sim3x

Читал в КП

перестаньте читать ерунду без промедления

После 05 года атаку на 10+Гбпс может организовать школьник на карманные деньги

Гарантированный канал будет стоить вам денег
Без оборудования и мощностей для утилизации данной пропускной способности - ето деньги на ветер
Более того, забивание канала довольно грубый подход, который очень быстро выводит часть ботнета из рабочего состояния
Есть множество подходов, которые требуют минимум трафика и десятки-сотни запросов с десятка сотни машин, а результат будет получше чем забитый канал

Пока вас не атакуют - делать ничего не нужно
Когда начнут атаковать - нужно обращаться к спецу, а не мудрить

Так и делают
Только делают для ботсети на сотни тысяч голов
И не на уровне одного хоста, а на уровне точек обмена и провайдеров, у которых боты находятся

https://www.cyberciti.biz/faq/unix-linux-appleosx-...

### case sensitive http user agent blocking  ###
if ($http_user_agent ~ (Catall Spider|AcoiRobot) ) {
    return 403;
}
### case insensitive http user agent blocking  ###
if ($http_user_agent ~* (foo|bar) ) {
    return 403;
}

mailman.nginx.org/pipermail/nginx/2007-January/000...
stackoverflow.com/questions/18970620/nginx-reject-...

map $http_via $is_not_ok {
    default     "0";
    "~*squid"  "1";
}

if ($is_not_ok) {
    return 405; 
}

cloudflare
qurator
...

Хочешь научиться отбивать атаки - иди учиться в компании, предоставляющие такой сервис

От udp - никак, терпи пока не положат канал
От tcp - дропай подозрительные ип через ipset/iptables

Для защиты приложения, для начала спрячь сервис за nginx