Короче, народ, делюсь тем, что сам пробовал в борьбе с ддос. Обычно первым делом стоит проверить, не в сети ли у вас пинг нестабильный и нет ли резких всплесков трафика — это уже повод задуматься. Основные моменты, на которые стоит смотреть: настройка геоблокировки, лимиты на количество соединений с одного IP, и, конечно, фильтрация пакетов. Ставить просто "что-то, что должно работать" — не вариант, лучше тестить в лоб и смотреть логи, чтобы понять, что именно лезет.

Вариант с облачными антиддосами (типо Cloudflare) реально упрощает жизнь, но иногда этот контент-дистрибьютор вносит свои заморочки: задержки, ложные срабатывания и прочее. Поэтому важно комбинировать с локальной защитой: iptables, fail2ban, или профили на роутерах.

Из личного опыта — не стоит вставать на позицию "поставил защиту и забыл". Антиддос — это постоянная работа, если видишь, что атака повторяется по схожей схеме, надо подстраивать фильтры, возможно, даже менять цепочки маршрутизации.

И да, проверяйте нагрузку на сервер и бэкапы, чтобы в случае чего пережить. А у кого какие варианты работают или был опыт совсем безболезненной защиты?