софтово-идеальная защита от ддоса - анрил, а вот хардварная... Так что идеально - размещать свои проекты на своих машинках, тогда не проблемой будет доставлять посредником отдельный фаервол. Ту же цицку. Но опять же - если толщина линии не достаточная, то будет фигово, так как трафик будет литься и не важно сколько у вас там фаерволов. Естественно, цицковый фаер будет сложно заддосить, но переполнить канал запросами - просто.
На этот случай можно поиграться с резервным каналом и пустить юзверов по нему, а ддосеров на*бать...