> Тем, что позволит администратору "принять меры".

Так это, по хорошему предотвращать пи---ц хорошо бы слегка до того как он уже наступил.

>> с ливцд. Куда после этого идут ваши лимиты на фаере и
>> как вы вон те 100 конекций отличите от 100 легитимных хомяков?
> Тиоретег. 1) если уж через тор вас можно задосить то вам уже
> никакой веб сервер не поможет.

Чего - тиоретег? Я как раз такую атаку и видел не так давно. Просто как топор, и выкашивает апача на обычном серваке к чертям собачьим. Валится шитец через тор от стандартных утилсвов - кто-то явно освоил их запуск через torify :). Там много траффика не надо - главное соединения занять. А это даже через тор или вечно перегруженные проксики катит.

> 2) вы не читали man на mod_qos.

С нжинксом это нахрен не надо: ему такое до балды и без всяких костылей и их манов. Ну вот вы и читайте маны на костыли для апача.

> 3) запросы от тупых ботов вроде аб благополучно детектируются и
> сливаются в /dev/null не доходя до http сервера динамики.

Круто, круто. А если воткнуть нжинкс с кешированием - то там и вообще сервер динамики вздохнет свободнее, даже если это будет 100500 хомяков ака "хабр-лор-слэшдот-аэффект". А нагрузочная способность апача настолько дрянь что анонимусы обнаглели настолько что топчут его почти голыми руками, просто запустив в браузере js-loic, который честно долбит опач запросами. Судя по тому что они это сделали - апач даже столь ламерским методом валится. По сути несколько обезьян F5 на сайте зажимают, примерно то же самое по смыслу :)

> 4) настоящий дос делает не школота с хабров,
> а ботнетами и там, по большому счету, часто вообще наплевать какой у вас http сервер )

Ну если ботнет большой и способен засрать гигабит - то да, попадос. Но такое внимание еще надо чем-то заслужить. Это требует затрат заметных бабла и/или палит ботнет. Тем не менее, почему-то ряд сайтов будучи досанутыми до состояния почти незагружабельности - резко меняли опач на нжинкс и тут же оживали. Просто наблюдение :).DoS бывают разные. На апача часто делают именно атаку нацеленную на исчерпание ресурсов. Это в 100500 раз проще чем гигабит прислать и делается на коленке из подручных средств любым пионером. Тогда как ботнет способный влить гигабит флуда и всерьез положить канал в ДЦ рядом с IX - на дороге не валяется.

> "хаброэффект", слова то какие. Наверное еще и на рейтинг д..е, гг.

С ником анонимуса? На рейтинг? Лол! :)))

> Доооо. Вот расскажи мне школьнег про кеширование динамического контента в баннерной сети

Ыыы :)) Может вы и баннеры отдаете апачем? Ну озвучьте адреса этой помойки? Надеюсь школьнички потестируют на ваших опачах указанные командочки [не люблю тех кто срет в сети] :)

> или e-магазине.

Не вижу особых проблем закешировать бОльшую часть типичного магазина на поблочном  уровне или типа того. Все вообще - разумеется не выйдет. Но действий когда реально надо генерить динамику в интернет-магазинах, дергать БД и прочая - не так уж много. И их можно отсечь от ботов например потребовав регистрацию для работы с корзиной и прочая и просто заворачивая нерегистренных юзеров с такими запросами. Что сделает жизнь ботов намного менее скучной, если их целью было нагрузить сервер динамики и БД :)

А сам по себе список товаров и прочее - относительно статичная сущность, например. Кеширование на допустим минуту никто и не заметит, а вот запрос на перегенерацию страницы раз в минуту - куда лучше чем запрос на перегенерацию страницы 100500 юзерами сразу, одним махом.

> разных бекендов тем же nginx. И давай, давай, расскажи про гиг
> динамики с одной ноды.

Да зачем вам гиг динамики? Оставить тяжелые операции доступные только реганым юзерам, если уж вас атакуют ;). Если под каким-то аккаунтом наглеж - ну вынести аккаунт. А нереганым вообще урезать тяжелые операции. Пусть с кешом побольше общаются.

Могу зато рассказать как видел как досили интернет магазины ламерскими кучками запросами к апачу и они падали. После чего конторы почему-то резко втыкали нжинкс и сайты оживали. Всего лишь наблюдение за жизнью сайтов ;)

> Еще раз - принципиальной разницы _для динамики_ в использовании nginx + php-fpm
> или апаче + mod_php нет.  А до них все равно лучше ставить какой либо reverse
> proxy, тот же nginx или варниш.

Нжинксу не требуется реверс перед ним. Он сам отличный реверс и отгружалка статики, собссно. А настройка и майнтенанс (nginx + php) выглядит как-то симпатичнее чем (frontend + apache + php). В каких-то дико нагруженных системах может некий лоадбалансинг и будет иметь смысл но тогда наверное логично его делать сразу DNSом например, чтоб юзеры размазались по фронтэндам и грузили их все равномерно.

> Последний для этих целей (имхо) много удобнее, так как конфигурация намного
> читаемей выходит из-за особенностей работы varnish.

Ничего не скажу особо, т.к. не пробовал. Могу лишь отметить что на читаемость конфига нжинкса я не жалуюсь, как по мне - и читаемо и удобоваримо вполне :). И админить один нжинкс + пых к нему как-то попроще чем фронт+апач+пых, что очевидно просто глядя на число компонентов цепочки.  Ну и внедрежка нжинкса на большой числе нагруженных сайтов как бы намекает что он не лыком шит :)

p.s. очередные лучи ненависти вордфильтру. Я так и не понял что за слово его смущает.