Разработчики moodle не сделали такой настройки, так как эту проблему можно (и нужно решать) на уровне веб-сервера.
В апаче есть параметр RemoteIPInternalProxy, в который можно прописать ip адреса прокси-серверов, которым можно доверять. Для них в remote_addr будет адрес, который передал прокси в заголовке. Для остальных будет использоваться адрес клиента, даже если есть заголовки.
Таким образом я настраивал правильное получение адреса из отдаленного корпуса не соединенного локальной сетью. В далеком корпусе настроено transparent proxy, прокси возвращал в заголовке реальный адрес из локальной сети, в RemoteIPInternalProxy был указан адрес прокси. В результате при тестировании можно было ограничивать по ip адреса аудитории из другой локальной сети. Но не уверен, что сейчас такой подход работает до сих пор, так как повсеместный переход на https сильно усложняет создание transparent proxy.
В nginx для того же можно использовать модуль Geo, или простую регулярку по $remote_addr, чтобы решать, где резать заголовки, а где нет.
В общем, если вебсервер находится за прокси, то прямой доступ к такому серверу должен быть невозможен даже из локальной сети. Прокси должна резать все заголовки с адресами и заменять их своими, тогда пропихнуть неправильный адрес будет невозможно.