Можно ли доверять этой функции для определения IP?
Даже не заходя в вопрос сразу можно догадаться, что будет внутри. 
Разумеется, речь о ходячем анекдоте, эталоне карго культ кода, тайной функции определения "настоящего" IP адреса "за прокси", которую похапешники воображающие себя кулхацкерами десятилетиями переписывают друг у друга.
Функции, которая берет IP адрес... из НТТР заголовков. Из запроса. То есть, чтобы подделать айпи, не нужно даже прокси - достаточно добавить к НТТР запросу заголовок CLIENT_IP с рандомным айпишником. 
Гениальное решение для защиты.
По пороблемам, озвченным в теле вопроса.
Расслабься.
Судя по уровню владения вопросом и уровню приближения проблемы к реальной жизни, все равно у тебя из этой борьбы с ветряными мельницами выйдет только хуже.
Вместо истерических телодвижений по защите сайта от несуществующих угроз тебе надо сделать две вещи
- избавиться от этого эталонного примера говнокода
- заняться повышением своего образовательного уровня. Для начала реализовать защиту от брутфорса без привязки к любым внешним параметрам, исключительно внутренними средствами.
Эту проблему решили уже кучу раз до вас. Почитайте об этом в интернете.
Количество IP - как мусора. Девать некуда и каждый себе может взять по 100 штук хоть в секунду. Сложнее наоборот, иметь один и тот же IP.
Чётко по теме:
1. Cloudflare - это умный сервис, который делает гору всего, чтобы защитить вас от всего в этом мире.
2. Примерно на 1%.
3. Да, возможно.