Мне очень нравится идея иметь кучу серверов брандмауэра, которые обрабатывают в TCP рукопожатие, а затем отправить реальный трафик на реальный сервер (ы) с помощью туннеля GRE. Так как она работает на уровне TCP, серверы брандмауэра не нужен ключ HTTPS и не особенно чувствительны с точки зрения безопасности. Она не защищает от атак на уровне приложений, но, как правило те, легче защитить от, только в черный список или ограничения IP-адреса плохо себя. Я желаю, чтобы больше компаний предлагают эту услугу. предыдущая защита от DDoS дня форума сделал это, но это был какой-то любительский операция, которая имела свои собственные проблемы с надежностью, что делает его неприемлемым. Incapsula был готов сделать специальное предложение, но их цена была смешна. Я думаю, что кто-то может делать деньги, покупая несколько десятков серверов, распределенных по всему миру и продают GRE-туннель на основе защиты от DDoS от SYN наводнения и, возможно, также пропускной способности скачивает (путем отслеживания, когда новый IP-адрес начинает использовать намного больше трафика, чем кто-либо другое), в идеале с Anycast IP-адреса для распределения трафика между серверами брандмауэра. Я думаю, что вы могли бы сделать это в значительной степени со стандартными правилами Iptables, хотя бы очень сложно. Если я настраивал услугу, как это, я бы переоценивать, как сумасшедший - каждый сайт только на самом деле DDoSed очень небольшой процент времени, поэтому вам нужно только достаточно обычную емкость для защиты от одного или двух активных атак -, но затем есть какое-то план резервного копирования для добавления дополнительных серверов в случае чрезвычайной ситуации (возможно, путем раскручивания EC2 / DigitalOcean / Vultr экземпляров, которые являются дорогостоящими по сравнению с выделенным сервером, но быстро доступны в случае, если больше мощности требуется в настоящее время).