ИМХО, проще и эффективнее подправить модули ngx_http_limit_zone_module и ngx_http_limit_req_module так, чтобы можно было задать параметр аналогичный существующему в MOD_EVASIVE Апача DOSWhiteList.
Интересно, что с Евасивом у меня была другая проблема, там надо было добавить Location. Я его тупо в исходике модуля одним IFом проверял и пропускал (уже не помню где выложил патч). Так и тут можно, думаю.
Программеры народ ленивый, приходится иногда админам самим вникать :) :(