Вопрос: почему именно JS? Эта штука работает на стороне клиента, поэтому "надуть" ее не составляет особого труда.

Если уж и делать защиту по IP, то реализовывать ее нужно на стороне сервера.
Узнать IP можно из переменных REMOTE_ADDR, HTTP_X_FORWARDED_FOR или HTTP_X_REAL_IP. Притом проверять эти значения нужно в таком порядке:

HTTP_X_REAL_IP
HTTP_X_FORWARDED_FOR
REMOTE_ADDR

Этьи переменные лежат в суперглобальном массиве $_SERVER (php). Первые два указываются проксиком, как дополнительные поля HTTP-ответа, последнее - IP-адрес машины, с которой пришел запрос.