RoundRobin

Могу предположить, что есть еще четыре условия:
1. "Бесплатный сыр" не должен внезапно стать платным (как это часто бывает в подобных мышеловках);
2. "Бесплатный сыр" не должен внезапно прекратить свою работу (гарантий стабильной работы такие сервисы разумеется не дают и даже регулярно исчезают вместе с доменами).
3. "Бесплатный сыр" должен работать без подводных камней и доп. условий (кол-во трафика, принудительное встраивание кодов рекламы, вирусов, появления субдоменов c SEO-ссылками, перенаправление части DNS-запросов на сторонние ресурсы, и пр. как это было в известных историях с некоторыми "псевдодоменами" и его "регистратором" и DNS-хостингом).
4. Домен (все права на него) должен принадлежать вам, а не кому-то другому (кто сможет распоряжаться им по своему усмотрению, и его "временный администратор" никак юридически от этого не будет защищен).

Если так, то совсем бесплатных вариантов нет, по причинам озвученным выше.

Но самый дешевый вариант - вы можете купить домен второго уровня .site по $0.79 (и даже по $0.59 с промокодом - это самая дешевая цена, что сейчас есть), рекламировать регистратора не буду, но все легко гуглится. И далее сделать на нем большое количество субдоменов 3-уровня (ЕМНИП, 255 по RFC, но на практике наверно и сильно больше).

Если же планируется продление на десятки лет - там логично считать стоимость владения с учетом стоимости продления домена (во многих зонах она может повышаться неограниченно, но например в .com есть ограничения цен). Таким образом например .com со стоимостью регистрации в $8.59 даже при ежегодном росте цен на продления, вероятно окажется дешевле .site со стоимостью регистрации $0.59 на длинных временных горизонтах.

1. В зоне .ru нет зарубежных регистраторов. Все регистраторы доменов .ru - юрлица РФ. Выбирая из трех крупнейших вышеназванных - выбор однозначно в пользу https://R01.RU или их реселлеров (все то же самое, но дешевле, плюс реселлеры, в отличии от регистраторов, могут быть зарубежными компаниями, но на всякий случай выбирайте тех, кто работает на их оригинальной панели, например https://reghouse.ru ). Остальные из перечисленных регистраторы тоже годные, но есть нюансы и будьте готовы к внезапному подключению доп. услуг и автосписаниям с привязанной карты. А вот с регистраторами, основной деятельностью которых является хостинг, а не домены связываться не рекомендуется.
2. Если не требуется параллельная работа двух версий - редирект 301. Если требуется, не забудьте указать основной домен в robots / вебмастере (обычно поисковики корректно обрабатывают и без этого, но бывает и иначе).
3. Для однозначного ответа требуется контекст, и уточнение, эффективнее для чего и по сравнению с чем именно.

Зависит от типа атаки. Банальный UDP флуд отбивают и без этого. Для высокоуровневых атак без Under Attack Mode сложнее, особенно если поначалу пропускает много, а сервер не тянет.
Если канал не забит, и проблема в загрузке ресурсов сервера - это к админу сервера прежде всего, а не в сервис-протектор. Смотрите что грузит, оптимизируйте. Ни у лимиты настройте.
А и коробки CF на настройках по-умолчанию весьма ограниченный спектр защиты предоставляет.