¿Cómo proteger la IP de un servidor para que no sea expuesta?

[RedBear]

Mi foro tiene CloudFlare y al insertar una URL de este servicio, puedo obtener la IP real de mi servidor, lo cual es un gran regalo para los ataques DDoS.

Lo comprobé en Discourse Meta y este foro tampoco tiene filtrado de URL.

El dominio bloqueado por IPlogger no puede ayudar porque el atacante puede usar un dominio personalizado utilizando el script para registrar la dirección IP. Creo que es necesario usar una lista blanca para filtrar los dominios que pueden usar onebox.

Ejemplo: si el administrador permite solo URL de Youtube, Twitter, Imgur, todas las demás URL serán bloqueadas.

¿Quizás Discourse tiene esta configuración? No la encuentro

Actualización

La configuración blocked onebox domains y allowed inline onebox domains en esta página /admin/site_settings/category/onebox no funciona.

Creé estas reglas:

Onebox lo muestra:

[supermathie (Michael Brown)]

No tenemos una guía completa de principio a fin sobre cómo hacer esto, pero aquí hay otros temas relevantes:

Hiding the origin on cloudflare

While researching Cloudflare and best practices to use to protect my server I ran into an article by Cloudflare about protecting the origin IP (the IP where the website is actually being ran from) because you would be able to circumvent all of Cloudflares ddos protection if you had it. What interested me was specifically this section: Never initiate an outbound connection based on user action If the attacker can get your web server to connect to an arbitrary address, they will reveal your …

Discourse Link previews through a proxy server?

I keep my forum’s server behind cloud flare due to a large amount of attacks against the site. The link previews and emails can leak the server’s backend IP Address. The email issue was resolved by setting up a SMTP relay that strips headers (if the user pulls email headers to get the IP, they get the relay and not the forum’s IP). Is there a way to make the link previews go through a proxy server?

[RedBear]

Creo que encontré una solución configurando CSP. Logré permitir imágenes solo de mi dominio, necesito tiempo para la masa y compartiré la decisión.

[kuydiyadri]

por favor comparte, he cambiado mi dirección IP muchas veces porque el hacker obtuvo mi IP de iplogger.