У меня был выделенный сервер, крутил сайт, но прямого контроля над роутером или коммутатором не было, только сам сервер в руках. Задача - как правильно защититься от ддос именно на уровне самой машины, без доступа к сетевому железу. Пытался iptables с лимитами, fail2ban и nftables поставить, понятно, что это не спасёт от крупной атаки. Есть у кого опыт похожий? Особенно интересуют системные методы управления трафиком, помимо того же nginx с rate limiting или легких прокси - хочется именно на системном уровне фильтровать. Сервер под Linux, обычно ставил и Debian, и CentOS.

Кто какие тулзы или практики использует, чтоб в такой ситуации, без сетевого фильтра, хотя бы немного контролировать трафик? Может, стоит что-то ещё на уровне приложений замочить? Как вообще выкручиваетесь, если внешнее железо не покоряется, а защита нужна?