Как правильно блокировать ботов NGINX на уровне сервера?
Таким образом ботов блокировать бессмысленно. Те, которые честно про себя пишут в юзерагенте - обычно не запрашивают агрессивно и плюс-минус уважают то, что написано в robots.txt. Подавляющее большинство парсеров, которые фигачат как не в себя - притворяются обычными браузерами.
Какой nginx? Зачем nginx? Твой выбор: Cloudflare / recaptcha!