zu 3) Bei synproxy state würde das so ablaufen, ja. Die pfSense spielt dann vorgeschalteter Proxy und nimmt proaktiv schonmal die Verbindung an. Das ist auch der Grund warum man das im Normalfall nicht tun sollte, denn dadurch signalisiert du einem normalen Client, dass die Verbindung steht obwohl sie das noch nicht tut. Wenn jetzt dein Backend Server bspw. die Verbindung aber ablehnt, weil bspw. zu viele concurrent sessions laufen, dann hast du den Salat. Im Falle eines Angriffs mit Syn Flood hast du aber wie gesagt andere Probleme, so dass das dein kleinstes Übel ist ;) und dir statt dessen den sprichtwörtlichen Hintern retten kann.
Das Problem liegt ganz einfach darin, dass du Dinge vorgaukelst mit dem SynProxy, die nicht gegeben sind. Einem Client klarzumachen, dass die Verbindung jetzt doch nicht steht, nachdem du sie nach dem 3 Wege Handshake bestätigt hast ist schlichtweg übel. Deshalb die Links oben, einfach mal drüberlesen. Deshalb ist das nicht default, weil es nicht sinnvoll ist, nicht dem Standard entspricht und den Client verwirren kann, der sich seinerseits dann ggf. seltsam verhält.
Es blockt den Traffic, da es aber die pfsense erledigen muss ist meine Leitung trotzdem gefüllt, daher kein Schutz vor DDOS oder?
Nein. Schau dir mal das Filterlog an, was auf dem WAN Port einer pfSense alles anschlägt, sobald du die ins Netz hängst. Ganz schöner Salat, oder? Das ist alles Traffic der schon BIS zu DIR geroutet wurde. Nennt man gerne "Leitungsgrundrauschen". Je nach ISP kann das sogar schon in Megabit/Sekunde gehen. Das können alte Verbindungen sein von demjenigen, der die IP vor dir hatte, aber hauptsächlich sind es gerade in großen ISP Netzen Scans nach IP/Ports, nicht richtig konfigurierte Server oder nackte Kisten, die einfach so im Netz hängen, Windows AD/Netbios Kram, Security Scans und/oder Botnetze & Malware, die IPs nach üblichen Einfallsvektoren absuchen.
Selbst wenn du den Traffic bei dir nicht annimmst, die Pakete sind ja schon da. Der DHL Bote stand an deiner Tür, du hast nicht aufgemacht, und er ist wieder weg. Nur dass es nicht ein Bote sind, sondern ein paar Millionen. Ganz schöner Stau in deiner Straße ;) und das wo du doch gar nicht da bist :) Deshalb ist es völlig egal, ob du an deinem Border Gateway (respektive deiner pfSense) filterst oder nicht. Wenn dir jemand eine entsprechende Masse an Pakete auf deine IP schickt, geht dein Link unter und dein Provider mit.
"Schutz" vor DDOS gibt es lediglich, wenn du so groß bist, dass du selbst (bspw. via BGP) routen kannst wie du willst. DANN hast du die Chance bspw. den Traffic auf deine Website über andere Kanäle und Upstream Provider zu routen und vor allem kannst du versuchen mit deinen ISPs zusammen die Quelle zu orten und zu blackholen. Aber wenn du lediglich "Endkunde" bist, hast du nicht viel Möglichkeiten außer bspw. Dienste wie bspw. cloudflare zu nutzen. Sprich deine Website hinter ein Netzwerk aus vielen großen Kisten zu packen, die den Paketsturm für dich aushalten.
