ладно надо все же в сервер выводить не айпи туннеля который локалхост а реальный с которого запрос идет
я короче полез в клаудфлэйр и насоздавал правил чтобы ботов которые там .php найти пытаются блокировало просто