公司网站被人刷了CC攻击，Nginx日志看得我头大

刚入职一个月，公司那个破网站三天两头被人刷，昨天下午直接502了。老板让我排查，我打开Nginx的access.log一看，全是同一个IP的请求，每秒几百次，全是GET /index.php。我查了下防火墙规则，发现iptables都没开，直接裸奔。现在临时用fail2ban封了几个IP，但觉得治标不治本。有没有大佬指点下，这种小公司网站除了上CDN，还有啥靠谱的防护方案？Cloudflare免费版够用吗？还是说直接上宝塔的防火墙插件就行？