Myślę, że wycięcie tych adresów rozwiązałoby problem w co najmniej 80%

Są również normalni klienci z chin. Poza tym chinole nie tylko z chin atakują. Z całego świata: brazylia, argentyna, kanada, afryka wszędzie. Nie wytniesz wszystkiego.

Mamy w sieci czasem jakieś skanowania od skośnookich ale to raczej wyszukiwanie podatnych na daną lukę hostów.

Czy masz usługę hostingu u siebie  ?

Raczej wątpię aby ktoś z Chin czytał kornikowo więc nie wiem o jakich normalnych klientach tu mówimy ;-)

Ruch możesz przyciąć najprościej politykami na ruterach brzegowym (jak najbliżej 'granicy' swoje sieci, bo po co to wpuszczać dalej?), wycinając całe klasy adresowe. Jak hostujesz masowo usługi to zawsze trafi się jakiś klient, który będzie potrzebował nieczesanego ruchu do Chin, Malezji lub HK. No i w tym momencie cały mistery plan z wycinaniem po klasach adresowych w piz...u.

Mówię o wycinaniu ruchu na serwerze kornikowo.pl ale do tego raczej musiałby być VPS, nie wiem czy takie coś można na hostingu zrobić.

No to nie ma sensu bo sam request już doleciał do twojej maszyny dedyk/vps, zużył zasoby i został policzony do ogólnej statystyki, nawet ja go zdropujesz na swoim serwerze:)

takie skanowania mają to do siebie, że jeśli z drugiej strony nic nie odpowiada to ustają

Nieprawda, nie ustają. Mam nieużywane IP'ki i też są skanowane.

Działa to w ten sposób, że robot szuka konkretnej luki, próbuje nawiązać połączenie i jeśli nie dostanie odpowiedzi to sobie odpuszcza a jeśli jest odpowiedź to zaczyna się seria połączeń i próba przełamania zabezpieczeń. Wycięcie chińczyków nie spowoduje spadku połączeń do zera ale znacznie je ograniczy. Tak jest w większości przypadków.
Zrób test - wystaw sobie serwer ssh na domyślnym porcie i jak zauważysz, że ktoś zaczyna zgadywać hasło wytnij go na 15 minut, zobaczysz, że przestanie.

Wróci za 20minut jeśli tylko zwęszy, że coś było.
Problem w tym, że jak masz usługi publiczne typu hosting, VPS (a takie mam) to nie możesz wyciąć wszystkiego. Ataki to są fale, przez tydzień napi***alają DDOS, potem masz 2 tygodnie względnego spokoju (jak się firewalle zgadają że to ataki). Potem powrót, zabawa od nowa, nowe IP'ki z innej części świata, nowe identyfikatory, itd.

Wróci za 20minut jeśli tylko zwęszy, że coś było.

Zgadza się ale jeśli będziesz blokował na stałe to wykona tylko jedną próbę na dłuższy czas a nie "ile wlezie".

Problem w tym, że jak masz usługi publiczne typu hosting, VPS (a takie mam) to nie możesz wyciąć wszystkiego.

Ale ja nie mówię, że ma to wycinać "hostingodawca" tylko, że można to wyciąć na VPS-ie kornikowo.pl.

W tym konkretnym przypadku pewnie przestanie ale za chwile znajdzie się inny amator otwartych portów i nasłuch*jących usług... i tak do zaj...ania.

Jedna próba połączenia która zostanie odrzucona to znacznie mniej pochłoniętych zasobów niż "rozmawianie" z robotem który sprawdza czy strona jest oparta o Joomle, Wordpressa, phpBB czy jeszcze inne.

Od dawna RIPE nie daje już sensownych zakresów v4 ale jak jeszcze były to ch*jki czekały aż ktoś odpali nowy zakres i pierwszy miesiąc-dwa to zmasowane macanki, później robi się z tego tło.

Zdanie "Od dawna RIPE nie daje już v4" też byłoby poprawne ;-) Do niedawna dawali nowym LIR-om /24 ale chyba już też się skończyły.

Tak czy tak czeka nas przesiadka na ipv6 jak np w Indiach.

Ostatnie dwie strony sa fascynujące