Хорошо бы отсекать таких, и выводить в лог, а с лога при помощи fail2ban блокировать на уровне iptables.
Через iptables не отсеч такие обращения, нужно именно в nginx и чтобы он не пытался парсить, а учитывал кол-во прочитанных байт на сокете. И при привышении размера, даже пускай допустимого размера заголовка, сбрасывал эти соединения и в лог Warning с ip.