DDos на сайт

В fail2ban можно прописать правило

ignoreip = 127.0.0.1

bantime = 600 время бана

findtime = 600 отрезок времени который он отслеживает

maxretry = 3 и если в этот отрезок времени попыток было три то банит

Как то так

Если условие совпадет то он заболит ip на bantime = 600

gnoreip - список IP-адресов, которые не должны быть заблокированы, причём можно задавать диапазон адресов с помощью маски подсети или список IP-адресов, отделённых друг от друга пробелом.

bantime - продолжительность интервала блокирования (в секундах) для IP-адреса.

findtime - длительность интервала обнаружения "подозрительных совпадений" (в журналах). Если за этот интервал времени ничего подозрительного не обнаружено, то счётчику (counter) присваивается значение 0.

maxretry - количество "подозрительных совпадений" (т.е., значение счётчика counter), при котором срабатывает определённая операция по отношению к отслеживаемому IP-адресу.

action - операция, которая должна быть выполнена, если значение счётчика стало равным значению параметра maxretry. По умолчанию сервис (порт) блокируется для отслеживаемого IP-адреса.

port - наименование сервиса или номер соответствующего этому сервису порта, за которым ведётся наблюдение.

filter - имя фильтра, который должен использовать данный изолятор, чтобы выявлять "подозрительные совпадения" в журналах (фильтры хранятся в подкаталоге /etc/fail2ban/filter.d).

logpath - путь к файлу журнала, который должен обрабатываться с помощью заданного фильтра.

все это костыли, если хотите положительный результат то нужен комплексный и отлаженный подход.

тс если хотите обращайтесь, за недорого спрячем за прокси.

Этот метод т.е fail2ban бесплатный и хорош для небольшого DDOS. На хорошей VDS до 10000 соединений может отразить. Все что выше над делать как сказал Den73

В минуту? В час? В какую единицу времени?

У меня пока так идёт: порядка 5 соединений в секунду, соответственно 5*60 = 300 соединений в минуту, 300*60 = 18000 соединений в час.

Считал примерно по логам.

все это не эффективно, у тс впс будет всегда лежать пока fail2ban чего то пытается делать, нужен реал-тайм.

что такое 10к соединений, ESTABLISHED?

А если iptables+geoip?

у вас на впс 256м озу, я бы даже не пытался что то делать ибо смысла нет.

этого наверное даже мало для нормлаьной работы сайта без ддос.

Лучше, nginx + geoip

Если что, то тут постоянно обновляют базу http://www.maxmind.com

можно скачать бесплатно

Установите nginx, используйте его возможности для ограничения соединений(limit_zone/conn модули). Собирайте IP и баньте их в nginx или на файерволе.