На самом деле подмена XFF уже мало где срабатывает, восновном на всяких форумах и гостевых можно этим способом обойти ограничение по времяни, да и то редко, а уж чтобы в админку зайти...
Там скорей всего палят REMOTE_ADR, а тут, как я понял, без вариантов- сам в свое время прочел массу статей по IP-спуфингу как по-русски, так и по-английски и понял одно: это либо не осуществимо, либо настолько сложно, что никакая админка того не стоит.