Фильтрация входящего трафика

Разрабатываю приложение на asp.net core, разворачиваю на CentOS, в качестве прокси-сервера nginx. Прорабатываю в своём приложении платёжные системы (пока PayPal). Очень беспокоит возможность фальсификации запросов, приходящих от PayPal. Хотелось бы настроить фильтр, по которому запросы, приходящие не с данного списка адресов, игнорировались бы. И вопрос заключается в том, как лучше данный фильтр настраивать: на стороне контроллеров на c#, на стороне nginx, на стороне внешнего фаервола, на стороне фаервола CentOS? Фильтр лучше настраивать по IP, по URL? И разве эти параметры (IP, URL) нельзя подделать? Если можно, то есть ли что-то, что выдаст подделку?