Como proteger o IP de um servidor contra exposição?

[RedBear]

Meu fórum tem CloudFlare e, ao inserir um URL deste serviço, consigo obter o IP real do meu servidor, o que é uma grande vulnerabilidade para ataques DDoS.

Verifiquei no Discourse Meta e este fórum também não possui filtragem de URL.

Bloquear domínios pelo IPlogger não ajuda, pois o atacante pode usar um domínio personalizado com um script para registrar o endereço IP. Acho que é necessário usar uma lista de permissões para filtrar domínios que podem usar onebox.

Exemplo: se o administrador permitir apenas URLs do Youtube, Twitter, Imgur, todos os outros URLs serão bloqueados.

Talvez o Discourse tenha essa configuração? Não consigo encontrar

Atualização

A configuração blocked onebox domains e allowed inline onebox domains nesta página /admin/site_settings/category/onebox não funciona.

Criei estas regras:

O Onebox mostra isso:

[supermathie (Michael Brown)]

Não temos um guia completo de ponta a ponta sobre como fazer isso, mas aqui estão outros tópicos relevantes:

Hiding the origin on cloudflare

While researching Cloudflare and best practices to use to protect my server I ran into an article by Cloudflare about protecting the origin IP (the IP where the website is actually being ran from) because you would be able to circumvent all of Cloudflares ddos protection if you had it. What interested me was specifically this section: Never initiate an outbound connection based on user action If the attacker can get your web server to connect to an arbitrary address, they will reveal your …

Discourse Link previews through a proxy server?

I keep my forum’s server behind cloud flare due to a large amount of attacks against the site. The link previews and emails can leak the server’s backend IP Address. The email issue was resolved by setting up a SMTP relay that strips headers (if the user pulls email headers to get the IP, they get the relay and not the forum’s IP). Is there a way to make the link previews go through a proxy server?

[RedBear]

Acho que encontrei uma solução com a configuração do CSP. Consegui permitir imagens apenas do meu domínio, preciso de tempo para amassar a massa e compartilharei a decisão.

[kuydiyadri]

por favor, compartilhe, já mudei meu endereço IP muitas vezes porque o hacker obteve meu IP do iplogger.