Eine DDoS-Protection die Angriffe a la DNS/NTP/Quake3 Amplification, SSDP, SYN-flood, etc. absichert kostet nichts. Wir haben für eine Software-Lösung 6000€ pro Filter-Node (haben uns 2 davon zugelegt und gesehen, dass eine selber reicht) hingelegt. Als Filter-Mechanismen verwenden wir statische iptables Regeln die bei Bedarf zu- und wieder weggeschaltet werden können.
Was, wenn der angegriffene Kunde einen DNS betreibt? Ich gehe davon aus, dass ihr dann einfach temporär Port 53 per iptables blockt. Das kann man erstens effizienter per ACL realisieren und zweitens kann man das genau so treffend oder untreffend "DDoS Protection" nennen, wie das Blackholen der gesamten IP im Fall eines Angriffs. Natürlich ist das sinnvoll und effektiv, um das eigene Netz zu schützen, aber es hilft dem Kunden nicht, seinen Dienst während eines Angriffs weiterhin erreichbar zu halten (je nach Dienst und Art des Angriffs natürlich). Desweiteren ist es nahezu unmöglich, selbst eine ausreichende Anzahl von Regeln zu pflegen, um eine solche Firewall dann DDoS-Schutz nennen zu können, da es abgesehen von den von dir genannten Angriffsarten noch zig andere gibt, mit denen man den Dienst des Kunden "abschießen" kann. Und genau dafür ist entsprechende Hardware von Arbor Networks, NSFOCUS oder RioRey dann eben sinnvoll, da diese über entsprechende Algorithmen verfügt, um auch unbekannte Angriffsarten zu erkennen und zeitnah zu blocken. Dazu kommt natürlich noch eine mehrere GB große Datenbank mit Signaturen bekannter Angriffe (Bsp. RioRey), was - zumindest zum Teil - die Preise für die Hardware und Lizenzen rechtfertigt. Wenn man das selbst versucht, kommt dabei eben genau so eine unvollständige Lösung heraus wie die von Webtropia, an der schon seit über einem Jahr gebastelt wird. Hardware von RioRey im > 8Mpps Bereich geht übrigens bei $160k los und NSFOCUS bei $200k (man beachte die Währung, die dann doch einen Unterschied macht), wo dann auch die Einrichtung vor Ort mit dabei ist, Support bei Angriffen und Training von Angestellten.
Also zusammengefasst: Wenn es darum geht das Netz von einem "normalen" Hoster vor Angriffen mit hoher Bandbreite oder vielen Paketen vor Ausfällen oder Instabilität zu schützen, kann eine günstige, bzw. selbst "gebastelte" Lösung in den meisten Fällen ausreichend sein und auch Kunden erfreuen, wenn deren IP nicht blackholed wird. Wenn es darum geht Dienste von Kunden, die häufig angegriffen werden, unter allen Umständen erreichbar zu halten, dann kann man das mit einer In-House Lösung normalerweise nicht garantieren, sofern nicht ein außerordentliches Budget zur Verfügung steht und man sollte eher auf NSFOCUS/RioRey/Arbor zurückgreifen.
