Hab mir mal suricata+CrowdSec combo angeguckt. Jetzt läuft auch noch suricata+rulesets neben ein paar neuer premium blocklists+threat detection die man bei CrowdSec für erschwingliche $31 pro Server mieten kann. Wenn irgendwas Richtung VPN oder proxy ging bin ich von block auf captcha (lokal) gegangen.