nginx блокировка повторяющихся запросов

Достаточная статьи для вашего случая, вам поможет 5 пункт:

https://mcs.mail.ru/blog/zaschita-ot-ddos-atak-sredstvami-nginx

1 запрос в секунду кладёт сервер? Надо что-то делать со скриптами, это не нормально.

Ну и блокировку по IP или подсети никто не отменял.

Вам всё правильно сказали

Вместо IP фильтровать по URL

Принцип тот же

binary_remote_addr  - заменить на  $uri  к примеру или $request_uri

Первое что я делаю при таких атаках, это смотрю что за ip и баню его.
Однако это разгребание последствий, уже когда всё в зависшем состоянии.
А хотелось бы изначально защитится от таких простых атак.
В общем настроил пока что такую строчку, наблюдаю по логам как оно работает, банит-ли нормальный трафик..

nginx.conf:

limit_req_zone $binary_remote_addr:$request_uri zone=one:10m rate=10r/m;

/sites-enabled/website.conf

limit_req zone=one burst=20 nodelay;

Возможно стоит настроить отдельное правило на binary_remote_addr и отдельное на request_uri.
Есть идеи как и что ещё можно подкрутить?
Неужели никто не сталкивался с такой проблемой? Или может стоит подключить CDN и не париться?

Скрипты надо писать нормальные и тогда не нужно костылей таких делать. Вы же хотите защиту от DDOS прикрутить к своим тормозным скриптам и думать, что решили проблему.

CDN вообще тут ни при чём, он также не решит проблему с кривыми скриптами.

обычного ВП не бывает в рабочем проекте. Стандартно это 15 плагинов и допиленная тема под свои нужды. Всё это люто тормозит т.к. разрабатывали 10 разных людей за 500 рублей.

Еще советую добавить

limit_req_status 429;