>Ой, и вы ЭТО называете красивым и элегантным решением?!

Угу

>Это же жуткий
>костыль. Начать с того, что следует организовывать вообще схему фронтенд/бэкенд (необязательно
>на одной машине). Если уж у вас такие DoS'ы, с которыми
>справляется ядро.

кому следует орагнизовывать схему - тот организовывает схему.
А кому следует не принимать новый запрос в систему если загрузка выше нормы - тот не принимает запрос.

>Далее, писать модуль ядра для отслеживания загрузки чего-то в юзерлэнде - это
>криво.

загрузка системы пока что понятие одно на систему. А не на ядро или на юзерлевел.
"загрузки чего-то в юзерлэнде" звучит неразумно.

>Такие вещи следует в юзерлэнде же и отрабатывать,

вообще неразумно.
Управлять user-level'ом из него же - ненадежно.

>выдавая команду файрволу, который, кстати, может находиться на другой машине, равно как и
>анализатор (на сервере же только датчики).

о какой команде ФАЕРВОЛУ идет речь? Мне кажеться Вы не уловили суть в принципе...

>В ядре отслеживать, что конкретно
>не нравится процессу - слишком сложно.

:))
улыбнуло.
Вообще-то это и есть задача ядра: отслеживать все что кому нравится и что нет.
Наиболее эффективно управлять как минимум траффиком и процессами - из ядра.

>Наконец, когда решением предлагается _написать_ модуль ядра (!) - тут уже лицемерно
>говорить, что в одной ОСи это можно сделать, в другой нет

предполагается отсутствие даунтайма на загрузкку нового ядра.
Netfiler модуль вставляется находу.
Если PF умеет это же - тогда все описанное может и он. Собственно, в этом был вопрос.

>- специалист, на такое способный, сделает для любой, средства есть.

неспециалист сидит дома или учится

>Другое дело, что это может быть невозможно даже при наличии специалиста -
>например, когда ДДОСили bash.org.ru, они не имели возможность поменять на машине
>netfilter на nf-hipac - тупо из-за VDS (решили доморощенным аналогом).
>Да, хостер был плохой (потом сменили), да, отслеживание и перекрытие DoS'ов вообще задача хостера

дык, под такой проект, ессьно, нужен лишь выделенный сервер с возможностью менять в системе по желанию что угодно.

>Отсюда, кстати, видно, что предложенный к написанию модуль тем более хуже -
>сыграет на руку DDoS'у, дропая, возможно, вполне легитимные коннекты - не
>те критерии ибо.

расширьте сознание. Предлагаемый модуль НЕ дропает ничего.

Он умеет отслеживать загрузку. И именно в связке с другими методами ограничения дает неплохие результаты.