю правила iptables и ставлю мониторинг.

Кто-то пытается все делать сам и жертвует удобством, кто-то доверяет всем сразу — в итоге у каждого свой баланс. Главное — четко понимать объем и источники атак, чтобы подобрать инструменты не «на глазок».

У вас как с этим? Какие способы на практике сработали лучше всего?