У меня в сетапе уже несколько месяцев комбинируется Cloudflare (бесплатный план, вкрапления WAF), плюс на сервере стоит Fail2Ban с парой кастомных правил под ддос. Не шик, но большинство мелких нагрузок отбивает, и сайт не падает.

Из того, что ещё пробовал и видел в деле:
- Nginx с rate limiting и connection limiting — простое и рабочее, но если атака большая, без внешней фильтрации не спасёт;
- Про прокси-сервисы, кроме Cloudflare, вроде Akamai и StackPath, слышал, что дорого, но реально помогает фильтровать трафик;
- Есть ещё специализированные решения вроде Radware или Arbor Networks, но это уже серьезные штуки для крупных клиентов с бюджетом и поддержкой;
- С DNS можно играться — Route53 от AWS, например, плюс интеграция с Shield для ддос.

Главное — понять, что никакой инструмент не гарантирует 100%. Важно комбинировать уровни защиты: на уровне сети, на уровне приложений и в инфраструктуре. И тестировать каждую точку — без этого весь антиддос слабо работает.

Кто что использует? Какие инструменты реально выручают в сложных ситуациях и что вас злил больше всего?