Cloudflare лег?

Всё, понятно с вами. Сервер у вас дополнительный перед сайтом который распределяет по DNS запросы. 2 аккаунт клоудфларе на всякий случай, чтобы чуть что подменить. 😀

Это для вас кажется, что ваши теоретические домыслы будут работать. А ддосеру всё равно, что вы там подменяете и nginx уж точно упадёт или начнёт лагать т.к. сладкая цель.

Конечно, любой узел в сети увеличивает лентенси запроса, зачем ставить какую либо защиту перед сервером если никто не атакует, зато для всех увеличивает время загрузки вашего сайта? CF только на случай подменить и то потому что отключили ddos-guard по тем же причинам, но все конфиги и настройки всегда были на своих серверах, у CF как и у других на сколько помню есть ограничения на правила, плюс меняя провайдеров приходится каждый раз эти правила переизобретать.

Что за WAF/логи на картинке, нашли замену Cloudflare?) 

Даже не пытайтесь понять, что он пишет. Это уникальные ip и именно за сутки на его графике. Вот так выглядит таблица полностью

waf сейчас по сути набор правил свой на nginx сделанный как выше писали на мапах, есть вот такие проекты https://github.com/mitchellkrogza/nginx-ultimate-bad-bot-blocker но я честно пока не пробовал, есть https://www.openappsec.io/ это с использованием ML какое то время учится потом включаешь и работает, есть панелька в облаке и естественно бесплатная версия.

А на картинке это просто графана, дашборд строится по метрикам из прометеуса, в прометеус пишет мой сайт, то есть кастомные штуки.

Да я так и понял, спасибо за полный график. Но в целом да там написан промежуток и что это за число =) Я поэтому и уточнил как может виртуалка от 3к уников упасть за сутки, так как это в среднем 2 запроса в минуту =)

Т.е. Вы предлагаете отказаться от CF совсем, а использовать его только тогда, когда будет атака?
Объясните только один момент, CF не подключается за 10-15 минут, иногда потребуется куда большее время, да хотя бы для того, чтоб прописать правила. А пока настраиваем, сайт ляжет раза 2-3. Что с этим делать то?

Какие теоретические? Как мой nginx упадет если он до него не сможет достучаться? =)) И чтоб уронить nginx я не знаю даже что надо, раньше, прям сильно раньше упадут коннекты к БД, упадет php в очередях тредов и так далее, но точно уж не nginx =)) Я на nginx с 2Гб оперативки и 2 ядрами процессора держал 1000RPS и он даже особо не почувствовал =))

Всё подцепить хочешь? Сам хоть разберись в Cloudflare.

Ну не совсем так. DNS у вас уже на CF, правила работают только когда включено проксирование через CF, когда выключено, то CF это просто DNS сервер, прям таки устойчивый DNS. В случае атаки (в моем случае) подменяется IP на другой с этой же виртуалки и включается проксирование. А старый IP отключается от виртуалки чтоб на него напрямую долбится не могли. Как атака проходит, то IP снова подменяется на CF на старый всем известный и проксирование отключается. А так да, сидеть под CF с текущими проблемами не вижу никакого смысла на постоянке, сайт без CF например отвечает за 150ms в среднем, а с CF порой больше секунды, но меньше 600ms практически никогда.