Благодарю за ответы.

>Можно попытаться поиграть в несколько location'ов для разных
>пользователей, в которых поставить limit_req с разными burst'ам:

>location /normal/users/here {
>limit_req one burst=10 nodelay;
>...
>}

>location /privileged/users/here {
>limit_req one burst=20 nodelay;
>...
>}

>Тогда при выбирании ограничений привилегированными пользователями
>- обычных перестанет пускать.

Нестандартно. Обязательно попробую под нагрузкой.

>С точки зрения конфигурирования, впрочем, это то ещё развлечение.
Ничего страшного. Мне главное, чтобы работало. Всё равно конфигурированием, скорее всего, будет заниматься специально обученный скрипт. Так что, если вдруг у Вас есть в запасе алтернативные методы реализации, я бы взглянул.

Кстати, ещё в наличии имеется lua/luajit модуль. Вероятно, он будет полезен. Пока я не увидел это решение с burst, собирался разбираться в lua. Вроде бы, там уже есть таймеры. Можно попытаться реализовать leaky bucket логику.