> Один юзер это одно тср соединение

На которое можно аллоцировать миллиарды стримов, у каждого из которых будут свои буферы.

> И считать pps или просто байты в секунду нужно для одного соединения

Какая восхитительная идея! Правда, не позволит отличить болезненную для сервера атаку с открытием миллиардов стримов от легитимной закачки файла.

> И чё с того? У вас задача объём трафика посчитать, а не шифрование вскрыть.

С такими потрясающими идеями, вам надо немедленно свой стартап открывать! Получите миллиардные инвестиции, выкинете клаудфларь с рынка, сможете купить всю эту планетку и пару соседних в придачу.
Ведь никто раньше не додумался до такой простой мысли - L7 DoS можно предотвратить, просто считая пакеты или байты!
А вот вы додумались. И теперь сможете перевернуть этот мир.

> Как-будто какую-то злобу ощущаю я.

Просто не будьте валенком и постарайтесь думать над тем, что пишете.

> Не понимаю что это значит. Апач с ngnix IIS и lighttpd одну реализацию используют?

Разные, но ошибка в логике почти у всех одна и та же.