「鯖側のログを見る限りは非CFの通信は全ブロックした上で掲示板->リバースプロキシ->CFの順で公開してるみたい」
「CF以外のIPからだとポートスキャンでも22以外見えない」

ピンとこなかったけどAIに解説してもらって概ね分かった気がします・・・
大雑把に言えばこういう感じですかね？

ufw default deny incoming
ufw default allow outgoing
# SSH接続（管理用）
ufw allow 22
ufw allow from [CloudflareのIP範囲] to any port 80,443

にして、bashで定期的にCloudflareのIPを更新するスクリプトを作ってcronで定期的に実行する感じでしょうか。