Недавно пришлось самому настраивать антиддос и понял, что вообще без базовых проверок сложно понять, что именно не так. Вот что проверял и на что обращал внимание:

1. Проверить фильтры по IP — убрать известные плохиши и локальные адреса, чтобы не блокировать своих.
2. Обратить внимание на таймауты соединений — слишком короткие режут легитимные сессии, слишком длинные — грузят систему.
3. Настроить лимиты на количество подключений с одного IP, чтобы не пускать слишком много запросов подряд.
4. Проверить, правильно ли ложатся правила в фаерволл — иногда из-за мелкой ошибки фильтра не работает вообще.
5. Посмотреть логи при атаках и сравнить с нормальной работой — часто видно паттерны или повторяющиеся IP.
6. Если антиддос поставлен на облаке — проверить, что отключен доступ к панели из интернета напрямую.
7. Подумать о белом списке для ключевых IP, чтобы не попасть в “бан” из-за случайных ударов.

В общем, главная боль — мелкие настройки, которые на первый взгляд кажутся мелочью, а потом вырубают весь трафик. А у кого есть свои базовые правила, которые всегда помогают?