Como essa limitação de taxa está funcionando na verdade (não, eu não procurei a resposta). Ela será ativada após uma quantidade de requisições em algum período de tempo por IP?
De qualquer forma, quando há uma situação de ddos no sentido de, por exemplo, se um URL é mencionado em alguma lista estúpida, então começa um dilúvio de IPs da China, Paquistão, Irã, Iraque, Vietnã e Rússia, além de muitos de grandes serviços de VPS, principalmente dos EUA, França e Alemanha. Quando eles tentam 3 vezes e mudam de IP, a limitação de taxa não ajuda muito.
Cheguei a ter muitas buscas estúpidas. E muito significa que um droplet de 5 USD da DigitalOcean travou e eu tive quase zero requisições de humanos.
Isso é mais ou menos uma questão do servidor web, não do Discourse. Aqueles que batem deveriam ser mortos antes de um aplicativo. Eu sei que minha situação/soluções são muito mais fáceis do que as do OP ou da maioria dos webmasters aqui porque sou da Finlândia e meu fórum é puramente finlandês — então banir mundialmente é possível para mim (bem, os finlandeses que vivem fora da Finlândia veem isso de forma diferente 
)
Mas, independentemente da limitação de taxa, pelo menos os user agents falsos deveriam parar imediatamente.
Como estão os knockers de SSH? Eles também consomem recursos.