всяческие аппаратные файрволы способные траффег фильтровать в обьемах столько-что-башка-заболит. Вот ставим такую штуку перед сервером...

это я и имел в виду под "блокировать атакующих на узлах по пути к серверу"


Часто с ддос "борются" вписывая в ns запись 127.0.0.1 :)

любые подобные способы плохо помогают - ведь чтобы отклонить неправильный пакет, нужно сначала понять, что он неправильный
в результате либо сервер полностью закрывается от входящих подключений (в т.ч. нужных, нах такая "защита"?), либо всё ж таки тормозит...