Всем приветик ;)
Я уже защитился от всего что только может быть, но мне покоя не дает мысль о досс атаки.
Где бы я не искал пишит что можно только у хостера приобрести.
Сразу говорю я не профисионал поэтому может что-то не знаю или не учитываю так что не надо смеятся но есть такие мысли.
При досс атаке серверы очень быстро отправляют запросы на мой сайт соответственно он не успевает обрабатывать информацию и просто вырубается или если атака слабая то он начинает долго грузить.
Но минуточку у атакующих серверов есть же ip адрес который можно блокануть что если установить лимит допустим 50 запросов в секунду а если привышает то блокировать по ip адресу.
У меня получалось 4000 запросов в сеунду делать при этом очень хорошо подглючивал сайт наверняка при дос атаке сервер отправляет больше чем 50 запросов а простой пользователь никак за секунду не успеет кликнуть 50 раз.
Я не уверен что атакующие серверы принимают информацию но если это так то можно вместо блока по ip делать безконечную итерацию с текстом и отправлять хотя я так наоборот им помогу себя задосить, а можно и кусок js написать который будет генерировать безконечный текст.
Тоесть получиться так что уже не они будут досить меня а я их ну или чтото вроде того
Ну и последняя идея это может и полный бред но можно попробывать делать переадресации друг на друга чтото типа http://0[dot]0[dot]0[dot]0 тоесть они сами себя и задосят

Мне хотелось бы что бы опытные праграмисты чтонибдь ответили по этому поводу ну или показали бы в какую сторону надо рыть

А это батенька DoS-атака.
В DDoS первая буква как раз значит Distributed, т.е. распределённая. И самое сложное как раз отделить запросы атакующего от нормальных запросов обычных пользователей. Потом что они ничем друг от друга не отличаются. Пришло к вам не 100rps, а 5000rps, по одному запросу с каждого отдельного IP. Ботнет из 5000 хостов не самая впечатляющая штука по размеру.
Лимит в осмысленное значение запросов с одного адреса ставится на nginx и действительно полезная вещь.


А зачем им js обрабатывать? Могут даже ответ не вычитывать полностью. Вы-то уже напряглись, к моменту начала передачи результата запроса обычно вся логика backend'а отработала.

И это если атака ведётся непосредственно на HTTP. Обычно на какой-нибудь тяжёлый функционал, например полнотекстовый поиск. От атаки по HTTP хорошо закрывает простой testcookie модуль nginx.
А вот если вас просто заваливают UDP мусором, забивая подчистую входящий канал? Не принять вы его не можете в принципе. Принять - у вас не то что его обработать, у вас сетевых портов нет столько. Чего там из рекордов? 100гбит в далёком 2010 году уже было.


А потом узнаём, что IP кончились уже не один год назад и на одном адресе может быть за NAT очень много народу.