Ага, по IP на файрволе самое то ограничивать. Вот чего бы
действительно не помешало в nginx - это ограничивать число активных
подключений к бекэнду на имя хоста, типа busy-lock'ов, но не с выдачей
503-го тем кто в лимит не попадает, а с постановкой их в очередь.
Давно бьюсь с этой задачей, так и не нашел средств решить. :(