Me sorprende que Discourse no haga esto ya (especialmente porque la mayoría de los usuarios de Tor que intentan acceder a los foros probablemente estén eludiendo suspensiones previas), pero ¿hay alguna forma de bloquear a los usuarios de Tor para que no puedan registrarse en mi foro?
Un usuario en particular está usando Tor para eludir cualquier prohibición de IP y restricciones de huellas digitales una y otra vez. Se ha convertido en un gran dolor de cabeza lidiar con él… 
Discourse no es un servidor web per se. Tor es un problema de algún tipo, pero uno muy menor en comparación con la red “normal”. Pero, ¿en qué se diferencia esta situación de si ese tipo usara otro servicio de VPN?
Puedes reconocer las IP de Tor conocidas a nivel de servidor y prohibirlas allí, pero no es fácil de forma nativa. Las privadas desconocidas… no hay posibilidad.
Pero a un nivel más general… las IP son inútiles. Mi IP cambia con el proveedor de internet móvil al menos una vez por semana. Buena suerte prohibiéndome por IP porque no será la misma la próxima semana. De hecho, puede cambiar incluso hoy cuando hago un viaje de 10 millas.
Las IP solo ayudan cuando hay conexiones por cable. Pero entonces el mismo tipo cambia a VPN y adiós a esa prohibición.
Huella digital… ¿dónde todavía está permitido y el sistema legal identifica a los usuarios?
No siempre. Muchos operadores de cable usan DHCP para asignar direcciones IP y, cuando la concesión de una dirección expira, pueden y lo hacen asignando una nueva. La siguiente probablemente estará en el mismo rango de IP, pero incluso eso puede no suceder. Mi propio ISP me cambia y el nuevo POP puede geolocalizarme en cualquier parte del país.
Es cierto. Pero es más probable que la IP “basada en cable” no cambie a que lo hagan los móviles.
De todos modos. Bloquear una IP es una herramienta bastante ineficiente, incluso inútil. Lo mismo ocurre con el geobloqueo preciso, pero eso es otro cantar.
Con gusto aceptaré cualquier solución que me permita evitar que los usuarios de Tor accedan a mi foro. Ya es un problema importante en mi comunidad y, en mi opinión, tiene el potencial de tener un efecto dominó en otras comunidades si más personas se enteran de él.
Esta característica en particular es desastrosa y, esencialmente, hace que las prohibiciones de IP sean inútiles.
He prohibido todos los Tors conocidos a nivel de servidor usando iptables. O también puedes usar el propio Nginx, o algún otro proxy inverso.
Usar cualquiera de esos delante de Discourse es una tarea realmente trivial. Pero Docker es el mayor signo de interrogación porque elude UFW/iptables de VPS de una manera que no puedo entender porque solo estoy subiendo esa curva de aprendizaje (en mis libros esa es la mayor preocupación de seguridad y de la que menos se habla).
Aquí hay algo sobre la cuestión del firewall:
Por supuesto, alguien puede crear un plugin que detenga una IP. No sé mucho, pero no entiendo por qué sería difícil; incluso WordPress puede hacerlo.
Pero también hay dos problemas, según lo veo: