На сколько я знаю, чтоб провести успешную ддос атаку надо много народу

По существу дела, netstat -ant покажет не кол-во пакетов (их, кстати сказать за секунду от каждого клиента прилетает около 100000) эта команда покажет количество открытых сокетов. то есть кол-во попыток соединения на сервер. Что опять же даже для рядовой машинки 100000 может быть напряжно (радовой торрент клиент постоянно держит по нескольку десятков тысяч сессий одновременно и ничего), но не смертельно, не говоря уже для сервера.
Судя по выводу htop вижу load average зашкаливает за !100! (нервничать следует начинать при значениях 0.7 и выше), что могу сказать на этот счёт, процессы стоят долго в очереди, ДОЛГО СТОЯТ в ОЧЕРЕДИ, в какой очереди, куда и зачем не ясно. Что бы понять это в следующий раз делай вывод top, а не htop, он менее красивый, зато более информативный.
Посмотрев на top я бы уже знал куда копать и что тормозит систему, и почему в очереди скапливается столько процессов. Но вероятнее всего затык по сети, точнее по стеку tcp/ip.
Повторюсь,такое кол-во сокетов на сервер хоть и не нормально, но не должно быть смертельно.
Теперь по существу. Для начала пишем на тело абузу провайдеру. Это полюбому. Прямо на тот емайл что указан в whois, проверено, отвечают. Дальше, на сервере, как я понимаю iptables, по идеи такой хлам он должен фильтровать сам, если конечно не сильно кастомизировали таблицу ручками и не удаляли его правила по умолчанию.

Откровенно говоря уже давно работаю с Firewalld, но счас освежу в памяти и набросаю правило для подрезания таким орлам крылышек прямо на входе. Но опять же, стоит понимать, что чтобы фильтрануть даже цепочкой input в пакет надо заглянуть, а это значит он пробежит по стеку сетевой карты и сгенерирует прерывание на процессоре. А значит если очередь растет из-за большого кол-ва прерываний, то фильтрация тут не поможет.
Хотя в данном конкретном случае, вангую, что тело ргузил сайт какими ни будь ресурсоемкими запросами, типа полнотекстового поиска или ещё чего-то подобного. Надо смотреть apache.log И в этом случае, опять же, фильтровать нет смысла, потому как если запросы поиска не оптимизированы и ограничений на время исполнение запроса в базе нет, то положить сайт можно с мобильника десятком правильных запросов. (на этом моменте стоит задуматься о кеширующем фроненде для апача)

Более того, железо, как понимаю не серверное, а обычный десктоп, хоть и мощный, а значит распаралеливать потоки с сетевой карты не умее и обробатывает прерывания с сетевой карты на первом (в терминологии intel нулевое) ядре. То есть фильтрация через iptables конечно даст результат, но оправдает ли он ожидания - большой вопрос.
В случае дальнейших проблем вывод top и cat /proc/interrupts обязательно, плюс tcpdump поGREPаный по целевому ethernet-интерфейсу и ip-подозреваемого.

А фильтрация только на пограничном шлюзе, полюбому, нефиг нагружать проц сервера лишней суетой по фильтрации, ему и так не просто, и игровой сервер и web и SQL сервера крутятся. В простейшем случае, когда ддосит один ip-адресс а не целый ботнет, иддосят именно апачу, что имло место в данном случае помогут вот такие правила
iptables -A INPUT -p udp --dport 80 -m connlimit --connlimit-above 20 -j DROP
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j DROP

Кол-во соединений --connlimit-above XX можно поставить по своему вкусу.
iptables -A INPUT -p udp -m connlimit --connlimit-above 20 -j DROP
iptables -A INPUT -p tcp -m connlimit --connlimit-above 20 -j DROP

Можно вообще удрать из правила парметр --dport 80, тогда оно будет применятся ко всем типам траффика, но как себя в этом случае поведут SQL и CS одному лепрекону известно.

1) переселить SQL с Вебсервером на отдельную машинку (это прям категорически неправильно держать их на одной машине с кс-сервером), с нашей посещаемостью сайта им СОООВСЕМ немного нужно будет, (прям совсем немного, 1-1,5Ггц проц 1-2Гб опры, из мусора собрать можно)

2) кеширующий nginx в качестве фронтенда для апача

3) немного фильтрующих правил на !роутере!, но не самих серверах, у них хватает задач помимо того, что бы разбирать весь хлам, который прилетает из сети.

По поводу сайта, вообще можно выехать на какую ни будь дешевенькую хостинг площадку, типа 1Gb или подобную. Раньше у них даже халявный хостинг был ограниченный.
В любом случае 1500-2000 рублями в !ГОД!, это копейки, зато получаете нормальных хостинг, не копаетесь с настройками сервера да ещё и какая-никакая защита от ДДОС у всех хостеров есть))) Одни пруфы короче.

Вот это можно сделать, какие минусы, если они есть?

файлопомойка 5-6 гигов

Спасибо, я понял. Вообщем если такие атаки повторятся, то буду уже думать о установке доп оборудования.


Сайт весит гигов 25, а может и более, т.к. там есть и файлы с серверов, для быстрой скачки.