Mô hình nhìn chung thế này bạn 1. Nếu lượng truy cập bình thường : client <-> webserver 2. Khi bị ddos hoặc lượng truy cập tăng cao: client <-> server trung gian <-> webserver server trung gian mình nói cho dễ hình dung chứ thật ra có thể đó là 1 proxy hay 1 loadbalancer service nhận nhiệm vụ kiểm tra và phân tán luồng dữ liệu. Bạn có thể tìm hiểu thêm : ha, nginx, zendloadbalancer...