Как блокировать накрутку ПФ. Кто, если не CloudFlare?!

Я бы тут предложил обратиться к сетевикам, я сильно не погружался в эту тему ибо мне пока не требовалось, но видимо как то так https://ru.wikipedia.org/wiki/Border_Gateway_Protocol

PS. Кстати вот у меня есть личный VPN у одного из нидерландских хостеров, так вот под этим VPN меня не пускает на тот же реддит, так что те кто строят VPN сервисы, я так понимаю, чтоб предложить более удобный сервис все таки свои подсети используют, а не из уровня начались школьные каникулы "а давай сервис VPN на лето организуем денег на пиво заработаем"

кстати там странно сделано, с одного впна не пускает, а с соседнего такого же пускает, может часть сетей в блоке, а не чисто по хостер-впн)

BGP не относится к полям whois, с помощью этого протокола не получится изменить информацию о подсети или отдельном ip-адресе. Это же касается, например, GRE-туннелирования.

С другой стороны, смена хуиза не поможет при сокрытии данных анонсирования. Т.е. в большинстве случаев достаточно легко можно определить, кому принадлежит конкретный адрес.

Из приведённого Вами скриншота непонятно, что и кем там было отредактировано.

Может они не обновляют просто актуальную инфу, просто до этого была во Франкфурте виртуалка, с неё тоже не пускало

Я не уверен что там надо именно скрывать данные, я предполагаю что там больше про то, что берется под сеть хетзнера и банится, а у провайдера VPN запросы идут хоть и с мощностей хетзнера но определяются другой подсетью которая не в блоке.

Я лишь говорю что вижу в логах в своих и их анализе. Опять же если прям встанет остро вопрос что пойдут проблемы с пользователями я что либо придумаю идей достаточно много как защитить L7, просто все это требует ресурсов человеческих которые должны быть оплачены заказчиком, пока что эти траты не обоснованы, так как продажи идут исключительно в РФ клиентам внутри РФ. Я не вижу проблемы отключить галочку VPN юзеру который что то ищет и собирается купить внутри РФ, в инсту и в ютубчик пускай идет, его с VPN не пустит не на один гос ресурс, в банки и прочие ежедневные приложения, так что должно быть привычно

Это неработающий метод. Давно бы уже зашифровали метрику все и CF никому бы не нужен был!

А антибот че не пробовали? , нормально вроде фильтрует.. 

Да он дичь несет, никакое js шифрование или вынос метрики во внешний скрипт ни на что не влиял. Всегда будут долбить ботами.