В догонку. Запрос к URL в п.1 идет не с того IP, что в URL. Простой deny по source IP не подходит. Posted at Nginx Forum: http://forum.nginx.org/read.php?21,241735,241736#msg-241736