Доброго времени суток!
Хочется увидеть в официальной поставке поддержку модуля testcookie
https://github.com/kyprizel/testcookie-nginx-module

недавно столкнулся с вялотекущим DDoS'ом, когда ботов очень много, но активность отдельного бота очень низкая. ниже чем у поисковых ботов. C limit_req не вышло, т.к. мне показалось что он лучше подходит для защиты от сильного http-флуда, testcookie в данном случае сделал свое дело очень эффективно. Пример того как мы реализовали защиту.
http://virtbox.blogspot.com/2012/06/nginxtestcookie-yet-another-l7-firewall.html