Как, сидя за натом провайдера, запрашиваемая инфа из инета знает точную сеть клиента?
 какому именно из кучи других клиентов принадлежит это обращение
У роутера есть NAT таблица в ней соответствие SRC_IP:SRC_PORT -> DST_IP:DST_PORT так и узнаёт.

как сервер понимает, что конкретно компам из моей сети запрещено заходить на серв
В интернете IP адреса из локально сети не маршрутизируются. Если забанили по IP в который натяться адреса из локальной сети, то и вся локальная сеть окажется забаненой.
Потому что технология нат передает на сервер также всю инфу и о внутренней сети. Все просто.