Чем мониторить трафик?

Не делает то что заявлено

А точно молоток виноват, что ударил плотнику по пальцу?

А молоток виноват в том что при ударе о гвоздь он раскололся на части?

С Ваших слов пока понятно только то, что гвоздь молотком не забили. А уж раскололся или горе-плотнику по пальцам попал - то неясно.

Раскололся, раскололся. Больше 70k паралельных сессий сдыхает.

Andreyka, ну ссылку то дай. или хотя бы название модели роутера,платы и условий, в которых он не работал как должен.

обычный многофункциональный цискороутер разумеется не стоит использовать для фильтрации ddos, несмотря на то, что некоторые их боготворят.

http://www.cisco.com/en/US/products/ps5888/index.html

Неправда. Netflow на бордере будет сильно жрать CPU.

На свитче надо миррорить траффик с бордера и на отдельной железке обрабатывать потоки через Netflow.

бендчмарк ? покажите ? - где он ЖРЁТ

Видь даже дело не в чпу, нетфлов можно гнать и с многих серверов, тем самым делая распределенную сеть, это удобно.

Netflow на cisco это "побочный продукт" работы Cisco Express Forwading, то есть практически бесплатно обходится.

Разумеется, мирроить ничего не надо, тк netflow - cгруппированная характеристика потока данных и информации в netflow-записи уже достаточно чтобы принять решение о блокировке.