cloudflare лег?

Нет бы признаться честно.
"Ничего не смыслю в этом, полез методом научного тыка жать на все кнопки. Понаставил всем капчи. Получилась шляпа.
Полез в интернет, начитался таких же нажимателей кнопок, но при этом умеющих пускать пыль в глаза. Сделал как они советовали когда-то в лохматые годы. Получилась еще большая шляпа.
Плюнул и откатил на исходную." 

В 2017 году, когда писалось то что вы все годами переписываете, с ботом mailru в Allow и броском всех IPV6 и всех прямых обращений под капчу, не было ни РКН со своими активными блокировками и намеками валить с клауда, ни собственно поведенческих ботов в том виде как они есть сейчас, ни пресловутого ECH, ни iPV6 у всех кто сидит на мобильном интернете того же МТС, частично Мегафона, и далее по списку. Да и в целом, изменилось абсолютно все.

Чтобы не прыгать по граблям, ну хоть раз подумайте самостоятельно, поизучайте тему. Найдите в клауде наконец раздел с Events, поживите в нем неск дней.
В том же топике по клауду здесь на форуме расписано настолько много полезного по настройке, что можно составить нормальный работающий набор с правилами, а не переписывать как обезьянки друг у друга одно и то же. Клауд изначально никак не предназначен для фильтрации поведенческого трафика, это уже те кто его настраивают приловчились это делать, с переменным успехом.
Разделите трафик на сегменты: кому показывать капчу, кому нет. Тогда и не будете метрику превращать в мессиво из внутренних переходов.

Тормоза и без CF. Панель не грузится даже без VPN. Hetzner, OVH.

Та почему никто не знает? Все знают, что РКН воду мутит. Просто повезло, что их айпишники не задело.

Возможно есть способ, чтобы это дело обойти, типа нестандартным размером пакета или изменением алгоритма шифрования, но это всё не точно.

Повезло? Их каждый раз не задевает ещё с осени

У них платный вариант. И вроде бы как даже не за 20 баксов в месяц, а больше