Ботнет на подсеть /22, /21, /20?

В логах роутера тоже, получается, фальшивый?

Наверняка, проблема ipv4 в том, что в отправленном пакете мы можем указывать свой адрес какой угодно.

struct pkt {
	struct virt_header vh;
	struct ether_header eh;

	struct ip ip; // Вот здесь

	struct tcphdr tcp;
	uint8_t body[2048];	// XXX hardwired
} __attribute__((__packed__));

Как подобная деятельность может приносить прибыль? Ведь не просто так они это делают.

В данном случае, скорее случайность. Если бы целенаправленно DDoSили роутер, то хватило бы 10kpps+-

Ещй может использоваться как социальная атака. Так, например, "абузят" клиентов хостинга. Например атакуют сервер в хетцнере указывая адрес клиента сервера в ovh. Саппорт хетцнера видит атаку (якобы) из ovh и шлёт абузу -> ovh блокирует сервер клиента по подозрению в атаке.

Балансировка нагрузок на NGiNX?

Игорь Б: server_name в нормальном виде не пробовали задать? Возможно, nginx спотыкается на абстрактном "_", преобразовывая его в "apps".

Регулярное выражение (выборка до слова)?

исходный файл в "charset=windows-1251", потому для парсинга полученный контент надо перекодировать в utf-8

Регулярное выражение (выборка до слова)?

if($city) echo $city;

Регулярное выражение (выборка до слова)?

@Yastr файл в cp1251?

OVH (дополнительные IP)

Во всех возможных вариациях перепробовал и 4, и по одному, и без 4-го.
Согласно их инструкции также и по одному и все 4.