Как элегантно банить по ip при первой же попытке обращения к системному ресурсу из вне?
fail2ban если сконфигурируете корректно - подойдет. Он анализирует логи (в вашем случае access.log), выявляет подозрительные элементы на основе регулярных выражений и выполняет указанное вами действие.
Соответственно вы можете сконфигурировать блокировку на неограниченное время всех адресов при обращении к этим страницам, кроме вашего IP (блокировка начнет действовать после первого обращения).
Возможно есть более простые решения (например, через htaccess).
Если нужно дать доступ только своим заранее известным сетям то самый простой и быстрый способ это с помощью iptables дропать все пакеты на порт вебсервера и разрешать только нужные.