semop, мне кажется вы путаете "кислое с длинным". То что какой-то ваш абон пытался заддосить кого-то там в инете - обычное явление.
Если у вас ip-интерфейс абонента находится на длинках, и есть злой умысел положить - ну, да, кладется он на раз-два. тем же арпфлудом.
Коммутатор конечно может заглядывать внутрь пакета, есть определенный смысл фильтровать некоторый трафик. Но вот прям от "ддос" - ну не поможет это.
