Да, действительно странно, сегодня пробую вчерашний тест - работает как и у вас. Вчера тестировал на версии 1.4.x, под конец обновился, nginx перезапускал руками, написало [OK]. Может каким-то магическим образом не перезапустился.

Однако попробовал включить на живом сайте - снова проблемы: в error.log-е вижу записи о забаненых клиентах, делаю поиск их IP в access.log-е - находит 20..30 записей, в то время как в ограничении указано 60r/m.

Попробовал снова тестовый вариант - теперь видно, что nginx оптимизирует значение ограничения, и 60r/m превращаются в 1r/s.

Видимо для этого случая нужно использовать форму "1r/s burst=60" ?
Тогда вопрос: через какое время nginx допускает повторное использование всплеска ? Хотя судя по всему burst - это просто размер буфера для приёма запросов перед обработкой.