Мощный сервер спокойно падает от ДДоса

400|403|405|499|503

400 с этим лучше быть аккуратней, то могут быть валидные обращения (заголовки не умещаются) или остаточное от только что забаненых или правило в нетфильтре сработало... и т.д

403 ваш бэкенд может так отвечать валидным пользователям (например нюансы сайта),а вы их банить пытаетесь.

499 тоже нужно быть аккуратнее, это могут быть браузеры, просто клиент закрыл соединение раньше времени.

444 там нету.

ADMINS_IP там 1, а если у вас на сервере кол ip больше чем 1 то вы можете забанить собственные адреса))

Ошибки выдать ботам можно многими способами и без вот таких парсеров, но от сын-флуда это никак не спасет.

444,505 я сам добавил.

Что оставил:

(405|503|444|505)

444 - получает тот, кто в списке запрещенных стран

505 - получает тот, кто отсылает серверу запросы, содержащие "//?True

Именно эти запросы есть в логах. Nginx успешно отбивает такие запросы. Но апач почему-то загибается.

При сын-флуде апачу не нужно тысячей запросов чтобы он "загнулся". Вот и все.

У меня http флуд

//?True ну это же типично только для 1 ботнета, каждый раз будете новые костыли добавлять

Я подумал об SYN-Flood исходя из статьи которую вы привели.

http идет по tcp, что бы уст. tcp сессию нужно отправить пакет с флагом syn

поэтому http сопроваждается тем же сином, просто у вас внимание сосредоточено на L7 приложении.

когда будет больше трафика там уже вылезут все другие проблемы.

Вы должны видеть, что делает ваш костыль.

У меня один айпишник. Попробую с barf поработать